РЕШЕНИЕ НА СЪДА (трети състав)
7 май 2009 година(*)
„Защита на физическите лица относно обработката на лични данни — Директива 95/46/ЕО — Защита на личния живот — Изтриване на данни — Право на достъп до данни и до информация относно получатели на данни — Срок за упражняване на правото на достъп“
По дело C‑553/07
с предмет преюдициално запитване, отправено на основание член 234 ЕО от Raad van State (Нидерландия) с акт от 5 декември 2007 г., постъпил в Съда на 12 декември 2007 г. в рамките на производство по дело
College van burgemeester en wethouders van Rotterdam
срещу
M. E. E. Rijkeboer,
СЪДЪТ (трети състав),
състоящ се от: г‑н A. Rosas, председател на състав, г‑н A. Ó Caoimh, г‑н J. Klučka, г‑н U. Lõhmus и г‑жа P. Lindh (докладчик), съдии,
генерален адвокат: г‑н D. Ruiz-Jarabo Colomer,
секретар: г‑жа M. Ferreira, главен администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 20 ноември 2008 г.,
като има предвид становищата, представени:
– за College van burgemeester en wethouders van Rotterdam, от адв. R. de Bree, advocaat,
– за г‑н E. E. Rijkeboer, от г‑н W. van Bentem, juridisch adviseur,
– за нидерландското правителство, от г‑жа C. M. Wissels и г‑жа C. ten Dam, в качеството на представители,
– за чешкото правителство, от г‑н M. Smolek, в качеството на представител,
– за гръцкото правителство, от г‑жа E.‑M. Mamouna и г‑жа V. Karra, в качеството на представители,
– за испанското правителство, от г‑н M. Muñoz Pérez, в качеството на представител,
– за правителството на Обединеното кралство, от г‑жа Z. Bryanston‑Cross и г‑жа H. Walker, в качеството на представители, подпомагани от г‑н J. Stratford, barrister,
– за Комисията на Европейските общности, от г‑н R. Troosters и г‑н C. Docksey, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 22 декември 2008 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 12, буква а) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10, наричана по-нататък „Директивата“).
2 Запитването е отправено в рамките на спор между г‑н Rijkeboer и College van burgemeester en wethouders van Rotterdam (Съвет на кмета и помощник‑кметовете на Ротердам, наричан по-нататък „College“) с предмет частичен отказ на College да му предостави достъп до информация относно разкриването на личните му данни на трети лица през двете години, предхождащи искането му за информация.
Правна уредба
Общностна правна уредба
3 Съображения 2 и 10 от Директивата, свързани с основните права и свободи, гласят:
„(2) като имат предвид, че системите за обработка на данни са създадени с цел да служат на хората; като имат предвид, че независимо от националността или местожителството на физическите лица, те трябва да зачитат техните основни права и свободи и по-конкретно правото на личен живот, и да допринасят за икономическия и социален прогрес, развитието на търговията и благосъстоянието на хората;
[…]
(10) като имат предвид, че предмет на националните законодателства, отнасящи се до обработването на данни, е осигуряване спазването на основните права и свободи и по-конкретно правото на личен живот, което се признава както в член 8 на Европейската конвенция за защита на правата на човека и основните свободи, така и от общите принципи на правото на Общността […]“
4 Съгласно съображение 25 от Директивата принципите на защита на лицата трябва да бъдат отразени, от една страна, в задълженията, наложени на лицата, които обработват данните, като тези задължения се отнасят по-специално до качеството на данните, и от друга страна, в правата, предоставени на лицата, чиито данни са подложени на обработване, да бъдат уведомявани за извършването на такава обработка, да имат достъп до данните, да могат да поискат поправка и дори да възразят срещу обработването на данни при определени обстоятелства.
5 Съображение 40 от Директивата, което урежда задължението да се информира съответното физическо лице, когато данните не са били събрани от него, гласи, че такова задължение не е предвидено, ако предоставянето на информацията е невъзможно или е свързано с прекомерни усилия, и че в това отношение могат да се вземат предвид броят на съответните физически лица, от колко време са данните, както и приетите компенсационни мерки.
6 Съгласно съображение 41 от Директивата всяко лице трябва да може да упражнява правото си на достъп до данните, свързани с него, които се обработват, за да провери, в частност, точността на данните и законосъобразността на обработването.
7 Член 1, озаглавен „Предмет на Директивата“, е формулиран по следния начин:
„1. В съответствие с настоящата директива държавите членки защитават основните права и свободи на физическите лица и в частност правото им на личен живот при обработването на лични данни.
2. Държавите членки не могат нито да ограничават, нито да забраняват свободното движение на лични данни между държавите членки по съображения, свързани със защитата, предоставяна съгласно параграф 1.“
8 Понятието „лични данни“ е определено в член 2, буква а) от Директивата като всяка информация, свързана с идентифицирано или подлежащо на идентификация лице (съответно физическо лице).
9 С понятието „обработване на лични данни“ член 2, буква б) от Директивата означава:
„всяка операция или набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване“.
10 Съгласно член 2, буква г) от Директивата „администратор“ е физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработка на лични данни.
11 Член 2, буква ж) от Директивата определя „получател“ като физическо или юридическо лице, държавен орган, агенция или друг орган, пред което се разкриват данни, независимо дали е трето лице или не, както е определено в член 2, буква е) от Директивата.
12 Член 6 от Директивата урежда принципите, свързани с качеството на данните. Що се отнася до съхранението на данните параграф 1, буква д) от нея гласи, че държавите членки предвиждат, че личните данни трябва „да се поддържат във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за целите, за които тези данни са събрани или обработени допълнително. Държавите членки предвиждат подходящи гаранции за личните данни, съхранявани за по-дълъг срок за исторически, статистически или научни цели“.
13 Членове 10 и 11 от Директивата уреждат информацията, която администраторът или неговият представител трябва да предостави на съответното физическо лице в случаите, респективно, когато данните са събирани или не от същото.
14 Член 12 от Директивата, озаглавен „Право на достъп“, е формулиран както следва:
„Държавите членки гарантират на всяко физическо лице правото да получи от администратора:
a) без [ограничение], на разумни интервали от време и без прекалено забавяне или разходи:
– потвърждение за това, дали отнасящи се до него данни се обработват, както и информация най-малкото за целите на тази обработка, категориите данни и получателите или категориите получатели, на които данните се разкриват,
– съобщение до него в разбираема форма относно данните, които се обработват, както и за всяка налична информация за техния източник,
– познания за логиката на всяка автоматизирана обработка на данни, отнасяща се до него, най-малкото за автоматизираните решения, упоменати в член 15, параграф 1;
б) според случая, поправянето, изтриването или блокирането на данните, чиято обработка не е в съответствие с разпоредбите на настоящата директива, и по-конкретно поради непълнота или неточност на самите данни;
в) уведомление до трети страни, на които е разкрита информация за каквото и да е поправяне, изтриване или блокиране, извършени в съответствие с разпоредбите на буква б), освен ако това се окаже невъзможно или е свързано с прекомерни усилия.“
15 Член 13, параграф 1 от Директивата, озаглавен „Изключения и ограничения“, разрешава на държавите членки да дерогират по-специално членове 6 и 12 от нея, ако това е необходимо за гарантирането на определени обществени интереси, сред които са националната сигурност, отбраната, преследването на престъпления, както и други интереси, а именно защитата на съответното физическо лице или на правата и свободите на други лица.
16 В член 14 от Директивата се предвижда, че държавите членки предоставят правото на съответното физическо лице при определени условия да не допусне отнасящи се до него данни да бъдат предмет на обработка.
17 Съгласно член 17, параграф 1, втора алинея от Директивата държавите членки предвиждат, че администраторът трябва да прилага подходящи технически и организационни мерки, които, като се имат предвид съвременното равнище на развитие и разходите за осъществяването им, трябва да гарантират равнище на сигурност, което съответства на рисковете, свързани с обработването и с естеството на данните, които следва да бъдат защитени.
18 Съгласно член 22 и член 23, параграф 1 от Директивата държавите членки предвиждат правото на всяко лице на правна защита за всяко нарушение на правата, гарантирани от националното право, приложимо към въпросната обработка, и че всяко лице, което е понесло вреди в резултат на неправомерна операция по обработката или на каквото и да е действие, което е несъвместимо с националните разпоредби, приети съгласно настоящата директива, има право да получи обезщетение от администратора за понесените вреди.
Национална правна уредба
19 Директивата е транспонирана в нидерландското право с общ текст — Закона за защита на личните данни (Wet bescherming persoonsgegevens). Освен това, за да бъде взета предвид Директивата, са актуализирани специалните закони. Такъв е случаят с разглеждания закон по главното производство, а именно Закона за пазенето на лични данни от общинските администрации (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, №°494, наричан по-нататък „Wet GBA“).
20 Член 103, параграф 1 от Wet GBA предвижда, че по искане на заинтересованото лице Съветът на кмета и помощник кметовете писмено му съобщават в срок от четири седмици отнасящите се до него данни с източник общинската администрация, които са били разкрити на заявител или на трето лице през годината, предхождаща искането.
21 Съгласно член 110 от Wet GBA Съветът на кмета и помощник кметовете съхраняват отбелязването за това разкриване през годината след разкриването на данните, освен ако това разкриване е видно по друг начин от базата данни.
22 От писменото становище на College е видно, че съхраняваните от общината данни се отнасят до името, датата на раждане, единния граждански номер, данъчно-осигурителния номер, общината по регистрация, адреса и датата на регистрация в общината, гражданското състояние, попечителството, настойничеството върху малолетни, гражданството и правото на пребиваване на чужденци.
Спорът по главното производство и преюдициалният въпрос
23 С писмо от 26 октомври 2005 г. г‑н Rijkeboer иска от College да го информира за всички случаи, при които отнасяща се до него информация с източник общинската администрация е била разкрита на трети лица през двете години, предшестващи подаването на искането му. Той иска да узнае самоличността на тези лица и съдържанието на информацията, която им е била предадена. Г‑н Rijkeboer, който се е преместил в друга община, иска да узнае по-специално на кого е бил разкрит старият му адрес.
24 С решения от 27 октомври и от 29 ноември 2005 г. College уважава само частично искането, като на основание член 103, параграф 1 от Wet GBA му разкрива само информацията, свързана с периода от една година, предшестващ подаването на неговото искане.
25 Разкриването на данни се регистрира в съответствие с „Logisch Ontwerp GBA“. Това е автоматизирана система, създадена от Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Министерство на вътрешните работи и отношения в Кралство Нидерландия). От преюдициалното запитване е видно, че исканите от г‑н Rijkeboer данни, които са за период преди годината, предшестваща подаването на искането му, са автоматично изтрити, което било в съответствие с разпоредбите на член 110 от Wet GBA.
26 Г‑н Rijkeboer подава жалба до College срещу отказа да му се предостави информация относно получателите, на които са били разкрити отнасящи се до него данни през период отпреди годината, предхождаща подаването на неговото искане. Тъй като жалбата била отхвърлена с решение от 13 февруари 2006 г., г‑н Rijkeboer подава жалба пред Rechtbank Rotterdam.
27 Тази юрисдикция уважава жалбата, като приема, че ограничението на правото да бъдеш информиран за разкритите на получатели данни до годината, предшестваща подаването на искането, както е предвидено в член 103, параграф 1 от Wet GBA, не е съвместимо с член 12 от Директивата. Тя приема също, че посочените в член 13 от същата директива изключения не са приложими.
28 College подава въззивна жалба срещу това решение пред Raad van State. Тази юрисдикция установява, че член 12 от Директивата, свързан с правото на достъп до данните, не определя никакъв срок, в който това право трябва да бъде упражнено. Според нея този член все пак не забранява изрично на националния законодател да ограничава във времето правото на съответното физическо лице да бъде информирано за получателите, на които са разкрити негови лични данни, но изразява съмнение по този въпрос.
29 При тези обстоятелства Raad van State решава да спре производството и да постави на Съда следния преюдициален въпрос:
„Съвместимо ли е предвиденото от закона ограничение за разкриване на данни до една година преди подаване на съответното искане с член 12, […] буква а) от [Директивата] във връзка или не с член 6, параграф 1, буква д) от тази директива и с принципа на пропорционалност?“
По преюдициалния въпрос
30 В самото начало следва да се припомни, че в рамките на системата за съдебно сътрудничество, установена от член 234 ЕО, Съдът трябва да тълкува разпоредбите на общностното право. Що се отнася до националните разпоредби, националните юрисдикции са тези, които следва да ги тълкуват (вж. Решение от 14 февруари 2008 г. по дело Gysen, C‑449/06, Сборник, стр. I‑553, точка 17).
31 Ето защо поставеният от запитващата юрисдикция въпрос следва да се разбира като въпрос, с който по същество се цели да се установи дали съгласно Директивата, и по-специално член 12, буква а) от нея, правото на достъп на дадено лице до информация относно получателите или категориите получатели на лични данни, свързани с него, както и до съдържанието на разкритите данни, може да се ограничи до период от една година преди подаване на неговото искане за достъп.
32 Тази юрисдикция изтъква две разпоредби на Директивата, а именно член 6, параграф 1, буква д) относно съхраняването на личните данни и член 12, буква а) относно правото на достъп до тези данни. Напротив, нито тази юрисдикция, нито някоя от страните, представили становище пред Съда, не се позовава на посочените в член 13 от Директивата изключения.
33 Член 6 от Директивата се отнася до качеството на данните. Параграф 1, буква д) от него задължава държавите членки да предвидят, че личните данни не се съхраняват за срок, по-дълъг от необходимия за осъществяване на целите, за които са събирани или са обработвани допълнително. Следователно данните трябва да се заличат, когато целите са осъществени.
34 Член 12, буква а) от Директивата предвижда, че държавите членки предоставят на съответното физическо лице право на достъп до личните му данни, както и до информацията относно получателите и категориите получатели на тези данни, без да посочва срок във времето.
35 Следователно тези два члена целят да защитят съответното физическо лице. Запитващата юрисдикция иска да установи дали съществува връзка между тези два члена в смисъл, че правото на достъп до информацията относно получателите или категориите получатели на лични данни, както и относно съдържанието на предоставените данни би могло да зависи от продължителността на съхраняване на тези данни.
36 Представените пред Съда становища разкриват различни гледни точки относно взаимодействието между тези две разпоредби.
37 College, както и нидерландското, чешкото, испанското правителство и правителството на Обединеното кралство твърдят, че правото на достъп до информацията относно получателите или категориите получатели, посочени в член 12, буква а) от Директивата, съществува само за настоящия момент, но не и за минал момент. При положение че данните са били изтрити в съответствие с националното законодателство, съответното физическо лице не може повече да има достъп до тях. Тази последица не противоречала на Директивата.
38 В този смисъл College и нидерландското правителство твърдят, че член 103, параграф 1 от Wet GBA, съгласно който по искане на лицето общината го информира за данните, разкрити на получателите през годината, предхождаща подаването на неговото искане, надхвърля наложените от Директивата изисквания.
39 Комисията и гръцкото правителство от своя страна твърдят, че Директивата предвижда право на достъп не само за настоящия момент, но също и за периода преди подаването на искането за достъп. Гледната им точка относно точната продължителност на това право на достъп обаче се различава.
40 За да се прецени обхватът на правото на достъп, чието осъществяване Директивата трябва да направи възможно, следва първо да се определят данните, за които се отнася правото на достъп, и след това да се вземе предвид целта на член 12, буква а) от Директивата, разгледана в светлината на целите на Директивата.
41 В случай като на г‑н Rijkeboer от значение са две категории данни.
42 Първата категория се отнася до данни от частен характер, с които общината разполага за дадено лице, като например неговото име и адрес, които в конкретния случай представляват основните данни. От изразените от College и нидерландското правителство устни становища е видно, че тези данни могат да бъдат съхранявани за дълъг период от време. Те представляват „лични данни“ по смисъла на член 2, буква а) от Директивата, тъй като става въпрос за информация, свързана с идентифицирано или подлежащо на идентификация физическо лице (вж. в този смисъл Решение от 20 май 2003 г. по дело Österreichischer Rundfunk и др., C‑465/00, C‑138/01 и C‑139/01, Recueil, стр. I‑4989, точка 64, Решение от 6 ноември 2003 г. по дело Lindqvist, C‑101/01, Recueil, стр. I‑12971, точка 24, както и Решение от 16 декември 2008 г. по дело Huber, C-524/06, все още непубликувано в Сборника, точка 43).
43 Втората категория има отношение към информацията относно получателите или категориите получатели, на които тези основни данни са разкрити, както и относно съдържанието на тези данни и следователно се отнася до обработката на основните данни. Съгласно разглежданото по главното производство национално законодателство тази информация се съхранява само една година.
44 Визираното в делото по главното производство ограничение във времето на правото на достъп до информацията относно получателя или получателите на лични данни, както и относно съдържанието на предадените данни, се отнася също до тази втора категория данни.
45 За да определи дали член 12, буква а) от Директивата разрешава или не такова ограничение във времето, този член следва да се тълкува с оглед на неговата цел, разгледана в светлината на целите на Директивата.
46 Съгласно член 1 от Директивата предметът на същата е да защитава основните права и свободи на физическите лица, и по-специално правото им на личен живот, при обработването на лични данни и по този начин да позволи свободното движение на тези данни между държавите членки.
47 Значимостта на защитата на личния живот е изтъкната в съображения 2 и 10 от Директивата и е подчертана в практиката на Съда (вж. в този смисъл Решение по дело Österreichischer Rundfunk и др., точка 70, посочено по-горе, и Решение по дело Lindqvist, точки 97 и 99, посочено по-горе, както и Решение от 29 януари 2008 г. по дело Promusicae, C‑275/06, Recueil, стр. I‑271, точка 63 и Решение от 16 декември 2008 г. по дело Satakunnan Markkinapörssi и Satamedia, C‑73/07, все още непубликувано в Сборника, точка 52).
48 Освен това, видно от съображение 25 от Директивата, принципите на тази защита трябва да бъдат отразени, от една страна, в задълженията, наложени на лицата, които обработват данните, като тези задължения се отнасят по-специално до качеството на данните — предмет на член 6 от Директивата — и, от друга страна, в правата, предоставени на лицата, чиито данни са подложени на обработване, да бъдат уведомявани за извършването на такава обработка, да имат достъп до данните, да могат да искат поправка и дори при определени обстоятелства да възразят срещу тяхното обработване.
49 Това право на зачитане на личния живот предполага съответното физическо лице да може да се убеди, че личните му данни се обработват по точен и законосъобразен начин, т.е. в частност че основните данни, които се отнасят до него, са точни и че са адресирани до оправомощени за това получатели. Както е посочено в съображение 41 от Директивата, за да може да извърши необходимите проверки, съответното лице трябва да разполага с право на достъп до данните, които се отнасят до него и които са предмет на обработка.
50 В това отношение член 12, буква а) от Директивата предвижда право на достъп до основните данни, както и до информацията относно получателите или категориите получатели, на които тези данни са разкрити.
51 Това право на достъп е необходимо, за да позволи на съответното физическо лице да упражнява правата, посочени в член 12, букви б) и в) от Директивата, а именно — в случаите, когато обработката на неговите данни не е в съответствие с тази директива — правото да накара администраторът да поправи, изтрие или блокира неговите данни (буква б) или да го накара да уведоми третите лица, на които са разкрити данните, за поправките, изтриването или блокирането, освен ако това не се окаже невъзможно или не предполага прекомерно усилие (буква в).
52 Правото на достъп е необходимо и за да се позволи на съответното физическо лице да упражни правото си на възражение срещу обработката на неговите лични данни, посочено в член 14 от Директивата, или предвиденото в членове 22 и 23 от нея право на иск в случай на претърпени вреди.
53 Що се отнася до правото на достъп до информация относно получателите или категориите получатели на основни данни, както и относно съдържанието на разкритите данни, Директивата не уточнява дали това право се отнася за минал момент и евентуално за какъв минал период.
54 В това отношение следва да се отбележи, че за да имат полезен ефект разпоредбите, посочени в точки 51 и 52 от настоящото решение, това право трябва задължително да се отнася за минал момент. Всъщност, ако случаят не е такъв, заинтересованото лице не би могло ефикасно да упражни правото си да иска поправка, изтриване или блокиране на данните, за които предполага, че са непълни или неточни, както и да предяви съдебен иск и да получи обезщетение за претърпените вреди.
55 Въпросът, който се поставя, е да се установи какъв е обхватът на това право в миналото.
56 Съдът вече е приел, че разпоредбите на Директивата са относително общи, като се има предвид, че същата трябва да се прилага към голям брой много разнообразни положения и че съдържа правила, които се характеризират с известна гъвкавост, която в много случаи оставя на държавите членки грижата за приемане на подробни правила или за избор на някоя от възможностите (вж. Решение по дело Lindqvist, посочено по-горе, точка 83). Съдът също признава, че много пъти държавите членки разполагат със свобода на действие с оглед транспонирането на Директивата (вж. Решение по дело Lindqvist, посочено по-горе, точка 84). Тази свобода на действие, която се потвърждава по отношение на транспонирането на член 12, буква а) от Директивата, все пак не е неограничена.
57 Установяването на даден срок, свързан с правото на достъп до информацията относно получателите или категориите получатели и относно съдържанието на разкритите данни, трябва да позволи на съответното физическо лице да упражнява различните права, предвидени в Директивата и припомнени в точки 51 и 52 от настоящото решение.
58 Продължителността на съхранението на основните данни може да представлява полезен параметър, без обаче да е определящ.
59 Всъщност, както Съдът вече е приел, приложното поле на Директивата е много широко (вж. Решение по дело Österreichischer Rundfunk и др., посочено по-горе, точка 43, както и Решение по дело Lindqvist, посочено по-горе, точка 88) и визираните от нея лични данни са разнообразни. Следователно продължителността на съхранение на тези данни, определена съгласно член 6, параграф 1, буква д) от Директивата в зависимост от целите, за които са събирани и допълнително обработвани, може да бъде различна. Когато продължителността на съхранение на основните данни е много голяма, интересът на съответното физическо лице да използва възможностите за намеса и средствата за защита, посочени в точка 57 от настоящото решение, може при определени случаи да се намали. Ако например получателите на такива данни са многобройни или честотата на разкриване на по-ограничен брой получатели е завишена, задължението да се съхранява толкова дълго информацията относно получателите или категориите получатели, както и относно съдържанието на разкритите данни, би могло да представлява прекомерна тежест за администратора.
60 Директивата обаче не изисква държавите членки да налагат такава тежест върху администратора.
61 Така член 12, буква в) от Директивата изрично предвижда изключение от задължението на администратора за уведомяване на третите лица, на които са разкрити данните, за поправката, изтриването или блокирането, а именно когато това се окаже невъзможно или предполага прекомерно усилие.
62 Според други пасажи от Директивата може да бъде взет предвид прекомерният характер, който е възможно някои мерки да имат. Що се отнася до задължението да се информира съответното лице, съображение 40 от Директивата посочва, че могат да бъдат взети предвид броят на съответните физически лица, както и това от колко време са данните. Освен това съгласно член 17 от Директивата, свързан с надеждността на обработването, държавите членки предвиждат, че администраторът трябва да прилага технически и организационни мерки, предназначени да осигурят подходящо равнище на сигурност с оглед рисковете, свързани с обработването и с естеството на данните, които следва да бъдат защитени, като се има предвид съвременното равнище на развитие и разходите за осъществяването им.
63 Аналогични съображения са релевантни и по отношение на установяването на срок, свързан с правото на достъп до информацията относно получателите или категориите получатели, както и относно съдържанието на разкритите данни. Освен припомнените в точка 57 от настоящото решение съображения, много други параметри могат също да бъдат взети предвид от държавите членки, и по-специално разпоредбите от националното право, приложими по отношение на срока за подаване на иск, повече или по-малко чувствителното естество на основните данни, продължителността на съхранение на тези данни и броят на съответните получатели.
64 Държавите членки следва да определят срок на съхранение на информацията относно получателите или категориите получатели и относно съдържанието на разкритите данни и да предвидят достъп до тази информация, които да установяват точно равновесие между, от една страна, интереса на съответното физическо лице да защити личния си живот, по-специално посредством правото да иска поправяне, изтриване и блокиране на данните, когато обработката им не е в съответствие с Директивата, както и правото на възражение и правото на предявяване на съдебен иск, и от друга страна, тежестта, която задължението за съхраняване на тази информация представлява за администратора.
65 Освен това при определянето на този срок следва да се имат предвид също произтичащите от член 6, буква д) от Директивата задължения да се предвиди, че личните данни трябва да се съхраняват във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за осъществяване на целите, за които тези данни са събрани или обработени допълнително.
66 В дадения случай правна уредба, която ограничава съхраняването на информация относно получателите или категориите получатели на данни и относно съдържанието на предадените данни до период от една година и съответно ограничава достъпа до тази информация, след като основните данни се съхраняват много по-дълго време, не установява точно равновесие между разглежданите интерес и задължение, освен ако не се докаже, че по-дълго съхраняване на тази информация би представлявало прекомерен товар за администратора. Националният съд следва обаче да извърши необходимите проверки в светлината на посочените в предходните точки съображения.
67 Предвид гореизложените съображения не би могъл да се приеме доводът на някои държави членки, че прилагането на членове 10 и 11 от Директивата би направило безсмислено предоставянето за минал момент на право на достъп до посочената в член 12, буква а) от Директивата информация относно получателите или категориите получатели.
68 Всъщност следва да се констатира, че членове 10 и 11 създават за администратора или за неговия представител задължения при определени условия да информира съответното физическо лице по-специално относно получателите или категориите получатели на данни. Самият администратор или самият негов представител трябва да предоставя тази информация на съответното физическо лице по-специално към момента на събиране на данните или, ако данните не са събрани пряко от това лице, към момента на регистрацията на данните или евентуално към момента на разкриване на тези данни на трето лице.
69 Така тези разпоредби целят да наложат задължения, различни от произтичащите от член 12, буква а) от Директивата. Следователно по никакъв начин те не намаляват задължението на държавите членки да предвидят, че администраторът е длъжен да предостави достъп на съответното физическо лице до информацията относно получателите или категориите получатели, както и относно разкритите данни, когато това лице реши да упражни предоставеното му по силата на член 12, буква а) право на достъп. Държавите членки трябва да приемат мерки, които транспонират, от една страна, разпоредбите на членове 10 и 11 от Директивата, свързани със задължението за информиране, и от друга страна, разпоредбите на член 12, буква а) от Директивата, без първите разпоредби да могат да намалят задълженията, които произтичат от вторите.
70 Ето защо на поставения въпрос следва да се отговори по следния начин:
– Член 12, буква a) от Директивата налага на държавите членки да предвидят право на достъп до информацията относно получателите или категориите получатели на данни, както и относно съдържанието на разкритата информация не само за настоящия момент, но и за минал момент. Държавите членки следва да определят срок за съхранение на тази информация, както и свързан с нея достъп, които да установяват точно равновесие между, от една страна, интереса на съответното физическо лице да защити личния си живот, по-специално чрез предвидените в Директивата възможности за намеса и способи за защита, и от друга страна, тежестта, която задължението за съхраняване на тази информация представлява за администратора.
– Правна уредба, която ограничава съхраняването на информацията относно получателите или категориите получатели на данни и относно съдържанието на предаваните данни до период от една година и съответно ограничава достъпа до тази информация, след като основните данни се съхраняват много по-дълго време, не може да установи точно равновесие между разглежданите интерес и задължение, освен ако не се докаже, че по-дълго съхраняване на тази информация би представлявало прекомерен товар за администратора. Националната юрисдикция следва да извърши необходимите проверки.
По съдебните разноски
71 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред препращащата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (трети състав) реши:
Член 12, буква a) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни налага на държавите членки да предвидят право на достъп до информацията относно получателите или категориите получатели на данни, както и относно съдържанието на разкритата информация не само за настоящия момент, но и за минал момент. Държавите членки следва да определят срок за съхраняване на тази информация, както и свързан с нея достъп, които да установяват точно равновесие между, от една страна, интереса на съответното физическо лице да защити личния си живот, по-специално чрез предвидените в Директивата възможности за намеса и способи за защита, и от друга страна, тежестта, която задължението за съхраняване на тази информация представлява за администратора.
Правна уредба, която ограничава съхраняването на информацията относно получателите или категориите получатели на данни и относно съдържанието на предаваните данни до период от една година и съответно ограничава достъпа до тази информация, след като основните данни се съхраняват много по-дълго време, не може да установи точно равновесие между разглежданите интерес и задължение, освен ако не се докаже, че по-дълго съхраняване на тази информация би представлявало прекомерен товар за администратора. Националната юрисдикция следва да извърши необходимите проверки.
Подписи