FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
DÁMASO RUIZ-JARABO COLOMER
föredraget den 22 december 2008 1(1)
Mål C‑553/07
College van burgemeester en wethouders van Rotterdam
mot
M.E.E. Rijkeboer
(begäran om förhandsavgörande från Raad van State (Nederländerna))
”Skydd av uppgifter – Grundläggande rättigheter – Direktiv 95/46/EG – Rätt att få tillgång till personuppgifter – Utplånande – Utlämnande till tredje man – Tidsfrist för tillgång till uppgifter – Proportionalitetsprincipen”
I – Inledning
1. Raad van State (Nederländernas högsta förvaltningsdomstol) har hänskjutit en begäran om förhandsavgörande till domstolen rörande tolkningen av artiklarna 6 och 12 i direktiv 95/46 om skydd för enskilda personer med avseende på personuppgifter och om det fria flödet av sådana uppgifter(2). Begäran om förhandsavgörande avser ett besvärligt område, nämligen utplånande av personuppgifter som en kommunal förvaltning har lämnat ut till tredje man och den därmed förknippade rätten att få tillgång till de uppgifter som behandlats.
2. Förstöring av sådana uppgifter är i princip en skyddsåtgärd, vilken emellertid har olika följder. När uppgifterna förstörs, utplånas emellertid också spåren av hur uppgifterna har använts. Det innebär att den som skyddas också drabbas, eftersom vederbörande kommer att få veta hur personuppgifterna har använts av den som har förfogat över dem.(3)
3. Det är mot denna bakgrund som domstolen ska pröva huruvida den tidsfrist efter vilken uppgifter får utplånas även ska tillämpas på rätten till tillgång till uppgifter avseende behandling. Om så är fallet bör domstolen pröva huruvida en tidsfrist på ett år är tillräcklig och proportionerlig för att säkerställa de rättigheter som föreskrivs i direktiv 95/46.
II – De faktiska omständigheterna
4. Av begäran om förhandsavgörande framgår att Rijkeboer har bett College van burgemeester en wethouders van Rotterdam (Rotterdams kommunledning, nedan kallad College) att få tillgång till en förteckning, sammanställd på grundval av kommunens arkiv, över de fall där den kommunala förvaltningen lämnade ut uppgifter rörande honom till tredje man under de föregående två åren. Genom beslut av den 27 respektive den 29 november 2005 avslog College delvis Rijkeboers begäran och lämnade enbart ut uppgifter till honom rörande det senaste året. Rijkeboer instämde inte med det kommunala beslutet och begärde därför att det skulle omprövas. College fann vid omprövning den 13 februari 2006 inte skäl att ändra det tidigare beslutet.
5. Då de administrativa rättsmedlen uttömts, beslutade Rechtbank Rotterdam att ta upp Rijkeboers överklagande till prövning, och biföll hans talan. Rechtbank Rotterdam upphävde genom dom av den 17 november 2006 det administrativa beslut genom vilket vissa av hans yrkanden hade avslagits och ålade College att fatta ett nytt beslut.
6. Den 28 december 2006 överklagade College domen till avdelningen för förvaltningsrättsliga mål vid Raad van State, som den 5 december 2007 beslutade att vilandeförklara målet och hänskjuta en begäran om förhandsavgörande till domstolen.
III – Tillämpliga bestämmelser
A – Gemenskapsrätten
7. I artikel 6.1 och 6.2 i fördraget om Europeiska unionen beskrivs sambandet mellan unionen och de grundläggande rättigheterna enligt följande:
”Artikel 6
1. Unionen bygger på principerna om frihet, demokrati och respekt för de mänskliga rättigheterna och de grundläggande friheterna samt på rättsstatsprincipen, vilka principer är gemensamma för medlemsstaterna.
2. Unionen skall som allmänna principer för gemenskapsrätten respektera de grundläggande rättigheterna, såsom de garanteras i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950, och såsom de följer av medlemsstaternas gemensamma konstitutionella traditioner.
…”
8. Den grundläggande rätten till integritet utgör en allmän princip i gemenskapsrätten, och har kommit till uttryck i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter. I detta direktiv, vars innehåll har kodifierats i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, definieras begreppet ”uppgift” och föreskrivs att uppgifter som är föremål för behandling bara får lagras under en viss tid. Artiklarna 2 a och 6 i direktivet har följande lydelse:
”Artikel 2
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet.
…
Artikel 6
1. Medlemsstaterna skall föreskriva att personuppgifter
…
e) förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.”
9. För att säkerställa insyn i behandlingen föreskrivs i artiklarna 10 och 11 i direktiv 95/46 en skyldighet att informera den registrerade. Denna skyldighet varierar beroende av om uppgifterna har samlats in från den registrerade själv eller inte. Den registeransvarige har bland annat följande skyldigheter:
”Artikel 10
Information vid insamling av uppgifter från den registrerade
Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen:
a) Den registeransvariges och dennes eventuella företrädares identitet.
b) Ändamålen med den behandling för vilken uppgifterna är avsedda.
c) All ytterligare information, exempelvis
– mottagarna eller de kategorier som mottar uppgifterna,
– huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara,
– förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom,
i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
Artikel 11
Information när uppgifterna inte har samlats in från den registrerade
1. Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen:
a) Den registeransvariges och dennes eventuella företrädares identitet.
b) Ändamålen med behandlingen.
c) All ytterligare information, exempelvis
– de kategorier av uppgifter som behandlingen gäller,
– mottagarna eller de kategorier som mottar uppgifterna,
– förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom,
i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
…”
10. Den registrerade kan kontrollera att de behandlade uppgifterna används på rätt sätt genom att utöva sin ”rätt till tillgång”. Denna rätt beskrivs i stora drag i artikel 12 i direktiv 95/46. I förevarande mål är den första punkten i denna artikel relevant.
”Artikel 12
Rätt till tillgång
Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
a) utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader
– få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifterna utlämnas,
– få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,
– få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser sådana automatiska beslut som avses i artikel 15.1,
…”
11. Skyldigheten att utplåna uppgifter och rätten till tillgång får begränsas av medlemsstaterna på de villkor som anges i artikel 13 i direktiv 95/46:
”Artikel 13
…
1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till
a) statens säkerhet,
b) Försvaret,
c) allmän säkerhet,
d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,
e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor,
f) en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen,
g) skydd av den registrerades eller andras fri- och rättigheter.
….”
B – Tillämpliga nederländska bestämmelser
12. Direktiv 95/46 har införlivats i nederländsk rätt genom en allmän lag, Wet bescherming persoonsgegevens (lagen om skydd för personuppgifter). Den nämnda lagen är subsidiär i förevarande förfarande, eftersom det kommunala området regleras genom särskilda bestämmelser i Wet gemeentelijke basisadministratie persoonsgegevens (lagen om kommunalförvaltningens hantering av personuppgifter). I artikel 103.1 i denna lag anges villkoren för att en enskild person ska få information om hur hans uppgifter har behandlats:
”Artikel 103
1. College van burgemeester en wethouders ska på begäran från den berörde inom fyra veckor skriftligen informera honom eller henne om huruvida den kommunala förvaltningen har lämnat ut uppgifter beträffande vederbörande till en avnämare eller en tredje man under det år som föregick ansökan.
…”
IV – Tolkningsfrågan
13. Den 12 december 2007 registrerades Raad van States begäran om förhandsavgörande vid domstolens kansli. Begäran om förhandsavgörande avser följande fråga:
”Är en lagbestämmelse enligt vilken utlämning inte får ske av uppgifter som daterar sig längre tillbaka i tiden än ett år före den aktuella ansökan om tillgång förenlig med artikel 12 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, jämförd med artikel 6.1 e i direktivet, och med proportionalitetsprincipen?”
14. College, Nederländernas regering, Förenade kungarikets regering, Greklands, Republiken Tjeckiens och Spaniens regeringar samt kommissionen har inkommit med yttranden inom den frist som föreskrivs i artikel 23 i domstolens stadga.
15. Ombuden för College och Rijkeboer, samt ombuden för Nederländernas, Republiken Tjeckiens, Spaniens och Förenade kungarikets regeringar samt kommissionen har yttrat sig muntligen under förhandlingen den 20 november 2008.
V – Avgränsning av tvistefrågan
16. Förevarande mål avser flera frågor som är av en viss komplexitet i begreppsmässigt hänseende. Raad van State undrar i korthet om det kan föreskrivas en särskild tidsfrist för utplånande av information om hur personuppgifter behandlats. Om dessa uppgifter raderas med stöd av direktiv 95/46 upphör rätten till tillgång, eftersom det inte går att kräva tillgång till uppgifter som inte längre existerar. Diskussionen i förevarande fall handlar följaktligen om en inskränkning av en rättighet, som även den föreskrivs uttryckligen i direktiv 95/46. Denna konflikt mellan utplånande av uppgifter och rätten till tillgång visar att det finns en inneboende motsättning i ovannämnda direktiv, vilken domstolen bör uttala sig om.
17. Domstolen bör således klarlägga huruvida uppgifter om behandling bör eller kan regleras på samma sätt som personuppgifter. Domstolen bör även klargöra huruvida tidsfristen för utplånande av uppgifter alltid ska begränsa rätten till tillgång. Dessa frågor ska besvaras mot en faktisk och rättslig bakgrund som är något oklar, eftersom Raad van State inte har angivit huruvida uppgifter om behandling får lagras lika länge eller kortare tid än personuppgifter. Båda dessa fall ska således granskas för att den hänskjutande domstolens fråga ska kunna ges ett användbart svar.
VI – Inledande diskussion: en intresseavvägning mot bakgrund av unionens grundläggande rättigheter
A – Den grundläggande rätten till integritet och hur den har utvecklats i gemenskapsrätten
18. Enligt bestämmelserna i gemenskapens grundläggande konstitutionella urkund(4) bygger Europeiska unionen på de grundläggande rättigheterna, som domstolen säkerställer(5). Efter en successiv utveckling under mer än ett decennium av rättspraxis, vilken inleddes med domarna i målen Stauder(6) och Internationale Handelsgesellschaft(7), fastställde medlemsstaterna dessa rättigheters grundläggande karaktär genom att anta artikel F i Europeiska enhetsakten, numera artikel 6 i fördraget om Europeiska unionen. I denna artikel föreskrivs att unionen ska respektera de grundläggande rättigheterna, såsom de garanteras i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (nedan kallad EKMR),(8) och såsom de följer av medlemsstaternas gemensamma konstitutionella traditioner.
19. Rätten till integritet omfattas av dessa traditioner. Efter att domen i målet Stauder(9) meddelades, har rätten till integritet enligt rättspraxis varit en del av gemenskapsrättens allmänna principer. Det handlade inledningsvis om en skyldighet att lämna information om bland annat namn(10) och hälsoinformation,(11) enligt nationella bestämmelser(12) eller gemenskapsrätten.(13) Domstolen fastställde kort därefter, på 1990-talet, att denna rätt även omfattar privatlivet(14) och familjelivet.(15)
20. År 1995 utgjorde en vändpunkt genom att direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter antogs. Domstolens rättspraxis på detta område, som dittills hade varit splittrad och kasuistisk, fick därmed en stabilare grund. I direktivet avgränsas noga syftet,(16) subjekten(17) och de rättigheter som enskilda har vid överföring av uppgifter som rör dem.(18) I skäl 10 anges att direktivet syftar till att skydda de grundläggande rättigheter som erkänns i EKMR och i gemenskapens allmänna rättsprinciper.(19) I domen i målet Österreichischer Rundfunk fastställde domstolen att även om direktiv 95/46 syftar till att säkerställa det fria flödet av uppgifter, är det även av betydelse med avseende på skydd för de grundläggande rättigheterna.(20)
21. Direktiv 95/46 innebär sammanfattningsvis en vidareutveckling av den grundläggande rätten till integritet när det gäller personuppgifter som behandlas på automatisk väg.(21)
22. Det kan som bevis på detta kodifieringsarbete hänvisas till artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna(22) (nedan kallad stadgan om de grundläggande rättigheterna), som handlar om ”skydd av personuppgifter” och i vilken en rätt till integritet och korrekt behandling föreskrivs, samt en rätt till tillgång till uppgifter och till att få rättelse av dem. Även om stadgan ska tillämpas med viss försiktighet(23) är det svårt att bortse från dess innehåll och att dessa rättsliga element ingår i medlemsstaternas gemensamma konstitutionella traditioner.(24) Detta gäller inte minst med tanke på att direktiv 95/46 antogs för över 10 år sedan och att det under denna tid har skett en effektiv harmonisering inom detta område.(25)
23. I artikel 8 i stadgan om de grundläggande rättigheterna betonas två aspekter som påverkar målet vid den nationella domstolen. Båda aspekterna avspeglas i artiklarna 6 och 12 i direktiv 95/46. Det handlar dels om att uppgifterna inte får förvaras under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in (artikel 6.1 e), dels om rätten att utan hinder få information om mottagarna till vilka uppgifterna lämnas ut (artikel 12 a). Eftersom dessa aspekter omfattas av stadgan om de grundläggande rättigheterna, och därmed även av kärnan i den grundläggande rätten till integritet, ska domstolen göra en avvägning mellan olika rättigheter och intressen för att kunna ge ett rationellt svar på Raad van States tolkningsfråga, där dessa bestämmelser placeras i sitt rätta konstitutionella sammanhang.(26)
24. Med avseende på frågan hur direktiv 95/46 ska tolkas, krävs till att börja med en analys av dess teleologiska aspekter för att fastställa vilket intresse som väger tyngst.
B – Den grundläggande rätten till integritet och dess inneboende motsättningar
25. Förevarande mål avser inte två olika grundläggande rättigheter, utan två sidor av samma mynt. Till skillnad från när till exempel rätten till heder står i konflikt med informationsfriheten eller rätten till integritet med äganderätten, är det i förevarande fall fråga om två skyldigheter som båda åvilar myndigheterna, nämligen att föreskriva när register med personuppgifter ska utplånas och att garantera de registrerade personerna tillgång till dessa uppgifter. Detta gör att Rijkeboers mål skiljer sig från andra som domstolen tidigare har avgjort, såsom målet Lindqvist(27) eller målet Promusicae(28), där rätten till integritet stod i konflikt med rätten till religionsfrihet respektive äganderätten.(29) I förevarande fall är det i stället fråga om en enda rättighet med en inneboende motsättning, en rättighet som är kluven i två delar. Det för tankarna till dr Jekyll och mr Hyde, eftersom denna rättighet hyser såväl godhet som en rå och utstuderad grymhet, vilket jag återkommer till nedan.
26. Skyldigheten för registeransvariga att lagra uppgifter gäller bara under en viss tid. Enligt direktiv 95/46 får uppgifter inte förvaras under längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Detta framgår klart av artikel 6 enligt vilken det åligger medlemsstaterna att föreskriva lämpliga tidsfrister beroende på de områden och ändamål på grundval av vilka register skapas och senare utplånas. Trots den flexibilitet som denna bestämmelse innebär för de nationella rättsordningarna, medges enligt artikel 13 i direktiv 95/46 undantag från den nämnda regeln, genom att godta att uppgifter sparas längre än normalt om det är nödvändigt med hänsyn till allmänna intressen som statens säkerhet, bekämpning av brott eller forskning.
27. I redogörelsen för skälen till direktiv 95/46, i vilka denna omständighet inte omnämns, läggs inte någon större vikt vid hur länge uppgifter kan sparas. Det är således enbart i artiklarna 6 och 12 som denna skyldighet tas upp. Med tanke på det stora utrymme för skönsmässig bedömning som direktiv 95/46 ger medlemsstaterna, har gemenskapslagstiftaren enligt min mening inte koncentrerat sig på detta, vilket framgår vid en jämförelse av regleringen av denna skyldighet med regleringen av rätten till tillgång.(30)
28. Möjligheten för en registrerad att få tillgång till uppgifter om honom och begära att de rättas, utplånas eller blockeras, är av central betydelse i direktiv 95/46. Skälen 38 och 40 i det nämnda direktivet ger stöd för denna möjlighet, inte enbart därför att betydelsen av rätten till tillgång bekräftas i dessa skäl, utan även med anledning av det underförstådda förhållandet mellan den information som den registrerade förfogar över och behandlingen av uppgifterna. För att de rättigheter som fastställs i artikel 12 ska kunna utövas, måste det därför finnas ett antal grundläggande principer. I annat fall skulle de skyddsåtgärder som anges i den artikeln sakna betydelse. Detta framgår mycket tydligt av skäl 41, där det fastslås att ”alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten”.(31) Här förklaras de ”principer om uppgifternas kvalitet” som omnämns i kapitel II, avdelning I i direktiv 95/46. Dessa principer omfattar även bestämmelsen om att de inte får sparas ”under en längre tid än vad som är nödvändigt för de ändamål” för vilka uppgifterna samlades in. Skyldigheten att radera registren har samband med skyldigheten att behandla uppgifterna ”på ett korrekt och lagligt sätt” och att säkerställa deras kvalitet för att de ska vara adekvata, relevanta, riktiga och inte mer omfattande än vad som krävs.(32)
C – Huruvida artikel 6 i direktiv 95/46 är accessorisk till artikel 12
29. Det är svårt att göra en intresseavvägning mellan artiklarna 6 och 12 i direktiv 95/46. Mycket talar för att utplånande av uppgifter är av central betydelse i det system som införts genom direktiv 95/46, vilket ligger till grund för den rätt till tillgång som gör det möjligt för enskilda personer att kontrollera att skyldigheten att utplåna uppgifter iakttas. På samma sätt föreskrivs en rätt till skydd i artikel 12, eftersom tillgången utgör den verkligt subjektiva dimensionen i direktivet vilken sammanfattningsvis gör det möjligt för den enskilde att reagera för att försvara sina intressen.
30. Jag hänvisar i detta avseende till det gamla dilemmat om vad som kom först: hönan eller ägget? Kan man leva för evigt med denna fråga och erkänna att den aldrig kommer att få något svar, eftersom båda begreppen är eviga verkligheter som Aristoteles uttryckte det?(33)
31. En domstol kan emellertid inte kosta på sig att tänka så fritt som denne filosof utan måste sträva efter att lämna ett svar, även om det inte alltid är det mest välfunna. I likhet med de vetenskapsmän som har tagit ställning i den eviga kampen mellan hönorna och äggen,(34) dristar jag mig till att föreslå en lösning på konflikten mellan artikel 6 och artikel 12 i direktiv 95/46.
32. Jag drar av det som anförts i punkterna 29–35 i detta förslag till avgörande slutsatsen att enligt direktiv 95/46 förefaller utplånande vara underordnat rätten till tillgång. Enligt direktivet föds en rätt då registret upprättas, vilken försvinner när det utplånas. Utplånandet av uppgifterna är följaktligen endast ett moment i tillgångsrättens liv. Denna egenskap villkoras och motiveras enligt artikel 12.
33. Om man fördjupar sig i denna fråga övertygas man om att rätten till tillgång syftar till att den registrerade ska få kännedom om de uppgifter som avser honom eller henne. Om man därefter undersöker syftet med efterforskningarna, inser man att den registrerade ofta vill veta huruvida uppgifterna om honom har behandlats på ett lagenligt sätt. Enligt direktiv 95/46 ska de registeransvariga följa vissa principer vid utövande av sin verksamhet. I direktivet påpekas även att skyddsmekanismerna, däribland rätten till tillgång, utgör verktyg för den registrerade för övervakning av bestämmelserna och för att säkerställa att de följs.
34. Artikel 12 utgör kärnan i det system med skyddsåtgärder som upprättats genom direktiv 95/46, och skulle sakna logik om den som innehar uppgifter avseende en tredje man inte vore underkastad någon regel alls. I enlighet med kommissionens påpekande vid förhandlingen, föreligger det en rätt till tillgång därför att det finns principer för behandlingen (artikel 6).(35) Denna rätt framstår som en grundpelare i direktivet och framgår av artikel 12, där den nyans som följer av uttrycket ”utan hinder” betonas.(36) Med hänsyn till att syftet med direktiv 95/46 är att erbjuda skydd, vilket är helt inriktat på den registrerade, är det uppenbart att skyldigheten avseende uppgifters bevarande är underordnad rätten till tillgång. Direktivets tydligt subjektiva inriktning och syfte att skydda grundläggande rättigheter (i förevarande fall rätten till integritet), ger stöd för denna uppfattning och placerar de underliggande intressena i artikel 6 på en lägre normativ nivå.
35. Detta resonemang bekräftas av utformningen av artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, vars tolkningsvärde inte är tvistigt.(37) Rätten till tillgång föreskrivs i artikel 8.1. Därefter räknas principerna för behandling upp i artikel 8.2, men i en rangordning enligt vilken den registrerades rätt äger företräde framför de förpliktelser som åvilar den som använder uppgifterna.
36. Mot denna bakgrund och genom att uppmärksamma domstolen på den subjektiva dimensionen i direktiv 95/46, i vilket artikel 12 har en särskild betydelse i förhållande till artikel 6, ska jag nu behandla Raad van States tolkningsfråga.
VII – Personuppgifter och uppgifter om behandling
37. I enlighet med min redogörelse i punkterna 16 och 17 i detta förslag till avgörande, bör två olika analyser göras beroende på vilka omständigheter som föreligger. Det bör således prövas huruvida den tidsfrist inom vilken tillgång till uppgifter kan beviljas är lagenlig, dels när denna frist är snävare än den som gäller för huvuduppgifterna och dels när samma tidsfrist gäller för båda typerna av uppgifter. I det första fallet måste det avgöras huruvida det är tillåtet enligt direktivet att göra denna skillnad i tillgång beroende på vilken sorts uppgifter som avses. Det andra fallet avser frågan huruvida tillgång bör beviljas efter att uppgifterna har utplånats.
38. För att kunna besvara Raad van States fråga på ett klart och tydligt sätt, ska det först klarläggas huruvida den tidsperiod under vilken uppgifter får lagras är samma för alla uppgifter, inklusive uppgifter om behandling, eller om det bör göras åtskillnad mellan olika sorters personuppgifter. Denna skillnad är väsentlig och följer av syftet med respektive uppgiftskategori.
39. Greklands och Republiken Tjeckiens regeringar har vid den muntliga förhandlingen framhållit att varje uppgiftskategori har olika syften. Det ska följaktligen redogöras för fördelarna och nackdelarna med detta resonemang, liksom för dess konsekvenser i målet vid den nationella domstolen.
40. Utplånandet av personuppgifter syftar till att skydda den registrerade. Genom att radera uppgifter undanröjs alla risker för att de behandlas på ett otillåtet sätt. Det finns en viss logik i att det inte anges någon tidsfrist i artikel 6 i direktiv 95/46, eftersom olika register har olika syften. I enlighet med subsidiaritetsprincipen har den nationella lagstiftaren bäst förutsättningar att avgöra hur lång tid de registeransvariga ska ha på sig innan uppgifterna ska utplånas. Uppgifter om behandling utplånas emellertid i andra syften. Det är i det fallet inte fråga om skydd för den registrerade, eftersom denne förlorar kontakten med informationen och inte kan utöva sin rätt till tillgång. De relevanta uppgifterna finns inte längre hos den registeransvarige. Det är i stället tredje man som har mottagit uppgifterna som gynnas av detta utplånande, eftersom vederbörandes identitet och avsikter även raderas.
41. Genom denna ståndpunkt betonas de latenta begreppsmässiga svårigheter som föreligger i förvarande mål. Det stämmer att man kan skilja mellan utplånande av uppgifter och av uppgifter om behandlingen.(38) Det handlar om olika rättsliga begrepp, med oberoende funktioner som regleras på olika sätt i direktiv 95/46. Om detta resonemang ställs på sin spets får det emellertid oönskade konsekvenser. För det första saknar denna åtskillnad direkt stöd i direktiv 95/46. Artikel 6 avser utplånande av uppgifter in totum, medan artikel 12 visserligen innehåller en uppräkning av olika sorters information, dock enbart i syfte att ge rätten till tillgång ett innehåll och inte för att göra en åtskillnad.(39) För det andra ska rätten till tillgång, enligt en vidsträckt tolkning, utövas ”utan hinder”. Som jag ska återkomma till nedan går det att sätta gränser för hur starkt denna rättighet får skyddas beroende på omständigheterna. Förekomsten av en första och en andra klassens rätt till tillgång är emellertid utesluten enligt ordalydelsen i artikel 12. För det tredje har kommissionen, Konungariket Spanien och Förenade kungariket i samband med förhandlingen framhållit att det finns ett tekniskt samband mellan de båda typerna av uppgifter. De behandlas vanligtvis i samma register och den gemensamma hanteringen av dem medför inte en alltför stor belastning för de registeransvariga.
42. Jag utesluter följaktligen att uppgifter avseende behandlingen skulle utgöra en särskild uppgiftskategori och vara föremål för en särskild rättslig reglering. Uppgifter avseende behandlingen, har samband med de personuppgifter som behandlas. De anger nämligen hur och på vilka villkor uppgifterna har hanterats, och har enligt min mening stor betydelse för gemenskapsrättens definition av begreppet ”uppgifter”, i den mening som avses i artikel 2 a i direktiv 95/46. För att kunna ge ett användbart svar till den hänskjutande domstolen, ska detta påstående förtydligas mot bakgrund av de två fall som jag redogör för i punkterna 16 och 17 i detta förslag till avgörande.
VIII – Det första fallet: uppgifter om behandling får lagras under kortare tid
43. Raad van States fråga förefaller avse den bestämmelse i nederländsk lagstiftning enligt vilken personuppgifter ska sparas under längre tid, medan uppgifter om behandlingen ska raderas redan efter ett år. I begäran av förhandsavgörande ges dock inte någon närmare information om uppgifterna i fråga i målet vid den nationella domstolen och jag föreslår följaktligen att detta första svar ges med beaktande av ovannämnda fall.
44. Det görs enligt min mening, av de skäl som anförs i punkterna 37 och 42 i detta förslag till avgörande, inte någon åtskillnad mellan personuppgifter och uppgifter rörande behandlingen i direktiv 95/46. Med anledning av de lagringssvårigheter som denna inställning medför, anser jag att gränsen för hur länge uppgifter får sparas enligt artikel 6 i direktiv 95/46 ska vara densamma för båda uppgiftssorterna. Även om syftet med utplånande varierar beroende på vilka uppgifter det är fråga om, är det svårt att föreställa sig olika regler som grundar sig på en sådan onaturlig uppdelning, framför allt eftersom det är fråga om en grundläggande rättighet.
45. Som framgår av punkterna 29–35 i detta förslag till avgörande, ges i direktivet företräde till rätten till tillgång. Skyldigheten att utplåna är således underordnad denna rätt. För att detta syfte ska bättre efterlevas, ges såväl personuppgifterna som uppgifterna om behandling bättre skydd om de sparas under lika lång tid.
46. Lagringstiden framstår i vissa fall som lång, vilket emellertid är motiverat av hänsyn till allmänintresset, som även kan åberopas för att förlänga lagringen av uppgifter om behandling. När lagringstiden blir överdrivet lång därför att uppgifterna ska användas för historiska, statistiska eller vetenskapliga ändamål, måste medlemsstaterna enligt direktiv 95/46 vidta särskilda åtgärder för att anpassa användningen av dessa uppgifter till de omständigheter som motiverar en förlängd lagringstid.(40) Andra åtgärder enligt vilka den person som uppgifterna avser skyddas, ska således fastställas, men måste vara anpassade till de historiska eller kulturella ändamål som anges i artikel 6 e i direktiv 95/46.
47. Som College har påpekat i sina skriftliga yttranden och bekräftat vid förhandlingen, finns det dessutom andra begränsningar av denna skyldighet att lagra uppgifter om behandling under lika lång tid som personuppgifter. Enligt min mening är det exempel som College har redogjort för av avgörande betydelse. Det avser skyddet för uppgifter om tredje man, som då i sin tur skulle åtnjuta skydd genom direktiv 95/46. Detta innebär emellertid inte att den som de utlämnade uppgifterna avser helt berövas sina rättigheter. Detta villkor innebär, enbart med avseende på mottagarens personuppgifter, att den som de ursprungliga uppgifterna rör omfattas av samma begränsningar som alla andra som lämnar ut uppgifter enligt direktiv 95/46.
48. Om samma tidsfrist för utplånande tillämpas på personuppgifter och uppgifter om behandling, behöver det således inte göras någon bedömning av huruvida den tidsfrist på ett år som föreskrivs i den nederländska lagstiftningen är proportionerlig. Om personuppgifter hade fått sparas under längre tid än uppgifter om behandling, hade svaret på tolkningsfrågan varit klart nu.
49. Om andra regler skulle ha tillämpats i målet hade svaret på tolkningsfrågan varit annorlunda, i den mån tidsfristerna vore desamma och den registrerade bett att få tillgång till uppgifter som redan hade utplånats.
IX – Det andra fallet: båda typerna av uppgifter får lagras under lika lång tid
A – Den ordagranna lydelsen av artikel 12 i direktiv 95/46
50. Konungariket Spanien, Republiken Tjeckien och Nederländerna hänvisar till lydelsen av artikel 12 a andra strecksatsen och menar att det i den artikeln fastställs ett samband mellan tillgången till uppgifter och utplånandet av desamma, som föreskrivs i artikel 6. Enligt den bestämmelsen ska medlemsstaterna säkerställa att varje registrerad har ”rätt att från den registeransvarige få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer”. Av ordalydelsen i den bestämmelsen följer att rätten till tillgång enligt direktiv 95/46 endast omfattar sådana uppgifter som behandlas och således inte de uppgifter som efterfrågas när de inte längre behandlas, det vill säga efter att de har utplånats. Denna tolkning bekräftas vid en jämförelse av de olika språkversionerna, vilka skiljer sig åt med avseende på hur tydligt de klargör att denna rätt är tidsbegränsad och beständig.
51. Detta argument är inte övertygande för även om det i den engelska versionen talas om uppgifter ”undergoing processing”,(41) är den spanska versionen mer oklar. Jag medger att en restriktiv tolkning av formuleringen skulle stämma bättre överens med skyldigheten att utplåna i artikel 6. Denna jämförelse av olika språkversioner borde emellertid inte ha någon avgörande betydelse, särskilt inte då det finns skäl att, vilket jag ska återkomma till, bortse från formuleringen i artikel 12.(42)
52. Jag delar inte heller Konungariket Spaniens uppfattning att ytterligare ett undantag måste läggas till artikel 12, utöver dem som återfinns i artikel 13 i direktiv 95/46.(43) Spaniens regering har godtagit att tillgången till uppgifter som behandlas är begränsad och anser att det utöver villkoren i artikel 13 finns ytterligare ett som är underförstått och som härrör från den ovannämnda bestämmelsen i artikel 6 i direktiv 95/46. Jag finner inte denna förklaring övertygande, utan anser att den understödjer den ståndpunkt som den vänder sig mot. Om artikel 13 innehåller undantagen till en omfattande rätt till tillgång, bör dessa undantag nämligen ges en restriktiv tolkning. Om det skulle anses att undantag från dessa villkor inte ska ges en vidsträckt tolkning, vore det än mer oacceptabelt att skapa andra kategorier ex novo.
53. Mot bakgrund av ordalydelsen i bestämmelserna i direktiv 95/46, anser jag att rätten till tillgång inte bör tolkas restriktivt. Denna motivering leder inte till en enhetlig syn på tidsfristen, eftersom rätten till tillgång äger företräde framför skyldigheten att utplåna uppgifter enligt den interna rangordningen i direktiv 95/46. Utplånandet av uppgifter utgör således en gräns för tillgången, som enbart är tillåten om vissa garantier är uppfyllda. Utövandet av denna rätt bör med andra ord förenas med villkor (till exempel genom att ange en tidsfrist), förutsatt att den registrerade har erhållit skydd på annat sätt. Om detta inte är fallet, finns det tidsfrister för utplånande som är otillåtna eftersom de strider mot rätten till tillgång, vilket inte innebär att uppgifterna bör särskiljas och att de ansvariga bör tvingas att för evigt spara uppgifter om behandling. Det innebär att tidsfristen för utplånande måste flyttas fram så att tillgången säkerställs.
54. Jag anser följaktligen att tidsfristen för utplånande även utgör en inskränkning av rätten i artikel 12 i direktiv 95/46. Denna tidsfrist kan emellertid strida mot direktivet om den i alltför hög grad försvårar fullgörandet av de syften det eftersträvar.
B – Ett undantag från regeln: informationen till den registrerade
55. Av ovan anförda skäl anser jag att tidsfristen för utplånande utgör hinder för utövande av rätten till tillgång, även om det under vissa förhållanden uppstår ett glapp mellan tidsfristerna för utplånande och för tillgång. Med glapp avses risken för att tiden är proportionerlig med avseende på utplånande och oproportionerlig med avseende på tillgång eller tvärtom. Jag är medveten om de komplikationer som detta synsätt medför i praktiken, men denna effekt kan uppstå under mycket speciella omständigheter, nämligen om den berörda personen har fått otillräcklig information om sina rättigheter.
56. Såsom Republiken Grekland och kommissionen har påpekat blir detta resultatet om det föreligger ett informationsunderskott till förfång för den registrerade. Enligt artiklarna 10 och 11 i direktiv 95/46 föreligger nämligen en skyldighet att lämna olika sorters information till den berörda personen och/eller inhämta tillstånd från vederbörande, däribland information om huruvida uppgifterna utlämnats till tredje man. Denna skyldighet är vagt formulerad, vilket medför ett omfattande handlingsutrymme för varje medlemsstat. Lösningen i ett mål som det förevarande beror av hur dessa skyldigheter har utformats i varje enskild nationell rättsordning. Det finns inget som hindrar att den som innan uppgifterna lämnades ut inte hade fått information om mottagarens identitet, eller om inom vilken tid rätten till tillgång får utövas, beviljas ett utökat skydd.(44) Denna slutsats är förenlig med det företräde som ges åt den registrerades subjektiva rätt enligt direktiv 95/46, vars begränsning måste ske på ett sådant sätt att utövandet säkerställs även om uppgifterna har utplånats.
57. Om denna tes tillämpas leder förfarandet i vissa fall till en dom som inte kan verkställas. Om College på eget initiativ har utplånat alla uppgifter om Rijkeboer som är mer än ett år gamla, riskerar den berörda personens begäran att mynna ut i intet. Det är uppenbart att Rotterdams kommun inte kan tillhandahålla något som den inte längre har. Det är möjligt att detta problem även återfinns i andra nationella rättsordningar, men bara under en viss tid, nämligen till den tidpunkt då den lagstiftning som inte är förenlig med gemenskapsrätten har anpassats. Under tiden återstår emellertid en möjlighet för den berörda personen: att väcka skadeståndstalan mot staten för åsidosättande av gemenskapsrätten. Även om det inte ger något resultat som är fullt godtagbart för individen, ger dessa bestämmelser åtminstone en ekonomisk ersättning som det ankommer på de nationella domstolarna att bevilja.(45)
58. Förevarande mål bör slutligen avgöras genom, för att använda ett amerikanskt uttryck, en hard look i ett proportionalitetsperspektiv,(46) om Raad van State finner att det föreligger informationsbrister i målet vid densamma. I sådana fall är det nödvändigt att tidsfristen för utplånande inte automatiskt utgör hinder för rätten till tillgång. Proportionalitetskontrollen ska utföras med en högsta skyddsnivå, vilket gör det svårt att godta en så kort tidsfrist som ett år.
59. Jag instämmer i detta sammanhang med dem som uppfattar utplånande av uppgifter och tillgång till desamma som två sidor av samma mynt, på vilka en och samma tidsfrist är tillämplig. Det utplånande av uppgifter som föreskrivs i artikel 6 i direktiv 95/46 avser alla informationsaspekter, inklusive utlämning till tredje man. Följaktligen fungerar tidsfristen för radering indirekt även som en tidsfrist för rätten till tillgång. Om det görs en uppdelning i olika uppgiftskategorier med avseende på tillgången till desamma, skapas en åtskillnad som inte föreligger enligt direktiv 95/46 och vars ändamålsenliga verkan inte är uppenbar.(47)
60. Undantag härifrån är möjliga om det brister i insynen i den information som den berörda personen erhåller om sina rättigheter. Under sådana förhållanden kan tidsfristen för när utplånande ska ske förlängas för att bevara rätten till tillgång.
C – Tidsfristen ett år och proportionalitetsprincipen
61. Den nederländska lagstiftningen innehåller särskilda regler för hur kommunerna ska hantera personuppgifter. I denna lagstiftning föreskrivs en allmän tidsfrist på ett år för utplånande av uppgifter. Jag har tidigare redogjort för varför denna period bör bedömas mot bakgrund av såväl artikel 6 som artikel 12 i direktiv 95/46. Det bör även klarläggas huruvida denna tidsfrist är förenlig med proportionalitetsprincipen, vars tillämplighet är en förutsättning för ovannämnda artiklar eftersom båda skänker mening åt en grundläggande rättighet.
62. Förenade kungarikets, Konungariket Spaniens och Republiken Tjeckiens regeringar har lagt ned stor möda på att motivera hur svårt det är att säkerställa rätten till tillgång när uppgifterna har raderats. De har av denna anledning ägnat mindre uppmärksamhet åt tidsfristen i fråga. Greklands regering och College har emellertid i sina yttranden hänvisat till konsekvenserna av den nederländska tidsfristen mot bakgrund av direktiv 95/46 och proportionalitetsprincipen. Enligt Grekland och kommissionen är denna tidsperiod för kort och därför oförenlig med gemenskapsrätten. College har gjort gällande att denna tidsfrist är acceptabel och hänvisar till det nederländska systemets speciella drag, som innebär att den korta tidsfristen kompenseras av andra åtgärder för att skydda den registrerade.
63. Innan en bedömning görs av om den nederländska tidsfristen är proportionerlig ska rättspraxis undersökas, eftersom domstolen tidigare har prövat liknande tidsfrister. Av domstolens praxis följer att hänsyn måste tas till omständigheterna i varje enskilt fall och att kontrollen därför ska vara mer eller mindre strikt beroende på sammanhanget.(48) För det fall grundläggande rättigheter kan ha åsidosatts bör en ingående granskning göras av tidsfristen för deras utövande.(49) Denna kontroll är emellertid beroende av olika faktorer.
64. Jag har ovan i punkterna 55–60 i detta förslag till avgörande påpekat att det ska beaktas i vilken mån den registrerade har erhållit information under behandlingen, varvid nedanstående kriterier kan nämnas.
65. Enligt artiklarna 10 och 11 i direktivet har den registrerade rätt att få information om olika förhållanden, bland annat identiteten av ”mottagarna eller de kategorier som mottar uppgifterna …, i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlades in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling”. I de två artiklarna görs åtskillnad mellan uppgifter som har samlats in från den registrerade och dem som har ett annat ursprung. I båda fallen måste emellertid information lämnas om uppgifter som har lämnats ut till tredje man.
66. Den nationella lagstiftaren har stort utrymme att närmare reglera den skyldighet som följer av de nämnda artiklarna 10 och 11 i direktiv 95/46. Dessa artiklar syftar emellertid till att individen ska få kännedom om att uppgifter avseende honom eller henne har lämnats ut, för att vederbörande ska kunna få information om hur uppgifterna har behandlats, och kontrollera att det har skett i enlighet med principerna i artikel 6 i direktiv 95/46. Informationen varierar emellertid från fall till fall och det är den hänskjutande domstolens uppgift att avgöra om den nederländska lagstiftningen och den kommunala praxis som är förknippad med den är förenliga med bestämmelserna i artiklarna 10 och 11. Det bör klarläggas huruvida Rijkeboer har informerats om att uppgifterna lämnats ut och om den tidsperiod på ett år inom vilken han kunde göra gällande sin rätt till tillgång. Medlemsstaterna är inte tvungna att informera om tidsfristen, då detta inte föreskrivs i artiklarna 10 och 11.(50) När en bedömning görs av periodens längd är det emellertid av stor betydelse att veta om den berörda personen har informerats om denna. Om den registeransvarige inte har informerat härom, är det svårt att motivera att en så kort tidsperiod som ett år skulle vara förenlig med proportionalitetsprincipen och därmed med direktiv 95/46.
67. Det är även av betydelse vilken sorts information som har lämnats. Enligt direktivet kan den information som ska lämnas innefatta mottagarnas identitet, men även ”de kategorier som mottar uppgifterna”. I det sistnämnda fallet framgår det inte alltid av de tillhandahållna förteckningarna vilka som har fått tillgång till uppgifterna, vilket innebär att den registrerade hamnar i ett underläge när han ska göra gällande sin rätt till tillgång. Det ankommer på den nationella domstolen att avgöra i vilken mån Rijkeboer har informerats om vilka mottagarna var och på vilka villkor denna information har lämnats ut. Med avseende på denna prövning, bör en mer detaljerad kontroll göras av tidsfristen när den registrerade inte har informerats om tredje mans identitet, eftersom denne då kan misstänka att uppgifterna inte har behandlats i enlighet med principerna i artikel 6.
68. Det är slutligen nödvändigt att fastställa vissa regler om bevisbördan. Rijkeboer, som omfattas av en grundläggande rättighet, har tvingats vända sig till domstol för att få reda på hur hans personuppgifter har behandlats.(51) Huruvida villkoren i direktiv 95/46 är uppfyllda beror på ett antal enskilda faktorer som har sitt ursprung i den nationella lagstiftningen i sig och i den kommunala förvaltningens praxis. Rijkeboer har i målet åberopat sin grundläggande rättighet, men han bör inte behöva bevisa att hans hemlands lagstiftning är bristfällig på detta område. Såsom jag har anfört i punkterna 29–35 i detta förslag till avgörande, talar nämligen utformningen av direktiv 95/46 för att rätten till tillgång kommer i första hand och att alla undantag från detta måste bedömas med stor försiktighet. Eftersom den subjektiva dimensionen har företräde i gemenskapens bestämmelser om skydd av uppgifter, åligger det den registeransvarige att styrka att den rättsliga regleringen och rutinerna för behandling erbjuder ett skydd som motiverar en så kort tidsfrist som ett år för att utöva den rättighet som föreskrivs i artikel 12 i direktiv 95/46.
69. College har i sitt yttrande i förevarande förfarande avseende begäran om förhandsavgörande tillhandahållit vissa indikationer i detta avseende. Genom den nationella lagstiftningen inrättas ett system med krafter och motkrafter (”checks and balances” som College uttrycker det), enligt vilket rätten till tillgång förenas med vissa skyddsåtgärder, såsom restriktioner rörande mottagare, kopplingen till särskilda ändamål i vissa fall, föregående inhämtande av tillstånd från den registrerade eller en kontrollmekanism för vilken en oberoende myndighet ansvarar. Enligt College har den registrerade dessutom fått information om tidsfristen på ett år, såväl individuellt som kollektivt (via Internet och i broschyrer som delas ut till allmänheten).(52)
70. Jag är medveten om de konsekvenser som förevarande mål kan få för registeransvariga som omfattas av direktiv 95/46. Det prioriterade värde som består i att skydda den enskilde medför emellertid att det måste ske en avvägning mellan säkerställandet av rättigheterna och en effektiv hantering av registren. Artiklarna 6 och 12 i direktiv 95/46 bör således tolkas så att de är oförenliga med en tidsfrist på ett år för att utöva rätten att få tillgång till uppgifter om behandling, om
– den registrerade inte har informerats om att uppgifter har lämnats ut, eller
– den registrerade har informerats om detta men inte om tidsfristen, eller
– den registrerade har informerats om detta men inte fått tillräcklig information om mottagarnas identitet.
71. Eftersom det handlar om en grundläggande rättighet måste College visa att de nationella bestämmelserna och myndigheternas praxis säkerställer en informationsnivå som är lämplig för den registrerade, och möjliggör för vederbörande att utan hinder göra gällande sin rätt till tillgång.
72. Mot bakgrund av ovanstående kriterier och de rättsliga och faktiska omständigheter som har redovisats, såväl i förevarande mål som i målet vid den nationella domstolen, ankommer det på Raad van State att tillämpa artiklarna 6 och 12 i direktiv 95/46 i enlighet med det som anförs i punkterna 70 och 71 i detta förslag till avgörande.
X – Förslag till avgörande
73. Mot bakgrund av ovanstående överväganden föreslår jag att domstolen ska besvara den tolkningsfråga som Raad van State har hänskjutit på följande sätt:
Information om behandling av uppgifter som omfattar uppgifter avseende utlämnande till tredje man utgör personuppgifter i den mening som avses i artikel 2 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. För att säkerställa en ändamålsenlig verkan av direktiv 95/46 bör samma tidsfrist för utplånande gälla för uppgifter om behandling som för personuppgifter, med förbehåll för de rättigheter och skyldigheter som enligt det nämnda direktivet gäller för tredje man till vilken uppgifterna har lämnats ut.
En tidsfrist på ett år för att utöva rätten till tillgång till uppgifter om behandling är inte förenlig med artiklarna 6 och 12 i direktiv 95/46, om
– den registrerade inte har informerats om att uppgifter har lämnats ut, eller
– den registrerade har informerats om detta men inte om tidsfristen, eller
– den registrerade har informerats om detta men inte fått tillräcklig information om mottagarnas identitet.
Det åligger den registeransvarige att visa att en informationsnivå som är lämplig för den registrerade säkerställs genom de nationella bestämmelserna och myndigheternas praxis, så att vederbörande utan hinder kan utöva sin rätt till tillgång.