FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT PAOLO MENGOZZI
fördraget den 1 februari 2018(1)
Mål C‑25/17
Tietosuojavaltuutettu
mot
Jehovan todistajat – uskonnollinen yhdyskunta
(begäran om förhandsavgörande från Högsta förvaltningsdomstolen, Finland)
”Begäran om förhandsavgörande – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46/EG – Tillämpningsområde – Begreppet verksamhet av rent privat natur eller som har samband med en persons hushåll – Insamling och behandling av personuppgifter som medlemmar i ett religiöst samfund utför i predikoarbete, som de utför genom dörrknackning – Religionsfrihet – Artikel 10 i Europeiska unionens stadga om de grundläggande rättigheterna – Begreppet register – Begreppet registeransvarig”
1. Omfattas samfundet Jehovas vittnen av unionsrättens regler avseende skydd av personuppgifter på grund av att dess medlemmar kan behöva föra anteckningar över samtalsinnehåll när de knackar dörr för att utföra sitt predikoarbete, i synnerhet anteckningar avseende de besökta personernas religiösa övertygelse? Det är i huvudsak denna fråga som är föremål för förevarande begäran om förhandsavgörande.
I. Tillämpliga bestämmelser
A. Unionsrätt
2. Av skäl 12 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter(2) framgår att ”principerna för skyddet måste gälla för all behandling av personuppgifter som utförs av en person vars verksamhet regleras av gemenskapsrätten. En fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk, såsom korrespondens eller förande av adressregister, skall dock inte omfattas”.
3. Av skäl 27 i direktiv 95/46 framgår att ”enskilda personer skall skyddas både i samband med automatisk databehandling av uppgifterna och i samband med manuell behandling. Omfattningen av detta skydd får inte faktiskt bero på den teknik som används eftersom detta skulle kunna skapa en allvarlig risk för kringgående. När det gäller manuell behandling omfattar detta direktiv endast register och inte ostrukturerade akter. Särskilt innehållet i ett register måste vara strukturerat efter bestämda kriterier som avser enskilda personer, för att lätt ge tillgång till personuppgifter. I enlighet med definitionen i artikel 2 c kan de olika kriterier som gör det möjligt att fastställa de enskilda delarna av en strukturerad samling personuppgifter och de olika kriterier som reglerar möjligheten att få tillgång till en sådan samling utformas av varje medlemsstat. Akter eller grupper av akter liksom dessas omslag, vilka inte är strukturerade enligt särskilda kriterier, faller inte under några omständigheter inom detta direktivs tillämpningsområde.”
4. Artikel 2 i direktiv 95/46 har följande lydelse:
”I detta direktiv avses med:
a) personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet,
b) behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring,
c) register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,
d) registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten,
e) registerförare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning,
…”
5. I artikel 3 i direktiv 95/46 stadgas följande:
”1. Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2. Detta direktiv gäller inte för sådan behandling av personuppgifter
– som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,
– av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”
6. I artikel 8.1 i direktiv 95/46 stadgas att ”medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv”. Vidare stadgas i artikel 8.2 d att ”punkt 1 [inte gäller] om behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke …”.
B. Nationell rätt
7. Direktiv 95/46 införlivades med den finländska rättsordningen genom personuppgiftslag 523/1999.
8. I 3 § 3 punkten personuppgiftslagen stadgas att lagen avser med personregister ”en datamängd som innehåller personuppgifter och som består av anteckningar som hör samman på grund av sitt användningsändamål, och som helt eller delvis behandlas med automatisk databehandling eller har ordnats som ett kartotek, en förteckning eller på ett annat motsvarande sätt så att information om en bestämd person kan erhållas med lätthet och utan oskäliga kostnader”.
9. I 11 § personuppgiftslagen stadgas att behandling av känsliga personuppgifter är förbjuden, inbegripet uppgifter om religiös övertygelse. I enlighet med 12 § personuppgiftslagen är emellertid behandling av uppgifter som gäller religiös övertygelse tillåten när uppgifterna samlas in i den verksamhet som föreningar eller sammanslutningar som representerar sådana övertygelser bedriver, om uppgifterna gäller medlemmarna i dessa föreningar eller sammanslutningar eller personer som har regelbundna kontakter med dem och dessa uppgifter har samband med föreningarnas och sammanslutningarnas syften och uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke.
10. I 44 § personuppgiftslagen anges att datasekretessnämnden, på ansökan av dataombudsmannen, kan förbjuda sådan behandling av personuppgifter som strider mot denna lag eller de bestämmelser och föreskrifter som utfärdats med stöd av den, samt förplikta den som saken gäller att inom utsatt tid rätta det som har utförts i strid med lag eller som har försummats.
II. Målet vid den nationella domstolen, tolkningsfrågorna och förfarandet vid domstolen
11. På begäran av Tietosuojavaltuutettu (dataombudsmannen), som är klagande i det nationella målet, antog finländska datasekretessnämnden (nedan kallad nämnden) den 17 september 2013 ett beslut om att förbjuda samfundet Jehovas vittnen (motpart i det nationella målet, nedan kallad samfundet) att samla in och behandla personuppgifter i samband med sitt predikoarbete genom dörrknackning så länge samfundet inte uppfyller de krav som uppställs i personuppgiftlagen i fråga om behandling av personuppgifter. Nämnden fann sålunda att samfundet och dess medlemmar ansvarade för behandling av känsliga personuppgifter i den mening som avses i personuppgiftslagen. Nämnden förpliktade samfundet att inom sex månader rätta sig efter beslutet.
12. Samfundet överklagade beslutet till domstolen i första instans med åberopande av att behandling av personuppgifter uteslutande utfördes för personliga syften i den mening som avses i personuppgiftslagen. I dom av den 18 december 2014 undanröjde domstolen i första instans nämndens beslut med motiveringen att samfundet inte hade behandlat personuppgifter på ett lagstridigt sätt.
13. Dataombudsmannen överklagade domen till den hänskjutande domstolen och yrkade att domen av den 18 december 2014 skulle upphävas.
14. Den hänskjutande domstolen har gett följande beskrivning av den verksamhet som utförs av samfundets medlemmar: Inom ramen för predikoverksamheten ägnar sig medlemmarna åt dörrknackning, för anteckningar över de samtal som förs med de besökta personerna vilka, i princip, är okända för dem. Uppgifterna samlas in och sparas som minnesanteckningar för att användas vid återbesök. De besökta personerna, vars uppgifter finns antecknade av samfundets medlemmar, underrättas inte om vare sig denna insamling eller om behandlingen av personuppgifterna. Insamlingen sker genom användning av kartotek eller förteckningar. Uppgifterna innefattar namn, adress samt en sammanfattning av samtalsinnehållet, bland annat avseende religiös övertygelse samt familjeförhållanden. Den hänskjutande domstolen har angett att predikoverksamheten organiseras av samfundet, på så sätt att samfundet kartlägger områden och delar upp arbetsfält mellan medlemmarna. Församlingarna för register över predikanterna och anger antalet publikationer som delas ut samt antalet timmar som varje medlem ägnar åt predikoverksamheten.
15. Samfundet har redan i en egen tidskrift meddelat anvisningar om hur anteckningar ska föras.(3) Ursprungligen samlades uppgifterna in med hjälp av formulär. Till följd av dataombudsmannens rekommendation upphörde dock samfundet att uppmuntra till användning av formulär. Vidare håller samfundets församlingar en förteckning, en så kallad förbudslista, över de personer som uppgett att de inte är intresserade av att få återbesök av samfundets medlemmar. Enligt dataombudsmannen är denna lista förenlig med personuppgiftslagen.
16. Dataombudsmannen har vid den hänskjutande domstolen anfört att de uppgifter som samlas in av samfundets medlemmar inom ramen för predikoarbetet utgör ett register i och med att uppgifterna fyller samma ändamål och att de lagras i syfte att användas som minnesanteckningar vid återbesök. Behandlingen av uppgifter som samlas in medels individuella anteckningar styrs och organiseras ingående av samfundet, vilket därigenom utövar ett faktiskt inflytande över uppgifternas insamling och behandling. Mot denna bakgrund ska samfundet och dess medlemmar betraktas som ”registeransvariga”.
17. Samfundet har för sin del anfört att predikoverksamheten, inom ramen för vilken medlemmarna i förekommande fall för anteckningar, faller under personlig religionsutövning. Anteckningar förs därmed endast för rent personliga ändamål. Anteckningar och den eventuellt därpå följande behandlingen av insamlade uppgifter sker oberoende av samfundets existens, vilket innebär att samfundet inte utövar något inflytande, även om samfundet erkänner att det utformar anvisningar samt ger andlig vägledning beträffande medlemmarnas skyldighet att delta i missionsverksamheten. Medlemmarnas anteckningar lämnas inte ut till samfundet och samfundet har inte tillgång till dem. Det finns inget system som sammanför uppgifterna och som möjliggör sökning i dem. Samfundet har påstått att det saknar kännedom om vilka medlemmar som för anteckningar efter varje avslutad besöksrunda. Uppgiftsinsamlingen utförs enbart med hjälp av offentliga källor, såsom nummerupplysningstjänster, och uppgifterna förstörs så snart de inte längre bedöms vara relevanta. De uppgifter som samlas in på medlemmarnas eget initiativ utgör inte register och samfundet kan inte betraktas som registeransvarig. De danska, nederländska, och norska myndigheterna har gjort samma bedömning, det vill säga att verksamheten i fråga varken omfattas av tillämpningsområdet för den nationella lagen avseende insamling och behandling av personuppgifter eller strider mot en sådan lag.
18. Den hänskjutande domstolen anser det lämpligast att först fastställas personuppgiftslagens tillämpningsområde, vilket motsvarar tillämpningsområdet för direktiv 95/46.(4) Mot bakgrund av domstolens praxis omfattas inte insamling och behandling av personuppgifter som utförs inom ramen för religionsutövning, såsom predikoverksamhet, av undantaget som föreskrivs i artikel 3.2 första strecksatsen i direktiv 95/46. Det råder emellertid fortfarande osäkerhet om huruvida predikoverksamhet är att betrakta som verksamhet av rent privat natur eller som har samband med personens hushåll i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46. Vid denna bedömning är den hänskjutande domstolen osäker på betydelsen av den vägledning som anges i skäl 12 i direktiv 95/46 – i och med att de insamlade uppgifterna förefaller gå utöver de uppgifter som typiskt sett samlas in vid förande av adressregister, i synnerhet med beaktande av att dessa uppgifter kan vara känsliga och röra personer som är okända för medlemmarna – i förhållande till klargörandet som gjorts i skäl 18 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46(5) samt den roll samfundet spelar. Den hänskjutande domstolen utgår från att fastställandet av tillämpningsområdet för artikel 3.2 andra strecksatsen i direktiv 95/46 förutsätter en avvägning mellan, å ena sidan, den grundläggande rätten till respekt för privatlivet och, å andra sidan, den lika grundläggande religionsfriheten, för vilken predikoverksamhet är ett uttryck.
19. Vidare hyser den hänskjutande domstolen tvivel rörande innebörden av begreppet register i den mening som avses artikel 2 c i direktiv 95/46, mot bakgrund av den omständigheten att om verksamheten i fråga inte omfattas av undantaget enligt artikel 3.2 andra strecksatsen i direktiv 95/46 och i avsaknad av automatisk databehandling kommer nämnda direktiv enbart tillämpas om uppgifterna ingår i ett ”register”. Den hänskjutande domstolen har betonat att det gemensamma mål som eftersträvas med medlemmarnas anteckningar är att använda dessa som stöd för minnet och underlätta sökning efter uppgifter om personer i samband med återbesök.
20. Slutligen undrar den hänskjutande domstolen om samfundet, ensamt eller tillsammans med sina medlemmar, kan betraktas som registeransvarig i den mening som avses i artikel 2 d i direktiv 95/46 i och med att det har ett faktiskt inflytande över medlemmarnas verksamhet, utan att för närvarande ge skriftliga förhållningsorder eller anvisningar. Begreppet registeransvarig förefaller ges en vid tolkning i domstolens rättspraxis(6) och den hänskjutande domstolen har särskilt framhållit att samfundet – även om det kanske inte har tillgång till de insamlade uppgifterna – har en roll som befrämjare av predikoarbete genom dörrknackning och tidigare har meddelat anvisningar avseende uppgiftsinsamling till sina medlemmar samt tillhandahållit formulär för det ändamålet.
21. Mot denna bakgrund har Högsta förvaltningsdomstolen vilandeförklarat målet och genom beslut om hänskjutande som inkom till kansliet den 19 januari 2017 ställt följande tolkningsfrågor till domstolen:
”1) Ska de undantag från tillämpningsområdet för [direktiv 95/46] som anges i artikel 3.2 andra strecksatsen i direktivet tolkas så, att direktivet inte omfattar insamling och annan behandling av personuppgifter som medlemmar i ett religiöst samfund utför i predikoarbete, som de utför genom att gå från dörr till dörr? Vilken betydelse för direktivets tillämplighet har å ena sidan det att uppgifterna samlas in i predikoverksamhet som organiseras av ett religiöst samfund och dess församlingar och å andra sidan det att det samtidigt även är fråga om personlig religionsutövning av medlemmar i ett religiöst samfund?
2) Ska den definition av ett register som finns i artikel 2 c i direktiv [95/46], med beaktande av styckena 26 och 27 i skälen till direktivet tolkas så, att den helhet av personuppgifter (uppgifter om namn och adress samt eventuella andra uppgifter om personen i fråga eller karakteristisk av honom eller henne) som samlas in manuellt i samband med ovan nämnda predikoarbete från dörr till dörr
a) inte bildar ett sådant register, då det till denna helhet av uppgifter inte på det sätt som framgår av den finska personuppgiftslagen finns något bestämt kartotek, någon bestämd förteckning eller annat motsvarande arrangemang för sökning i uppgifterna, eller
b) bildar ett sådant register, då det bland uppgifterna med hänsyn till deras användningsändamål på det sätt som förutsätts i den finska personuppgiftslagen de facto med lätthet och utan oskäliga kostnader kan sökas fram behövliga uppgifter för senare bruk?
3) Ska satsen i artikel 2 d i direktiv [95/46] ”som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter” tolkas så, att ett religiöst samfund, som organiserar en verksamhet i anslutning till vilken personuppgifter samlas in (bland annat genom uppdelning av arbetsfält mellan predikanterna, uppföljning av deras arbete och genom att register förs över personer som inte önskar besök av predikanterna), kan betraktas som registeransvarig beträffande den behandling av personuppgifter som dess medlemmar utför, trots att enligt samfundet enstaka förkunnare har tillgång till de uppgifter som de registrerat?
4) Ska nämnda artikel 2 d tolkas så, att ett samfund för att betraktas som registeransvarig ska vidta också andra uttryckliga åtgärder, såsom att ge order eller meddela skriftliga anvisningar om insamlingen av uppgifterna, eller räcker det att samfundet anses ha en faktisk ställning i styrningen av medlemmarnas verksamhet?”
22. I det nu aktuella målet har skriftliga yttranden ingetts av motparten, den finländska, den tjeckiska och den italienska regeringen, samt Europeiska kommissionen.
23. Vid förhandlingen den 28 november 2017 har yttranden avgetts av dataombudsmannen, samfundet, den finländska regeringen och kommissionen.
III. Bedömning
A. Domstolens behörighet
24. Den aktuella begäran om förhandsavgörande kännetecknas av att samfundet med kraft har bestritt de faktiska omständigheter som dataombudsmannen tillhandahållit och som lagts fram av den hänskjutande domstolen. Samfundet har gjort gällande att domstolen borde avstå från att besvara de frågor som ställts av Högsta förvaltningsdomstolen i enlighet med målet Meilicke.(7)
25. I detta mål erinrade domstolen om de ”spelregler” som gäller vid dialogen mellan domstolar vid förhandsavgöranden. Även om domstolen i princip är skyldig att besvara de av den nationella domstolen ställda frågorna och den nationella domstolen är den som ensam har en direkt kännedom om de faktiska omständigheterna i målet – och därför är bäst lämpad att bedöma nödvändigheten av ett förhandsavgörande för att kunna meddela sin dom – kan EU-domstolen emellertid pröva sin egen behörighet i syfte att säkerställa att förhandsavgörandet kommer att bidra till rättskipningen i medlemsstaterna och inte till att avge rådgivande utlåtanden i allmänna eller hypotetiska frågor. I enlighet därmed ankommer det på den nationella domstolen att klarlägga sakförhållandena så att EU-domstolen kan ta del av alla faktiska och rättsliga omständigheter som kan ha betydelse för dess tolkning av unionsrätten.(8) I målet Meilicke(9) fann domstolen att det problem som den ombads uttala sig om var av hypotetisk karaktär i och med att domstolen inte hade fått ta del av alla faktiska och rättsliga omständigheter som var nödvändiga för att ge svar som var till nytta för den nationella domstolen och på denna grund beslöt att den saknade anledning att besvara frågorna.
26. Trots att samfundet har nämnt denna rättspraxis är det medvetet om att det finns en stark presumtion för att de tolkningsfrågor som en nationell domstol ställer är relevanta och att en begäran bara kan avvisas i undantagsfall.(10) Handlingarna i förevarande mål, i synnerhet beslutet om hänskjutande, uppvisar inte sådana brister att domstolen skulle överskrida gränserna för sin uppgift om den beslöt att meddela ett förhandsavgörande.(11) Det åligger under alla omständigheter den hänskjutande domstolen att, i den mån det ligger inom dess behörighet,(12) slutligt fastställa omständigheterna i det nationella målet. De omständigheter som redovisats i beslutet om hänskjutande är tillräckliga för att domstolen ska kunna meddela förhandsavgörande.(13)
B. Tolkningsfrågorna
1. Den första tolkningsfrågan
27. Genom den första frågan vill den hänskjutande domstolen få fastställt om den verksamhet som utövas av medlemmarna i samfundet Jehovas vittnen kan undantas från tillämpningsområdet för direktiv 95/46 på grundval av artikel 3.2 första strecksatsen i direktivet. I det avseendet har samfundet anfört att verksamheten i fråga, som hänför sig till friheten att i privatlivet utöva en religion på ett fredligt sätt, omfattas av det undantaget. Den hänskjutande domstolen önskar vidare få klarhet i huruvida verksamheten kan undantas från tillämpningen av bestämmelserna i direktiv 95/46 med stöd av artikel 3.2 andra strecksatsen, enligt vilket direktivet inte gäller för sådan behandling av personuppgifter ”av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll”.(14)
a) Predikoverksamhet undantas inte från tillämpningsområdet för direktiv 95/46 på grundval av artikel 3.2 första strecksatsen i direktivet
28. I artikel 3.2 första strecksatsen i direktiv 95/46 stadgas att direktivet inte gäller för sådan behandling av personuppgifter som ”utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område”. Samfundet har anfört att den predikoverksamhet, i anslutning till vilken insamling och behandling av personuppgifter avseende de besökta personerna sker, inte omfattas av unionsrättens tillämpningsområde i den mening som avses i denna bestämmelse.(15) Den italienska regeringen har framhållit artikel 17 FEUF som ett argument för medlemsstaternas exklusiva behörighet att reglera religiösa samfund och har dragit samma slutsats som samfundet.
29. Inledningsvis bör det framhållas att det följer av fast rättspraxis att tillämpningsområdet för direktiv 95/46 ges en mycket vid definition i direktivet. Det förutsätts nämligen inte att behandlingen ska ha ett faktiskt samband med den fria rörligheten mellan medlemsstaterna för att skyddsreglerna ska vara tillämpliga.(16) Dessutom har domstolen erinrat om att inga andra begränsningar av direktivets tillämpningsområde än de som anges i artikel 3 föreskrivs i detta direktiv.(17) Med tanke på direktivets syfte att säkerställa en hög skyddsnivå när det gäller fysiska personers grundläggande fri- och rättigheter, särskilt för deras privatliv, i samband med behandling av personuppgifter,(18) förutsätter detta skydd att ”undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt”.(19) I egenskap av undantagsbestämmelse ska artikel 3.2 första strecksatsen i direktiv 95/46 tolkas restriktivt.
30. Därutöver har domstolen slagit fast att ”den verksamhet som nämns som exempel i artikel 3.2 första strecksatsen i direktiv 95/46 … avser i samtliga fall sådan verksamhet som endast kan bedrivas av staten eller statliga myndigheter och som inte kan bedrivas av enskilda personer”.(20) Domstolen har preciserat att den verksamhet som nämns ovan ”är avsedd att definiera räckvidden av det föreskrivna undantaget, varför detta undantag endast är tillämpligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori (ejusdem generis)”.(21)
31. I ett mål rörande den verksamhet som en ledare för konfirmander vid en svensk församling utövade genom att skapa en hemsida på internet i syfte att göra det möjligt för församlingsmedlemmar som förberedde sig för konfirmationen att lätt få den information de behövde har domstolen bedömt att ”ideell eller religiös verksamhet som den som [klaganden i det målet] utövar inte [kan] anses utgöra sådan verksamhet som anges i artikel 3.2 första strecksatsen i direktiv 95/46 och omfattas således inte av detta undantag”.(22) I sitt förslag till avgörande i nämnda mål var generaladvokaten Tizzano av en annan åsikt, nämligen att verksamheten inte omfattades av undantaget på grund av det bedrevs utan ekonomiskt syfte, utan gränsöverskridande inslag och utan samband med någon anställning, med andra ord att verksamheten helt saknade samband med utövandet av de grundläggande friheter som säkerställs genom fördraget, och inte på grund av det religiösa sammanhanget i vilket verksamheten bedrevs.(23) I målet Lindqvist(24) fann domstolen inte endast att det, med beaktande av att det huvudsakliga målet som eftersträvas i direktiv 95/46, inte var nödvändigt att kontrollera huruvida den aktuella verksamheten direkt påverkade den fria rörligheten mellan medlemsstaterna(25) utan domstolen medgav även, åtminstone underförstått, att den verksamhet, som klaganden i det nationella målet bedrev utövades inom ramen för religionsfriheten, kunde bedrivas av ”enskilda personer”, snarare än ”av staten eller statliga myndigheter”(26) som enbart omfattas av undantaget föreskrivet i artikel 3.2 första strecksatsen i direktiv 95/46.
32. Utgör införandet av artikel 17 FEUF genom Lissabonfördraget en ny omständighet som kan ändra domstolens tolkning i målet Lindqvist(27)?
33. Jag är inte av den uppfattningen.
34. Det är värt att erinra om att domstolen, när den meddelade sin dom i detta mål, var uppmärksam på att målet vid den nationella domstolen rörde religionsutövning. Vidare hade domstolen tagit hänsyn till förklaring nr 11 till Amsterdam-fördraget om kyrkors och konfessionslösa organisationers ställning(28) enligt vilken unionen åtog sig att respektera och inte ingripa i kyrkors och religiösa sammanslutningars och samfunds ställning i medlemsstaterna enligt nationell lag. Det förefaller svårt att hävda att lagstiftaren haft för avsikt att undanta verksamheter som bedrivs av enskilda personer inom ramen för religionsfrihet från tillämpningsområdet för direktiv 95/46 på grundval av artikel 3.2 första strecksatsen, samtidigt som det i andra bestämmelser i direktivet infördes en särskild ordning för behandling av uppgifter som utförs inom ramen för organ som har ett religiöst syfte.(29) Det skulle dock kunna invändas att direktiv 95/46 antogs före förklaring nr 11 till Amsterdam-fördraget. Trots införandet av artikel 17 FEUF i fördraget, vars innehåll i allt väsentligt upprepas i skäl 165 i förordning 2016/679 ska det konstateras att unionslagstiftaren har fortsatt att följa denna linje och inte funnit någon motstridighet mellan, å ena sidan, religiösa samfunds ställning såsom den regleras av medlemsstaterna och, å andra sidan, de särskilda bestämmelser om behandling av personuppgifter som tillämpas på religiösa samfund.(30) Jag har i vart fall svårt att se att den omständigheten att sådan religiös verksamhet som den som är aktuell i det nationella målet undantas från tillämpningsområdet för artikel 3.2 första strecksatsen i direktiv 95/46 på något sätt utgör ett hot mot religiösa samfunds ”ställning” såsom den fastställs av medlemsstaterna.(31)
35. Härav följer att verksamheten i fråga inte omfattas av undantaget i artikel 3.2 första strecksatsen i direktiv 95/46.
b) Predikoverksamhet undantas inte från tillämpningsområdet för direktiv 95/46 enligt artikel 3.2 andra strecksatsen
36. Ordagrant föreskriver artikel 3.2 andra strecksatsen i direktiv 95/46 att direktivet inte gäller för sådan behandling av personuppgifter ”av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll”.(32)
37. Den tolkning som samfundet förordat vid förhandlingen och som innebär att verksamhetens privata natur eller samband med någons hushåll ska bedömas med utgångspunkt i den person vars uppgifter samlas in ska underkännas. I och med att samfundets predikanter besöker personer i deras hem skulle verksamheten i så fall nödvändigtvis ha ett samband med personernas hushåll. Domstolen har aldrig följt denna linje vid bedömning av en verksamhets ”rent privat natur eller som har samband med [någons] hushåll” i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46. Domstolen har ständigt utgått ifrån den person som samlar in eller mer allmänt behandlar personuppgifterna.(33)
38. Det har ovan konstaterats att det undantag från tillämpningsområdet för direktiv 95/46 som anges i artikel 3.2 första strecksatsen måste tolkas restriktivt(34) och denna slutsats gäller även för tolkningen av bestämmelsens andra strecksats.
39. Av domstolens rättspraxis framgår att räckvidden för artikel 3.2 andra strecksatsen i direktiv 95/46 kan förstås mot bakgrund av dess skäl 12 i vilket korrespondens eller förande av adressregister anges som exempel på en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk.(35) ”Detta undantag ska således tolkas så, att det endast avser sådan verksamhet som utgör en del av enskildas privat- eller familjeliv”,(36) det vill säga att behandlingen enbart ”sker inom en sfär som är av rent privat natur eller som har samband med uppgiftshanterarens hushåll”.(37) Domstolen har funnit att detta uppenbarligen inte är fallet vid behandling av personuppgifter ”som består i att de offentliggörs på internet och därmed blir åtkomliga för ett obestämt antal personer”(38) eller ”som syftar till att ge ett obestämt antal personer kännedom om de insamlade uppgifterna”.(39) Härav följer att allt som ”går utanför uppgiftshanterarens privata sfär” inte kan anses vara av rent privat natur eller ha samband med hans hushåll i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46.(40)
40. Av den hänskjutande domstolens redogörelse för omständigheterna i målet framgår att predikoverksamheten, i anslutning till vilken de besökta personernas personuppgifter samlas in, inte enbart sker inom en sfär som har samband med uppgiftshanterarens hushåll, eftersom predikoarbetet kännetecknas av interaktion med, i princip, främmande personer som inte delar predikantens tro. Till skillnad mot exempelvis förande av adressregister innebär predikoverksamhet nödvändigtvis en ”konfrontation” med den sfär som befinner sig utanför en persons hushåll och familjeenhet. Arten av de insamlade uppgifterna – vilka innefattar uppgifter som åtnjuter ett förstärkt skydd i enlighet med direktiv 95/46(41) – talar även för att det ska göras en klar åtskillnad med exemplet i skäl 12 i direktiv 95/46.
41. Av dessa omständigheter framgår även att den roll som organisatör av predikoverksamhet som samfundet och dess församlingar ges enligt den första tolkningsfrågans ordalydelse med nödvändighet leder till den slutsatsen att denna verksamhet går utöver inte bara den sfär som har samband med predikanternas hushåll, utan även deras sfär av rent privat natur.
42. Med beaktande av att predikoverksamheten(42) bedrivs i gemenskap och att den innebär att uppgiftshanteraren agerar utanför sitt privat- och familjeliv genom att i deras hem besöka personer som inte ingår i uppgiftshanterarens bekantskapskrets kan insamling och behandling av personuppgifter som utförs av medlemmar i ett samfund vid predikoarbete genom dörrknackning inte undantas från tillämpningsområdet för direktiv 95/46 enligt artikel 3.2 andra strecksatsen.
43. Denna tolkning uppfyller fullständigt kraven för en restriktiv tolkning av undantagen från tillämpningsområdet för direktiv 95/46 och för begränsningen av dessa till det absolut nödvändigaste samt överensstämmer helt med direktivets syfte att säkerställa en hög skyddsnivå när det gäller fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.(43)
44. Det återstår emellertid att bedöma om en denna tolkning beaktar andra grundläggande rättigheter som ska stå i samklang med skyddet av privatliv och personuppgifter(44) och om den leder till en balanserad avvägning mellan, å ena sidan, detta skydd och, å andra sidan, religionsfriheten, som friheten att utöva predikoverksamhet är ett uttryck för. Även om domstolen hittills har slagit fast att bestämmelserna i direktiv 95/46 måste tolkas mot bakgrund av de grundläggande rättigheter som anges i Europeiska unionens stadga om de grundläggande rättigheterna(45) (nedan kallad stadgan) endast med hänvisning till artiklarna 7 och 8 i stadgan(46) måste de övriga bestämmelserna i stadgan givetvis också skyddas.
45. Artikel 10.1 i stadgan föreskriver att ”[v]ar och en har rätt till … religionsfrihet. Denna rätt innefattar frihet att byta religion eller övertygelse och frihet att ensam eller i gemenskap med andra, offentligt eller enskilt, utöva sin religion eller övertygelse genom gudstjänst, undervisning, sedvänjor och ritualer”. I förklaringen avseende artikel 10 i stadgan(47) anges att den rättighet som garanteras i artikel 10 motsvarar den som garanteras i artikel 9 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950 (nedan kallad Europakonventionen) och att den, i enlighet med artikel 52.3 i stadgan, har samma innebörd och räckvidd som denna. Härav följer att religionsfriheten endast får på de villkor som anges i artikel 9.2 i Europakonventionen, det vill säga att varje inskränkning ska vara föreskriven i lag och nödvändig i ett demokratiskt samhälle med hänsyn till den allmänna säkerheten eller till skydd för allmän ordning, hälsa eller moral eller till skydd för andra personers fri- och rättigheter.
46. Det första konstaterandet som kan göras utifrån artikel 9.2 i Europakonventionen är att religionsfriheten och den därmed sammanhängande friheten att utöva predikoverksamhet, i motsats till det resultat som samfundet i sin argumentation har kommit fram till, förvisso är grundläggande rättigheter men att de likväl inte utgör någon sorts ”grundläggande meta-frihet” av högre rang som inte på något sätt kan inskränkas. Av detta kan utläsas att friheten att utöva predikoverksamhet inte bara kan, utan måste förenas med skyddet för privatlivet i syfte att bevara ”andra personers fri- och rättigheter”, i enlighet med denna bestämmelse.
47. Europeiska domstolen för de mänskliga rättigheterna (nedan kallad Europadomstolen) har funnit att även om ”religionsfriheten framför allt är en fråga om inre övertygelse innefattar den också friheten att uttrycka sin trosuppfattning på enskilt och privat, eller gemensamt, offentligt och tillsammans med de personer med vilka man delar sin tro. Europadomstolen har redan haft tillfälle att fastställa negativa rättigheter med stöd av artikel 9 i Europakonventionen, särskilt friheten att varken ha eller utöva någon religion.”(48)
48. Predikoverksamhet som utövas genom dörrknackning verkar inte utgöra något hot mot friheten att varken ha eller utöva någon religion, såsom den definieras av Europadomstolen. Det bör tilläggas att det enligt min uppfattning inte kan finnas en negativ aspekt av friheten att utöva predikoverksamhet i och med att sådan verksamhet med nödvändighet består i att övertyga någon annan som inte delar ens tro eller som över huvud taget inte har någon tro. Man kan uttrycka det på detta sätt: Friheten att utöva predikoverksamhet kräver med nödvändighet att det finns en ”målgrupp” som inte kan erkännas en negativ frihet att inte vara föremål för proselytvärvningsförsök. Annars blir friheten i fråga och friheten att byta religion som följer av denna – och som skyddas genom artiklarna 9 och i Europakonventionen – meningslösa.(49)
49. Sådan predikoverksamhet genom dörrknackning som beskrivits av den hänskjutande domstolen förefaller inte heller gå utöver de gränser som fastställts av Europadomstolen, vilken endast förbjuder missbruklig(50) och tvivelaktig(51) proselytvärvning.
50. För att beaktandet av artikel 9 i Europakonventionen och, följaktligen, av artikel 10.1 i stadgan ska medföra en annan tolkning av artikel 3.2 andra strecksatsen i direktiv 95/46 än den som föreslagits i punkt 42 ovan måste det kunna konstateras att kravet att den verksamhet som är aktuell i det nationella målet omfattas av direktivets regler på verksamheten i fråga orimligt och oproportionerligt inskränker friheten att utöva predikoverksamhet. I förevarande fall har jag svårt att se att det skulle föreligga en sådan kränkning, eftersom tagandet av anteckningar och hantering av dessa inom samfundet inte utgör något utövande av predikoverksamhet. Om det antas att en sådan kränkning skulle fastställas återstår det dock att avgöra om den är föreskriven i lag och är nödvändig i ett demokratiskt samhälle med hänsyn till den allmänna säkerheten eller till skydd för allmän ordning, hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Den föregivna kränkningen, som har uppkommit till följd av kravet på att iaktta bestämmelserna i direktiv 95/46, föreskrivs i lag, närmare bestämt i direktiv 95/46, och är, av de skäl som angetts ovan, nödvändig i ett demokratiskt samhälle, för att skydda andra personers fri- och rättigheter, i synnerhet rätten till privatliv och skyddet av personuppgifter för de besökta personerna. Dessa rättigheter bör tillmätas samma vikt.
51. Härav följer att skyddet som garanteras i artikel 10.1 i stadgan inte är av en sådan art att det kan påverka slutsatsen att den predikoverksamhet som utförs av samfundets medlemmar inte uteslutande är av rent privat natur eller har samband med medlemmarnas hushåll i enlighet med artikel 3.2 andra strecksatsen i direktiv 95/46.
52. Mot denna bakgrund ska den första tolkningsfrågan som ställts av den hänskjutande domstolen besvaras på följande sätt. Sådan predikoverksamhet genom dörrknackning som den som är i fråga i det nationella målet, är inte uteslutande av rent privat natur eller har samband med en persons hushåll i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46.
2. Den andra tolkningsfrågan
53. Den andra tolkningsfrågan som har ställts av den hänskjutande domstolen rör återigen tillämpningsområdet för direktiv 95/46, närmare bestämt dess artikel 3.1 enligt vilken direktivet ”gäller för … behandling av personuppgifter … som ingår i eller kommer att ingå i ett register”. I och med att det synes klarlagt att behandlingen av personuppgifter som samlas in av samfundets medlemmar inte företas, i alla fall helt, på automatisk väg, kan direktiv 95/46 enbart tillämpas om det föreligger ett register, vilket i artikel 2 c i direktiv 95/46, definieras som ”varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden”. Den hänskjutande domstolen har gjort gällande att avsaknaden av förteckningar, specifika listor eller någon annan liknande strukturerad samling av personuppgifter, enligt personuppgiftslagen utgör hinder för att beteckna de uppgifter som behandlas av samfundets medlemmar som ”register”. Den hänskjutande domstolen undrar emellertid om denna bedömning påverkas av den omständigheten att det bland uppgifterna med lätthet och utan oskäliga kostnader kan sökas fram behövliga uppgifter för senare bruk, vilket är de två kriterier som uppställs i personuppgiftslagen.
54. Återigen har samfundet betonat att den andra tolkningsfrågan är klart teoretisk, då det inte har fastställts att samfundets medlemmar faktisk för anteckningar i anslutning till sin predikoverksamhet genom dörrknackning, vilket framgår av skälen i begäran om förhandsavgörande. Avseende denna upprepade invändning hänvisar jag till punkt 25 och följande punkter ovan. I enlighet med den hänskjutande domstolens bedömning bygger följande analys på antagandet att samfundets medlemmar för anteckningar inom ramen för predikoverksamheten.
55. Analysen ska fokuseras på direktiv 95/46 och den definition av ”register” som ges däri. Artikel 2 c i direktiv 95/46, vars formulering är oklar,(52) måste läsas tillsammans med skäl 27 i samma direktiv som anger, för det första, att omfattningen av dataskyddet inte får bero på den teknik som används, eftersom detta skulle kunna skapa en allvarlig risk för kringgående och, för det andra, att direktivet när det gäller manuell behandling endast omfattar strukturerade register efter bestämda kriterier som avser enskilda personer, för att lätt ge tillgång till personuppgifter. De olika kriterier som gör det möjligt att fastställa de enskilda delarna av en strukturerad samling personuppgifter och de olika kriterier som styr beviljande av tillgång till en sådan samling utformas av varje medlemsstat.
56. Enligt domstolens praxis ges i artikel 3.1 i direktiv 95/46 en mycket vid definition av direktivets tillämpningsområde.(53) Denna bestämmelse får således inte tolkas på ett sådant sätt att den höga skyddsnivån som fastställs i direktiv 95/46 undergrävs.
57. Trots sin tillsynes decentraliserade karaktär(54) kan de anteckningar som förs av samfundets medlemmar utgöra ett ”register” i den mening som avses i direktiv 95/46. Ett av de första kriterier som ger denna samling uppgifter struktur är det geografiska kriteriet. I viss utsträckning blir en medlem själv ett strukturerande kriterium för samlingen av uppgifter i den mån samfundet gör en uppdelning av geografiska arbetsfält. Samfundet får därmed kännedom om vilka medlemmar som samlar in uppgifter om personer bosatta i vissa områden. Även om samfundet inte underrättar sina medlemmar om arten av de insamlade uppgifterna kan syftet med uppgiftssamlingen, nämligen förberedelse inför framtida besök, förmodas. Den hänskjutande domstolen har påpekat att det handlar om namn, adress och en samfattning av samtalsinnehållet, i synnerhet avseende religiös övertygelse och familjeförhållanden. En sådan struktur, även om den inte är speciellt invecklad, underlättar tillgången till de insamlade uppgifterna. Den för även vidare historiken över samfundets predikoverksamhet och det kan antas att en medlem som flyttar kan överlämna de insamlade uppgifterna till den nya medlem som tar över verksamheten inom det aktuella geografiska området. Kriteriet om lättillgänglighet verkar således vara uppfyllt.(55)
58. Under dessa omständigheter förefaller det som om den finländska rätten ger en snävare definition än den som avses i direktiv 95/46. Den nationella rätten definierar nämligen ”register” som kartotek, förteckningar eller övriga medel som på ett motsvarande sätt underlättar sökning. Det kan därför inte uteslutas att personuppgiftslagen innehåller ytterligare en begränsning jämfört med vad direktiv 95/46 föreskriver. Den hänskjutande domstolen har emellertid inte ställt en sådan tolkningsfråga och det ankommer på den att dra lämpliga slutsatser, inbegripet i förhållande till den nationella rätten, av domstolens svar på denna andra tolkningsfråga.
59. Härav följer att artikel 3.1 i direktiv 95/46, jämförd med artikel 2 c i samma direktiv, ska tolkas så, att den samling av personuppgifter som samlas in manuellt av medlemmarna av ett religiöst samfund, inom ramen för en verksamhet såsom den som är aktuell i det nationella målet, i förbestämda geografiska områden och i syfte att förbereda återbesök hos de personer med vilka en andlig dialog har inletts, kan utgöra ett register.
3. Den tredje och den fjärde tolkningsfrågan, som behandlas gemensamt
60. Den tredje och den fjärde tolkningsfrågan bör behandlas gemensamt. Den hänskjutande domstolen har ställt frågorna för att få fastställt huruvida artikel 2 d i direktiv 95/46 ska tolkas så, att ett religiöst samfund som organiserar en predikoverksamhet, där det sker insamling av personuppgifter, som enbart predikanterna har tillgång till, kan betraktas som ”registeransvarig” i den mening som avses i nämnda direktiv. Med avseende på denna bedömning önskar den hänskjutande domstolen även få klarhet i huruvida det krävs att samfundet vidtar specifika åtgärder, såsom skriftliga anvisningar riktade till samfundets medlemmar, eller om det räcker att samfundet faktiskt kan styra sina medlemmars verksamhet.
61. Först vill jag dock göra en inledande anmärkning. Samfundet har bestridit, såväl i sina skriftliga synpunkter som under förhandlingen, att det är ”registeransvarigt” vad gäller de uppgifter som dess medlemmar samlar in, i den mening som avses i direktiv 95/46, och har visat viss irritation över påståendet om att medlemmarna skulle agera i enlighet med samfundets anvisningar och inte som svar på en gudomlig befallning. Jag upprepar dock att fastställandet av huruvida direktiv 95/46 ska tillämpas på det nu aktuella målet och en eventuell klassificering av samfundet som ”registeransvarigt”, i den mening som avses i samma direktiv, inte får ges en vidare innebörd än vad det egentligen rör sig om, det vill säga rättsliga kvalificeringar. Av domstolens praxis framgår att den som är registeransvarig, i den mening som avses i direktiv 95/46, ”inom ramen för sitt ansvar, sin behörighet och sina möjligheter [ska] säkerställa att verksamheten uppfyller kraven i direktiv 95/46 för att de garantier som föreskrivs i direktivet ska få full verkan och för att ett effektivt och fullständigt skydd för de berörda personerna ska kunna förverkligas, bland annat när det gäller deras rätt till respekt för privatlivet”.(56) Härav följer att det rör sig om rättslig kvalificering, och på intet sätt om ifrågasättande av samfundets roll i predikoverksamheten eller själva grunden för predikoverksamheten.
62. Efter att ha preciserat detta går jag nu över till min analys.
63. I enlighet med artikel 2 d i direktiv 95/46 är registeransvarig ”den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter …”. Av domstolens praxis framgår att begreppet ska ges en vid definition i syfte att säkerställa ett effektivt och komplett skydd i överensstämmelse med direktiv 95/46(57) och mot bakgrund av att den registeransvarige har en avgörande roll inom ramen för det system som inrättades genom direktiv 95/46.(58)
64. Artikel 29-arbetsgruppen för uppgiftsskydd (nedan kallad artikel 29-gruppen)(59) anser att fastställandet av den registeransvarige i den mening som avses i artikel 2 d i direktiv 95/46 ”bygger på en faktabaserad snarare än på en formell analys(60) och innebär att ”det måste fastställas ’varför’ respektive ’hur’ vissa behandlingar utförs.”(61)
65. Det bör därför undersökas om samfundet bestämmer ändamålen med och medlen för behandlingen av de personuppgifter som samfundets medlemmar samlat in. Det framgår nämligen av den tredje tolkningsfrågan att samfundet ”organiserar” verksamheten i anslutning till vilken personuppgifter samlas in av medlemmarna, i så måtto att samfundet delar upp arbetsfält mellan predikanterna, följer upp deras arbete(62) samt registrerar de personer som inte önskar besök av predikanterna. Alla dessa komponenter talar för att predikoverksamheten centraliseras av samfundet. Under dessa omständigheter blir det svårt att fortsätta påstå att denna verksamhet, och dess tillhörande uppgiftsinsamling, är av rent privat natur och helt främmande för samfundet.(63)
66. Jag anser att det finns en tillräcklig kedja av samstämmiga indicier – med beaktande av att begreppet registeransvarig, i den mening som avses i direktiv 95/46 ska ges en vid tolkning och med hänsyn till syftet att eftersträva en hög skyddsnivå – som talar för att samfundet bestämmer ändamålet med behandlingen av de insamlade uppgifterna, nämligen utöka antalet medlemmar genom effektivare predikoverksamhet som i sin tur förutsätter noggranna besöksförberedelser.
67. Det förefaller svårt att ifrågasätta samfundets bestämmande av predikoverksamhetens medel för den period under vilken samfundet tillhandahöll sina medlemmar formulär och meddelade konkreta anvisningar, genom att publicera artiklar i sin egen tidskrift, avseende förande av anteckningar. Även om användningen av formulär har upphört konstaterar jag att publikationerna fortfarande finns tillgängliga på internet och att anvisningar avseende förande av anteckningar alltjämt meddelats efter det att det avgörande som överklagats i det nationella målet meddelades.(64)
68. I sin tolkningsfråga utgår den hänskjutande domstolen från avsaknaden av skriftliga anvisningar. I syfte att bestämma registeransvarig i den mening som avses i direktiv 95/46, anser jag, i likhet med den finländska, den tjeckiska och den italienska regeringen, att alltför höga formella krav skulle möjliggöra ett kringgående av bestämmelserna i direktiv 95/46 och, att bedömningen om samfundets faktiska roll i bestämmandet av ändamålen och medlen bör grundas på en faktabaserad snarare än en formell analys.
69. En sådan tolkning finner stöd i ordalydelsen i artikel 2 d i direktiv 95/46 som inte innehåller någon uttrycklig hänvisning till krav på skriftliga anvisningar. Artikel 29-gruppen verkar ha tolkat ordalydelsen i denna bestämmelse på samma sätt, nämligen att det räcker med faktiskt inflytande för att peka ut registeransvarig.(65)
70. Det är klart att det ankommer på den hänskjutande domstolen, och inte på EU-domstolen, att fastställa huruvida det föreligger ett faktiskt inflytande. Den hänskjutande domstolen ska dock ha i åtanke att begreppet registeransvarig i den mening som avses i direktiv 95/46 ska ges en vid definition. Även om jag just kommit fram till att skriftliga anvisningar inte kan krävas, i syfte att inte ge begreppet en alltför snäv tolkning, bör bedömningen av om det föreligger ett faktiskt inflytande ske utifrån kriterier som rimligen kan kontrolleras. I detta avseende blir jag inte övertygad av kommissionens ståndpunkt enligt vilken det åligger den hänskjutande domstolen att bedöma om samfundets uppmuntran uppfattas av sina medlemmar som ”tillräckligt moraliskt tvingande”.
71. När det gäller frågan om den registeransvarige måste ha tillgång till uppgifterna anser jag att ett sådant krav inte ingår i definitionen i direktiv 95/46. Samma uppfattning delas av artikel 29-arbetsgruppen enligt vilken den omständigheten att en person inte direkt kan uppfylla samtliga skyldigheter som åligger den registeransvarig, såsom rätten att få tillgång till uppgifterna, inte utesluter att vederbörande klassificeras som registeransvarig.(66) Direktiv 95/46 föreskriver uttryckligen att registeransvaret, i sådana fall, kan utövas gemensamt.(67) Jag delar härvidlag fullt ut generaladvokaten Bots uppfattning att ”den tolkning enligt vilken en fullständig kontrollbefogenhet avseende alla aspekter av behandlingen förespråkas kan följaktligen medföra allvarliga brister i fråga om skydd av personuppgifter”.(68)
72. Jag kommer att avsluta min analys genom att påpeka att ett eventuellt konstaterande av att samfundet är registeransvarigt inte utesluter att det samtidigt konstateras ett delat ansvar mellan samfundet och dess medlemmar i och med att ”bedömningen om delat ansvar ska följa den om ’ensamt’ ansvar genom att tillämpa en mer saklig och praktisk metod vid fastställande av huruvida ändamålen och medlen bestäms av fler än en part. När det gäller delat ansvar kan parternas deltagande vid bestämmandet av ändamålen med och medlen för behandlingen av personuppgifter kan anta olika former och inte nödvändigtvis delas lika.”(69) Av de omständigheter som framförts av den hänskjutande domstolen framgår emellertid att samfundets medlemmar har möjlighet att faktiskt påverka medlen för behandlingen (genom att rikta in sig på vissa personer vid besöksplanering, bedöma behovet av att föra anteckningar, välja ut teknik vid anteckningsförande, bestämma de insamlade uppgifters omfattning, och så vidare).
73. Mot bakgrund av det ovanstående föreslår jag att domstolen besvarar den hänskjutande domstolens fråga på följande sätt. Artikel 2 d i direktiv 95/46 ska tolkas så, att ett religiöst samfund som organiserar en predikoverksamhet, i anslutning till vilken personuppgifter samlas in, kan betraktas som registeransvarigt, trots att samfundet självt inte får tillgång till de personuppgifter som samlats in av dess medlemmar. Det behöver inte föreligga några skriftliga anvisningar för att fastställa registeransvarig i den mening som avses i direktiv 95/46. Det ska dock konstateras, i förekommande fall med hjälp av en rad indicier, att den registeransvarige kan utöva ett faktiskt inflytande över insamlingen och behandlingen av personuppgifterna, vilket det ankommer på den hänskjutande domstolen att pröva.
IV. Förslag till avgörande
74. Mot bakgrund av ovanstående föreslår jag att domstolen besvarar de tolkningsfrågor som ställts av Högsta förvaltningsdomstolen på följande sätt:
1) Sådan predikoverksamhet som utförs genom dörrknackning, såsom den som är aktuell i det nationella målet, omfattas inte av undantaget enligt artikel 3.2 andra strecksatsen i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.
2) Artikel 3.1 i direktiv 95/46, jämförd med artikel 2 c i samma direktiv, ska tolkas så, att den samling av personuppgifter som samlas in manuellt av medlemmarna av ett religiöst samfund, inom ramen för en verksamhet såsom den som är aktuell i det nationella målet, i förbestämda geografiska områden och i syfte att förbereda återbesök hos de personer med vilka en andlig dialog har inletts, kan utgöra ett register.
3) Artikel 2 d i direktiv 95/46 ska tolkas så, att ett religiöst samfund som organiserar en predikoverksamhet, i anslutning till vilken personuppgifter samlas in, kan betraktas som registeransvarigt, trots att samfundet självt inte får tillgång till de personuppgifter som samlats in av dess medlemmar. Det behöver inte föreligga några skriftliga anvisningar för att fastställa registeransvarig i den mening som avses i direktiv 95/46. Det ska dock konstateras, i förekommande fall med hjälp av en rad indicier, att den registeransvarige kan utöva ett faktiskt inflytande över insamlingen och behandlingen av personuppgifterna, vilket det ankommer på den hänskjutande domstolen att pröva.