Forenede sager C-468/10 og C-469/10
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)
og
Federación de Comercio Electrónico y Marketing Directo (FECEMD)
mod
Administración del Estado
(anmodninger om præjudiciel afgørelse indgivet af Tribunal Supremo)
»Behandling af personoplysninger – direktiv 95/46/EF – artikel 7, litra f) – direkte virkning«
Sammendrag af dom
1. Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – fuldstændig harmonisering – fuldstændig liste over tilfælde af lovlig behandling af personoplysninger
(Europa-Parlamentets og Rådets direktiv 95/46, art. 7)
2. Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – betingelser for lovlig behandling af personoplysninger
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8; Europa-Parlamentets og Rådets direktiv 95/46, art. 5 og art. 7, litra f)]
3. Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – medlemsstaternes skøn – rækkevidde
(Europa-Parlamentets og Rådets direktiv 95/46, art. 5)
4. Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46 – betingelser for lovlig behandling af personoplysninger
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8; Europa-Parlamentets og Rådets direktiv 95/46, art. 7, litra f)]
5. Grundlæggende rettigheder – respekt for privatlivet – beskyttelse af personoplysninger – begrænsninger, der tolereres i henhold til Den Europæiske Unions charter om grundlæggende rettigheder
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8 samt art. 52, stk. 1)
6. Institutionernes retsakter – direktiver – direkte virkning – betingelser
[Art. 249, stk. 3, EF; Europa-Parlamentets og Rådets direktiv 95/46, art. 7, litra f)]
1. Harmoniseringen af de nationale lovgivninger, der er omhandlet i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger, er ikke begrænset til en minimumsharmonisering, men fører til en harmonisering, der i princippet er fuldstændig. I dette perspektiv tilsigter direktivet at sikre den frie udveksling af personoplysninger, idet der sikres en høj beskyttelse af de personers rettigheder og interesser, som oplysningerne vedrører. Herefter følger det af dette formål, at nævnte direktivs artikel 7 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. Heraf følger, at medlemsstaterne hverken kan tilføje nye principper vedrørende grundlaget for behandling af personoplysninger i dette direktivs artikel 7 eller fastsætte supplerende krav, som ændrer rækkevidden af et af de principper, der er fastsat i denne artikel.
Denne fortolkning anfægtes ikke af den mulighed, som medlemsstaterne har i henhold til artikel 5 i direktiv 95/46, til at præcisere de betingelser, hvorunder behandling af personoplysninger er lovlig. Medlemsstaterne kan nemlig ikke i medfør af det skøn, som de råder over i henhold til direktivets artikel 5, indføre andre principper vedrørende grundlaget for behandling af personoplysninger end dem, der er opregnet i dette direktivs artikel 7, eller ved supplerende krav ændre rækkevidden af de principper, der er fastsat i nævnte artikel 7.
(jf. præmis 29, 30, 32, 33, 35 og 36)
2. Artikel 7, litra f), i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at den er til hinder for en national lovgivning, som, i tilfælde af at den registrerede ikke har givet sit samtykke, og for at muliggøre behandlingen af den pågældendes personoplysninger, som er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, kræver, ud over at den registreredes grundlæggende rettigheder og frihedsrettigheder ikke krænkes, at nævnte oplysninger er opført i offentligt tilgængelige kilder, og således kategorisk og generelt udelukker enhver behandling af oplysninger, som ikke er opført i sådanne kilder.
Dels følger det nemlig af dette direktivs formål om at sikre den frie udveksling af personoplysninger, idet der sikres en høj beskyttelse af de personers rettigheder og interesser, som oplysningerne vedrører, at direktivets artikel 7 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. Følgelig kan medlemsstaterne hverken tilføje nye principper vedrørende grundlaget for behandling af personoplysninger eller fastsætte supplerende krav, som ændrer rækkevidden af et af de principper, der er fastsat i artikel 7. Medlemsstaterne kan desuden heller ikke i medfør af artikel 5 i nævnte direktiv indføre andre principper vedrørende grundlaget for behandling af personoplysninger end dem, der er opregnet i artikel 7, eller ved supplerende krav ændre rækkevidden af de principper, der er fastsat i nævnte artikel 7.
Dels kan medlemsstaterne med henblik på at foretage den i samme direktivs artikel 7, litra f), fastsatte nødvendige afvejning af de foreliggende modstående rettigheder og interesser fastsætte retningslinjer. De kan ligeledes tage hensyn til, at grovheden af den krænkelse af den registreredes grundlæggende rettigheder, der er sket ved nævnte behandling, kan variere alt efter, om de pågældende oplysninger allerede fremgår af offentligt tilgængelige kilder, eller om dette ikke er tilfældet. I sidstnævnte tilfælde vil krænkelsen være mere alvorlig.
Der er imidlertid ikke længere blot tale om en præcisering, men om et supplerende krav, der er forbudt ved dette direktivs artikel 7, litra f), hvis en national lovgivning for visse kategorier af personoplysninger udelukker muligheden for behandling ved for disse kategorier definitivt at foreskrive resultatet af afvejningen af de modstående rettigheder og interesser, uden at tillade et anderledes resultat som følge af særlige omstændigheder i det konkrete tilfælde.
(jf. præmis 29, 30, 32, 36 og 44-49 samt domskonkl. 1)
3. Direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger indeholder bestemmelser, der er kendetegnet ved en vis fleksibilitet, og overlader i mange tilfælde medlemsstaterne at fastlægge detaljerne eller at vælge mellem muligheder. Det er således vigtigt at sondre mellem nationale foranstaltninger, som fastsætter supplerende krav, der ændrer rækkevidden af et i dette direktivs artikel 7 fastsat princip, på den ene side, og nationale foranstaltninger, som blot præciserer et af disse principper, på den anden side. Den første type nationale foranstaltninger er forbudt. Det er kun i forbindelse med den anden type nationale foranstaltninger, at medlemsstaterne i henhold til nævnte direktivs artikel 5 råder over et skøn.
(jf. præmis 35)
4. Artikel 7, litra f), i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger fastsætter to kumulative betingelser for, at behandling af personoplysninger er lovlig, nemlig dels at behandlingen af personoplysninger skal være nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, dels at den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder ikke går forud herfor. Den anden af disse betingelser nødvendiggør en afvejning af de pågældende modstående rettigheder og interesser, som principielt afhænger af de konkrete omstændigheder i det enkelte tilfælde, og i forbindelse med hvilken den person eller institution, som foretager afvejningen, skal tage hensyn til vigtigheden af den registreredes rettigheder, som følger af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder.
(jf. præmis 38 og 40)
5. Retten til respekt for privatlivet med hensyn til behandling af personoplysninger, som anerkendt i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, henviser til enhver form for information om en identificeret eller identificerbar fysisk person. Imidlertid følger det af chartrets artikel 8, stk. 2, og artikel 52, stk. 1, at der på visse betingelser kan indføres begrænsninger i nævnte ret.
(jf. præmis 42)
6. I alle tilfælde, hvor bestemmelserne i et direktiv ud fra et indholdsmæssigt synspunkt fremstår som ubetingede og tilstrækkeligt præcise, kan borgerne påberåbe sig disse bestemmelser for de nationale domstole over for staten, enten når staten ikke rettidigt har gennemført direktivet i national ret, eller når den ikke har gennemført det korrekt. Dette er tilfældet for artikel 7, litra f), i direktiv 95/46 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger. Selv om dette direktiv indebærer en større eller mindre skønsbeføjelse for medlemsstaterne ved gennemførelsen af visse af direktivets bestemmelser, fastsættes der i nævnte artikel 7, litra f), en ubetinget forpligtelse.
(jf. præmis 51, 52 og 55 samt domskonkl. 2)
DOMSTOLENS DOM (Tredje Afdeling)
24. november 2011 (*)
»Behandling af personoplysninger – direktiv 95/46/EF – artikel 7, litra f) – direkte virkning«
I de forenede sager C-468/10 og C-469/10,
angående anmodninger om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Tribunal Supremo (Spanien) ved afgørelser af 15. juli 2010, indgået til Domstolen den 28. september 2010, i sagerne:
Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (sag C-468/10)
Federación de Comercio Electrónico y Marketing Directo (FECEMD) (sag C-469/10)
mod
Administración del Estado,
procesdeltagere:
Unión General de Trabajadores (UGT) (sagerne C-468/10 og C-469/10)
Telefónica de España SAU (sag C-468/10)
France Telecom España SA (sagerne C-468/10 og C-469/10)
Telefónica Móviles de España SAU (sag C-469/10)
Vodafone España SA (sag C-469/10)
Asociación de Usuarios de la Comunicación (sag C-469/10),
har
DOMSTOLEN (Tredje Afdeling)
sammensat af afdelingsformanden, K. Lenaerts (refererende dommer), og dommerne R. Silva de Lapuerta, E. Juhász, T. von Danwitz og D. Šváby,
generaladvokat: P. Mengozzi
justitssekretær: ekspeditionssekretær M. Ferreira,
på grundlag af den skriftlige forhandling og efter retsmødet den 15. september 2011,
efter at der er afgivet indlæg af:
– Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) ved abogados C. Alonso Martínez og A. Creus Carreras
– Federación de Comercio Electrónico y Marketing Directo (FECEMD) ved abogados R. García del Poyo Vizcaya og M.Á. Serrano Pérez
– den spanske regering ved M. Muñoz Pérez, som befuldmægtiget
– Europa-Kommissionen ved I. Martínez del Peral og B. Martenczuk, som befuldmægtigede,
og idet Domstolen efter at have hørt generaladvokaten har besluttet, at sagen skal pådømmes uden forslag til afgørelse,
afsagt følgende
Dom
1 Anmodningerne om præjudiciel afgørelse vedrører fortolkningen af artikel 7, litra f), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31).
2 Anmodningerne er indgivet under sager mellem Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (ASNEF) og Federación de Comercio Electrónico y Marketing Directo (FECEMD) (FECEMD) mod Administración del Estado.
Retsforskrifter
EU-retten
Direktiv 95/46
3 Syvende, ottende og tiende betragtning til direktiv 95/46 er affattet som følger:
»(7) forskellen i den beskyttelse af personers rettigheder og frihedsrettigheder, og navnlig retten til privatlivets fred, som de enkelte medlemsstater yder i forbindelse med behandling af personoplysninger, kan forhindre, at oplysninger af denne art videregives fra én medlemsstats område til en anden medlemsstats område; denne forskel kan derved udgøre en hindring for udøvelsen af en række økonomiske aktiviteter på fællesskabsplan, virke konkurrencefordrejende og hindre de nationale myndigheder i at udføre de opgaver, som påhviler dem i henhold til fællesskabsretten; denne forskel i beskyttelsesniveauet hidrører fra forskellene i de nationale love og administrative bestemmelser.
(8) for at hindringerne for udveksling af personoplysninger kan fjernes, skal beskyttelsen af det enkelte menneskes rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstaterne; denne målsætning er af grundlæggende betydning for det indre marked, men kan ikke realiseres af medlemsstaterne alene, navnlig på grund af omfanget af de nuværende forskelle mellem de nationale love på området, og fordi det er nødvendigt at samordne medlemsstaternes lovgivninger, så udveksling af personoplysninger på tværs af landegrænserne underlægges et samlet regelsæt, der er i overensstemmelse med målsætningen om det indre marked […]; det er derfor nødvendigt, at Fællesskabet tager skridt til at gennemføre en indbyrdes tilnærmelse af lovgivningerne.
[...]
(10) Medlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder [undertegnet i Rom den 4. november 1950 (herefter »EMRK«)] og i fællesskabsrettens generelle principper; af denne grund må en indbyrdes tilnærmelse af lovgivningerne ikke medføre en forringelse af den beskyttelse, disse yder, men skal tværtimod have til formål at sikre et højt beskyttelsesniveau overalt i Fællesskabet.«
4 Direktivets artikel 1 med overskriften »Direktivets formål« lyder således:
»1. Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
2. Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde fri udveksling af personoplysninger mellem medlemsstaterne.«
5 Samme direktivs artikel 5 har følgende ordlyd:
»Medlemsstaterne præciserer i henhold til bestemmelserne i dette kapitel, på hvilke betingelser behandling af personoplysninger er lovlig.«
6 Artikel 7 i direktiv 95/46 fastsætter:
»Medlemsstaterne fastsætter bestemmelser om, at behandling af personoplysninger kun må finde sted, hvis:
a) der ikke hersker tvivl om, at den registrerede har givet sit samtykke
eller
[…]
f) behandlingen er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor.«
7 Direktivets artikel 13, stk. 1, bestemmer:
»Medlemsstaterne kan træffe lovmæssige foranstaltninger med henblik på at begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 6, stk. 1, artikel 10, artikel 11, stk. 1, samt artikel 12 og 21, hvis en sådan begrænsning er en nødvendig foranstaltning af hensyn til:
a) statens sikkerhed
b) forsvaret
c) den offentlige sikkerhed
d) forebyggelse, efterforskning, afsløring og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv
e) væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, herunder valuta-, budget- og skatteanliggender
f) en kontrol-, tilsyns- eller reguleringsopgave, selv af midlertidig karakter, der er et led i den offentlige myndighedsudøvelse på de i litra c), d) og e) nævnte områder
g) beskyttelsen af den registreredes interesser eller andres rettigheder og frihedsrettigheder.«
Nationale bestemmelser
Ley Orgánica 15/1999
8 Ley Orgánica 15/1999 (lov nr. 15/1999) vedrørende beskyttelse af personoplysninger (BOE nr. 298 af 14.12.1999, s. 43088) gennemfører direktiv 95/46 i spansk ret.
9 Artikel 3, litra j), i Ley Orgánica 15/1999 opregner de »offentligt tilgængelige kilder« i en udtømmende og fuldstændig liste med følgende ordlyd:
»[...] registre, som enhver kan søge i ubegrænset og uden opfyldelse af andre krav end betaling af en modydelse, såfremt dette kræves. De offentligt tilgængelige kilder opfatter udelukkende kopi af valglisterne, telefonbøger på de betingelser, der er fastsat i de specifikke regler herfor, og lister over medlemmer af erhvervsgrupper, som kun indeholder oplysninger vedrørende navn, stilling, erhverv, aktivitet, uddannelsesniveau, adresse og oplysning om medlemmernes tilhørsforhold til erhvervsgruppen. Ligeledes har dagblade og officielle tidender samt medierne karakter af offentligt tilgængelige kilder«.
10 Artikel 6, stk. 1, i Ley Orgánica 15/1999 betinger behandling af data af, at den registrerede uomtvisteligt har givet sit samtykke, medmindre andet er fastsat ved lov. I lovens artikel 6, stk. 2 in fine, bestemmes således, at der bl.a. ikke kræves samtykke: »[...] når oplysningerne fremgår af offentligt tilgængelige kilder, og når behandlingen er nødvendig for, at den registeransvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en legitim interesse, forudsat at den registreredes grundlæggende rettigheder og frihedsrettigheder ikke tilsidesættes«.
11 I artikel 11, stk. 1, i Ley Orgánica 15/1999 henvises til nødvendigheden af samtykke fra den registrerede med henblik på at kunne videregive personoplysninger til tredjemand, idet det imidlertid i denne artikels stk. 2 bestemmes, at dette samtykke bl.a. ikke er nødvendigt, når der er tale om oplysninger, der fremgår af offentligt tilgængelige kilder.
Kongelig anordning nr. 1720/2007
12 Den spanske regering har gennemført Ley Orgánica 15/1999 ved kongelig anordning nr. 1720/2007 (BOE nr. 17 af 17.1.2008, s. 4103).
13 Artikel 10, stk. 1, i kongelig anordning nr. 1720/2007 tillader behandling og videregivelse af personoplysninger, hvis den registrerede på forhånd har givet sit samtykke hertil.
14 Imidlertid bestemmer artikel 10, stk. 2, i kongelig anordning nr. 1720/2007 følgende:
»[...] behandling eller videregivelse af personoplysninger er muligt uden den registreredes samtykke, når:
a) en lovbestemmelse eller en fællesskabsbestemmelse tillader dette og navnlig i følgende tilfælde:
– Behandlingen eller videregivelsen har til formål at opfylde en legitim interesse hos den registeransvarlige eller overdrageren, som er omfattet af disse lovbestemmelser, medmindre interesserne eller de grundlæggende rettigheder og frihedsrettigheder hos de registrerede, der er omfattet af artikel 1 i Ley Orgánica 15/1999 af 13. december, går forud herfor.
– Behandlingen eller videregivelsen af oplysningerne er nødvendig med henblik på løsningen af en opgave, som en af disse lovbestemmelser tillægger den registeransvarlige.
b) De oplysninger, der er genstand for behandlingen eller videregivelsen, fremgår af offentligt tilgængelige kilder, og den registeransvarlige eller den tredjemand, til hvem oplysningerne er videregivet, har en legitim interesse, som berettiger disses behandling eller videregivelse, forudsat at dette ikke tilsidesætter den registreredes grundlæggende rettigheder og frihedsrettigheder.
Imidlertid kan offentlige administrationer kun i henhold til dette stykke videregive oplysninger fra offentligt tilgængelige kilder til ansvarlige for private registre, såfremt disse har bemyndigelse hertil i en lovbestemmelse.«
Tvisterne i hovedsagen og de præjudicielle spørgsmål
15 ASNEF, på den ene side, og FECEMD, på den anden side, anlagde et forvaltningsretligt søgsmål til prøvelse af flere artikler i kongelig anordning nr. 1720/2007.
16 Blandt de anfægtede bestemmelser er artikel 10, stk. 2, litra a), første led, og litra b), første afsnit, i nævnte anordning, som ASNEF og FECEMD anser for at tilsidesætte artikel 7, litra f), i direktiv 95/46.
17 ASNEF og FECEMD er navnlig af den opfattelse, at spansk ret til betingelsen om legitim interesse i behandlingen af oplysninger uden den registreredes samtykke tilføjer en betingelse, som ikke findes i direktiv 95/46, nemlig at oplysningerne fremgår af offentligt tilgængelige kilder.
18 Tribunal Supremo er af den opfattelse, at spørgsmålet om, hvorvidt de af henholdsvis ASNEF og FECEMD anlagte søgsmål er velbegrundede, i vidt omfang afhænger af Domstolens fortolkning af artikel 7, litra f), i direktiv 95/46. Tribunal Supremo præciserer således, at såfremt Domstolen finder, at det ikke tilkommer medlemsstaterne at tilføje supplerende betingelser til dem, der er fastsat i denne bestemmelse, og at bestemmelsen kan tillægges direkte virkning, skal der ses bort fra artikel 10, stk. 2, i litra b), i kongelig anordning 1720/2007.
19 Tribunal Supremo har anført, at spansk ret i tilfælde af, at den registrerede ikke har givet sit samtykke, med henblik på at muliggøre den behandling af sidstnævntes personoplysninger, som er nødvendig, for at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, foruden overholdelsen af den registreredes grundlæggende rettigheder og frihedsrettigheder kræver, at nævnte oplysninger fremgår af de registre, der er opregnet i artikel 3, litra j), i Ley Orgánica 15/1999. Tribunal Supremo er i denne forbindelse af den opfattelse, at denne lov og kongelig anordning nr. 1720/2007 begrænser rækkevidden af artikel 7, litra f), i direktiv 95/46.
20 Ifølge Tribunal Supremo udgør denne begrænsning en hindring for den frie udveksling af personoplysninger, som kun er forenelig med direktiv 95/46, såfremt dette kræves af hensyn til den berørtes interesser eller grundlæggende rettigheder og frihedsrettigheder. Tribunal Supremo udleder heraf, at den eneste mulighed for at undgå en modsætning mellem dette direktiv og spansk ret vil være at antage, at den frie udveksling af personoplysninger, som fremgår af andre registre end dem, der er opregnet i artikel 3, litra j), i Ley Orgánica 15/1999, tilsidesætter den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder.
21 Tribunal Supremo er imidlertid i tvivl om, hvorvidt en sådan fortolkning er i overensstemmelse med EU-lovgivers vilje.
22 Under disse omstændigheder har Tribunal Supremo, som er af den opfattelse, at afgørelsen af de to sager, der verserer for den, afhænger af fortolkningen af EU-retlige bestemmelser, besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål, som er enslydende affattet i begge sagerne:
»1) Skal artikel 7, litra f), i […] direktiv 95/46 […] fortolkes således, at den er til hinder for en national lovgivning, som, i tilfælde af at den registrerede ikke har givet sit samtykke, og for at muliggøre behandlingen af den pågældendes personoplysninger, som er nødvendig for, at den registeransvarlige eller de tredjemænd, til hvem de videregives, kan forfølge en legitim interesse, kræver, ud over at den registreredes grundlæggende rettigheder og frihedsrettigheder ikke krænkes, at oplysningerne er opført i offentligt tilgængelige kilder?
2) Opfylder [nævnte] artikel 7, litra f), de betingelser, som Den Europæiske Unions Domstols retspraksis kræver for at tillægge den direkte virkning?«
23 Ved kendelse afsagt af Domstolens præsident den 26. oktober 2010 blev sagerne C-468/10 og C-469/10 forenet med henblik på den skriftlige og mundtlige forhandling samt dommen.
De præjudicielle spørgsmål
Om det første spørgsmål
24 Med det første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 7, litra f), i direktiv 95/46 skal fortolkes således, at den er til hinder for en national lovgivning, som, i tilfælde af at den registrerede ikke har givet sit samtykke, og for at muliggøre behandlingen af den pågældendes personoplysninger, som er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem disse oplysninger videregives, kan forfølge en legitim interesse, kræver, ud over at den registreredes grundlæggende rettigheder og frihedsrettigheder ikke krænkes, at oplysningerne er opført i offentligt tilgængelige kilder.
25 Artikel 1 i direktiv 95/46 pålægger medlemsstaterne at sikre beskyttelsen af fysiske personers grundlæggende rettigheder og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger (jf. i denne retning dom af 16.12.2008, sag C-524/06, Huber, Sml. I, s. 9705, præmis 47).
26 Ifølge de bestemmelser, der er indeholdt i kapitel II i direktiv 95/46 under overskriften »Almindelige betingelser for lovlig behandling af personoplysninger«, skal enhver behandling af personoplysninger – med forbehold af de i direktivets artikel 13 tilladte undtagelser – foregå i overensstemmelse med både principperne vedrørende oplysningernes pålidelighed, der er fastsat i direktivets artikel 6, og et af de i direktivets artikel 7 opregnede seks principper vedrørende grundlaget for behandling af oplysninger (jf. i denne retning dom af 20.5.2003, forenede sager C-465/00, C-138/01 og C-139/01, Österreichischer Rundfunk m.fl., Sml. I, s. 4989, præmis 65, og Huber-dommen, præmis 48).
27 Det fremgår af syvende betragtning til direktiv 95/46, at det indre markeds oprettelse og funktion kan blive alvorligt påvirket af forskellene i de nationale ordninger, som finder anvendelse på behandling af personoplysninger (jf. dom af 6.11.2003, sag C-101/01, Lindqvist, Sml. I, s. 12971, præmis 79).
28 I denne sammenhæng henvises der til, at direktiv 95/46 – således som det bl.a. fremgår af dets ottende betragtning – har til formål at gøre beskyttelsen af det enkelte menneskes rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger ensartet i alle medlemsstater. I direktivets tiende betragtning tilføjes det, at tilnærmelsen af de nationale lovgivninger, der finder anvendelse på området, ikke må medføre en forringelse af den beskyttelse, disse yder, men at den tværtimod skal have til formål at sikre et højt beskyttelsesniveau inden for Unionen (jf. i denne retning Lindqvist-dommen, præmis 95, og Huber-dommen, præmis 50).
29 Det er således blevet fastslået, at harmoniseringen af de nævnte nationale lovgivninger ikke er begrænset til en minimumsharmonisering, men fører til en harmonisering, der i princippet er fuldstændig. Det er i dette perspektiv, at direktiv 95/46 tilsigter at sikre den frie udveksling af personoplysninger, idet der sikres en høj beskyttelse af de personers rettigheder og interesser, som oplysningerne vedrører (jf. Lindqvist-dommen, præmis 96).
30 Herefter følger det af formålet, som består i at sikre et ensartet beskyttelsesniveau i alle medlemsstaterne, at artikel 7 i direktiv 95/46 fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig.
31 Denne fortolkning støttes af ordene »kun må finde sted, hvis« og af konjunktionen »eller« i artikel 7 i direktiv 95/46, som viser, at den i denne artikel indeholdte liste er udtømmende og fuldstændig.
32 Heraf følger, at medlemsstaterne hverken kan tilføje nye principper vedrørende grundlaget for behandling af oplysninger i artikel 7 i direktiv 95/46 eller fastsætte supplerende krav, som ændrer rækkevidden af et af de seks principper, der er fastsat i denne artikel.
33 Den foregående fortolkning anfægtes ikke af artikel 5 i direktiv 95/46. Denne artikel tillader nemlig kun medlemsstaterne inden for rammerne af nævnte direktivs kapitel II og følgelig af dettes artikel 7 at præcisere de betingelser, hvorunder behandling af personoplysninger er lovlig.
34 Det skøn, som medlemsstaterne i henhold til nævnte artikel 5 råder over, kan således kun anvendes i overensstemmelse med det ved direktiv 95/46 forfulgte formål, som består i at opretholde en ligevægt mellem den frie udveksling af personoplysninger og beskyttelsen af privatlivet (jf. Lindqvist-dommen, præmis 97).
35 Direktiv 95/46 indeholder bestemmelser, der er kendetegnet ved en vis fleksibilitet, og overlader i mange tilfælde medlemsstaterne at fastlægge detaljerne eller at vælge mellem muligheder (jf. Lindqvist-dommen, præmis 83). Det er således vigtigt at sondre mellem nationale foranstaltninger, som fastsætter supplerende krav, der ændrer rækkevidden af et i artikel 7 i direktiv 95/46 fastsat princip, på den ene side, og nationale foranstaltninger, som blot præciserer et af disse principper, på den anden side. Den første type nationale foranstaltninger er forbudt. Det er kun i forbindelse med den anden type nationale foranstaltninger, at medlemsstaterne i henhold til artikel 5 i direktiv 95/46 råder over et skøn.
36 Heraf følger, at medlemsstaterne i medfør af artikel 5 i direktiv 95/46 heller ikke kan indføre andre principper vedrørende grundlaget for behandling af personoplysninger end dem, der er opregnet i dette direktivs artikel 7, eller ved supplerende krav ændre rækkevidden af de seks principper, der er fastsat i nævnte artikel 7.
37 I det foreliggende tilfælde bestemmer artikel 7, litra f), i direktiv 95/46, at behandling af personoplysninger er lovlig, såfremt »behandlingen er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, medmindre den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder, der skal beskyttes i henhold til artikel 1, stk. 1, i dette direktiv, går forud herfor«.
38 Nævnte artikel 7, litra f), fastsætter to kumulative betingelser for, at behandling af personoplysninger er lovlig, nemlig dels at behandlingen af personoplysninger skal være nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, dels at den registreredes interesser eller de grundlæggende rettigheder og frihedsrettigheder ikke går forud herfor.
39 Heraf følger, at artikel 7, litra f), i direktiv 95/46 hvad angår behandling af personoplysninger er til hinder for en national lovgivning, som i tilfælde af, at den registrerede ikke har givet sit samtykke, foruden de to kumulative betingelser, der er nævnt i foregående præmis, påbyder supplerende krav.
40 Der skal imidlertid tages hensyn til den omstændighed, at den anden af disse betingelser nødvendiggør en afvejning af de pågældende modstående rettigheder og interesser, som principielt afhænger af de konkrete omstændigheder i det enkelte tilfælde, og i forbindelse med hvilken den person eller institution, som foretager afvejningen, skal tage hensyn til vigtigheden af den registreredes rettigheder, som følger af artikel 7 og 8 i chartret om grundlæggende rettigheder.
41 I denne forbindelse bemærkes, at chartrets artikel 8, stk. 1, bestemmer, at »[e]nhver har ret til beskyttelse af personoplysninger, der vedrører ham/hende«. Denne grundlæggende rettighed er nært beslægtet med retten til respekt for privatliv som omhandlet i chartrets artikel 7 (dom af 9.11.2010, forenede sager C-92/09 og C-93/09, Volker und Markus Schecke og Eifert, endnu ikke trykt i Samling af Afgørelser, præmis 47).
42 Ifølge Domstolens praksis henviser retten til respekt for privatlivet med hensyn til behandling af personoplysninger, som anerkendt i chartrets artikel 7 og 8, til enhver form for information om en identificeret eller identificerbar fysisk person (jf. dommen i sagen Volker und Markus Schecke og Eifert, præmis 52). Imidlertid følger det af chartrets artikel 8, stk. 2, og artikel 52, stk. 1, at der på visse betingelser kan indføres begrænsninger i nævnte ret.
43 Desuden påhviler det medlemsstaterne under gennemførelsen af direktiv 95/46 at påse, at de lægger en fortolkning af dette direktiv til grund, som gør det muligt for dem at sikre den rette afvejning af de forskellige grundlæggende rettigheder og frihedsrettigheder, der er beskyttet af Unionens retsorden (jf. analogt dom af 29.1.2008, sag C-275/06, Promusicae, Sml. I, s. 271, præmis 68).
44 Hvad angår den nødvendige afvejning i henhold til artikel 7, litra f), i direktiv 95/46 er det muligt at tage hensyn til, at grovheden af den krænkelse af den registreredes grundlæggende rettigheder, der er sket ved nævnte behandling, kan variere alt efter, om de pågældende oplysninger allerede fremgår af offentligt tilgængelige kilder, eller om dette ikke er tilfældet.
45 Til forskel fra behandling af oplysninger, der fremgår af offentligt tilgængelige kilder, indebærer behandling af oplysninger, der fremgår af kilder, som ikke er offentligt tilgængelige, nemlig nødvendigvis, at oplysninger om den registreredes persons privatliv herefter vil være kendt af den registeransvarlige og i givet fald af den tredjemand eller de tredjemænd, til hvem oplysningerne videregives. Denne mere alvorlige krænkelse af den registreredes rettigheder som omhandlet i chartrets artikel 7 og 8 skal tages i betragtning med dens rette værdi, idet den skal afvejes med den legitime interesse, der forfølges af den registeransvarlige eller af den tredjemand eller de tredjemænd, til hvem oplysningerne videregives.
46 I denne forbindelse understreges, at der intet er til hinder for, at medlemsstaterne ved udøvelsen af deres skøn som omhandlet i artikel 5 i direktiv 95/46 fastsætter retningslinjer for nævnte afvejning.
47 Der er imidlertid ikke længere tale om en præcisering som omhandlet i nævnte artikel 5, hvis en national lovgivning for visse kategorier af personoplysninger udelukker muligheden for behandling ved for disse kategorier definitivt at foreskrive resultatet af afvejningen af de modstående rettigheder og interesser, uden at tillade et anderledes resultat som følge af særlige omstændigheder i det konkrete tilfælde.
48 Herefter er artikel 7, litra f), i direktiv 95/46 – uanset direktivets artikel 8 vedrørende behandlinger, der angår særlige kategorier af oplysninger, en bestemmelse, som ikke er omfattet af hovedsagen – til hinder for, at en medlemsstat kategorisk og generelt udelukker muligheden for behandling af visse kategorier af personoplysninger, uden at tillade en afvejning af de i en konkret sag foreliggende modstående rettigheder og interesser.
49 Henset til disse betragtninger skal det første spørgsmål besvares med, at artikel 7, litra f), i direktiv 95/46 skal fortolkes således, at den er til hinder for en national lovgivning, som, i tilfælde af at den registrerede ikke har givet sit samtykke, og for at muliggøre behandlingen af den pågældendes personoplysninger, som er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, kræver, ud over at den registreredes grundlæggende rettigheder og frihedsrettigheder ikke krænkes, at nævnte oplysninger er opført i offentligt tilgængelige kilder, og således kategorisk og generelt udelukker enhver behandling af oplysninger, som ikke er opført i sådanne kilder.
Om det andet spørgsmål
50 Med sit andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 7, litra f), i direktiv 95/46 har direkte virkning.
51 I denne henseende bemærkes, at det følger af Domstolens faste praksis, at borgerne i alle tilfælde, hvor bestemmelserne i et direktiv ud fra et indholdsmæssigt synspunkt fremstår som ubetingede og tilstrækkeligt præcise, kan påberåbe sig disse bestemmelser for de nationale domstole over for staten, enten når staten ikke rettidigt har gennemført direktivet i national ret, eller når den ikke har gennemført det korrekt (jf. dom af 3.3.2011, sag C-203/10, Auto Nikolovi, endnu ikke trykt i Samling af Afgørelser, præmis 61 og den deri nævnte retspraksis).
52 Det må konstateres, at artikel 7, litra f), i direktiv 95/46 er en bestemmelse, som er tilstrækkelig præcis til, at den kan påberåbes af en borger og anvendes af de nationale domstole. Selv om direktiv 95/46 uomtvisteligt indebærer en større eller mindre skønsbeføjelse for medlemsstaterne ved gennemførelsen af visse af direktivets bestemmelser, fastsættes der desuden i nævnte artikel 7, litra f), en ubetinget forpligtelse (jf. analogt dommen i sagen Österreichischer Rundfunk m.fl., præmis 100).
53 Anvendelsen af udtrykket »medmindre« i selve teksten i artikel 7, litra f), i direktiv 95/46 kan ikke i sig selv rejse tvivl om bestemmelsens ubetingede karakter, jf. nævnte retspraksis.
54 Dette udtryk tilsigter at fastsætte et af de to kumulative elementer i artikel 7, litra f), i direktiv 95/46, hvis overholdelse muligheden for at behandle personoplysninger uden samtykke fra den registrerede er underlagt. Eftersom dette element er defineret, fratager det ikke nævnte artikel 7, litra f), dennes præcise og ubetingede karakter.
55 Det andet spørgsmål skal herefter besvares med, at artikel 7, litra f), i direktiv 95/46 har direkte virkning.
Sagsomkostningerne
56 Da sagens behandling i forhold til hovedsagernes parter udgør et led i de sager, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
1) Artikel 7, litra f), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger skal fortolkes således, at den er til hinder for en national lovgivning, som, i tilfælde af at den registrerede ikke har givet sit samtykke og for at muliggøre behandlingen af den pågældendes personoplysninger, som er nødvendig for, at den registeransvarlige eller den tredjemand eller de tredjemænd, til hvem oplysningerne videregives, kan forfølge en legitim interesse, kræver, ud over at den registreredes grundlæggende rettigheder og frihedsrettigheder ikke krænkes, at nævnte oplysninger er opført i offentligt tilgængelige kilder, og således kategorisk og generelt udelukker enhver behandling af oplysninger, som ikke er opført i sådanne kilder.
2) Artikel 7, litra f), i direktiv 95/46 har direkte virkning.
Underskrifter
* Processprog: spansk.