Zaak C-101/01


Strafzaak
tegen
Bodil Lindqvist


[verzoek van het Göta hovrätt (Zweden) om een prejudiciële beslissing]

«Richtlijn 95/46/EG – Werkingssfeer – Openbaarmaking van persoonsgegevens op internet – Plaats van openbaarmaking – Begrip doorgifte van persoonsgegevens naar derde landen – Vrijheid van meningsuiting – Verenigbaarheid met richtlijn 95/46 van verdergaande bescherming van persoonsgegevens door wettelijke regeling van lidstaat»

	Conclusie van advocaat-generaal A. Tizzano van 19 september 2002

	Arrest van het Hof van 6 november 2003

Samenvatting van het arrest

1..

Harmonisatie van wetgevingen – Richtlijn 95/46 – Werkingssfeer – Begrip geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens – Vermelden van verschillende personen met hun naam of anderszins op internetpagina – Daaronder begrepen – Uitzonderingen – Specifieke activiteiten van staten of overheidsdiensten die niets van doen hebben met activiteiten van particulieren – Activiteiten die tot privé- of gezinsleven van particulieren behoren – Verwerking van persoonsgegevens die bestaat in openbaarmaking ervan op internet met oog op verrichten van vrijwilligerswerk of religieuze activiteiten – Daarvan uitgesloten

(Richtlijn 95/46 van het Europees Parlement en de Raad, art. 3, leden 1 en 2, eerste en tweede streepje)

2..

Harmonisatie van wetgevingen – Richtlijn 95/46 – Werkingssfeer – Begrip persoonsgegeven betreffende gezondheid – Vermelding van voetblessure die tot gedeeltelijk ziekteverlof heeft geleid – Daaronder begrepen

(Richtlijn 95/46 van het Europees Parlement en de Raad, art. 8, lid 1)

3..

Harmonisatie van wetgevingen – Richtlijn 95/46 – Doorgifte van persoonsgegevens naar derde landen – Begrip – Plaatsing van gegevens op internetpagina die toegankelijk wordt gemaakt voor personen die technische middelen hebben om zich toegang daartoe te verschaffen, met inbegrip van personen uit derde landen – Daarvan uitgesloten

(Richtlijn 95/46 van het Europees Parlement en de Raad, art. 25)

4..

Harmonisatie van wetgevingen – Richtlijn 95/46 – Eerbiediging van grondrechten – Vrijheid van meningsuiting – Verplichting voor nationale autoriteiten die belast zijn met toepassing van nationale regeling houdende omzetting van richtlijn, om juist evenwicht tussen betrokken rechten en belangen te verzekeren

(Europees verdrag tot bescherming van de rechten van de mens, art. 10; richtlijn 95/46 van het Europees Parlement en de Raad)

5..

Harmonisatie van wetgevingen – Richtlijn 95/46 – Nationale wettelijke regeling die bescherming van persoonsgegevens verzekert – Noodzaak van overeenstemming met zowel bepalingen als doel van richtlijn – Mogelijkheid voor lidstaat om draagwijdte daarvan uit te breiden tot niet binnen werkingssfeer van richtlijn vallende gebieden – Grenzen

(Richtlijn 95/46 van het Europees Parlement en de Raad)

1.

Het vermelden van verschillende personen op een internetpagina met hun naam of anderszins, bijvoorbeeld met hun telefoonnummer of met informatie over hun werksituatie en hun liefhebberijen, is aan te merken als een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens in de zin van artikel 3, lid 1, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Een dergelijke verwerking van persoonsgegevens met het oog op uitoefening van vrijwilligerswerk of religieuze activiteiten valt onder geen van de uitzonderingen van artikel 3, lid 2. De eerste uitzondering in artikel 3, lid 2, eerste streepje, betreft namelijk de verwerking van persoonsgegevens die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschieden, zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie, en in ieder geval de verwerking van gegevens die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied. De in die bepaling als voorbeeld genoemde activiteiten zijn alle specifieke activiteiten van de staten of de overheidsdiensten die met de activiteiten van particulieren niets van doen hebben en dienen tot afbakening van de werkingssfeer van de daarin geregelde uitzondering, zodat die uitzondering enkel geldt voor activiteiten die daarin uitdrukkelijk zijn vermeld of die in dezelfde categorie kunnen worden ondergebracht. Vrijwilligerswerk of religieuze activiteiten zijn evenwel niet gelijk te stellen met de in die bepaling genoemde activiteiten en vallen dus niet onder die uitzondering. De tweede uitzondering in artikel 3, lid 2, tweede streepje, heeft uitsluitend betrekking op activiteiten die tot het privé- of gezinsleven van particulieren behoren, hetgeen kennelijk niet het geval is met de verwerking van persoonsgegevens die bestaat in de openbaarmaking ervan op internet waardoor die gegevens voor een onbepaald aantal personen toegankelijk worden gemaakt. cf. punten 27, 38, 43-48, dictum 1-2

2.

Het feit dat iemand zijn voet heeft bezeerd en met gedeeltelijk ziekteverlof is, is een persoonsgegeven betreffende de gezondheid in de zin van artikel 8, lid 1, van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Gelet op het doel van de richtlijn, dient aan de uitdrukking gegevens die de gezondheid betreffen in dat artikel namelijk een ruime uitlegging te worden gegeven, zodat informatie over alle ─ zowel fysieke als psychische ─ aspecten van iemands gezondheid daaronder valt. cf. punten 50-51, dictum 3

3.

Van doorgifte van gegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, is geen sprake wanneer een persoon in een lidstaat persoonsgegevens plaatst op een internetpagina die is opgeslagen bij een in dezelfde of in een andere lidstaat gevestigde natuurlijke of rechtspersoon bij wie de website is ondergebracht waarop de pagina kan worden geraadpleegd, en deze persoonsgegevens aldus toegankelijk maakt voor eenieder die een internetverbinding tot stand brengt, met inbegrip van personen die zich in derde landen bevinden. Gezien de stand van de ontwikkeling van internet ten tijde van de vaststelling van richtlijn 95/46 en het ontbreken van criteria voor het gebruik van internet in hoofdstuk IV, waartoe artikel 25 behoort, dat een controle door de lidstaten van de doorgiften van persoonsgegevens naar derde landen beoogt te waarborgen en de doorgifte daarvan beoogt te verbieden indien daar geen passend beschermingsniveau wordt geboden, kan niet worden aangenomen dat de gemeenschapswetgever de bedoeling had, het begrip doorgifte van gegevens naar een derde land ook te laten gelden voor het plaatsen van gegevens op een internetpagina, zelfs wanneer die gegevens daarmee toegankelijk worden gemaakt voor personen uit derde landen die de technische middelen hebben om zich toegang daartoe te verschaffen. cf. punten 63-64, 68, 71, dictum 4

4.

De bepalingen van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, bevatten als zodanig geen beperking die in strijd is met het algemene beginsel van vrijheid van meningsuiting of met andere in de Europese Unie geldende rechten en vrijheden die onder meer overeenkomen met artikel 10 van het Europees verdrag tot bescherming van de rechten van de mens. Het staat aan de nationale autoriteiten en rechterlijke instanties die belast zijn met de toepassing van de nationale regeling houdende omzetting van die richtlijn, een juist evenwicht te verzekeren tussen de betrokken rechten en belangen, met inbegrip van de door de communautaire rechtsorde beschermde grondrechten. cf. punt 90, dictum 5

5.

De maatregelen die de lidstaten nemen om de bescherming van de persoonsgegevens te waarborgen, moeten stroken met zowel de bepalingen van richtlijn 95/46 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, als het doel ervan, dat erin bestaat een evenwicht tussen het vrije verkeer van de persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren. Daarentegen verzet niets zich ertegen dat een lidstaat de draagwijdte van de nationale wettelijke regeling houdende uitvoering van de bepalingen van die richtlijn, uitbreidt tot niet binnen de werkingssfeer daarvan vallende gebieden, voorzover geen enkele andere bepaling van gemeenschapsrecht daaraan in de weg staat. cf. punt 99, dictum 6

ARREST VAN HET HOF

6 november 2003 (*)

«Richtlijn 95/46/EG - Werkingssfeer - Openbaarmaking van persoonsgegevens op internet - Plaats van openbaarmaking - Begrip doorgifte van persoonsgegevens naar derde landen - Vrijheid van meningsuiting - Verenigbaarheid met richtlijn 95/46 van verdergaande bescherming van persoonsgegevens door wettelijke regeling van lidstaat»

In zaak C-101/01,

betreffende een verzoek aan het Hof krachtens artikel 234 EG van het Göta hovrätt (Zweden), in de aldaar dienende strafzaak tegen

Bodil Lindqvist,      

om een prejudiciële beslissing over de uitlegging van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31),

wijst

HET HOF VAN JUSTITIE,

samengesteld als volgt: P. Jann, president van de Eerste kamer, waarnemend voor de president, C. W. A. Timmermans, C. Gulmann, J. N. Cunha Rodrigues en A. Rosas, kamerpresidenten, D. A. O. Edward (rapporteur), J.-P. Puissochet, F. Macken en S. von Bahr, rechters,

advocaat-generaal: A. Tizzano,

griffier: H. von Holstein, adjunct-griffier,

gelet op de schriftelijke opmerkingen ingediend door:

- B. Lindqvist, vertegenwoordigd door S. Larsson, advokat,

- de Zweedse regering, vertegenwoordigd door A. Kruse als gemachtigde,

- de Nederlandse regering, vertegenwoordigd door H. G. Sevenster als gemachtigde,

- de regering van het Verenigd Koninkrijk, vertegenwoordigd door G. Amodeo als gemachtigde, bijgestaan door J. Stratford, barrister,

- de Commissie van de Europese Gemeenschappen, vertegenwoordigd door L. Ström en X. Lewis als gemachtigden,

gezien het rapport ter terechtzitting,

gehoord de mondelinge opmerkingen van B. Lindqvist, vertegenwoordigd door S. Larsson; de Zweedse regering, vertegenwoordigd door A. Kruse en B. Hernqvist als gemachtigde; de Nederlandse regering, vertegenwoordigd door J. van Bakel als gemachtigde; de regering van het Verenigd Koninkrijk, vertegenwoordigd door J. Stratford; de Commissie, vertegenwoordigd door L. Ström en C. Docksey als gemachtigde, en de Toezichthoudende Autoriteit van de EVA, vertegenwoordigd door D. Sif Tynes als gemachtigde, ter terechtzitting van 30 april 2002,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 19 september 2002,

het navolgende

Arrest

1       Bij beschikking van 23 februari 2001, bij het Hof ingekomen op 1 maart daaraanvolgend, heeft het Göta hovrätt krachtens artikel 234 EG zeven prejudiciële vragen gesteld over met name de uitlegging van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB L 281, blz. 31).

2       Die vragen zijn gerezen in een bij die rechterlijke instantie aanhangige strafzaak tegen B. Lindqvist, die ten laste wordt gelegd dat zij inbreuk heeft gemaakt op de Zweedse wettelijke regeling inzake de bescherming van persoonsgegevens door de openbaarmaking op haar website van persoonsgegevens betreffende een aantal personen die evenals zij als vrijwilliger werken in een gemeente van de Protestantse kerk van Zweden.

 De toepasselijke bepalingen

 Bepalingen van gemeenschapsrecht

3       Blijkens artikel 1, lid 1, van richtlijn 95/46 beoogt die richtlijn in verband met de verwerking van persoonsgegevens de bescherming van de fundamentele rechten en vrijheden van natuurlijke personen, inzonderheid van het recht op persoonlijke levenssfeer.

4       Artikel 3 van richtlijn 95/46, betreffende de werkingssfeer daarvan, bepaalt:

1. De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

2. De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:

- die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied;

- die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.

5       Artikel 8 van richtlijn 95/46, Verwerkingen die bijzondere categorieën gegevens betreffen, luidt:

1. De lidstaten verbieden de verwerking van persoonlijke gegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt, alsook de verwerking van gegevens die de gezondheid of het seksuele leven betreffen.

2. Lid 1 is niet van toepassing wanneer:

a) de betrokkene uitdrukkelijk heeft toegestemd in een dergelijke verwerking, tenzij in de wetgeving van de lidstaat is bepaald dat het in lid 1 bedoelde verbod niet door toestemming van de betrokkene ongedaan kan worden gemaakt;

of

b) de verwerking noodzakelijk is met het oog op de uitvoering van de verplichtingen en de rechten van de voor de verwerking verantwoordelijke inzake arbeidsrecht, voorzover zulks is toegestaan bij de nationale wetgeving en deze adequate garanties biedt;

of

c) de verwerking noodzakelijk is ter verdediging van de vitale belangen van de betrokkene of van een andere persoon indien deze lichamelijk of juridisch niet in staat is van zijn instemming te getuigen;

of

d) de verwerking wordt verricht door een stichting, een vereniging, of enige andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is, in het kader van hun gerechtvaardigde activiteiten en met de nodige garanties, mits de verwerking uitsluitend betrekking heeft op de leden van de stichting, de vereniging of de instantie of op de personen die in verband met haar streefdoelen regelmatige contacten met haar onderhouden, en de gegevens niet zonder de toestemming van de betrokkenen aan derden worden doorgegeven;

of

e) de verwerking betrekking heeft op gegevens die duidelijk door de betrokkene openbaar zijn gemaakt of noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte.

3. Lid 1 is niet van toepassing wanneer de verwerking van de gegevens noodzakelijk is voor de doeleinden van preventieve geneeskunde of medische diagnose, het verstrekken van zorg of behandelingen of het beheer van gezondheidsdiensten en wanneer die gegevens worden verwerkt door een gezondheidswerker die onderworpen is aan het in de nationale wetgeving, of in de door nationale bevoegde instanties vastgestelde regelgeving, vastgelegde beroepsgeheim of door een andere persoon voor wie een gelijkwaardige geheimhoudingsplicht geldt.

4. Mits passende waarborgen worden geboden, mogen de lidstaten om redenen van zwaarwegend algemeen belang bij nationale wet of bij een besluit van de toezichthoudende autoriteit nog andere afwijkingen naast die bedoeld in lid 2 vaststellen.

5. Verwerkingen van gegevens inzake overtredingen, strafrechtelijke veroordelingen of veiligheidsmaatregelen mogen alleen worden verricht onder toezicht van de overheid of indien de nationale wetgeving voorziet in passende specifieke waarborgen, behoudens afwijkingen die een lidstaat kan toestaan uit hoofde van nationale bepalingen welke passende en specifieke waarborgen bieden. Een volledig register van strafrechtelijke veroordelingen mag alleen worden bijgehouden onder toezicht van de overheid.

De lidstaten kunnen voorschrijven dat ook verwerkingen van gegevens inzake administratieve sancties of burgerrechtelijke beslissingen onder toezicht van de overheid kunnen worden verricht.

6. De in de leden 4 en 5 bedoelde afwijkingen van lid 1 worden ter kennis van de Commissie gebracht.

7. De lidstaten stellen de voorwaarden vast waaronder een nationaal identificatienummer of enig ander identificatiemiddel van algemene aard voor verwerkingsdoeleinden mag worden gebruikt.

6       Artikel 9 van richtlijn 95/46, Verwerking van persoonsgegevens en vrijheid van meningsuiting, bepaalt:

De lidstaten voorzien voor de verwerking van persoonsgegevens voor uitsluitend journalistieke of voor artistieke of literaire doeleinden in uitzonderingen op en afwijkingen van de bepalingen van dit hoofdstuk en van de hoofdstukken IV en VI uitsluitend voorzover deze nodig blijken om het recht op persoonlijke levenssfeer te verzoenen met de regels betreffende de vrijheid van meningsuiting.

7       Volgens artikel 13 van richtlijn 95/46, Uitzonderingen en beperkingen, mogen de lidstaten bepaalde verplichtingen van de voor de gegevensverwerking verantwoordelijke, met name met betrekking tot de informatie van de betrokken personen, beperken voorzover zulks nodig is om bijvoorbeeld de staatsveiligheid, de landsverdediging, de openbare veiligheid, een belangrijk economisch en financieel belang van een lidstaat of van de Europese Unie te vrijwaren en om strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen op te sporen en te vervolgen.

8       Artikel 25 van richtlijn 95/46 in hoofdstuk IV, Doorgifte van persoonsgegevens naar derde landen, luidt:

1. De lidstaten bepalen dat persoonsgegevens die aan een verwerking worden onderworpen of die bestemd zijn om na doorgifte te worden verwerkt, slechts naar een derde land mogen worden doorgegeven indien, onverminderd de naleving van de nationale bepalingen die zijn vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn, dat land een passend beschermingsniveau waarborgt.

2. Het passend karakter van het door een derde land geboden beschermingsniveau wordt beoordeeld met inachtneming van alle omstandigheden die op de doorgifte van gegevens of op een categorie gegevensdoorgiften van invloed zijn; in het bijzonder wordt rekening gehouden met de aard van de gegevens, met het doeleinde en met de duur van de voorgenomen verwerking of verwerkingen, het land van herkomst en het land van eindbestemming, de algemene en sectoriële rechtsregels die in het betrokken derde land gelden, alsmede de beroepscodes en de veiligheidsmaatregelen die in die landen worden nageleefd.

3. De lidstaten en de Commissie brengen elkaar op de hoogte van de gevallen waarin, naar hun oordeel, een derde land geen waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt.

4. Wanneer de Commissie volgens de procedure van artikel 31, lid 2, constateert dat een derde land geen waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt, nemen de lidstaten de nodige maatregelen om doorgifte van gegevens van dezelfde aard naar het betrokken land te voorkomen.

5. De Commissie opent op het gepaste ogenblik onderhandelingen ter verhelping van de situatie die voortvloeit uit de in lid 4 bedoelde constatering.

6. De Commissie kan volgens de procedure van artikel 31, lid 2, constateren dat een derde land, op grond van zijn nationale wetgeving of zijn internationale verbintenissen, die het met name na de in lid 5 bedoelde onderhandelingen is aangegaan, waarborgen voor een passend beschermingsniveau in de zin van lid 2 biedt met het oog op de bescherming van de persoonlijke levenssfeer en de fundamentele vrijheden en rechten van personen.

De lidstaten nemen de nodige maatregelen om zich naar het besluit van de Commissie te voegen.

9       Bij de vaststelling van richtlijn 95/46 heeft het Koninkrijk Zweden ter zake van artikel 9 daarvan een verklaring in de notulen van de Raad (document nr. 4649/95 van de Raad van 2 februari 1995) laten opnemen, die luidt:

Het Koninkrijk Zweden is van mening dat het begrip artistieke of literaire doeleinden eerder doelt op het uitingsmiddel dan op de inhoud van de mededeling of de kwaliteit ervan.

10     Artikel 8 van het Europees verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden, ondertekend te Rome op 4 november 1950 (hierna: EVRM), regelt het recht op respect voor het privéleven, het familie- en gezinsleven, en artikel 10 daarvan bevat bepalingen inzake de vrijheid van meningsuiting.

 De nationale wettelijke bepalingen

11     Richtlijn 95/46 is in Zweeds recht omgezet bij de Personuppgiftslag, SFS 1998, nr. 204 (Zweedse wet op de persoonsgegevens; hierna: PUL).

 Het hoofdgeding en de prejudiciële vragen

12     Naast haar baan als huishoudelijke hulp gaf Lindqvist catechisatie aan toekomstige lidmaten van de kerkgemeente Aldesa (Zweden). Zij heeft een computercursus gevolgd in het kader waarvan zij onder meer een homepage op internet moest creëren. Eind 1998 heeft Lindqvist thuis op haar eigen computer internetpagina's gecreëerd, zodat gemeenteleden die hun belijdenis wilden doen, gemakkelijk de door hen benodigde informatie konden opvragen. Op haar verzoek heeft de webmaster van de website van de Kerk van Zweden op die website een link naar die pagina's geplaatst.

13     De bedoelde pagina's bevatten informatie over Lindqvist en 18 van haar collega's in de kerkgemeente, waaronder hun volledige naam of soms alleen hun voornaam. Bovendien beschreef Lindqvist in licht humoristische bewoordingen de werkzaamheden van haar collega's en hun liefhebberijen. In een aantal gevallen werden hun gezinssituatie, hun telefoonnummer en andere gegevens vermeld. Verder heeft zij verteld dat een van haar collega's haar voet had bezeerd en met gedeeltelijk ziekteverlof was.

14     Lindqvist had noch haar collega's van het bestaan van die pagina's op de hoogte gesteld noch hun toestemming gekregen, en had evenmin haar handelwijze aan de Datainspektion gemeld (overheidsorgaan voor de bescherming van elektronisch doorgegeven gegevens). Toen zij vernam dat de bedoelde pagina's door een aantal van haar collega's niet op prijs werden gesteld, heeft zij ze verwijderd.

15     Het openbaar ministerie heeft strafrechtelijke vervolging tegen Lindqvist ingesteld wegens schending van de PUL, en haar veroordeling gevorderd op grond dat zij:

–       - persoonsgegevens geautomatiseerd had verwerkt zonder dit vooraf schriftelijk aan de Datainspektion te melden (artikel 36 van de PUL);

–       - zonder toestemming gevoelige persoonsgegevens, namelijk een voetblessure en een gedeeltelijk ziekteverlof, had verwerkt (artikel 13 van de PUL);

–       - zonder toestemming verwerkte persoonsgegevens naar derde landen had doorgegeven (artikel 33 van de PUL).

16     Lindqvist heeft de feiten erkend, maar ontkend dat zij een strafbaar feit had gepleegd. Tegen haar veroordeling door het Eksjö tingsrätt (Zweden) tot betaling van een geldboete heeft zij bij de verwijzende rechter hoger beroep ingesteld.

17     De geldboete bedroeg 4 000 SEK, aangezien het bedrag van 100 SEK, dat op basis van de financiële situatie van Lindqvist was berekend, wegens de ernst van de inbreuk met de factor 40 was vermenigvuldigd. Lindqvist is bovendien veroordeeld tot betaling van 300 SEK aan een Zweeds fonds voor slachtofferhulp.

18     Daar het Göta hovrätt twijfel koesterde omtrent de uitlegging van het ter zake geldende gemeenschapsrecht, met name richtlijn 95/46, heeft het de behandeling van de zaak geschorst en het Hof de volgende prejudiciële vragen gesteld:

1) Is het vermelden van een persoon - met naam of met naam en telefoonnummer - op een homepage op het internet een handeling die onder de werkingssfeer van richtlijn [95/46] valt? Is er sprake van een .geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, wanneer op een eigenhandig gecreëerde homepage op het internet een aantal personen worden vermeld met verklaringen en mededelingen omtrent onder meer hun werksituatie of hun hobby's?

2) Bij ontkennend antwoord op de voorgaande vraag: kan het op een homepage op internet creëren van speciale pagina's voor een vijftiental personen, met links tussen die pagina's die zoeken op voornaam mogelijk maken, worden aangemerkt als een .niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen in de zin van artikel 3, lid 1?

Indien het antwoord op een van deze vragen bevestigend luidt, stelt de hovrätt ook nog de volgende vragen:

3) Kan het opnemen van dergelijke gegevens over collega's op een privé-homepage, die evenwel toegankelijk is voor al degenen die het adres van de homepage kennen, op grond van een van de uitzonderingen van artikel 3, lid 2, worden geacht buiten de werkingssfeer van richtlijn [95/46] te vallen?

4) Is de mededeling op een homepage, dat een bij name genoemde collega haar voet heeft bezeerd en met gedeeltelijk ziekteverlof is, een persoonsgegeven over de gezondheid, dat volgens artikel 8, lid 1, niet mag worden verwerkt?

5) De doorgifte van persoonsgegevens naar derde landen is volgens richtlijn [95/46] in bepaalde gevallen verboden. Indien iemand in Zweden met behulp van een computer persoonsgegevens op een homepage opneemt, die op een server in Zweden is opgeslagen - waardoor die persoonsgegevens voor onderdanen van een derde land toegankelijk worden -, is dan sprake van doorgifte van gegevens naar derde landen in de zin van richtlijn [95/46]? Blijft het antwoord hetzelfde indien, voorzover bekend, geen onderdaan van een derde land feitelijk kennis heeft genomen van de gegevens, of indien de betrokken server zich zuiver fysiek in een derde land bevindt?

6) Vormen de bepalingen van richtlijn [95/46] in een geval als het onderhavige een beperking die in strijd is met de algemene beginselen van vrijheid van meningsuiting of andere in de EU geldende vrijheden of rechten, die onder meer overeenkomen met artikel 10 van het Europees verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden?

Ten slotte stelt het hovrätt nog de volgende vraag:

7) Kan een lidstaat op de in de voorgaande vragen bedoelde punten voorzien in een verdergaande bescherming van persoonsgegevens of in een ruimere werkingssfeer dan uit richtlijn [95/46] voortvloeit, ook wanneer geen sprake is van een van de in artikel 13 bedoelde gevallen?

 De eerste vraag

19     Met deze vraag wenst de verwijzende rechter te vernemen of het vermelden van verschillende personen op een internetpagina met hun naam of anderszins, bijvoorbeeld met hun telefoonnummer of informatie over hun werksituatie en hun hobby's, een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens in de zin van artikel 3, lid 1, van richtlijn 95/46 vormt.

 Bij het Hof ingediende opmerkingen

20     Volgens Lindqvist is het niet aannemelijk dat de loutere vermelding van iemands naam of van persoonsgegevens in een tekst op een internetpagina een geautomatiseerde gegevensverwerking is. Daarentegen kan de vermelding van die gegevens in een keyword van de meta tags van een internetpagina, waardoor indexering mogelijk is en die pagina met een zoekmachine kan worden gevonden, wel een dergelijke verwerking vormen.

21     De Zweedse regering stelt dat het begrip geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens als bedoeld in artikel 3, lid 1, van richtlijn 95/46 alle elektronische, dus digitale, verwerkingen omvat. Wanneer een persoonsgegeven met een computer wordt verwerkt, bijvoorbeeld met een tekstverwerkingsprogramma of via plaatsing van dat gegeven op een internetpagina, valt de verwerking daarvan onder richtlijn 95/46.

22     De Nederlandse regering voert aan dat het plaatsen van persoonsgegevens op een internetpagina geschiedt met behulp van een computer en een server, hetgeen een belangrijk kenmerk van automatisering is, zodat moet worden aangenomen dat sprake is van een geautomatiseerde verwerking van die gegevens.

23     De Commissie stelt dat richtlijn 95/46 van toepassing is op alle verwerkingen van persoonsgegevens als bedoeld in artikel 3 daarvan, ongeacht welke technische middelen worden gebruikt. De terbeschikkingstelling van persoonsgegevens op internet is derhalve aan te merken als geheel of gedeeltelijk geautomatiseerde verwerking, mits er geen technische beperkingen zijn waardoor de verwerking uitsluitend handmatig kan geschieden. Een internetpagina valt derhalve naar haar aard onder de werkingssfeer van richtlijn 95/46.

 Antwoord van het Hof

24     Het in artikel 3, lid 1, van richtlijn 95/46 gebezigde begrip persoonsgegevens omvat volgens de definitie in artikel 2, sub a, daarvan iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Hieronder valt vanzelfsprekend iemands naam tezamen met zijn telefoonnummer of gegevens over zijn werksituatie en zijn liefhebberijen.

25     Het begrip verwerking van die gegevens in artikel 3, lid 1, van richtlijn 95/46 omvat volgens de definitie in artikel 2, sub b, daarvan elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés. Laatstgenoemde bepaling noemt een aantal voorbeelden van die bewerkingen, waaronder verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen van gegevens. Bijgevolg moet het plaatsen van persoonsgegevens op een internetpagina als een dergelijke verwerking worden aangemerkt.

26     Verder moet nog worden uitgemaakt of dit een geheel of gedeeltelijk geautomatiseerde verwerking is. In dit verband moet worden opgemerkt dat het plaatsen van informatie op een internetpagina volgens de thans toegepaste technische en elektronische procedures betekent, dat die pagina wordt geüploaded op een server en dat de nodige handelingen worden verricht om die pagina toegankelijk te maken voor degenen die een internetverbinding hebben gemaakt. Die handelingen worden ten minste gedeeltelijk geautomatiseerd verricht.

27     Derhalve moet op de eerste vraag worden geantwoord, dat het vermelden van verschillende personen op een internetpagina met hun naam of anderszins, bijvoorbeeld met hun telefoonnummer of informatie over hun werksituatie en hun liefhebberijen, als een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens in de zin van artikel 3, lid 1, van richtlijn 95/46 is aan te merken.

 De tweede vraag

28     Daar de eerste vraag bevestigend is beantwoord, behoeft niet te worden ingegaan op de tweede vraag, die enkel is gesteld voor het geval dat de eerste vraag ontkennend zou worden beantwoord.

 De derde vraag

29     Met deze vraag wenst de verwijzende rechter in wezen te vernemen of een verwerking van persoonsgegevens als bedoeld in de eerste vraag, valt onder een van de uitzonderingen van artikel 3, lid 2, van richtlijn 95/46.

 Bij het Hof ingediende opmerkingen

30     Lindqvist stelt dat een particulier die met gebruikmaking van zijn vrijheid van meningsuiting internetpagina's creëert in het kader van een activiteit zonder winstoogmerk of van zijn hobby, geen economische activiteit uitoefent en dus niet onder de toepassing van het gemeenschapsrecht valt. Mocht het Hof een andere opvatting zijn toegedaan, dan rijst de vraag of richtlijn 95/46 geldig is, want in dat geval zou de gemeenschapswetgever met de vaststelling van die richtlijn de bevoegdheden hebben overschreden die hem bij artikel 100 A EG-Verdrag (thans, na wijziging, artikel 95 EG) zijn verleend. Immers, de harmonisatie van de wetgevingen die de instelling en de werking van de interne markt betreffen, kan niet als rechtsgrondslag dienen voor communautaire maatregelen die het recht van particulieren op vrijheid van meningsuiting op internet regelen.

31     De Zweedse regering voert aan dat de Zweedse wetgever bij de omzetting van richtlijn 95/46 in nationaal recht ervan is uitgegaan dat de verwerking van persoonsgegevens door een natuurlijk persoon, die bestaat in de doorgifte van die gegevens aan een onbepaald aantal personen, bijvoorbeeld via internet, niet kon worden aangemerkt als activiteit met uitsluitend persoonlijke of huishoudelijke doeleinden in de zin van artikel 3, lid 2, tweede streepje, van richtlijn 95/46. Daarentegen sluit deze regering niet uit dat de uitzondering van artikel 3, lid 2, eerste streepje, betrekking heeft op gevallen waarin een natuurlijk persoon persoonsgegevens op een internetpagina openbaar maakt enkel in het kader van de uitoefening van zijn vrijheid van meningsuiting en zonder enige band met een beroepsmatige of commerciële activiteit.

32     Volgens de Nederlandse regering valt een geautomatiseerde verwerking van gegevens als de onderhavige onder geen van de uitzonderingen van artikel 3, lid 2, van richtlijn 95/46. Wat meer in het bijzonder de uitzondering van het tweede streepje van artikel 3, lid 2, betreft, merkt die regering op dat wie een internetpagina creëert, de daarop geplaatste gegevens ter kennis brengt van een in beginsel onbepaalde groep personen.

33     De Commissie voert aan dat een internetpagina als die waarom het in het hoofdgeding gaat, niet kan worden geacht buiten de werkingssfeer van richtlijn 95/46 te vallen krachtens artikel 3, lid 2, van die richtlijn, maar, gelet op het doel van die pagina, een creatie voor artistieke of literaire doeleinden in de zin van artikel 9 van die richtlijn is.

34     Artikel 3, lid 2, eerste streepje, van richtlijn 95/46 kan volgens de Commissie op twee verschillende manieren worden uitgelegd. Volgens de ene uitlegging is de strekking van die bepaling beperkt tot de als voorbeelden aangehaalde gebieden, namelijk de activiteiten die voornamelijk vallen onder wat men de tweede en de derde pijler pleegt te noemen. Volgens de andere uitlegging is de uitoefening van alle niet onder het gemeenschapsrecht vallende activiteiten van de werkingssfeer van richtlijn 95/46 uitgesloten.

35     De Commissie stelt dat het gemeenschapsrecht zich niet beperkt tot de economische activiteiten die verband houden met de vier fundamentele vrijheden. Uit de rechtsgrondslag van richtlijn 95/46, het doel ervan, artikel 6 EU, het Handvest van de grondrechten van de Europese Unie dat op 18 december 2000 te Nice is afgekondigd (PB C 364, blz. 1), en het Verdrag van de Raad van Europa van 28 januari 1981 tot bescherming van personen ten aanzien van de geautomatiseerde verwerking van persoonsgegevens, moet volgens haar worden afgeleid, dat die richtlijn beoogt het vrije verkeer van persoonsgegevens als de uitoefening van niet alleen een economische maar ook van een sociale activiteit in het kader van de integratie en de werking van de interne markt te regelen.

36     Bovendien zou een algemene uitsluiting van de werkingssfeer van richtlijn 95/46 van internetpagina's die geen commercieel of dienstenelement bevatten, tot ernstige afbakeningsproblemen kunnen leiden. Een groot aantal internetpagina's met persoonsgegevens die bedoeld zijn om bepaalde personen in een kwaad daglicht te stellen, zou dan buiten de werkingssfeer van die richtlijn kunnen vallen.

 Antwoord van het Hof

37     In artikel 3, lid 2, van richtlijn 95/46 worden twee uitzonderingen op de werkingssfeer daarvan gemaakt.

38     De eerste uitzondering betreft de verwerking van persoonsgegevens die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschieden zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie, en in ieder geval de verwerking van gegevens die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat (waaronder de economie van de staat, wanneer deze verwerkingen in verband staan met vraagstukken van staatsveiligheid), en de activiteiten van de staat op strafrechtelijk gebied.

39     Daar de in het hoofdgeding betrokken activiteiten van Lindqvist in wezen niet economisch waren maar te maken hadden met vrijwilligerswerk en religieuze activiteiten, moet worden onderzocht of zij zijn aan te merken als verwerkingen van persoonsgegevens die met het oog op de uitoefening van niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten geschieden in de zin van artikel 3, lid 2, eerste streepje van richtlijn 95/46.

40     Het Hof heeft ter zake van richtlijn 95/46, die op artikel 100 A van het Verdrag is gebaseerd, reeds beslist dat voor een beroep op die rechtsgrondslag niet vereist is, dat in elke situatie die valt onder een op deze grondslag gebaseerde handeling een daadwerkelijk verband met het vrije verkeer tussen lidstaten bestaat (zie arrest van 20 mei 2003, Österreichischer Rundfunk e.a., C-465/00, C-138/01 en C-139/01, Jurispr. blz. I-4989, punt 41 en aldaar aangehaalde rechtspraak).

41     Iedere andere uitlegging brengt het gevaar met zich dat de grenzen van de werkingssfeer van die richtlijn bijzonder onzeker en vaag worden, hetgeen strijdig zou zijn met de voornaamste doelstelling van de richtlijn, namelijk de harmonisatie van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten teneinde de belemmeringen van de werking van de interne markt die voortvloeien uit de verschillen tussen nationale wetgevingen weg te nemen (arrest Österreichischer Rundfunk e.a., reeds aangehaald, punt 42).

42     In die omstandigheden mag de uitdrukking niet binnen de werkingssfeer van het gemeenschapsrecht vallende activiteiten niet in dier voege worden uitgelegd, dat van geval tot geval moet worden nagegaan of de betrokken specifieke activiteit het vrije verkeer tussen lidstaten rechtstreeks beïnvloedt.

43     De in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 als voorbeeld genoemde activiteiten (te weten de activiteiten bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie, alsmede de verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de staat, en de activiteiten op strafrechtelijk gebied) zijn telkens specifieke activiteiten van de staten of de overheidsdiensten en hebben met de activiteiten van particulieren niets van doen.

44     Derhalve moet ervan worden uitgegaan dat de activiteiten die in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 als voorbeeld worden genoemd, dienen tot afbakening van het toepassingsgebied van de daarin geregelde uitzondering, zodat die uitzondering enkel geldt voor activiteiten die daarin dus uitdrukkelijk zijn vermeld of die in dezelfde categorie kunnen worden ondergebracht (ejusdem generis).

45     Vrijwilligerswerk of religieuze activiteiten, zoals door Lindqvist zijn uitgeoefend, zijn niet gelijk te stellen met de in artikel 3, lid 2, eerste streepje, van richtlijn 95/46 genoemde activiteiten en vallen dus niet onder die uitzondering.

46     Met betrekking tot de tweede uitzondering van artikel 3, lid 2, tweede streepje, van richtlijn 95/46 zijn in punt 12 van de considerans van die richtlijn de correspondentie en het bijhouden van adressenbestanden genoemd als voorbeelden van verwerking van gegevens door een natuurlijke persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden.

47     Die uitzondering moet derhalve aldus worden uitgelegd, dat zij uitsluitend betrekking heeft op activiteiten die tot het persoonlijke of gezinsleven van particulieren behoren, hetgeen klaarblijkelijk niet het geval is met de verwerking van persoonsgegevens die bestaat in hun openbaarmaking op internet waardoor die gegevens voor een onbepaald aantal personen toegankelijk worden gemaakt.

48     Derhalve moet op de derde vraag worden geantwoord, dat een verwerking van persoonsgegevens als vermeld in het antwoord op de eerste vraag onder geen van de uitzonderingen van artikel 3, lid 2, van richtlijn 95/46 valt.

 De vierde vraag

49     Met de vierde vraag wenst de verwijzende rechter te vernemen of de vermelding van het feit dat iemand zijn voet heeft bezeerd en met gedeeltelijk ziekteverlof is, een persoonsgegeven betreffende de gezondheid in de zin van artikel 8, lid 1, van richtlijn 95/46 is.

50     Gelet op het doel van de richtlijn, moet aan de uitdrukking gegevens die de gezondheid betreffen in artikel 8, lid 1, een ruime uitlegging worden gegeven, zodat informatie over alle - zowel fysieke als psychische - aspecten van iemands gezondheid daaronder valt.

51     Op de vierde vraag moet derhalve worden geantwoord, dat de vermelding van het feit dat iemand zijn voet heeft bezeerd en met gedeeltelijk ziekteverlof is, een persoonsgegeven betreffende de gezondheid in de zin van artikel 8, lid 1, van richtlijn 95/46 is.

 De vijfde vraag

52     Met deze vraag wenst de verwijzende rechter in wezen te vernemen of er sprake is van doorgifte van gegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46, wanneer een zich in een lidstaat bevindende persoon op een internetpagina, die is opgeslagen bij een in dezelfde of in een andere lidstaat gevestigde natuurlijke of rechtspersoon, waarbij de website is ondergebracht waarop de pagina kan worden geraadpleegd (hierna: hosting provider), persoonsgegevens plaatst en ze daarmee toegankelijk maakt voor eenieder die een internetverbinding tot stand brengt, met inbegrip van personen in derde landen. De verwijzende rechter vraagt ook nog of het antwoord op deze vraag hetzelfde luidt wanneer blijkt dat geen enkel onderdaan van een derde land daadwerkelijk kennis heeft genomen van die gegevens of dat de server waarop de pagina is opgeslagen, zich zuiver fysiek in een derde land bevindt.

 Bij het Hof ingediende opmerkingen

53     Volgens de Commissie en de Zweedse regering is het met behulp van een computer plaatsen van persoonsgegevens op een internetpagina, zodat die gegevens toegankelijk worden voor onderdanen van derde landen, een doorgifte van gegevens naar derde landen in de zin van richtlijn 95/46. Het maakt voor het antwoord niet uit dat geen enkele onderdaan van een derde land daadwerkelijk kennis heeft genomen van die gegevens of dat de server waarop die gegevens zijn opgeslagen, zich zuiver fysiek in een derde land bevindt.

54     De Nederlandse regering wijst erop dat het begrip doorgifte in richtlijn 95/46 niet is gedefinieerd. Zij is om te beginnen van mening dat dit begrip moet worden opgevat als een activiteit die bewust gericht is op het doorgeven van persoonsgegevens van het grondgebied van een lidstaat naar een derde land, en vervolgens dat geen onderscheid kan worden gemaakt tussen de verschillende vormen waarin gegevens voor derden toegankelijk kunnen worden gemaakt. Haar conclusie luidt dat het met behulp van een computer plaatsen van persoonsgegevens op een internetpagina niet kan worden beschouwd als een doorgifte van persoonsgegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46.

55     De regering van het Verenigd Koninkrijk voert aan dat artikel 25 van richtlijn 95/46 betrekking heeft op de doorgifte van gegevens naar derde landen en niet op de vraag of zij vanuit derde landen toegankelijk zijn. Het begrip doorgifte houdt in dat een gegeven door een zich op een bepaalde plaats bevindende persoon wordt verzonden naar een zich op een andere plaats bevindende derde. Enkel in het geval van een dergelijke doorgifte verplicht artikel 25 van richtlijn 95/46 de lidstaten ertoe, voor een passend beschermingsniveau van de persoonsgegevens in een derde land te zorgen.

 Antwoord van het Hof

56     Richtlijn 95/46 definieert het begrip doorgifte naar een derde land noch in artikel 25 noch in enige andere bepaling, met name niet in artikel 2 ervan.

57     Om uit te maken of het plaatsen van persoonsgegevens op een internetpagina een doorgifte van die gegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46 is, op de enkele grond dat die gegevens daardoor toegankelijk worden gemaakt voor personen in een derde land, moet rekening worden gehouden met de technische aard van de aldus verrichte handelingen, en met het doel en de systematiek van hoofdstuk VI van die richtlijn waarin artikel 25 is opgenomen.

58     De informatie op internet kan nagenoeg te allen tijde worden geraadpleegd door een onbepaald aantal personen die op zeer verschillende plaatsen wonen. Dat die informatie overal toegankelijk is vloeit met name voort uit het feit dat de in het kader van internet gebruikte technische middelen betrekkelijk eenvoudig en steeds minder duur zijn.

59     Volgens de mogelijkheden voor het gebruik van internet, zoals die in de loop van de negentiger jaren voor particulieren als Lindqvist beschikbaar zijn geworden, verzendt de maker van een op internet te publiceren pagina de gegevens van die pagina naar zijn hosting provider. Die provider beheert de informatica-infrastructuur die noodzakelijk is voor het opslaan van die gegevens en voor de verbinding met de server waarbij de website is ondergebracht. Daardoor kunnen die gegevens vervolgens worden doorgegeven aan iedereen die een internetverbinding heeft en de gegevens wil opvragen. De computers die deze informatica-infrastructuur vormen, kunnen zich in een of meer andere landen dan dat van vestiging van de hosting provider bevinden - wat ook dikwijls het geval is -, zonder dat diens klanten dit weten of redelijkerwijs kunnen weten.

60     Blijkens het dossier diende een internetgebruiker om toegang te krijgen tot de informatie op de internetpagina waarop Lindqvist gegevens over haar collega's had geplaatst, niet alleen een verbinding met internet te maken maar diende hij ook eigenhandig de voor het raadplegen van die pagina's nodige handelingen te verrichten. Met andere woorden, de internetpagina's van Lindqvist bevatten niet de technische middelen waardoor die informatie automatisch had kunnen worden verzonden aan personen die niet bewust toegang tot die pagina's hadden proberen te krijgen.

61     Hieruit volgt dat in omstandigheden als de onderhavige de persoonsgegevens die afkomstig zijn van een persoon die ze op een website heeft geplaatst, op de computer van een persoon in een derde land verschijnen, niet rechtstreeks tussen die twee personen zijn doorgegeven, maar via de informatica-infrastructuur van de hosting provider waarbij de pagina is opgeslagen.

62     In die context moet worden onderzocht of de gemeenschapswetgever met het oog op de toepassing van hoofdstuk IV van richtlijn 95/46 in het begrip doorgifte van gegevens naar een derde land in de zin van artikel 25 van deze richtlijn ook handelingen wilde opnemen als die welke door Lindqvist zijn verricht. Er moet op worden gewezen dat de vijfde vraag van de verwijzende rechter enkel die handelingen betreft en niet die welke door de hosting providers worden verricht.

63     Hoofdstuk IV van richtlijn 95/46, waarin artikel 25 is opgenomen, voert een bijzondere regeling met specifieke voorschriften in, die beoogt een controle door de lidstaten van de doorgiften van persoonsgegevens naar derde landen te waarborgen. Bij dit hoofdstuk is een regeling ingevoerd die een aanvulling is op de algemene regeling van hoofdstuk II van die richtlijn, dat de rechtmatigheid van verwerkingen van persoonsgegevens betreft.

64     Het doel van hoofdstuk IV is gedefinieerd in de punten 56 tot en met 60 van de considerans van richtlijn 95/46, waarin met name is vermeld dat, ofschoon de door deze richtlijn in de Gemeenschap gewaarborgde bescherming van personen niet in de weg staat aan het doorgeven van persoonsgegevens naar derde landen wanneer daarbij een passend beschermingsniveau is gewaarborgd, bij de beoordeling van dit niveau rekening dient te worden gehouden met alle omstandigheden van een doorgifte of een categorie doorgiften. Doorgifte van persoonsgegevens naar een derde land dient te worden verboden, indien daar geen passend beschermingsniveau wordt geboden.

65     Artikel 25 van richtlijn 95/46 legt de lidstaten en de Commissie een aantal verplichtingen op voor de controle van de doorgiften van persoonsgegevens naar derde landen met inachtneming van het in elk land voor die gegevens geboden beschermingsniveau.

66     Artikel 25, lid 4, van richtlijn 95/46 bepaalt in het bijzonder dat, wanneer de Commissie constateert dat een derde land geen waarborgen voor een passend beschermingsniveau biedt, de lidstaten de nodige maatregelen nemen om doorgifte van persoonsgegevens naar het betrokken land te voorkomen.

67     In hoofdstuk IV van richtlijn 95/46 is niets bepaald over het gebruik van internet. Het formuleert met name geen criteria om te bepalen of voor de door tussenkomst van de hosting provider verrichte handelingen moet worden uitgegaan van de plaats van vestiging of van de bedrijfszetel van de provider dan wel van de plaats(en) waar zich de computers bevinden die de informatica-infrastructuur van de provider vormen.

68     Gezien de ontwikkeling van internet ten tijde van de opstelling van richtlijn 95/46 en het ontbreken van criteria voor het gebruik van internet in hoofdstuk IV, kan niet worden aangenomen dat het de bedoeling was van de gemeenschapswetgever, vooruitlopend op latere ontwikkelingen, het begrip doorgifte van gegevens naar een derde land ook te laten gelden voor de handeling van een persoon in de situatie van Lindqvist die gegevens op een internetpagina plaatst, ook wanneer die gegevens daarmee toegankelijk worden gemaakt voor personen uit derde landen die de technische middelen hebben om zich toegang daartoe te verschaffen.

69     Indien artikel 25 van richtlijn 95/46 aldus werd uitgelegd dat er sprake is van een doorgifte van gegevens naar een derde land telkens wanneer persoonsgegevens op een internetpagina worden geplaatst, zou dat noodzakelijkerwijs een doorgifte zijn naar alle derde landen waar de technische middelen voor toegang tot internet bestaan. De bijzondere regeling van hoofdstuk IV van die richtlijn zou daarmee, voor de verrichtingen op internet, noodzakelijkerwijs een algemene toepassingsregeling worden. Immers, zodra de Commissie overeenkomstig artikel 25, lid 4, van richtlijn 95/46 zou vaststellen dat één enkel derde land geen waarborgen voor een passend beschermingsniveau biedt, zouden de lidstaten het plaatsen van persoonsgegevens op het internet moeten verhinderen.

70     In die omstandigheden moet worden vastgesteld dat artikel 25 van richtlijn 95/46 aldus moet worden uitgelegd, dat handelingen als die van Lindqvist als zodanig geen doorgifte van gegevens naar een derde land vormen. Derhalve behoeft niet te worden onderzocht of iemand uit een derde land toegang tot de betrokken internetpagina heeft gehad dan wel of de server van die provider zich fysiek in een derde land bevindt.

71     Derhalve moet op de vijfde vraag worden geantwoord, dat er geen sprake is van doorgifte van gegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46, wanneer een persoon in een lidstaat persoonsgegevens plaatst op een internetpagina bij zijn in dezelfde of in een andere lidstaat gevestigde hosting provider, en deze persoonsgegevens aldus toegankelijk maakt voor eenieder die een internetverbinding tot stand brengt, met inbegrip van personen die zich in derde landen bevinden.

 De zesde vraag

72     Met deze vraag wenst de verwijzende rechter te vernemen of ervan moet worden uitgegaan dat de bepalingen van richtlijn 95/46 in een geval als het onderhavige een beperking bevatten die in strijd is met het algemene beginsel van vrijheid van meningsuiting of met andere in de Europese Unie geldende rechten en vrijheden, die onder meer overeenkomen met het in artikel 10 van het EVRM geformuleerde recht.

 Bij het Hof ingediende opmerkingen

73     Onder verwijzing naar met name het arrest van 6 maart 2001, Connolly/Commissie (C-274/99 P, Jurispr. blz. I-1611), voert Lindqvist aan dat richtlijn 95/46 en de PUL in strijd zijn met het in het gemeenschapsrecht erkende algemene beginsel van vrijheid van meningsuiting, nu daarbij voorwaarden inzake voorafgaande toestemming en voorafgaande aanmelding bij een toezichthoudende autoriteit, alsmede een beginselverbod van de verwerking van gevoelige persoonsgegevens zijn ingevoerd. Meer in het bijzonder stelt zij dat de definitie van de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens niet voldoet aan de criteria van voorzienbaarheid en nauwkeurigheid.

74     Bovendien levert volgens haar het loutere feit dat een natuurlijke persoon bij name wordt genoemd, zijn telefoonnummers en werkomstandigheden openbaar worden gemaakt en informatie over zijn gezondheidstoestand en zijn hobby's wordt gegeven, welke informatie openbaar, algemeen bekend of van weinig belang is, geen wezenlijke schending op van het recht op eerbiediging van de persoonlijke levenssfeer. Lindqvist is van mening dat de bij richtlijn 95/46 opgelegde beperkingen in elk geval onevenredig zijn aan het nagestreefde doel om andermans goede naam en persoonlijke levenssfeer te beschermen.

75     De Zweedse regering is de mening toegedaan dat richtlijn 95/46 het mogelijk maakt de betrokken belangen tegen elkaar af te wegen en aldus de vrijheid van meningsuiting en de persoonlijke levenssfeer te beschermen. Voorts kan alleen de nationale rechter van geval tot geval beoordelen of de beperking van de uitoefening van het recht op vrije meningsuiting als gevolg van de toepassing van de regels tot bescherming van andermans rechten evenredig is.

76     De Nederlandse regering wijst erop dat zowel de vrijheid van meningsuiting als het recht op eerbiediging van de persoonlijke levenssfeer deel uitmaken van de algemene rechtsbeginselen waarvan het Hof de eerbiediging verzekert, en dat het EVRM geen rangorde tussen de verschillende grondrechten kent. Derhalve dient de nationale rechter volgens die regering op basis van de omstandigheden van het geval de verschillende in geding zijnde grondrechten af te wegen.

77     De regering van het Verenigd Koninkrijk merkt op dat het door haar in punt 55 van het onderhavige arrest voorgestelde antwoord op de vijfde vraag volkomen in overeenstemming is met de grondrechten en dat daardoor een onevenredige beperking van de vrijheid van meningsuiting kan worden voorkomen. Bovendien valt een uitlegging volgens welke openbaarmaking van persoonsgegevens in een speciale vorm, namelijk op een internetpagina, onderworpen is aan veel strengere beperkingen dan openbaarmaking in andere vormen, bijvoorbeeld op papier, moeilijk te rechtvaardigen.

78     De Commissie stelt ook dat richtlijn 95/46 geen beperking inhoudt die in strijd is met het algemene beginsel van vrijheid van meningsuiting of met andere in de Europese Unie geldende rechten en vrijheden, die onder meer overeenkomen met het in artikel 10 van het EVRM bedoelde recht.

 Antwoord van het Hof

79     Blijkens punt 7 van de considerans van richtlijn 95/46 kunnen de totstandbrenging en de werking van de interne markt door de verschillen tussen de nationale regelingen voor de verwerking van persoonsgegevens ernstig worden geschaad. Volgens punt 3 van de considerans van die richtlijn moet de harmonisatie van die nationale regelingen niet alleen het vrije verkeer van die gegevens tussen lidstaten maar ook de bescherming van de fundamentele rechten van personen als doelstelling hebben. Die doelstellingen kunnen uiteraard met elkaar in conflict komen.

80     Enerzijds zal de economische en sociale integratie die het gevolg is van de totstandbrenging en de werking van de interne markt, noodzakelijkerwijs leiden tot een aanzienlijke toename van de stroom van persoonsgegevens tussen alle deelnemers aan het economische en sociale leven van de lidstaten, zowel ondernemingen als nationale overheden van de lidstaten. Die deelnemers hebben in zekere mate behoefte aan persoonsgegevens om in het kader van de door de interne markt gevormde ruimte zonder binnengrenzen hun transacties te kunnen uitvoeren of hun opdracht te kunnen vervullen.

81     Anderzijds verlangen de bij de verwerking van persoonsgegevens betrokken personen terecht dat die gegevens doeltreffend worden beschermd.

82     De regeling die een afweging van die verschillende rechten en belangen mogelijk maakt, is enerzijds neergelegd in richtlijn 95/46 zelf, waar die richtlijn regels bevat die bepalen in welke situaties en in hoeverre de verwerking van persoonsgegevens rechtmatig is en welke beschermingsmaatregelen moeten worden genomen. Anderzijds vloeit zij voort uit de door de lidstaten tot omzetting van die richtlijn vastgestelde nationale bepalingen en uit de eventuele toepassing daarvan door de nationale autoriteiten.

83     De bepalingen van richtlijn 95/46 zelf zijn noodzakelijkerwijs betrekkelijk algemeen, aangezien de richtlijn voor een groot aantal zeer uiteenlopende situaties moet gelden. Anders dan Lindqvist stelt, bevat die richtlijn dus terecht regels die door een zekere soepelheid worden gekenmerkt, en laat zij het in tal van gevallen aan de lidstaten over om de bijzonderheden te regelen of een keuze uit verschillende mogelijkheden te maken.

84     De lidstaten beschikken bij de omzetting van richtlijn 95/46 weliswaar in velerlei opzichten over een handelingsvrijheid, maar er is geen enkele reden om aan te nemen, dat de daarin opgenomen regeling niet voldoende voorzienbaar is of dat haar bepalingen als zodanig in strijd zijn met de algemene beginselen van gemeenschapsrecht en met name met de door de communautaire rechtsorde beschermde grondrechten.

85     Het is dus veeleer in het stadium van de concrete toepassing op nationaal niveau van de regeling tot omzetting van richtlijn 95/46, dat een juist evenwicht tussen de betrokken rechten en belangen moet worden gevonden.

86     In die context hebben de grondrechten een bijzonder belang, zoals blijkt uit het hoofdgeding, waarin het in wezen erom gaat de vrijheid van meningsuiting van Lindqvist in het kader van haar werk als catecheet en de vrijheid om activiteiten uit te oefenen die bijdragen tot het religieuze leven, af te wegen tegen de bescherming van de persoonlijke levenssfeer van personen wier gegevens door Lindqvist op haar website zijn geplaatst.

87     Bijgevolg moeten de autoriteiten en de rechterlijke instanties van de lidstaten niet alleen hun nationaal recht conform richtlijn 95/46 uitleggen, maar moeten zij er ook op toezien dat zij zich niet baseren op een uitlegging daarvan die in conflict zou komen met de door de communautaire rechtsorde beschermde grondrechten of met de andere algemene beginselen van gemeenschapsrecht, zoals het evenredigheidsbeginsel.

88     Ter bescherming van de persoonlijke levenssfeer moeten doelmatige sancties worden toegepast op personen die persoonsgegevens op een met richtlijn 95/46 strijdige wijze verwerken, maar die sancties moeten altijd het evenredigheidsbeginsel in acht nemen. Dat geldt des te meer nu de werkingssfeer van richtlijn 95/46 zeer ruim is en de personen die persoonsgegevens verwerken, veel en belangrijke verplichtingen hebben.

89     Volgens het evenredigheidsbeginsel staat het aan de verwijzende rechter om alle omstandigheden van de bij hem aanhangige zaak in aanmerking nemen, met name de duur van de schending van de regels tot uitvoering van richtlijn 95/46, en het belang van de bescherming van de bekendgemaakte gegevens voor de betrokkenen.

90     Op de zesde vraag moet derhalve worden geantwoord, dat de bepalingen van richtlijn 95/46 als zodanig geen beperking bevatten die in strijd is met het algemene beginsel van vrijheid van meningsuiting of met andere in de Europese Unie geldende rechten en vrijheden die onder meer overeenkomen met artikel 10 van het EVRM. Het staat aan de nationale autoriteiten en rechterlijke instanties die belast zijn met de toepassing van de nationale regeling tot omzetting van richtlijn 95/46, een juist evenwicht te verzekeren tussen de betrokken rechten en belangen, met inbegrip van de door de communautaire rechtsorde beschermde grondrechten.

 De zevende vraag

91     Met deze vraag wenst de verwijzende rechter in wezen te vernemen of het de lidstaten vrij staat te voorzien in een verdergaande bescherming van de persoonsgegevens of een ruimere werkingssfeer dan die welke uit richtlijn 95/46 voortvloeien.

 Bij het Hof ingediende opmerkingen

92     De Zweedse regering stelt dat richtlijn 95/46 niet enkel minimumvoorwaarden voor de bescherming van de persoonsgegevens vaststelt. De lidstaten zijn in het kader van de omzetting van die richtlijn verplicht het daarbij vastgestelde beschermingsniveau tot stand te brengen, en zijn niet bevoegd in een meer of minder vergaande bescherming te voorzien. Evenwel moet rekening worden gehouden met de beoordelingsmarge die de lidstaten bij die omzetting hebben om in hun nationale recht de algemene voorwaarden waaronder de verwerking van persoonsgegevens rechtmatig is, nauwkeurig te bepalen.

93     De Nederlandse regering stelt dat richtlijn 95/46 zich er niet tegen verzet dat de lidstaten op bepaalde gebieden in een verdergaande bescherming voorzien. Blijkens bijvoorbeeld de artikelen 10, 11, lid 1, 14, eerste alinea, sub a, 17, lid 3, 18, lid 5, en 19, lid 1, van de richtlijn kunnen de lidstaten verdergaande beschermingsmaatregelen treffen. Bovendien staat het de lidstaten vrij de beginselen van richtlijn 95/46 ook toe te passen op activiteiten die buiten de werkingssfeer daarvan vallen.

94     De Commissie voert aan dat richtlijn 95/46 gebaseerd is op artikel 100 A van het Verdrag en dat een lidstaat die een van die harmonisatierichtlijn afwijkende wettelijke regeling wenst te handhaven of in te voeren, de Commissie overeenkomstig artikel 95, lid 4 of lid 5, EG daarvan in kennis moet stellen. De Commissie stelt derhalve dat een lidstaat niet kan voorzien in een verdergaande bescherming van persoonsgegevens of een ruimere werkingssfeer dan die welke uit die richtlijn voortvloeien.

 Antwoord van het Hof

95     Zoals met name blijkt uit punt 8 van de considerans van richtlijn 95/46, wil die richtlijn de bescherming van de rechten en vrijheden van personen op het stuk van de verwerking van persoonsgegevens in alle lidstaten op hetzelfde niveau brengen. Punt 10 van de considerans voegt daaraan toe dat de onderlinge aanpassing van de ter zake geldende nationale wetgevingen niet tot een verzwakking van de aldus geboden bescherming mag leiden, maar juist erop gericht moet zijn een hoog beschermingsniveau in de Gemeenschap te waarborgen.

96     De harmonisatie van vorenbedoelde nationale wettelijke regelingen beperkt zich dus niet tot een minimumharmonisatie maar dient in beginsel tot een volledige harmonisatie te leiden. Vanuit die optiek wil richtlijn 95/46 het vrije verkeer van persoonsgegevens verzekeren maar tevens een hoog beschermingsniveau verzekeren van de rechten en belangen van de personen waarop die gegevens betrekking hebben.

97     Richtlijn 95/46 kent de lidstaten op bepaalde gebieden inderdaad een manoeuvreerruimte toe, en machtigt hen bijzondere regelingen voor specifieke situaties te handhaven of in te voeren, zoals uit een groot aantal van haar bepalingen blijkt. Die mogelijkheden dienen echter op de in richtlijn 95/46 voorgeschreven wijze te worden benut overeenkomstig haar doel dat erin bestaat een evenwicht tussen het vrije verkeer van de persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren.

98     Daarentegen verzet niets zich ertegen dat een lidstaat de draagwijdte van de nationale wettelijke regeling tot omzetting van de bepalingen van richtlijn 95/46 uitbreidt tot niet onder de werkingssfeer daarvan vallende gebieden, voorzover geen enkele andere bepaling van gemeenschapsrecht daaraan in de weg staat.

99     Gelet op die overwegingen, moet op de zevende vraag worden geantwoord, dat de maatregelen van de lidstaten om de bescherming van de persoonsgegevens te waarborgen, moeten stroken met zowel de bepalingen van richtlijn 95/46 als haar doel dat erin bestaat een evenwicht tussen het vrije verkeer van de persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren. Daarentegen verzet niets zich ertegen dat een lidstaat de draagwijdte van de nationale wettelijke regeling tot omzetting van de bepalingen van richtlijn 95/46 uitbreidt tot niet onder de werkingssfeer daarvan vallende gebieden, voorzover geen enkele andere bepaling van gemeenschapsrecht daaraan in de weg staat.

 Kosten

100   De kosten door de Zweedse en de Nederlandse regering en de regering van het Verenigd Koninkrijk, alsmede de Commissie en de Toezichthoudende Autoriteit van de EVA wegens indiening van hun opmerkingen bij het Hof gemaakt, kunnen niet voor vergoeding in aanmerking komen. Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de nationale rechterlijke instantie over de kosten heeft te beslissen.

HET HOF VAN JUSTITIE,

uitspraak doende op de door het Göta hovrätt bij beschikking van 23 februari 2001 gestelde vragen, verklaart voor recht:

1)      Het vermelden van verschillende personen op een internetpagina met hun naam of anderszins, bijvoorbeeld met hun telefoonnummer of informatie over hun werksituatie en hun liefhebberijen, is aan te merken als een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens in de zin van artikel 3, lid 1, van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

2)      Een dergelijke verwerking van persoonsgegevens valt onder geen van de uitzonderingen van artikel 3, lid 2, van richtlijn 95/46.

3)      De vermelding van het feit dat iemand zijn voet heeft bezeerd en met gedeeltelijk ziekteverlof is, is een persoonsgegeven betreffende de gezondheid in de zin van artikel 8, lid 1, van richtlijn 95/46.

4)      Van doorgifte van gegevens naar een derde land in de zin van artikel 25 van richtlijn 95/46 is geen sprake wanneer een persoon in een lidstaat persoonsgegevens plaatst op een internetpagina die is opgeslagen bij een in dezelfde of in een andere lidstaat gevestigde natuurlijke of rechtspersoon bij wie de website is ondergebracht waarop de pagina kan worden geraadpleegd, en deze persoonsgegevens aldus toegankelijk maakt voor eenieder die een internetverbinding tot stand brengt, met inbegrip van personen die zich in derde landen bevinden.

5)      De bepalingen van richtlijn 95/46 bevatten als zodanig geen beperking die in strijd is met het algemene beginsel van vrijheid van meningsuiting of met andere in de Europese Unie geldende rechten en vrijheden die onder meer overeenkomen met artikel 10 van het op 4 november 1950 te Rome ondertekende Europees verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden. Het staat aan de nationale autoriteiten en rechterlijke instanties die belast zijn met de toepassing van de nationale regeling tot omzetting van richtlijn 95/46, een juist evenwicht te verzekeren tussen de betrokken rechten en belangen, met inbegrip van de door de communautaire rechtsorde beschermde grondrechten.

6)      De maatregelen van de lidstaten om de bescherming van de persoonsgegevens te waarborgen, moeten stroken met zowel de bepalingen van richtlijn 95/46 als haar doel dat erin bestaat een evenwicht tussen het vrije verkeer van de persoonsgegevens en de bescherming van de persoonlijke levenssfeer te verzekeren. Daarentegen verzet niets zich ertegen dat een lidstaat de draagwijdte van de nationale wettelijke regeling tot omzetting van de bepalingen van richtlijn 95/46 uitbreidt tot niet onder de werkingssfeer daarvan vallende gebieden, voorzover geen enkele andere bepaling van gemeenschapsrecht daaraan in de weg staat.

Jann

Timmermans

Gulmann

Cunha Rodrigues

Rosas

Edward

Puissochet

Macken

von Bahr

Uitgesproken ter openbare terechtzitting te Luxemburg op 6 november 2003.

De griffier

De president

R. Grass

V. Skouris

---

* Langue de procédure: le français.