(se punkterna 27, 38, 43–48, samt punkterna 1 och 2 i domslutet)

(se punkterna 50 och 51, samt punkt 3 i domslutet)

(se punkterna 63, 64, 68 och 71, samt punkt 4 i domslutet)

(se punkt 90, samt punkt 5 i domslutet)

(se punkt 99, samt punkt 6 i domslutet)

DOMSTOLENS DOM
den 6 november 2003(1)

Direktiv 95/46/EG – Tillämpningsområde – Offentliggörande av personuppgifter på Internet – Platsen för offentliggörandet – Begreppet överföring av personuppgifter till tredje land – Yttrandefrihet – Huruvida ett mer långtgående skydd för personuppgifter i en medlemsstats lagstiftning är förenligt med direktiv 95/46

I mål C-101/01,

angående en begäran enligt artikel 234 EG, från Göta hovrätt (Sverige), att domstolen skall meddela ett förhandsavgörande i det vid den nationella domstolen anhängiga brottmålet mot

Bodil Lindqvist,

angående bland annat tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter  (EGT L 281, s. 31),meddelar

DOMSTOLEN,

sammansatt av ordföranden på första avdelningen P. Jann, tillförordnad ordförande, avdelningsordförandena C.W.A. Timmermans, C. Gulmann, J.N Cunha Rodrigues och A. Rosas samt domarna D.A.O. Edward (referent), J .-P Puissochet, F. Macken och S. von Bahr,

generaladvokat: A. Tizzano,
justitiesekretarare: biträdande justitiesekreteraren H. von Holstein,

med beaktande av de skriftliga yttranden som har inkommit från:

–

Bodil Lindqvist, genom advokaten S. Larsson,

–

Sveriges regering, genom A. Kruse, i egenskap av ombud,

–

Nederländernas regering, genom H.G. Sevenster, i egenskap av ombud,

–

Förenade kungarikets regering, genom G. Amodeo, i egenskap av ombud, biträdd av J. Stratford, barrister,

–

Europeiska gemenskapernas kommission, genom L. Ström och X. Lewis, båda i egenskap av ombud,

efter att muntliga yttranden har avgivits vid förhandlingen den 30 april 2002 av: Bodil Lindqvist, företrädd av S. Larsson, Sveriges regering, företrädd av A. Kruse och B. Hernqvist, i egenskap av ombud, Nederländernas regering, företrädd av J. van Bakel, i egenskap av ombud, Förenade kungarikets regering, företrädd av J. Stratford, kommissionen, företrädd av L. Ström och M.C. Docksey, i egenskap av ombud, och Eftas övervakningsmyndighet, företrädd av D. Sif Tynes, i egenskap av ombud,

och efter att den 19 september 2002 ha hört generaladvokatens förslag till avgörande,

följande

Dom

–

som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område,

–

av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”

a)

den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke,

eller

b)

behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder,

eller

c)

behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke,

eller

d)

behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades samtycke,

eller

e)

behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändi[g] för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.

–

behandlat personuppgifter, vilken behandling varit automatiserad, utan att dessförinnan göra skriftlig anmälan till Datainspektionen (36 § PUL),

–

behandlat känsliga personuppgifter, nämligen dem om en skadad fot och en deltidssjukskrivning, utan att detta varit tillåtet (13 § PUL), och

–

till tredje land fört över personuppgifter som varit under behandling utan att detta varit tillåtet (33 § PUL).

”1)

Innebär omnämnandet av en person – med namn eller med namn och telefonnummer – på en så kallad hemsida på Internet ett förfarande som faller under tillämpningsområdet för direktiv [95/46]? Utgör det en ‘behandling av personuppgifter som helt eller delvis företas på automatisk väg’, att på en egenhändigt konstruerad hemsida på Internet ange ett antal personer jämte utsagor och påståenden om dessa personers arbetsförhållanden och fritidsintressen med mera?

2)

Om svaret på föregående fråga är nej, kan förfarandet att på en hemsida på Internet upprätta särskilda sidor för ett drygt femtontal personer, med länkar mellan sidorna som möjliggör sökning på förnamn, anses utgöra en sådan ‘‘‘‘annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register’’’’ som avses i artikel 3 punkt 1?

3)

Kan förfarandet att lägga ut uppgifter av nu berört slag om arbetskamrater på en privat hemsida, som dock är åtkomlig för alla med kännedom om hemsidans adress, anses falla utanför ... tillämpningsområde[t för direktiv 95/46] på grund av något av undantagen i artikel 3, punkten 2?

4)

Är uppgift på en hemsida om att en namngiven arbetskamrat har skadat sin fot och är halvt sjukskriven en sådan personuppgift om hälsa som enligt artikel 8 punkt 1 inte får göras till föremål för behandling?

5)

Överföring av personuppgifter till tredje land skall enligt direktiv [95/46] vara förbjudet i vissa fall. Om en person i Sverige med hjälp av dator lägger ut personuppgifter på en hemsida som är lagrad på en server i Sverige – varvid personuppgifterna blir åtkomliga för medborgare i tredje land – innebär det en överföring av uppgifter till tredje land i den mening som avses i direktivet? Blir svaret detsamma även om, såvitt känt, inte någon från tredje land rent faktiskt har tagit del av uppgifterna eller om servern i fråga rent fysiskt befinner sig i ett tredje land?

6)

Kan direktivets föreskrifter, i ett fall som det förevarande, anses medföra en begränsning som står i strid med de allmänna principer om yttrandefrihet, eller andra fri- och rättigheter, som gäller inom EU och som har en motsvarighet i bland annat artikel 10 i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna?

7)

Kan en medlemsstat, i de hänseenden som aktualiserats av de förutvarande frågorna, ha ett mera långtgående skydd för personuppgifter eller ett vidare tillämpningsområde än som följer av direktivet, även om inte något av de i artikel 13 angivna förhållandena föreligger?”

På dessa grunder beslutar

DOMSTOLEN