—

Rīgas pašvaldības SIA ”Rīgas satiksme” genom L. Bemhens, i egenskap av ombud,

—

Lettlands regering, genom I. Kalniņš och A. Bogdanova, båda i egenskap av ombud,

—

Tjeckiens regering, genom J. Vláčil och M. Smolek, båda i egenskap av ombud,

—

Spaniens regering, genom M. J. García-Valdecasas Dorrego, i egenskap av ombud,

—

Österrikes regering, genom G. Eberhard, i egenskap av ombud,

—

Portugals regering, genom L. Inez Fernandes, M. Figueiredo och C. Vieira Guerra, samtliga i egenskap av ombud,

—

Europeiska kommissionen, genom D. Nardi, H. Kranenborg och I. Rubene, samtliga i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av artikel 7 f i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

2

Denna begäran har framställts i ett mål mellan Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (avdelningen för trafikförseelser vid nationella polismyndigheten i Riga) (nedan kallad polismyndigheten) och Rīgas pašvaldības SIA ”Rīgas satiksme” (nedan kallat Rīgas satiksme), staden Rigas trådbussbolag. Målet rör en begäran om utlämnande av identitetsuppgifter för en person som orsakat en olycka.

3

Artikel 1 i direktiv 95/46, med rubriken ”Tillämpningsområde”, har följande lydelse:

”1.   Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

2.   Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.”

4

Artikel 2 i direktivet har följande lydelse:

”I detta direktiv avses med

…

…”

5

I artikel 5 i direktiv 95/46 föreskrivs följande:

”Medlemsstaterna skall inom de begränsningar som bestämmelserna i detta kapitel innebär, precisera på vilka villkor behandling av personuppgifter är tillåten.”

6

I artikel 7 i avdelning II, med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, i kapitel II i direktivet föreskrivs följande:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

7

I artikel 8.2 e i direktiv 95/46 föreskrivs att förbudet mot behandling av personuppgifter som avslöjar ras eller politiska åsikter inte är tillämpligt när behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.

8

I artikel 6 i Fizisko personu datu aizsardzības likums (lagen om skydd för personuppgifter) av den 23 mars 2000 (Latvijas Vēstnesis, 2000, nr 123/124) föreskrivs följande:

”Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.”

9

I artikel 7 i den lagen, vilken införlivar artikel 7 i direktiv 95/46, föreskrivs att behandling av personuppgifter endast är tillåten om detta är särskilt föreskrivet i lagen och följande förutsättningar är uppfyllda:

10

I artikel 12 i lagen föreskrivs att personuppgifter som rör brott, fällande domar avseende brott eller förseelser samt ärenden och akter i domstol endast får behandlas av personer vilka i lag getts rätt att göra detta och i de fall som föreskrivs i lag.

11

Enligt artikel 261 i Latvijas Administratīvo pārkāpumu kodekss (lagen om administrativa förseelser) kan en person som lidit skada till följd av en överträdelse av den myndighet eller den tjänsteman som har befogenhet att handlägga ärendet tillerkännas ställning som målsägande i ett förfarande avseende en förseelse. I den bestämmelsen föreskrivs vissa rättigheter för målsägande, inbegripet rätten att ta del av handlingarna i ärendet och att utöva processuella rättigheter för att erhålla ersättning.

12

I december 2012 inträffade en trafikolycka i Riga. En taxichaufför hade stannat sin bil vid vägkanten. Passageraren i baksätet på taxin öppnade taxibilens dörr samtidigt som en trådbuss tillhörande Rīgas satiksme passerade taxibilen. Dörren slog i och skadade trådbussen. Ett förfarande avseende administrativ förseelse inleddes. En rapport upprättades, i vilken det slogs fast att en administrativ förseelse hade begåtts.

13

Inledningsvis ansågs taxichauffören vara ansvarig för olyckan och Rīgas satiksme begärde ersättning från det försäkringsbolag som täckte skadeståndsansvaret för taxins ägare eller rättmätiga användare. Försäkringsbolaget informerade Rīgas satiksme om att det inte skulle betala ut någon ersättning, eftersom olyckan hade orsakats av passageraren i taxin och inte av chauffören. Försäkringsbolaget preciserade att Rīgas satiksme i ett tvistemål kunde göra gällande sina anspråk mot passageraren.

14

Rīgas satiksme vände sig till polismyndigheten och begärde att få veta vem som hade hållits ansvarig för olyckan, och att få tillgång till kopior av handlingarna med taxichaufförens och passagerarens förklaringar av omständigheterna kring olyckan, och att bolaget skulle få veta passagerarens namn, identifikationsnummer och adress. Rīgas satiksme preciserade för polismyndigheten att de begärda uppgifterna endast skulle användas för att inleda ett tvistemål.

15

Polismyndigheten efterkom delvis Rīgas satiksme begäran, närmare bestämt genom att lämna ut taxipassagerarens för- och efternamn, men vägrade att lämna ut passagerarens identifikationsnummer och adress. Polismyndigheten lämnade inte heller ut de förklaringar som getts av de personer som var inblandade i olyckan.

16

Polismyndigheten grundade sitt beslut på att endast parterna i ett ärende rörande en administrativ förseelse har rätt att få tillgång till uppgifterna i ärendet. Rīgas satiksme var emellertid inte part i det aktuella ärendet. Enligt lagen om administrativa förseelser, får en person efter ansökan förklaras vara målsägande i ett ärende rörande en administrativ förseelse av den myndighet eller tjänsteman som har befogenhet att utreda ärendet. Rīgas satiksme har i förevarande fall inte använt sig av denna rättighet.

17

Rīgas satiksme överklagade polismyndighetens beslut till Administratīvā rajona tiesa (Förvaltningsdomstolen i första instans, Lettland). Överklagandet avsåg polismyndighetens vägran att lämna ut identifikationsnumret och adressen till den passagerare som hade varit inblandad i olyckan. I dom av den 16 maj 2014 biföll Administratīvā rajona tiesa (Förvaltningsdomstolen i första instans) överklagandet och förelade polismyndigheten att lämna ut de begärda uppgifterna avseende passagerarens identifikationsnummer och adress.

18

Polismyndigheten överklagade domen till Augstākā tiesa (Högsta domstolen). Den domstolen beslutade att inhämta ett yttrande från Datu valsts inspekcija (Nationella dataskyddsmyndigheten, Lettland). I yttrande av den 13 oktober 2015 angav myndigheten att artikel 7.6 i lagen om skydd för personuppgifter inte kan utgöra rättsliga grund för att lämna ut de personuppgifter som är aktuella i det nationella målet, eftersom lagen om administrativa förseelser anger till vem polismyndigheten får lämna ut uppgifter om ett ärende. Enligt dataskyddsmyndigheten får följaktligen uppgifter i ett ärende rörande en administrativ förseelse endast lämnas ut i enlighet med punkterna 3 och 5 i denna artikel, i de fall som föreskrivs i samma lag. Dataskyddsmyndigheten angav vidare att det i artikel 7 i nämnda lag inte föreskrivs någon skyldighet för den registeransvarige (i detta fall polismyndigheten) att behandla uppgifterna, utan ger endast vederbörande rätten att göra detta.

19

Dataskyddsmyndigheten förklarade att Rīgas satiksme kunde få tillgång till uppgifterna på två sätt. Rīgas satiksme kan antingen inkomma med en motiverad ansökan till befolkningsregistret eller väcka talan med stöd av artiklarna 98–100 i civilprocesslagen och framställa ett yrkande om edition, vilket skulle innebära att domstolen förelade polismyndigheten att förete de personuppgifter som är nödvändiga för att Rīgas satiksme ska kunna väcka talan mot den aktuella personen.

20

Den hänskjutande domstolen hyser tvivel om huruvida de sätt för att få tillgång till personuppgifterna som dataskyddsmyndigheten angett är verkningsfulla. Den hänskjutande domstolen har anfört att en ansökan till befolkningsregistret endast skulle innehålla taxipassagerarens efternamn och det är därför möjligt att passageraren inte kan identifieras utan vederbörandes identifikationsnummer, eftersom flera personer kan ha samma för- och efternamn. Den hänskjutande domstolen anser vidare att, med hänsyn till nationella bestämmelser om bevisning, käranden i vart fall måste känna till svarandens hemvist för att kunna väcka talan i ett tvistemål.

21

Den hänskjutande domstolen anser att det föreligger tvivel beträffande tolkningen av begreppet nödvändighet i artikel 7 f i direktivet.

22

Mot denna bakgrund beslutade Augstākās tiesas Administratīvo lietu departaments (Högsta domstolen, avdelningen för förvaltningsmål) att vilandeförklara målet och ställa följande frågor till domstolen:

23

Den hänskjutande domstolen söker med sina frågor, vilka ska prövas i ett sammanhang, klarhet i huruvida artikel 7 f i direktiv 95/46 ska tolkas så, att den innebär en skyldighet att lämna ut personuppgifter till tredje man i syfte att göra det möjligt för vederbörande att väcka skadeståndstalan vid allmän domstol i anledning av en skada som orsakats av den person vars personuppgifter är skyddade, och huruvida det faktum att nämnda person är minderårig kan ha betydelse för tolkningen av bestämmelsen.

24

I det nationella målet är det utrett att taxipassagerarens identifikationsnummer och adress, vilka Rīgas satiksme har begärt utlämnade, utgör uppgifter som avser en identifierad eller identifierbar fysisk person och att de således utgör personuppgifter, i den mening som avses i artikel 2 a i direktiv 95/46. Det är vidare utrett att polismyndigheten, till vilken nämnda begäran har riktats, är registeransvarig, i den mening som avses i artikel 2 d i direktivet, för dessa uppgifter och bland annat ansvarig för deras eventuella utlämnande.

25

Enligt artikel 5 i direktiv 95/46 ska medlemsstaterna inom de begränsningar som bestämmelserna i direktivet innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. I artikel 7 i direktivet, som anger de principer som gör att uppgiftsbehandling kan tillåtas, föreskrivs i detta hänseende att ”[m]edlemsstaterna skall föreskriva att personuppgifter får behandlas endast om” något av de fall som uttömmande uppräknas i den bestämmelsen är för handen. Enligt artikel 7 f får personuppgifter endast behandlas om det är nödvändigt för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1 i direktiv 95/46.

26

Det framgår således av systematiken i direktiv 95/46 och av lydelsen i artikel 7 i direktivet att artikel 7 f i direktivet inte i sig föreskriver en skyldighet, utan en möjlighet att till tredje man lämna ut uppgifter som är nödvändiga för ett ändamål som rör ett berättigat intresse som vederbörande eftersträvar. Såsom generaladvokaten har påpekat i punkterna 43–46 i sitt förslag till avgörande går det även att sluta sig till en sådan tolkning av andra unionsrättsakter som avser personuppgifter (se, för ett liknande resonemang, vad gäller behandlingen av personuppgifter på området för elektronisk kommunikation, dom av den 29 januari 2008, Promusicae, C‑275/06, EU:C:2008:54, punkterna 54 och 55).

27

Domstolen påpekar emellertid att artikel 7 f i direktiv 95/46 inte skulle utgöra hinder för ett sådant utlämnande, för det fall att det skulle ske med stöd av nationell rätt och med iakttagande av de villkor som föreskrivs i den bestämmelsen.

28

I artikel 7 f i direktiv 95/46 föreskrivs tre kumulativa villkor för att en behandling av personuppgifter ska vara tillåten, nämligen för det första förekomsten av ett berättigat intresse hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna lämnas ut, för det andra att behandlingen av personuppgifter är nödvändig för det berättigade intresse som eftersträvas och för det tredje att den berörda personens grundläggande fri- och rättigheter inte ska ges företräde.

29

Beträffande villkoret avseende förekomsten av ett berättigat intresse delar domstolen generaladvokatens bedömning i punkterna 65, 79 och 80 i förslaget till avgörande att det inte råder något tvivel om att tredje mans intresse av att, i syfte att väckta talan om ersättning, få tillgång till personuppgifter om en person som har skadat nämnda tredje mans egendom utgör ett berättigat intresse (se, för ett liknande resonemang, dom av den 29 januari 2008, Promusicae, C‑275/06, EU:C:2008:54, punkt 53). Denna bedömning vinner stöd av artikel 8.2 e i direktiv 95/46 i vilken det föreskrivs att förbudet mot behandling av vissa personuppgifter, såsom personuppgifter som avslöjar ras eller politiska åsikter, bland annat inte är tillämpligt när behandlingen är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.

30

Beträffande villkoret att behandlingen av uppgifterna ska vara nödvändig erinrar domstolen om att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är absolut nödvändigt (dom av den 9 november 2010, Volker und Markus Schecke och Eifert, C‑92/09 och C‑93/09, EU:C:2010:662, punkt 86, dom av den 7 november 2013, IPI, C‑473/12, EU:C:2013:7015, punkt 39, och dom av den 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punkt 28). Domstolen konstaterar i detta hänseende att enligt de upplysningar som har lämnats av den hänskjutande domstolen är det inte möjligt att med tillräcklig precision för att kunna stämma vederbörande i domstol identifiera den person som orsakat skadan enbart genom att personens för- och efternamn lämnas ut. Det framstår således som nödvändigt att i detta syfte även få tillgång till denna persons adress och/eller identifikationsnummer.

31

Beträffande villkoret avseende en avvägning mellan de motstående rättigheter och intressen som är aktuella, är detta villkor i princip beroende av de konkreta omständigheterna i det enskilda fallet (se, för ett liknande resonemang, dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de CréditoC‑468/10 och C‑469/10, EU:C:2011:777, punkt 40, och dom av den 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779, punkt 62).

32

Domstolen har i detta hänseende funnit att det är möjligt att beakta det faktum att allvaret i den kränkning av den registrerades grundläggande rättigheter som nämnda behandling innebär kan variera beroende på om det är möjligt att få tillgång till uppgifterna i fråga i källor som är tillgängliga för allmänheten (se, för ett liknande resonemang, dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 och C‑469/10, EU:C:2011:777, punkt 44).

33

Beträffande den andra delen av tolkningsfrågan, såsom den omformulerats i punkt 23 i förevarande dom, påpekar domstolen att den berörda personens ålder kan vara en av de omständigheter som får beaktas i samband med avvägningen. I likhet med vad generaladvokaten har funnit i punkterna 82–84 i sitt förslag till avgörande, ska det emellertid – med förbehåll för den nationella domstolens kontroll i detta avseende – konstateras att det inte, under sådana omständigheter som de som är aktuella i det nationella målet, förefaller vara motiverat att med hänvisning till att den person som orsakat skadan är minderårig vägra att till en part som lidit skada lämna ut personuppgifter som är nödvändiga för att väcka skadeståndstalan mot nämnda person eller, i förekommande fall, mot vederbörandes vårdnadshavare.

34

Av det anförda följer att artikel 7 f i direktiv 95/46 ska tolkas så, att den inte innebär en skyldighet att lämna ut personuppgifter till tredje man i syfte att göra det möjligt för vederbörande att väcka skadeståndstalan vid allmän domstol i anledning av en skada som orsakats av den person vars personuppgifter är skyddade. Artikel 7 f i direktivet utgör dock inte hinder för ett sådant utlämnande med stöd av nationell rätt.

35

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (andra avdelningen) följande:

Artikel 7 f i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas så, att den inte innebär en skyldighet att lämna ut personuppgifter till tredje man i syfte att göra det möjligt för vederbörande att väcka skadeståndstalan vid allmän domstol i anledning av en skada som orsakats av den person vars personuppgifter är skyddade. Artikel 7 f i direktivet utgör dock inte hinder för ett sådant utlämnande med stöd av nationell rätt.