Förenade målen C‑468/10 och C‑469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)

och

Federación de Comercio Electrónico y Marketing Directo (FECEMD)

mot

Administración del Estado

(begäran om förhandsavgörande, som har hänskjutits av Tribunal Supremo)

”Behandling av personuppgifter – Direktiv 95/46/EG – Artikel 7 f – Direkt effekt”

Sammanfattning av domen

1.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Fullständig harmonisering – Uttömmande uppräkning av de fall då behandling av personuppgifter är tillåten

(Europaparlamentets och rådets direktiv 95/46, artikel 7)

2.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Villkor som måste vara uppfyllda för att en behandling av personuppgifter ska vara tillåten

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7 och 8; Europaparlamentets och rådets direktiv 95/46, artiklarna 5 och 7 f)

3.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Medlemsstaternas utrymme för bedömning – Omfattning

(Europaparlamentets och rådets direktiv 95/46, artikel 5)

4.        Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46 – Villkor som måste vara uppfyllda för att en behandling av personuppgifter ska vara tillåten

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7 och 8; Europaparlamentets och rådets direktiv 95/46, artikel 7 f)

5.        Grundläggande rättigheter – Respekt för privatlivet – Skydd för personuppgifter – Begränsningar som kan tolereras enligt Europeiska unionens stadga om de grundläggande rättigheterna

(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7, 8 och 52.1)

6.        Institutionernas rättsakter – Direktiv – Direkt effekt – Villkor

(Artikel 249 tredje stycket EG; Europaparlamentets och rådets direktiv 95/46, artikel 7 f)

1.        Den harmonisering av medlemsstaternas lagstiftningar som eftersträvas med direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter är inte en minimiharmonisering, utan leder till en i princip fullständig harmonisering. För att uppnå detta syftar direktivet till att säkerställa det fria flödet av personuppgifter samtidigt som en hög skyddsnivå för rättigheter och intressen garanteras för de personer som dessa uppgifter avser. I enlighet med detta syfte görs det i artikel 7 i direktivet en uttömmande uppräkning av de situationer när en behandling av personuppgifter kan anses vara tillåten. Av detta följer att medlemsstaterna varken får foga ytterligare principer för tillåtligheten av behandlingen av personuppgifter till dem som nämns i artikel 7 i direktivet eller föreskriva ytterligare villkor som påverkar räckvidden av de principer som föreskrivs i nämnda artikel.

Denna tolkning motsägs inte av medlemsstaternas möjlighet enligt artikel 5 i direktiv 95/46 att precisera på vilka villkor behandling av personuppgifter är tillåten. Det utrymme för skönsmässig bedömning som medlemsstaterna har enligt artikel 5 i direktivet får nämligen inte användas för att föreskriva ytterligare principer för tillåtligheten av behandlingen av personuppgifter än dem som räknas upp i artikel 7 i direktivet eller för att föreskriva ytterligare villkor som påverkar räckvidden av de principer som föreskrivs i nämnda artikel.

(se punkterna 29, 30, 32, 33, 35 och 36)

2.        Artikel 7 f i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ska tolkas på så sätt att den utgör hinder för nationell lagstiftning, i vilken det – såsom villkor för sådan behandling av personuppgifter som är nödvändig för att tillgodose berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna ska lämnas ut, när den registrerade inte har lämnat sitt samtycke – föreskrivs, förutom att den registrerades grundläggande fri- och rättigheter inte får åsidosättas, att uppgifterna ska finnas i källor tillgängliga för allmänheten, vilket kategoriskt och generellt utesluter all behandling av uppgifter som inte finns i sådana källor.

Det följer nämligen för det första av ändamålet med detta direktiv – som är att säkerställa det fria flödet av personuppgifter samtidigt som det garanteras en hög skyddsnivå för rättigheter och intressen för de personer som dessa uppgifter avser – att det i artikel 7 i direktivet görs en uttömmande uppräkning av de situationer när en behandling av personuppgifter kan anses vara tillåten. Medlemsstaterna får följaktligen varken införa nya principer för tillåtligheten av behandlingen av personuppgifter eller föreskriva ytterligare villkor som påverkar räckvidden av de principer som föreskrivs i nämnda artikel. De får inte heller, med stöd av artikel 5 i direktivet, införa ytterligare principer för tillåtligheten av behandlingen av personuppgifter utöver dem som nämns i artikel 7 i direktivet eller föreskriva ytterligare villkor som påverkar räckvidden av de principer som föreskrivs i artikel 7.

Medlemsstaterna får för det andra föreskriva vägledande principer för den nödvändiga avvägning mellan de motstående rättigheterna och intressena som ska göras enligt artikel 7 f i direktivet. De får även beakta det faktum att allvaret i kränkningen av den registrerades grundläggande rättigheter som nämnda behandling innebär kan variera beroende på om uppgifterna i fråga redan finns i källor tillgängliga för allmänheten. Om så inte är fallet, ska kränkningen anses vara allvarligare.

Det rör sig emellertid inte längre om en precisering, om det i en nationell reglering utesluts att vissa typer av personuppgifter behandlas genom att det för dessa typer av uppgifter anges vad resultatet av avvägningen mellan de motstående rättigheterna och intressena blir, utan att tillåta ett annat resultat med hänsyn till de särskilda omständigheterna i det enskilda fallet.

(se punkterna 29, 30, 32, 36 och 44–49 samt punkt 1 i domslutet)

3.        Direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter innehåller regler som karaktäriseras av en viss flexibilitet och i vilka det i många fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland olika alternativ. Det finns således skäl att göra åtskillnad mellan, å ena sidan, de nationella åtgärder genom vilka det föreskrivs ytterligare villkor som påverkar räckvidden av en princip som avses i artikel 7 i direktivet, och, å andra sidan, de nationella åtgärder i vilka föreskrivs en precisering av en av dessa principer. Den första kategorin nationella åtgärder är otillåten. Det är endast när det gäller den andra kategorin nationella åtgärder som medlemsstaterna, enligt artikel 5 i direktivet, har ett utrymme för skönsmässig bedömning.

(se punkt 35)

4.        I artikel 7 f i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter föreskrivs två kumulativa villkor för att behandling av personuppgifter ska vara tillåten, nämligen dels att behandlingen av personuppgifterna måste vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna lämnas ut, dels att dessa intressen inte uppvägs av den registrerades grundläggande fri- och rättigheter. Det andra av dessa villkor förutsätter en avvägning mellan föreliggande motstående rättigheter och intressen, vilken i princip är beroende av de konkreta omständigheterna i det enskilda fallet. Inom ramen för denna avvägning åligger det den person eller institution som gör avvägningen att beakta betydelsen av den registrerades rättigheter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna.

(se punkterna 38 och 40)

5.        Rätten till respekt för privatlivet vad avser behandling av personuppgifter, vilken erkänns i artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna, omfattar varje uppgift som rör en fysisk person som är namngiven eller som på annat sätt kan identifieras. Det framgår emellertid av artiklarna 8.2 och 52.1 i stadgan att begränsningar på vissa villkor kan göras av denna rättighet.

(se punkt 42)

6.        Då bestämmelser i ett direktiv med hänsyn till sitt innehåll är ovillkorliga och tillräckligt precisa, har enskilda alltid rätt att vid nationella domstolar åberopa dessa gentemot staten, antingen när staten har underlåtit att inom den föreskrivna fristen införliva direktivet med nationell rätt eller när staten felaktigt har införlivat direktivet. Detta är fallet med artikel 7 f i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Den skyldighet som föreskrivs i artikel 7 f är ovillkorlig, även om medlemsstaterna har ett mer eller mindre stort utrymme för egen bedömning vad gäller genomförandet av vissa andra bestämmelser i direktivet i fråga.

(se punkterna 51, 52 och 55 samt punkt 2 i domslutet)

DOMSTOLENS DOM (tredje avdelningen)

den 24 november 2011 (*)

”Behandling av personuppgifter – Direktiv 95/46/EG – Artikel 7 f ­– Direkt effekt”

I de förenade målen C‑468/10 och C‑469/10,

angående två beslut att begära förhandsavgörande enligt artikel 267 FEUF, från Tribunal Supremo (Spanien), av den 15 juli 2010 som inkom till domstolen den 28 september 2010, i målen

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),

Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)

mot

Administración del Estado,

ytterligare deltagare i rättegången:

Unión General de Trabajadores (UGT) (C‑468/10 och C‑469/10),

Telefónica de España SAU (C‑468/10),

France Telecom España SA (C‑468/10 och C‑469/10),

Telefónica Móviles de España SAU (C‑469/10),

Vodafone España SA (C‑469/10),

Asociación de Usuarios de la Comunicación (C‑469/10),

meddelar

DOMSTOLEN (tredje avdelningen)

sammansatt av avdelningsordföranden K. Lenaerts (referent) samt domarna R. Silva de Lapuerta, E. Juhász, T. von Danwitz och D. Šváby,

generaladvokat: P. Mengozzi,

justitiesekreterare: förste handläggaren M. Ferreira,

efter det skriftliga förfarandet och förhandlingen den 15 september 2011,

med beaktande av de yttranden som avgetts av:

–        Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), genom C. Alonso Martínez och A. Creus Carreras, abogados,

–        Federación de Comercio Electrónico y Marketing Directo (FECEMD), genom R. García del Poyo Vizcaya och Á. Serrano Pérez, abogados,

–        Spaniens regering, genom M. Muñoz Pérez, i egenskap av ombud,

–        Europeiska kommissionen, genom I. Martínez del Peral och B. Martenczuk, båda i egenskap av ombud,

med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,

följande

Dom

1        Respektive begäran om förhandsavgörande avser tolkningen av artikel 7 f i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31).

2        Den ena begäran har framställts i ett mål mellan Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) och Administración del Estado och den andra i ett mål mellan Federación de Comercio Electrónico y Marketing Directo (FECEMD) och Administración del Estado.

 Tillämpliga bestämmelser

 Unionsrätten

 Direktiv 95/46

3        Skälen 7, 8 och 10 i direktiv 95/46 har följande lydelse:

”(7)      Skillnaden i skyddsnivå mellan medlemsstater vad gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv med avseende på behandling av personuppgifter, kan hindra översändande av sådana uppgifter från en medlemsstats territorium till en annans. Denna skillnad kan därför utgöra ett hinder för att utöva en rad ekonomiska aktiviteter på gemenskapsnivå, snedvrida konkurrensen och hindra myndigheterna att fullgöra de skyldigheter som åligger dem enligt gemenskapsrätten. Denna skillnad i skyddsnivå beror på olikheter i nationella lagar och andra författningar.

(8)      För att hindren mot flöden av personuppgifter skall kunna avskaffas måste skyddsnivån när det gäller enskilda personers fri- och rättigheter med avseende på behandlingen av sådana uppgifter vara likvärdig i alla medlemsstater. Denna målsättning är av grundläggande betydelse för den inre marknaden men kan inte uppnås genom åtgärder endast av medlemsstaterna, i synnerhet med tanke på omfattningen av de skillnader som för närvarande finns mellan nationell lagstiftning på området och med tanke på behovet av att samordna lagstiftningen i medlemsstaterna för att säkerställa en sådan enhetlig reglering av det gränsöverskridande flödet av personuppgifter som överensstämmer med målsättningen för den inre marknaden … Det är därför nödvändigt att gemenskapen vidtar åtgärder för att åstadkomma en tillnärmning av lagstiftningen.

...

(10)      Ändamålet med den nationella lagstiftningen om behandling av personuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna [undertecknad i Rom den 4 november 1950 (nedan kallad Europakonventionen)] och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av denna lagstiftning inte medföra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen.”

4        Artikel 1 i direktivet, som har rubriken ”Direktivets syfte”, har följande lydelse:

”1.      Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

2.      Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.”

5        Artikel 5 i samma direktiv har följande lydelse:

”Medlemsstaterna skall inom de begränsningar som bestämmelserna i detta kapitel innebär, precisera på vilka villkor behandling av personuppgifter är tillåten.”

6        I artikel 7 i direktiv 95/46 föreskrivs följande:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

a)      den registrerade otvetydigt har lämnat sitt samtycke,

eller

…

f)      behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1.”

7        I artikel 13.1 i direktivet föreskrivs följande:

”Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till

a)      statens säkerhet,

b)      försvaret,

c)      allmän säkerhet,

d)      förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,

e)      ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor,

f)      en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen,

g)      skydd av den registrerades eller andras fri- och rättigheter.”

 Nationell rätt

 Lag 15/1999

8        Genom lag 15/1999 om skydd av personuppgifter (BOE nr 298 av den 14 december 1999, s. 43088) genomfördes direktiv 95/46 i spansk rätt.

9        I artikel 3 j i lag 15/1999 görs en uttömmande uppräkning av ”källor tillgängliga för allmänheten” enligt följande:

”... sådana register som är tillgängliga för var och en utan andra krav än en eventuell avgift och vars tillgänglighet inte begränsas av några bestämmelser. Källor tillgängliga för allmänheten är endast röstlängden, telefonkataloger enligt de villkor som föreskrivs i särskilda bestämmelser samt förteckningar över personer som tillhör yrkesgrupper och som bara innehåller uppgifter om namn, titel, yrke, verksamhet, utbildningsnivå, adress och att personen tillhör gruppen i fråga. Även massmedier och officiella tidningar utgör källor tillgängliga för allmänheten.”

10      I artikel 6.1 i lag 15/1999 stadgas att personuppgifter endast får behandlas om den registrerade personen otvetydigt har lämnat sitt samtycke, såvitt inte annat föreskrivs i lag. Enligt artikel 6.2 in fine i denna lag krävs inte samtycke i bland annat det fallet att ”uppgifterna finns i källor tillgängliga för allmänheten och det är nödvändigt att behandla dem för att tillgodose berättigade intressen hos den registeransvarige eller hos den tredje man till vilka uppgifterna lämnas ut, förutsatt att den registrerades grundläggande fri- och rättigheter inte åsidosätts”.

11      I artikel 11.1 i lag 15/1999 upprepas att den registrerades samtycke krävs för att kunna lämna ut personuppgifter till tredje män, men enligt artikel 11.2 krävs inte sådant samtycke i bland annat det fallet att uppgifterna hämtats från källor tillgängliga för allmänheten.

–       Kungligt dekret 1720/2007

12      Spaniens regering har utfärdat tillämpningsföreskrifter för lag 15/1999 genom kungligt dekret 1720/2007 (BOE nr 17 av den 19 januari 2008, s. 4103).

13      I artikel 10.1 i kungligt dekret 1720/2007 föreskrivs att personuppgifter får behandlas eller överföras om den registrerade personen dessförinnan har lämnat sitt samtycke till det.

14      I artikel 10.2 i kungligt dekret 1720/2007 föreskrivs emellertid följande:

”… personuppgifter får behandlas eller överföras utan den registrerades samtycke i följande fall:

a)       Om det är tillåtet enligt bestämmelser som har ställning av lag eller enligt gemenskapsrättsliga bestämmelser och särskilt när något av följande villkor är uppfyllt:

–      Behandlingen eller överföringen syftar till att tillgodose berättigade intressen hos den registeransvarige eller hos den till vilka uppgifterna lämnas ut med stöd av dessa bestämmelser, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter enligt artikel 1 i lag 15/1999 av den 13 december.

–      Behandlingen eller överföringen av uppgifterna är nödvändig för att den registeransvarige ska kunna fullgöra en skyldighet som ålagts honom enligt en av dessa bestämmelser.

b)       Om de uppgifter som ska behandlas eller överföras finns i källor tillgängliga för allmänheten och den registeransvarige eller den tredje man till vilken uppgifterna ska lämnas ut har ett berättigat intresse av att de behandlas eller lämnas ut, förutsatt att den registrerades grundläggande fri- och rättigheter inte åsidosätts.

Myndigheter får emellertid med stöd av artikel 10.2 lämna ut uppgifter som hämtats från källor tillgängliga för allmänheten till ansvariga för privata register enbart om de har getts sådan befogenhet enligt bestämmelser som har ställning av lag.”

 Målen vid den nationella domstolen och tolkningsfrågorna

15      ASNEF och FECEMD har väckt förvaltningsrättslig talan mot flera olika artiklar i kungligt dekret 1720/2007.

16      Bland de angripna bestämmelserna återfinns artikel 10.2 a första strecksatsen och artikel 10.2 b första stycket i nämnda dekret, vilka ASNEF och FECEMD anser är oförenliga med artikel 7 f i direktiv 95/46.

17      ASNEF och FECEMD har särskilt gjort gällande att det i spansk rätt – utöver de berättigade intressen som måste föreligga för att uppgifter ska få behandlas utan den registrerades samtycke – föreskrivs ytterligare ett villkor som inte återfinns i direktivet, nämligen att uppgifterna ska finnas i källor tillgängliga för allmänheten.

18      Tribunal Supremo anser att prövningen av talan som väckts av ASNEF och FECEMD i hög utsträckning beror på hur EU-domstolen tolkar artikel 7 f i direktiv 95/46. Tribunal Supremo påpekar att, om EU-domstolen finner att medlemsstaterna inte får föreskriva ytterligare villkor utöver dem som föreskrivs i artikel 7 f och att denna bestämmelse kan anses ha direkt effekt, kan artikel 10.2 b i kungligt dekret 1720/2007 inte tillämpas.

19      Tribunal Supremo har förklarat att det – för att det ska vara tillåtet att behandla personuppgifter om en registrerad person som inte lämnat sitt samtycke till behandlingen, när behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna lämnas ut – i spansk rätt, utöver respekten för den registrerades grundläggande fri- och rättigheter, krävs att uppgifterna finns i register som nämns i artikel 3 j i lag 15/1999. I detta avseende anser Tribunal Supremo att denna lag och kungligt dekret 1720/2007 begränsar tillämpningsområdet för artikel 7 f i direktiv 95/46.

20      Enligt Tribunal Supremos bedömning utgör denna begränsning ett hinder för det fria flödet av personuppgifter som endast är förenligt med direktiv 95/46 om det krävs med hänsyn till den registrerades intressen eller grundläggande fri- och rättigheter. Tribunal Supremo har därav dragit slutsatsen att det enda sättet att undvika en motsägelse mellan detta direktiv och spansk rätt är att göra bedömningen att det fria flödet av personuppgifter som finns i andra register än dem som räknas upp i artikel 3 j i lag 15/1999 innebär att den registrerades intressen eller grundläggande fri- och rättigheter åsidosätts.

21      Tribunal Supremo anser det emellertid vara tveksamt om en sådan tolkning överensstämmer med unionslagstiftarens vilja.

22      Mot denna bakgrund beslutade Tribunal Supremo, som anser att avgörandet i de två målen beror på tolkningen av unionsrättsliga bestämmelser, att vilandeförklara målen och ställa följande frågor, vilka är identiskt formulerade i de två målen, till EU‑domstolen:

”1)       Ska artikel 7 f i … direktiv 95/46/EG … tolkas på så sätt att den utgör hinder för nationell lagstiftning i vilken det – såsom villkor för behandling av personuppgifter som är nödvändig för att tillgodose berättigade intressen hos den registeransvarige eller hos de tredje män till vilka uppgifterna ska lämnas ut, när den registrerade inte har lämnat sitt samtycke – föreskrivs, förutom att den registrerades grundläggande fri- och rättigheter inte får åsidosättas, att uppgifterna ska finnas i källor tillgängliga för allmänheten?

2)      Uppfyller artikel 7 f … de krav som uppställts i EU-domstolens praxis för att en bestämmelse ska kunna tillskrivas direkt effekt?”

23      Domstolens ordförande har genom beslut av den 26 oktober 2010 förenat målen C‑468/10 och C‑469/10 vad gäller det skriftliga och det muntliga förfarandet samt domen.

 Prövning av tolkningsfrågorna

 Den första frågan

24      Den nationella domstolen har ställt den första frågan för att få klarhet i huruvida artikel 7 f i direktiv 95/46/EG ska tolkas på så sätt att den utgör hinder för nationell lagstiftning i vilken det – såsom villkor för behandling av personuppgifter som är nödvändig för att tillgodose berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna ska lämnas ut, när den registrerade inte har lämnat sitt samtycke – föreskrivs, förutom att den registrerades grundläggande fri- och rättigheter inte får åsidosättas, att uppgifterna ska finnas i källor tillgängliga för allmänheten.

25      Medlemsstaterna är enligt artikel 1 i direktiv 95/46 skyldiga att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till skydd för privatlivet, i samband med behandling av personuppgifter (se, för ett liknande resonemang, dom av den 16 december 2008 i mål C‑524/06, Huber, REG 2008, s. I‑9705, punkt 47).

26      I enlighet med bestämmelserna i kapitel II i direktiv 95/46, med rubriken ”Allmänna bestämmelser om när personuppgifter får behandlas”, ska, med förbehåll för de undantag som får göras enligt artikel 13 i direktivet, all behandling av personuppgifter dels stå i överensstämmelse med de principer om uppgifternas kvalitet som anges i artikel 6 i detta direktiv, dels svara mot någon av de sex principer som gör att uppgiftsbehandlingen kan tillåtas, såsom anges i artikel 7 i direktivet (se, för ett liknande resonemang, dom av den 20 maj 2003 i de förenade målen C‑465/00, C‑138/01 och C‑139/01, Österreichischer Rundfunk m.fl., REG 2003, s. I‑4989, punkt 65, samt domen i det ovannämnda målet Huber, punkt 48).

27      Av skäl 7 i direktiv 95/46 följer att skillnaderna mellan de nationella lagar och andra författningar som är tillämpliga på behandling av personuppgifter kan ha betydande negativ inverkan på upprättandet av den inre marknaden och det sätt på vilket denna fungerar (se dom av den 6 november 2003 i mål C‑101/01, Lindqvist, REG 2003, s. I‑12971, punkt 79).

28      Såsom följer av bland annat skäl 8 i direktiv 95/46, syftar direktivet till att göra skyddsnivån när det gäller personers fri- och rättigheter med avseende på behandlingen av personuppgifter likvärdig i alla medlemsstater. I skäl 10 tilläggs att tillnärmningen av de nationella lagstiftningar som är tillämpliga på området inte får medföra någon inskränkning i det skydd de ger, utan ska i stället syfta till att garantera en hög skyddsnivå inom unionen (se, för ett liknande resonemang, dom i det ovannämnda målet Lindqvist, punkt 95, och i det ovannämnda målet Huber, punkt 50).

29      Domstolen har uttalat att harmoniseringen av de nämnda nationella lagstiftningarna således inte inskränker sig till en minimiharmonisering, utan leder till en i princip fullständig harmonisering. Det är i detta perspektiv som direktiv 95/46 syftar till att säkerställa det fria flödet av personuppgifter och att samtidigt garantera en hög skyddsnivå för rättigheter och intressen för de personer som dessa uppgifter avser (se dom i det ovannämnda målet Lindqvist, punkt 96).

30      Det framgår följaktligen av ändamålet – säkerställandet av en likvärdig skyddsnivå i alla medlemsstater – att det i artikel 7 i direktiv 95/46 görs en uttömmande uppräkning av de situationer när en behandling av personuppgifter kan anses vara tillåten.

31      Denna tolkning stöds av formuleringen ”får behandlas endast om” och konjunktionen ”eller” i artikel 7 i direktiv 95/46, vilka visar att denna uppräkning är uttömmande.

32      Det följer av detta att medlemsstaterna varken får foga ytterligare principer för tillåtligheten av behandlingen av personuppgifter till dem som nämns i artikel 7 i direktiv 95/46 eller föreskriva ytterligare villkor som påverkar räckvidden av de sex principer som föreskrivs i nämnda artikel.

33      Tolkningen ovan motsägs inte av artikel 5 i direktiv 95/46. Denna artikel tillåter nämligen endast medlemsstaterna att, inom de begränsningar som bestämmelserna i kapitel II i direktivet innebär, och således artikel 7, precisera på vilka villkor behandling av personuppgifter är tillåten.

34      Det utrymme för skönsmässig bedömning som medlemsstaterna har enligt artikel 5 i direktivet kan således endast användas i enlighet med syftet med direktiv 95/46, vilket är att bibehålla en balans mellan det fria flödet av personuppgifter och skyddet för privatlivet (se dom i det ovannämnda målet Lindqvist, punkt 97).

35      Direktiv 95/46 innehåller regler som karaktäriseras av en viss flexibilitet och i vilka det i många fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland olika alternativ (se dom i det ovannämnda målet Lindqvist, punkt 83). Det finns således skäl att göra åtskillnad mellan, å ena sidan, de nationella åtgärder genom vilka det föreskrivs ytterligare villkor som påverkar räckvidden av en princip som avses i artikel 7 i direktiv 95/46, och, å andra sidan, de nationella åtgärder i vilka föreskrivs en precisering av en av dessa principer. Den första kategorin nationella åtgärder är otillåten. Det är endast när det gäller den andra kategorin nationella åtgärder som medlemsstaterna, enligt artikel 5 i direktiv 95/46, har ett utrymme för skönsmässig bedömning.

36      Det följer av detta att medlemsstaterna, enligt artikel 5 i direktiv 95/46, inte heller får föreskriva ytterligare principer för tillåtligheten av behandlingen av personuppgifter än dem som räknas upp i artikel 7 i direktivet eller föreskriva ytterligare villkor som påverkar räckvidden av de sex principer som föreskrivs i nämnda artikel.

37      I artikel 7 f i direktiv 95/46 föreskrivs att behandling av personuppgifter är tillåten om den ”är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1”.

38      I artikel 7 f föreskrivs två kumulativa villkor för att behandling av personuppgifter ska vara tillåten, nämligen dels att behandlingen av personuppgifterna måste vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna har lämnats ut, dels att dessa intressen inte uppvägs av den registrerades grundläggande fri- och rättigheter.

39      Det följer härav att artikel 7 f i direktiv 95/46, när det gäller behandling av personuppgifter, utgör hinder för nationell lagstiftning i vilken det, när den registrerade inte har lämnat sitt samtycke, uppställs ytterligare krav utöver de kumulativa villkor som nämnts i föregående punkt.

40      Det ska emellertid beaktas att det andra av dessa villkor förutsätter en avvägning mellan föreliggande motstående rättigheter och intressen, vilken i princip är beroende av de konkreta omständigheterna i det enskilda fallet. Inom ramen för denna avvägning åligger det den person eller institution som gör avvägningen att beakta betydelsen av den registrerades rättigheter enligt artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

41      I artikel 8.1 i stadgan anges att ”[v]ar och en har rätt till skydd av de personuppgifter som rör honom eller henne”. Denna grundläggande rättighet är nära förbunden med respekten för privatlivet som stadfästs i artikel 7 i stadgan (dom av den 9 november 2010 i de förenade målen C‑92/09 och C‑93/09, Volker und Markus Schecke och Eifert, REG 2010, s. I‑0000, punkt 47).

42      Enligt domstolens praxis omfattar rätten till respekt för privatlivet vad avser behandling av personuppgifter, vilken erkänns i artiklarna 7 och 8 i stadgan, varje uppgift som rör en fysisk person som är namngiven eller som på annat sätt kan identifieras (se dom i det ovannämnda målet Volker und Markus Schecke och Eifert, punkt 52). Det framgår emellertid av artiklarna 8.2 och 52.1 i stadgan att begränsningar på vissa villkor kan göras av denna rättighet.

43      Dessutom ankommer det på medlemsstaterna att, när de införlivar direktiv 95/46, utgå ifrån en tolkning av direktiven som gör det möjligt att uppnå en korrekt balans mellan de olika grundläggande rättigheter och friheter som åtnjuter skydd enligt unionens rättsordning (se, analogt, dom av den 29 januari 2008 i mål C‑275/06, Promusicae, REG 2008, s. I‑271, punkt 68).

44      När det gäller den nödvändiga avvägningen enligt artikel 7 f i direktiv 95/46 är det möjligt att beakta det faktum att allvaret i kränkningen av den registrerades grundläggande rättigheter som nämnda behandling innebär kan variera beroende på om uppgifterna i fråga redan finns i källor tillgängliga för allmänheten.

45      Till skillnad från uppgifter som finns i källor tillgängliga för allmänheten, innebär nämligen behandlingen av uppgifter som finns i källor som inte är tillgängliga för allmänheten med nödvändighet att uppgifter om den registrerades privatliv blir kända för den registeransvarige och, i förekommande fall, för den tredje man eller de tredje män till vilka uppgifterna lämnas ut. Denna allvarligare kränkning av den registrerades rättigheter enligt artiklarna 7 och 8 i stadgan, ska skäligen beaktasvid avvägningen mellan denna kränkning och de berättigade intressena hos den registeransvarige eller hos de tredje män till vilka uppgifterna ska lämnas ut.

46      I detta avseende bör det påpekas att det inte finns något hinder för att medlemsstaterna, med utnyttjande av det utrymme för skönsmässig bedömning som de har enligt artikel 5 i direktiv 95/46, föreskriver vägledande principer för nämnda avvägning.

47      Det rör sig emellertid inte längre om en precisering i den mening som avses i nämnda artikel 5, om det i en nationell reglering utesluts att vissa typer av personuppgifter behandlas genom att det för dessa typer anges vad resultatet av avvägningen mellan de motstående rättigheterna och intressena blir, utan att tillåta ett annat resultat med hänsyn till de särskilda omständigheterna i det enskilda fallet.

48      Artikel 7 f i direktivet utgör följaktligen hinder för att en medlemsstat kategoriskt och generellt utesluter möjligheten att behandla vissa typer av personuppgifter, utan att tillåta en avvägning mellan de motstående rättigheterna och intressena i det enskilda fallet. Detta påverkar emellertid inte tillämpningen av bestämmelsen om behandlingen av särskilda kategorier av uppgifter i artikel 8 i direktiv 95/46, en bestämmelse vilken inte är i fråga i målet vid den nationella domstolen.

49      Mot bakgrund av dessa överväganden ska den första frågan besvaras på följande sätt. Artikel 7 f i direktiv 95/46/EG ska tolkas på så sätt att den utgör hinder för nationell lagstiftning i vilken det – såsom villkor för behandling av personuppgifter som är nödvändig för att tillgodose berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna ska lämnas ut, när den registrerade inte har lämnat sitt samtycke – föreskrivs, förutom att den registrerades grundläggande fri- och rättigheter inte får åsidosättas, att uppgifterna ska finnas i källor tillgängliga för allmänheten, vilket kategoriskt och generellt utesluter all behandling av uppgifter som inte finns i sådana källor.

 Den andra frågan

50      Den nationella domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 7 f i direktiv 95/46 har direkt effekt.

51      Det framgår av domstolens fasta praxis att då bestämmelser i ett direktiv med hänsyn till sitt innehåll är ovillkorliga och tillräckligt precisa, har enskilda alltid rätt att vid nationella domstolar åberopa dessa gentemot staten, antingen när staten har underlåtit att inom den föreskrivna fristen införliva direktivet med nationell rätt eller när staten felaktigt har införlivat direktivet (se dom av den 3 mars 2011 i mål C‑203/10, Auto Nikolovi, REU 2011, s. I‑0000, punkt 61 och där angiven rättspraxis).

52      Domstolen konstaterar att bestämmelsen i artikel 7 f i direktiv 95/46 är tillräckligt precis för att kunna åberopas av en enskild och tillämpas av nationella domstolar. Den skyldighet som föreskrivs i artikel 7 f är dessutom ovillkorlig, även om medlemsstaterna obestridligen har ett mer eller mindre stort utrymme för egen bedömning vad gäller genomförandet av vissa andra bestämmelser i direktivet i fråga (se, analogt, domen i det ovannämnda målet Österreichischer Rundfunk m.fl., punkt 100).

53      Det faktum att uttrycket ”utom när” används i artikel 7 f i direktiv 95/46 är inte i sig tillräckligt för att skapa något tvivel såvitt avser bestämmelsens ovillkorliga karaktär, i den mening som avses i nämnda rättspraxis.

54      Detta uttryck syftar nämligen till att ange ett av de två kumulativa villkor som enligt artikel 7 f i direktiv 95/46 måste vara uppfyllda för att behandling av personuppgifter ska få ske utan den registrerades samtycke. Eftersom villkoret har definierats, innebär förekomsten av detta villkor inte att artikel 7 f saknar precis och ovillkorlig karaktär.

55      Den andra frågan ska således besvaras på så sätt att artikel 7 f i direktiv 95/46 har direkt effekt.

 Rättegångskostnader

56      Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:

1)      Artikel 7 f i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, ska tolkas på så sätt att den utgör hinder för nationell lagstiftning i vilken det – såsom villkor för behandling av personuppgifter som är nödvändig för att tillgodose berättigade intressen hos den registeransvarige eller hos den tredje man eller de tredje män till vilka uppgifterna ska lämnas ut, när den registrerade inte har lämnat sitt samtycke – föreskrivs, förutom att den registrerades grundläggande fri- och rättigheter inte får åsidosättas, att uppgifterna ska finnas i källor tillgängliga för allmänheten, vilket kategoriskt och generellt utesluter all behandling av uppgifter som inte finns i sådana källor.

2)      Artikel 7 f i direktiv 95/46 har direkt effekt.

Underskrifter

---

* Rättegångsspråk: spanska.