2009 m. gegužės 7 d. (
*1)
„Fizinių asmenų apsauga tvarkant asmens duomenis — Direktyva 95/46/EB — Privataus gyvenimo apsauga — Duomenų ištrynimas — Teisė gauti duomenis ir informaciją apie duomenų gavėjus — Terminas pasinaudoti teise gauti informaciją“
Byloje C-553/07
dėl Raad van State (Nyderlandai) 2007 m. gruodžio 5 d. Sprendimu, kurį Teisingumo Teismas gavo, pagal EB 234 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
College van burgemeester en wethouders van Rotterdam
prieš
M. E. E. Rijkeboer,
TEISINGUMO TEISMAS (trečioji kolegija),
kurį sudaro kolegijos pirmininkas A. Rosas, teisėjai A. Ó Caoimh, J. Klučka, U. Lõhmus ir P. Lindh (pranešėja),
generalinis advokatas D. Ruiz-Jarabo Colomer,
posėdžio sekretorė M. Ferreira, vyriausioji administratorė,
atsižvelgęs į rašytinę proceso dalį ir įvykus 2008 m. lapkričio 20 d. posėdžiui,
išnagrinėjęs pastabas, pateiktas:
susipažinęs su 2008 m. gruodžio 22 d. posėdyje pateikta generalinio advokato išvada,
priima šį
1Prašymas priimti prejudicinį sprendimą susijęs su 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ( OL L 281, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355; toliau – direktyva) 12 straipsnio a punkto išaiškinimu.
2Prašymas pateiktas byloje tarp M. Rijkeboer ir College van burgemeester en wethouders van Rotterdam (Roterdamo burmistro ir miesto tarybos narių kolegija, toliau – College) dėl pastarosios dalinio atsisakymo suteikti jam informaciją apie jo asmens duomenų atskleidimo tretiesiems asmenims atvejus per dvejų metų iki prašymo suteikti informaciją pateikimo laikotarpį.
3Direktyvos 2 ir 10 konstatuojamosiose dalyse, susijusiose su pagrindinėmis laisvėmis, skelbiama:
„(2)
kadangi duomenų tvarkymo sistemos skirtos tarnauti žmogui; kadangi nepriklausomai nuo fizinių asmenų tautybės ar gyvenamos vietos, duomenys turi būti tvarkomi gerbiant žmogaus teises ir laisves, ypač privatumo teisę, taip pat remiant ekonominę ir socialinę pažangą, prekybos plėtrą bei žmonių gerovę;
<…>
4Pagal direktyvos 25 konstatuojamąją dalį asmenų apsaugos principai turi būti išreikšti, viena vertus – atitinkamomis prievolėmis duomenis tvarkantiems asmenims, susijusiomis visų pirma su duomenų kokybe, ir, kita vertus – asmenims, apie kuriuos yra tvarkomi duomenys, suteiktomis teisėmis susipažinti su šiais duomenimis, reikalauti juos ištaisyti ir netgi tam tikromis aplinkybėmis prieštarauti, kad jie būtų tvarkomi.
5Direktyvos 40 konstatuojamojoje dalyje, skirtoje pareigai informuoti duomenų subjektą, kai duomenys surinkti ne tiesiogiai iš jo, nurodoma, kad ši prievolė netaikoma tuomet, kai pateikti šią informaciją būtų neįmanoma arba reikalaujama pernelyg daug pastangų, ir kad šiuo atžvilgiu galima atsižvelgti į duomenų subjektų skaičių, duomenų senumą ir bet kurias įmanomas kompensacines priemones.
6Pagal direktyvos 41 konstatuojamąją dalį bet kuriam asmeniui turi būti sudarytos galimybės pasinaudoti teise gauti su juo susijusius duomenis, kurie yra tvarkomi, ypač norint patikrinti duomenų tikslumą ir jų tvarkymo teisėtumą.
7Direktyvos 1 straipsnis „Direktyvos paskirtis“ suformuluotas taip:
„1. Pagal šią direktyvą valstybės narės saugo fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę [privatų gyvenimą] tvarkant asmens duomenis.
2Valstybės narės nevaržo ir nedraudžia laisvo asmens duomenų judėjimo tarp valstybių narių dėl priežasčių, susijusių su apsauga, skiriama pagal šio straipsnio 1 dalį.“
8Direktyvos 2 straipsnio a punkte sąvoka „asmens duomenys“ apibrėžiama kaip bet kuri informacija, susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta (duomenų subjektu).
9Direktyvos 2 straipsnio b punkte „asmens duomenų tvarkymas“ apibrėžtas kaip reiškiantis:
„bet kurią operaciją ar operacijų rinkinį, automatiniais arba neautomatiniais būdais atliekamus su asmens duomenimis, kaip antai: rinkimas, užrašymas, rūšiavimas, saugojimas, adaptavimas ar keitimas, atgaminimas, paieška, naudojimas, atskleidimas perduodant, platinant ar kitu būdu padarant juos prieinamus, išdėstymas reikiama tvarka ar sujungimas derinant, blokavimas, trynimas ar naikinimas“.
10Pagal direktyvos 2 straipsnio d punktą „duomenų valdytojas“ yra fizinis arba juridinis asmuo, valstybės valdžios institucija, agentūra ar bet kuris kitas organas, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir būdus.
11Direktyvos 2 straipsnio g punkte „duomenų gavėjas“ apibrėžtas kaip fizinis ar juridinis asmuo, valstybės valdžios institucija, agentūra ar bet kuris kitas organas, kuriam atskleidžiami duomenys, net jei jis yra „trečioji šalis“ direktyvos 2 straipsnio f punkto prasme.
12Direktyvos 6 straipsnyje įtvirtinti duomenų kokybės principai. Dėl duomenų saugojimo 1 straipsnio e punkte nurodoma, kad valstybės narės turi numatyti, jog asmens duomenys būtų „laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tais tikslais, dėl kurių duomenys buvo surinkti arba po to tvarkomi. Valstybės narės išdėsto asmens duomenų, ilgesnį laiką saugomų dėl istorinės, statistinės ar mokslinės paskirties, atitinkamas apsaugos priemones“.
13Direktyvos 10 ir 11 straipsniuose nurodyta informacija, kurią duomenų valdytojas arba jo atstovas turi pateikti duomenų subjektui tais atvejais, kai renka duomenis iš jo arba ne iš jo.
14Direktyvos 12 straipsnis „Teisė gauti informaciją“ suformuluotas taip:
„Valstybės narės garantuoja kiekvienam duomenų subjektui teisę reikalauti, kad duomenų valdytojas:
15Direktyvos 13 straipsnio 1 dalimi „Išimtys ir apribojimai“ valstybėms narėms leidžiama nukrypti, be kita ko, nuo 6 ir 12 straipsnių, kai tai yra būtina užtikrinant tam tikrus viešuosius interesus, kuriems priskiriamas nacionalinis saugumas, gynyba, kriminalinių nusikaltimų persekiojimas bei kitus interesus, pavyzdžiui, duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą.
16Direktyvos 14 straipsnyje numatyta, kad valstybės narės suteikia duomenų subjektui teisę tam tikromis aplinkybėmis prieštarauti, kad jo asmens duomenys būtų tvarkomi.
17Pagal direktyvos 17 straipsnio 1 dalies antrąją pastraipą valstybės narės numato duomenų valdytojui pareigą įgyvendinti tinkamas technines ir organizacines priemones, skirtas užtikrinti tokį saugumo lygį, kuris, atsižvelgus į technologijų lygį ir jų įdiegimo išlaidas, atitiktų tvarkymo keliamą riziką ir saugotinų duomenų pobūdį.
18Direktyvos 22 straipsnyje ir 23 straipsnio 1 dalyje nurodyta, jog valstybės narės numato, kad kiekvienas asmuo turi teisę kreiptis į teismą, jei pažeidžiamos jam nacionalinės teisės aktais suteiktos teisės, ir kad bet kuris asmuo, patyręs žalos dėl neteisėtos tvarkymo operacijos ar bet kokio veiksmo, nesuderinamo su pagal šią direktyvą priimtomis nacionalinėmis nuostatomis, turi teisę iš duomenų valdytojo gauti žalos atlyginimą.
19Į Nyderlandų teisę direktyva buvo perkelta bendruoju teisės aktu – Asmens duomenų apsaugos įstatymu (Wet bescherming persoonsgegevens). Be to, atsižvelgiant į direktyvą, priimti specialieji įstatymai. Tai pasakytina ir apie pagrindinėje byloje nagrinėjamą teisės aktą – Įstatymą dėl komunų administracijų turimų asmens duomenų (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, Nr. 494, toliau – Wet GBA).
20Wet GBA 103 straipsnio 1 dalyje numatyta, kad suinteresuoto asmens prašymu per keturias savaites Burmistro ir miesto tarybos narių kolegija (Collège des bourgmestre et échevins) raštu pateikia komunos administracijos apie jį turimus asmens duomenis, kurie buvo atskleisti šių duomenų pareikalavusiam ar kitam trečiajam asmeniui per vienerius metus iki suinteresuoto asmens prašymo.
21Pagal Wet GBA 110 straipsnį Burmistro ir miesto tarybos narių kolegija saugo įrašą apie tokį atskleidimą vienerius metus nuo duomenų atskleidimo, nebent duomenų bazė suteikia galimybę gauti šią informaciją kitais būdais.
22Iš College raštu pateiktų pastabų matyti, kad komunoje saugomi šie duomenys: vardas ir pavardė, gimimo data, administracinis numeris, socialinio draudimo – mokesčių mokėtojo numeris, užregistravusi komuna, šeiminė padėtis, globa (rūpyba), nepilnamečiams turima valdžia, pilietybė ir užsieniečių teisė gyventi.
232005 m. spalio 26 d. laišku M. Rijkeboer paprašė College informuoti jį apie visus atvejus, kai komunos administracijos apie jį turimi asmens duomenys buvo atskleisti tretiesiems asmenims per dvejus metus iki jo prašymo. Jis pageidavo sužinoti šių asmenų tapatybę ir jiems pateiktos informacijos turinį. M. Rijkeboer, kuris buvo persikėlęs gyventi į kitą komuną, pageidavo konkrečiai sužinoti, kam buvo atskleistas jo senasis adresas.
242005m. spalio 27 d. ir sprendimais College patenkino šį prašymą tik iš dalies, pateikdama informaciją tik apie vienerių metų iki prašymo laikotarpį, kaip tai numatyta Wet GBA 103 straipsnio 1 dalyje.
25Duomenų atskleidimas užregistruotas pagal Logisch Ontwerp GBA. Tai yra Nyderlandų Karalystės vidaus reikalų ministerijos ( Ministerie van Binnenlandse Zaken en Koninkrijkrelaties) įsteigta automatinio duomenų tvarkymo sistema. Iš prašymo priimti prejudicinį sprendimą matyti, kad M. Rijkeboer prašomi senesni nei vienerių metų iki prašymo duomenys buvo automatiškai ištrinti ir kad tai atitinka Wet GBA 110 straipsnį.
26M. Rijkeboer pateikė skundą College dėl atsisakymo suteikti informaciją apie gavėjus, kuriems asmens duomenys apie jį buvo atskleisti anksčiau nei vieneri metai iki prašymo. 2006 m. vasario 13 d. atmetus šį skundą, M. Rijkeboer pareiškė ieškinį Rechtbank Rotterdam.
27Šis teismas patenkino ieškinį nusprendęs, kad Wet GBA 103 straipsnio 1 dalyje numatytas teisės būti informuotam apie duomenis, kurie gavėjams atskleisti daugiau nei vieneri metai iki prašymo, apribojimas neatitinka direktyvos 12 straipsnio. Jis taip pat nusprendė, kad nagrinėjamam atvejui netaikytinos šios direktyvos 13 straipsnyje numatytos išimtys.
28Dėl šio sprendimo College pareiškė apeliacinį skundą Raad van State. Šis teismas konstatuoja, kad direktyvos 12 straipsnyje, susijusiame su teise gauti informaciją, neįtvirtintas galimybės pasinaudoti šia teise terminas. Tačiau, pasak jo, šis straipsnis nedraudžia nacionalinės teisės aktų leidėjui laike apriboti duomenų subjekto teisę būti informuotam apie gavėjus, kuriems asmens duomenys apie jį buvo atskleisti, tačiau šiuo klausimu jam lieka abejonių.
29Tokiomis aplinkybėmis Raad van State nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šį prejudicinį klausimą:
„Ar įstatyme numatytas apribojimas suteikti informaciją tik apie tuos atskleidimus, kurie įvyko per vienerius metus iki atitinkamo prašymo, yra suderinamas su [Direktyvos] 95/46/EB […] 12 straipsnio a punktu, skaitomu kartu su jos 6 straipsnio 1 dalies a punktu, ir proporcingumo principu?“
30Pirmiausia reikia priminti, kad pagal EB 234 straipsnį numatytą teisminio bendradarbiavimo sistemą Teisingumo Teismas turi aiškinti Bendrijos teisės nuostatas. O nacionalinės teisės nuostatas aiškinti turi nacionaliniai teismai (žr. 2008 m. vasario 14 d. Sprendimo Gysen, C-449/06, Rink. p. I-553, 17 punktą).
31Taigi, prašymą priimti prejudicinį sprendimą pateikusio teismo klausimą reikia suprasti kaip prašymą atsakyti, ar pagal direktyvą, konkrečiai – jos 12 straipsnio a punktą, asmens teisė gauti informaciją apie jo asmens duomenų gavėjus arba jų kategorijas bei šių atskleistų duomenų turinį gali būti apribota vienerių metų iki prašymo suteikti informaciją pateikimo trukmės laikotarpiu.
32Šis teismas konkrečiai nurodo dvi direktyvos nuostatas: 6 straipsnio 1 dalies e punktą, susijusį su asmens duomenų laikymu, ir 12 straipsnio a punktą, susijusį su teise gauti šiuos duomenis. Kita vertus, nei šis teismas, nei kuri nors pastabas Teisingumo Teismui pateikusių šalių nesiremia direktyvos 13 straipsnyje nurodytomis išimtimis.
33Direktyvos 6 straipsnis skirtas duomenų kokybei. Jo 1 dalies e punktu iš valstybių narių reikalaujama numatyti, kad asmens duomenys nebūtų laikomi ilgiau nei tai reikalinga tais tikslais, kuriais jie buvo surinkti arba po to tvarkomi. Taigi, pasiekus šiuos tikslus, šie duomenys turi būti ištrinti.
34Direktyvos 12 straipsnio a punkte numatyta, kad valstybės narės suteikia duomenų subjektui teisę gauti asmens duomenis apie save bei informaciją apie šių duomenų gavėjus ir jų kategorijas, bet nenurodo termino.
35Taigi, šiais dviem straipsniais siekiama apsaugoti duomenų subjektą. Prašymą priimti prejudicinį sprendimą pateikęs teismas nori sužinoti, ar šie du straipsniai susiję taip, kad teisė gauti informaciją apie asmens duomenų gavėjus ar jų kategorijas bei perduotų duomenų turinį gali priklausyti nuo šių duomenų saugojimo trukmės.
36Iš Teisingumo Teismui pateiktų pastabų matyti, kad požiūriai į ryšį tarp šių dviejų nuostatų skiriasi.
37College bei Nyderlandų, Čekijos, Ispanijos ir Jungtinės Karalystės vyriausybės tvirtina, kad direktyvos 12 straipsnio a punkte įtvirtinta teisė gauti informaciją tik apie dabarties, o ne praeities gavėjus arba jų kategorijas. Kadangi vadovaujantis nacionalinės teisės aktais duomenys buvo ištrinti, duomenų subjektas negali jų gauti. Ši pasekmė neprieštarauja direktyvai.
38College ir Nyderlandų vyriausybė dar nurodo, kad Wet GBA 103 straipsnio 1 dalis, pagal kurį asmens prašymu komuna jam pateikia per vienerius metus iki prašymo gavėjams atskleistus duomenis, viršija direktyvoje nustatytus reikalavimus.
39Komisija ir Graikijos vyriausybė tvirtina, kad direktyva suteikia teisę gauti informaciją ne tik apie dabartį, bet ir apie laikotarpį iki prašymo suteikti informaciją pateikimo. Jų požiūris išsiskiria tik dėl šios teisės konkrečios trukmės.
40Siekiant įvertinti teisės gauti informaciją, kurią siekiama įtvirtinti direktyva, apimtį visų pirma reikia nustatyti duomenis, kurių atžvilgiu taikoma teisė gauti informaciją, o paskui – remtis direktyvos 12 straipsnio a punkto tikslu atsižvelgiant į bendrąjį direktyvos tikslą.
41M. Rijkeboer atveju yra svarbūs dviejų rūšių duomenys.
42Pirmai grupei priskirtini apie asmenį komunos turimi asmens duomenys, kaip antai jo vardas bei pavardė ir adresas, kurie nagrinėjamu atveju yra pagrindiniai duomenys. Iš College ir Nyderlandų vyriausybės pateiktų žodinių pastabų matyti, kad šie duomenys gali būti saugomi ilgai. Jie yra „asmens duomenys“ direktyvos 2 straipsnio a punkto prasme, nes yra „informacija, susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta“ (šiuo atžvilgiu žr. 2003 m. gegužės 20 d. Sprendimo Österreichischer Rundfunk ir kt. , C-465/00, C-138/01 ir C-139/01, Rink. p. I-4989, 64 punktą; Sprendimo Lindqvist, C-101/01, Rink. p. I-12971, 24 punktą ir Sprendimo Huber, C-524/06, Rink. p. I-9705, 43 punktą).
43Antrai grupei priskirtina informacija apie gavėjus arba jų kategorijas, kuriems šie pagrindiniai duomenys yra atskleidžiami, bei šių duomenų turinys, taigi – apie pagrindinių duomenų tvarkymą. Vadovaujantis pagrindinėje byloje nagrinėjamais nacionalinės teisės aktais, ši informacija saugoma tik vienerius metus.
44Pagrindinėje byloje nagrinėjama teisė gauti informaciją apie asmens duomenų gavėją arba gavėjus bei perduotų duomenų turinį taikoma ir antros grupės duomenims.
45Siekiant nustatyti, ar direktyvos 12 straipsnio a punktas leidžia tokį ribojimą laike, šį straipsnį reikia aiškinti atsižvelgiant į jo tikslą bendrųjų direktyvos tikslų kontekste.
46Direktyvos 1 straipsnyje nurodyta, kad jos tikslas – saugoti fizinių asmenų pagrindines teises ir laisves, o ypač jų privatų gyvenimą tvarkant asmens duomenis, ir sudaryti sąlygas šių duomenų laisvam judėjimui tarp valstybių narių.
47Privataus gyvenimo apsaugos svarba išsamiai paaiškinta direktyvos 2 bei 10 konstatuojamosios dalyse ir pripažįstama Teisingumo Teismo praktikoje (šiuo klausimu žr. minėtų sprendimų Österreichischer Rundfunk ir kt. 70 punktą; Lindqvist 97 ir 99 punktus; taip pat 2008 m. sausio 29 d. Sprendimo Promusicae, C-275/06, Rink. p. I-271, 63 punktą ir Sprendimo Satakunnan Markkinapörssi ir Satamedia, C-73/07, Rink. p. I-9831, 52 punktą).
48Be to, kaip matyti iš direktyvos 25 konstatuojamosios dalies, šios apsaugos principai turi būti išreikšti, viena vertus, atitinkamomis prievolėmis duomenis tvarkantiems asmenims, visų pirma susijusiomis su duomenų kokybe, ir, kita vertus, asmenims, apie kuriuos yra tvarkomi duomenys, suteiktomis teisėmis susipažinti su šiais duomenimis, reikalauti juos ištaisyti ir netgi tam tikromis aplinkybėmis prieštarauti, kad jie būtų tvarkomi.
49Ši teisė į privataus gyvenimo gerbimą reiškia, kad duomenų subjektas turi galimybę įsitikinti, ar tvarkomi jo asmens duomenys yra tikslūs ir tvarkomi teisėtai, t. y. konkrečiau tariant, ar pagrindiniai duomenys apie jį yra tikslūs ir teikiami teisėtiems jų gavėjams. Kaip nurodyta direktyvos 41 konstatuojamojoje dalyje, tam, kad duomenų subjektas galėtų atlikti reikiamus patikrinimus, jam turi būti suteikta teisė gauti savo asmens duomenis, kurie yra tvarkomi.
50Šiuo atžvilgiu direktyvos 12 straipsnio a punkte numatyta teisė gauti pagrindinius duomenis bei informaciją apie gavėjus, kuriems šie duomenys atskleisti, arba šių gavėjų grupes.
51Ši teisė gauti informaciją yra būtina tam, kad duomenų subjektas galėtų pasinaudoti direktyvos 12 straipsnio b ir c punktuose numatytomis teisėmis, t. y. pasiekti, kad duomenų valdytojas ištaisytų, ištrintų arba blokuotų duomenis tais atvejais, kai jie tvarkomi nesilaikant direktyvos (b punktas), arba praneštų trečiosioms šalims, kurioms duomenys buvo atskleisti, apie šiuos ištaisymus, ištrynimus ar blokavimus, nebent tai padaryti būtų neįmanoma arba pernelyg sunku (c punktas).
52Ši teisė gauti informaciją taip pat būtina tam, kad duomenų subjektas galėtų pasinaudoti direktyvos 14 straipsnyje numatyta teise prieštarauti asmens duomenų apie jį tvarkymui arba jos 22 ir 23 straipsniuose numatyta teise pateikti ieškinį dėl patirtos žalos.
53Teisės gauti informaciją apie pagrindinių duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį atžvilgiu direktyvoje nenurodoma, ar ši teisė susijusi su praeitimi ir kokia galima laikotarpio praeityje trukmė.
54Šiuo atžvilgiu reikia konstatuoti, kad siekiant užtikrinti šio sprendimo 51 ir 52 punktuose minėtų nuostatų veiksmingumą, ši teisė būtinai turi būti susijusi su praeitimi. Kitu atveju suinteresuotas asmuo negalėtų veiksmingai pasinaudoti turima teise pasiekti, kad neteisėtais arba neteisingais laikomi duomenys būtų ištaisyti, ištrinti arba užblokuoti, bei pareikšti ieškinį teisme ir prisiteisti patirtos žalos atlyginimą.
55Kyla klausimas, kokia yra šio teisės apimtis praeityje.
56Teisingumo Teismas yra nusprendęs, kad direktyvos nuostatos yra palyginti bendro pobūdžio dėl to, kad jos taikomos daugeliui labai įvairių situacijų, ir kad direktyvoje nurodytoms taisyklėms būdingas tam tikras lankstumas, t. y. daugeliu atveju valstybėms narėms paliekama galimybė priimti detalias nuostatas arba pasirinkti iš leidžiamų galimybių (žr. minėto sprendimo Lindqvist 83 punktą). Teisingumo Teismas taip pat pripažino, kad perkeldamos direktyvą valstybės narės daugeliu atžvilgiu turi diskreciją (žr. minėto sprendimo Lindqvist 84 punktą). Tačiau ši diskrecija, turima ir direktyvos 12 straipsnio a punkto perkėlimo atžvilgiu, nėra neribota.
57Teisei gauti informaciją apie gavėjus arba jų kategorijas bei atskleistų duomenų turinį nustatytas terminas turi užtikrinti duomenų subjektui galimybę naudotis įvairiomis direktyvoje numatytomis ir šio sprendimo 51 ir 52 punktuose primintomis teisėmis.
58Pagrindinių duomenų saugojimo laikotarpis gali būti svarbus kriterijus, tačiau nebūtinai – lemiamas.
59Direktyvos taikymo sritis yra labai plati, tai Teisingumo Teismas jau pripažino (žr. minėtų sprendimų Österreichischer Rundfunk ir kt. 43 punktą ir Lindqvist 88 punktą), o asmens duomenys, kuriems skirta direktyva, įvairūs. Taigi, jų saugojimo trukmė, direktyvos 6 straipsnio 1 dalies e punkte apibrėžta atsižvelgiant į jų rinkimo ir vėlesnio tvarkymo tikslus, gali būti įvairi. Kai pagrindinių duomenų saugojimo trukmė yra labai ilga, tam tikrais atvejais duomenų subjekto interesas pasinaudoti šio sprendimo 57 punkte minėtomis įsiterpimo ir reikalavimų iškėlimo priemonėmis gali sumažėti. Pavyzdžiui, pareiga vienodai ilgai saugoti informaciją apie gavėjus arba jų kategorijas bei apie atskleistų duomenų turinį taip pat tais atvejais, kai atitinkamų pagrindinių duomenų gavėjų yra daug arba duomenų atskleidimas siauresnio rato gavėjams vyksta dažnai, gali būti pernelyg didelė našta duomenų valdytojui.
60Tačiau iš valstybių narių direktyva nereikalaujama nustatyti tokias pareigas duomenų valdytojui.
61Direktyvos 12 straipsnio c punkte numatyta aiški išlyga dėl duomenų valdytojo pareigos pranešti tretiesiems asmenims, kuriems atskleisti duomenys, apie ištaisymus, ištrynimus ar blokavimus, t. y. nurodytas atvejis, kai tai padaryti neįmanoma arba pernelyg sunku.
62Iš kitų direktyvos dalių ištraukų matyti, kad galima atsižvelgti į kai kurioms priemonėms užtikrinti reikalingų pastangų neproporcingumą. Dėl pareigos informuoti duomenų subjektą 40 konstatuojamojoje dalyje nurodyta, kad gali būti atsižvelgta į duomenų subjektų skaičių ir duomenų senumą. Pagal direktyvos 17 straipsnį, susijusį su tvarkymo saugumu, valstybės narės turi numatyti duomenų valdytojui pareigą įgyvendinti tinkamas technines ir organizacines priemones, skirtas užtikrinti tokį saugumo lygį, kuris, atsižvelgus į technologijų lygį ir jų įdiegimo išlaidas, atitiktų tvarkymo keliamą riziką ir saugotinų duomenų pobūdį.
63Analogiški motyvai taikytini nustatant terminą, taikytiną teisei gauti informaciją apie gavėjus arba jų kategorijas bei atskleistų duomenų turinį. Be šio sprendimo 57 punkte primintų motyvų, valstybės narės gali atsižvelgti į keletą kitų veiksnių, be kita ko, ieškinio senatį reglamentuojančias nacionalinės teisės nuostatas, pagrindinių duomenų didesnį ar mažesnį jautrumą, šių duomenų saugojimo trukmę ir duomenų subjektų kiekį.
64Taigi valstybės narės turi nustatyti tokį informacijos apie gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimo terminą ir sudaryti tokias šios informacijos gavimo sąlygas, kad būtų užtikrinta tinkama pusiausvyra tarp, viena vertus, duomenų subjekto intereso apsaugoti savo privatų gyvenimą pasinaudojant, be kita ko, teisėmis ištaisyti, ištrinti ir užblokuoti nesilaikant direktyvos nuostatų tvarkomus duomenis, prieštarauti bei pareikšti ieškinį teisme ir, kita vertus, naštos, kuri duomenų valdytojui tenka dėl pareigos saugoti šią informaciją.
65Be to, nustatant šį terminą reikia atsižvelgti į pareigas numatyti, jog asmens duomenys būtų laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tais tikslais, dėl kurių duomenys buvo surinkti arba po to tvarkomi. Valstybės narės išdėsto asmens duomenų, ilgesnį laiką saugomų dėl istorinės, statistinės ar mokslinės paskirties, atitinkamas apsaugos priemones.
66Nagrinėjamu reguliavimu, kai informacijos apie duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimas ribojamas vieneriais metais ir atitinkamai ribojama galimybė gauti šią informaciją, nors pagrindiniai duomenys saugomi daug ilgesnį laiką, negali užtikrinti tinkamos pusiausvyros tarp nagrinėjamo intereso ir nagrinėjamos pareigos, nebent būtų įrodyta, kad ilgesnis šios informacijos saugojimas būtų pernelyg didelė našta duomenų valdytojui. Tačiau tai patikrinti, atsižvelgdamas į pirmesniuose punktuose nurodytus motyvus, turi nacionalinis teismas.
67Turint omenyje nurodytus motyvus, reikia atmesti tam tikrų valstybių narių argumentą, jog atsižvelgiant į direktyvos 10 ir 11 straipsnius nereikalinga, kad direktyvos 12 straipsnio a punkte numatyta teisė gauti informaciją apie gavėjus arba jų kategorijas apimtų praeitį.
68Reikia konstatuoti, kad šiais 10 ir 11 straipsniais įtvirtinamos pareigos duomenų valdytojui arba jo atstovui tam tikromis aplinkybėmis suteikti duomenų subjektui informaciją apie duomenų gavėjus arba jų kategorijas. Duomenų valdytojas arba jo atstovas privalo patys suteikti šią informaciją duomenų subjektui duomenų surinkimo momentu arba, jei duomenys surenkami ne tiesiogiai iš šio subjekto, šių duomenų užrašymo ar jų galimo atskleidimo trečiajam asmeniui momentu.
69Taigi šiomis nuostatomis siekiama įtvirtinti kitokias pareigas nei tos, kurios išplaukia iš direktyvos 12 straipsnio a punkto. Todėl jos niekaip nesumažina valstybių narių pareigos numatyti, kad duomenų valdytojas privalo pateikti duomenų subjektui informaciją apie gavėjus arba jų kategorijas bei atskleistus duomenis, šiam nusprendus pasinaudoti jam pagal šį 12 straipsnio a punktą suteikta teise gauti informaciją. Valstybės narės privalo priimti priemones, perkeliančias, viena vertus, direktyvos 10 ir 11 straipsnių nuostatas dėl pareigos informuoti ir, kita vertus, direktyvos 12 straipsnio a punkto nuostatas taip, kad iš pirmųjų išplaukiančios pareigos nesumažintų išplaukiančių iš antrųjų.
70Todėl į pateiktą klausimą reikia atsakyti, kad:
71Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.
Remdamasis šiais motyvais, Teisingumo Teismas (trečioji kolegija) nusprendžia:
1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo 12 straipsnio a punktu iš valstybių narių reikalaujama numatyti teisę gauti tiek su dabartim, tiek su praeitim susijusią informaciją apie duomenų gavėjus arba jų kategorijas bei atskleistos informacijos turinį. Valstybės narės turi nustatyti šios informacijos saugojimo trukmę bei atitinkamą teisę gauti ją taip, kad būtų užtikrinta tinkama pusiausvyra tarp, viena vertus, duomenų subjekto intereso apsaugoti savo privatų gyvenimą pasinaudojant, be kita ko, direktyvoje numatytomis įsiterpimo ir reikalavimų iškėlimo priemonėmis ir, kita vertus, naštos, kuri duomenų valdytojui tenka dėl pareigos saugoti šią informaciją.
Reguliavimu, kai informacijos apie duomenų gavėjus arba jų kategorijas bei atskleistų duomenų turinį saugojimas ribojamas vieneriais metais ir atitinkamai ribojama galimybė gauti šią informaciją, nors pagrindiniai duomenys saugomi daug ilgesnį laiką, negali užtikrinti tinkamos pusiausvyros tarp nagrinėjamo intereso ir nagrinėjamos pareigos, nebent būtų įrodyta, kad ilgesnis šios informacijos saugojimas būtų pernelyg didelė našta duomenų valdytojui. Tai patikrinti turi nacionalinis teismas.
Parašai.
(
*1) Proceso kalba: olandų.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.