z dne 7. maja 2009 (*1)
„Varstvo posameznikov pri obdelavi osebnih podatkov — Direktiva 95/46/ES — Varstvo zasebnega življenja — Izbris podatkov — Pravica do dostopa do podatkov in informacij glede prejemnikov podatkov — Rok za uveljavljanje pravice do dostopa“
V zadevi C-553/07,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 234 ES, ki ga je vložil Raad van State (Nizozemska) z odločbo z dne 5. decembra 2007, ki je prispela na Sodišče , v postopku
College van burgemeester en wethouders van Rotterdam
proti
M. E. E. Rijkeboerju ,
SODIŠČE (tretji senat),
v sestavi A. Rosas, predsednik senata, A. Ó Caoimh, J. Klučka, U. Lõhmus, sodniki, in P. Lindh (poročevalka), sodnica,
generalni pravobranilec: D. Ruiz-Jarabo Colomer,
sodna tajnica: M. Ferreira, glavna administratorka,
na podlagi pisnega postopka in obravnave z dne 20. novembra 2008,
ob upoštevanju stališč, ki so jih predložili:
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 22. decembra 2008
izreka naslednjo
1Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 12(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ( UL L 281, str. 31 , v nadaljevanju: Direktiva).
2Ta predlog je bil vložen v okviru spora med M. Rijkeboerjem in College van burgemeester en wethouders van Rotterdam (rotterdamski občinski svet, sestavljen iz župana in njegovih pomočnikov, v nadaljevanju: College), ki je delno zavrnil zahtevo M. Rijkeboerja za dostop do informacij o posredovanju njegovih osebnih podatkov tretjim osebam v obdobju dveh let pred vložitvijo njegove zahteve za te informacije.
3V uvodnih izjavah 2 in 10 Direktive, ki se nanašata na temeljne pravice in svoboščine, je določeno:
„(2)
ker so sistemi za obdelavo podatkov namenjeni temu, da služijo človeku; ker morajo, ne glede na državljanstvo ali stalno prebivališče fizičnih oseb, spoštovati njihove temeljne pravice in svoboščine, predvsem pravico do zasebnosti, ter prispevati h gospodarskemu in socialnemu napredku, trgovinskemu razvoju ter blaginji posameznikov;
[…]
4V uvodni izjavi 25 Direktive je določeno, da se morajo načela varstva oseb po eni strani izražati v obveznostih, ki so naložene osebam, odgovornim za obdelavo, predvsem glede kakovosti podatkov, ter po drugi strani v pravici, podeljeni posameznikom, katerih podatki so predmet obdelave, da so obveščeni o potekajoči obdelavi, da imajo vpogled v podatke, da zahtevajo popravke in da v nekaterih okoliščinah celo ugovarjajo obdelavi.
5V uvodni izjavi 40 Direktive, ki zadeva obveznost obvestitve posameznika, na katerega se osebni podatki nanašajo, če podatki niso bili pridobljeni od njega, je določeno, da take obveznosti ne bo, če se to informiranje izkaže za nemogoče ali bi vključevalo nesorazmerne napore, in da se v tem pogledu lahko upošteva število posameznikov, na katere se osebni podatki nanašajo, starost podatkov in vsi sprejeti nadomestni ukrepi.
6V skladu z uvodno izjavo 41 Direktive mora biti vsaka oseba sposobna uresničiti pravico dostopa do podatkov v obdelavi, ki se nanašajo nanjo, da bi preverila zlasti njihovo točnost in zakonitost obdelave.
7Člen 1 z naslovom „Namen direktive“ določa:
„1. V skladu s to direktivo države članice varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov.
2Države članice ne omejujejo niti ne prepovedujejo prostega prenosa osebnih podatkov med državami članicami zaradi razlogov, povezanih z varstvom, ki je zagotovljeno na podlagi odstavka 1.“
8Pojem „osebni podatek“ je v členu 2(a) Direktive opredeljen kot katera koli informacija, ki se nanaša na določeno ali določljivo fizično osebo (posameznik, na katerega se nanašajo osebni podatki).
9Člen 2(b) Direktive določa, da obdelava osebnih podatkov pomeni
„kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje, prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje“.
10V skladu s členom 2(d) Direktive je „upravljavec“ fizična ali pravna oseba, javni organ, agencija ali kateri koli drug organ, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov.
11V členu 2(g) Direktive je „prejemnik“ opredeljen kot fizična ali pravna oseba, javni organ, agencija ali kateri koli drug organ, ki se mu posreduje podatke, bodisi da je „tretja stranka“ ali ne, kot je opredeljena v členu 2(f) Direktive.
12Člen 6 Direktive določa načela v zvezi s kakovostjo podatkov. V njegovem odstavku 1(e) je glede shranjevanja podatkov določeno, da države članice določijo, da morajo biti osebni podatki „shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.“
13Člena 10 in 11 Direktive določata informacije, ki jih mora upravljavec podatkov ali njegov predstavnik zagotoviti posamezniku, na katerega se osebni podatki nanašajo, v primerih zbiranja podatkov od posameznika, na katerega se osebni podatki nanašajo, oziroma kadar podatki niso bili pridobljeni od njega.
14Člen 12 Direktive, naslovljen „Pravica do dostopa“, določa:
„Države članice jamčijo vsakemu posamezniku, na katerega se osebni podatki nanašajo, pravico, da pridobi od upravljavca:
15V skladu s členom 13(1) Direktive, naslovljenim „Izjeme in omejitve“, je državam članicam dovoljeno določiti odstopanja od členov 6 in 12 te direktive, če je to potrebno za zaščito nekaterih javnih interesov, med katere spadajo državna varnost, obramba, pregon kaznivih dejanj ter drugi interesi, namreč zaščita posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih.
16V členu 14 Direktive je določeno, da države članice posamezniku, na katerega se osebni podatki nanašajo, v nekaterih okoliščinah priznavajo pravico ugovarjati obdelavi podatkov, ki se nanašajo nanj.
17Države članice v skladu s členom 17(1), drugi pododstavek, Direktive določijo, da mora upravljavec izvajati tehnične in organizacijske ukrepe, ki ob upoštevanju stanja tehnologije in stroškov za njihovo izvajanje zagotavljajo raven zaščite, ustrezno tveganju, ki ga predstavljata obdelava in narava podatkov, ki jih je potrebno varovati.
18V skladu s členoma 22 in 23(1) Direktive države članice zagotovijo, da ima vsaka oseba ob kršitvi pravic, zagotovljenih z nacionalno zakonodajo, ki se nanaša na zadevno obdelavo, pravico vložiti pravno sredstvo na sodišču in da je katera koli oseba, ki je utrpela škodo zaradi nezakonitega postopka obdelave ali katerega koli dejanja, ki ni združljivo z nacionalnimi določbami, sprejetimi v skladu s to direktivo, upravičena od upravljavca zahtevati odškodnino za to škodo.
19Direktiva je bila v nizozemsko pravo prenesena s splošnim zakonom Wet bescherming persoonsgegevens (zakon o varstvu osebnih podatkov). Poleg tega so bili zaradi upoštevanja Direktive sprejeti posebni zakoni. Takšen je tudi zakon, obravnavan v postopku v glavni stvari, namreč zakon Wet gemeentelijke basisadministratie persoonsgegevens (zakon o osebnih podatkih, ki jih imajo občinske uprave, Stb. 1994, št. 494, v nadaljevanju: Wet GBA).
20Člen 103(1) Wet GBA določa, da občinski svet, sestavljen iz župana in njegovih pomočnikov, zainteresirani osebi na njeno zahtevo v štirih tednih pisno sporoči, ali so bili podatki, ki se nanašajo nanjo in jih imajo občinske uprave, v letu pred zahtevo posredovani kakemu prosilcu ali tretji stranki.
21Občinski svet, sestavljen iz župana in njegovih pomočnikov, v skladu s členom 110 Wet GBA v letu, ki sledi posredovanju podatkov, ohrani zaznamek o tem posredovanju, razen če je to kako drugače razvidno iz baze podatkov.
22Iz pisnih stališč College je razvidno, da se podatki, ki jih shranjuje občina, nanašajo zlasti na ime, datum rojstva, osebno identifikacijsko številko, številko socialnega zavarovanja/davčno številko, občino prijave, naslov in datum prijave v občini, zakonski stan, varuštvo, skrbništvo nad mladoletnimi osebami, državljanstvo in pravico tujcev do prebivanja.
23M. Rijkeboer je z dopisom z dne 26. oktobra 2005 od College zahteval, naj ga obvesti o vseh primerih, v katerih so bile informacije, ki se nanašajo nanj in jih imajo občinske uprave, v obdobju dveh let pred vložitvijo njegove zahteve posredovane tretjim osebam. Želel je izvedeti, kdo so bile te osebe in kakšna je bila vsebina posredovanih jim informacij. M. Rijkeboer, ki se je preselil v drugo občino, je zlasti želel izvedeti, komu je bil posredovan njegov nekdanji naslov.
24College je z odločbama z dne 27. oktobra in tej zahtevi le deloma ugodil in mu v skladu s členom 103(1) Wet GBA posredoval le informacije, ki so se nanašale na obdobje enega leta pred vložitvijo njegove zahteve.
25Posredovanja podatkov so registrirana v skladu z „Logisch Ontwerp GBA“. Gre za avtomatiziran sistem, ki ga je uvedlo Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (nizozemsko ministrstvo za notranje zadeve in zadeve v kraljevini). Iz predloga za sprejetje predhodne odločbe je razvidno, da so bili podatki, ki jih je zahteval M. Rijkeboer in so starejši od enega leta pred vložitvijo njegove zahteve, avtomatično izbrisani, kar naj bi bilo v skladu z določbami člena 110 Wet GBA.
26M. Rijkeboer je pri College vložil ugovor zoper to, da mu niso bile posredovane informacije o prejemnikih, ki so jim bili njegovi podatki posredovani v obdobju več kot enega leta pred vložitvijo njegove zahteve. Ker je bil ta ugovor z odločbo z dne 13. februarja 2006 zavrnjen, je M. Rijkeboer vložil tožbo pri Rechtbank Rotterdam.
27To sodišče je ugodilo tožbi in menilo, da omejitev pravice biti obveščen o podatkih, posredovanih prejemnikom, na leto pred vložitvijo zahteve, kot je to določeno v členu 103(1) Wet GBA, ni združljiva s členom 12 Direktive. Razsodilo je tudi, da izjem iz člena 13 te direktive ni mogoče uporabiti.
28College je zoper to sodbo vložil pritožbo pri Raad van State. To sodišče ugotavlja, da člen 12 Direktive, ki se nanaša na pravico do dostopa do podatkov, ne določa nobenega roka, v katerem bi moralo biti mogoče uveljavljanje te pravice. Po njegovem mnenju s tem členom nacionalnemu zakonodajalcu ni nujno prepovedano časovno omejiti pravice posameznika, na katerega se osebni podatki nanašajo, da je obveščen o prejemnikih, ki so jim bili posredovani njegovi osebni podatki, vendar pa o tem ni prepričano.
29V teh okoliščinah je Raad van State odločilo, da prekine odločanje in Sodišču v predhodno odločanje predloži to vprašanje:
„Ali je omejitev posredovanja podatkov, ki jo določa zakon, na podatke iz enega leta pred vložitvijo zadevne zahteve združljiva s členom 12(a) [Direktive] v zvezi s členom 6(1)(e) te direktive in z načelom sorazmernosti?“
30Uvodoma je treba spomniti, da je v sistemu sodnega sodelovanja, ki ga vzpostavlja člen 234 ES, naloga Sodišča razlagati določbe prava Skupnosti. Kar zadeva nacionalne določbe, je njihova razlaga naloga nacionalnih sodišč (glej sodbo z dne 14. februarja 2008 v zadevi Gysen, C-449/06, ZOdl., str. I-553, točka 17).
31Zato je treba vprašanje, ki ga postavlja predložitveno sodišče, razumeti tako, da se v bistvu nanaša na določitev, ali je v skladu z Direktivo, zlasti z njenim členom 12(a), pravica do dostopa neke osebe do informacij glede prejemnikov ali vrste prejemnikov osebnih podatkov v zvezi z njo in glede vsebine posredovanih podatkov lahko omejena na leto pred vložitvijo njene zahteve za dostop.
32To sodišče poudarja dve določbi Direktive, in sicer člen 6(1)(a) o shranjevanju osebnih podatkov in člen 12(a) o pravici do dostopa do teh podatkov. Nasprotno pa se ne to sodišče ne nobena od strank, ki so Sodišču predložile stališča, ne sklicuje na izjeme iz člena 13 Direktive.
33Člen 6 Direktive se nanaša na kakovost podatkov. V skladu z njegovim odstavkom 1(e) morajo države članice določiti, da so osebni podatki shranjeni le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Potem ko so ti nameni doseženi, je torej treba podatke izbrisati.
34Člen 12(a) Direktive določa, da države članice posamezniku, na katerega se osebni podatki nanašajo, jamčijo pravico do dostopa do njegovih osebnih podatkov ter do informacij glede prejemnikov in vrste prejemnikov teh podatkov, ne določa pa časovne omejitve.
35Namen teh dveh členov je torej varstvo posameznika, na katerega se osebni podatki nanašajo. Predložitveno sodišče želi izvedeti, ali med njima obstaja taka povezava, da bi bila pravica do dostopa do informacij glede prejemnikov ali vrste prejemnikov osebnih podatkov in glede vsebine posredovanih podatkov lahko odvisna od trajanja shranjevanja teh podatkov.
36Sodišču posredovana stališča se razlikujejo glede medsebojnega vpliva teh dveh določb.
37College ter nizozemska, češka in španska vlada ter vlada Združenega kraljestva menijo, da pravica do dostopa do informacij glede prejemnikov ali vrste prejemnikov, določena v členu 12(a) Direktive, obstaja le za sedanjost, in ne za preteklost. Ker so bili podatki v skladu z nacionalno zakonodajo izbrisani, zadevna oseba ne more več imeti dostopa do njih. To naj ne bi bilo v nasprotju z Direktivo.
38College in nizozemska vlada tako menita, da so s členom 103(1) Wet GBA, v skladu s katerim občina osebo na njeno zahtevo obvesti o podatkih, ki so bili prejemnikom posredovani v letu pred vložitvijo njene zahteve, presežene zahteve, določene z Direktivo.
39Komisija in grška vlada menita, da Direktiva pravice do dostopa ne določa le za sedanjost, temveč tudi za obdobje pred vložitvijo zahteve za dostop. Vendar pa se njuni stališči razlikujeta glede natančnega trajanja te pravice.
40Za presojo obsega pravice do dostopa, ki ga Direktiva mora omogočati, je treba najprej določiti podatke, na katere se nanaša navedena pravica, in nato upoštevati namen člena 12(a) Direktive, presojan glede na cilje te direktive.
41V primerih, kot je primer M. Rijkeboerja, gre za dve skupini podatkov.
42V prvi skupini so zasebni podatki, ki jih ima občina o neki osebi, na primer njeno ime in njen naslov, in so v obravnavanem primeru osnovni podatki. Iz ustnih trditev, ki sta jih podala College in nizozemska vlada, je razvidno, da se lahko ti podatki shranjujejo dolgo časa. Gre za „osebne podatke“ v smislu člena 2(a) Direktive, saj se informacije nanašajo na določeno ali določljivo fizično osebo (glej v tem smislu sodbe z dne 20. maja 2003 v združenih zadevah Österreichischer Rundfunk in drugi, C-465/00, C-138/01 in C-139/01, Recueil, str. I-4989 , točka 64; z dne v zadevi Lindqvist, C-101/01, Recueil, str. I-12971, točka 24, ter z dne v zadevi Huber, C-524/06, ZOdl., str. I-9705 , točka 43).
43Druga skupina se nanaša na informacije glede prejemnikov ali vrste prejemnikov, ki jim posredujejo te osnovne podatke, in glede vsebine teh podatkov, torej na obdelavo osnovnih podatkov. V skladu z zadevno nacionalno zakonodajo se te informacije shranjujejo le eno leto.
44Časovna omejitev pravice do dostopa do informacij glede prejemnika ali prejemnikov osebnih podatkov in glede vsebine posredovanih podatkov, ki je obravnavana v zadevi v glavni stvari, se tako nanaša na drugo skupino podatkov.
45Za določitev, ali je v skladu s členom 12(a) Direktive takšna časovna omejitev dovoljena, je treba ta člen razlagati glede na njegov namen, presojan glede na cilje Direktive.
46V skladu s členom 1 Direktive je njen namen, da se pri obdelavi osebnih podatkov varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihova pravica do zasebnosti in da se tako omogoči prosti prenos teh podatkov med državami članicami.
47Pomembnost varstva zasebnosti je poudarjena v uvodnih izjavah 2 in 10 Direktive in v sodni praksi Sodišča (glej v tem smislu zgoraj navedeni sodbi Österreichischer Rundfunk in drugi, točka 70, in Lindqvist, točki 97 in 99, ter sodbi z dne 29. januarja 2008 v zadevi Promusicae, C-275/06, ZOdl., str. I-271, točka 63, in z dne v zadevi Satakunnan Markkinapörssi in Satamedia, C-73/07, ZOdl., str. I-9831 , točka 52).
48Poleg tega se morajo, kot je razvidno iz uvodne izjave 25 Direktive, načela tega varstva po eni strani izražati v obveznostih, ki so naložene osebam, odgovornim za obdelavo, in se zlasti nanašajo na kakovost podatkov – predmet člena 6 Direktive – ter po drugi strani v pravici posameznikov, katerih podatki so predmet obdelave, da so obveščeni o potekajoči obdelavi, da imajo vpogled v te podatke, da zahtevajo popravke in da v nekaterih okoliščinah celo ugovarjajo obdelavi.
49Ta pravica do spoštovanja zasebnosti pomeni, da se lahko posameznik, na katerega se osebni podatki nanašajo, prepriča, da je obdelava njegovih osebnih podatkov pravilna in zakonita, zlasti da so osnovni podatki, ki se nanašajo nanj, pravilni in da so posredovani pooblaščenim prejemnikom. Kot je navedeno v uvodni izjavi 41 Direktive, mora imeti zadevna oseba pravico do dostopa do podatkov v obdelavi, ki se nanašajo nanjo, da bi lahko opravila potrebna preverjanja.
50Člen 12(a) Direktive v zvezi s tem določa pravico do dostopa do osnovnih podatkov in do informacij glede prejemnikov ali vrst prejemnikov, ki so jim ti podatki posredovani.
51Ta pravica do dostopa je potrebna, da se posamezniku, na katerega se osebni podatki nanašajo, omogoči uveljavljanje pravic iz člena 12(b) in (c) te direktive, namreč pravice, da če obdelava teh podatkov ne bi bila v skladu z določbami te direktive, doseže, da upravljavec podatke popravi, izbriše ali blokira (točka (b)) ali da tretje stranke uradno obvesti o teh popravkih, izbrisu ali blokiranju, razen če se to izkaže za nemogoče ali če vključuje nesorazmeren napor (točka (c)).
52Ta pravica do dostopa je potrebna tudi za to, da se posamezniku, na katerega se osebni podatki nanašajo, omogoči uveljavljanje pravice iz člena 14 Direktive, da ugovarja obdelavi njegovih osebnih podatkov, ali pravice do vložitve pravnega sredstva, če mu je nastala škoda, določena v členih 22 in 23 te direktive.
53V Direktivi v zvezi s pravico do dostopa do informacij glede prejemnikov ali vrste prejemnikov osnovnih podatkov in glede vsebine posredovanih podatkov ni določeno, ali ta pravica zadeva preteklost in, če jo, katero obdobje v preteklosti.
54V zvezi s tem je treba ugotoviti, da mora ta pravica nujno zadevati preteklost, da bi se zagotovil polni učinek določb, navedenih v točkah 51 in 52 te sodbe. V nasprotnem primeru zainteresirana oseba ne bi mogla učinkovito uveljavljati svoje pravice doseči popravo, izbris ali blokiranje podatkov, ki naj bi bili nezakoniti ali nepravilni, ter pravice vložiti pravno sredstvo pri sodišču in doseči povrnitev nastale škode.
55Vprašanje se postavlja glede obsega te pravice v preteklosti.
56Sodišče je že presodilo, da so določbe direktive sorazmerno splošne, saj se mora direktiva nanašati na veliko zelo različnih položajev, in da direktiva vsebuje pravila, za katera je značilna neka prožnost, s čimer v številnih primerih prepušča državam članicam, da uredijo podrobnosti ali izberejo med več možnostmi (glej zgoraj navedeno sodbo Lindqvist, točka 83). Sodišče je tako priznalo, da imajo države članice z več vidikov manevrski prostor za prenos direktive (glej zgoraj navedeno sodbo Lindqvist, točka 84). Vendar pa ta manevrski prostor, ki se preverja glede prenosa člena 12(a) Direktive, ni neomejen.
57Določitev roka v zvezi s pravico do dostopa do informacij glede prejemnikov ali vrste prejemnikov in glede vsebine posredovanih podatkov mora posamezniku, na katerega se osebni podatki nanašajo, omogočati uveljavljanje različnih pravic, določenih z Direktivo in navedenih v točkah 51 in 52 te sodbe.
58Trajanje shranjevanja osnovnih podatkov je lahko koristen dejavnik, ki pa vendarle ni odločilen.
59Področje uporabe Direktive je namreč zelo široko, kot je Sodišče že priznalo (glej zgoraj navedeni sodbi Österreichischer Rundfunk in drugi, točka 43, in Lindqvist, točka 88), in osebni podatki, na katere se nanaša Direktiva, pa zelo različni. Trajanje njihovega shranjevanja, ki je v skladu s členom 6(1)(e) Direktive opredeljeno glede na namene, za katere so podatki zbrani ali za katere se naprej obdelujejo, je torej lahko različno. Ko je trajanje shranjevanja osnovnih podatkov zelo dolgo, se lahko interes posameznika, na katerega se osebni podatki nanašajo, za uveljavljanje pravic in pravnih sredstev iz točke 57 te sodbe v nekaterih primerih zmanjša. Če je, na primer, število prejemnikov takšnih podatkov veliko ali če je pogosto njihovo posredovanje manjšemu številu prejemnikov, bi lahko obveznost tako dolgega shranjevanja informacij glede prejemnikov ali vrste prejemnikov in glede vsebine posredovanih podatkov pomenila pretirano breme za upravljavca.
60Državam članicam pa glede na Direktivo ni treba naložiti takšnih bremen upravljavcem.
61V členu 12(c) Direktive je tako izrecno določena izjema od obveznosti upravljavca, da tretje stranke uradno obvesti o popravkih, izbrisu ali blokiranju, in sicer če se to izkaže za nemogoče ali če vključuje nesorazmeren napor.
62Na drugih mestih v Direktivi je določeno, da se lahko upošteva nesorazmernost nekaterih ukrepov. Glede obveznosti obvestitve posameznika, na katerega se osebni podatki nanašajo, je v uvodni izjavi 40 Direktive navedeno, da se lahko upošteva število posameznikov, na katere se osebni podatki nanašajo, in starost podatkov. Poleg tega države članice v skladu s členom 17 Direktive, ki se nanaša na varnost obdelave, določijo, da mora upravljavec izvajati tehnične in organizacijske ukrepe, ki ob upoštevanju stanja tehnologije in stroškov za njihovo izvajanje zagotavljajo raven zaščite, ustrezno tveganju, ki ga predstavljata obdelava in narava podatkov, ki jih je treba varovati.
63Glede določitve roka v zvezi s pravico do dostopa do informacij glede prejemnikov ali vrste prejemnikov in glede vsebine posredovanih podatkov veljajo analogni preudarki. Tako lahko države članice poleg tistih, navedenih v točki 57 te sodbe, upoštevajo več dejavnikov, zlasti določbe nacionalnega prava, ki veljajo glede roka za vložitev pravnega sredstva, bolj ali manj občutljive narave osnovnih podatkov, trajanja shranjevanja teh podatkov in števila zadevnih prejemnikov.
64Tako morajo države članice določiti rok za shranjevanje informacij glede prejemnikov ali vrste prejemnikov in glede vsebine posredovanih podatkov ter dostop do teh informacij, pri čemer skrbijo za pravično ravnovesje med, po eni strani, interesom posameznika, na katerega se osebni podatki nanašajo, za varstvo svoje zasebnosti zlasti s pomočjo pravice do poprave, izbrisa ali blokiranja podatkov, če njihova obdelava ni skladna z določbami Direktive in pravico do ugovora in vložitve pravnega sredstva pri sodišču, ter, po drugi strani, bremenom, ki ga za upravljavca pomeni obveznost shranjevanja teh informacij.
65Poleg tega je pri določitvi tega roka treba upoštevati tudi obveznosti iz člena 6(e) Direktive, in sicer da se določi, da morajo biti osebni podatki shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo.
66V obravnavanem primeru ureditev, s katero je shranjevanje informacij glede prejemnikov ali vrste prejemnikov podatkov in glede vsebine posredovanih podatkov omejeno na eno leto in s katero je temu ustrezno omejen dostop do teh informacij, medtem ko se osnovni podatki shranjujejo veliko dlje, ne pomeni pravičnega ravnovesja med zadevnim interesom in zadevno obveznostjo, razen če se dokaže, da bi daljše shranjevanje teh informacij pomenilo pretirano breme za upravljavca. Vendar pa mora nacionalno sodišče opraviti potrebna preverjanja glede na premisleke iz prejšnjih točk.
67Glede na zgoraj navedeno ni mogoče sprejeti trditve nekaterih držav članic, da naj bi bila zaradi uporabe členov 10 in 11 Direktive dodelitev pravice do dostopa do informacij glede prejemnikov ali vrste prejemnikov, določene v členu 12(a) Direktive, za preteklost odveč.
68Ugotoviti je namreč treba, da je s členoma 10 in 11 upravljavcu ali njegovemu predstavniku naložena obveznost, da posamezniku, na katerega se osebni podatki nanašajo, pod določenimi pogoji zagotovi informacije med drugim glede prejemnikov ali vrste prejemnikov podatkov. Upravljavec podatkov ali njegov predstavnik mora posamezniku, na katerega se osebni podatki nanašajo, te informacije posredovati sam od sebe ob pridobitvi podatkov, če podatki niso pridobljeni neposredno od tega posameznika, pa med njihovim zbiranjem ali eventualno ob njihovem posredovanju tretjim strankam.
69Namen teh določb je tako naložitev drugačnih obveznosti od tistih, ki so razvidne iz člena 12(a) Direktive. Zato nikakor ne zmanjšujeta obveznosti držav članic, da določijo, da je upravljavec posamezniku, na katerega se osebni podatki nanašajo, dolžan zagotoviti dostop do informacij glede prejemnikov ali vrste prejemnikov ter glede posredovanih podatkov, ko se ta posameznik odloči uveljavljati pravico do dostopa, ki jo ima na podlagi navedenega člena. Države članice morajo sprejeti ukrepe za prenos določb členov 10 in 11 Direktive, ki se nanašajo na obveznosti obvestitve, in določb člena 12(a) Direktive, ne da bi lahko prve določbe zmanjševale obveznosti, ki so razvidne iz drugih.
70Zato je treba na postavljeno vprašanje odgovoriti:
71Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški, priglašeni za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (tretji senat) razsodilo:
Države članice morajo v skladu s členom 12(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov pravico do dostopa do informacij glede prejemnikov ali vrste prejemnikov podatkov in glede vsebine posredovanih informacij določiti ne le za sedanjost, ampak tudi za preteklost. Države članice morajo določiti rok za shranjevanje teh informacij in temu ustrezno dostop do njih, pri čemer skrbijo za pravično ravnovesje med, po eni strani, interesom posameznika, na katerega se osebni podatki nanašajo, za varstvo njegove zasebnosti zlasti s pomočjo pravic in pravnih sredstev, ki jih določa Direktiva, ter, po drugi strani, bremenom, ki ga za upravljavca pomeni obveznost shranjevanja teh informacij.
Ureditev, s katero je shranjevanje informacij glede prejemnikov ali vrste prejemnikov podatkov in glede vsebine posredovanih podatkov omejeno na eno leto in s katero je temu ustrezno omejen dostop do teh informacij, medtem ko se osnovni podatki shranjujejo veliko dlje, ne more pomeniti pravičnega ravnovesja med zadevnim interesom in zadevno obveznostjo, razen če se dokaže, da bi daljše shranjevanje teh informacij pomenilo pretirano breme za upravljavca. Nacionalno sodišče mora opraviti potrebna preverjanja.
Podpisi
(*1) Jezik postopka: nizozemščina.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.