den 7 maj 2009 (*1)
”Skydd för enskilda personer med avseende på behandling av personuppgifter — Direktiv 95/46/EG — Skydd för privatlivet — Utplåning av uppgifter — Rätt att få tillgång till uppgifterna och att få information om mottagarna av uppgifterna — Den frist inom vilken rätten att få tillgång ska utövas”
I mål C-553/07,
angående en begäran om förhandsavgörande enligt artikel 234 EG, framställd av Raad van State (Nederländerna) genom beslut av den 5 december 2007, som inkom till domstolen den , i målet
College van burgemeester en wethouders van Rotterdam
mot
M.E.E. Rijkeboer,
meddelar
DOMSTOLEN (tredje avdelningen)
sammansatt av avdelningsordföranden A. Rosas samt domarna A. Ó Caoimh, J. Klučka, U. Lõhmus och P. Lindh (referent),
generaladvokat: D. Ruiz-Jarabo Colomer,
justitiesekreterare: förste handläggaren M. Ferreira,
efter det skriftliga förfarandet och förhandlingen den 20 november 2008,
med beaktande av de yttranden som avgetts av:
och efter att den 22 december 2008 ha hört generaladvokatens förslag till avgörande,
följande
1Begäran om förhandsavgörande avser tolkningen av artikel 12 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( EGT L 281, s. 31 ) (nedan kallat direktivet).
2Begäran har framställts i ett mål mellan M.E.E. Rijkeboer (nedan kallad Rijkeboer) och College van burgemeester en wethouders van Rotterdam (Rotterdams kommunstyrelse) avseende dess beslut att delvis avslå Rijkeboers begäran om tillgång till information om personuppgifter rörande honom, som lämnats ut till utomstående personer under de två år som föregick hans begäran.
3Skälen 2 och 10 i direktivet, vilka avser grundläggande fri- och rättigheter, har följande lydelse:
”2)
Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist måste systemen respektera dessa personers grundläggande fri- och rättigheter – särskilt rätten till privatlivet – och bidra till ekonomiska och sociala framsteg, handelns utveckling och enskilda personers välfärd.
…
4Enligt skäl 25 i direktivet måste principerna för skydd av enskilda avspeglas dels i de förpliktelser som åvilar personer, myndigheter, företag, institutioner, organ eller andra registeransvariga, särskilt med avseende på uppgifternas kvalitet, dels i de rättigheter som tillkommer enskilda, vilkas personuppgifter blir föremål för behandling, att informeras om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.
5Enligt skäl 40 i direktivet, som avser skyldigheten att informera den registrerade när uppgifterna inte har samlats in från vederbörande, är den nämnda skyldigheten inte tillämplig om lämnande av information visar sig vara omöjligt eller innebär oproportionerligt stora ansträngningar. I detta sammanhang kan antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas tas i beaktande.
6Enligt skäl 41 i direktivet måste alla kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, detta för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten.
7Artikel 1, som har rubriken ”Direktivets syfte”, har följande lydelse:
”1. Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.
2Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet.”
8Begreppet personuppgifter definieras i artikel 2 a i direktivet som varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade).
9Med ”behandling av personuppgifter (behandling)” i artikel 2 b i direktivet avses ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”.
10Enligt artikel 2 d i direktivet avses med ”registeransvarig” den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.
11I artikel 2 g i direktivet definieras ”mottagare” som den fysiska eller juridiska person, den myndighet, den institution eller det andra organ till vilket uppgifterna lämnas ut, vare sig det är en ”tredje man” eller inte. ”Tredje man” definieras i artikel 2 f i direktivet.
12I artikel 6 anges principerna avseende uppgifternas kvalitet. I artikel 6.1 e föreskrivs med avseende på uppgifternas lagring att medlemsstaterna ska föreskriva att personuppgifter ska ”förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål”.
13I artiklarna 10 och 11 i direktivet anges vilken information som den registeransvarige eller dennes företrädare i vart fall ska ge den registrerade för det fall uppgifterna samlas in från den registrerade respektive för det fall uppgifterna inte har samlats in från vederbörande.
14Artikel 12 i direktivet, som har rubriken ”Rätt till tillgång”, har följande lydelse:
”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
15Enligt artikel 13.1 i direktivet, som har rubriken ”Undantag och begränsningar”, får medlemsstaterna göra undantag från bland annat artiklarna 6 och 12 i direktivet, om detta är nödvändigt med hänsyn till allmänintresset, däribland statens säkerhet, försvaret, åtal för brott samt andra intressen, såsom skyddet av den registrerades eller andras fri- och rättigheter.
16I artikel 14 i direktivet föreskrivs att medlemsstaterna ska tillförsäkra den registrerade rätten att, på vissa villkor, motsätta sig behandling av uppgifter som rör honom.
17Enligt artikel 17.1 andra stycket i direktivet ska medlemsstaterna föreskriva att den registeransvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder. Dessa åtgärder ska, med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande, åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas.
18Enligt artiklarna 22 och 23 i direktivet ska medlemsstaterna föreskriva att var och en har rätt att föra talan inför domstol om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig på ifrågavarande behandling, och att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta direktiv har rätt till ersättning av den registeransvarige för den skada som han har lidit.
19Direktivet införlivades i nederländsk rätt genom en rättsakt av allmän karaktär, lagen om skydd av personuppgifter (Wet bescherming persoonsgegevens). Dessutom ändrades speciallagstiftning för att beakta direktivets bestämmelser. Detta är fallet med den lag som är i fråga i målet vid den nationella domstolen, nämligen lagen om den kommunala förvaltningens hantering av personuppgifter (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n o 494, nedan kallad Wet GBA).
20I artikel 103.1 i Wet GBA föreskrivs att kommunstyrelsen skriftligen ska informera den registrerade, på dennes begäran, inom fyra veckor om de uppgifter som avser vederbörande och som den kommunala förvaltningen, under det år som föregick begäran, har lämnat ut till en person som har ansökt om att få ta del av uppgifterna eller till en tredje man.
21Enligt artikel 110 i Wet GBA ska kommunstyrelsen bevara en anteckning om att uppgifterna lämnats ut under ett år efter utlämnandet, såvida inte utlämnandet på annat sätt framgår av databasen.
22Det framgår av de skriftliga yttranden som College van burgemeester en wethouders har ingett att de uppgifter som kommunen lagrar bland annat omfattar namn, födelsedatum, administrativt registreringsnummer, personnummer, den kommun i vilken vederbörande är bosatt, bostadsadress och datum för bosättning i kommunen, civilstånd, godmanskap, förmyndarskap över minderåriga, nationalitet och utländska medborgares uppehållsrätt.
23Genom skrivelse av den 26 oktober 2005 begärde Rijkeboer att College van burgemeester en wethouders skulle underrätta honom om samtliga fall i vilka den kommunala förvaltningen hade lämnat ut information avseende honom till utomstående personer, under de två år som föregick hans begäran. Rijkeboer önskade få reda på dessa personers identitet och innehållet i den information som hade lämnats ut. Rijkeboer, som hade flyttat till en annan kommun, önskade särskilt få reda på till vem hans tidigare adress hade lämnats ut.
24Genom beslut av den 27 oktober och den , biföll College van burgemeester en wethouders endast delvis Rijkeboers begäran genom att lämna ut information avseende det år som föregick hans begäran, i enlighet med artikel 103.1 i Wet GBA.
25När information lämnas ut registreras utlämnandet enligt ”Logisch Ontwerp GBA”. Detta är ett automatiserat system, som har inrättats av Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministeriet för inrikesfrågor och rikets inre förbindelser). Det framgår av begäran om förhandsavgörande att de uppgifter som Rijkeboer begärde, och som avsåg utlämnanden av information som låg längre tillbaka i tiden än det år som föregick hans begäran, automatiskt hade utplånats i enlighet med artikel 110 i Wet GBA.
26Rijkeboer begärde omprövning av College van burgemeester en wethouders beslut att inte låta honom ta del av informationen om mottagarna av de uppgifter avseende honom som hade lämnats ut längre tillbaka än det år som föregick hans begäran. Begäran om omprövning avslogs genom beslut av den 13 februari 2006. Rijkeboer väckte därefter talan vid Rechtbank Rotterdam.
27Den domstolen biföll talan med motiveringen att en begränsning av rätten att få information om uppgifter som lämnas ut, till det år som föregick begäran i enlighet med artikel 103.1 Wet GBA, inte är förenlig med artikel 12 i direktivet. Rechtbank Rotterdam fann även att de undantag som avses i artikel 13 i det direktivet inte var tillämpliga.
28College van burgemeester en wethouders överklagade detta avgörande till Raad van State. Den domstolen konstaterade att det i artikel 12 i direktivet inte föreskrivs någon frist för utövande av rätten att få tillgång till uppgifter. Enligt Raad van State innebär den artikeln emellertid inte nödvändigtvis ett förbud för den nationella lagstiftaren att tidsmässigt begränsa rätten för den registrerade att få information om mottagarna av vederbörandes personuppgifter, men den domstolen ställer sig tvivlande i detta avseende.
29Raad van State har mot denna bakgrund beslutat att vilandeförklara målet och hänskjuta följande tolkningsfråga till domstolen:
”Är den lagbestämmelse enligt vilken utlämning inte sker av uppgifter som sträcker sig längre tillbaka i tiden än ett år före den aktuella begäran förenlig med artikel 12 … a [i direktivet], eventuellt jämförd med artikel 6.1 e i direktivet, och med proportionalitetsprincipen?”
30Domstolen erinrar inledningsvis om att inom ramen för det system för rättsligt samarbete som upprättats genom artikel 234 EG ankommer det på domstolen att tolka gemenskapsrättens bestämmelser. Vad gäller de nationella bestämmelserna, ska dessa tolkas av de nationella domstolarna (se dom av den 14 februari 2008 i mål C-449/06, Gysen, REG 2008, s. I-553 , punkt 17).
31Den fråga som har ställts av den hänskjutande domstolen ska således förstås så, att det ska prövas huruvida en persons rätt att få tillgång till information om de mottagare eller mottagarkategorier till vilka vederbörandes personuppgifter lämnats ut, samt om innehållet i dessa personuppgifter, kan, i enlighet med direktivet, särskilt dess artikel 12 a, begränsas till en tidsperiod motsvarande ett år innan begäran om tillgång görs.
32Den hänskjutande domstolen har särskilt hänvisat till två bestämmelser i direktivet, nämligen artikel 6.1 e om lagring av personuppgifter och artikel 12 a om rätten att få tillgång till dessa uppgifter. Varken den domstolen eller någon av de parter som har inkommit med yttranden till domstolen har däremot åberopat undantagsbestämmelserna i artikel 13 i direktivet.
33Artikel 6 i direktivet avser uppgifternas kvalitet. Enligt artikel 6.1 e ska medlemsstaterna föreskriva att personuppgifter inte ska lagras under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Uppgifterna ska således utplånas när dessa ändamål har uppnåtts.
34I artikel 12 a i direktivet föreskrivs att medlemsstaterna ska ge den registrerade rätt att få tillgång till sina personuppgifter samt till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnats ut. I artikeln anges emellertid inte någon frist i detta avseende.
35De nämnda artiklarna syftar således till att skydda den registrerade. Den hänskjutande domstolen vill få reda på huruvida det föreligger ett samband mellan dessa två artiklar i den meningen att rätten att få tillgång till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnats ut, och om innehållit i dessa uppgifter, beror på hur länge dessa uppgifter lagras.
36De yttranden som har inkommit till domstolen ger uttryck för olika åsikter när det gäller frågan hur dessa bestämmelser förhåller sig till varandra.
37College van burgemeester en wethouders, den nederländska, den tjeckiska och den spanska regeringen samt Förenade kungarikets regering har gjort gällande att den rätt att få tillgång till information om de mottagare eller mottagarkategorier som avses i artikel 12 a i direktivet enbart avser nutid och inte förfluten tid. Från den tidpunkt då uppgifterna utplånas i enlighet med nationell lagstiftning kan den registrerade inte längre få tillgång till dessa. Denna följd är inte oförenlig med direktivet.
38College van burgemeester en wethouders och den nederländska regeringen har således gjort gällande att artikel 103.1 i Wet GBA, enligt vilken kommunen, på vederbörandes begäran, ska informera den registrerade om den information som lämnats ut till mottagare under det år som föregick begäran, uppfyller de krav som uppställs i direktivet.
39Kommissionen och den grekiska regeringen har gjort gällande att det i direktivet föreskrivs en rätt att få tillgång som inte endast avser nutid, utan även den tidsperiod som föregår begäran om tillgång. De har emellertid olika uppfattningar i fråga om den exakta längden på den tidsperiod som rätten att få tillgång ska avse.
40För att kunna avgöra omfattningen av den rätt att få tillgång som tillerkänns genom direktivet, ska det först fastställas vilka uppgifter som omfattas av denna rätt. Därefter ska ändamålet med artikel 12 a i direktivet, sett mot bakgrund av de mål som eftersträvas med direktivet, tas i beaktande.
41I ett fall som Rijkeboers är det fråga om två kategorier av personuppgifter.
42Den första kategorin avser privata uppgifter som kommunen innehar avseende en person, såsom vederbörandes namn och adress, vilka i detta fall utgör grunduppgifter. Det framgår av de muntliga yttrandena från College van burgemeester en wethouders och den nederländska regeringen att dessa uppgifter kan lagras under en lång tidsperiod. De utgör ”personuppgifter” i den mening som avses i artikel 2 a i direktiv 95/46, eftersom det är fråga om upplysningar som avser en identifierad eller identifierbar fysisk person (se, för ett liknande resonemang, dom av den 20 maj 2003 i de förenade målen C-465/00, C-138/01 och C-139/01, Österreichischer Rundfunk m.fl., REG 2003, s. I-4989 , punkt 64, av den i mål C-101/01, Lindqvist, REG 2003, s. I-12971 , punkt 24, och av den i mål C-524/06, Huber, REG 2008, s. I-9705 , punkt 43).
43Den andra kategorin rör de mottagare eller mottagarkategorier till vilka grunduppgifterna lämnats ut samt innehållet i dessa uppgifter. Denna kategori avser således behandlingen av grunduppgifter. I enlighet med den inhemska lagstiftningen i fråga i målet vid den nationella domstolen lagras sådana uppgifter enbart under ett år.
44Den tidsmässiga begränsning av rätten att få tillgång till information om mottagaren eller mottagarna av personuppgifter och om innehållet i de utlämnade uppgifterna, som avses i målet vid den nationella domstolen, rör således denna andra kategori av uppgifter.
45För att bestämma huruvida en sådan tidsmässig begränsning är tillåten eller inte enligt artikel 12 a i direktivet, ska den artikeln tolkas med hänsyn till dess ändamål, som i sin tur ska bedömas mot bakgrund av de mål som eftersträvas med direktivet.
46Enligt artikel 1 i direktivet är dess syfte att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, och därmed möjliggöra fri rörlighet av dessa uppgifter mellan medlemsstaterna.
47Betydelsen av rätten till skydd för privatlivet betonas i skälen 2 och 10 i direktivet och även i domstolens rättspraxis (se, för ett liknande resonemang, domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 70, och Lindqvist, punkterna 97 och 99, samt dom av den 29 januari 2008 i mål C-275/06, Promusicae, REG 2008, s.. I-271, punkt 63, och av den i mål C-73/07, Satakunnan Markkinapörssi och Satamedia, REG 2008, s. I-9831 , punkt 52).
48I övrigt, såsom följer av skäl 25 i direktivet, ska principerna för detta skydd avspeglas dels i de förpliktelser som de registeransvariga har med avseende på bland annat uppgifternas kvalitet – vilket är syftet bakom artikel 6 i direktivet – dels i de rättigheter som har tilldelats enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen av dessa.
49Denna rätt till skydd för privatlivet innebär att den registrerade kan försäkra sig om att dennes personuppgifter behandlas korrekt och lagenligt, det vill säga, särskilt, att vederbörandes grunduppgifter är exakta och att de har tillhandahållits behöriga mottagare. Såsom har angetts i skäl 41 i direktivet måste den registrerade, för att kunna utföra nödvändiga kontroller, förfoga över en rätt att få tillgång till de uppgifter som är föremål för en behandling.
50I artikel 12 a i direktivet föreskrivs i detta hänseende en rätt att få tillgång till grunduppgifter samt till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnats ut.
51Denna rätt att få tillgång är nödvändig för att möjliggöra för den registrerade att utöva de rättigheter som avses i artikel 12 b och c i direktivet. För det fall behandlingen av vederbörandes uppgifter inte är förenlig med direktivet har den registrerade enligt dessa bestämmelser rätt att från den registeransvarige få uppgifterna rättade, utplånade eller blockerade (punkt b) eller att få den registeransvarige att underrätta tredje man till vilken uppgifterna utlämnats, om en sådan rättelse, utplåning eller blockering, om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning (punkt c).
52Rätten att få tillgång är även nödvändig för att möjliggöra för den registrerade att utöva den rätt att göra invändningar mot behandlingen av dennes personuppgifter som avses i artikel 14 i direktivet, eller rätten att föra talan till följd av skada, i enlighet med artiklarna 22 och 23 i direktivet.
53Med avseende på rätten att få tillgång till information om mottagare eller mottagarkategorier av grunduppgifter, och om innehållet i de uppgifter som har lämnats ut, preciseras det i direktivet inte huruvida denna rätt avser förfluten tid eller, i förekommande fall, en viss period i det förflutna.
54Domstolen konstaterar i detta hänseende att för att säkerställa den ändamålsenliga verkan av de bestämmelser som avses i punkterna 51 och 52 i förevarande dom, måste denna rätt med nödvändighet avse förfluten tid. Om så inte var fallet skulle den registrerade inte på ett effektivt sätt kunna utöva sin rätt att få uppgifter, som antas vara ogiltiga eller felaktiga, rättade, utplånade eller blockerade eller ha rätt att föra talan vid domstol för att få ersättning för den skada som vederbörande har lidit.
55Frågan uppkommer vilken omfattning denna rätt har med avseende på förfluten tid.
56Domstolen har tidigare funnit att bestämmelserna i direktivet är relativt allmänt hållna, med hänsyn till att de ska tillämpas på ett stort antal mycket olikartade situationer, och att direktivet innehåller regler som kännetecknas av en viss flexibilitet, enligt vilka det i flera fall överlåts till medlemsstaterna att fastställa detaljer eller att välja bland olika alternativ (se domen i det ovannämnda målet Lindqvist, punkt 83). Domstolen har således funnit att medlemsstaterna i flera avseenden förfogade över ett utrymme för skönsmässig bedömning beträffande direktivets införlivande (se domen i det ovannämnda målet Lindqvist, punkt 84). Detta utrymme för skönsmässig bedömning, som även gäller införlivandet av artikel 12 a i direktivet, är emellertid inte obegränsat.
57Den frist som fastställs avseende rätten att få tillgång till information om mottagarna och mottagarkategorierna samt om innehållet i de uppgifter som lämnats ut måste möjliggöra för den registrerade att utöva de olika rättigheter som anges i direktivet och som det erinrats om i punkterna 51 och 52 i förevarande dom.
58Hur länge uppgifterna ska lagras kan vara en användbar, men icke avgörande, faktor.
59Direktivets tillämpningsområde är i själva verket mycket stort, såsom domstolen tidigare har funnit (se domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 43, och Lindqvist, punkt 88), och de personuppgifter som omfattas av direktivet är av olika slag. Hur länge de nämnda uppgifterna lagras beror enligt ordalydelsen i artikel 6.1 e i direktivet på de ändamål för vilka de har samlats in och senare behandlats, och denna tid kan således variera. När grunduppgifter lagras mycket länge kan intresset hos den registrerade att utöva de sätt att invända eller föra talan som anges i punkt 57 i förevarande dom i vissa fall minska. Om de berörda mottagarna till exempel är många eller om uppgifter lämnas ut till ett mindre antal mottagare, men ofta, kan skyldigheten att under lika lång tid lagra information om mottagarna eller mottagarkategorierna samt om innehållet i de uppgifter som lämnats ut utgöra en orimlig börda för den registeransvarige.
60Enligt direktivet krävs emellertid inte att medlemsstaterna ålägger den registeransvarige en sådan skyldighet.
61I artikel 12 c i direktivet föreskrivs således uttryckligen ett undantag från skyldigheten för den registeransvarige att underrätta tredje man till vilken uppgifterna utlämnats, om varje rättelse, utplåning eller blockering, nämligen då detta visar sig omöjligt eller förutsätter en oproportionerligt stor ansträngning.
62Av andra avsnitt i direktivet framgår att det förhållandet att vissa åtgärder kan vara oproportionerliga får beaktas. Med avseende på skyldigheten att informera den registrerade anges i skäl 40 att antalet registrerade och uppgifternas ålder kan beaktas. Enligt artikel 17 i direktivet, som avser säkerheten vid behandlingen, ska medlemsstaterna föreskriva att den registeransvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas, med hänsyn till den nuvarande utvecklingsnivån och till kostnaderna för genomförandet.
63Liknande överväganden är relevanta vid bestämmandet av en frist för rätten att få tillgång till informationen om mottagarna eller mottagarkategorierna och om innehållet i de uppgifter som lämnats ut. Utöver de överväganden som det erinras om i punkt 57 ovan, kan medlemsstaterna även beakta bland annat bestämmelser i nationell rätt som är tillämpliga på frister för väckande av talan, uppgifternas mer eller mindre känsliga art, hur länge uppgifterna lagras och antalet berörda mottagare.
64Det ankommer således på medlemsstaterna att fastställa en frist för lagring av information om mottagarna eller mottagarkategorierna och om innehållet i de uppgifter som lämnats ut samt föreskriva bestämmelser om tillgång till denna information, vilket innebär en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv och den börda som skyldigheten att lagra denna information utgör för den registeransvarige. Skyddet för den registrerades privatliv består härvid bland annat av rätten till rättelse, utplåning eller blockering av uppgifter, om behandlingen av dessa inte är förenlig med direktivet, samt rätten att göra invändningar och att föra talan.
65Medlemsstaterna ska, vid fastställandet av denna tidsfrist, i övrigt beakta den i artikel 6 e i direktivet angivna skyldigheten att föreskriva att personuppgifter ska förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades.
66En regel enligt vilken tidsperioden för lagring av information om de mottagare eller mottagarkategorier till vilka uppgifter lämnats ut och om innehållet i dessa uppgifter begränsas till ett år och enligt vilken tillgången till denna information på motsvarande sätt begränsas, även om grunduppgifterna lagras mycket längre, utgör i förevarande fall inte en lämplig avvägning mellan de intressen och skyldigheter som är i fråga, om det inte kan visas att en mer långvarig lagring av informationen utgör en orimlig börda för den registeransvarige. Det ankommer dock på den nationella domstolen att utföra de kontroller som är nödvändiga mot bakgrund av de överväganden som har gjorts i föregående punkter.
67Vissa medlemsstater har gjort gällande att tillämpningen av artiklarna 10 och 11 i direktivet medför att det inte är nödvändigt att bevilja tillgång till information om de mottagare eller mottagarkategorier som avses i artikel 12 a i direktivet. Denna argumentation kan, mot bakgrund av ovannämnda överväganden, inte godtas.
68Domstolen konstaterar att enligt artiklarna 10 och 11 åläggs den registeransvarige eller dennes företrädare skyldigheten att, under vissa förhållanden, informera den registrerade om bland annat mottagare eller mottagarkategorier. Den registeransvarige eller dennes företrädare ska själv lämna denna information till den registrerade, bland annat vid tidpunkten för uppgifternas insamling, eller, om uppgifterna inte har samlats in från den registrerade, vid tidpunkten för registrering av uppgifterna, eller eventuellt då dessa uppgifter lämnas ut till tredje man.
69Avsikten med dessa bestämmelser är således att föreskriva andra skyldigheter än dem som följer av artikel 12 a i direktivet. De innebär följaktligen ingalunda en begränsning av medlemsstaternas skyldighet att föreskriva att den registeransvarige ska ge den registrerade tillgång till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnas ut och om de uppgifter som lämnats ut, när denne bestämmer sig för att utöva den rätt att få tillgång som tillerkänns vederbörande enligt artikel 12 a i direktivet. Medlemsstaterna ska anta åtgärder för att införliva dels bestämmelserna i artiklarna 10 och 11 i direktivet avseende informationsskyldigheten, dels bestämmelserna i artikel 12 a i direktivet, utan att de förstnämnda för den skull innebär en begränsning av de skyldigheter som följer av de sistnämnda åtgärderna.
70Tolkningsfrågan ska därmed besvaras på följande sätt:
71Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
Medlemsstaterna är, enligt artikel 12 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, skyldiga att föreskriva en rätt att få tillgång till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnas ut samt om de uppgifter som lämnas ut, vilken avser inte enbart nutid, utan även förfluten tid. Det ankommer på medlemsstaterna att fastställa den tid under vilken denna information ska lagras och att fastställa en motsvarande rätt att få tillgång till denna information, vilket innebär en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv, bland annat genom den rätt att göra invändningar och att föra talan som föreskrivs i direktiv 95/46, och den börda som skyldigheten att lagra denna information utgör för den registeransvarige.
En regel enligt vilken lagringen av information om de mottagare eller mottagarkategorier till vilka uppgifter lämnats ut och om innehållet i dessa uppgifter begränsas till en tidsperiod på ett år och genom vilken tillgången till denna information på motsvarande sätt begränsas, även om grunduppgifterna lagras mycket längre, utgör inte en lämplig avvägning mellan de intressen och skyldigheter som är i fråga, om det inte visas att en mer långvarig lagring av informationen utgör en orimlig börda för den registeransvarige. Det ankommer på den nationella domstolen att utföra de kontroller som är nödvändiga.
Underskrifter
(*1) Rättegångsspråk: nederländska.
Tekstas iš mūsų archyvo (Europos Sąjungos leidinių biuro „Cellar“ duomenys). Commission Decision 2011/833/EU — free reuse incl. commercial; attribution to EUR-Lex / Court of Justice of the European Union required; EUR-Lex is not the authentic record of the Court.