CELEX: 62007CJ0518
Traktatbrud
direktiv 95/46/EF
beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af sådanne oplysninger
artikel 28, stk. 1
nationale tilsynsmyndigheder
uafhængighed
administrativt tilsyn, som udøves over for disse myndigheder

Med sin stævning har Kommissionen for De Europæiske Fællesskaber nedlagt påstand om, at det fastslås, at Forbundsrepublikken
Tyskland har tilsidesat sine forpligtelser i henhold til artikel 28, stk. 1, andet afsnit, i Europa-Parlamentet og Rådets
direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger
og om fri udveksling af sådanne oplysninger (EFT L 281, s. 31) ved at underlægge de nationale tilsynsmyndigheder, der er kompetente
med hensyn til behandling af personoplysninger uden for den offentlige sektor i de forskellige delstater, et statsligt tilsyn
og således foretage en ukorrekt gennemførelse af kravet om »fuld uafhængighed« for de myndigheder, der skal sikre beskyttelsen
af disse oplysninger.

Retsforskrifter

Fællesskabsbestemmelser
Direktiv 95/46 er blevet vedtaget med hjemmel i EF-traktatens artikel 100 A (efter ændring nu artikel 95 EF) og har til formål
at harmonisere medlemsstaternes nationale lovgivninger om behandling af personoplysninger.
Betragtning 3, 7, 8, 10 og 62 til direktiv 95/46 er affattet således:
»(3)      Det indre markeds oprettelse og funktion, som i henhold til traktatens artikel 7 A (efter ændring nu artikel 14 EF) indebærer
fri bevægelighed for varer, personer, tjenesteydelser og kapital, forudsætter ikke blot, at personoplysninger kan cirkulere
frit fra én medlemsstat til en anden, men også, at det enkelte menneskes grundlæggende rettigheder beskyttes.
[…]
(7)      Forskellen i den beskyttelse af personers rettigheder og frihedsrettigheder, og navnlig retten til privatlivets fred, som
de enkelte medlemsstater yder i forbindelse med behandling af personoplysninger, kan forhindre, at oplysninger af denne art
videregives fra én medlemsstats område til en anden medlemsstats område; denne forskel kan derved udgøre en hindring for udøvelsen
af en række økonomiske aktiviteter på fællesskabsplan, virke konkurrencefordrejende og hindre de nationale myndigheder i at
udføre de opgaver, som påhviler dem i henhold til fællesskabsretten; denne forskel i beskyttelsesniveauet hidrører fra forskellene
i de nationale love og administrative bestemmelser.
(8)      For at hindringerne for udveksling af personoplysninger kan fjernes, skal beskyttelsen af det enkelte menneskes rettigheder
og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstaterne; denne målsætning
er af grundlæggende betydning for det indre marked, men kan ikke realiseres af medlemsstaterne alene, navnlig på grund af
omfanget af de nuværende forskelle mellem de nationale love på området, og fordi det er nødvendigt at samordne medlemsstaternes
lovgivninger, så udveksling af personoplysninger på tværs af landegrænserne underlægges et samlet regelsæt, der er i overensstemmelse
med målsætningen om det indre marked som fastsat i traktatens artikel 7 A; det er derfor nødvendigt, at Fællesskabet tager
skridt til at gennemføre en indbyrdes tilnærmelse af lovgivningerne.
[…]
(10)      Medlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder og
frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til beskyttelse
af menneskerettigheder og grundlæggende frihedsrettigheder [undertegnet i Rom den 4. november 1950] og i fællesskabsrettens
generelle principper; af denne grund må en indbyrdes tilnærmelse af lovgivningerne ikke medføre en forringelse af den beskyttelse,
disse yder, men skal tværtimod have til formål at sikre et højt beskyttelsesniveau overalt i Fællesskabet.
[…]
(62)      Oprettelsen af en uafhængig tilsynsmyndighed i hver medlemsstat har afgørende betydning for beskyttelsen af fysiske personer
i forbindelse med behandling af personoplysninger.«
Artikel 1 i direktiv 95/46 med overskriften »Direktivets formål« har følgende ordlyd:
»1.      Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og
frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
2.      Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde
fri udveksling af personoplysninger mellem medlemsstaterne.«
I artikel 28 i direktiv 95/46 med overskriften »Tilsynsmyndighed« er fastsat:
»1.      Hver medlemsstat drager omsorg for, at der udpeges en eller flere offentlige myndigheder, der har til opgave på dens område
at påse overholdelsen af de bestemmelser, medlemsstaten vedtager til gennemførelse af dette direktiv.
Disse myndigheder udøver i fuld uafhængighed de funktioner, der tillægges dem.
2.      Hver medlemsstat drager omsorg for, at tilsynsmyndighederne høres ved udarbejdelsen af administrative foranstaltninger eller
retsforskrifter om beskyttelse af personers rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger.
3.      Hver tilsynsmyndighed skal bl.a. kunne:
–        iværksætte undersøgelser og bl.a. have adgang til de oplysninger, der gøres til genstand for en behandling, og til at indsamle
alle oplysninger, der er nødvendige for at varetage dens tilsynsopgaver
–        gribe effektivt ind ved f.eks. at afgive udtalelser forud for iværksættelsen af behandlingerne i henhold til artikel 20 og
sikre en passende offentliggørelse af disse udtalelser, at beordre oplysninger blokeret, slettet eller tilintetgjort, midlertidigt
eller definitivt at forbyde en behandling, at udstede en advarsel til den registeransvarlige eller påtale en overtrædelse
over for den registeransvarlige eller ved at høre parlamenter eller andre nationale politiske institutioner
–        indbringe overtrædelser af de nationale bestemmelser, som vedtages til gennemførelse af dette direktiv, for retsinstanserne
eller gøre retsinstanserne opmærksom på disse overtrædelser.
Afgørelser truffet af tilsynsmyndigheden, som går en involveret part imod, kan indbringes for en retsinstans.
4.      Enhver kan, eventuelt repræsenteret ved en sammenslutning, til tilsynsmyndigheden indgive en anmodning om beskyttelse af sine
rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger. Den pågældende underrettes om, hvorledes
sagen følges op.
Enhver kan til tilsynsmyndigheden især indgive en anmodning om at få kontrolleret en behandlings lovlighed, når de nationale
bestemmelser, der er truffet i henhold til artikel 13 i dette direktiv, finder anvendelse. Den pågældende underrettes i alle
tilfælde om, at der er blevet foretaget en kontrol.
5.      Hver tilsynsmyndighed udarbejder med regelmæssige mellemrum en rapport om sin virksomhed. Denne rapport offentliggøres.
6.      Den enkelte tilsynsmyndighed er, uanset hvilken national lov der måtte gælde for den pågældende behandling, kompetent til
på sin medlemsstats område at udøve de beføjelser, der tillægges den i overensstemmelse med stk. 3 i denne artikel. Myndigheden
kan blive anmodet om at udøve sine beføjelser af en myndighed i en anden medlemsstat.
Tilsynsmyndighederne samarbejder med hinanden i det omfang, det er nødvendigt for at opfylde deres pligter, navnlig ved at
udveksle alle nyttige oplysninger.
7.      Medlemsstaterne fastsætter bestemmelser i deres lovgivning om, at tilsynsmyndighedernes medlemmer og ansatte også efter deres
aktiviteters ophør har tavshedspligt for så vidt angår de fortrolige oplysninger, de har adgang til.«
Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelsen af fysiske personer i forbindelse
med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger
(EFT 2001 L 8, s. 1) er vedtaget med hjemmel i artikel 286 EF. I denne forordnings artikel 44, stk. 1 og 2, er fastsat:
»1.      Den [E]uropæiske [T]ilsynsførende for [D]atabeskyttelse [herefter »EDPS«] udfører sit hverv i fuld uafhængighed.
2.      EDPS må ved udøvelsen af sine pligter hverken søge eller modtage instrukser fra andre.«

Nationale bestemmelser
Den tyske lovgivning opererer med en sondring på området for beskyttelse af fysiske personer i forbindelse med behandling
af personoplysninger alt efter, om denne behandling bliver udført af offentlige organer eller ej.
Det er således forskellige myndigheder, som har til opgave at føre tilsyn med, at offentlige organer på den ene side og ikke-offentlige
organer og offentligretlige virksomheder, der deltager i konkurrencen på markedet (öffentlich-rechtliche Wettbewerbsunternehmen)
(herefter samlet den »ikke-offentlige sektor«), på den anden side overholder bestemmelserne på området.
Offentlige organers behandling af personoplysninger overvåges på forbundsplan af »Bundesbeauftragter für den Datenschutz und
die Informationsfreiheit« (Forbundsstatens tilsyn med databeskyttelse og informationsfrihed) og på delstatsplan af »Landesdatenschutzbeauftragte«
(Datatilsynet i delstaterne). Alle disse tilsyn er alene ansvarlige over for deres respektive parlamenter og er normalt ikke
underlagt tilsyn, instruks eller anden påvirkning fra offentlige organer, der er under deres kontrol.
Strukturen for de myndigheder, der har til opgave at påse den ikke-offentlige sektors behandling af personoplysninger, varierer
derimod fra den ene delstat til den anden. Delstatslovgivningerne har imidlertid det fællestræk, at de udtrykkeligt underlægger
disse tilsynsmyndigheder et statsligt tilsyn.

Den administrative procedure og retsforhandlingerne ved Domstolen
Da Kommissionen fandt, at det var uforeneligt med artikel 28, stk. 1, andet afsnit, i direktiv 95/46 at underlægge myndigheder,
der har til opgave at påse overholdelsen af bestemmelserne om beskyttelsen af fysiske personer i forbindelse med behandling
af personoplysninger i den ikke-offentlige sektor, et statsligt tilsyn, således som det er tilfældet i alle de tyske delstater,
tilstillede den den 5. juli 2005 Forbundsrepublikken Tyskland en åbningsskrivelse. Sidstnævnte svarede ved skrivelse af 12.
september 2005 og hævdede, at det tyske tilsynssystem på området er i overensstemmelse med kravene i det nævnte direktiv.
Ved skrivelse af 12. december 2006 sendte Kommissionen en begrundet udtalelse til Forbundsrepublikken Tyskland, hvori den
gentog det tidligere formulerede klagepunkt. Ved svar af 14. februar 2007 fastholdt Forbundsrepublikken Tyskland sit oprindelige
synspunkt.
Det er på denne baggrund, at Kommissionen har besluttet at anlægge den foreliggende sag.
Ved kendelse af 14. oktober 2008 har Domstolens præsident givet EDPS tilladelse til at intervenere i den foreliggende sag
til støtte for Kommissionens påstande.

Om søgsmålet

Parternes argumenter
Det foreliggende søgsmål vedrører de to forskellige opfattelser, som Kommissionen, støttet af EDPS, og Forbundsrepublikken
Tyskland har af udtrykket »i fuld uafhængighed« i artikel 28, stk. 1, andet afsnit, i direktiv 95/46 og af tilsynsmyndighedernes
udøvelse af deres funktioner på området for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.
Ifølge Kommissionen og EDPS, der støtter sig på en bred fortolkning af udtrykket »i fuld uafhængighed«, skal kravet om, at
tilsynsmyndighedernes skal udøve deres funktioner »i fuld uafhængighed«, fortolkes således, at en tilsynsmyndighed skal være
unddraget enhver påvirkning, det være sig fra andre myndigheder eller fra organer uden for administrationen. Det statslige
tilsyn, som tilsynsmyndighederne for overholdelsen af reglerne om beskyttelsen af fysiske personer i forbindelse med behandling
af personoplysninger i den ikke-offentlige sektor er underlagt i Tyskland, udgør derfor en tilsidesættelse af det nævnte krav.
Forbundsrepublikken Tyskland forfægter en mere snæver fortolkning af udtrykket »i fuld uafhængighed« og gør gældende, at artikel
28, stk. 1, andet afsnit, i direktiv 95/46 kræver en funktionel uafhængighed for tilsynsmyndighederne i den forstand, at disse
myndigheder skal være uafhængige af den ikke-offentlige sektor, der er underlagt deres kontrol, og at de ikke skal udsættes
fra ydre påvirkning. Ifølge Forbundsrepublikken Tyskland udgør det statslige tilsyn, der bliver udøvet i de tyske delstater,
imidlertid ikke en sådan udefra kommende påvirkning, men en intern overvågningsmekanisme af administrationen, der gennemføres
af myndigheder, der henhører under det samme administrative apparat som tilsynsmyndighederne, og som ligesom sidstnævnte er
forpligtet til at opfylde formålene med direktiv 95/46.

Domstolens bemærkninger
Rækkevidden af kravet om fuld uafhængighed for tilsynsmyndighederne
Bedømmelsen af, om søgsmålet skal tages til følge, afhænger af rækkevidden af kravet om fuld uafhængighed i artikel 28, stk. 1,
andet afsnit, i direktiv 95/46 og dermed af fortolkningen af denne bestemmelse. I den forbindelse må der tages hensyn til
den nævnte bestemmelses ordlyd samt formålet med og opbygningen af direktiv 95/46.
Hvad for det første angår ordlyden af artikel 28, stk. 1, andet afsnit, i direktiv 95/46 bemærkes, at da udtrykket »i fuld
uafhængighed« ikke er defineret i direktiv 95/46, må der tages hensyn til dets almindelige betydning. I relation til offentlige
organer betegner udtrykket »uafhængighed« normalt en status, der sikrer, at det pågældende organ kan handle helt frit uden
nogen form for instruks eller pression.
I modsætning til hvad Forbundsrepublikken Tyskland har gjort gældende, er der intet, der tyder på, at kravet om fuld uafhængighed
udelukkende vedrører forholdet mellem tilsynsmyndighederne og de organer, der er underlagt deres tilsyn. Begrebet »uafhængighed«
forstærkes derimod af adjektivet »fuld«, hvilket indebærer en beslutningsbeføjelse for tilsynsmyndigheden, der er unddraget
enhver ydre påvirkning, hvad enten denne er direkte eller indirekte.
Hvad for det andet angår formålet med direktiv 95/46 fremgår det navnlig af dettes betragtning 3, 7 og 8, at direktivet ved
at harmonisere de nationale bestemmelser til beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger
som dets hovedformål skal sikre den frie bevægelighed for sådanne oplysninger mellem medlemsstaterne (jf. i denne retning
dom af 20.5.2003, forenede sager C-465/00, C-138/01 og C-139/01, Österreichischer Rundfunk m.fl., Sml. I, s. 4989, præmis
39 og 70), som er nødvendig for oprettelsen af det indre marked og dets funktion som omhandlet i artikel 14, stk. 2, EF.
Den frie bevægelighed for personoplysninger er imidlertid potentielt krænkende for retten til privatlivets fred, som bl.a.
anerkendes i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder
(jf. i denne retning Den Europæiske Menneskerettighedsdomstols dom af 16.2.2000, Amann mod Schweiz,
Report of Judgements and Decisions
2000-II, præmis 69 og 80, og af 4.5.2000, Rotaru mod Rumænien,
Report of Judgements and Decisions
2000-V, præmis 43 og 64) og efter almindelige fællesskabsretlige grundsætninger.
Af denne grund har direktiv 95/46, således som det fremgår især af direktivets betragtning 10 og artikel 1, også til formål
ikke at mindske det beskyttelsesniveau, som de gældende nationale regler sikrer, men derimod at sikre et højt beskyttelsesniveau
for frihedsrettigheder og grundlæggende rettigheder i Fællesskabet med hensyn til behandlingen af personoplysninger (jf. i
denne retning dommen i sagen Österreichischer Rundfunk m.fl., præmis 70, og dom af 16.12.2008, sag C-73/07, Satakunnan Markkinapörssi
og Satamedia, Sml. I, s. 9831, præmis 52).
Tilsynsmyndighederne, der er omhandlet i artikel 28 i direktiv 95/46, er således de grundlæggende rettigheder og frihedsrettigheders
vogter, og, som det er anført i betragtning 62 til dette direktiv, har oprettelsen af en tilsynsmyndighed i hver medlemsstat
afgørende betydning for beskyttelsen af personer i forbindelse med behandling af personoplysninger.
For at sikre denne beskyttelse skal tilsynsmyndighederne sikre en ligevægt mellem på den ene side overholdelsen af den grundlæggende
ret til privatlivets fred og på den andens side de hensyn, der styrer den frie udveksling af personoplysninger. I henhold
til artikel 28, stk. 6, i direktiv 95/46 kan de forskellige nationale myndigheder desuden blive anmodet om at samarbejde med
hinanden og i givet fald om at udøve deres beføjelser på anmodning af en myndighed i en anden medlemsstat.
Tilsynsmyndighedernes uafhængighed har til formål at sikre et effektivt og pålideligt tilsyn med overholdelsen af reglerne
om beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger og skal fortolkes i lyset af dette formål.
Tilsynsmyndighedernes uafhængighed er ikke etableret med henblik på at give disse myndigheder og deres ansatte en særlig status,
men med henblik på at styrke beskyttelsen af personer og organer, der måtte blive berørt af deres afgørelser. Det følger heraf,
at når tilsynsmyndighederne udøver deres funktioner, skal de handle objektivt og upartisk. De skal derfor beskyttes imod enhver
form for ydre påvirkning, herunder direkte eller indirekte påvirkning fra staten eller delstaterne, og ikke blot imod påvirkning
fra de kontrollerede organer.
Hvad for det tredje angår opbygningen af direktiv 95/46 bemærkes, at dette direktiv skal betragtes som en pendant til artikel
285 EF og forordning nr. 45/2001. Sidstnævnte vedrører fællesskabsinstitutionerne og fællesskabsorganernes behandling af personoplysninger
og den frie udveksling af sådanne oplysninger. Det nævnte direktiv forfølger samme formål, men vedrører behandlingen af personoplysninger
i medlemsstaterne.
På samme måde, som der findes tilsynsmyndigheder på nationalt plan, er der også på fællesskabsplan oprettet en tilsynsmyndighed,
der har til opgave at påse overholdelsen af reglerne om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger,
nemlig EDPS. I henhold til artikel 44, stk. 1, i forordning nr. 45/2001 udøver dette organ sine funktioner i fuld uafhængighed.
Artikel 44, stk. 2, uddyber dette uafhængighedsbegreb og tilføjer, at EDPS ved udøvelsen af sine pligter hverken må søge eller
modtage instrukser fra andre.
I betragtning af, at artikel 44 i forordning nr. 45/2001 og artikel 28 i direktiv 95/46 er baseret på det samme generelle
koncept, skal de to bestemmelser fortolkes ensartet, således at ikke alene EDPS’ uafhængighed, men også de nationale myndigheders
uafhængighed forudsætter, at udøvelsen af deres funktioner ikke er underlagt nogen instrukser.
Med henvisning til ordlyden i artikel 28, stk. 1, andet afsnit, i direktiv 95/46 og til formålet med og opbygningen af dette
direktiv er det muligt at nå til en entydig fortolkning af den nævnte artikel 28, stk. 1, andet afsnit. Det er derfor ikke
nødvendigt at tage hensyn til det nævnte direktivs tilblivelse eller tage stilling til de modstridende indlæg, der er fremsat
i den henseende af Kommissionen og Forbundsrepublikken Tyskland.
Under hensyn til det ovenstående skal artikel 28, stk. 1, andet afsnit, i direktiv 95/46 fortolkes således, at de tilsynsmyndigheder,
der er kompetente med hensyn til behandling af personoplysninger uden for den offentlige sektor, skal være uafhængige, således
at de har mulighed for at udøve deres funktioner uden ydre påvirkning. Denne uafhængighed udelukker ikke alene enhver påvirkning,
der bliver udøvet af de kontrollerede organer, men også ethvert påbud og enhver anden ydre påvirkning – hvad enten denne er
direkte eller indirekte – der kan skabe tvivl om udførelsen af de nævnte myndigheders opgave, der består i at skabe en ligevægt
mellem beskyttelsen af retten til privatlivets fred og den frie udveksling af personoplysninger.
Det statslige tilsyn
Det må herefter undersøges, om det statslige tilsyn, som tilsynsmyndighederne for behandling af personoplysninger i den ikke-offentlige
sektor er underlagt i Tyskland, er i overensstemmelse med kravet om uafhængighed som fortolket ovenfor.
I den forbindelse må det fastslås, at det statslige tilsyn uanset dets art i princippet giver mulighed for, at den pågældende
delstats regering eller et administrativt organ, der er underlagt denne regering, kan øve direkte eller indirekte indflydelse
på tilsynsmyndighedernes beslutninger eller i givet fald annullere og erstatte disse beslutninger.
Som Forbundsrepublikken Tyskland har gjort gældende, bør det på forhånd anerkendes, at det statslige tilsyn kun har til formål
at sikre, at tilsynsmyndighedernes handlinger er forenelige med de gældende nationale og fællesskabsretlige bestemmelser,
og det har således ikke til formål at forpligte de nævnte myndigheder til at forfølge politiske mål, som er i strid med beskyttelsen
af fysiske personer i forbindelse med behandling af personoplysninger og med de grundlæggende rettigheder.
Det kan imidlertid ikke udelukkes, at tilsynsmyndighederne, der indgår i den almindelige forvaltning, og som derfor er underlagt
regeringen i deres respektive delstater, ikke er i stand til at handle på en objektiv måde, når de fortolker og anvender bestemmelserne
om behandling af personoplysninger.
Som EDPS således har påpeget i sine bemærkninger, kan den pågældende delstats regering have interesse i ikke at overholde
bestemmelserne om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, når der er tale om et
ikke-offentligt organs behandling af sådanne oplysninger. Denne regering kan selv være berørt af denne behandling, hvis den
deltager heri eller ville kunne deltage heri, f.eks. i tilfælde af offentlig-private partnerskaber eller i forbindelse med
offentlige kontrakter med den private sektor. Denne regering kan også have en særlig interesse, hvis det er nødvendigt eller
endog blot nyttigt for den at få adgang til databaser for at udføre sine opgaver bl.a. med skattemæssige formål eller retshåndhævelsesformål
for øje. Selv samme regering kan i øvrigt også være tilbøjelig til at foretrække at fremme økonomiske interesser, når virksomheder,
der i økonomisk henseende er vigtige for delstaten eller regionen, anvender de nævnte bestemmelser.
Desuden bemærkes, at foreligger der blot en risiko for, at det statslige tilsyn kan øve politisk indflydelse på tilsynsmyndighedernes
beslutninger, er dette tilstrækkeligt til at hindre, at sidstnævnte kan udøve deres opgaver uafhængigt. Som Kommissionen har
bemærket, kan det for det første medføre en »forudgående lydighed« fra disse myndigheders side over for det statslige tilsyns
beslutningspraksis. For det andet kræver den rolle som vogter af retten til privatlivets fred, som tilsynsmyndighederne har
påtaget sig, at deres beslutninger og således myndighederne selv står uden for enhver mistanke om partiskhed.
På grundlag af det ovenfor anførte skal det fastslås, at det statslige tilsyn, som de tyske tilsynsmyndigheder, der er kompetente
med hensyn til behandling af personoplysninger i den ikke-offentlige sektor, er underlagt, ikke er foreneligt med kravet om
uafhængighed som beskrevet i denne doms præmis 30.
Principperne i fællesskabsretten, som Forbundsrepublikken Tyskland påberåber sig
Forbundsrepublikken Tyskland har gjort gældende, at det strider mod forskellige principper i fællesskabsretten at fortolke
kravet om uafhængighed i artikel 28, stk. 1, andet afsnit, i direktiv 95/46, således at denne medlemsstat tvinges til at ophæve
sit afprøvede og effektive tilsyn over for tilsynsmyndighederne for så vidt angår behandlingen af personoplysninger på det
ikke-offentlige område.
For det første er det den nævnte medlemsstats opfattelse, at især princippet om demokrati er til hinder for en bred fortolkning
af kravet om uafhængighed.
Dette princip, som er hjemlet ikke alene i den tyske forfatning, men også i artikel 6, stk. 1, EU, kræver, at administrationen
underkaster sig instrukser fra regeringen, der er ansvarlig over for sit parlament. Indgreb i erhvervslivets eller borgernes
rettigheder skal således være underlagt et legalitetstilsyn udført af det ansvarlige ministerium. Da tilsynsmyndighederne
på området for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger råder over visse beføjelser
til at gribe ind over for borgere og den ikke-offentlige sektor i henhold til artikel 28, stk. 3, i direktiv 95/46, er en
udvidet kontrol med lovligheden af deres aktiviteter ved hjælp af regler om legalitetskontrol eller materiel kontrol absolut
nødvendig.
I den forbindelse bemærkes, at princippet om demokrati henhører under fællesskabsretten og er udtrykkeligt hjemlet i artikel
6, stk. 1, EU som et af de grundlæggende principper for Den Europæiske Union. Da der er tale om et princip, der er fælles
for medlemsstaterne, skal der tages hensyn til dette ved fortolkningen af en afledt retsakt som artikel 28 i direktiv 95/46.
Dette princip er ikke til hinder for offentlige myndigheder, der er placeret uden for en klassisk hierarkisk administration,
og som er mere eller mindre uafhængige af regeringen. Tilstedeværelsen af og funktionsbetingelserne for sådanne myndigheder
er omfattet af lovgivningen i medlemsstaterne, eller endog i visse medlemsstater af forfatningen og underlagt de kompetente
retsinstansers kontrol. Sådanne uafhængige administrative myndigheder, som i øvrigt allerede findes i det tyske retssystem,
har ofte en regulerende funktion eller udøver funktioner, som skal være unddraget enhver politisk påvirkning, mens de forbliver
underlagt loven og de kompetente retsinstansers kontrol. Dette er netop tilfældet for tilsynsmyndighedernes funktioner på
området for beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.
Disse myndigheder kan ganske vist ikke stå uden for enhver parlamentarisk indflydelse. Det bemærkes dog, at direktiv 95/46
heller ikke på nogen måde pålægger medlemsstaterne at holde disse myndigheder uden for enhver parlamentarisk indflydelse.
For det første kan de personer, der påtager sig ledelsen af tilsynsmyndighederne, således udpeges af parlamentet eller regeringen.
For det andet kan lovgiveren fastlægge de nævnte myndigheders beføjelser.
Desuden kan lovgiveren pålægge tilsynsmyndighederne en forpligtelse til at rapportere om deres aktiviteter til parlamentet.
I den henseende kan der sammenholdes med artikel 28, stk. 5, i direktiv 95/46, der bestemmer, at hver tilsynsmyndighed med
regelmæssige mellemrum udarbejder en rapport om sin virksomhed, der offentliggøres.
På baggrund af det ovenstående vil den omstændighed, at tilsynsmyndighederne på området for beskyttelse af fysiske personer
i forbindelse med behandling af personoplysninger i den ikke-offentlige sektor gives en status, der er uafhængig af den almindelige
forvaltning, ikke i sig selv fratage disse myndigheder deres demokratiske legitimitet.
Hvad for det andet angår princippet om tildelte kompetencer i artikel 5, første afsnit, EF, der også er blevet gjort gældende
af Forbundsrepublikken Tyskland, kræves det i henhold til dette, at Fællesskabet handler inden for rammerne af de beføjelser
og mål, der er tillagt det ved traktaten.
Forbundsrepublikken Tyskland har i den forbindelse gjort gældende, at det ikke kan kræves i medfør af EF-traktatens artikel
100 A, som direktiv 95/46 har hjemmel i, at tilsynsmyndighederne er uafhængige i forhold til de øverste administrative myndigheder.
Denne bestemmelse bemyndiger fællesskabslovgiver til at vedtage foranstaltninger til forbedring af vilkårene for det indre
markeds oprettelse og funktion, idet disse foranstaltninger reelt skal have dette formål og bidrage til at fjerne hindringerne
for de økonomiske friheder, der er garanteret ved EF-traktaten (jf. i denne retning bl.a. dom af 5.10.2000, sag C-376/98,
Tyskland mod Parlamentet og Rådet, Sml. I, s. 8419, præmis 83, 84 og 95, af 10.12.2002, sag C-491/01, British American Tobacco
(Investments) og Imperial Tobacco, Sml. I, s. 11453, præmis 60, og af 2.5.2006, sag C-436/03, Parlamentet mod Rådet, Sml.
I, s. 3733, præmis 38).
Som det allerede er anført, har tilsynsmyndighedernes uafhængighed, forstået således, at disse myndigheder skal være unddraget
enhver ydre påvirkning, der kan øve indflydelse på deres beslutninger, afgørende betydning i forhold til formålet med direktiv
95/46. Uafhængigheden er nødvendig for at sikre et beskyttelsesniveau, der er lige højt i alle medlemsstater, for så vidt
angår beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, og den bidrager på denne måde til
den frie udveksling af personoplysninger, som er nødvendig for oprettelsen af det indre marked og dets funktion.
På baggrund af det ovenstående overskrider en bred fortolkning af kravet om tilsynsmyndighedernes uafhængighed ikke rammerne
for de beføjelser, der er tillagt Fællesskabet i medfør af EF-traktatens artikel 100 A, der udgør retsgrundlaget for direktiv
95/46.
For det tredje har Forbundsrepublikken Tyskland påberåbt sig nærhedsprincippet og proportionalitetsprincippet i artikel 5,
andet og tredje afsnit, EF og princippet om loyalt samarbejde mellem medlemsstater og fællesskabsinstitutionerne, der er fastsat
i artikel 10 EF.
Forbundsrepublikken Tyskland henviser navnlig til artikel 7 i protokollen om anvendelse af nærhedsprincippet og proportionalitetsprincippet,
der er knyttet som bilag til EU-traktaten og EF-traktaten ved Amsterdamtraktaten, hvorefter der under overholdelse af fællesskabslovgivningen
skal drages omsorg for, at veletablerede nationale ordninger og den måde, hvorpå medlemsstaternes retssystemer er opbygget
og fungerer, respekteres.
Det er i strid med dette krav at pålægge Forbundsrepublikken Tyskland at indføre en ordning, der er fremmed for dens retssystem,
og således ophæve det effektive tilsyn, som har stået sin prøve igennem næsten 30 år, og som har været et eksempel inden for
lovgivningen om beskyttelse af oplysninger, der har haft langt mere end national betydning.
Denne argumentation kan ikke tiltrædes. Som anført i denne doms præmis 21-25 og 50, er det ikke mere vidtrækkende end nødvendigt
for at nå denne traktats mål at fortolke kravet om uafhængighed i artikel 28, stk. 1, andet afsnit, i direktiv 95/46 således,
at dette er til hinder for et statsligt tilsyn.
Henset til alle de ovenstående bemærkninger, skal det fastslås, at Forbundsrepublikken Tyskland har tilsidesat sine forpligtelser
i henhold til artikel 28, stk. 1, andet afsnit, i direktiv 95/46 ved at underlægge de nationale tilsynsmyndigheder, der er
kompetente med hensyn til behandling af personoplysninger uden for den offentlige sektor i de forskellige delstater, et statsligt
tilsyn og således foretage en ukorrekt gennemførelse af kravet om, at disse myndigheder skal udøve deres funktioner »i fuld
uafhængighed«.

Sagens omkostninger
I henhold til procesreglementets artikel 69, stk. 2, pålægges det den tabende part at betale sagens omkostninger, hvis der
er nedlagt påstand herom. Da Kommissionen har nedlagt påstand om, at Forbundsrepublikken Tyskland tilpligtes at betale sagens
omkostninger, og Forbundsrepublikken Tyskland har tabt sagen, bør det pålægges denne at betale sagens omkostninger.
EDPS bærer sine egne omkostninger.
På grundlag af disse præmisser udtaler og bestemmer Domstolen (Store Afdeling):
1)
Forbundsrepublikken Tyskland har tilsidesat sine forpligtelser i henhold til artikel 28, stk. 1, andet afsnit, i Europa-Parlamentet
og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger
og om fri udveksling af sådanne oplysninger ved at underlægge de nationale tilsynsmyndigheder, der er kompetente med hensyn
til behandling af personoplysninger, der foretages i de forskellige delstater af ikke-offentlige organer og offentligretlige
virksomheder, der deltager i konkurrencen på markedet (öffentlich-rechtliche Wettbewerbsunternehmen), et statsligt tilsyn
og således foretage en ukorrekt gennemførelse af kravet om, at disse myndigheder skal udøve deres funktioner »i fuld uafhængighed«.
2)
Forbundsrepublikken Tyskland betaler Europa-Kommissionens omkostninger.
3)
Den Europæiske Tilsynsførende for Databeskyttelse bærer sine egne omkostninger.
Underskrifter
*
Processprog: tysk.