CELEX: 62001CJ0101
Direktiv 95/46/EG
Tillämpningsområde
Offentliggörande av personuppgifter på Internet
Platsen för offentliggörandet
Begreppet överföring av personuppgifter till tredje land
Yttrandefrihet
Huruvida ett större skydd för personuppgifter i nationell lagstiftning i en medlemsstat är förenligt med direktiv 95/46

Göta hovrätt har, genom beslut av den 23 februari 2001 som inkom till domstolen den 1 mars samma år, i enlighet med artikel
234 EG ställt sju frågor om tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd
för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281,
s. 31).
Frågorna har uppkommit i ett brottmål vid den nämnda domstolen mot Bodil Lindqvist, som är anklagad för att ha överträtt den
svenska lagstiftningen om skydd av personuppgifter genom att på sin webbplats på Internet ha offentliggjort personuppgifter
beträffande ett visst antal personer som, i likhet med henne själv, arbetar ideellt i ett pastorat inom Svenska kyrkan.
Tillämpliga bestämmelser
De gemenskapsrättsliga bestämmelserna
Såsom följer av artikel 1.1 i direktiv 95/46 syftar direktivet i fråga till att skydda fysiska personers grundläggande fri-
och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.
Artikel 3 i direktiv 95/46, som avser direktivets tillämpningsområde, har följande lydelse:
”1.

Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan
behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2.

Detta direktiv gäller inte för sådan behandling av personuppgifter
–
som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna
V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar,
statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och
statens verksamhet på straffrättens område,
–
av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.”
I artikel 8 i direktiv 95/46, som har rubriken ”Behandlingen av särskilda kategorier av uppgifter”, föreskrivs följande:
”1.

Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös
eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv.
2.

Punkt 1 gäller inte om
a)
den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning
anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke,
eller
b)
behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom
arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder,
eller
c)
behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade
är fysiskt eller rättsligt förhindrad att ge sitt samtycke,
eller
d)
behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande
organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs
medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut
till tredje man utan den registrerades samtycke,
eller
e)
behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändi[g] för att kunna fastslå,
göra gällande eller försvara rättsliga anspråk.
3.

Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska
diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon
som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits
av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt.
4.

Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen
i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt
2.
5.

Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en
myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan
tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register
över brottmålsdomar får dock föras endast under kontroll av en myndighet.
Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas
under kontroll av en myndighet.
6.

De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen.
7.

Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för
identifiering får behandlas.”
I artikel 9 i direktiv 95/46, som har rubriken ”Behandling av personuppgifter och yttrandefriheten”, stadgas följande:
”Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller
konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och
kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.”
I artikel 13 i direktiv 95/46, vilken har rubriken ”Undantag och begränsningar”, föreskrivs att medlemsstaterna får begränsa
vissa skyldigheter som den registeransvarige har enligt direktivet, bland annat vad gäller information till de berörda personerna,
i den mån en sådan begränsning är nödvändig med hänsyn till exempelvis statens säkerhet, försvaret, allmän säkerhet, ett viktigt
ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen eller med hänsyn till undersökning av
eller åtal för brott eller överträdelser av etiska regler som gäller för lagreglerade yrken.
Artikel 25 i direktiv 95/46, som ingår i kapitel IV med rubriken ”Överföring av personuppgifter till tredje land”, har följande
lydelse:
”1.

Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas
efter överföring till tredje land endast får ske om ifrågavarande tredje land – utan att detta påverkar tillämpningen av de
nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv – säkerställer en adekvat skyddsnivå.
2.

Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med
en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda
behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda
rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där.
3.

Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en adekvat skyddsnivå
enligt punkt 2.
4.

Om kommissionen i enlighet med ett sådant förfarande som beskrivs i artikel 31.2 finner att ett tredje land inte erbjuder
en sådan adekvat skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna vidta de åtgärder som är nödvändiga
för att hindra överföring av uppgifter av samma slag till ifrågavarande tredje land.
5.

Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att avhjälpa den situation som uppstått när kommissionen
kommit till den slutsats som anges i punkt 4.
6.

Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfarandet, konstatera att ett tredje land genom sin interna
lagstiftning eller på grund av de internationella förpliktelser som – särskilt till följd av sådana förhandlingar som anges
i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – åligger landet
har en skyddsnivå som är adekvat i den mening som avses i punkt 2 i denna artikel.
Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut.”
När direktiv 95/46 antogs gjorde Konungariket Sverige i fråga om artikel 9 i denna följande förklaring, som är inskriven i
rådets protokoll (rådets dokument nr 4649/95 av den 2 februari 1995):
”Sverige anser att begreppet konstnärliga och litterära uttryck mer syftar på uttrycksmedlen än kommunikationens innehåll
eller dess kvalitet.”
I artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, vilken undertecknades
i Rom den 4 november 1950 (nedan kallad Europakonventionen) föreskrivs rätten till skydd för privat- och familjeliv. I artikel
10 i samma konvention återfinns bestämmelser om yttrandefriheten.
Den nationella lagstiftningen
Direktiv 95/46 införlivades med svensk rätt genom personuppgiftslagen,  SFS 1998:204 (nedan kallad PUL).
Målet vid den nationella domstolen och tolkningsfrågorna
Vid sidan av sin anställning som lokalvårdare arbetade Bodil Lindqvist som ledare för konfirmander inom Alseda pastorat (Sverige).
Hon deltog i en datakurs. Inom ramen för denna kurs skulle hon bland annat skapa en hemsida på Internet. Mot slutet av år
1998 skapade Bodil Lindqvist hemma hos sig och på sin egen persondator webbsidor i syfte att göra det möjligt för församlingsmedlemmar
som förberedde sig för konfirmationen att lätt få den information de behövde. På hennes begäran lade den webbansvarige för
Svenska kyrkans webbplats på Internet ut en länk mellan dessa sidor och den nämnda webbplatsen.
De aktuella sidorna innehöll vissa uppgifter om Bodil Lindqvist och 18 av hennes arbetskamrater inom pastoratet, inklusive
deras fullständiga namn eller i vissa fall bara förnamn. Därutöver beskrevs, i lätt skämtsamma ordalag, arbetskamratens arbetsuppgifter
och fritidsvanor. I flera fall nämndes även deras familjeförhållanden, telefonnummer och andra uppgifter. Dessutom angav hon
att en arbetskamrat hade skadat foten och var deltidssjukskriven.
Bodil Lindqvist hade varken informerat sina arbetskamrater om att dessa sidor existerade, inhämtat deras samtycke eller redovisat
sitt handlingssätt för Datainspektionen. Hon tog bort de aktuella sidorna så fort hon fick reda på att vissa av hennes kolleger
inte uppskattade dem.
Åklagaren yrkade ansvar enligt PUL mot Bodil Lindqvist under påstående att hon hade
–
behandlat personuppgifter, vilken behandling varit automatiserad, utan att dessförinnan göra skriftlig anmälan till Datainspektionen
(36 § PUL),
–
behandlat känsliga personuppgifter, nämligen dem om en skadad fot och en deltidssjukskrivning, utan att detta varit tillåtet
(13 § PUL), och
–
till tredje land fört över personuppgifter som varit under behandling utan att detta varit tillåtet (33 § PUL).
Bodil Lindqvist vitsordade de faktiska förhållandena men bestred ansvar. Hon dömdes av Eksjö tingsrätt till böter, men överklagade
domen till den hänskjutande domstolen.
Böterna uppgick till 4 000 SEK, då beloppet 100 SEK, beräknat utifrån Bodil Lindqvists ekonomiska situation, multiplicerades
med 40, vilket motsvarade brottets svårighetsgrad. Bodil Lindqvist förpliktades dessutom att betala 300 SEK till den svenska
brottsofferfonden.
Göta hovrätt, som inte var säker på hur den på området tillämpliga gemenskapsrätten, bland annat direktiv 95/46, skulle tolkas,
beslutade att vilandeförklara målet och ställa följande tolkningsfrågor till domstolen:
”1)
Innebär omnämnandet av en person – med namn eller med namn och telefonnummer – på en så kallad hemsida på Internet ett förfarande
som faller under tillämpningsområdet för direktiv [95/46]? Utgör det en ‘behandling av personuppgifter som helt eller delvis
företas på automatisk väg’, att på en egenhändigt konstruerad hemsida på Internet ange ett antal personer jämte utsagor och
påståenden om dessa personers arbetsförhållanden och fritidsintressen med mera?
2)
Om svaret på föregående fråga är nej, kan förfarandet att på en hemsida på Internet upprätta särskilda sidor för ett drygt
femtontal personer, med länkar mellan sidorna som möjliggör sökning på förnamn, anses utgöra en sådan ‘‘‘‘annan behandling
av personuppgifter som ingår i eller kommer att ingå i ett register’’’’ som avses i artikel 3 punkt 1?
Om svaret på någon av frågorna är ja, då har hovrätten även följande frågor.
3)
Kan förfarandet att lägga ut uppgifter av nu berört slag om arbetskamrater på en privat hemsida, som dock är åtkomlig för
alla med kännedom om hemsidans adress, anses falla utanför ... tillämpningsområde[t för direktiv 95/46] på grund av något
av undantagen i artikel 3, punkten 2?
4)
Är uppgift på en hemsida om att en namngiven arbetskamrat har skadat sin fot och är halvt sjukskriven en sådan personuppgift
om hälsa som enligt artikel 8 punkt 1 inte får göras till föremål för behandling?
5)
Överföring av personuppgifter till tredje land skall enligt direktiv [95/46] vara förbjudet i vissa fall. Om en person i Sverige
med hjälp av dator lägger ut personuppgifter på en hemsida som är lagrad på en server i Sverige – varvid personuppgifterna
blir åtkomliga för medborgare i tredje land – innebär det en överföring av uppgifter till tredje land i den mening som avses
i direktivet? Blir svaret detsamma även om, såvitt känt, inte någon från tredje land rent faktiskt har tagit del av uppgifterna
eller om servern i fråga rent fysiskt befinner sig i ett tredje land?
6)
Kan direktivets föreskrifter, i ett fall som det förevarande, anses medföra en begränsning som står i strid med de allmänna
principer om yttrandefrihet, eller andra fri- och rättigheter, som gäller inom EU och som har en motsvarighet i bland annat
artikel 10 i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna?
Hovrätten har slutligen följande fråga:
7)
Kan en medlemsstat, i de hänseenden som aktualiserats av de förutvarande frågorna, ha ett mera långtgående skydd för personuppgifter
eller ett vidare tillämpningsområde än som följer av direktivet, även om inte något av de i artikel 13 angivna förhållandena
föreligger?”
Den första frågan
Hovrätten har ställt den första frågan för att få klarhet i huruvida omnämnandet av olika personer – vilka identifieras med
namn eller på annat sätt, till exempel med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen
– på en webbsida utgör en ”behandling av personuppgifter som helt eller delvis företas på automatisk väg”, i den mening som
avses i artikel 3.1 i direktiv 95/46.
Yttranden som har inkommit till domstolen
Enligt Bodil Lindqvists mening är det inte rimligt att bedöma enbart omnämnandet av en person eller en personuppgift i text
på en webbsida som automatiserad behandling av uppgifter. Däremot kan omnämnandet av sådana uppgifter i ett nyckelord på en
webbsidas ”metatagg”, som möjliggör indexering och gör att man kan finna denna sida genom en sökmotor, utgöra sådan behandling.
Den svenska regeringen har gjort gällande att begreppet ”behandling av personuppgifter som helt eller delvis företas på automatisk
väg”, i artikel 3.1 i direktiv 95/46, innefattar all behandling som sker i datorformat, det vill säga i binär form. Detta
innebär att så snart en personuppgift behandlas i en dator, antingen i till exempel ett ordbehandlingsprogram eller genom
att den läggs ut på en webbsida, omfattas behandlingen av direktiv 95/46.
Den nederländska regeringen har gjort gällande att personuppgifter förs in på webbsidor med hjälp av en dator och en server,
vilket utgör ett viktigt kännetecken för automatisering, varför dessa uppgifter måste anses vara föremål för automatiserad
behandling.
Kommissionen har hävdat att direktiv 95/46 är tillämpligt på all sådan behandling av personuppgifter som avses i artikel 3
i detta direktiv, oavsett vilka tekniska hjälpmedel som används. Att lägga ut personuppgifter på Internet utgör följaktligen
helt eller delvis automatiserad behandling, såvida det inte föreligger några tekniska begränsningar som innebär att behandlingen
blir helt manuell. En webbsida ingår därför på grund av sin natur i tillämpningsområdet för direktiv 95/46.
Domstolens svar
Begreppet personuppgifter, som används i artikel 3.1 i direktiv 95/46, omfattar i enlighet med definitionen i artikel 2 a
i direktivet i fråga ”varje upplysning som avser en identifierad eller identifierbar fysisk person”. Detta begrepp omfattar
förvisso en persons namn tillsammans med dennes telefonnummer eller med uppgifter om vederbörandes arbetsförhållanden eller
fritidsintressen.
Vad gäller begreppet ”behandling” av sådana uppgifter, vilket används i artikel  3.1 i direktiv 95/46, innefattar detta enligt
definitionen i artikel 2 b i direktivet i fråga ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter,
vare sig det sker på automatisk väg eller inte”. I den sistnämnda bestämmelsen anges flera exempel på sådana åtgärder, bland
annat utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter. Följaktligen skall åtgärden att
på en webbsida lägga ut sådana personuppgifter anses utgöra sådan behandling.
Det skall även avgöras huruvida denna behandling ”helt eller delvis företas på automatisk väg”. I detta hänseende noterar
domstolen att åtgärden att lägga ut uppgifter på en webbsida innefattar, enligt de tekniska dataprocesser som för närvarande
tillämpas, överföring av denna sida till en server samt de åtgärder som är nödvändiga för att göra sidan i fråga tillgänglig
för personer som har kopplat upp sig på Internet. Dessa transaktioner görs åtminstone delvis på automatisk väg.
Den första frågan skall således besvaras så, att omnämnandet av olika personer – vilka identifieras med namn eller på annat
sätt, till exempel med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen – på en webbsida
utgör en ”behandling av personuppgifter som helt eller delvis företas på automatisk väg”, i den mening som avses i artikel
3.1 i direktiv 95/46.
Den andra frågan
Eftersom den första frågan har besvarats jakande saknas det anledning att besvara den andra frågan, som endast har ställts
för det fall den första frågan skulle besvaras nekande.
Den tredje frågan
Den nationella domstolen har ställt den tredje frågan för att få klarhet i huruvida en sådan behandling av personuppgifter
som den som avses i den första frågan omfattas av något av de undantag som återfinns i artikel 3.2 i direktiv 95/46.
Yttranden som har inkommit till domstolen
Bodil Lindqvist anser att en privatperson, som med utnyttjande av sin yttrandefrihet upprättar webbsidor på Internet inom
ramen för en verksamhet som är ideell eller av hobbykaraktär inte bedriver någon ekonomisk verksamhet och att gemenskapsrätten
därför inte är tillämplig på honom eller henne. Om domstolen kommer till motsatt slut uppkommer enligt hennes mening frågan
huruvida direktiv 95/46 är giltigt, eftersom gemenskapslagstiftaren i så fall har överskridit sina befogenheter enligt artikel
100a i EG-fördraget (nu artikel 95 EG i ändrad lydelse). Tillnärmningen av lagstiftning, vars ändamål är att den inre marknaden
skall upprättas och fungera, kan inte utgöra rättslig grund för gemenskapsrättsliga bestämmelser som reglerar privatpersoners
yttrandefrihet på Internet.
Den svenska regeringen har gjort gällande att den svenska lagstiftaren vid införlivandet av direktiv 95/46 med nationell rätt
har utgått från att en privatpersons behandling av personuppgifter som innebär att uppgifterna förmedlas till ett obestämt
antal personer, till exempel via Internet, inte kan kvalificeras som ”verksamhet av rent privat natur eller som har samband
med hans hushåll” i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46. Däremot har denna regering inte
uteslutit att det undantag som föreskrivs i första strecksatsen i samma punkt omfattar den situationen att en privatperson
lägger ut personuppgifter på en webbsida när detta sker som led i en verksamhet som enbart är ett uttryck för yttrandefriheten
och helt saknar anknytning till någon yrkesmässig eller kommersiell verksamhet.
Enligt den nederländska regeringen omfattas en sådan behandling på automatisk väg av uppgifter som den som är i fråga i målet
vid den nationella domstolen inte av något av de undantag som avses i artikel 3.2 i direktiv 95/46. Vad närmare bestämt gäller
det undantag som föreskrivs i andra strecksatsen i denna punkt har den nederländska regeringen noterat att den som skapar
en webbsida bringar de uppgifter som läggs ut där till en i princip obestämd grupp personers kännedom.
Kommissionen har gjort gällande att en sådan webbsida som den som är i fråga i målet vid den nationella domstolen inte kan
anses falla utanför tillämpningsområdet för direktiv 95/46 enligt artikel 3.2 i detta direktiv. Den utgör i stället, med hänsyn
till syftet med den webbsida som är i fråga i målet vid den nationella domstolen, konstnärligt eller litterärt skapande i
den mening som avses i artikel 9 i det nämnda direktivet.
Enligt kommissionens uppfattning kan artikel 3.2 första strecksatsen i direktiv 95/46 tolkas på två olika sätt. Den ena tolkningen
är att denna bestämmelses räckvidd begränsas till de områden som nämns som exempel, det vill säga sådan verksamhet som väsentligen
omfattas av vad man brukar kalla den andra och den tredje pelaren. Den andra tolkningen är att utesluta utövning av all verksamhet
som inte omfattas av gemenskapsrätten från tillämpningsområdet för direktiv 95/46.
Kommissionen har hävdat att gemenskapsrätten inte endast omfattar sådan ekonomisk verksamhet som är knuten till de fyra grundläggande
friheterna. Den har hänvisat till den rättsliga grunden för direktiv 95/46, till dess målsättning, till artikel 6 EU, till
Europeiska unionens stadga om de grundläggande rättigheterna, som proklamerades i Nice den 18 december 2000 (EGT C 364, s.
1) och till Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter,
och dragit slutsatsen att detta direktiv syftar till att reglera det fria flödet av personuppgifter vid utövning inte bara
av ekonomisk verksamhet, utan även av samhällelig verksamhet inom ramen för den inre marknadens genomförande och funktion.
Den har tillagt att det skulle kunna medföra allvarliga avgränsningsproblem att generellt utesluta de webbsidor som inte innehåller
några kommersiella inslag eller innefattar något tillhandahållande av tjänster från tillämpningsområdet för direktiv 95/46.
Ett stort antal webbsidor som innehåller personuppgifter vilka är avsedda att utpeka vissa personer för särskilda syften skulle
då kunna bli uteslutna från direktivets tillämpningsområde.
Domstolens svar
I artikel 3.2 i direktiv 95/46 återfinns två undantag från direktivets tillämpningsområde.
Det första undantaget avser sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten,
exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och under alla omständigheter
behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har
samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område.
Då Bodil Lindqvists, i målet vid den nationella domstolen, aktuella verksamhet inte väsentligen är ekonomisk, utan ideell
och religiös, finns det anledning att pröva huruvida denna verksamhet utgör sådan behandling av personuppgifter ”som utgör
ett led i en verksamhet som inte omfattas av gemenskapsrätten”, i den mening som avses i artikel 3.2 första strecksatsen i
direktiv 95/46.
Domstolen har i fråga om direktiv 95/46, som har utfärdats med stöd av artikel 100a i fördraget, redan fastställt att det
för användning av denna rättsliga grund inte krävs att det föreligger något faktiskt samband med den fria rörligheten mellan
medlemsstaterna i varje situation som avses med den rättsakt som har en sådan grund (se dom av den 20 maj 2003 i de förenade
målen C-465/00, C-138/01 och C-139/01, Österreichischer Rundfunk m.fl., REG 2003, s. I-0000, punkt 41, och där angiven rättspraxis).
Motsatt tolkning skulle innebära en risk för att gränserna för det nämnda direktivets tillämpningsområde skulle bli synnerligen
osäkra och vaga, vilket skulle motverka direktivets huvudsakliga syfte, vilket är tillnärmning av bestämmelser i medlemsstaternas
lagar och andra författningar i syfte att undanröja de hinder för att den inre marknaden skall fungera som följer just av
att det föreligger skillnader mellan de olika nationella lagstiftningarna (domen i de ovan nämnda förenade målen Österreichischer
Rundfunk m.fl., punkt 42).
Under dessa omständigheter skulle det inte vara lämpligt att tolka uttrycket ”verksamhet som inte omfattas av gemenskapsrätten”
så, att det har en sådan räckvidd att det från fall till fall måste kontrolleras huruvida den specifika verksamhet som är
i fråga direkt påverkar den fria rörligheten mellan medlemsstaterna.
Den verksamhet som nämns såsom exempel i artikel 3.2 första strecksatsen i direktiv 95/46 (det vill säga sådan verksamhet
som avses i avdelningarna V och VI i fördraget om Europeiska unionen och behandlingar som rör allmän säkerhet, försvar, statens
säkerhet och verksamhet på straffrättens område) avser i samtliga fall sådan verksamhet som endast kan bedrivas av staten
eller statliga myndigheter och som inte kan bedrivas av enskilda personer.
Domstolen finner således att de verksamheter som nämns som exempel i artikel 3.2 första strecksatsen i direktiv 95/46 är avsedda
att definiera räckvidden av det där föreskrivna undantaget, varför detta undantag endast är tillämpligt på sådan verksamhet
som uttryckligen nämns där eller som kan placeras i samma kategori (
ejusdem generis
).
Ideell eller religiös verksamhet, som den som Bodil Lindqvist utövar, kan emellertid inte anses utgöra sådan verksamhet som
nämns i artikel 3.2 första strecksatsen i direktiv 95/46 och omfattas således inte av detta undantag.
Vad gäller det undantag som föreskrivs i artikel 3.2 andra strecksatsen i direktiv 95/46 nämns i tolfte skälet i direktivet
i fråga, vilket skäl avser detta undantag, korrespondens eller förande av adressregister såsom exempel på en fysisk persons
behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk.
Detta undantag skall således tolkas så, att det endast avser sådan verksamhet som utgör en del av enskildas privat- eller
familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av personuppgifter som består i att de offentliggörs
på Internet och därmed blir åtkomliga för ett obestämt antal personer.
Den tredje frågan skall således besvaras så, att sådan behandling av personuppgifter som den som nämns i svaret på den första
frågan inte omfattas av något av de undantag som nämns i artikel 3.2 i direktiv 95/46.
Den fjärde frågan
Den hänskjutande domstolen har ställt den fjärde frågan för att få klarhet i huruvida en uppgift om att en person har skadat
sin fot och är deltidssjukskriven utgör en personuppgift om hälsa, i den mening som avses i artikel 8.1 i direktiv 95/46.
Med hänsyn till syftet med detta direktiv skall uttrycket ”uppgifter som rör hälsa”, vilket används i artikel 8.1 i direktivet
i fråga, ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som psykiska
sådana.
Den fjärde frågan skall således besvaras så, att en uppgift om att en person har skadat sin fot och är deltidssjukskriven
utgör en personuppgift om hälsa, i den mening som avses i artikel 8.1 i direktiv 95/46.
Den femte frågan
Den hänskjutande domstolen har ställt den femte frågan för att få klarhet i huruvida det föreligger en ”överföring av ...
uppgifter till tredje land” i den mening som avses i artikel 25 i direktiv 95/46 när en person som befinner sig i en medlemsstat
lägger ut personuppgifter på en webbsida som är lagrad hos en fysisk eller juridisk person som hyser den webbplats där webbsidan
kan läsas (nedan kallad webbhotelleverantören) och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid
uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Den hänskjutande domstolen
önskar vidare få klarhet i huruvida svaret på denna fråga blir detsamma när det framgår att ingen från tredje land rent faktiskt
har tagit del av dessa uppgifter eller att servern där sidan är lagrad rent fysiskt befinner sig i ett tredje land.
Yttranden som har inkommit till domstolen
Kommissionen och den svenska regeringen anser att det utgör en överföring av uppgifter till tredje land i den mening som avses
i direktiv 95/46 att med hjälp av dator lägga ut personuppgifter på en webbsida och därmed göra personuppgifterna åtkomliga
för personer i tredje land. Svaret blir detsamma även om ingen från något tredje land rent faktiskt har tagit del av de nämnda
uppgifterna eller om servern där uppgifterna har lagrats rent fysiskt befinner sig i ett tredje land.
Den nederländska regeringen har erinrat om att begreppet överföring inte definieras i direktiv 95/46. Den anser dels att detta
begrepp skall förstås så, att det avser en handling som innebär en avsiktlig överföring av personuppgifter från en medlemsstats
territorium till ett tredje land, dels att ingen åtskillnad kan göras mellan de olika former i vilka uppgifterna görs åtkomliga
för utomstående. Av detta har regeringen i fråga dragit slutsatsen att det inte kan anses utgöra en överföring till tredje
land av personuppgifter i den mening som avses i artikel 25 i direktiv 95/46 att med hjälp av en dator lägga ut personuppgifter
på en webbsida.
Förenade kungarikets regering har gjort gällande att artikel 25 i direktiv 95/46 avser överföring av uppgifter till tredje
land och inte uppgifternas åtkomlighet från tredje land. Begreppet överföring förutsätter att en uppgift har överförts av
en person som befinner sig på en bestämd plats till en person som befinner sig på en annan plats. Det är endast beträffande
sådana överföringar som medlemsstaterna enligt artikel 25 i direktiv 95/46 är skyldiga att tillse att skyddsnivån för personuppgifter
är adekvat i ett tredje land.
Domstolens svar
Varken i artikel 25 i direktiv 95/46 eller i någon annan bestämmelse i direktivet i fråga, särskilt inte i artikel 2 i detta,
definieras begreppet överföring till tredje land.
För att avgöra huruvida det utgör en ”överföring” av personuppgifter till tredje land, i den mening som avses i artikel 25
i direktiv 95/46, att lägga ut personuppgifter på en webbsida redan av den anledningen att detta gör uppgifterna åtkomliga
för personer som befinner sig i tredje land är det nödvändigt att beakta dels de sålunda vidtagna åtgärdernas tekniska natur,
dels syftet med och systematiken i kapitel IV i det nämnda direktivet, där artikel 25 återfinns.
De uppgifter som finns på Internet kan nästan när som helst läsas av ett obestämt antal personer vilka befinner sig på en
mängd olika ställen. Att dessa uppgifter är allmänt tillgängliga följer bland annat av det förhållandet att de tekniska hjälpmedel
som används inom ramen för Internet är relativt enkla och blir billigare och billigare.
Förutsättningarna för att använda Internet, såsom de har kommit att gestalta sig  för enskilda som Bodil Lindqvist under 1990-talet,
innebär att den som upprättar en sida som skall läggas ut på Internet överför de uppgifter som denna sida består i till sin
webbhotelleverantör. Denne förfogar över den IT-infrastruktur som krävs för lagring av dessa uppgifter och anslutning till
Internet av den server som hyser webbplatsen. Detta möjliggör att dessa uppgifter senare kan överföras till alla som har kopplat
upp sig på Internet och önskar att få del av dem. De datorer som utgör denna IT-infrastruktur kan ligga i ett eller flera
andra länder än det där webbhotelleverantören är etablerad, och gör det till och med ofta, utan att denna leverantörs kunder
känner till detta eller rimligen kan känna till det.
Av handlingarna i målet framgår att en Internetanvändare inte bara måste koppla upp sig på Internet för att få del av de uppgifter
som fanns på de webbsidor där Bodil Lindqvist hade lagt ut uppgifter om sina arbetskamrater. För att kunna få del av dem måste
han även personligen vidta de åtgärder som krävdes för att kunna läsa dessa sidor. Med andra ord innehöll Bodil Lindqvists
webbsidor inte de tekniska mekanismer som skulle ha gjort det möjligt att automatiskt skicka dessa uppgifter till personer
som inte avsiktligen hade försökt få tillgång till dessa sidor.
Härav följer att personuppgifter, som under sådana omständigheter som dem i  målet vid den nationella domstolen kommer till
en dator som tillhör en person som befinner sig i ett tredje land, från en person som har lagt upp dem på en webbplats, inte
har överförts direkt mellan två personer, utan genom IT-infrastrukturen hos den webbhotelleverantör där sidan är lagrad.
Det är mot denna bakgrund som domstolen skall pröva huruvida gemenskapslagstiftaren hade avsikten att beträffande tillämpningen
av kapitel IV i direktiv 95/46 låta begreppet ”[ö]verföring av ...uppgifter till tredje land”, i den mening som avses i artikel
25 i detta direktiv, omfatta sådana åtgärder som dem som Bodil Lindqvist har vidtagit. Det bör understrykas att den hänskjutande
domstolens femte fråga endast avser dessa åtgärder, och inte de åtgärder som vidtas av webbhotelleverantören.
Genom kapitel IV i direktiv 95/46, vari artikel 25 ingår, införs en särreglering, som innehåller särskilda bestämmelser vilka
syftar till att säkerställa att medlemsstaterna har kontroll över överföringen av personuppgifter till tredje land. Genom
detta kapitel införs ett system som utgör ett komplement till det allmänna system som införts genom kapitel II i det nämnda
direktivet, vilket kapitel avser frågan när personuppgifter får behandlas.
Syftet med kapitel IV anges i femtiosjätte till sextionde skälen i direktiv 95/46, vari bland annat anges att det skydd som
genom detta direktiv tillförsäkras personer inom gemenskapen visserligen inte hindrar att personuppgifter överförs till sådana
tredje länder som garanterar en adekvat skyddsnivå, men att skyddsnivåns adekvans skall bedömas med hänsyn till alla de omständigheter
som har samband med en överföring eller en grupp av överföringar. Om ett tredje land inte garanterar en adekvat skyddsnivå
skall överföring av personuppgifter till det landet förbjudas.
I artikel 25 i direktiv 95/46 uppställs en rad skyldigheter för medlemsstaterna och kommissionen vilka syftar till kontroll
av överföringen av personuppgifter till tredje länder med beaktande av den skyddsnivå som sådana uppgifter ges i vart och
ett av dessa länder.
I artikel 25.4 i direktiv 95/46 föreskrivs närmare bestämt att medlemsstaterna, när kommissionen finner att ett tredje land
inte erbjuder en adekvat skyddsnivå, skall vidta de åtgärder som är nödvändiga för att hindra all överföring av personuppgifter
till ifrågavarande tredje land.
Kapitel IV i direktiv 95/46 innehåller inga bestämmelser om Internetanvändning. I detta kapitel anges inte vilka kriterierna
är för att avgöra huruvida man vid bedömningen av de åtgärder som vidtas av en mellanhand som tillhandahåller webbhotelltjänster
skall grunda sig på den plats där webbhotelleverantören är etablerad, den ort där företaget har sitt säte eller den ort där
de datorer befinner sig vilka utgör leverantörens IT-infrastruktur.
Med hänsyn dels till det stadium på vilket Internets utveckling befann sig när direktiv 95/46 utarbetades, dels till att det
i kapitel IV i direktivet inte återfinns några kriterier som är tillämpliga på Internetanvändning, kan det inte presumeras
att gemenskapslagstiftaren hade för avsikt att med tanke på framtiden låta utläggning av uppgifter på en webbsida av en person
i Bodil Lindqvists situation omfattas av begreppet ”överföring av … uppgifter till tredje land”, även om dessa uppgifter härigenom
blir åtkomliga för de personer i tredje land som har tekniska möjligheter att få tillgång till sidan.
Om artikel 25 i direktiv 95/46 tolkades på så sätt att det förelåg en ”överföring av ...uppgifter till tredje land” varje
gång personuppgifter lades ut på en webbsida skulle denna överföring med nödvändighet vara en överföring till alla tredje
länder där det fanns de tekniska medel som krävs för att få tillgång till Internet. Särregleringen i kapitel IV i det nämnda
direktivet skulle då med nödvändighet, vad gäller åtgärder som vidtas på Internet, bli en generellt tillämplig ordning. Om
kommissionen med tillämpning av artikel 25.4 i direktiv 95/46 konstaterade att det fanns ett enda tredje land som inte säkerställde
en adekvat skyddsnivå skulle medlemsstaterna nämligen enligt en sådan tolkning vara skyldiga att hindra att personuppgifter
över huvud taget lades ut på Internet.
Vid sådant förhållande skall artikel 25 i direktiv 95/46 tolkas så, att sådana åtgärder som dem som Bodil Lindqvist har vidtagit
inte i sig utgör en ”överföring av ...uppgifter till tredje land”. Det är således inte nödvändigt att utreda huruvida en person
från ett tredje land har haft tillgång till den berörda webbsidan eller huruvida webbhotelleverantörens server rent fysiskt
befinner sig i ett tredje land.
Den femte frågan skall således besvaras så, att det inte föreligger någon ”överföring av ... uppgifter till tredje land” i
den mening som avses i artikel 25 i direktiv 95/46 när en person som befinner sig i en medlemsstat lägger ut personuppgifter
på en webbsida som är lagrad hos hans webbhotelleverantör, som är etablerad i samma medlemsstat eller i en annan medlemsstat,
varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land.
Den sjätte frågan
Den hänskjutande domstolen har ställt den sjätte frågan för att få klarhet i huruvida bestämmelserna i direktiv 95/46, i ett
fall som det som är aktuellt i det mål som är anhängigt vid den, kan anses medföra en begränsning som står i strid med den
allmänna principen om yttrandefrihet eller med andra fri- och rättigheter som gäller inom Europeiska unionen och som har en
motsvarighet i bland annat den rättighet som föreskrivs i artikel 10 i Europakonventionen.
Yttranden som har inkommit till domstolen
Bodil Lindqvist har hänvisat bland annat till dom av den 6 mars 2001 i mål C‑274/99 P, Connolly mot kommissionen (REG 2001,
s. I-1611), och gjort gällande att direktiv 95/46 och PUL strider mot den i gemenskapsrätten erkända allmänna principen om
yttrandefrihet, i den del det i dem föreskrivs krav på föregående samtycke och på förhandsanmälan till en tillsynsmyndighet
och en princip om förbud mot behandling av känsliga personuppgifter. Närmare bestämt har hon hävdat att definitionen av ”behandling
av personuppgifter som helt eller delvis företas på automatisk väg” inte uppfyller förutsebarhetskriteriet eller precisionskriteriet.
Därutöver kan enligt Bodil Lindqvists mening själva omnämnandet av en fysisk person och dennes namn, telefonnummer och arbetsförhållanden
samt lämnandet av sådana uppgifter som rör vederbörandes hälsa och fritidsintressen, som är allmänt tillgängliga, allmänt
kända eller triviala inte anses utgöra en substantiell kränkning av rätten till skydd för privatlivet. Hon anser att de krav
som uppställs i direktiv 95/46 i vart fall inte står i proportion till det eftersträvade syftet att skydda annans goda namn
och rykte och privatliv.
Den svenska regeringen anser att det är tillåtet enligt direktiv 95/46 att göra en avvägning mellan de ifrågavarande intressena
genom vilken yttrandefriheten och skyddet av privatlivet kan upprätthållas. Den har tillagt att bedömningen av om den inskränkning
i yttrandefriheten som tillämpningen av bestämmelserna om skyddet för annans rättigheter kan innebära står i proportion till
detta skydd endast kan göras av den nationella domstolen med beaktande av omständigheterna i det enskilda fallet.
Den nederländska regeringen har erinrat om att såväl yttrandefriheten som rätten till respekt för privatlivet ingår bland
de allmänna rättsprinciper som domstolen skall tillse efterlevnaden av och att det inte i Europakonventionen görs någon rangordning
mellan de olika grundläggande rättigheterna. Regeringen i fråga anser följaktligen att den nationella domstolen måste bemöda
sig om att sammanjämka de olika aktuella grundläggande rättigheterna med varandra med beaktande av omständigheterna i det
enskilda fallet.
Förenade kungarikets regering har noterat att dess förslag till svar på den femte frågan, för vilket domstolen har redogjort
i punkt 55 i förevarande dom, till fullo är förenligt med de grundläggande rättigheterna och gör det möjligt att förhindra
att yttrandefriheten åsidosätts på ett sätt som strider mot proportionalitetsprincipen. Regeringen i fråga har tillagt att
det är svårt att motivera en tolkning som skulle innebära att offentliggörande av personuppgifter i en viss form, det vill
säga på en webbsida, blir föremål för mycket strängare restriktioner än dem som gäller för offentliggörande som sker i annan
form, exempelvis på papper.
Kommissionen har även hävdat att direktiv 95/46 inte medför någon inskränkning som strider mot den allmänna principen om yttrandefrihet
eller mot andra rättigheter och friheter som är tillämpliga inom Europeiska unionen och som bland annat motsvarar den rättighet
som föreskrivs i artikel 10 Europakonventionen.
Domstolens svar
Av skäl 7 i direktiv 95/46 följer att skillnaderna mellan de nationella lagar och andra författningar som är tillämpliga på
behandling av personuppgifter kan inverka allvarligt på upprättandet av den inre marknaden och det sätt på vilket denna fungerar.
Enligt skäl 3 i samma direktiv skall ändamålet för harmoniseringen av dessa nationella bestämmelser inte bara vara ett fritt
flöde av dessa uppgifter mellan medlemsstaterna, utan även att skydda personers grundläggande rättigheter. Dessa målsättningar
kan givetvis komma i konflikt med varandra.
Å ena sidan kommer den ekonomiska och sociala integration som är en följd av upprättandet av den inre marknaden och hur denna
fungerar med nödvändighet att leda till en betydande ökning av flödet av personuppgifter mellan samtliga aktörer på de ekonomiska
och samhälleliga områdena i medlemsstaterna, oavsett om det är fråga om företag eller medlemsstaternas myndigheter. De nämnda
aktörerna behöver i viss mån ha tillgång till personuppgifter för att genomföra sina transaktioner eller för att utföra sina
arbetsuppgifter inom det område utan inre gränser som den inre marknaden innebär.
Å andra sidan begär de personer som berörs av behandlingen av personuppgifter med rätta att dessa uppgifter skall skyddas
effektivt.
De mekanismer som gör det möjligt att göra en avvägning mellan dessa olika rättigheter och intressen återfinns för det första
i direktiv 95/46 självt, då det i direktivet föreskrivs regler som avgör i vilka situationer och i vilken utsträckning det
är tillåtet att behandla personuppgifter och vilket skydd som skall föreskrivas, och har för det andra uppkommit genom att
medlemsstaterna har antagit nationella bestämmelser varigenom detta direktiv har införlivats och genom de nationella myndigheternas
eventuella tillämpning av dessa regler.
Vad beträffar direktiv 95/46 är bestämmelserna i detsamma med nödvändighet relativt allmänna, med hänsyn till att de skall
tillämpas på ett stort antal mycket olikartade situationer. I motsats till vad Bodil Lindqvist har anfört är det således med
rätta som detta direktiv innehåller regler som karaktäriseras av en viss flexibilitet och som det i direktivet i fråga i många
fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland olika alternativ.
Det är riktigt att medlemsstaterna i många avseenden har ett handlingsutrymme vid införlivandet av direktiv 95/46. Det finns
dock ingenting som innebär att regleringen i detta direktiv kan anses brista i förutsebarhet eller att bestämmelserna som
sådana kan anses strida mot de allmänna gemenskapsrättsliga principerna, och då bland annat de grundläggande rättigheter som
skyddas genom gemenskapens rättsordning.
Det är således  snarare på det stadium när de bestämmelser genom vilka  direktiv 95/46 har införlivats tillämpas i enskilda
fall på det nationella planet som man måste nå fram till en korrekt jämvikt mellan de rättigheter och intressen som är i fråga.
I detta sammanhang har de grundläggande rättigheterna en särskild betydelse, såsom visas av målet vid den nationella domstolen,
där det sammanfattningsvis måste göras en avvägning mellan å ena sidan Bodil Lindqvists yttrandefrihet i sitt arbete som handledare
för konfirmander samt friheten att utöva verksamhet som bidrar till det religiösa livet, och å andra sidan skyddet av privatlivet
för de personer om vilka Bodil Lindqvist har lagt ut uppgifter på sin webbplats.
Följaktligen ankommer det på myndigheterna och domstolarna i medlemsstaten inte bara att tolka sin nationella rätt på ett
sätt som står i överensstämmelse med direktiv 95/46, utan även att se till att de inte grundar sig på en tolkning av detta
direktiv som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsordning eller med andra
allmänna gemenskapsrättsliga principer, såsom proportionalitetsprincipen.
Visserligen kräver skyddet för privatlivet att effektiva sanktionsåtgärder vidtas gentemot personer som behandlar personuppgifter
på ett sätt som inte överensstämmer med direktiv 95/46, men sådana sanktionsåtgärder måste alltid stå i överensstämmelse med
proportionalitetsprincipen. Detta gäller i än högre grad eftersom tillämpningsområdet för direktiv 95/46 är mycket vidsträckt
och skyldigheterna för personer som behandlar personuppgifter är många och betydande.
I enlighet med proportionalitetsprincipen ankommer det på den hänskjutande domstolen att beakta alla omständigheterna i det
mål som är anhängigt vid den, bland annat under hur lång tid överträdelsen av de regler genom vilka direktiv 95/46 har genomförts
har pågått samt hur viktigt det är för de berörda att de uppgifter som har spritts skyddas.
Den sjätte frågan skall således besvaras så, att bestämmelserna i direktiv 95/46 inte i sig utgör en begränsning som står
i strid med den allmänna principen om yttrandefrihet eller andra fri- och rättigheter som gäller inom Europeiska unionen och
som har en motsvarighet i bland annat artikel 10 Europakonventionen. Det ankommer på de nationella myndigheter och domstolar
som skall tillämpa de nationella bestämmelser genom vilka direktiv 95/46 har införlivats att se till att det uppnås en korrekt
jämvikt mellan de rättigheter och intressen som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens
rättsordning.
Den sjunde frågan
Den hänskjutande domstolen har ställt den sjunde frågan för att få klarhet i huruvida medlemsstaterna får föreskriva ett mer
långtgående skydd för personuppgifter eller ett mer vidsträckt tillämpningsområde än vad som följer av direktiv 95/46.
Yttranden som har inkommit till domstolen
Den svenska regeringen har hävdat att det i direktiv 95/46 inte endast föreskrivs minimikrav på skydd av personuppgifter.
Inom ramen för införlivande av detta direktiv är medlemsstaterna skyldiga att uppnå den skyddsnivå som föreskrivs i direktivet
och får inte föreskriva ett mer långtgående eller ett svagare skydd. Det handlingsutrymme som medlemsstaterna vid det nämnda
införlivandet har för att i sin nationella rätt ange de allmänna villkoren för att få behandla personuppgifter skall dock
beaktas.
Den nederländska regeringen har gjort gällande att direktiv 95/46 inte utgör hinder för att medlemsstaterna föreskriver ett
mer långtgående skydd på vissa områden. Exempelvis följer det av artiklarna 10, 11.1, 14 första stycket a, 17.3, 18.5 och
19.1 i det nämnda direktivet att medlemsstaterna kan föreskriva ett mer långtgående skydd. Därutöver är medlemsstaterna fria
att tillämpa principerna i direktiv 95/46 även på verksamhet som inte ingår i direktivets tillämpningsområde.
Kommissionen har gjort gällande att direktiv 95/46 har artikel 100a i fördraget som grund och att en medlemsstat, som önskar
bibehålla eller införa lagstiftning som avviker från ett sådant harmoniseringsdirektiv, är skyldig att i enlighet med artikel
95.4 EG eller artikel 95.5 EG anmäla detta till kommissionen. Kommissionen har följaktligen hävdat att en medlemsstat inte
kan föreskriva ett mer långtgående skydd för personuppgifter eller ett mer vidsträckt tillämpningsområde än vad som följer
av det nämnda direktivet.
Domstolens svar
Såsom följer av bland annat  skäl 8 i direktiv 95/46 syftar direktivet i fråga till att göra skyddsnivån när det gäller personers
fri- och rättigheter med avseende på behandlingen av personuppgifter likvärdig i alla medlemsstater. I skäl 10 tilläggs att
tillnärmningen av de nationella lagstiftningar som är tillämpliga på området inte får medföra någon inskränkning i det skydd
de ger, utan i stället  skall syfta till att garantera en hög skyddsnivå inom gemenskapen.
Harmoniseringen av de nämnda nationella lagstiftningarna inskränker sig således inte till en minimiharmonisering, utan leder
till en i princip fullständig harmonisering. Det är i detta perspektiv som man skall se direktiv 95/46, som syftar till att
säkerställa det fria flödet av personuppgifter och att samtidigt garantera en hög skyddsnivå för rättigheter och intressen
för de personer som dessa uppgifter avser.
Det är riktigt att medlemsstaterna i direktiv 95/46 tillerkänns ett handlingsutrymme på vissa områden och att de, enligt direktivet,
får bibehålla eller införa särregleringar för specifika situationer. Ett stort antal av bestämmelserna i direktivet vittnar
om detta. Sådana möjligheter skall dock utnyttjas på det sätt som föreskrivs i direktiv 95/46 och i enlighet med syftet med
detta direktiv, nämligen att upprätthålla en jämvikt mellan det fria flödet av personuppgifter och skyddet för privatlivet.
Däremot finns det ingenting som hindrar att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom bestämmelserna
i direktiv 95/46 har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde, såvida ingen annan
gemenskapsrättslig bestämmelse utgör hinder för detta.
Mot bakgrund av ovanstående skall den sjunde frågan besvaras så, att de åtgärder som medlemsstaterna vidtar för att säkerställa
skyddet av personuppgifter skall stå i överensstämmelse med såväl bestämmelserna i direktiv 95/46 som med dess målsättning
att upprätthålla en jämvikt mellan det fria flödet av personuppgifter och skyddet för privatlivet. Däremot är det ingenting
som hindrar att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom bestämmelserna i direktiv 95/46
har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde, såvida ingen annan gemenskapsrättslig
bestämmelse utgör hinder för detta.
Rättegångskostnader
De kostnader som har förorsakats den svenska och den nederländska regeringen, Förenade kungarikets regering samt kommissionen
och Eftas övervakningsmyndighet, vilka har inkommit med yttranden till domstolen, är inte ersättningsgilla. Eftersom förfarandet
i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på
den nationella domstolen att besluta om rättegångskostnaderna.
På dessa grunder beslutar
DOMSTOLEN
– angående de frågor som genom beslut av den 23 februari 2001 har ställts av Göta hovrätt – följande dom:
1)
Omnämnandet av olika personer – vilka identifieras med namn eller på annat sätt, till exempel med telefonnummer eller med
uppgifter om  arbetsförhållanden och fritidsintressen – på en webbsida utgör en ”behandling av personuppgifter som helt eller
delvis företas på automatisk väg”, i den mening som avses i artikel 3.1 i Europaparlamentets och rådets direktiv 95/46/EG
av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet
av sådana uppgifter.
2)
Sådan behandling av personuppgifter omfattas inte av något av de undantag som nämns i artikel 3.2 i direktiv 95/46.
3)
En uppgift om att en person har skadat sin fot och är deltidssjukskriven utgör en personuppgift om hälsa, i den mening som
avses i artikel 8.1 i direktiv 95/46.
4)
Det föreligger inte någon ”överföring av ... uppgifter till tredje land” i den mening som avses i artikel 25 i direktiv 95/46
när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en webbsida som är lagrad hos en fysisk eller
juridisk person som hyser den webbplats där sidan kan läsas och som är etablerad i samma medlemsstat eller i en annan medlemsstat,
varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land.
5)
Bestämmelserna i direktiv 95/46 utgör inte i sig en begränsning som står i strid med den allmänna principen om yttrandefrihet
eller andra fri- och rättigheter som gäller inom Europeiska unionen och som har en motsvarighet i bland annat artikel 10 i
Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom
den 4 november 1950. Det ankommer på de nationella myndigheter och domstolar som skall tillämpa de nationella bestämmelser
genom vilka direktiv 95/46 har införlivats att se till att det uppnås en korrekt jämvikt mellan de rättigheter och intressen
som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens rättsordning.
6)
De åtgärder som medlemsstaterna vidtar för att säkerställa skyddet av personuppgifter skall stå i överensstämmelse med såväl
bestämmelserna i direktiv 95/46 som med dess målsättning att upprätthålla en balans mellan det fria flödet av personuppgifter
och skyddet för privatlivet. Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den nationella lagstiftning
varigenom bestämmelserna i direktiv 95/46 har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde,
såvida ingen annan gemenskapsrättslig bestämmelse utgör hinder för detta.
Jann
Timmermans
Gulmann
Cunha Rodrigues
Rosas
Edward
Puissochet
Macken
von Bahr
Avkunnad vid offentligt sammanträde i Luxemburg den 6 november 2003.
R. Grass
V. Skouris
Justitiesekreterare
Ordförande
–
Rättegångsspråk: svenska.