CELEX: 62001CJ0101
Direktiv 95/46/EF
anvendelsesområde
offentliggørelse af personoplysninger på internettet
offentliggørelsessted
begrebet videregivelse af personoplysninger til tredjelande
ytringsfrihed
spørgsmålet, om en mere vidtgående beskyttelse af personoplysninger i en medlemsstats nationale lovgivning er forenelig med direktiv 95/46

Ved kendelse af 23. februar 2001, indgået til Domstolen den 1. marts 2001, har Göta hovrätt i medfør af artikel 234 EF forelagt
syv præjudicielle spørgsmål, navnlig vedrørende fortolkningen af Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober
1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne
oplysninger (EFT L 281, s. 31).
Spørgsmålene er blevet rejst i forbindelse med en straffesag for nævnte ret mod B. Lindqvist, der er tiltalt for at have overtrådt
den svenske lovgivning om beskyttelse af personoplysninger, idet hun på sin hjemmeside på internettet har offentliggjort personoplysninger
vedrørende en række personer, der ligesom hun arbejder som frivillige i en protestantisk sognekirke i Sverige.
Retsforskrifter
Fællesskabsretlige bestemmelser
Det fremgår af artikel 1, stk. 1, i direktiv 95/46, at det har til formål at beskytte fysiske personers grundlæggende rettigheder
og frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
Artikel 3 i direktiv 95/46, der vedrører direktivets anvendelsesområde, bestemmer:
»1. Dette direktivs bestemmelser anvendes på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af
edb, samt på ikke-elektronisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
2. Dette direktiv gælder ikke for sådan behandling af personoplysninger,
–
som iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter,
der er fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og under ingen omstændigheder for behandling, der vedrører
den offentlige sikkerhed, forsvar, statens sikkerhed (herunder statens økonomiske interesser, når behandlingen er forbundet
med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter på det strafferetlige område
–
som foretages af en fysisk person med henblik på udøvelse af rent personlige eller familiemæssige aktiviteter.«
Artikel 8 i direktiv 95/46 med overskriften »Behandlinger, der vedrører særlige kategorier af oplysninger«, bestemmer:
»1. Medlemsstaterne forbyder behandling af personoplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller
filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold og oplysninger om helbredsforhold og seksuelle forhold.
2. Stk. 1 finder ikke anvendelse, hvis
a)
den registrerede udtrykkeligt har givet sit samtykke til en sådan behandling, medmindre det i medlemsstatens lovgivning fastsættes,
at det i stk. 1 omhandlede forbud ikke kan hæves ved den registreredes samtykke, eller
b)
behandlingen er nødvendig for overholdelsen af den registeransvarliges arbejdsretlige forpligtelser og specifikke rettigheder,
for så vidt den er tilladt ifølge nationale lovbestemmelser, som fastsætter de fornødne garantier, eller
c)
behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den
pågældende ikke fysisk eller juridisk er i stand til at give sit samtykke, eller
d)
behandlingen foretages af en stiftelse, en forening eller et andet almennyttigt organ, hvis sigte er af politisk, filosofisk,
religiøs eller faglig art, som led i organets legitime aktiviteter og med de fornødne garantier, på betingelse af, at behandlingen
alene vedrører organets medlemmer eller personer, der på grund af organets formål er i regelmæssig kontakt hermed, og at oplysningerne
ikke videregives til tredjemand uden den registreredes samtykke, eller
e)
behandlingen vedrører oplysninger, som klart offentliggøres af den registrerede, eller er nødvendig for, at et retskrav kan
fastlægges, gøres gældende eller forsvares.
3. Stk. 1 finder ikke anvendelse, hvis behandlingen af oplysningerne er nødvendig med henblik på forebyggende medicin, medicinsk
diagnose, sygepleje eller patientbehandling eller forvaltning af læge- og sundhedstjenester, og hvis behandlingen af disse
oplysninger foretages af en erhvervsudøvende i sundhedssektoren, der i henhold til den nationale lovgivning eller til regler,
der er fastsat af kompetente nationale organer, har tavshedspligt, eller af en anden person med tilsvarende tavshedspligt.
4. Med forbehold af, at der gives tilstrækkelige garantier, kan medlemsstaterne af grunde, der vedrører hensynet til vigtige
samfundsmæssige interesser, fastsætte andre undtagelser end dem, der er nævnt i stk. 2, enten ved national lovgivning eller
ved en afgørelse truffet af tilsynsmyndigheden.
5. Behandling af oplysninger om lovovertrædelser, straffedomme eller sikkerhedsforanstaltninger må kun foretages under kontrol
af en offentlig myndighed, eller hvis der gælder tilstrækkelige, specifikke garantier i medfør af den nationale lovgivning
med forbehold af de undtagelser, som medlemsstaten kan fastsætte på grundlag af nationale lovbestemmelser, hvorefter der gives
tilstrækkelige, specifikke garantier. Et fuldstændigt register over straffedomme må dog kun føres under kontrol af en offentlig
myndighed.
Medlemsstaterne kan fastsætte bestemmelser om, at behandling af oplysninger vedrørende administrative sanktioner eller civile
retssager ligeledes skal foretages under en offentlig myndigheds kontrol.
6. Undtagelser fra stk. 1 som omhandlet i stk. 4 og 5 meddeles til Kommissionen.
7. Medlemsstaterne bestemmer, på hvilke betingelser et nationalt identifikationsnummer eller andre almene midler til identifikation
kan gøres til genstand for behandling.«
Artikel 9 i direktiv 95/46 med overskriften »Behandling af personoplysninger og ytringsfriheden« bestemmer:
»Medlemsstaterne fastsætter i forbindelse med behandling af personoplysninger, der udelukkende finder sted i journalistisk
øjemed eller med henblik på kunstnerisk eller litterær virksomhed, kun fritagelser eller undtagelser fra bestemmelserne i
dette kapitel og i kapitel IV og VI, for så vidt som de er nødvendige for at forene retten til privatlivets fred med reglerne
for ytringsfrihed.«
Artikel 13 i direktiv 95/46 med overskriften »Undtagelser og begrænsninger« bestemmer, at medlemsstaterne kan indføre begrænsninger
af visse forpligtelser, der påhviler den registeransvarlige i henhold til direktivet, bl.a. vedrørende oplysninger til berørte
personer, for så vidt som nævnte begrænsninger er nødvendige af hensyn til f.eks. statens sikkerhed, forsvaret, den offentlige
sikkerhed, væsentlige økonomiske eller finansielle interesser hos en medlemsstat eller Den Europæiske Union, samt efterforskning
og retsforfølgning i straffesager eller i forbindelse med brud på etiske regler for lovregulerede erhverv.
Artikel 25 i direktiv 95/46, der er indeholdt i kapitel IV med overskriften »Videregivelse af personoplysninger til tredjelande«,
er affattet således:
»1. Medlemsstaterne fastsætter bestemmelser om, at videregivelse til et tredjeland af personoplysninger, der gøres til genstand
for behandling, eller som skal gøres til genstand for behandling efter videregivelsen, kun må finde sted, hvis det pågældende
tredjeland sikrer et tilstrækkeligt beskyttelsesniveau, og forudsat at de nationale bestemmelser, der vedtages til gennemførelse
af direktivets øvrige bestemmelser, overholdes.
2. Vurderingen af, om beskyttelsesniveauet i et tredjeland er tilstrækkeligt, sker på grundlag af samtlige de forhold, der
har indflydelse på en videregivelse eller en type videregivelse af oplysninger; til grund for vurderingen lægges navnlig oplysningernes
art, den eller de påtænkte behandlingers formål og varighed, oprindelseslandet og det endelige bestemmelsesland, de retsregler
– almindelige regler eller sektorregler – der er i kraft i det pågældende tredjeland, samt de regler for god forretningsskik
og de sikkerhedsforanstaltninger, der gælder i landet.
3. Medlemsstaterne og Kommissionen underretter gensidigt hinanden, hvis de mener, at et tredjeland ikke sikrer et tilstrækkeligt
beskyttelsesniveau i overensstemmelse med stk. 2.
4. Konstaterer Kommissionen efter proceduren i artikel 31, stk. 2, at et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau
i overensstemmelse med denne artikels stk. 2, træffer medlemsstaterne de foranstaltninger, der er nødvendige for at hindre
enhver videregivelse af oplysninger af samme art til det pågældende tredjeland.
5. Kommissionen indleder på det rette tidspunkt forhandlinger med henblik på at afhjælpe den situation, der opstår som følge
af en konstatering efter stk. 4.
6. Kommissionen kan efter proceduren i artikel 31, stk. 2, fastslå, at et tredjeland sikrer et tilstrækkeligt beskyttelsesniveau
i overensstemmelse med denne artikels stk. 2, på grundlag af dets nationale lovgivning eller dets internationale forpligtelser
med henblik på at beskytte privatlivet og personers grundlæggende rettigheder og frihedsrettigheder, herunder de forpligtelser,
der er indgået efter de i stk. 5 nævnte forhandlinger.
Medlemsstaterne træffer de foranstaltninger, der er nødvendige for at efterkomme Kommissionens afgørelse.«
I forbindelse med vedtagelsen af direktiv 95/46 afgav Kongeriget Sverige en erklæring vedrørende dettes artikel 9, som blev
indført i Rådets mødeprotokol (Rådets dokument nr. 4649/95 af 2.2.1995), der lyder som følger:
»Kongeriget Sverige finder, at udtrykket kunstnerisk eller litterær virksomhed henviser til ytringsmåder snarere end til indholdet
af meddelelsen eller til dens kvalitet.«
Den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den
4. november 1950 (herefter »menneskerettighedskonventionen«) fastsætter i artikel 8 retten til respekt for privatliv og familieliv
og indeholder i artikel 10 bestemmelser om ytringsfrihed.
Nationale bestemmelser
Direktiv 95/46 er blevet gennemført i svensk ret ved Personuppgiftslag, SFS 1998, nr. 204 (den svenske lov om personoplysninger,
herefter »personuppgiftslagen«).
Tvisten i hovedsagen og de præjudicielle spørgsmål
Ved siden af sit arbejde som rengøringsassistent arbejdede B. Lindqvist med forberedelse af konfirmander i Alseda sogn (Sverige).
Hun deltog i et edb-kursus, hvor hun bl.a. skulle lave en hjemmeside på internettet. I slutningen af 1998 oprettede B. Lindqvist
hjemme hos sig selv og på sin egen computer hjemmesider på internettet for at gøre det let for menighedsmedlemmer, der forberedte
deres konfirmation, at indhente de oplysninger, som de kunne have brug for. På foranledning af administratoren af den svenske
kirkes hjemmeside på internettet blev der oprettet et link mellem disse hjemmesider og kirkens hjemmeside.
De omhandlede hjemmesider indeholdt oplysninger om B. Lindqvist og 18 af hendes kolleger i sognet, herunder deres fulde navn
og i andre tilfælde blot deres fornavne. B. Lindqvist beskrev desuden kollegernes arbejdsopgaver og fritidsvaner i en let
humoristisk sprogbrug. I flere tilfælde var også familieforhold, telefonnummer og andre oplysninger anført. Hun oplyste endvidere
om en kvindelig kollega, at hun havde beskadiget foden og var delvis sygemeldt.
B. Lindqvist havde ikke oplyst sine kolleger om eksistensen af disse hjemmesider, eller indhentet deres samtykke og indgav
heller ikke anmeldelse til Datainspektionen (offentligt organ, der beskytter elektronisk overførte oplysninger). Så snart
hun fik kendskab til, at nogle af kollegerne ikke brød sig om hendes tiltag, blev de pågældende hjemmesider fjernet.
Anklagemyndigheden rejste tiltale mod B. Lindqvist for overtrædelse af personuppgiftslagen og påstod hende dømt, idet hun
havde
–
behandlet personoplysninger elektronisk uden først at have indgivet skriftlig anmeldelse til Datainspektionen (personuppgiftslagens
§ 36)
–
behandlet følsomme personoplysninger, nemlig oplysninger vedrørende en skadet fod og delvis sygemelding, uden tilladelse hertil
(personuppgiftslagens § 13)
–
videregivet personoplysninger, som blev behandlet uden tilladelse, til et tredjeland (personuppgiftslagens § 33).
B. Lindqvist vedstod de faktiske omstændigheder, men bestred at have begået en strafbar overtrædelse. Eksjö tingsrätt (Sverige)
idømte B. Lindqvist en bøde. Hun ankede afgørelsen til den forelæggende ret.
Bøden blev fastsat til 4 000 SEK, som fremkom ved at multiplicere 100 SEK, der blev beregnet ud fra B. Lindqvists økonomiske
situation, med en faktor på 40, som repræsenterede overtrædelsens grovhed. B. Lindqvist blev desuden dømt til at betale 300
SEK til en svensk fond, der har til formål at hjælpe ofre for forbrydelser.
Da Göta hovrätt var i tvivl om fortolkningen af de fællesskabsretlige bestemmelser, der finder anvendelse på området, navnlig
direktiv 95/46, har den udsat sagen og forelagt Domstolen følgende præjudicielle spørgsmål:
»1)
Udgør omtale af en person – med navn eller med navn og telefonnummer – på en såkaldt hjemmeside på internettet en handling,
der falder ind under anvendelsesområdet for direktiv [95/46]? Udgør det en »behandling af personoplysninger, der helt eller
delvis foretages ved hjælp af edb«, at der på en egenhændigt oprettet hjemmeside på internettet anføres et antal personer
tillige med udsagn og påstande om disse personers arbejdsforhold og fritidsinteresser mv.?
2)
Besvares spørgsmål 1 benægtende, kan det forhold, at der på en hjemmeside på internettet oprettes særlige sider for omkring
femten personer med links mellem siderne, der gør det muligt at søge på fornavn, da anses for at udgøre en sådan »ikke-elektronisk
behandling af personoplysninger, der er eller vil blive indeholdt i et register«, som omhandlet i artikel 3, stk. 1?
Besvares et eller begge af disse spørgsmål bekræftende, har hovrätten også følgende spørgsmål.
3)
Kan det forhold, at der lægges oplysninger af den omtalte art om kolleger ud på en privat hjemmeside, som er tilgængelig for
alle, der kender hjemmesidens adresse, anses for at falde uden for anvendelsesområdet for direktiv [95/46] på grund af en
af undtagelserne i artikel 3, stk. 2?
4)
Er oplysninger på en hjemmeside om, at en navngiven kollega har beskadiget sin fod og er delvis sygemeldt, sådanne personoplysninger
om helbredsforhold, som i henhold til artikel 8, stk. 1, ikke må gøres til genstand for behandling?
5)
Videregivelse af personoplysninger til et tredjeland er i henhold til direktiv [95/46] i visse tilfælde forbudt. Såfremt en
person i Sverige ved hjælp af en computer lægger personoplysninger ud på en hjemmeside, som er lagret på en server i Sverige
– hvorved personoplysningerne bliver tilgængelige for personer i et tredjeland – indebærer dette da en videregivelse af oplysninger
til et tredjeland i direktivets forstand? Er svaret det samme, hvis der, så vidt vides, ikke er nogen fra tredjelande, der
faktisk har indhentet oplysningerne, eller hvis den pågældende server rent fysisk befinder sig i et tredjeland?
6)
Kan bestemmelserne i direktiv [95/46] i en sag som den foreliggende anses for at medføre en begrænsning, der er i strid med
de almindelige principper om ytringsfrihed eller andre friheder og rettigheder, der er gældende inden for EU, og som svarer
til bl.a. artikel 10 i Europakonventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder?
Hovrätten har endelig følgende spørgsmål.
7)
Kan en medlemsstat – i de henseender, der er omtalt i de foregående spørgsmål – have en mere vidtgående beskyttelse af personoplysninger
eller et videre anvendelsesområde end det, det følger af direktiv [95/46], selv om der ikke foreligger nogen af de i artikel
13 opregnede forhold?«
Det første spørgsmål
Med sit første spørgsmål ønsker den forelæggende ret oplyst, om en operation, der består i på en internetside at henvise til
forskellige personer, og i at identificere dem ved navn eller på anden måde, f.eks. ved at oplyse deres telefonnummer eller
ved at give oplysninger om deres arbejdsforhold og fritidsinteresser, udgør en »behandling af personoplysninger, der helt
eller delvis foretages ved hjælp af edb« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 1, i direktiv 95/46.
Indlæg til Domstolen
Ifølge B. Lindqvist er det ikke rimeligt at antage, at den blotte omtale af en persons navn eller den blotte angivelse af
personoplysninger i en tekst på en internetside udgør en behandling af oplysninger ved hjælp af edb. Derimod kan omtalen af
sådanne oplysninger i et nøgleord i »meta tags« på en internetside, som gør det muligt at foretage en indeksering, og at finde
siden ved hjælp af en søgemaskine, udgøre en sådan behandling.
Den svenske regering har anført, at begrebet »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af
edb«, som omhandlet i artikel 3, stk. 1, i direktiv 95/46, omfatter enhver behandling i edb-format, dvs. i binært format.
Dette indebærer, at så snart en personoplysning behandles ved hjælp af en computer, enten i et tekstbehandlingsprogram eller
med henblik på at lægge oplysninger ud på en internetside, bliver den genstand for en behandling, der er omfattet af direktiv
95/46.
Den nederlandske regering har gjort gældende, at personoplysninger lægges ud på en internetside ved hjælp af en computer eller
en server, hvilket er et væsentligt kendetegn ved edb-behandling, således at de pågældende oplysninger må betragtes som værende
genstand for edb-behandling.
Kommissionen har gjort gældende, at direktiv 95/46 finder anvendelse på enhver behandling af personoplysninger, som omhandlet
i dets artikel 3, uanset hvilke tekniske midler, der anvendes. At lægge personoplysninger ud på internettet udgør derfor en
behandling, der helt eller delvis foretages ved hjælp af edb, såfremt der ikke foreligger tekniske begrænsninger, som bevirker,
at behandlingen udelukkende bliver manuel. En internetside henhører derfor efter sin art under anvendelsesområdet for direktiv
95/46.
Domstolens besvarelse
Begrebet »personoplysninger« i artikel 3, stk. 1, i direktiv 95/46 omfatter i overensstemmelse med definitionen i artikel
2, litra a), »enhver form for information om en identificeret eller identificerbar fysisk person«. Dette begreb omfatter uden
tvivl navnet på en person sammen med oplysninger om dennes telefonnummer, eller oplysninger vedrørende dennes arbejdsforhold
eller fritidsinteresser.
Begrebet »behandling« af sådanne oplysninger i artikel 3, stk. 1, i direktiv 95/46 omfatter i overensstemmelse med definitionen
i samme direktivs artikel 2, litra b),
»enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres
til genstand for«. I sidstnævnte bestemmelse anføres flere eksempler på sådanne operationer, herunder bl.a. videregivelse
ved transmission, formidling eller enhver anden form for overladelse af oplysninger. Det følger heraf, at en operation, der
består i at lægge personoplysninger ud på en internetside, skal anses for en sådan behandling.
Det skal herefter afgøres, om denne behandling »helt eller delvis foretages ved hjælp af edb«. Herved bemærkes, at en operation,
hvorved oplysninger lægges ud på en internetside, ifølge de for nærværende anvendte tekniske edb-procedurer indebærer, at
den pågældende side lægges ind på en server, samt udførelse af de operationer, der er nødvendige for at gøre denne siden tilgængelig
for personer, som har koblet sig på internettet. Disse operationer udføres i det mindste delvist ved hjælp af edb.
Det første spørgsmål skal derfor besvares med, at en operation, der består i på en internetside at henvise til forskellige
personer, og i at identificere dem ved navn eller på anden måde, f.eks. ved at oplyse deres telefonnummer eller ved at give
oplysninger om deres arbejdsforhold og fritidsinteresser, udgør en »behandling af personoplysninger, der helt eller delvis
foretages ved hjælp af edb« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 1, i direktiv 95/46.
Det andet spørgsmål
Da det første spørgsmål er blevet besvaret bekræftende, er det ufornødent at besvare det andet spørgsmål, der kun ønskes besvaret,
såfremt det første spørgsmål skal besvares benægtende.
Det tredje spørgsmål
Med sit tredje spørgsmål ønsker den nationale ret nærmere bestemt oplyst, om en behandling af personoplysninger som den, der
er omhandlet i det første spørgsmål, er omfattet af en af undtagelserne i artikel 3, stk. 2, i direktiv 95/46.
Indlæg til Domstolen
B. Lindqvist har gjort gældende, at borgere, som gør brug af deres ytringsfrihed og opretter internetsider i forbindelse med
virksomhed uden økonomisk gevinst for øje eller i forbindelse med deres fritidsinteresser, ikke driver økonomisk virksomhed
og dermed ikke er omfattet af fællesskabsretten. Såfremt Domstolen skulle nå frem til det modsatte resultat, kan der rejses
tvivl om gyldigheden af direktiv 95/46, idet fællesskabslovgiver med vedtagelsen heraf har overskredet sin kompetence i henhold
til EF-traktatens artikel 100 A (efter ændring nu artikel 95 EF). Tilnærmelsen af lovgivninger, hvis formål er det indre markeds
oprettelse og funktion, kan ikke tjene som retsgrundlag for fællesskabsretlige foranstaltninger, der regulerer borgeres ret
til ytringsfrihed på internettet.
Den svenske regering har gjort gældende, at i forbindelse med gennemførelsen af direktiv 95/46 i national ret, var den svenske
lovgiver af den opfattelse, at en fysisk persons behandling af personoplysninger, som består i at videregive disse oplysninger
til et ubestemt antal modtagere, f.eks. via internettet, ikke kunne kvalificeres som »rent personlige eller familiemæssige
aktiviteter« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 2, andet led, i direktiv 95/46. Regeringen har derimod
ikke udelukket, at undtagelsen i denne bestemmelses første led omfatter tilfælde, hvor en fysisk person offentliggør personlige
oplysninger på en internetside, når dette alene sker som led i udøvelsen af dennes ytringsfrihed og uden nogen forbindelse
med faglig eller kommerciel virksomhed.
Efter den nederlandske regerings opfattelse er edb-behandling af oplysninger, som omhandlet i hovedsagen, ikke omfattet af
nogen af undtagelserne i artikel 3, stk. 2, i direktiv 95/46. Hvad nærmere angår undtagelsen i bestemmelsens andet led har
regeringen anført, at den, som opretter en internetside, bringer de oplysninger, som lægges ud på en sådan side, til en i
princippet ubestemt persongruppes kendskab.
Kommissionen har gjort gældende, at en internetside som den, der er omhandlet i hovedsagen, ikke kan anses for at falde uden
for anvendelsesområdet for direktiv 95/46 i medfør af dettes artikel 3, stk. 2, men den udgør, henset til formålet med den
i hovedsagen omhandlede internetside, en kunstnerisk og litterær frembringelse i den forstand, hvori udtrykket er anvendt
i nævnte direktivs artikel 9.
Efter Kommissionens opfattelse kan artikel 3, stk. 2, første led, i direktiv 95/46 fortolkes på to forskellige måder. Efter
den ene fortolkning begrænses rækkevidden af bestemmelsen til de områder, der er nævnt som eksempler, dvs. de aktiviteter,
der i det væsentlige henhører under det, der er enighed om at kalde anden og tredje søjle. Efter den anden fortolkning udelukkes
udøvelsen af enhver form for aktivitet, der ikke er omfattet af fællesskabsretten, fra anvendelsesområdet for direktiv 95/46.
Kommissionen har hævdet, at fællesskabsretten ikke er begrænset til kun at omfatte økonomisk aktivitet, der er knyttet til
de fire grundlæggende friheder. Kommissionen har henvist til retsgrundlaget for direktiv 95/46, til dets formål, til artikel
6 EU, til Den Europæiske Unions charter om grundlæggende rettigheder, proklameret i Nice den 18. december 2000 (EFT C 364,
s. 1), og til Europarådets konvention af 28. januar 1981 om beskyttelse af det enkelte menneske i forbindelse med databehandling
af personoplysninger, og konkluderet, at direktivets formål er at regulere fri udveksling af personoplysninger ved udøvelsen
af ikke blot økonomisk aktivitet, men også ved udøvelsen af social aktivitet i forbindelse med det indre markeds oprettelse
og funktion.
Kommissionen har tilføjet, at en generel udelukkelse fra anvendelsesområdet for direktiv 95/46 af internetsider, der ikke
indeholder elementer vedrørende handel eller tjenesteydelser, vil kunne medføre alvorlige afgrænsningsproblemer. Et stort
antal internetsider, som indeholder personoplysninger, der har til formål at stigmatisere visse personer i særligt øjemed,
kunne således blive udelukket fra direktivets anvendelsesområde.
Domstolens besvarelse
I artikel 3, stk. 2, i direktiv 95/46 fastsættes to undtagelser fra direktivets anvendelsesområde.
Den første undtagelse vedrører behandling af personoplysninger, som iværksættes med henblik på udøvelse af aktiviteter, der
ikke er omfattet af fællesskabsretten, som f.eks. de aktiviteter, der er fastsat i afsnit V og VI i traktaten om Den Europæiske
Union, og under alle omstændigheder behandling, der vedrører den offentlige sikkerhed, forsvar, statens sikkerhed (herunder
statens økonomiske interesser, når behandlingen er forbundet med spørgsmål vedrørende statens sikkerhed) og statens aktiviteter
på det strafferetlige område.
Da B. Lindqvists aktiviteter i hovedsagen i det væsentlige er ikke-økonomiske, men frivillige og religiøse, bør det undersøges,
om de udgør en behandling af personoplysninger, som »iværksættes med henblik på udøvelse af aktiviteter, der ikke er omfattet
af fællesskabsretten« i den forstand, hvori udtrykket er anvendt i artikel 3, stk. 2, første led, i direktiv 95/46.
Domstolen har tidligere fastslået vedrørende direktiv 95/46, som er udstedt med hjemmel i traktatens artikel 100 A, at anvendelsen
af dette retsgrundlag ikke forudsætter, at der rent faktisk i enhver af de situationer, der er omfattet af den pågældende
retsakt, skal foreligge en tilknytning til den frie bevægelighed mellem medlemsstater (jf. dom af 20.5.2003, forenede sager
C-465/00, C-138/01 og C-139/01, Österreichischer Rundfunk m.fl., Sml. I, s. 4989, præmis 41 og den deri nævnte retspraksis).
Risikoen ved en fortolkning med modsat resultat ville være, at grænserne for nævnte direktivs anvendelsesområde ville blive
særdeles usikre og uberegnelige, hvilket ville være uforeneligt med direktivets grundlæggende formål, der er at foretage en
indbyrdes tilnærmelse af medlemsstaternes nationale love og administrative bestemmelser for at fjerne de hindringer for det
indre markeds funktion, der netop hidrører fra forskellene i de nationale lovgivninger (Österreichischer Rundfunk m.fl.-dommen,
præmis 42).
Under disse omstændigheder bør udtrykket »aktiviteter, der ikke er omfattet af fællesskabsretten« ikke fortolkes således,
at det har en sådan rækkevidde, at det i hvert enkelt tilfælde skal efterprøves, om den pågældende specifikke aktivitet direkte
påvirker den frie bevægelighed mellem medlemsstaterne.
De aktiviteter, der er nævnt som eksempler i artikel 3, stk. 2, første led, i direktiv 95/46 (dvs. de aktiviteter, der er
fastsat i afsnit V og VI i traktaten om Den Europæiske Union, og behandling, der vedrører den offentlige sikkerhed, forsvar,
statens sikkerhed og statens aktiviteter på det strafferetlige område), er under alle omstændigheder statens eller statslige
myndigheders aktiviteter og har ikke noget at gøre med området for den enkelte borgers aktiviteter.
Det må derfor antages, at de aktiviteter, der er nævnt som eksempler i artikel 3, stk. 2, første led, i direktiv 95/46, skal
fastlægge rækkevidden af de undtagelser, der er fastsat heri, således at denne undtagelse kun finder anvendelse på aktiviteter,
der er udtrykkeligt nævnt i bestemmelsen, eller som kan henføres til samme kategori (ejusdem generis).
Frivillige eller religiøse aktiviteter som dem, B. Lindqvist udøver, kan ikke ligestilles med de aktiviteter, der er nævnt
i artikel 3, stk. 2, første led, i direktiv 95/46, og er derfor ikke omfattet af denne undtagelse.
Hvad angår undtagelsen i artikel 3, stk. 2, andet led, i direktiv 95/46 nævnes i tolvte betragtning til direktivet vedrørende
denne undtagelse korrespondance og føring af en adressefortegnelse som eksempler på en fysisk persons behandling af oplysninger
som led i rent personlige eller familiemæssige aktiviteter.
Denne undtagelse skal derfor fortolkes således, at den udelukkende vedrører de aktiviteter, der indgår i den enkelte borgers
privatliv eller familieliv, hvilket åbenbart ikke er tilfældet med hensyn til behandling af personoplysninger, som består
i, at de offentliggøres på internettet, hvorved disse oplysninger bliver tilgængelige for et ubestemt antal personer.
Det tredje spørgsmål skal derfor besvares med, at en behandling af personoplysninger som den, der er nævnt i svaret på det
første spørgsmål, ikke er omfattet af nogen af undtagelserne i artikel 3, stk. 2, i direktiv 95/46.
Det fjerde spørgsmål
Med sit fjerde spørgsmål ønsker den forelæggende ret oplyst, hvorvidt angivelsen af den omstændighed, at en person har beskadiget
sin fod og er delvis sygemeldt, udgør en personoplysning om helbredsforhold i den forstand, hvori udtrykket er anvendt i artikel
8, stk. 1, i direktiv 95/46.
I betragtning af formålet med dette direktiv bør der anlægges en vid fortolkning af udtrykket i artikel 8, stk. 1, »oplysninger
om helbredsforhold«, således at det omfatter oplysninger vedrørende alle aspekter, såvel fysiske som psykiske, af en persons
helbred.
Det fjerde spørgsmål skal derfor besvares med, at angivelsen af den omstændighed, at en person har beskadiget sin fod og er
delvis sygemeldt, udgør en personoplysning om helbredsforhold i den forstand, hvori udtrykket er anvendt i artikel 8, stk. 1,
i direktiv 95/46.
Det femte spørgsmål
Med sit femte spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om der foreligger en »videregivelse til et tredjeland
af personoplysninger« i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, når en person, der befinder
sig i en medlemsstat, lægger personoplysninger ud på en internetside, der er lagret hos en fysisk eller juridisk person, som
er internetvært for det websted, hvor hjemmesiden kan konsulteres (herefter »udbyder af webhoteltjenester«), og som er etableret
i samme medlemsstat eller i en anden medlemsstat, hvorved personoplysningerne bliver tilgængelige for alle, der kobler sig
på internettet, herunder personer i et tredjeland. Den forelæggende ret ønsker endvidere oplyst, om svaret på dette spørgsmål
er det samme, hvis det fremgår, at ingen borger fra et tredjeland faktisk har fået kendskab til disse oplysninger, eller at
den server, hvor siden er lagret, rent fysisk befinder sig i et tredjeland.
Indlæg til Domstolen
Kommissionen og den svenske regering er af den opfattelse, at en operation bestående i at lægge personoplysninger ud på en
internetside ved hjælp af en computer, således at oplysningerne bliver tilgængelige for personer i tredjelande, udgør en videregivelse
til et tredjeland af oplysninger i direktiv 95/46’s forstand. Svaret er det samme, såfremt ingen borger fra et tredjeland
faktisk har fået kendskab til nævnte oplysninger, eller hvis den server, hvor oplysningerne er lagret, rent fysisk befinder
sig i et tredjeland.
Den nederlandske regering har henvist til, at begrebet »videregivelse« ikke er defineret i direktiv 95/46. Regeringen er af
den opfattelse dels, at dette begreb skal forstås således, at det omfatter en handling, hvorved det forsætligt tilsigtes at
videregive personoplysninger fra en medlemsstats område til et tredjeland, dels at der ikke kan sondres mellem de forskellige
måder, hvorpå oplysningerne gøres tilgængelige for tredjemand. Regeringen har på grundlag heraf konkluderet, at den omstændighed,
at der lægges personoplysninger ud på en internetside ved hjælp af en computer, ikke kan anses for videregivelse til et tredjeland
af personoplysninger i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46.
Det Forenede Kongeriges regering har gjort gældende, at artikel 25 i direktiv 95/46 vedrører videregivelse af oplysninger
til tredjelande og ikke spørgsmålet om, hvorvidt de er tilgængelige fra tredjelande. Begrebet »videregivelse« indebærer en
overførsel af en oplysning, som er foretaget af en person, der befinder sig et bestemt sted, til en person, der befinder sig
et andet sted. Det er kun i tilfælde af en sådan videregivelse, at medlemsstaterne i henhold til artikel 25 i direktiv 95/46
er forpligtet til at sikre, at beskyttelsesniveauet for personoplysninger i et tredjeland er tilstrækkeligt.
Domstolens besvarelse
Direktiv 95/46 definerer hverken i artikel 25 eller i nogen anden bestemmelse, herunder artikel 2, begrebet »videregivelse
til et tredjeland«.
Med henblik på at afgøre, hvorvidt en operation, der består i at lægge personoplysninger ud på en internetside, udgør en »videregivelse«
af sådanne oplysninger til et tredjeland i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, fordi disse
oplysninger derved bliver tilgængelige for personer, der befinder sig i et tredjeland, skal der tages hensyn dels til den
tekniske karakter af de således udførte operationer, dels til formålet med og opbygningen af nævnte direktivs kapitel IV,
der indeholder artikel 25.
De oplysninger, der er lagt ud på internettet, kan næsten når som helst indhentes af et ubestemt antal personer, som opholder
sig mange forskellige steder. At disse oplysninger kan indhentes overalt, følger navnlig af den omstændighed, at de tekniske
midler, der anvendes i forbindelse med internettet, er relativt enkle og forbundet med færre og færre omkostninger.
Mulighederne for at anvende internettet, såsom dem, der er blevet tilgængelige for borgere som B. Lindqvist i løbet af 1990’erne,
indebærer, at den, der opretter en side til offentliggørelse på internettet, overfører de oplysninger, som udgør den pågældende
side, til sin udbyder af webhoteltjenester. Denne tilvejebringer den edb-infrastruktur, som er nødvendig for at sikre lagring
af disse oplysninger og forbindelsen til den server, der er vært for webstedet. Dette gør det muligt senere at overføre disse
oplysninger til alle, der har koblet sig på internettet og ønsker at indhente dem. Computerne, som udgør denne edb-infrastruktur,
kan være placeret – og er det til og med ofte – i et eller flere andre lande end det land, hvor udbyderen af webhoteltjenester
er etableret, uden at dennes kunder har kendskab hertil eller med rimelighed kan få kendskab hertil.
Det fremgår af sagen, at for at kunne indhente oplysninger på de internetsider, som B. Lindqvist havde lagt oplysninger vedrørende
sine kolleger ind på, skulle en internetbruger ikke blot koble sig på internettet, men også personligt foretage de nødvendige
operationer for at læse de nævnte sider. Med andre ord indeholdt B. Lindqvists internetsider ikke de tekniske mekanismer til
automatisk at sende disse oplysninger til personer, som ikke forsætligt havde søgt at få adgang til disse sider.
Heraf følger, at under omstændigheder som dem, der foreligger i hovedsagen, er personoplysninger, som kommer til en computer,
der tilhører en person i et tredjeland, fra en person, der har lagt dem ud på en internetside, ikke blevet videregivet direkte
mellem disse to personer, men gennem edb-infrastrukturen hos den udbyder af webhoteltjenester, hvor siden er lagret.
I denne sammenhæng er det nødvendigt at undersøge, om fællesskabslovgiver med henblik på anvendelsen af kapitel IV i direktiv
95/46 havde til hensigt at lade operationer som dem, B. Lindqvist har foretaget, være omfattet af begrebet »videregivelse
til et tredjeland af personoplysninger« i direktivets artikel 25’s forstand. Det skal understreges, at den forelæggende rets
femte spørgsmål kun vedrører disse operationer og ikke de operationer, som udføres af udbyderen af webhoteltjenester.
Ved kapitel IV i direktiv 95/46, hvori artikel 25 er indeholdt, er der indført en særlig ordning med særlige regler, der har
til formål at sikre medlemsstaternes kontrol med videregivelse af personoplysninger til tredjelande. Ved kapitlet indføres
en ordning, der supplerer den almindelige ordning, som er indført ved nævnte direktivs kapitel II vedrørende lovligheden af
behandling af personoplysninger.
Formålet med kapitel IV er defineret i 56.-59. betragtning til direktiv 95/46, hvori det bl.a. anføres, at såfremt den beskyttelse,
der ved dette direktiv garanteres personer inden for Fællesskabet, ikke er til hinder for, at der videregives personoplysninger
til tredjelande, for så vidt disse sikrer et tilstrækkeligt beskyttelsesniveau, skal vurderingen af, om beskyttelsesniveauet
er tilstrækkeligt, foretages på grundlag af samtlige de forhold, der har indflydelse på en videregivelse eller en type videregivelse
af oplysninger. Hvis et tredjeland ikke sikrer et tilstrækkeligt beskyttelsesniveau, skal videregivelse af personoplysninger
til det pågældende land forbydes.
Ved artikel 25 i direktiv 95/46 pålægges medlemsstaterne og Kommissionen en række forpligtelser med henblik på at kontrollere
videregivelsen af personoplysninger til tredjelande under hensyn til det beskyttelsesniveau, som sådanne oplysninger gives
i hvert af disse lande.
Artikel 25, stk. 4, i direktiv 95/46 bestemmer navnlig, at såfremt Kommissionen konstaterer, at et tredjeland ikke sikrer
et tilstrækkeligt beskyttelsesniveau, træffer medlemsstaterne de foranstaltninger, der er nødvendige for at hindre enhver
videregivelse af personoplysninger til det pågældende tredjeland.
Kapitel IV i direktiv 95/46 indeholder ingen bestemmelser vedrørende anvendelsen af internettet. Det er ikke i kapitlet præciseret,
hvilke kriterier der gør det muligt at afgøre, om det med hensyn til operationer udført ved mellemkomst af udbydere af webhoteltjenester
er det sted, hvor udbyderen er etableret, dennes forretningssted eller det eller de steder, hvor de computere, der udgør edb-infrastrukturen,
er placeret, som skal lægges til grund.
Når henses dels til internettets udviklingstrin på tidspunktet for udarbejdelsen af direktiv 95/46, dels til de manglende
kriterier i kapitel IV for anvendelsen af internettet, kan det ikke formodes, at fællesskabslovgiver har tilsigtet, at begrebet
»videregivelse til et tredjeland af personoplysninger« fremtidigt skulle omfatte den omstændighed, at en person i B. Lindqvists
situation lægger oplysninger ud på en internetside, selv om disse således er blevet gjort tilgængelige for personer i tredjelande,
der har de tekniske muligheder for at få adgang hertil.
Såfremt artikel 25 i direktiv 95/46 blev fortolket således, at der foreligger en »videregivelse til et tredjeland af personoplysninger«,
hver gang personoplysninger lægges ud på en internetside, vil denne videregivelse nødvendigvis være en videregivelse til alle
de tredjelande, hvor der findes de nødvendige tekniske muligheder for at få adgang til internettet. Den særlige ordning i
nævnte direktivs kapitel IV bliver derfor nødvendigvis, med hensyn til operationer på internettet, en ordning, der generelt
finder anvendelse. Konstaterer Kommissionen i medfør af artikel 25, stk. 4, i direktiv 95/46, at blot et tredjeland ikke sikrer
et tilstrækkeligt beskyttelsesniveau, er medlemsstaterne nemlig forpligtet til at hindre, at personoplysningerne lægges ud
på internettet.
Det kan under disse omstændigheder konkluderes, at artikel 25 i direktiv 95/46 skal fortolkes således, at operationer som
dem, B. Lindqvist foretog, ikke i sig selv udgør en »videregivelse til et tredjeland af personoplysninger«. Det er derfor
ufornødent at undersøge, hvorvidt en person fra et tredjeland har haft adgang til den pågældende internetside, eller hvorvidt
udbyderens server er fysisk placeret i et tredjeland.
Det femte spørgsmål skal derfor besvares med, at der ikke foreligger en »videregivelse til et tredjeland af personoplysninger«
i den forstand, hvori udtrykket er anvendt i artikel 25 i direktiv 95/46, når en person, der befinder sig i en medlemsstat,
lægger personoplysninger ud på en internetside, der er lagret hos vedkommendes udbyder af webhoteltjenester, som er etableret
i den samme medlemsstat eller i en anden medlemsstat, hvorved personoplysningerne bliver tilgængelige for alle, der kobler
sig på internettet, herunder personer i et tredjeland.
Det sjette spørgsmål
Med sit sjette spørgsmål ønsker den forelæggende ret oplyst, om bestemmelserne i direktiv 95/46 i en sag som den, der foreligger
i hovedsagen, medfører en begrænsning, der er i strid med det almindelige princip om ytringsfrihed eller andre friheder og
rettigheder, der er gældende inden for EU, og som svarer til bl.a. menneskerettighedskonventionens artikel 10.
Indlæg til Domstolen
Med henvisning til bl.a. dom af 6. marts 2001 (sag C-274/99 P, Connolly mod Kommissionen, Sml. I, s. 1611) har B. Lindqvist
gjort gældende, at direktiv 95/46 og personuppgiftslagen er i strid med det i fællesskabsretten almindeligt anerkendte princip
om ytringsfrihed, idet de fastsætter betingelser om forudgående samtykke og forudgående anmeldelse til en tilsynsmyndighed
samt et forbud mod behandling af følsomme personoplysninger. Hun har nærmere bestemt anført, at definitionen af »behandling
af personoplysninger, der helt eller delvis foretages ved hjælp af edb« ikke opfylder kriterierne om forudseelighed og præcision.
B. Lindqvist har endvidere anført, at den blotte omtale af en fysisk person ved navns nævnelse samt afgivelse af oplysninger
om dennes telefonnummer, arbejdsforhold, helbredssituation og fritidsinteresser – oplysninger, der er alment tilgængelige,
almindeligt kendte eller trivielle – ikke udgør en grundlæggende krænkelse af retten til respekt for privatlivet. B. Lindqvist
er af den opfattelse, at de begrænsninger, der opstilles ved direktiv 95/46, under alle omstændigheder er uforholdsmæssige
henset til det tilstræbte formål, nemlig beskyttelsen af andres omdømme og privatliv.
Efter den svenske regerings opfattelse tillader direktiv 95/46, at der foretages en afvejning af de omhandlede interesser,
hvorved ytringsfriheden og beskyttelsen af privatlivets fred opretholdes. Regeringen har tilføjet, at det kun er den nationale
ret, der under hensyn til omstændighederne i hver enkelt sag kan vurdere, om en begrænsning i udøvelsen af ytringsfriheden,
der indebærer anvendelse af regler, der har til formål at beskytte andres rettigheder, er forholdsmæssig.
Den nederlandske regering har henvist til, at såvel ytringsfriheden, som retten til respekt for privatlivet, er blandt de
almindelige retsprincipper, hvis overholdelse Domstolen sikrer, og at menneskerettighedskonventionen ikke opstiller noget
hierarki mellem de forskellige grundlæggende rettigheder. Regeringen er derfor af den opfattelse, at den nationale ret bør
bestræbe sig på at forene de omhandlede grundlæggende rettigheder, idet der tages hensyn til omstændighederne i den foreliggende
sag.
Det Forenede Kongeriges regering har anført, at dens forslag til besvarelse af det femte spørgsmål, som er gengivet i denne
doms præmis 55, fuldt ud er i overensstemmelse med de grundlæggende rettigheder og gør det muligt at undgå at gribe uforholdsmæssigt
ind i ytringsfriheden. Den har tilføjet, at en fortolkning, som har til følge, at offentliggørelse af personoplysninger i
en bestemt form, nemlig på en internetside, undergives begrænsninger, der er betydelig strengere end dem, der finder anvendelse
på offentliggørelse i andre former, såsom i papirform, er vanskelig at begrunde.
Kommissionen har tillige hævdet, at direktiv 95/46 ikke medfører en begrænsning i strid med det almindelige princip om ytringsfrihed
eller andre rettigheder og friheder, der er gældende inden for EU, og som svarer til bl.a. menneskerettighedskonventionens
artikel 10.
Domstolens besvarelse
Det fremgår af syvende betragtning til direktiv 95/46, at det indre markeds oprettelse og funktion kan blive alvorligt påvirket
af forskellene i de nationale ordninger, som finder anvendelse på behandling af personoplysninger. Ifølge samme direktivs
tredje betragtning skal harmoniseringen af de pågældende nationale ordninger ikke blot have til formål at sikre, at personoplysninger
kan cirkulere frit mellem medlemsstaterne, men også, at det enkelte menneskes grundlæggende rettigheder beskyttes. Disse formål
kan naturligvis komme i konflikt med hinanden.
For det første vil den økonomiske og sociale integration, der er en følge af det indre markeds oprettelse og funktion, uvægerligt
medføre en kraftigt vækst i strømmen af personoplysninger mellem alle aktører i medlemsstaternes økonomiske liv og samfundsliv,
både inden for den private og den offentlige sektor. Nævnte aktører har i et vist omfang behov for adgang til personoplysninger
for at kunne foretage deres transaktioner eller for at varetage deres opgaver inden for det område uden grænser, som det indre
marked indebærer.
For det andet kræver de personer, som berøres af behandlingen af personoplysninger, med rette, at oplysningerne beskyttes
effektivt.
De mekanismer, som gør det muligt at foretage en afvejning af de forskellige rettigheder og interesser, er for det første
indeholdt i direktiv 95/46, idet der heri er fastsat regler, hvorved det fastlægges, i hvilke situationer og i hvilket omfang
behandlingen af personoplysninger er lovlig samt hvilken beskyttelse der skal ydes. For det andet følger de af medlemsstaternes
vedtagelse af nationale bestemmelser, der sikrer gennemførelsen af dette direktiv, og de nationale myndigheders eventuelle
anvendelse af disse bestemmelser.
Hvad angår direktiv 95/46 er dets bestemmelser nødvendigvis relativt generelle, idet de skal kunne finde anvendelse på mange
forskellige situationer. I modsætning til, hvad B. Lindqvist har gjort gældende, er det således med god grund, at dette direktiv
indeholder bestemmelser, der er kendetegnet ved en vis fleksibilitet, og at det i mange tilfælde er overladt til medlemsstaterne
at fastlægge detaljerne eller at vælge mellem de forskellige muligheder.
Medlemsstaterne har ganske vist i mange henseender et betydeligt råderum med henblik på gennemførelsen af direktiv 95/46.
Der er imidlertid ikke grund til at antage, at den ordning, som er fastsat ved direktivet, ikke er forudseelig, eller at dets
bestemmelser som sådanne er i strid med almindelige fællesskabsretlige principper og navnlig med grundlæggende rettigheder,
der beskyttes ved Fællesskabets retsorden.
Det er snarere på det stadium, hvor bestemmelserne til gennemførelse af direktiv 95/46 anvendes på nationalt plan i de enkelte
tilfælde, at der skal findes en ligevægt mellem de omhandlede rettigheder og interesser.
I denne sammenhæng har de grundlæggende rettigheder en særlig betydning, som det fremgår af hovedsagen, hvor det i det væsentlige
er nødvendigt at foretage en afvejning mellem på den ene side B. Lindqvists ytringsfrihed i forbindelse med hendes arbejde
med at forberede konfirmander samt friheden til at udøve aktiviteter, der bidrager til det religiøse liv, og på den anden
side beskyttelsen af de personers privatliv, med hensyn til hvilke B. Lindqvist har lagt oplysninger ud på sin hjemmeside
på internettet.
Følgelig påhviler det således ikke blot myndigheder og domstole i medlemsstaterne at fortolke deres nationale ret på en måde,
der er forenelig med direktiv 95/46, men også at sikre, at de ikke lægger en fortolkning af sidstnævnte til grund, som kommer
i konflikt med grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden, eller med andre generelle fællesskabsretlige
principper, såsom proportionalitetsprincippet.
Selv om beskyttelsen af privatlivet ganske vist kræver, at der anvendes effektive sanktioner mod personer, der behandler personoplysninger
på en måde, der ikke er forenelig med direktiv 95/46, skal sådanne sanktioner altid være i overensstemmelse med proportionalitetsprincippet.
Dette gælder så meget desto mere som anvendelsesområdet for direktiv 95/46 er meget bredt og forpligtelserne for de personer,
der behandler personoplysninger, er mange og betydelige.
Det tilkommer den forelæggende ret i overensstemmelse med proportionalitetsprincippet at tage hensyn til alle omstændighederne
i den sag, som er forelagt den, herunder varigheden af overtrædelsen af bestemmelserne til gennemførelse af direktiv 95/46,
samt betydningen for de berørte personer af beskyttelse af de offentliggjorte oplysninger.
Det sjette spørgsmål skal derfor besvares med, at bestemmelserne i direktiv 95/46 ikke i sig selv medfører en begrænsning,
der er i strid med det almindelige princip om ytringsfrihed eller andre friheder og rettigheder, der er gældende inden for
EU, og som svarer til bl.a. menneskerettighedskonventionens artikel 10. Det påhviler de nationale myndigheder og domstole,
der skal anvende de nationale bestemmelser til gennemførelse af direktiv 95/46, at sikre en retfærdig ligevægt mellem de omhandlede
rettigheder og interesser, herunder de grundlæggende rettigheder, der beskyttes ved Fællesskabets retsorden.
Det syvende spørgsmål
Med sit syvende spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om medlemsstaterne kan give personoplysninger
en mere vidtgående beskyttelse eller et videre anvendelsesområde end det, der følger af direktiv 95/46.
Indlæg til Domstolen
Den svenske regering har anført, at der ved direktiv 95/46 ikke blot er fastsat minimumsbetingelser for beskyttelse af personoplysninger.
Medlemsstaterne er i forbindelse med gennemførelsen af direktivet forpligtet til at tilvejebringe det beskyttelsesniveau,
der er fastsat heri, og de har ikke bemyndigelse til at fastsætte en beskyttelse, der er mere eller mindre vidtgående. Der
skal imidlertid tages hensyn til det skøn, som medlemsstaterne har i forbindelse med nævnte gennemførelse, til i national
ret at præcisere de almindelige betingelser for lovligheden af behandlingen af personoplysninger.
Den nederlandske regering har hævdet, at direktiv 95/46 ikke er til hinder for, at medlemsstaterne fastsætter en mere vidtgående
beskyttelse på visse områder. Det fremgår f.eks. af nævnte direktivs artikel 10, artikel 11, stk. 1, artikel 14, stk. 1, afsnit,
litra a), artikel 17, stk. 3, artikel 18, stk. 5, og artikel 19, stk. 1, at medlemsstaterne kan fastsætte en mere vidtgående
beskyttelse. Medlemsstaterne kan endvidere frit anvende principperne i direktiv 95/46 på aktiviteter, der ikke henhører under
dets anvendelsesområde.
Kommission har gjort gældende, at direktiv 95/46 er baseret på traktatens artikel 100 A, og at en medlemsstat, såfremt den
ønsker at opretholde eller indføre en lovgivning, der fraviger et sådant harmoniseringsdirektiv, er forpligtet til at give
Kommissionen meddelelse herom i overensstemmelse med artikel 95, stk. 4 eller 5, EF. Kommissionen har anført, at en medlemsstat
derfor ikke kan fastsætte en mere vidtgående beskyttelse for personoplysninger eller et videre anvendelsesområde end det,
der følger af direktiv 95/46.
Domstolens besvarelse
Direktiv 95/46 har – således som det bl.a. fremgår af dets ottende betragtning – til formål at gøre beskyttelsen af det enkelte
menneskes rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger ensartet i alle medlemsstater.
I direktivets tiende betragtning tilføjes det, at tilnærmelsen af de nationale lovgivninger, der finder anvendelse på området,
ikke må medføre en forringelse af den beskyttelse, disse yder, men at den tværtimod skal have til formål at sikre et højt
beskyttelsesniveau inden for Fællesskabet.
Harmoniseringen af de nævnte nationale lovgivninger er således ikke begrænset til en minimumsharmonisering, men fører til
en harmonisering, der i princippet er fuldstændig. Det er i dette perspektiv, at direktiv 95/46 tilsigter at sikre den frie
udveksling af personoplysninger, idet der sikres en høj beskyttelse af de personers rettigheder og interesser, som oplysningerne
vedrører.
Ved direktiv 95/46 indrømmes der ganske vist medlemsstaterne et råderum på visse områder, og de bemyndiges til at opretholde
eller indføre særlige ordninger med henblik på specifikke tilfælde, hvilket mange af dets bestemmelser vidner om. Disse muligheder
skal imidlertid anvendes på den måde, som er fastsat i direktiv 95/46, og i overensstemmelse med dets formål, som består i
at opretholde en ligevægt mellem den frie udveksling af personoplysninger og beskyttelsen af privatlivet.
Derimod er der intet til hinder for, at en medlemsstat udvider rækkevidden af den nationale lovgivning, der gennemfører bestemmelserne
i direktiv 95/46, til områder, der ikke er omfattet af dette direktivs anvendelsesområde, for så vidt som ingen anden fællesskabsretlig
bestemmelse er til hinder herfor.
Under hensyn til disse betragtninger skal det syvende spørgsmål besvares med, at de foranstaltninger, som medlemsstaterne
træffer med henblik på at sikre beskyttelsen af personoplysninger, skal være forenelige med såvel bestemmelserne i direktiv
95/46 som med dets formål, som består i at opretholde en ligevægt mellem den frie udveksling af personoplysninger og beskyttelsen
af privatlivet. Derimod er der intet til hinder for, at en medlemsstat udvider rækkevidden af den nationale lovgivning, der
gennemfører bestemmelserne i direktiv 95/46, til områder, der ikke er omfattet af dette direktivs anvendelsesområde, for så
vidt som ingen anden fællesskabsretlig bestemmelse er til hinder herfor.
Sagens omkostninger
De udgifter, der er afholdt af den svenske regering, af den nederlandske regering og af Det Forenede Kongeriges regering samt
af Kommissionen og EFTA-Tilsynsmyndigheden, som har afgivet indlæg for Domstolen, kan ikke erstattes. Da sagens behandling
i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe
afgørelse om sagens omkostninger.
På grundlag af disse præmisser
DOMSTOLEN
vedrørende de spørgsmål, der er forelagt af Göta hovrätt ved kendelse af 23. februar 2001, for ret:
1)
En operation, der består i på en internetside at henvise til forskellige personer, og i at identificere dem ved navn eller
på anden måde, f.eks. ved at oplyse deres telefonnummer eller ved at give oplysninger om deres arbejdsforhold og fritidsinteresser,
udgør en »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af edb« i den forstand, hvori udtrykket
er anvendt i artikel 3, stk. 1, i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske
personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger.
2)
En sådan behandling af personoplysninger er ikke omfattet af nogen af undtagelserne i artikel 3, stk. 2, i direktiv 95/46.
3)
Angivelsen af den omstændighed, at en person har beskadiget sin fod og er delvis sygemeldt, udgør en personoplysning om helbredsforhold
i den forstand, hvori udtrykket er anvendt i artikel 8, stk. 1, i direktiv 95/46.
4)
Der foreligger ikke en »videregivelse til et tredjeland af personoplysninger« i den forstand, hvori udtrykket er anvendt i
artikel 25 i direktiv 95/46, når en person, der befinder sig i en medlemsstat, lægger personoplysninger ud på en internetside,
der er lagret hos en fysisk eller juridisk person, som er internetvært for det websted, hvor siden kan konsulteres, og som
er etableret i den samme medlemsstat eller i en anden medlemsstat, hvorved personoplysningerne bliver tilgængelige for alle,
der kobler sig på internettet, herunder personer i et tredjeland.
5)
Bestemmelserne i direktiv 95/46 medfører ikke i sig selv en begrænsning, der er i strid med det almindelige princip om ytringsfrihed
eller andre friheder og rettigheder, der er gældende inden for EU, og som svarer til bl.a. artikel 10 i den europæiske konvention
til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950. Det påhviler
de nationale myndigheder og domstole, der skal anvende de nationale bestemmelser til gennemførelse af direktiv 95/46, at sikre
en retfærdig ligevægt mellem de omhandlede rettigheder og interesser, herunder de grundlæggende rettigheder, der beskyttes
ved Fællesskabets retsorden.
6)
De foranstaltninger, som medlemsstaterne træffer med henblik på at sikre beskyttelsen af personoplysninger, skal være forenelige
med såvel bestemmelserne i direktiv 95/46, som med dets formål, som består i at opretholde en ligevægt mellem den frie udveksling
af personoplysninger og beskyttelsen af privatlivet. Derimod er der intet til hinder for, at en medlemsstat udvider rækkevidden
af den nationale lovgivning, der gennemfører bestemmelserne i direktiv 95/46, til områder, der ikke er omfattet af dette direktivs
anvendelsesområde, for så vidt som ingen anden fællesskabsretlig bestemmelse er til hinder herfor.
Jann
Timmermans
Gulmann
Cunha Rodrigues
Rosas
Edward
Puissochet
Macken
von Bahr
Afsagt i offentligt retsmøde i Luxembourg den 6. november 2003.
R. Grass
V. Skouris
Justitssekretær
Præsident
–
Processprog: svensk.