Mål C‑333/22
Ligue des droits humains ASBL och BA
mot
Organe de contrôle de l’information policière
(begäran om förhandsavgörande från Cour d’appel de Bruxelles)
Domstolens dom (femte avdelningen) av den 16 november 2023
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Direktiv (EU) 2016/680 – Artikel 17 – Den registrerades utövande av rättigheter genom tillsynsmyndigheten – Kontroll av om behandlingen av personuppgifter är laglig – Artikel 17.3 – Skyldighet att åtminstone underrätta den registrerade – Räckvidd – Giltighet – Artikel 53 – Rätt till ett effektivt rättsmedel mot en tillsynsmyndighets beslut – Begreppet ’rättsligt bindande beslut’ – Europeiska unionens stadga om de grundläggande rättigheterna – Artikel 8.3 – Kontroll som utförs av en oberoende myndighet – Artikel 47 – Rätt till ett effektivt rättsmedel”
1.        Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Den registrerades utövande av rättigheter och kontroll genom tillsynsmyndigheten – Förekomst av en rätt till ett effektivt rättsmedel mot den myndighetens beslut – Begreppet rättsligt bindande beslut – Tillsynsmyndighetens beslut att avsluta förfarandet för kontroll av om behandlingen av personuppgifter är laglig – Omfattas
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 8 och 47; Europaparlamentets och rådets direktiv 2016/680, skälen 48, 75 och 86 samt artiklarna 17, 46.1 g, 47.1, 47.2 och 53.1)
(se punkterna 38–52, 54 och 55 samt punkt 1 i domslutet)
2.        Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Artikel 17.3 – Bedömning av om nämnda bestämmelse är giltig mot bakgrund av artiklarna 8.3 och 47 i stadgan om de grundläggande rättigheterna – Bestämmelse enligt vilken tillsynsmyndigheten ska underrätta den registrerade om att alla nödvändiga kontroller eller en översyn har ägt rum och om hans eller hennes rätt att begära rättslig prövning – Giltighet
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 8.3, 47 och 52.1; Europaparlamentets och rådets direktiv 2016/680, skäl 86 samt artiklarna 17.3 och 53.1)
(se punkterna 60–72 samt punkt 2 i domslutet)
Resumé
År 2016 ansökte BA om ett säkerhetsgodkännande hos Autorité nationale de sécurité (den nationella säkerhetsmyndigheten, Belgien). Nämnda myndighet vägrade att utfärda ett sådant godkännande bland annat med hänsyn till statens säkerhet och för att bevara den konstitutionella demokratiska ordningen då BA hade deltagit i olika demonstrationer under det senaste årtiondet. Konkret grundades detta beslut på personuppgifter som behandlats av de belgiska polismyndigheterna.
BA begärde därefter att Organe de contrôle de l’information policière (OCIP) (tillsynsorganet för polisiär information, Belgien), i egenskap av tillsynsmyndighet, skulle identifiera de personuppgiftsansvariga och förelägga dem att ge BA tillgång till samtliga uppgifter som rörde honom för att göra det möjligt för honom att utöva sina rättigheter. OCIP kontrollerade lagenligheten av behandlingen av BA:s personuppgifter i polismyndighetens databaser i enlighet med belgisk rätt(1). Med hänvisning till belgisk rätt enligt vilken BA inte har någon direkt rätt till tillgång till dessa uppgifter, underrättade OCIP endast BA om att nödvändiga kontroller hade gjorts.
Ligue des droits humains ASBL och BA ingav ett överklagande till Cour d’appel de Bruxelles (Appellationsdomstolen i Bryssel, Belgien), till följd av ett beslut av tribunal de première instance francophone de Bruxelles (Franskspråkiga förstainstansdomstolen i Bryssel, Belgien) vari den förklarade att den saknade behörighet att pröva ansökan om interimistiska åtgärder som ingetts av dessa parter. Cour d’appel de Bruxelles (Appellationsdomstolen i Bryssel) ombad i sin tur EU-domstolen att uttala sig om tolkningen och giltigheten av artikel 17 i direktiv 2016/680(2) mot bakgrund av bestämmelserna i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
I sin dom uttalar sig domstolen om den registrerades rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut när denna persons rättigheter har utövats genom denna myndighet. Vidare har domstolen dragit slutsatsen att artikel 17 i direktiv 2016/680 är giltig, eftersom det i denna bestämmelse endast föreskrivs en miniminivå vad gäller skyldigheten för denna tillsynsmyndighet att underrätta den registrerade om att nödvändiga kontroller eller en översyn genom tillsynsmyndigheten har ägt rum och om hans eller hennes rätt att begära rättslig prövning.
Domstolens bedömning
Domstolen inleder med att erinra om att det i direktiv 2016/680 anges att medlemsstaterna ska föreskriva att en fysisk eller juridisk person har rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut som avser dem och som meddelats av en tillsynsmyndighet(3). Det ska således fastställas huruvida en tillsynsmyndighet antar ett sådant beslut när de registrerades rättigheter enligt direktivet utövas genom denna tillsynsmyndighet.
Domstolen påpekar inledningsvis att i de fall som föreskrivs i direktiv 2016/680, som syftar till att skydda mål av allmänintresse(4), måste medlemsstaterna föreskriva en möjlighet för tillsynsmyndigheten att indirekt utöva den registrerades rättigheter. Denna möjlighet innebär att det föreligger ytterligare en skyddsregel för att den registrerades personuppgifter ska behandlas på ett lagligt sätt när nationell lagstiftning begränsar det direkta utövandet av dess rättigheter i förhållande till den personuppgiftsansvarige(5), vilket är tillåtet enligt direktiv 2016/680(6).
Vidare preciserar domstolen att varje tillsynsmyndighet ska ha i uppgift att kontrollera att behandlingen är laglig enligt artikel 17 i direktiv 2016/680 och inte bara ska ha effektiva undersökningsbefogenheter, utan även effektiva korrigerande befogenheter(7). Dess uppgift är helt och hållet förenlig med definitionen av dess roll i stadgan(8). Dessutom föreskrivs i samma bestämmelse att tillsynsmyndigheten ska underrätta den registrerade om att alla nödvändiga kontroller har ägt rum.
Domstolen drar härav slutsatsen att när den behöriga tillsynsmyndigheten underrättar den registrerade om detta, ges den personen kännedom om det beslut att avsluta kontrollförfarandet som tillsynsmyndigheten har fattat med avseende på vederbörande, vilket med nödvändighet påverkar denna persons rättsliga ställning. Detta beslut utgör således ett rättsligt bindande beslut i förhållande till den personen, oberoende av om och i vilken utsträckning denna myndighet har konstaterat att behandlingen av uppgifter om denna person var laglig och vidtagit korrigerande åtgärder.
Slutligen drar domstolen slutsatsen att den registrerade ska kunna få till stånd en domstolsprövning av huruvida ett sådant beslut är välgrundat och, i synnerhet, av det sätt på vilket tillsynsmyndigheten har uppfyllt sin skyldighet att genomföra alla nödvändiga kontroller och, i förekommande fall, att utöva sina korrigerande befogenheter. En sådan tolkning är även förenlig med artikel 47 i stadgan, eftersom denna rättighet, såsom framgår av fast rättspraxis, ska erkännas varje person som gör gällande rättigheter eller friheter som garanteras i unionsrätten, mot en rättsakt som går denna emot på så sätt att personens rättigheter eller friheter kan inskränkas.
Vad beträffar giltigheten av artikel 17.3 i direktiv 2016/680, framhåller domstolen att denna bestämmelse kan medföra en begränsning av rätten till ett effektivt rättsmedel, som garanteras i artikel 47 i stadgan, eftersom bestämmelsen inte utgör hinder för att tillsynsmyndigheten i vissa fall, i enlighet med de bestämmelser som antagits av den nationella lagstiftaren för att genomföra densamma, kan ha möjlighet, eller till och med skyldighet att begränsa sig till de minimiuppgifter som avses i föregående punkt, i synnerhet när dessa genomförandebestämmelser syftar till att undvika att äventyra de mål av allmänt samhällsintresse som skyddas i nämnda direktiv.
Denna begränsning är emellertid uttryckligen föreskriven i lag och är inte absolut. Vad vidare gäller de övriga kriterier som kan motivera en sådan begränsning(9), påpekar domstolen att det ankommer på medlemsstaterna att se till att de bestämmelser i nationell rätt genom vilka artikel 17.3 genomförs dels är förenliga med det väsentliga innehållet i rätten till ett effektivt domstolsskydd, dels grundar sig på en avvägning mellan de mål av allmänintresse som motiverar en begränsning av denna information samt den berörda personens grundläggande rättigheter och berättigade intressen, med iakttagande av nödvändighets- och proportionalitetsprinciperna. Det ankommer således på medlemsstaterna att föreskriva att informationen till den berörda personen på vissa villkor får omfatta mer än minimiuppgifterna, att den behöriga tillsynsmyndigheten har ett visst utrymme för skönsmässig bedömning för att avgöra huruvida den kan underrätta denna person, åtminstone på ett kortfattat sätt, om resultatet av sina kontroller och att om så inte är fallet den domstol som är behörig att pröva en talan mot tillsynsmyndigheten i tillräcklig utsträckning kan säkerställa den enskildes processuella rättigheter, såsom rätten att yttra sig och principen om ett kontradiktoriskt förfarande, och på ett effektivt sätt kan utöva sin domstolsprövning.
Mot bakgrund av det ovan anförda finner domstolen att det inte framkommit någon omständighet som kan påverka giltigheten av artikel 17.3 i direktiv 2016/680.
1      Artikel 42 i loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (lag om skydd av fysiska personer med avseende på behandling av personuppgifter) av den 30 juli 2018 (Moniteur belge, 5 september 2018, s. 68616).
2      I artikel 17 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89; rättelse i EUT L 127, 2018, s. 16) föreskrivs följande: ”1. I de fall som avses i artiklarna 13.3, 15.3 och 16.4 ska medlemsstaterna anta bestämmelser om att den registrerades rättigheter även kan utövas genom den behöriga tillsynsmyndigheten. … 3. När den rättighet som avses i punkt 1 utövas ska tillsynsmyndigheten åtminstone underrätta den registrerade om att alla nödvändiga kontroller eller en översyn genom tillsynsmyndigheten har ägt rum. Tillsynsmyndigheten ska också informera den registrerade om hans eller hennes rätt att begära rättslig prövning.”
3      Artikel 53.1 i direktiv 2016/680.
4      Dessa mål, som anges i artiklarna 13.3, 15.3 och 16.4 i direktiv 2016/680, syftar till att ”undvika att hindra offentliga eller rättsliga utredningar, undersökningar eller förfaranden”, ”undvika menlig inverkan på förebyggande, förhindrande, upptäckt, utredning eller lagföring av brott eller verkställighet av straffrättsliga påföljder”, ”skydda den allmänna säkerheten”, ”skydda den nationella säkerheten” eller ”skydda andra personers rättigheter och friheter”.
5      Konkret rör det sig om rätten till tillgång till ytterligare information från den personuppgiftsansvarige, rätten att få tillgång till dessa uppgifter eller rätten till rättelse eller radering av personuppgifter eller begränsning av behandling enligt villkoren i artiklarna 13.2, 14 och 16.1–16.3 i direktiv 2016/680.
6      Artiklarna 13.3, 15.1 och 16.4 i direktiv 2016/680.
7      Se artiklarna 46.1 g, 47.1 och 47.2 i direktiv 2016/680.
8      Artikel 8 i stadgan.
9      Som föreskrivs i artikel 52.1 i stadgan.