CELEX: 62007CJ0553
Language: da
Date: 2009-05-07
Title: Domstolens Dom (Tredje Afdeling) af 7. maj 2009.#College van burgemeester en wethouders van Rotterdam mod M. E. E. Rijkeboer.#Anmodning om præjudiciel afgørelse: Raad van State - Nederlandene.#Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger - direktiv 95/46/EF - beskyttelse af privatlivets fred - slettelse af oplysninger - adgang til oplysninger og information om, hvem der modtager oplysningerne - frist for udøvelse af adgangen hertil.#Sag C-553/07.

Sag C-553/07
      College van burgemeester en wethouders van Rotterdam
      mod
      M. E. E. Rijkeboer
      (anmodning om præjudiciel afgørelse indgivet af Raad van State)
      »Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46/EF – beskyttelse af privatlivets fred – slettelse af oplysninger – adgang til oplysninger og information om, hvem der modtager oplysningerne – frist for udøvelse af adgangen hertil«
      Sammendrag af dom
      Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv
            95/46
      [Europa-Parlamentets og Rådets direktiv 95/46, art. 12, litra a)]
      Retten til respekt for privatlivets fred, der er fastsat i artikel 1, stk. 1, i direktiv 95/46 om beskyttelse af fysiske personer
         i forbindelse med behandlingen af personoplysninger og om fri udveksling af sådanne oplysninger, indebærer, at den registrerede
         skal kunne have sikkerhed for, at hans personoplysninger behandles korrekt og lovligt, dvs. navnlig, at basisoplysningerne
         om den pågældende er korrekte og videregives til nogen, som er berettiget til at modtage dem. Som det udtales i direktivets
         41. betragtning, skal den registrerede have ret til indsigt i de oplysninger om ham selv, som gøres til genstand for behandling,
         for at kunne foretage den nødvendige efterprøvelse heraf.
      
      Ifølge artikel 12, litra a), i direktiv 95/46 er medlemsstaterne forpligtet til at fastsætte bestemmelser om retten til at
         modtage information vedrørende modtagerne eller kategorierne af modtagere af oplysninger og om indholdet af den videregivne
         information ikke blot hvad angår nutiden, men også hvad angår fortiden. Det tilkommer medlemsstaterne at fastsætte en frist
         for opbevaringen af denne information og om en tilsvarende adgang hertil, som udgør en rimelig afvejning mellem, på den ene
         side, hensynet til den registreredes interesse i beskyttelse af hans privatliv bl.a. i kraft af de aktionsmuligheder og retsmidler,
         som er fastsat i direktivet, og, på den anden side, hensynet til den byrde, som forpligtelsen til at opbevare denne information
         udgør for den registeransvarlige.
      
      En lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne af modtagere af oplysninger
         og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information til samme periode, selv om
         basisoplysningerne opbevares i meget længere tid, udgør ikke en rimelig afvejning af de pågældende interesser og forpligtelser,
         medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor byrde for den registeransvarlige.
         Det tilkommer den nationale ret at foretage de nødvendige efterprøvelser.
      
      (jf. præmis 49 og 70 samt domskonkl.)
DOMSTOLENS DOM (Tredje Afdeling)
      7. maj 2009 (*)
      
      »Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv 95/46/EF – beskyttelse af privatlivets fred – slettelse af oplysninger – adgang til oplysninger og information om, hvem der modtager oplysningerne – frist for udøvelse af adgangen hertil«
      I sag C-553/07,
      angående en anmodning om præjudiciel afgørelse i henhold til artikel 234 EF, indgivet af Raad van State (Nederlandene) ved
         afgørelse af 5. december 2007, indgået til Domstolen den 12. december 2007, i sagen:
      
      College van burgemeester en wethouders van Rotterdam
      mod
      M.E.E. Rijkeboer,
      har
      DOMSTOLEN (Tredje Afdeling)
      sammensat af afdelingsformanden, A. Rosas, og dommerne A. Ó Caoimh, J. Klučka, U. Lõhmus og P. Lindh (refererende dommer),
      generaladvokat: D. Ruiz-Jarabo Colomer
      justitssekretær: ekspeditionssekretær M. Ferreira,
      på grundlag af den skriftlige forhandling og efter retsmødet den 20. november 2008,
      efter at der er afgivet indlæg af:
      –        College van burgemeester en wethouders van Rotterdam ved advocaat R. de Bree
      –        M.E.E. Rijkeboer ved juridisch adviseur W. van Bentem
      –        den nederlandske regering ved C.M. Wissels og C. ten Dam, som befuldmægtigede
      –        den tjekkiske regering ved M. Smolek, som befuldmægtiget
      –        den græske regering ved E.-M. Mamouna og V. Karra, som befuldmægtigede
      –        den spanske regering ved M. Muñoz Pérez, som befuldmægtiget
      –        Det Forenede Kongeriges regering ved Z. Bryanston-Cross og H. Walker, som befuldmægtigede, bistået af barrister J. Stratford
      –        Kommissionen for De Europæiske Fællesskaber ved R. Troosters og C. Docksey, som befuldmægtigede,
      og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 22. december 2008,
      afsagt følgende
      Dom
      1        Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 12, litra a), i Europa-Parlamentet og Rådets direktiv
         95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri
         udveksling af sådanne oplysninger (EFT L 281, s. 31, herefter »direktivet«).
      
      2        Anmodningen er fremsat under en sag mellem M.E.E. Rijkeboer og College van burgemeester en wethouders van Rotterdam (kommunalbestyrelsen
         i Rotterdam, herefter »kommunalbestyrelsen«) vedrørende kommunalbestyrelsens delvise afslag på at give Rijkeboer adgang til
         information om, til hvem der var videregivet personlige oplysninger vedrørende ham inden for de sidste to år forud for hans
         anmodning om information.
      
       Retsforskrifter
       Fællesskabsbestemmelser
      3        Anden og tiende betragtning til direktivet, som vedrører de grundlæggende rettigheder og frihedsrettigheder, indeholder følgende
         udtalelser:
      
      »(2)      [D]atabehandlingssystemer er til for menneskets skyld; de skal være i overensstemmelse med de grundlæggende rettigheder og
         frihedsrettigheder, der gælder for fysiske personer, uanset statsborgerskab og bopæl, herunder retten til privatlivets fred,
         og bidrage til at sikre økonomiske og sociale fremskridt og til at fremme samhandelen og det enkelte menneskes velfærd.
      
      […]
      (10)      [M]edlemsstaternes lovgivning om behandling af personoplysninger skal sikre overholdelsen af de grundlæggende rettigheder
         og frihedsrettigheder, navnlig den ret til privatlivets fred, der er fastslået i artikel 8 i den europæiske konvention til
         beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder og i fællesskabsrettens generelle principper [...]«
      
      4        Ifølge direktivets 25. betragtning skal principperne om beskyttelse af personer dels afspejles i de forskellige forpligtelser,
         der påhviler personer, som behandler data, navnlig for så vidt angår oplysningernes pålidelighed, dels i de rettigheder, der
         tilkommer de personer, hvis personoplysninger gøres til genstand for behandling, bl.a. retten til at blive underrettet om
         en behandling, til indsigt, til at kunne kræve oplysninger berigtiget, men også til under visse omstændigheder at gøre indsigelse
         mod en behandling.
      
      5        Direktivets 40. betragtning, som vedrører forpligtigelsen til at informere den pågældende person, når oplysningerne ikke er
         indsamlet hos vedkommende, udtaler, at denne forpligtelse ikke gælder, hvis det viser sig umuligt eller uforholdsmæssigt vanskeligt
         at underrette den pågældende, og at der i den forbindelse kan tages hensyn til antallet af registrerede, oplysningernes alder
         samt de kompensatoriske foranstaltninger, der kan træffes.
      
      6        Ifølge direktivets 41. betragtning skal enhver have ret til indsigt i de oplysninger om sig selv, som gøres til genstand for
         behandling, så den pågældende kan forvisse sig om oplysningerne rigtighed og behandlingens lovlighed.
      
      7        Artikel 1, som ifølge overskriften vedrører »[d]irektivets formål«, indeholder følgende bestemmelser:
      
      »1.      Medlemsstaterne sikrer i overensstemmelse med dette direktiv beskyttelsen af fysiske personers grundlæggende rettigheder og
         frihedsrettigheder, især retten til privatlivets fred, i forbindelse med behandling af personoplysninger.
      
      2.      Medlemsstaterne må ikke af grunde, der har forbindelse med den i stk. 1 foreskrevne beskyttelse, indskrænke eller forbyde
         fri udveksling af personoplysninger mellem medlemsstaterne.«
      
      8        Begrebet »personoplysninger« er defineret i direktivets artikel 2, litra a), som enhver form for information om en identificeret
         eller identificerbar fysisk person (»den registrerede«).
      
      9        Ved »behandling af personoplysninger« forstås ifølge direktivets artikel 2, litra b):
      
      »enhver operation eller række af operationer – med eller uden brug af elektronisk databehandling – som personoplysninger gøres
         til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning,
         brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt
         blokering, slettelse eller tilintetgørelse«.
      
      10      Ifølge direktivets artikel 2, litra d), forstås ved »den registeransvarlige« den fysiske eller juridiske person, offentlige
         myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke
         hjælpemidler der må foretages behandling af personoplysninger.
      
      11      Direktivets artikel 2, litra g), definerer »modtager« som den fysiske eller juridiske person, offentlige myndighed, institution
         eller ethvert andet organ, hvortil oplysningerne meddeles, uanset om der er tale om en »tredjemand« eller ej, idet en »tredjemand«
         i direktivets artikel 2, litra f), er defineret som den, der er beføjet til at behandle oplysninger.
      
      12      Direktivets artikel 6 fastsætter principper vedrørende kravene til oplysningerne. Hvad angår opbevaringen af oplysninger er
         det fastsat i stk. 1, litra e), at medlemsstaterne skal fastsætte bestemmelser, hvorefter personoplysninger »ikke må opbevares
         på en måde, der giver mulighed for at identificere de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn
         til de formål, hvortil de indsamles, eller i forbindelse med hvilke de behandles på et senere tidspunkt. Medlemsstaterne fastsætter
         de fornødne garantier for personoplysninger, der i historisk, statistisk eller videnskabeligt øjemed opbevares længere end
         i ovennævnte periode«.
      
      13      Direktivets artikel 10 og 11 indeholder bestemmelser om de oplysninger, som den registeransvarlige ellers dennes repræsentant
         er forpligtet til at give den pågældende person, når oplysningerne er indsamlet, henholdsvis ikke indsamlet hos denne.
      
      14      Direktivets artikel 12, med overskriften »Ret til indsigt«, bestemmer:
      
      »Medlemsstaterne sikrer enhver registreret ret til hos den registeransvarlige:
      a)      frit og uhindret, med rimelige mellemrum og uden større ventetid eller større udgifter:
      –        at få oplyst, om der behandles personoplysninger om den pågældende selv, samt mindst formålene med behandlingen, hvilken type
         oplysninger det drejer sig om, og modtagerne eller kategorierne af modtagere af oplysningerne
      
      –        at få meddelt letforståelig information om, hvilke oplysninger der er omfattet af behandlingerne, samt enhver tilgængelig
         information om, hvorfra disse oplysninger stammer
      
      –        at få at vide, hvilken logik der ligger bag edb-behandlingen af oplysningerne om den pågældende, i det mindste i forbindelse
         med edb-baserede afgørelser som omhandlet i artikel 15, stk. 1
      
      b)      efter omstændighederne at få oplysninger, som ikke er blevet behandlet i overensstemmelse med dette direktiv, berigtiget,
         slettet eller blokeret, navnlig hvis de er ufuldstændige eller urigtige
      
      c)      at få udvirket, at tredjemand, til hvem sådanne oplysninger er blevet videregivet, underrettes om enhver berigtigelse, sletning
         eller blokering, der er foretaget i overensstemmelse med litra b), medmindre underretning viser sig umulig eller uforholdsmæssig
         vanskelig.«
      
      15      Ifølge direktivets artikel 13, stk. 1, med overskriften »Undtagelser og begrænsninger«, kan medlemsstaterne bl.a. gøre undtagelse
         fra artikel 6 og 12, såfremt dette er nødvendigt for at tilgodese visse offentlige hensyn, herunder hensyn til statens sikkerhed,
         forsvaret, retsforfølgning i straffesager og en række andre hensyn såsom beskyttelsen af den registreredes interesser eller
         andres rettigheder og frihedsrettigheder.
      
      16      Det bestemmes i direktivets artikel 14, at medlemsstaterne indrømmer den registrerede ret til på visse betingelser at modsætte
         sig en behandling af personoplysninger, der vedrører den pågældende.
      
      17      Ifølge direktivets artikel 17, stk. 1, andet afsnit, påhviler det medlemsstaterne at fastsætte bestemmelser om, at den registeransvarlige
         skal iværksætte de fornødne tekniske og organisatoriske foranstaltninger til at garantere, at der under hensyn til det aktuelle
         tekniske niveau og de omkostninger, som er forbundet med foranstaltningernes iværksættelse, tilvejebringes et tilstrækkeligt
         sikkerhedsniveau i forhold til de risici, som behandlingen indebærer, og arten af de oplysninger, som skal beskyttes.
      
      18      Ifølge direktivets artikel 22 og artikel 23, stk. 1, skal medlemsstaterne fastsætte bestemmelser til sikring af, at enhver
         har ret til at anlægge sag ved en domstol i tilfælde af krænkelser af de rettigheder, der er garanteret den pågældende i henhold
         til de nationale love, der gælder for den omhandlede behandling, og til sikring af, at enhver, som har lidt skade som følge
         af en ulovlig behandling eller enhver anden handling, der er uforenelig med de nationale bestemmelser, der vedtages til gennemførelse
         af direktivet, har ret til erstatning for den forvoldte skade fra den registeransvarlige.
      
       Nationale retsforskrifter
      19      Direktivet er gennemført i nederlandsk ret ved en generel lov, nemlig loven om beskyttelse af personoplysninger (Wet bescherming
         persoonsgegevens). Endvidere er der fastsat særlige lovbestemmelser for at efterkomme direktivet. Det gælder således den lov,
         som er omtvistet i hovedsagen, nemlig lov om den kommunale forvaltningshåndtering af personoplysninger (Wet gemeentelijke
         basisadministratie persoonsgegevens, Stb. 1994, nr. 494, herefter »Wet GBA«).
      
      20      Artikel 103, stk. 1, i Wet GBA bestemmer, at kommunalbestyrelsen, såfremt den pågældende anmoder derom, inden fire uger skal
         give denne skriftlig meddelelse om de oplysninger vedrørende den pågældende, som kommunalforvaltningen har videregivet til
         en person eller en tredjemand i løbet af det år, der er gået forud for anmodningen.
      
      21      Ifølge artikel 110 i Wet GBA skal kommunalbestyrelsen gøre optegnelser om videregivelsen af oplysninger inden for det år,
         som følger efter oplysningerne videregivelse, medmindre denne fremgår på anden måde af databasen.
      
      22      Det fremgår af kommunalbestyrelsens skriftlige indlæg, at de oplysninger, som kommunen opbevarer, bl.a. vedrører navn, fødselsdato,
         administrativt registreringsnummer, personnummer, den kommune, hvori den pågældende er registreret, adresse og dato for registreringen
         i kommunen, civilstand, værgemål, forældremyndighed, nationalitet og udlændinges opholdsret.
      
       Tvisten i hovedsagen og det præjudicielle spørgsmål
      23      Ved skrivelse af 26. oktober 2005 anmodede M.E.E. Rijkeboer kommunalbestyrelsen om at informere ham om alle de tilfælde, hvor
         kommunalforvaltningen havde videregivet oplysninger vedrørende ham til andre inden for de sidste to år forud for hans anmodning.
         Han ønskede at blive gjort bekendt med, hvilke personer disse oplysninger var videregivet til, og indholdet af de videregivne
         oplysninger. Rijkeboer, som var flyttet til en anden kommune, ønskede navnlig at vide, til hvem oplysning om hans gamle adresse
         var videregivet.
      
      24      Ved sine afgørelser af 27. oktober og 29. november 2005 efterkom kommunalbestyrelsen kun delvis Rijkeboers anmodning, idet
         den i medfør af artikel 103, stk. 1, i Wet GBA kun meddelte ham den pågældende information vedrørende det sidste år forud
         for hans anmodning.
      
      25      Videregivelsen af oplysninger registreres i et system, der benævnes »Logisch Ontwerp GBA«. Det er et automatiseret system,
         som er oprettet af Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (ministeriet for indenrigsanliggender og anliggender
         inden for Kongeriget Nederlandene). Det fremgår af anmodningen om præjudiciel afgørelse, at den information, som Rijkeboer
         anmodede om, og som vedrørte tiden længere tilbage end året forud for hans anmodning, automatisk var blevet slettet i overensstemmelse
         med bestemmelserne i artikel 110 i Wet GBA.
      
      26      Rijkeboer indgav en klage til kommunalbestyrelsen over afslaget på at give ham information om, til hvem der var videregivet
         oplysninger vedrørende ham for tiden længere tilbage end året forud for hans anmodning. Klagen blev imidlertid afvist ved
         afgørelse af 13. februar 2006, hvorefter Rijkeboer anlagde sag ved Rechtbank Rotterdam.
      
      27      Denne ret gav ham medhold i sagen med den begrundelse, at den i artikel 103, stk. 1, i Wet GBA indeholdte begrænsning af retten
         til at modtage information om de oplysninger, som er videregivet til modtagere, til kun at omfatte året forud for anmodningen,
         er uforenelig med direktivets artikel 12. Rechtbank Rotterdam fastslog endvidere, at undtagelserne i direktivets artikel 13
         ikke finder anvendelse i denne sag.
      
      28      Kommunalbestyrelsen ankede dommen til Raad van State, som har fastslået, at direktivets artikel 12 vedrørende retten til indsigt
         i oplysninger ikke fastsætter nogen frist for udøvelse af denne ret. Efter Raad van States opfattelse indebærer denne bestemmelse
         dog ikke nødvendigvis, at den nationale lovgiver er udelukket fra at fastsætte en tidsmæssig begrænsning for den pågældende
         persons ret til at modtage information om, til hvem der er videregivet personoplysninger vedrørende den pågældende, men er
         i tvivl herom.
      
      29      Raad van State har derfor besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:
      
      »Er den tidsmæssige begrænsning i adgangen til at modtage information om, til hvem personoplysninger er videregivet, som er
         fastsat i [loven] til et år forud for indgivelsen af anmodningen herom, forenelig med [direktivets] artikel 12, litra a),
         eventuelt sammenholdt med direktivets artikel 6, stk. 1, litra e), og proportionalitetsprincippet?«
      
       Det præjudicielle spørgsmål
      30      Indledningsvis bemærkes, at det inden for rammerne af det retlige samarbejde, som er fastsat ved artikel 234 EF, tilkommer
         Domstolen at fortolke bestemmelser i fællesskabsretten. Derimod tilkommer det de nationale domstole at fortolke de nationale
         retsregler (jf. dom af 14.2.2008, sag C-449/06, Gysen, Sml. I, s. 553, præmis 17).
      
      31      Det spørgsmål, som er stillet af den forelæggende ret, må derfor forstås således, at det nærmere betegnet ønskes oplyst, om
         det ifølge direktivet, og navnlig artikel 12, litra a), er muligt at begrænse en persons adgang til information om modtagerne
         eller kategorierne af modtagere af personoplysninger vedrørende den pågældende og information om indholdet af de videregivne
         oplysninger, til en etårsperiode forud for anmodningen om adgang til denne information.
      
      32      Den forelæggende ret har fremhævet to bestemmelser i direktivet, nemlig artikel 6, stk. 1, litra e), om opbevaring af personoplysninger
         og artikel 12, litra a), om ret til indsigt i disse oplysninger. Derimod har hverken den forelæggende ret eller nogen af de
         parter, som har afgivet indlæg ved Domstolen, påberåbt sig undtagelserne i direktivet artikel 13.
      
      33      Direktivets artikel 6 vedrører de krav, der stilles til oplysningerne. Ifølge stk. 1, litra e), skal medlemsstaterne fastsætte
         bestemmelser til sikring af, at personoplysninger ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn
         til de formål, hvortil de indsamles, eller med henblik på hvilke de behandles på et senere tidspunkt. Oplysningerne skal altså
         slettes, når disse formål er opfyldt.
      
      34      Direktivets artikel 12, litra a), bestemmer, at medlemsstaterne skal give den registrerede ret til indsigt i disse personoplysninger
         og til at få oplyst modtagerne eller kategorierne af modtagere af sådanne oplysninger, uden at bestemmelsen angiver nogen
         tidsfrist herfor.
      
      35      Disse to artikler har altså til formål at beskytte den registrerede. Den forelæggende ret søger oplyst, om der er en forbindelse
         mellem disse to artikler i den forstand, at retten til at modtage information om modtagerne eller kategorierne af modtagere
         af personoplysninger og om indholdet af de videregivne oplysninger kan være afhængig af, hvor længe oplysningerne opbevares.
      
      36      Det fremgår af indlæggene for Domstolen, at der er forskellige opfattelser vedrørende forbindelsen mellem disse to bestemmelser.
      
      37      Kommunalbestyrelsen og den nederlandske, tjekkiske og spanske regering samt Det Forenede Kongeriges regering har gjort gældende,
         at retten ifølge direktivets artikel 12, litra a), til at modtage information om modtagerne eller modtagerkategorierne kun
         gælder for nutiden og ikke for fortiden. Når oplysningerne er blevet slettet i overensstemmelse med den nationale lovgivning,
         kan den registrerede ikke længere få adgang dertil. Denne følgevirkning er ikke i strid med direktivet.
      
      38      Kommunalbestyrelsen og den nederlandske regering har nærmere gjort gældende, at bestemmelsen i artikel 103, stk. 1, i Wet
         GBA, hvorefter kommunen, når den pågældende anmoder derom, skal informere denne om de oplysninger, som er videregivet til
         andre inden for det sidste år forud for hans anmodning, er mere vidtgående end direktivets krav.
      
      39      Kommissionen og den græske regering har gjort gældende, at retten til indsigt ifølge direktivet ikke blot gælder for nutiden,
         men også for perioden forud for anmodningen om indsigt. De er dog uenige om det præcise omfang af den periode, retten til
         indsigt omfatter.
      
      40      For at vurdere omfanget af den ret til indsigt, som tilkommer den registrerede ifølge direktivet, skal det først afgøres,
         hvilke oplysninger retten til indsigt omfatter, og formålet med direktivets artikel 12, litra a), skal derpå vurderes i lyset
         af målene med direktivet.
      
      41      Der er to kategorier af oplysninger, som har relevans i et tilfælde som Rijkeboers.
      
      42      Den første kategori af oplysninger vedrører de private oplysninger, som en kommune råder over vedrørende en person, såsom
         dennes navn og adresse, der i det foreliggende tilfælde udgør basisoplysningerne. Det fremgår af de mundtlige indlæg, som
         er afgivet af kommunalbestyrelsen og den nederlandske regering, at disse oplysninger kan opbevares i lang tid. De udgør »personoplysninger«
         i den forstand, hvori dette udtryk er anvendt i direktivets artikel 2, litra a), da der er tale om oplysninger om en identificeret
         eller identificerbar fysisk person (jf. i denne retning dom af 20.5.2003, forenede sager C-465/00, C-138/01 og C-139/01, Österreichischer
         Rundfunk m.fl., Sml. I, s. 4989, præmis 64, af 6.11.2003, sag C-101/01, Lindqvist, Sml. I, s. 12971, præmis 24, og af 16.12.2008,
         sag C-524/06, Huber, endnu ikke trykt i Samling af Afgørelser, præmis 43).
      
      43      Den anden kategori af oplysninger vedrører information om modtagerne eller kategorierne af modtagere, som disse basisoplysninger
         er videregivet til, og om indholdet af disse oplysninger, og vedrører derfor behandlingen af basisoplysningerne. Ifølge den
         nationale lovgivning, som er omtvistet i hovedsagen, opbevares denne information kun et år.
      
      44      Den tidsmæssige begrænsning af retten til at modtage information om modtageren eller modtagerne af personoplysninger og om
         indholdet af de videregivne oplysninger, som er omhandlet i hovedsagen, vedrører altså denne anden kategori af oplysninger.
      
      45      For at afgøre, om en sådan tidsmæssig begrænsning er lovlig efter direktivets artikel 12, litra a), må denne artikel fortolkes
         på grundlag af sit formål vurderet i lyset af målene med direktivet.
      
      46      Ifølge artikel 1 er det direktivets formål at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder,
         især retten til privatlivets fred, i forbindelse med behandling af personoplysninger og dermed muliggøre den fri udveksling
         af sådanne oplysninger mellem medlemsstaterne.
      
      47      Betydningen af at beskytte privatlivets fred er fremhævet i direktivets anden og tiende betragtning og understreget i Domstolens
         praksis (jf. i denne retning dommen i sagen Österreichischer Rundfunk m.fl., præmis 70, og Lindqvist-dommen, præmis 97 og
         99, samt dom af 29.1.2008, sag C-275/06, Promusicae, Sml. I, s. 271, præmis 63, og af 16.12.2008, sag C-73/07, Satakunnan
         Markkinapörssi og Satamedia, endnu ikke trykt i Samling af Afgørelser, præmis 52).
      
      48      I øvrigt skal principperne for denne beskyttelse, som det fremgår af direktivets 25. betragtning, afspejles dels i de forskellige
         forpligtelser, som påhviler dem, der er ansvarlige for databehandlingen – hvilke forpligtelser bl.a. vedrører kravene til
         oplysningerne, som er emnet for direktivets artikel 6 – dels i retten for de personer, hvis personoplysninger gøres til genstand
         for behandling, til at blive underrettet om en behandling, til indsigt i disse oplysninger, til at kunne kræve oplysningerne
         berigtiget, men også til under visse omstændigheder at gøre indsigelse mod en behandling.
      
      49      Denne ret til respekt for privatlivets fred indebærer, at den registrerede skal kunne have sikkerhed for, at hans personoplysninger
         behandles korrekt og lovligt, dvs. navnlig, at basisoplysningerne om den pågældende er korrekte og videregives til nogen,
         som er berettiget til at modtage dem. Som det udtales i direktivets 41. betragtning, skal den registrerede have ret til indsigt
         i de oplysninger om ham selv, som gøres til genstand for behandling, for at kunne foretage den nødvendige efterprøvelse heraf.
      
      50      Hvad dette spørgsmål angår bestemmer direktivets artikel 12, litra a), at den registrerede har ret til indsigt i basisoplysningerne
         og til at modtage information om modtagerne eller kategorierne af modtagerne af oplysningerne.
      
      51      Denne ret til indsigt er nødvendig, for at den registrerede kan udøve sine rettigheder i henhold til direktivets artikel 12,
         litra b) og c), til at udvirke, dels at oplysninger, som ikke er blevet behandlet i overensstemmelse med direktivet, berigtiges,
         slettes eller blokeres af den registeransvarlige [litra b)], dels at den registeransvarlige underretter tredjemand om sådanne
         berigtigelser, slettelser eller blokeringer, medmindre underretning viser sig umulig eller uforholdsmæssig vanskelig [litra
         c)].
      
      52      Denne ret til indsigt er også nødvendig for, at den registrerede kan udøve sin ret efter direktivets artikel 14 til at gøre
         indsigelse mod behandling af hans personoplysninger eller af hans adgang efter direktivets artikel 22 og 23 til at iværksætte
         retsmidler, såfremt han har lidt skade.
      
      53      Hvad angår retten til at modtage information om modtagerne eller kategorierne af modtagere af basisoplysninger og om indholdet
         af de videregivne oplysninger præciserer direktivet ikke, om denne ret vedrører fortiden, og i givet fald hvilken periode
         i fortiden.
      
      54      I den forbindelse må det konstateres, at denne ret nødvendigvis må vedrøre fortiden, såfremt den skal sikre den effektive
         virkning af de bestemmelser, som er nævnt i denne doms præmis 51 og 52. Hvis ikke dette var tilfældet, ville den pågældende
         ikke være i stand til effektivt at udøve sin ret til at sikre, at de oplysninger, som angiveligt er ulovlige eller urigtige,
         berigtiges, slettes eller blokeres, eller til at anlægge sag og opnå erstatning for den forvoldte skade.
      
      55      Spørgsmålet i sagen er, hvilket omfang denne ret har hvad angår fortiden.
      
      56      Domstolen har tidligere fastslået, at direktivets bestemmelser er relativt generelle, da de skal kunne finde anvendelse på
         mange, meget forskellige situationer, og da direktivet indeholder bestemmelser, der er kendetegnet ved en vis fleksibilitet,
         hvor det i mange tilfælde er overladt til medlemsstaterne at fastlægge detaljerne eller at vælge mellem forskellige muligheder
         (jf. Lindqvist-dommen, præmis 83). Domstolen har også anerkendt, at medlemsstaterne i mange henseender har et betydeligt råderum
         ved direktivet gennemførelse (jf. Lindqvist-dommen, præmis 84). Dette råderum, som bekræftes hvad angår gennemførelsen af
         direktivets artikel 12, litra a), er dog ikke ubegrænset.
      
      57      Når der fastsættes en frist vedrørende retten til at modtage information om modtagerne eller kategorierne af modtagere af
         videregivne oplysninger og om indholdet af disse oplysninger, skal den fastsættes på en sådan måde, at den registrerede har
         mulighed for at udøve de forskellige rettigheder, der tilkommer ham ifølge direktivet, og som er nævnt i denne doms præmis
         51 og 52.
      
      58      Perioden for opbevaringen af basisoplysningerne kan udgøre et anvendeligt kriterium uden dog at være afgørende.
      
      59      Direktivets anvendelsesområde er nemlig meget bredt, som Domstolen tidligere har anerkendt (jf. dommen i sagen Österreichischer
         Rundfunk m.fl., præmis 43, og Lindqvist-dommen, præmis 88), og de personoplysninger, som er omfattet af direktivet, er meget
         forskellige. Perioden for opbevaring af disse oplysninger, som i direktivets artikel 6, stk. 1, litra e), er angivet at være
         afhængig af de formål, hvortil oplysningerne indsamles, eller med henblik på hvilke de behandles på et senere tidspunkt, kan
         derfor variere. Når perioden for opbevaringen af basisoplysningerne er meget lang, kan det i visse tilfælde begrænse den registreredes
         interesse i at udnytte de aktionsmuligheder og retsmidler, som er nævnt i denne doms præmis 57. Hvis der f.eks. er mange modtagere
         af sådanne oplysninger, eller disse videregives med stor hyppighed til et begrænset antal modtagere, vil forpligtelsen til
         at opbevare informationen om modtagerne eller kategorier af modtagere og om indholdet af de videregivne oplysninger i lige
         så lang tid kunne medføre en uforholdsmæssig stor byrde for den registeransvarlige.
      
      60      Direktivet kræver dog ikke, at medlemsstaterne pålægger den registeransvarlige sådanne forpligtelser.
      
      61      Således fastsætter direktivets artikel 12, litra c), en udtrykkelig begrænsning i den registeransvarliges forpligtelse til
         at underrette tredjemænd om berigtigelser, slettelser eller blokeringer, nemlig når underretning viser sig umulig eller uforholdsmæssig
         vanskelig.
      
      62      Ifølge andre af direktivets bestemmelser kan der tages hensyn til, at visse foranstaltninger kan være uforholdsmæssige. Hvad
         angår forpligtelsen til at informere den registrerede, udtales det i direktivets 40. betragtning, at der kan tages hensyn
         til antallet af registrerede og til oplysningernes alder. Endvidere bestemmes det i direktivets artikel 17, som vedrører behandlingssikkerheden,
         at medlemsstaterne skal fastsætte bestemmelser om, at den registeransvarlige iværksætter de fornødne tekniske og organisatoriske
         foranstaltninger til at tilvejebringe et tilstrækkeligt sikkerhedsniveau i forhold til de risici, som behandlingen indebærer,
         og arten af de oplysninger, som skal beskyttes, når henses til det aktuelle tekniske niveau og de omkostninger, som er forbundet
         med foranstaltningernes iværksættelse.
      
      63      Der bør anlægges tilsvarende betragtninger hvad angår fastsættelsen af en frist for retten til at modtage information om modtagerne
         eller kategorierne af modtagere og om indholdet af de videregivne oplysninger. Ud over de betragtninger, som er nævnt i denne
         doms præmis 57, kan medlemsstaterne således tage hensyn til flere omstændigheder, bl.a. de nationale retsforskrifter vedrørende
         søgsmålsfrister, basisoplysningernes mere eller mindre følsomme karakter, varigheden af den periode, hvorunder oplysningerne
         opbevares, og antallet af de pågældende modtagere.
      
      64      Det tilkommer således medlemsstaterne at fastsætte en frist for opbevaringen af information om modtagerne eller kategorierne
         af modtagere og om indholdet af de videregivne oplysninger, samt at fastsætte bestemmelser om adgangen til denne information,
         som udgør en rimelig afvejning af, på den ene side, hensynet til den registreredes interesse i beskyttelse af hans privatliv
         bl.a. i kraft af retten til berigtigelse, slettelse og blokering af oplysninger, såfremt disse er blevet behandlet i strid
         med direktivet, samt indsigelsesretten og adgangen til at iværksætte retsmidler og, på den anden side, hensynet til den byrde,
         som forpligtelsen til at opbevare denne information udgør for den registeransvarlige.
      
      65      I øvrigt bør der ved fastsættelsen af denne frist også tages hensyn til forpligtelserne som følge af direktivets artikel 6,
         litra e), til at fastsætte bestemmelser om, at personoplysninger ikke må opbevares på en måde, der giver mulighed for at identificere
         de registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de indsamles, eller med henblik
         på hvilke de behandles på et senere tidspunkt.
      
      66      I den foreliggende sag udgør en lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne
         af modtagere af oplysninger og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information
         til samme periode, selv om basisoplysningerne opbevares i meget længere tid, ikke en rimelig afvejning af de pågældende interesser
         og forpligtelser, medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor
         byrde for den registeransvarlige. Det tilkommer dog den nationale ret at foretage de nødvendige efterprøvelser i lyset af
         de betragtninger, som er nævnt i de foregående præmisser.
      
      67      Når henses til de foregående betragtninger, kan det argument, som er gjort gældende af visse medlemsstater, og hvorefter anvendelsen
         af direktivets artikel 10 og 11 medfører, at det ikke er nødvendigt hvad angår fortiden at give adgang til information om
         modtagerne eller kategorierne af modtagere i henhold til direktivet artikel 12, litra a), ikke tages til følge.
      
      68      Det må nemlig fastslås, at der ifølge artikel 10 og 11 påhviler den registeransvarlige eller dennes repræsentant en række
         forpligtelser til på visse betingelser at informere den registrerede bl.a. om modtagerne eller kategorierne af modtagere af
         oplysninger. Den, som er ansvarlig for oplysningerne, eller dennes repræsentant skal af egen drift meddele den registrerede
         denne information bl.a. på tidspunktet for indsamlingen af oplysningerne eller tidspunktet for registreringen heraf, hvis
         oplysningerne ikke indsamles direkte hos den registrerede, eller eventuelt på tidspunktet for videregivelsen af disse oplysninger
         til en tredjemand.
      
      69      De forpligtelser, som disse bestemmelser indebærer, er således forskellige fra dem, der følger af direktivet artikel 12, litra
         a). De indebærer derfor ingenlunde nogen afsvækkelse af medlemsstaternes forpligtelse til at fastsætte bestemmelser om, at
         den registeransvarlige skal give den registrerede adgang til information om modtagerne eller kategorierne af modtagere og
         om de videregivne oplysninger, når den registrerede beslutter at gøre brug af sin ret til indsigt ifølge artikel 12, litra
         a). Medlemsstaterne skal vedtage foranstaltninger, såvel til gennemførelse af bestemmelserne i direktivets artikel 10 og 11
         om oplysningspligten som bestemmelserne i direktivets artikel 12, litra a), uden at de førstnævnte bestemmelser må afsvække
         forpligtelserne efter de sidstnævnte bestemmelser.
      
      70      Det forelagte spørgsmål må derfor besvares på følgende måde:
      
      –        Ifølge direktivets artikel 12, litra a), er medlemsstaterne forpligtet til at fastsætte bestemmelser om retten til at modtage
         information vedrørende modtagerne eller kategorierne af modtagere af oplysninger og om indholdet af den videregivne information
         ikke blot hvad angår nutiden, men også hvad angår fortiden. Det tilkommer medlemsstaterne at fastsætte en frist for opbevaringen
         af denne information og om en tilsvarende adgang hertil, som udgør en rimelig afvejning mellem, på den ene side, hensynet
         til den registreredes interesse i beskyttelse af hans privatliv bl.a. i kraft af de aktionsmuligheder og retsmidler, som er
         fastsat i direktivet, og, på den anden side, hensynet til den byrde, som forpligtelsen til at opbevare denne information udgør
         for den registeransvarlige
      
      –        En lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne af modtagere af oplysninger
         og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information til samme periode, selv om
         basisoplysningerne opbevares i meget længere tid, udgør ikke en rimelig afvejning af de pågældende interesser og forpligtelser,
         medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor byrde for den registeransvarlige.
         Det tilkommer den nationale ret at foretage de nødvendige efterprøvelser.
      
       Sagens omkostninger
      71      Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer
         det denne at træffe afgørelse om sagens omkostninger. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt
         i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
      
      På grundlag af disse præmisser kender Domstolen (Tredje Afdeling) for ret:
      Ifølge artikel 12, litra a), i Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske
            personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger er medlemsstaterne
            forpligtet til at fastsætte bestemmelser om retten til at modtage information vedrørende modtagerne eller kategorierne af
            modtagere af oplysninger og om indholdet af den videregivne information ikke blot hvad angår nutiden, men også hvad angår
            fortiden. Det tilkommer medlemsstaterne at fastsætte en frist for opbevaringen af denne information og om en tilsvarende adgang
            hertil, som udgør en rimelig afvejning mellem, på den ene side, hensynet til den registreredes interesse i beskyttelse af
            hans privatliv bl.a. i kraft af de aktionsmuligheder og retsmidler, som er fastsat i direktiv 95/46, og, på den anden side,
            hensynet til den byrde, som forpligtelsen til at opbevare denne information udgør for den registeransvarlige.
      En lovgivning, som begrænser perioden for opbevaring af information om modtagerne eller kategorierne af modtagere af oplysninger
            og indholdet af de videregivne oplysninger til et år og begrænser adgangen til denne information til samme periode, selv om
            basisoplysningerne opbevares i meget længere tid, udgør ikke en rimelig afvejning af de pågældende interesser og forpligtelser,
            medmindre det godtgøres, at en længere opbevaring af denne information vil udgøre en uforholdsmæssig stor byrde for den registeransvarlige.
            Det tilkommer den nationale ret at foretage de nødvendige efterprøvelser.
      Underskrifter
      * Processprog: nederlandsk.