CELEX: 62001CJ0101
Language: sv
Date: 2003-11-06
Title: Domstolens dom den 6 november 2003.#Brottmål mot Bodil Lindqvist.#Begäran om förhandsavgörande: Göta hovrätt - Sverige.#Direktiv 95/46/EG - Tillämpningsområde - Offentliggörande av personuppgifter på Internet - Platsen för offentliggörandet - Begreppet överföring av personuppgifter till tredje land - Yttrandefrihet - Huruvida ett större skydd för personuppgifter i nationell lagstiftning i en medlemsstat är förenligt med direktiv 95/46.#Mål C-101/01.

Mål C-101/01 BrottmålmotBodil Lindqvist(begäran om förhandsavgörande från Göta hovrätt (Sverige))
         
            «Direktiv 95/46/EG  –  Tillämpningsområde  –  Offentliggörande av personuppgifter på Internet  –  Platsen för offentliggörandet  –  Begreppet överföring av personuppgifter till tredje land  –  Yttrandefrihet  –  Huruvida ett större skydd för personuppgifter i nationell lagstiftning i en medlemsstat är förenligt med direktiv 95/46»
            
               
                  Förslag till avgörande av generaladvokat A. Tizzano föredraget den 19 september 2002
                     
               
               
            
                   
               
               
            
               
                  Domstolens dom av den 6 november 2003
                     
               
               
            
                   
               
               
            
            Sammanfattning av domen
         
         
                  1.
                  Tillnärmning av lagstiftning  –  Direktiv 95/46  –  Tillämpningsområde  –  Begreppet behandling av personuppgifter som helt eller delvis företas på automatisk väg  – Omnämnandet på en webbsida av olika personer, vilka identifieras med namn eller på annat sätt, till exempel med telefonnummer
                     eller med uppgifter om deras arbetsförhållanden och fritidsintressen  –  Omfattas  –  Undantag  –  Sådan verksamhet som endast kan bedrivas av staten eller statliga myndigheter och som inte kan bedrivas av enskilda personer
                      –  Verksamhet som utgör en del av enskildas privat- eller familjeliv  –  Behandling av personuppgifter som består i att de offentliggörs på Internet inom ramen för ideell eller religiös verksamhet
                      –  Omfattas inte
                  (Europaparlamentets  och rådets direktiv 95/46, artikel 3.1 och 3.2 första och andra strecksatserna)  
                  
         
                  2.
                  Tillnärmning av lagstiftning  –  Direktiv 95/46  –    Tillämpningsområde  –  Begreppet personuppgift om hälsa  –  Uppgift om att en person har skadat sin fot och är deltidssjukskriven  –  Omfattas(Europaparlamentets  och rådets direktiv 95/46, artikel 8.1)  
                  
         
                  3.
                  Tillnärmning av lagstiftning  –  Direktiv 95/46  –  Överföring av personuppgifter till tredje land  –  Begrepp  –  Utläggande av uppgifter på en webbsida vilka blir åtkomliga för personer, även  i tredje land, som har de tekniska möjligheterna
                     att få tillgång till hemsidan  –  Omfattas inte
                  (Europaparlamentets  och rådets direktiv 95/46, artikel 25)  
                  
         
                  4.
                  Tillnärmning av lagstiftning  –  Direktiv 95/46  –    Iakttagande av de grundläggande rättigheterna  –   Yttrandefrihet  –  Nationella myndigheter som skall tillämpa de nationella bestämmelser genom vilka detta direktiv har införlivats är skyldiga
                     att garantera en rättvis balans mellan de rättigheter och intressen som är i fråga
                  (Europaparlamentets  och rådets direktiv 95/46)  
                  
         
                  5.
                  Tillnärmning av lagstiftning  –  Direktiv 95/46  –  Nationell lagstiftning om skydd för personuppgifter  –  Nödvändig överensstämmelse med såväl direktivets bestämmelser som dess syfte  –  Möjlighet för medlemsstaten att utvidga räckvidden till att omfatta områden som inte ingår i direktivets tillämpningsområde
                      –  Gränser
                  (Europaparlamentets  och rådets direktiv 95/46)  
                  
         
         
          
         1.
         Omnämnandet av olika personer – vilka identifieras med namn eller på annat sätt, till exempel med telefonnummer eller med
            uppgifter om deras arbetsförhållanden och fritidsintressen – på en webbsida utgör en ”behandling av personuppgifter som helt
            eller delvis företas på automatisk väg”, i den mening som avses i artikel 3.1 i direktiv 95/46 om skydd för enskilda personer
            med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Sådan behandling av personuppgifter
            omfattas inte av något av de undantag som nämns i punkt 2 i nämnda artikel.
         
         
         Det första undantaget, som anges i första strecksatsen i artikel 3.2, avser nämligen sådan behandling av personuppgifter som
            utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna
            V och VI i Fördraget om Europeiska unionen, och avser under alla omständigheter behandlingar som rör allmän säkerhet, försvar,
            statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och
            statens verksamhet på straffrättens område. Den verksamhet som nämns såsom exempel i denna bestämmelse är i samtliga fall
            sådan verksamhet som endast kan bedrivas av staten eller statliga myndigheter och som inte kan bedrivas av enskilda personer.
            Angivandet av denna verksamhet syftar till att definiera räckvidden av det där föreskrivna undantaget, varför detta undantag
            endast är tillämpligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori. Ideell eller
            religiös verksamhet kan emellertid inte likställas med sådan verksamhet som nämns i denna bestämmelse och omfattas således
            inte av detta undantag. Det andra undantaget, som anges i andra strecksatsen i artikel 3.2, avser sådan verksamhet som utgör
            en del av enskildas privat- eller familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av personuppgifter
            som består i att de offentliggörs på Internet för att dessa uppgifter skall bli tillgängliga för ett obestämt antal personer.
         
         
               (se punkterna 27, 38, 43–48, samt punkterna 1 och 2 i domslutet)
         
         
          
         2.
         En uppgift om att en person har skadat sin fot och är deltidssjukskriven utgör en personuppgift om hälsa, i den mening som
            avses i artikel 8.1 i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det
            fria flödet av sådana uppgifter. Med hänsyn till syftet med detta direktiv skall uttrycket ”uppgifter som rör hälsa”, vilket
            används i denna bestämmelse, nämligen ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter, såväl fysiska
            som psykiska, av en persons hälsa.
         
         
                (se punkterna 50 och 51, samt punkt 3 i domslutet)
         
         
          
         3.
         Det föreligger inte någon ”överföring av ... uppgifter till tredje land”, i den mening som avses i artikel 25 i direktiv 95/46
            om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, när
            en person som befinner sig i en medlemsstat lägger ut personuppgifter på en webbsida som är lagrad hos en fysisk eller juridisk
            person som hyser den webbplats där sidan kan läsas och som är etablerad i samma medlemsstat eller i en annan medlemsstat,
            varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land.
         
         
         Med hänsyn dels till det stadium på vilket Internets utveckling befann sig vid den tidpunkt då direktiv 95/46 utarbetades,
            dels till att det i kapitel IV i direktivet, i vilket artikel 25 ingår – som syftar till att säkerställa att medlemsstaterna
            har kontroll över överföringen av personuppgifter till tredje land och till att överföring av personuppgifter till ett tredje
            land skall förbjudas om inte det landet garanterar en adekvat skyddsnivå – ,inte anges några kriterier som är tillämpliga
            på Internetanvändning, kan det inte presumeras att gemenskapslagstiftaren hade för avsikt att med tanke på framtiden låta
            ett sådant utläggande av uppgifter på en webbsida omfattas av begreppet överföring av uppgifter till tredje land, även om
            dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till
            hemsidan.
         
         
               (se punkterna 63, 64, 68 och 71, samt punkt 4 i domslutet)
         
         
          
         4.
         Bestämmelserna i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria
            flödet av sådana uppgifter utgör inte i sig en begränsning som står i strid med den allmänna principen om yttrandefrihet,
            eller andra fri- och rättigheter, som gäller inom Europeiska unionen och som har en motsvarighet i bland annat artikel 10
            i Europakonventionen om skydd för de mänskliga rättigheterna. Det ankommer på de nationella myndigheter och domstolar som
            skall tillämpa de nationella bestämmelser genom vilka detta direktiv har införlivats att garantera en rättvis balans mellan
            de rättigheter och intressen som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens rättsordning.
         
         
               (se punkt 90, samt punkt 5 i domslutet)
         
         
          
         5.
         De åtgärder som medlemsstaterna vidtar för att säkerställa skyddet av personuppgifter skall stå i överensstämmelse med såväl
            bestämmelserna i direktiv 95/46 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria
            flödet av sådana uppgifter som med dess målsättning att upprätthålla en balans mellan det fria flödet av personuppgifter och
            skyddet för privatlivet. Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom
            bestämmelserna i detta direktiv har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde,
            såvida ingen annan gemenskapsrättslig bestämmelse utgör hinder för detta.
         
         
               (se punkt 99, samt punkt 6 i domslutet)
      

      
      
      
      
      
      
      
      
      
      
      
      
      
      
      
            
            DOMSTOLENS DOMden 6 november 2003(1)
         
         
            
         
               Direktiv 95/46/EG  –  Tillämpningsområde  –  Offentliggörande av personuppgifter på Internet  –  Platsen för offentliggörandet  –  Begreppet överföring av personuppgifter till tredje land  –  Yttrandefrihet  –  Huruvida ett mer långtgående skydd för personuppgifter i en medlemsstats lagstiftning är förenligt med direktiv 95/46
               
            I mål C-101/01, 
             angående en begäran enligt artikel 234 EG, från Göta hovrätt (Sverige), att domstolen skall meddela ett förhandsavgörande
            i det vid den nationella domstolen anhängiga brottmålet mot
            
            
            
             Bodil Lindqvist, 
            
            
            
            
            
            
             angående bland annat tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda
            personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter  (EGT L 281, s. 31),meddelar
            
            DOMSTOLEN,
            
             sammansatt av ordföranden på första avdelningen P. Jann, tillförordnad ordförande, avdelningsordförandena  C.W.A. Timmermans,
            C. Gulmann, J.N Cunha Rodrigues och A. Rosas samt domarna D.A.O. Edward (referent), J .-P Puissochet,  F. Macken och  S. von
            Bahr,
            
             generaladvokat: A. Tizzano,justitiesekretarare: biträdande justitiesekreteraren H. von Holstein,
            
            
            med beaktande av de skriftliga yttranden som har inkommit från:
               
               –
                Bodil Lindqvist, genom advokaten S. Larsson,
               
               –
                Sveriges regering, genom A. Kruse, i egenskap av ombud,
               
               –
                Nederländernas regering, genom H.G. Sevenster, i egenskap av ombud,
               
               –
                Förenade kungarikets regering, genom G. Amodeo, i egenskap av ombud, biträdd av J. Stratford, barrister,
               
               –
                Europeiska gemenskapernas kommission, genom L. Ström och X. Lewis, båda i egenskap av ombud, 
               
               
            
            
            
            
            efter att muntliga yttranden har avgivits vid förhandlingen den 30 april 2002 av: Bodil Lindqvist, företrädd av S. Larsson,
               Sveriges regering, företrädd av A. Kruse och B. Hernqvist, i egenskap av ombud, Nederländernas regering, företrädd av J. van
               Bakel, i egenskap av ombud, Förenade kungarikets regering, företrädd av J. Stratford, kommissionen, företrädd av L. Ström
               och M.C. Docksey, i egenskap av ombud, och Eftas övervakningsmyndighet, företrädd av D. Sif Tynes, i egenskap av ombud,
            
            
            och efter att den 19 september 2002 ha hört generaladvokatens förslag till avgörande,
         följande
         
         
         Dom
         1
            
          Göta hovrätt har, genom beslut av den 23 februari 2001 som inkom till domstolen den 1 mars samma år, i enlighet med artikel
         234 EG ställt sju frågor om tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd
         för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281,
         s. 31). 
         
         
         
         2
            
          Frågorna har uppkommit i ett brottmål vid den nämnda domstolen mot Bodil Lindqvist, som är anklagad för att ha överträtt den
         svenska lagstiftningen om skydd av personuppgifter genom att på sin webbplats på Internet ha offentliggjort personuppgifter
         beträffande ett visst antal personer som, i likhet med henne själv, arbetar ideellt i ett pastorat inom Svenska kyrkan.
         
         
            
                Tillämpliga bestämmelser 
               
             De gemenskapsrättsliga bestämmelserna 
         
         3
            
          Såsom följer av artikel 1.1 i direktiv 95/46 syftar direktivet i fråga till att skydda fysiska personers grundläggande fri-
         och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 
         
         
         
         4
            
          Artikel 3 i direktiv 95/46, som avser direktivets tillämpningsområde, har följande lydelse:
         ”1.     Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan
         behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
          2.       Detta direktiv gäller inte för sådan behandling av personuppgifter
         
         
         
          
         –
            som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna
               V och VI i Fördraget om Europeiska unionen, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar,
               statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och
               statens verksamhet på straffrättens område,
            
         
         
         
         
          
         –
            av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll.” 
         
         
         
         
         
         5
            
          I artikel 8 i direktiv 95/46, som har rubriken ”Behandlingen av särskilda kategorier av uppgifter”, föreskrivs följande:
         ”1.     Medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös
         eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv.
          2.       Punkt 1 gäller inte om
         
         a)
            den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt medlemsstatens lagstiftning
               anges att förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke,
            
         
         
               eller
                  
               
         
         
         
         b)
            behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom
               arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder,
            
         
         
               eller
                  
               
         
         
         
         c)
            behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade
               är fysiskt eller rättsligt förhindrad att ge sitt samtycke,
            
         
         
                eller
                  
               
         
         
         
         d)
            behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande
               organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen endast rör sådana organs
               medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut
               till tredje man utan den registrerades samtycke,
            
         
         
                eller
                  
               
         
         
         
         e)
            behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändi[g] för att kunna fastslå,
               göra gällande eller försvara rättsliga anspråk.
            
         
          3.       Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska
         diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon
         som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits
         av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt.
          4.       Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen
         i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt
         2.
          5.       Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en
         myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan
         tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register
         över brottmålsdomar får dock föras endast under kontroll av en myndighet.
          Medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas
         under kontroll av en myndighet.
          6.       De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen.
          7.       Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för
         identifiering får behandlas.” 
         
         
         
         6
            
          I artikel 9 i direktiv 95/46, som har rubriken ”Behandling av personuppgifter och yttrandefriheten”, stadgas följande:
         ”Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller
         konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i detta kapitel, kapitel IV och
         kapitel VI endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten.”
         
         
         
         7
            
          I artikel 13 i direktiv 95/46, vilken har rubriken ”Undantag och begränsningar”, föreskrivs att medlemsstaterna får begränsa
         vissa skyldigheter som den registeransvarige har enligt direktivet, bland annat vad gäller information till de berörda personerna,
         i den mån en sådan begränsning är nödvändig med hänsyn till exempelvis statens säkerhet, försvaret, allmän säkerhet, ett viktigt
         ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen eller med hänsyn till undersökning av
         eller åtal för brott eller överträdelser av etiska regler som gäller för lagreglerade yrken. 
         
         
         
         8
            
          Artikel 25 i direktiv 95/46, som ingår i kapitel IV med rubriken ”Överföring av personuppgifter till tredje land”, har följande
         lydelse:
         ”1.     Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas
         efter överföring till tredje land endast får ske om ifrågavarande tredje land – utan att detta påverkar tillämpningen av de
         nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv – säkerställer en adekvat skyddsnivå.
          2.       Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med
         en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda
         behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda
         rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där.
          3.       Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en adekvat skyddsnivå
         enligt punkt 2.
          4.       Om kommissionen i enlighet med ett sådant förfarande som beskrivs i artikel 31.2 finner att ett tredje land inte erbjuder
         en sådan adekvat skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna vidta de åtgärder som är nödvändiga
         för att hindra överföring av uppgifter av samma slag till ifrågavarande tredje land.
          5.       Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att avhjälpa den situation som uppstått när kommissionen
         kommit till den slutsats som anges i punkt 4.
          6.       Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfarandet, konstatera att ett tredje land genom sin interna
         lagstiftning eller på grund av de internationella förpliktelser som – särskilt till följd av sådana förhandlingar som anges
         i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – åligger landet
         har en skyddsnivå som är adekvat i den mening som avses i punkt 2 i denna artikel.
          Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut.” 
         
         
         
         9
            
          När direktiv 95/46 antogs gjorde Konungariket Sverige i fråga om artikel 9 i denna följande förklaring, som är inskriven i
         rådets protokoll (rådets dokument nr 4649/95 av den 2 februari 1995): 
         ”Sverige anser att begreppet konstnärliga och litterära uttryck mer syftar på uttrycksmedlen än kommunikationens innehåll
         eller dess kvalitet.”
         
         
         
         10
            
          I artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, vilken undertecknades
         i Rom den 4 november 1950 (nedan kallad Europakonventionen) föreskrivs rätten till skydd för privat- och familjeliv. I artikel
         10 i samma konvention återfinns bestämmelser om yttrandefriheten.
         
          Den nationella lagstiftningen 
         
         11
            
          Direktiv 95/46 införlivades med svensk rätt genom personuppgiftslagen,  SFS 1998:204 (nedan kallad PUL).
         
          Målet vid den nationella domstolen och tolkningsfrågorna 
         
         12
            
          Vid sidan av sin anställning som lokalvårdare arbetade Bodil Lindqvist som ledare för konfirmander inom Alseda pastorat (Sverige).
         Hon deltog i en datakurs. Inom ramen för denna kurs skulle hon bland annat skapa en hemsida på Internet. Mot slutet av år
         1998 skapade Bodil Lindqvist hemma hos sig och på sin egen persondator webbsidor i syfte att göra det möjligt för församlingsmedlemmar
         som förberedde sig för konfirmationen att lätt få den information de behövde. På hennes begäran lade den webbansvarige för
         Svenska kyrkans webbplats på Internet ut en länk mellan dessa sidor och den nämnda webbplatsen.
         
         
         
         13
            
          De aktuella sidorna innehöll vissa uppgifter om Bodil Lindqvist och 18 av hennes arbetskamrater inom pastoratet, inklusive
         deras fullständiga namn eller i vissa fall bara förnamn. Därutöver beskrevs, i lätt skämtsamma ordalag, arbetskamratens arbetsuppgifter
         och fritidsvanor. I flera fall nämndes även deras familjeförhållanden, telefonnummer och andra uppgifter. Dessutom angav hon
         att en arbetskamrat hade skadat foten och var deltidssjukskriven.
         
         
         
         14
            
          Bodil Lindqvist hade varken informerat sina arbetskamrater om att dessa sidor existerade, inhämtat deras samtycke eller redovisat
         sitt handlingssätt för Datainspektionen. Hon tog bort de aktuella sidorna så fort hon fick reda på att vissa av hennes kolleger
         inte uppskattade dem.
         
         
         
         15
            
         Åklagaren yrkade ansvar enligt PUL mot Bodil Lindqvist under påstående att hon hade
         
         
         
          
         –
            behandlat personuppgifter, vilken behandling varit automatiserad, utan att dessförinnan göra skriftlig anmälan till Datainspektionen
               (36 § PUL),
            
         
         
         
         
          
         –
            behandlat känsliga personuppgifter, nämligen dem om en skadad fot och en deltidssjukskrivning, utan att detta varit tillåtet
               (13 § PUL), och
            
         
         
         
         
          
         –
            till tredje land fört över personuppgifter som varit under behandling utan att detta varit tillåtet (33 § PUL).
         
         
         
         
         
         16
            
          Bodil Lindqvist vitsordade de faktiska förhållandena men bestred ansvar. Hon dömdes av Eksjö tingsrätt till böter, men överklagade
         domen till den hänskjutande domstolen.
         
         
         
         17
            
          Böterna uppgick till 4 000 SEK, då beloppet 100 SEK, beräknat utifrån Bodil Lindqvists ekonomiska situation, multiplicerades
         med 40, vilket motsvarade brottets svårighetsgrad. Bodil Lindqvist förpliktades dessutom att betala 300 SEK till den svenska
         brottsofferfonden.
         
         
         
         18
            
          Göta hovrätt, som inte var säker på hur den på området tillämpliga gemenskapsrätten, bland annat direktiv 95/46, skulle tolkas,
         beslutade att vilandeförklara målet och ställa följande tolkningsfrågor till domstolen:
         
         ”1)
            Innebär omnämnandet av en person – med namn eller med namn och telefonnummer – på en så kallad hemsida på Internet ett förfarande
               som faller under tillämpningsområdet för direktiv [95/46]? Utgör det en ‘behandling av personuppgifter som helt eller delvis
               företas på automatisk väg’, att på en egenhändigt konstruerad hemsida på Internet ange ett antal personer jämte utsagor och
               påståenden om dessa personers arbetsförhållanden och fritidsintressen med mera?
            
         
         
         2)
            Om svaret på föregående fråga är nej, kan förfarandet att på en hemsida på Internet upprätta särskilda sidor för ett drygt
               femtontal personer, med länkar mellan sidorna som möjliggör sökning på förnamn, anses utgöra en sådan ‘‘‘‘annan behandling
               av personuppgifter som ingår i eller kommer att ingå i ett register’’’’ som avses i artikel 3 punkt 1?
            
         
          Om svaret på någon av frågorna är ja, då har hovrätten även följande frågor.
         
         3)
            Kan förfarandet att lägga ut uppgifter av nu berört slag om arbetskamrater på en privat hemsida, som dock är åtkomlig för
               alla med kännedom om hemsidans adress, anses falla utanför ... tillämpningsområde[t för direktiv 95/46] på grund av något
               av undantagen i artikel 3, punkten 2?
            
         
         
         4)
            Är uppgift på en hemsida om att en namngiven arbetskamrat har skadat sin fot och är halvt sjukskriven en sådan personuppgift
               om hälsa som enligt artikel 8 punkt 1 inte får göras till föremål för behandling?
            
         
         
         5)
            Överföring av personuppgifter till tredje land skall enligt direktiv [95/46] vara förbjudet i vissa fall. Om en person i Sverige
               med hjälp av dator lägger ut personuppgifter på en hemsida som är lagrad på en server i Sverige – varvid personuppgifterna
               blir åtkomliga för medborgare i tredje land – innebär det en överföring av uppgifter till tredje land i den mening som avses
               i direktivet? Blir svaret detsamma även om, såvitt känt, inte någon från tredje land rent faktiskt har tagit del av uppgifterna
               eller om servern i fråga rent fysiskt befinner sig i ett tredje land?
            
         
         
         6)
            Kan direktivets föreskrifter, i ett fall som det förevarande, anses medföra en begränsning som står i strid med de allmänna
               principer om yttrandefrihet, eller andra fri- och rättigheter, som gäller inom EU och som har en motsvarighet i bland annat
               artikel 10 i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna?
            
         
          Hovrätten har slutligen följande fråga:
         
         7)
            Kan en medlemsstat, i de hänseenden som aktualiserats av de förutvarande frågorna, ha ett mera långtgående skydd för personuppgifter
               eller ett vidare tillämpningsområde än som följer av direktivet, även om inte något av de i artikel 13 angivna förhållandena
               föreligger?”
            
         
         
          Den första frågan 
         
         19
            
          Hovrätten har ställt den första frågan för att få klarhet i huruvida omnämnandet av olika personer – vilka identifieras med
         namn eller på annat sätt, till exempel med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen
         – på en webbsida utgör en ”behandling av personuppgifter som helt eller delvis företas på automatisk väg”, i den mening som
         avses i artikel 3.1 i direktiv 95/46.
         
          Yttranden som har inkommit till domstolen 
         
         20
            
          Enligt Bodil Lindqvists mening är det inte rimligt att bedöma enbart omnämnandet av en person eller en personuppgift i text
         på en webbsida som automatiserad behandling av uppgifter. Däremot kan omnämnandet av sådana uppgifter i ett nyckelord på en
         webbsidas ”metatagg”, som möjliggör indexering och gör att man kan finna denna sida genom en sökmotor, utgöra sådan behandling.
         
         
         
         21
            
          Den svenska regeringen har gjort gällande att begreppet ”behandling av personuppgifter som helt eller delvis företas på automatisk
         väg”, i artikel 3.1 i direktiv 95/46, innefattar all behandling som sker i datorformat, det vill säga i binär form. Detta
         innebär att så snart en personuppgift behandlas i en dator, antingen i till exempel ett ordbehandlingsprogram eller genom
         att den läggs ut på en webbsida, omfattas behandlingen av direktiv 95/46.
         
         
         
         22
            
          Den nederländska regeringen har gjort gällande att personuppgifter förs in på webbsidor med hjälp av en dator och en server,
         vilket utgör ett viktigt kännetecken för automatisering, varför dessa uppgifter måste anses vara föremål för automatiserad
         behandling.
         
         
         
         23
            
          Kommissionen har hävdat att direktiv 95/46 är tillämpligt på all sådan behandling av personuppgifter som avses i artikel 3
         i detta direktiv, oavsett vilka tekniska hjälpmedel som används. Att lägga ut personuppgifter på Internet utgör följaktligen
         helt eller delvis automatiserad behandling, såvida det inte föreligger några tekniska begränsningar som innebär att behandlingen
         blir helt manuell. En webbsida ingår därför på grund av sin natur i tillämpningsområdet för direktiv 95/46.
         
          Domstolens svar 
         
         24
            
          Begreppet personuppgifter, som används i artikel 3.1 i direktiv 95/46, omfattar i enlighet med definitionen i artikel 2 a
         i direktivet i fråga ”varje upplysning som avser en identifierad eller identifierbar fysisk person”. Detta begrepp omfattar
         förvisso en persons namn tillsammans med dennes telefonnummer eller med uppgifter om vederbörandes arbetsförhållanden eller
         fritidsintressen. 
         
         
         
         25
            
          Vad gäller begreppet ”behandling” av sådana uppgifter, vilket används i artikel  3.1 i direktiv 95/46, innefattar detta enligt
         definitionen i artikel 2 b i direktivet i fråga ”varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter,
         vare sig det sker på automatisk väg eller inte”. I den sistnämnda bestämmelsen anges flera exempel på sådana åtgärder, bland
         annat utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter. Följaktligen skall åtgärden att
         på en webbsida lägga ut sådana personuppgifter anses utgöra sådan behandling.
         
         
         
         26
            
          Det skall även avgöras huruvida denna behandling ”helt eller delvis företas på automatisk väg”. I detta hänseende noterar
         domstolen att åtgärden att lägga ut uppgifter på en webbsida innefattar, enligt de tekniska dataprocesser som för närvarande
         tillämpas, överföring av denna sida till en server samt de åtgärder som är nödvändiga för att göra sidan i fråga tillgänglig
         för personer som har kopplat upp sig på Internet. Dessa transaktioner görs åtminstone delvis på automatisk väg. 
         
         
         
         27
            
          Den första frågan skall således besvaras så, att omnämnandet av olika personer – vilka identifieras med namn eller på annat
         sätt, till exempel med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen – på en webbsida
         utgör en ”behandling av personuppgifter som helt eller delvis företas på automatisk väg”, i den mening som avses i artikel
         3.1 i direktiv 95/46.
         
          Den andra frågan 
         
         28
            
          Eftersom den första frågan har besvarats jakande saknas det anledning att besvara den andra frågan, som endast har ställts
         för det fall den första frågan skulle besvaras nekande.
         
          Den tredje frågan 
         
         29
            
          Den nationella domstolen har ställt den tredje frågan för att få klarhet i huruvida en sådan behandling av personuppgifter
         som den som avses i den första frågan omfattas av något av de undantag som återfinns i artikel 3.2 i direktiv 95/46.
         
          Yttranden som har inkommit till domstolen 
         
         30
            
          Bodil Lindqvist anser att en privatperson, som med utnyttjande av sin yttrandefrihet upprättar webbsidor på Internet inom
         ramen för en verksamhet som är ideell eller av hobbykaraktär inte bedriver någon ekonomisk verksamhet och att gemenskapsrätten
         därför inte är tillämplig på honom eller henne. Om domstolen kommer till motsatt slut uppkommer enligt hennes mening frågan
         huruvida direktiv 95/46 är giltigt, eftersom gemenskapslagstiftaren i så fall har överskridit sina befogenheter enligt artikel
         100a i EG-fördraget (nu artikel 95 EG i ändrad lydelse). Tillnärmningen av lagstiftning, vars ändamål är att den inre marknaden
         skall upprättas och fungera, kan inte utgöra rättslig grund för gemenskapsrättsliga bestämmelser som reglerar privatpersoners
         yttrandefrihet på Internet.
         
         
         
         31
            
          Den svenska regeringen har gjort gällande att den svenska lagstiftaren vid införlivandet av direktiv 95/46 med nationell rätt
         har utgått från att en privatpersons behandling av personuppgifter som innebär att uppgifterna förmedlas till ett obestämt
         antal personer, till exempel via Internet, inte kan kvalificeras som ”verksamhet av rent privat natur eller som har samband
         med hans hushåll” i den mening som avses i artikel 3.2 andra strecksatsen i direktiv 95/46. Däremot har denna regering inte
         uteslutit att det undantag som föreskrivs i första strecksatsen i samma punkt omfattar den situationen att en privatperson
         lägger ut personuppgifter på en webbsida när detta sker som led i en verksamhet som enbart är ett uttryck för yttrandefriheten
         och helt saknar anknytning till någon yrkesmässig eller kommersiell verksamhet.
         
         
         
         32
            
          Enligt den nederländska regeringen omfattas en sådan behandling på automatisk väg av uppgifter som den som är i fråga i målet
         vid den nationella domstolen inte av något av de undantag som avses i artikel 3.2 i direktiv 95/46. Vad närmare bestämt gäller
         det undantag som föreskrivs i andra strecksatsen i denna punkt har den nederländska regeringen noterat att den som skapar
         en webbsida bringar de uppgifter som läggs ut där till en i princip obestämd grupp personers kännedom.
         
         
         
         33
            
          Kommissionen har gjort gällande att en sådan webbsida som den som är i fråga i målet vid den nationella domstolen inte kan
         anses falla utanför tillämpningsområdet för direktiv 95/46 enligt artikel 3.2 i detta direktiv. Den utgör i stället, med hänsyn
         till syftet med den webbsida som är i fråga i målet vid den nationella domstolen, konstnärligt eller litterärt skapande i
         den mening som avses i artikel 9 i det nämnda direktivet.
         
         
         
         34
            
          Enligt kommissionens uppfattning kan artikel 3.2 första strecksatsen i direktiv 95/46 tolkas på två olika sätt. Den ena tolkningen
         är att denna bestämmelses räckvidd begränsas till de områden som nämns som exempel, det vill säga sådan verksamhet som väsentligen
         omfattas av vad man brukar kalla den andra och den tredje pelaren. Den andra tolkningen är att utesluta utövning av all verksamhet
         som inte omfattas av gemenskapsrätten från tillämpningsområdet för direktiv 95/46.
         
         
         
         35
            
          Kommissionen har hävdat att gemenskapsrätten inte endast omfattar sådan ekonomisk verksamhet som är knuten till de fyra grundläggande
         friheterna. Den har hänvisat till den rättsliga grunden för direktiv 95/46, till dess målsättning, till artikel 6 EU, till
         Europeiska unionens stadga om de grundläggande rättigheterna, som proklamerades i Nice den 18 december 2000 (EGT C 364, s.
         1) och till Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter,
         och dragit slutsatsen att detta direktiv syftar till att reglera det fria flödet av personuppgifter vid utövning inte bara
         av ekonomisk verksamhet, utan även av samhällelig verksamhet inom ramen för den inre marknadens genomförande och funktion.
         
         
         
         36
            
          Den har tillagt att det skulle kunna medföra allvarliga avgränsningsproblem att generellt utesluta de webbsidor som inte innehåller
         några kommersiella inslag eller innefattar något tillhandahållande av tjänster från tillämpningsområdet för direktiv 95/46.
         Ett stort antal webbsidor som innehåller personuppgifter vilka är avsedda att utpeka vissa personer för särskilda syften skulle
         då kunna bli uteslutna från direktivets tillämpningsområde.
         
          Domstolens svar 
         
         37
            
          I artikel 3.2 i direktiv 95/46 återfinns två undantag från direktivets tillämpningsområde.
         
         
         
         38
            
          Det första undantaget avser sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten,
         exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och under alla omständigheter
         behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har
         samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område.
         
         
         
         39
            
          Då Bodil Lindqvists, i målet vid den nationella domstolen, aktuella verksamhet inte väsentligen är ekonomisk, utan ideell
         och religiös, finns det anledning att pröva huruvida denna verksamhet utgör sådan behandling av personuppgifter ”som utgör
         ett led i en verksamhet som inte omfattas av gemenskapsrätten”, i den mening som avses i artikel 3.2 första strecksatsen i
         direktiv 95/46.
         
         
         
         40
            
          Domstolen har i fråga om direktiv 95/46, som har utfärdats med stöd av artikel 100a i fördraget, redan fastställt att det
         för användning av denna rättsliga grund inte krävs att det föreligger något faktiskt samband med den fria rörligheten mellan
         medlemsstaterna i varje situation som avses med den rättsakt som har en sådan grund (se dom av den 20 maj 2003 i de förenade
         målen C-465/00, C-138/01 och C-139/01, Österreichischer Rundfunk m.fl., REG 2003, s. I-0000, punkt 41, och där angiven rättspraxis).
         
         
         
         
         41
            
          Motsatt tolkning skulle innebära en risk för att gränserna för det nämnda direktivets tillämpningsområde skulle bli synnerligen
         osäkra och vaga, vilket skulle motverka direktivets huvudsakliga syfte, vilket är tillnärmning av bestämmelser i medlemsstaternas
         lagar och andra författningar i syfte att undanröja de hinder för att den inre marknaden skall fungera som följer just av
         att det föreligger skillnader mellan de olika nationella lagstiftningarna (domen i de ovan nämnda förenade målen Österreichischer
         Rundfunk m.fl., punkt 42). 
         
         
         
         42
            
          Under dessa omständigheter skulle det inte vara lämpligt att tolka uttrycket ”verksamhet som inte omfattas av gemenskapsrätten”
         så, att det har en sådan räckvidd att det från fall till fall måste kontrolleras huruvida den specifika verksamhet som är
         i fråga direkt påverkar den fria rörligheten mellan medlemsstaterna.
         
         
         
         43
            
          Den verksamhet som nämns såsom exempel i artikel 3.2 första strecksatsen i direktiv 95/46 (det vill säga sådan verksamhet
         som avses i avdelningarna V och VI i fördraget om Europeiska unionen och behandlingar som rör allmän säkerhet, försvar, statens
         säkerhet och verksamhet på straffrättens område) avser i samtliga fall sådan verksamhet som endast kan bedrivas av staten
         eller statliga myndigheter och som inte kan bedrivas av enskilda personer.
         
         
         
         44
            
          Domstolen finner således att de verksamheter som nämns som exempel i artikel 3.2 första strecksatsen i direktiv 95/46 är avsedda
         att definiera räckvidden av det där föreskrivna undantaget, varför detta undantag endast är tillämpligt på sådan verksamhet
         som uttryckligen nämns där eller som kan placeras i samma kategori ( ejusdem generis ).
         
         
         
         45
            
          Ideell eller religiös verksamhet, som den som Bodil Lindqvist utövar, kan emellertid inte anses utgöra sådan verksamhet som
         nämns i artikel 3.2 första strecksatsen i direktiv 95/46 och omfattas således inte av detta undantag.
         
         
         
         46
            
          Vad gäller det undantag som föreskrivs i artikel 3.2 andra strecksatsen i direktiv 95/46 nämns i tolfte skälet i direktivet
         i fråga, vilket skäl avser detta undantag, korrespondens eller förande av adressregister såsom exempel på en fysisk persons
         behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk.
         
         
         
         47
            
          Detta undantag skall således tolkas så, att det endast avser sådan verksamhet som utgör en del av enskildas privat- eller
         familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av personuppgifter som består i att de offentliggörs
         på Internet och därmed blir åtkomliga för ett obestämt antal personer.
         
         
         
         48
            
          Den tredje frågan skall således besvaras så, att sådan behandling av personuppgifter som den som nämns i svaret på den första
         frågan inte omfattas av något av de undantag som nämns i artikel 3.2 i direktiv 95/46.
         
          Den fjärde frågan 
         
         49
            
          Den hänskjutande domstolen har ställt den fjärde frågan för att få klarhet i huruvida en uppgift om att en person har skadat
         sin fot och är deltidssjukskriven utgör en personuppgift om hälsa, i den mening som avses i artikel 8.1 i direktiv 95/46.
         
         
         
         50
            
          Med hänsyn till syftet med detta direktiv skall uttrycket ”uppgifter som rör hälsa”, vilket används i artikel 8.1 i direktivet
         i fråga, ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som psykiska
         sådana.
         
         
         
         51
            
          Den fjärde frågan skall således besvaras så, att en uppgift om att en person har skadat sin fot och är deltidssjukskriven
         utgör en personuppgift om hälsa, i den mening som avses i artikel 8.1 i direktiv 95/46.
         
          Den femte frågan 
         
         52
            
          Den hänskjutande domstolen har ställt den femte frågan för att få klarhet i huruvida det föreligger en ”överföring av ...
         uppgifter till tredje land” i den mening som avses i artikel 25 i direktiv 95/46 när en person som befinner sig i en medlemsstat
         lägger ut personuppgifter på en webbsida som är lagrad hos en fysisk eller juridisk person som hyser den webbplats där webbsidan
         kan läsas (nedan kallad webbhotelleverantören) och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid
         uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Den hänskjutande domstolen
         önskar vidare få klarhet i huruvida svaret på denna fråga blir detsamma när det framgår att ingen från tredje land rent faktiskt
         har tagit del av dessa uppgifter eller att servern där sidan är lagrad rent fysiskt befinner sig i ett tredje land.
         
          Yttranden som har inkommit till domstolen 
         
         53
            
          Kommissionen och den svenska regeringen anser att det utgör en överföring av uppgifter till tredje land i den mening som avses
         i direktiv 95/46 att med hjälp av dator lägga ut personuppgifter på en webbsida och därmed göra personuppgifterna åtkomliga
         för personer i tredje land. Svaret blir detsamma även om ingen från något tredje land rent faktiskt har tagit del av de nämnda
         uppgifterna eller om servern där uppgifterna har lagrats rent fysiskt befinner sig i ett tredje land.
         
         
         
         54
            
          Den nederländska regeringen har erinrat om att begreppet överföring inte definieras i direktiv 95/46. Den anser dels att detta
         begrepp skall förstås så, att det avser en handling som innebär en avsiktlig överföring av personuppgifter från en medlemsstats
         territorium till ett tredje land, dels att ingen åtskillnad kan göras mellan de olika former i vilka uppgifterna görs åtkomliga
         för utomstående. Av detta har regeringen i fråga dragit slutsatsen att det inte kan anses utgöra en överföring till tredje
         land av personuppgifter i den mening som avses i artikel 25 i direktiv 95/46 att med hjälp av en dator lägga ut personuppgifter
         på en webbsida.
         
         
         
         55
            
          Förenade kungarikets regering har gjort gällande att artikel 25 i direktiv 95/46 avser överföring av uppgifter till tredje
         land och inte uppgifternas åtkomlighet från tredje land. Begreppet överföring förutsätter att en uppgift har överförts av
         en person som befinner sig på en bestämd plats till en person som befinner sig på en annan plats. Det är endast beträffande
         sådana överföringar som medlemsstaterna enligt artikel 25 i direktiv 95/46 är skyldiga att tillse att skyddsnivån för personuppgifter
         är adekvat i ett tredje land.
         
          Domstolens svar 
         
         56
            
          Varken i artikel 25 i direktiv 95/46 eller i någon annan bestämmelse i direktivet i fråga, särskilt inte i artikel 2 i detta,
         definieras begreppet överföring till tredje land.
         
         
         
         57
            
          För att avgöra huruvida det utgör en ”överföring” av personuppgifter till tredje land, i den mening som avses i artikel 25
         i direktiv 95/46, att lägga ut personuppgifter på en webbsida redan av den anledningen att detta gör uppgifterna åtkomliga
         för personer som befinner sig i tredje land är det nödvändigt att beakta dels de sålunda vidtagna åtgärdernas tekniska natur,
         dels syftet med och systematiken i kapitel IV i det nämnda direktivet, där artikel 25 återfinns.
         
         
         
         58
            
          De uppgifter som finns på Internet kan nästan när som helst läsas av ett obestämt antal personer vilka befinner sig på en
         mängd olika ställen. Att dessa uppgifter är allmänt tillgängliga följer bland annat av det förhållandet att de tekniska hjälpmedel
         som används inom ramen för Internet är relativt enkla och blir billigare och billigare.
         
         
         
         59
            
          Förutsättningarna för att använda Internet, såsom de har kommit att gestalta sig  för enskilda som Bodil Lindqvist under 1990-talet,
         innebär att den som upprättar en sida som skall läggas ut på Internet överför de uppgifter som denna sida består i till sin
         webbhotelleverantör. Denne förfogar över den IT-infrastruktur som krävs för lagring av dessa uppgifter och anslutning till
         Internet av den server som hyser webbplatsen. Detta möjliggör att dessa uppgifter senare kan överföras till alla som har kopplat
         upp sig på Internet och önskar att få del av dem. De datorer som utgör denna IT-infrastruktur kan ligga i ett eller flera
         andra länder än det där webbhotelleverantören är etablerad, och gör det till och med ofta, utan att denna leverantörs kunder
         känner till detta eller rimligen kan känna till det.
         
         
         
         60
            
          Av handlingarna i målet framgår att en Internetanvändare inte bara måste koppla upp sig på Internet för att få del av de uppgifter
         som fanns på de webbsidor där Bodil Lindqvist hade lagt ut uppgifter om sina arbetskamrater. För att kunna få del av dem måste
         han även personligen vidta de åtgärder som krävdes för att kunna läsa dessa sidor. Med andra ord innehöll Bodil Lindqvists
         webbsidor inte de tekniska mekanismer som skulle ha gjort det möjligt att automatiskt skicka dessa uppgifter till personer
         som inte avsiktligen hade försökt få tillgång till dessa sidor.
         
         
         
         61
            
          Härav följer att personuppgifter, som under sådana omständigheter som dem i  målet vid den nationella domstolen kommer till
         en dator som tillhör en person som befinner sig i ett tredje land, från en person som har lagt upp dem på en webbplats, inte
         har överförts direkt mellan två personer, utan genom IT-infrastrukturen hos den webbhotelleverantör där sidan är lagrad.
         
         
         
         62
            
          Det är mot denna bakgrund som domstolen skall pröva huruvida gemenskapslagstiftaren hade avsikten att beträffande tillämpningen
         av kapitel IV i direktiv 95/46 låta begreppet ”[ö]verföring av ...uppgifter till tredje land”, i den mening som avses i artikel
         25 i detta direktiv, omfatta sådana åtgärder som dem som Bodil Lindqvist har vidtagit. Det bör understrykas att den hänskjutande
         domstolens femte fråga endast avser dessa åtgärder, och inte de åtgärder som vidtas av webbhotelleverantören.
         
         
         
         63
            
          Genom kapitel IV i direktiv 95/46, vari artikel 25 ingår, införs en särreglering, som innehåller särskilda bestämmelser vilka
         syftar till att säkerställa att medlemsstaterna har kontroll över överföringen av personuppgifter till tredje land. Genom
         detta kapitel införs ett system som utgör ett komplement till det allmänna system som införts genom kapitel II i det nämnda
         direktivet, vilket kapitel avser frågan när personuppgifter får behandlas.
         
         
         
         64
            
          Syftet med kapitel IV anges i femtiosjätte till sextionde skälen i direktiv 95/46, vari bland annat anges att det skydd som
         genom detta direktiv tillförsäkras personer inom gemenskapen visserligen inte hindrar att personuppgifter överförs till sådana
         tredje länder som garanterar en adekvat skyddsnivå, men att skyddsnivåns adekvans skall bedömas med hänsyn till alla de omständigheter
         som har samband med en överföring eller en grupp av överföringar. Om ett tredje land inte garanterar en adekvat skyddsnivå
         skall överföring av personuppgifter till det landet förbjudas.
         
         
         
         65
            
          I artikel 25 i direktiv 95/46 uppställs en rad skyldigheter för medlemsstaterna och kommissionen vilka syftar till kontroll
         av överföringen av personuppgifter till tredje länder med beaktande av den skyddsnivå som sådana uppgifter ges i vart och
         ett av dessa länder.
         
         
         
         66
            
          I artikel 25.4 i direktiv 95/46 föreskrivs närmare bestämt att medlemsstaterna, när kommissionen finner att ett tredje land
         inte erbjuder en adekvat skyddsnivå, skall vidta de åtgärder som är nödvändiga för att hindra all överföring av personuppgifter
         till ifrågavarande tredje land.
         
         
         
         67
            
          Kapitel IV i direktiv 95/46 innehåller inga bestämmelser om Internetanvändning. I detta kapitel anges inte vilka kriterierna
         är för att avgöra huruvida man vid bedömningen av de åtgärder som vidtas av en mellanhand som tillhandahåller webbhotelltjänster
         skall grunda sig på den plats där webbhotelleverantören är etablerad, den ort där företaget har sitt säte eller den ort där
         de datorer befinner sig vilka utgör leverantörens IT-infrastruktur.
         
         
         
         68
            
          Med hänsyn dels till det stadium på vilket Internets utveckling befann sig när direktiv 95/46 utarbetades, dels till att det
         i kapitel IV i direktivet inte återfinns några kriterier som är tillämpliga på Internetanvändning, kan det inte presumeras
         att gemenskapslagstiftaren hade för avsikt att med tanke på framtiden låta utläggning av uppgifter på en webbsida av en person
         i Bodil Lindqvists situation omfattas av begreppet ”överföring av … uppgifter till tredje land”, även om dessa uppgifter härigenom
         blir åtkomliga för de personer i tredje land som har tekniska möjligheter att få tillgång till sidan.
         
         
         
         69
            
          Om artikel 25 i direktiv 95/46 tolkades på så sätt att det förelåg en ”överföring av ...uppgifter till tredje land” varje
         gång personuppgifter lades ut på en webbsida skulle denna överföring med nödvändighet vara en överföring till alla tredje
         länder där det fanns de tekniska medel som krävs för att få tillgång till Internet. Särregleringen i kapitel IV i det nämnda
         direktivet skulle då med nödvändighet, vad gäller åtgärder som vidtas på Internet, bli en generellt tillämplig ordning. Om
         kommissionen med tillämpning av artikel 25.4 i direktiv 95/46 konstaterade att det fanns ett enda tredje land som inte säkerställde
         en adekvat skyddsnivå skulle medlemsstaterna nämligen enligt en sådan tolkning vara skyldiga att hindra att personuppgifter
         över huvud taget lades ut på Internet.
         
         
         
         70
            
          Vid sådant förhållande skall artikel 25 i direktiv 95/46 tolkas så, att sådana åtgärder som dem som Bodil Lindqvist har vidtagit
         inte i sig utgör en ”överföring av ...uppgifter till tredje land”. Det är således inte nödvändigt att utreda huruvida en person
         från ett tredje land har haft tillgång till den berörda webbsidan eller huruvida webbhotelleverantörens server rent fysiskt
         befinner sig i ett tredje land.
         
         
         
         71
            
          Den femte frågan skall således besvaras så, att det inte föreligger någon ”överföring av ... uppgifter till tredje land” i
         den mening som avses i artikel 25 i direktiv 95/46 när en person som befinner sig i en medlemsstat lägger ut personuppgifter
         på en webbsida som är lagrad hos hans webbhotelleverantör, som är etablerad i samma medlemsstat eller i en annan medlemsstat,
         varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. 
         
          Den sjätte frågan 
         
         72
            
          Den hänskjutande domstolen har ställt den sjätte frågan för att få klarhet i huruvida bestämmelserna i direktiv 95/46, i ett
         fall som det som är aktuellt i det mål som är anhängigt vid den, kan anses medföra en begränsning som står i strid med den
         allmänna principen om yttrandefrihet eller med andra fri- och rättigheter som gäller inom Europeiska unionen och som har en
         motsvarighet i bland annat den rättighet som föreskrivs i artikel 10 i Europakonventionen.
         
          Yttranden som har inkommit till domstolen 
         
         73
            
          Bodil Lindqvist har hänvisat bland annat till dom av den 6 mars 2001 i mål C‑274/99 P, Connolly mot kommissionen (REG 2001,
         s. I-1611), och gjort gällande att direktiv 95/46 och PUL strider mot den i gemenskapsrätten erkända allmänna principen om
         yttrandefrihet, i den del det i dem föreskrivs krav på föregående samtycke och på förhandsanmälan till en tillsynsmyndighet
         och en princip om förbud mot behandling av känsliga personuppgifter. Närmare bestämt har hon hävdat att definitionen av ”behandling
         av personuppgifter som helt eller delvis företas på automatisk väg” inte uppfyller förutsebarhetskriteriet eller precisionskriteriet.
         
         
         
         74
            
          Därutöver kan enligt Bodil Lindqvists mening själva omnämnandet av en fysisk person och dennes namn, telefonnummer och arbetsförhållanden
         samt lämnandet av sådana uppgifter som rör vederbörandes hälsa och fritidsintressen, som är allmänt tillgängliga, allmänt
         kända eller triviala inte anses utgöra en substantiell kränkning av rätten till skydd för privatlivet. Hon anser att de krav
         som uppställs i direktiv 95/46 i vart fall inte står i proportion till det eftersträvade syftet att skydda annans goda namn
         och rykte och privatliv.
         
         
         
         75
            
          Den svenska regeringen anser att det är tillåtet enligt direktiv 95/46 att göra en avvägning mellan de ifrågavarande intressena
         genom vilken yttrandefriheten och skyddet av privatlivet kan upprätthållas. Den har tillagt att bedömningen av om den inskränkning
         i yttrandefriheten som tillämpningen av bestämmelserna om skyddet för annans rättigheter kan innebära står i proportion till
         detta skydd endast kan göras av den nationella domstolen med beaktande av omständigheterna i det enskilda fallet.
         
         
         
         76
            
          Den nederländska regeringen har erinrat om att såväl yttrandefriheten som rätten till respekt för privatlivet ingår bland
         de allmänna rättsprinciper som domstolen skall tillse efterlevnaden av och att det inte i Europakonventionen görs någon rangordning
         mellan de olika grundläggande rättigheterna. Regeringen i fråga anser följaktligen att den nationella domstolen måste bemöda
         sig om att sammanjämka de olika aktuella grundläggande rättigheterna med varandra med beaktande av omständigheterna i det
         enskilda fallet. 
         
         
         
         77
            
          Förenade kungarikets regering har noterat att dess förslag till svar på den femte frågan, för vilket domstolen har redogjort
         i punkt 55 i förevarande dom, till fullo är förenligt med de grundläggande rättigheterna och gör det möjligt att förhindra
         att yttrandefriheten åsidosätts på ett sätt som strider mot proportionalitetsprincipen. Regeringen i fråga har tillagt att
         det är svårt att motivera en tolkning som skulle innebära att offentliggörande av personuppgifter i en viss form, det vill
         säga på en webbsida, blir föremål för mycket strängare restriktioner än dem som gäller för offentliggörande som sker i annan
         form, exempelvis på papper.
         
         
         
         78
            
          Kommissionen har även hävdat att direktiv 95/46 inte medför någon inskränkning som strider mot den allmänna principen om yttrandefrihet
         eller mot andra rättigheter och friheter som är tillämpliga inom Europeiska unionen och som bland annat motsvarar den rättighet
         som föreskrivs i artikel 10 Europakonventionen.
         
          Domstolens svar 
         
         79
            
          Av skäl 7 i direktiv 95/46 följer att skillnaderna mellan de nationella lagar och andra författningar som är tillämpliga på
         behandling av personuppgifter kan inverka allvarligt på upprättandet av den inre marknaden och det sätt på vilket denna fungerar.
         Enligt skäl 3 i samma direktiv skall ändamålet för harmoniseringen av dessa nationella bestämmelser inte bara vara ett fritt
         flöde av dessa uppgifter mellan medlemsstaterna, utan även att skydda personers grundläggande rättigheter. Dessa målsättningar
         kan givetvis komma i konflikt med varandra.
         
         
         
         80
            
         Å ena sidan kommer den ekonomiska och sociala integration som är en följd av upprättandet av den inre marknaden och hur denna
         fungerar med nödvändighet att leda till en betydande ökning av flödet av personuppgifter mellan samtliga aktörer på de ekonomiska
         och samhälleliga områdena i medlemsstaterna, oavsett om det är fråga om företag eller medlemsstaternas myndigheter. De nämnda
         aktörerna behöver i viss mån ha tillgång till personuppgifter för att genomföra sina transaktioner eller för att utföra sina
         arbetsuppgifter inom det område utan inre gränser som den inre marknaden innebär.
         
         
         
         81
            
         Å andra sidan begär de personer som berörs av behandlingen av personuppgifter med rätta att dessa uppgifter skall skyddas
         effektivt.
         
         
         
         82
            
          De mekanismer som gör det möjligt att göra en avvägning mellan dessa olika rättigheter och intressen återfinns för det första
         i direktiv 95/46 självt, då det i direktivet föreskrivs regler som avgör i vilka situationer och i vilken utsträckning det
         är tillåtet att behandla personuppgifter och vilket skydd som skall föreskrivas, och har för det andra uppkommit genom att
         medlemsstaterna har antagit nationella bestämmelser varigenom detta direktiv har införlivats och genom de nationella myndigheternas
         eventuella tillämpning av dessa regler.
         
         
         
         83
            
          Vad beträffar direktiv 95/46 är bestämmelserna i detsamma med nödvändighet relativt allmänna, med hänsyn till att de skall
         tillämpas på ett stort antal mycket olikartade situationer. I motsats till vad Bodil Lindqvist har anfört är det således med
         rätta som detta direktiv innehåller regler som karaktäriseras av en viss flexibilitet och som det i direktivet i fråga i många
         fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland olika alternativ.
         
         
         
         84
            
          Det är riktigt att medlemsstaterna i många avseenden har ett handlingsutrymme vid införlivandet av direktiv 95/46. Det finns
         dock ingenting som innebär att regleringen i detta direktiv kan anses brista i förutsebarhet eller att bestämmelserna som
         sådana kan anses strida mot de allmänna gemenskapsrättsliga principerna, och då bland annat de grundläggande rättigheter som
         skyddas genom gemenskapens rättsordning.
         
         
         
         85
            
          Det är således  snarare på det stadium när de bestämmelser genom vilka  direktiv 95/46 har införlivats tillämpas i enskilda
         fall på det nationella planet som man måste nå fram till en korrekt jämvikt mellan de rättigheter och intressen som är i fråga.
         
         
         
         86
            
          I detta sammanhang har de grundläggande rättigheterna en särskild betydelse, såsom visas av målet vid den nationella domstolen,
         där det sammanfattningsvis måste göras en avvägning mellan å ena sidan Bodil Lindqvists yttrandefrihet i sitt arbete som handledare
         för konfirmander samt friheten att utöva verksamhet som bidrar till det religiösa livet, och å andra sidan skyddet av privatlivet
         för de personer om vilka Bodil Lindqvist har lagt ut uppgifter på sin webbplats.
         
         
         
         87
            
          Följaktligen ankommer det på myndigheterna och domstolarna i medlemsstaten inte bara att tolka sin nationella rätt på ett
         sätt som står i överensstämmelse med direktiv 95/46, utan även att se till att de inte grundar sig på en tolkning av detta
         direktiv som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsordning eller med andra
         allmänna gemenskapsrättsliga principer, såsom proportionalitetsprincipen.
         
         
         
         88
            
          Visserligen kräver skyddet för privatlivet att effektiva sanktionsåtgärder vidtas gentemot personer som behandlar personuppgifter
         på ett sätt som inte överensstämmer med direktiv 95/46, men sådana sanktionsåtgärder måste alltid stå i överensstämmelse med
         proportionalitetsprincipen. Detta gäller i än högre grad eftersom tillämpningsområdet för direktiv 95/46 är mycket vidsträckt
         och skyldigheterna för personer som behandlar personuppgifter är många och betydande.
         
         
         
         89
            
          I enlighet med proportionalitetsprincipen ankommer det på den hänskjutande domstolen att beakta alla omständigheterna i det
         mål som är anhängigt vid den, bland annat under hur lång tid överträdelsen av de regler genom vilka direktiv 95/46 har genomförts
         har pågått samt hur viktigt det är för de berörda att de uppgifter som har spritts skyddas.
         
         
         
         90
            
          Den sjätte frågan skall således besvaras så, att bestämmelserna i direktiv 95/46 inte i sig utgör en begränsning som står
         i strid med den allmänna principen om yttrandefrihet eller andra fri- och rättigheter som gäller inom Europeiska unionen och
         som har en motsvarighet i bland annat artikel 10 Europakonventionen. Det ankommer på de nationella myndigheter och domstolar
         som skall tillämpa de nationella bestämmelser genom vilka direktiv 95/46 har införlivats att se till att det uppnås en korrekt
         jämvikt mellan de rättigheter och intressen som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens
         rättsordning.
         
          Den sjunde frågan 
         
         91
            
          Den hänskjutande domstolen har ställt den sjunde frågan för att få klarhet i huruvida medlemsstaterna får föreskriva ett mer
         långtgående skydd för personuppgifter eller ett mer vidsträckt tillämpningsområde än vad som följer av direktiv 95/46.
         
          Yttranden som har inkommit till domstolen 
         
         92
            
          Den svenska regeringen har hävdat att det i direktiv 95/46 inte endast föreskrivs minimikrav på skydd av personuppgifter.
         Inom ramen för införlivande av detta direktiv är medlemsstaterna skyldiga att uppnå den skyddsnivå som föreskrivs i direktivet
         och får inte föreskriva ett mer långtgående eller ett svagare skydd. Det handlingsutrymme som medlemsstaterna vid det nämnda
         införlivandet har för att i sin nationella rätt ange de allmänna villkoren för att få behandla personuppgifter skall dock
         beaktas.
         
         
         
         93
            
          Den nederländska regeringen har gjort gällande att direktiv 95/46 inte utgör hinder för att medlemsstaterna föreskriver ett
         mer långtgående skydd på vissa områden. Exempelvis följer det av artiklarna 10, 11.1, 14 första stycket a, 17.3, 18.5 och
         19.1 i det nämnda direktivet att medlemsstaterna kan föreskriva ett mer långtgående skydd. Därutöver är medlemsstaterna fria
         att tillämpa principerna i direktiv 95/46 även på verksamhet som inte ingår i direktivets tillämpningsområde. 
         
         
         
         94
            
          Kommissionen har gjort gällande att direktiv 95/46 har artikel 100a i fördraget som grund och att en medlemsstat, som önskar
         bibehålla eller införa lagstiftning som avviker från ett sådant harmoniseringsdirektiv, är skyldig att i enlighet med artikel
         95.4 EG eller artikel 95.5 EG anmäla detta till kommissionen. Kommissionen har följaktligen hävdat att en medlemsstat inte
         kan föreskriva ett mer långtgående skydd för personuppgifter eller ett mer vidsträckt tillämpningsområde än vad som följer
         av det nämnda direktivet.
         
          Domstolens svar 
         
         95
            
          Såsom följer av bland annat  skäl 8 i direktiv 95/46 syftar direktivet i fråga till att göra skyddsnivån när det gäller personers
         fri- och rättigheter med avseende på behandlingen av personuppgifter likvärdig i alla medlemsstater. I skäl 10 tilläggs att
         tillnärmningen av de nationella lagstiftningar som är tillämpliga på området inte får medföra någon inskränkning i det skydd
         de ger, utan i stället  skall syfta till att garantera en hög skyddsnivå inom gemenskapen.
         
         
         
         96
            
          Harmoniseringen av de nämnda nationella lagstiftningarna inskränker sig således inte till en minimiharmonisering, utan leder
         till en i princip fullständig harmonisering. Det är i detta perspektiv som man skall se direktiv 95/46, som syftar till att
         säkerställa det fria flödet av personuppgifter och att samtidigt garantera en hög skyddsnivå för rättigheter och intressen
         för de personer som dessa uppgifter avser. 
         
         
         
         97
            
          Det är riktigt att medlemsstaterna i direktiv 95/46 tillerkänns ett handlingsutrymme på vissa områden och att de, enligt direktivet,
         får bibehålla eller införa särregleringar för specifika situationer. Ett stort antal av bestämmelserna i direktivet vittnar
         om detta. Sådana möjligheter skall dock utnyttjas på det sätt som föreskrivs i direktiv 95/46 och i enlighet med syftet med
         detta direktiv, nämligen att upprätthålla en jämvikt mellan det fria flödet av personuppgifter och skyddet för privatlivet.
         
         
         
         98
            
          Däremot finns det ingenting som hindrar att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom bestämmelserna
         i direktiv 95/46 har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde, såvida ingen annan
         gemenskapsrättslig bestämmelse utgör hinder för detta. 
         
         
         
         99
            
          Mot bakgrund av ovanstående skall den sjunde frågan besvaras så, att de åtgärder som medlemsstaterna vidtar för att säkerställa
         skyddet av personuppgifter skall stå i överensstämmelse med såväl bestämmelserna i direktiv 95/46 som med dess målsättning
         att upprätthålla en jämvikt mellan det fria flödet av personuppgifter och skyddet för privatlivet. Däremot är det ingenting
         som hindrar att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom bestämmelserna i direktiv 95/46
         har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde, såvida ingen annan gemenskapsrättslig
         bestämmelse utgör hinder för detta.
         
         
         Rättegångskostnader
         100
            
          De kostnader som har förorsakats den svenska och den nederländska regeringen, Förenade kungarikets regering samt kommissionen
         och Eftas övervakningsmyndighet, vilka har inkommit med yttranden till domstolen, är inte ersättningsgilla. Eftersom förfarandet
         i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på
         den nationella domstolen att besluta om rättegångskostnaderna.
         
         
         På dessa grunder beslutar
         
         
         
            
            DOMSTOLEN
         
         
         – angående de frågor som genom beslut av den 23 februari 2001 har ställts av Göta hovrätt – följande dom:
         
            
            
            
               1)
                   Omnämnandet av olika personer – vilka identifieras med namn eller på annat sätt, till exempel med telefonnummer eller med
                     uppgifter om  arbetsförhållanden och fritidsintressen – på en webbsida utgör en ”behandling av personuppgifter som helt eller
                     delvis företas på automatisk väg”, i den mening som avses i artikel 3.1 i Europaparlamentets och rådets direktiv 95/46/EG
                     av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet
                     av sådana uppgifter. 
                  
               
            
            
            
            
               2)
                   Sådan behandling av personuppgifter omfattas inte av något av de undantag som nämns i artikel 3.2 i direktiv 95/46. 
               
            
            
            
            
               3)
                   En uppgift om att en person har skadat sin fot och är deltidssjukskriven utgör en personuppgift om hälsa, i den mening som
                     avses i artikel 8.1 i direktiv 95/46. 
                  
               
            
            
            
            
               4)
                   Det föreligger inte någon ”överföring av ... uppgifter till tredje land” i den mening som avses i artikel 25 i direktiv 95/46
                     när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en webbsida som är lagrad hos en fysisk eller
                     juridisk person som hyser den webbplats där sidan kan läsas och som är etablerad i samma medlemsstat eller i en annan medlemsstat,
                     varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. 
                  
               
            
            
            
            
               5)
                   Bestämmelserna i direktiv 95/46 utgör inte i sig en begränsning som står i strid med den allmänna principen om yttrandefrihet
                     eller andra fri- och rättigheter som gäller inom Europeiska unionen och som har en motsvarighet i bland annat artikel 10 i
                     Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom
                     den 4 november 1950. Det ankommer på de nationella myndigheter och domstolar som skall tillämpa de nationella bestämmelser
                     genom vilka direktiv 95/46 har införlivats att se till att det uppnås en korrekt jämvikt mellan de rättigheter och intressen
                     som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens rättsordning. 
                  
               
            
            
            
            
               6)
                   De åtgärder som medlemsstaterna vidtar för att säkerställa skyddet av personuppgifter skall stå i överensstämmelse med såväl
                     bestämmelserna i direktiv 95/46 som med dess målsättning att upprätthålla en balans mellan det fria flödet av personuppgifter
                     och skyddet för privatlivet. Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den nationella lagstiftning
                     varigenom bestämmelserna i direktiv 95/46 har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde,
                     såvida ingen annan gemenskapsrättslig bestämmelse utgör hinder för detta. 
                  
               
            
            
                  Jann
               
               
                  Timmermans
               
               
                  Gulmann
               
            
                  Cunha Rodrigues
               
               
                  Rosas
               
               
                  Edward
               
            
                  Puissochet
               
               
                  Macken
               
               
                  von Bahr
               
            
                  
               
               
                  
               
               
                  
               
            
                  
               
               
                  
               
               
                  
               
            
            
            
            
            
            
            
            
         
         
          Avkunnad vid offentligt sammanträde i Luxemburg den 6 november 2003.
         
         
         
         
                  R. Grass
               
               
                  V. Skouris
               
            
         
         
         
                  Justitiesekreterare
               
               
                  Ordförande
               
            
      
      
          1 –
            
            Rättegångsspråk: svenska.