CELEX: 62007CJ0553
Language: sv
Date: 2009-05-07
Title: Domstolens dom (tredje avdelningen) den 7 maj 2009.#College van burgemeester en wethouders van Rotterdam mot M. E. E. Rijkeboer.#Begäran om förhandsavgörande: Raad van State - Nederländerna.#Skydd för enskilda personer med avseende på behandling av personuppgifter - Direktiv 95/46/EG - Skydd för privatlivet - Utplåning av uppgifter - Rätt att få tillgång till uppgifterna och att få information om mottagarna av uppgifterna - Den frist inom vilken rätten att få tillgång ska utövas.#Mål C-553/07.

Mål C‑553/07
      College van burgemeester en wethouders van Rotterdam
      mot
      M. E. E. Rijkeboer
      (begäran om förhandsavgörande från Raad van State)
      ”Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46/EG – Skydd för privatlivet – Utplåning av uppgifter – Rätt att få tillgång till uppgifterna och att få information om mottagarna av uppgifterna – Den frist inom vilken rätten att få tillgång ska utövas”
      Sammanfattning av domen
      Tillnärmning av lagstiftning – Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46
      (Europaparlamentets och rådets direktiv nr 95/46, artikel 12 a)
      Rätten till skydd för privatlivet som föreskrivs i artikel 1 punkt 1 i direktiv 95/46, avseende skydd för enskilda personer
         med avseende på behandling av personuppgifter och fri rörlighet av dess uppgifter, innebär att den registrerade kan försäkra
         sig om att dennes personuppgifter behandlas korrekt och lagenligt, det vill säga, särskilt, att vederbörandes grunduppgifter
         är exakta och att de har tillhandahållits behöriga mottagare. Såsom har angetts i skäl 41 i direktivet måste den registrerade,
         för att kunna utföra nödvändiga kontroller, förfoga över en rätt att få tillgång till de uppgifter som är föremål för en behandling.
      
      Medlemsstaterna är, enligt artikel 12 a i direktiv 95/46, skyldiga att föreskriva en rätt att få tillgång till information
         om de mottagare eller mottagarkategorier till vilka uppgifterna lämnas ut och om innehållet i de uppgifter som lämnas ut,
         vilken avser inte enbart nutid, utan även förfluten tid. Det ankommer på medlemsstaterna att fastställa den tid under vilken
         denna information ska lagras och att fastställa en motsvarande rätt att få tillgång till denna information, vilket innebär
         en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv, bland annat genom den rätt att göra invändningar
         och att föra talan som föreskrivs i direktiv 95/46 och den börda som skyldigheten att lagra denna information utgör för den
         registeransvarige.
      
      En regel enligt vilken lagringen av information om de mottagare eller mottagarkategorier till vilka uppgifter lämnats ut och
         om innehållet i dessa uppgifter begränsas till en tidsperiod på ett år och genom vilken tillgången till denna information
         på motsvarande sätt begränsas, även om grunduppgifterna lagras mycket längre, utgör inte en lämplig avvägning mellan de intressen
         och skyldigheter som är i fråga, om det inte visas att en mer långvarig lagring av informationen utgör en orimlig börda för
         den registeransvarige. Det ankommer på den nationella domstolen att utföra de kontroller som är nödvändiga.
      
      (se punkterna 49 och 70 samt domslutet)
DOMSTOLENS DOM (tredje avdelningen)
      den 7 maj 2009 (*)
      
      ”Skydd för enskilda personer med avseende på behandling av personuppgifter – Direktiv 95/46/EG – Skydd för privatlivet – Utplåning av uppgifter – Rätt att få tillgång till uppgifterna och att få information om mottagarna av uppgifterna – Den frist inom vilken rätten att få tillgång ska utövas”
      I mål C‑553/07,
      angående en begäran om förhandsavgörande enligt artikel 234 EG, framställd av Raad van State (Nederländerna) genom beslut
         av den 5 december 2007, som inkom till domstolen den 12 december 2007, i målet 
      
      College van burgemeester en wethouders van Rotterdam
      mot
      M.E.E. Rijkeboer,
      meddelar
      DOMSTOLEN (tredje avdelningen)
      sammansatt av avdelningsordföranden A. Rosas samt domarna A. Ó Caoimh, J. Klučka, U. Lõhmus och P. Lindh (referent),
      generaladvokat: D. Ruiz-Jarabo Colomer,
      justitiesekreterare: förste handläggaren M. Ferreira,
      efter det skriftliga förfarandet och förhandlingen den 20 november 2008,
      med beaktande av de yttranden som avgetts av:
      –        College van burgemeester en wethouders van Rotterdam, genom R. de Bree, advocaat,
      –        M.E.E. Rijkeboer, genom W. van Bentem, juridisch adviseur,
      –        Nederländernas regering, genom C.M. Wissels och C. ten Dam, båda i egenskap av ombud,
      –        Tjeckiens regering, genom M. Smolek, i egenskap av ombud,
      –        Greklands regering, genom E.-M. Mamouna och V. Karra, båda i egenskap av ombud,
      –        Spaniens regering, genom M. Muñoz Pérez, i egenskap av ombud,
      –        Förenade kungarikets regering, genom Z. Bryanston-Cross och H. Walker, båda i egenskap av ombud, biträdda av J. Stratford,
         barrister,
      
      –        Europeiska gemenskapernas kommission, genom R. Troosters och C. Docksey, båda i egenskap av ombud,
      och efter att den 22 december 2008 ha hört generaladvokatens förslag till avgörande,
      följande
      Dom
      1        Begäran om förhandsavgörande avser tolkningen av artikel 12 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995
         om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281,
         s. 31) (nedan kallat direktivet).
      
      2        Begäran har framställts i ett mål mellan M.E.E. Rijkeboer (nedan kallad Rijkeboer) och College van burgemeester en wethouders
         van Rotterdam (Rotterdams kommunstyrelse) avseende dess beslut att delvis avslå Rijkeboers begäran om tillgång till information
         om personuppgifter rörande honom, som lämnats ut till utomstående personer under de två år som föregick hans begäran.  
      
       Tillämpliga bestämmelser
       Den gemenskapsrättsliga lagstiftningen 
      3        Skälen 2 och 10 i direktivet, vilka avser grundläggande fri- och rättigheter, har följande lydelse:
      
      ”2)      Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist
         måste systemen respektera dessa personers grundläggande fri- och rättigheter ─ särskilt rätten till privatlivet ─ och bidra till ekonomiska och sociala framsteg, handelns utveckling och enskilda personers välfärd. 
      
      …
      10) Ändamålet med den nationella lagstiftningen om behandling av personuppgifter är att skydda grundläggande fri- och rättigheter,
         särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna
         och de grundläggande friheterna och i gemenskapsrättens allmänna rättsprinciper ...”
      
      4        Enligt skäl 25 i direktivet måste principerna för skydd av enskilda avspeglas dels i de förpliktelser som åvilar personer,
         myndigheter, företag, institutioner, organ eller andra registeransvariga, särskilt med avseende på uppgifternas kvalitet,
         dels i de rättigheter som tillkommer enskilda, vilkas personuppgifter blir föremål för behandling, att informeras om att behandling
         sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.
      
      5        Enligt skäl 40 i direktivet, som avser skyldigheten att informera den registrerade när uppgifterna inte har samlats in från
         vederbörande, är den nämnda skyldigheten inte tillämplig om lämnande av information visar sig vara omöjligt eller innebär
         oproportionerligt stora ansträngningar. I detta sammanhang kan antalet registrerade, uppgifternas ålder och de kompensatoriska
         åtgärder som kan vidtas tas i beaktande.
      
      6        Enligt skäl 41 i direktivet måste alla kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål
         för behandling, detta för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten.
         
      
      7        Artikel 1, som har rubriken ”Direktivets syfte”, har följande lydelse:
      
      ”1. Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt
         rätten till privatliv, i samband med behandling av personuppgifter. 
      
      2. Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som
         har samband med det under punkt 1 föreskrivna skyddet.”
      
      8        Begreppet personuppgifter definieras i artikel 2 a i direktivet som varje upplysning som avser en identifierad eller identifierbar
         fysisk person (den registrerade).
      
      9        Med ”behandling av personuppgifter (behandling)” i artikel 2 b i direktivet avses ”varje åtgärd eller serie av åtgärder som
         vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering,
         organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning
         eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring”.
      
      10      Enligt artikel 2 d i direktivet avses med ”registeransvarig” den fysiska eller juridiska person, den myndighet, den institution
         eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.
         
      
      11      I artikel 2 g i direktivet definieras ”mottagare” som den fysiska eller juridiska person, den myndighet, den institution eller
         det andra organ till vilket uppgifterna lämnas ut, vare sig det är en ”tredje man” eller inte. ”Tredje man” definieras i artikel 2 f
         i direktivet.
      
      12      I artikel 6 anges principerna avseende uppgifternas kvalitet. I artikel 6.1 e föreskrivs med avseende på uppgifternas lagring
         att medlemsstaterna ska föreskriva att personuppgifter ska ”förvaras på ett sätt som förhindrar identifiering av den registrerade
         under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades.
         Medlemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska,
         statistiska eller vetenskapliga ändamål”.
      
      13      I artiklarna 10 och 11 i direktivet anges vilken information som den registeransvarige eller dennes företrädare i vart fall
         ska ge den registrerade för det fall uppgifterna samlas in från den registrerade respektive för det fall uppgifterna inte
         har samlats in från vederbörande.
      
      14      Artikel 12 i direktivet, som har rubriken ”Rätt till tillgång”, har följande lydelse:  
      
      ”Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige
      a)       utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader
      –        få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen,
         de berörda uppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifterna utlämnas, 
      
      –        få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,
      –        få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser sådana
         automatiska beslut som avses i artikel 15.1, 
      
      b)       i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade
         eller blockerade, särskilt om dessa är ofullständiga eller felaktiga,
      
      c)       få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering
         som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning.”
      
      15      Enligt artikel 13.1 i direktivet, som har rubriken ”Undantag och begränsningar”, får medlemsstaterna göra undantag från bland
         annat artiklarna 6 och 12 i direktivet, om detta är nödvändigt med hänsyn till allmänintresset, däribland statens säkerhet,
         försvaret, åtal för brott samt andra intressen, såsom skyddet av den registrerades eller andras fri- och rättigheter.
      
      16      I artikel 14 i direktivet föreskrivs att medlemsstaterna ska tillförsäkra den registrerade rätten att, på vissa villkor, motsätta
         sig behandling av uppgifter som rör honom.
      
      17      Enligt artikel 17.1 andra stycket i direktivet ska medlemsstaterna föreskriva att den registeransvarige ska genomföra lämpliga
         tekniska och organisatoriska åtgärder. Dessa åtgärder ska, med beaktande av den nuvarande tekniska nivån och de kostnader
         som är förenade med åtgärdernas genomförande, åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade
         med behandlingen och arten av de uppgifter som ska skyddas.
      
      18      Enligt artiklarna 22 och 23 i direktivet ska medlemsstaterna föreskriva att var och en har rätt att föra talan inför domstol
         om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig på ifrågavarande behandling,
         och att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med
         de nationella bestämmelser som antagits till följd av detta direktiv har rätt till ersättning av den registeransvarige för
         den skada som han har lidit. 
      
       Den nationella lagstiftningen
      19      Direktivet införlivades i nederländsk rätt genom en rättsakt av allmän karaktär, lagen om skydd av personuppgifter (Wet bescherming
         persoonsgegevens). Dessutom ändrades speciallagstiftning för att beakta direktivets bestämmelser. Detta är fallet med den
         lag som är i fråga i målet vid den nationella domstolen, nämligen lagen om den kommunala förvaltningens hantering av personuppgifter
         (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, n° 494, nedan kallad Wet GBA).
      
      20      I artikel 103.1 i Wet GBA föreskrivs att kommunstyrelsen skriftligen ska informera den registrerade, på dennes begäran, inom
         fyra veckor om de uppgifter som avser vederbörande och som den kommunala förvaltningen, under det år som föregick begäran,
         har lämnat ut till en person som har ansökt om att få ta del av uppgifterna eller till en tredje man. 
      
      21      Enligt artikel 110 i Wet GBA ska kommunstyrelsen bevara en anteckning om att uppgifterna lämnats ut under ett år efter utlämnandet,
         såvida inte utlämnandet på annat sätt framgår av databasen. 
      
      22      Det framgår av de skriftliga yttranden som College van burgemeester en wethouders har ingett att de uppgifter som kommunen
         lagrar bland annat omfattar namn, födelsedatum, administrativt registreringsnummer, personnummer, den kommun i vilken vederbörande
         är bosatt, bostadsadress och datum för bosättning i kommunen, civilstånd, godmanskap, förmyndarskap över minderåriga, nationalitet
         och utländska medborgares uppehållsrätt.
      
       Tvisten i målet vid den nationella domstolen och tolkningsfrågan
      23      Genom skrivelse av den 26 oktober 2005 begärde Rijkeboer att College van burgemeester en wethouders skulle underrätta honom
         om samtliga fall i vilka den kommunala förvaltningen hade lämnat ut information avseende honom till utomstående personer,
         under de två år som föregick hans begäran. Rijkeboer önskade få reda på dessa personers identitet och innehållet i den information
         som hade lämnats ut. Rijkeboer, som hade flyttat till en annan kommun, önskade särskilt få reda på till vem hans tidigare
         adress hade lämnats ut.
      
      24      Genom beslut av den 27 oktober och den 29 november 2005, biföll College van burgemeester en wethouders endast delvis Rijkeboers
         begäran genom att lämna ut information avseende det år som föregick hans begäran, i enlighet med artikel 103.1 i Wet GBA.
      
      25      När information lämnas ut registreras utlämnandet enligt ”Logisch Ontwerp GBA”. Detta är ett automatiserat system, som har
         inrättats av Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (Ministeriet för inrikesfrågor och rikets inre förbindelser).
         Det framgår av begäran om förhandsavgörande att de uppgifter som Rijkeboer begärde, och som avsåg utlämnanden av information
         som låg längre tillbaka i tiden än det år som föregick hans begäran, automatiskt hade utplånats i enlighet med artikel 110
         i Wet GBA.
      
      26      Rijkeboer begärde omprövning av College van burgemeester en wethouders beslut att inte låta honom ta del av informationen
         om mottagarna av de uppgifter avseende honom som hade lämnats ut längre tillbaka än det år som föregick hans begäran. Begäran
         om omprövning avslogs genom beslut av den 13 februari 2006. Rijkeboer väckte därefter talan vid Rechtbank Rotterdam.
      
      27      Den domstolen biföll talan med motiveringen att en begränsning av rätten att få information om uppgifter som lämnas ut, till
         det år som föregick begäran i enlighet med artikel 103.1 Wet GBA, inte är förenlig med artikel 12 i direktivet. Rechtbank
         Rotterdam fann även att de undantag som avses i artikel 13 i det direktivet inte var tillämpliga.
      
      28      College van burgemeester en wethouders överklagade detta avgörande till Raad van State. Den domstolen konstaterade att det
         i artikel 12 i direktivet inte föreskrivs någon frist för utövande av rätten att få tillgång till uppgifter. Enligt Raad van
         State innebär den artikeln emellertid inte nödvändigtvis ett förbud för den nationella lagstiftaren att tidsmässigt begränsa
         rätten för den registrerade att få information om mottagarna av vederbörandes personuppgifter, men den domstolen ställer sig
         tvivlande i detta avseende.
      
      29      Raad van State har mot denna bakgrund beslutat att vilandeförklara målet och hänskjuta följande tolkningsfråga till domstolen:
         
      
      ”Är den lagbestämmelse enligt vilken utlämning inte sker av uppgifter som sträcker sig längre tillbaka i tiden än ett år före
         den aktuella begäran förenlig med artikel 12 … a [i direktivet], eventuellt jämförd med artikel 6.1 e i direktivet, och med
         proportionalitetsprincipen?”
      
       Prövning av tolkningsfrågan
      30      Domstolen erinrar inledningsvis om att inom ramen för det system för rättsligt samarbete som upprättats genom artikel 234 EG
         ankommer det på domstolen att tolka gemenskapsrättens bestämmelser. Vad gäller de nationella bestämmelserna, ska dessa tolkas
         av de nationella domstolarna (se dom av den 14 februari 2008 i mål C‑449/06, Gysen, REG 2008, s. I‑553, punkt 17).  
      
      31      Den fråga som har ställts av den hänskjutande domstolen ska således förstås så, att det ska prövas huruvida en persons rätt
         att få tillgång till information om de mottagare eller mottagarkategorier till vilka vederbörandes personuppgifter lämnats
         ut, samt om innehållet i dessa personuppgifter, kan, i enlighet med direktivet, särskilt dess artikel 12 a, begränsas till
         en tidsperiod motsvarande ett år innan begäran om tillgång görs.  
      
      32      Den hänskjutande domstolen har särskilt hänvisat till två bestämmelser i direktivet, nämligen artikel 6.1 e om lagring av
         personuppgifter och artikel 12 a om rätten att få tillgång till dessa uppgifter. Varken den domstolen eller någon av de parter
         som har inkommit med yttranden till domstolen har däremot åberopat undantagsbestämmelserna i artikel 13 i direktivet.  
      
      33      Artikel 6 i direktivet avser uppgifternas kvalitet. Enligt artikel 6.1 e ska medlemsstaterna föreskriva att personuppgifter
         inte ska lagras under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka
         de senare behandlades. Uppgifterna ska således utplånas när dessa ändamål har uppnåtts. 
      
      34      I artikel 12 a i direktivet föreskrivs att medlemsstaterna ska ge den registrerade rätt att få tillgång till sina personuppgifter
         samt till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnats ut. I artikeln anges emellertid
         inte någon frist i detta avseende.  
      
      35      De nämnda artiklarna syftar således till att skydda den registrerade. Den hänskjutande domstolen vill få reda på huruvida
         det föreligger ett samband mellan dessa två artiklar i den meningen att rätten att få tillgång till information om de mottagare
         eller mottagarkategorier till vilka uppgifterna lämnats ut, och om innehållit i dessa uppgifter, beror på hur länge dessa
         uppgifter lagras. 
      
      36      De yttranden som har inkommit till domstolen ger uttryck för olika åsikter när det gäller frågan hur dessa bestämmelser förhåller
         sig till varandra. 
      
      37      College van burgemeester en wethouders, den nederländska, den tjeckiska och den spanska regeringen samt Förenade kungarikets
         regering har gjort gällande att den rätt att få tillgång till information om de mottagare eller mottagarkategorier som avses
         i artikel 12 a i direktivet enbart avser nutid och inte förfluten tid. Från den tidpunkt då uppgifterna utplånas i enlighet
         med nationell lagstiftning kan den registrerade inte längre få tillgång till dessa. Denna följd är inte oförenlig med direktivet.
         
      
      38      College van burgemeester en wethouders och den nederländska regeringen har således gjort gällande att artikel 103.1 i Wet
         GBA, enligt vilken kommunen, på vederbörandes begäran, ska informera den registrerade om den information som lämnats ut till
         mottagare under det år som föregick begäran, uppfyller de krav som uppställs i direktivet.
      
      39      Kommissionen och den grekiska regeringen har gjort gällande att det i direktivet föreskrivs en rätt att få tillgång som inte
         endast avser nutid, utan även den tidsperiod som föregår begäran om tillgång. De har emellertid olika uppfattningar i fråga
         om den exakta längden på den tidsperiod som rätten att få tillgång ska avse. 
      
      40      För att kunna avgöra omfattningen av den rätt att få tillgång som tillerkänns genom direktivet, ska det först fastställas
         vilka uppgifter som omfattas av denna rätt. Därefter ska ändamålet med artikel 12 a i direktivet, sett mot bakgrund av de
         mål som eftersträvas med direktivet, tas i beaktande.
      
      41      I ett fall som Rijkeboers är det fråga om två kategorier av personuppgifter.
      
      42      Den första kategorin avser privata uppgifter som kommunen innehar avseende en person, såsom vederbörandes namn och adress,
         vilka i detta fall utgör grunduppgifter. Det framgår av de muntliga yttrandena från College van burgemeester en wethouders
         och den nederländska regeringen att dessa uppgifter kan lagras under en lång tidsperiod. De utgör ”personuppgifter” i den
         mening som avses i artikel 2 a i direktiv 95/46, eftersom det är fråga om upplysningar som avser en identifierad eller identifierbar
         fysisk person (se, för ett liknande resonemang, dom av den 20 maj 2003 i de förenade målen C‑465/00, C‑138/01 och C‑139/01,
         Österreichischer Rundfunk m.fl., REG 2003, s. I‑4989, punkt 64, av den 6 november 2003 i mål C‑101/01, Lindqvist, REG 2003,
         s. I‑12971, punkt 24, och av den 16 december 2008 i mål C‑524/06, Huber, REG 2008, s. I‑0000, punkt 43).
      
      43      Den andra kategorin rör de mottagare eller mottagarkategorier till vilka grunduppgifterna lämnats ut samt innehållet i dessa
         uppgifter. Denna kategori avser således behandlingen av grunduppgifter. I enlighet med den inhemska lagstiftningen i fråga
         i målet vid den nationella domstolen lagras sådana uppgifter enbart under ett år.
      
      44      Den tidsmässiga begränsning av rätten att få tillgång till information om mottagaren eller mottagarna av personuppgifter och
         om innehållet i de utlämnade uppgifterna, som avses i målet vid den nationella domstolen, rör således denna andra kategori
         av uppgifter.  
      
      45      För att bestämma huruvida en sådan tidsmässig begränsning är tillåten eller inte enligt artikel 12 a i direktivet, ska den
         artikeln tolkas med hänsyn till dess ändamål, som i sin tur ska bedömas mot bakgrund av de mål som eftersträvas med direktivet.
      
      46      Enligt artikel 1 i direktivet är dess syfte att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten
         till privatliv, i samband med behandling av personuppgifter, och därmed möjliggöra fri rörlighet av dessa uppgifter mellan
         medlemsstaterna. 
      
      47      Betydelsen av rätten till skydd för privatlivet betonas i skälen 2 och 10 i direktivet och även i domstolens rättspraxis (se,
         för ett liknande resonemang, domarna i de ovannämnda målen Österreichischer Rundfunk m.fl., punkt 70, och Lindqvist, punkterna 97
         och 99, samt dom av den 29 januari 2008 i mål C‑275/06, Promusicae, REG 2008, s.. I‑271, punkt 63, och av den 16 december 2008
         i mål C‑73/07, Satakunnan Markkinapörssi och Satamedia, REG 2008, s. I‑0000, punkt 52). 
      
      48      I övrigt, såsom följer av skäl 25 i direktivet, ska principerna för detta skydd avspeglas dels i de förpliktelser som de registeransvariga
         har med avseende på bland annat uppgifternas kvalitet – vilket är syftet bakom artikel 6 i direktivet – dels i de rättigheter
         som har tilldelats enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling
         sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen av
         dessa.
      
      49      Denna rätt till skydd för privatlivet innebär att den registrerade kan försäkra sig om att dennes personuppgifter behandlas
         korrekt och lagenligt, det vill säga, särskilt, att vederbörandes grunduppgifter är exakta och att de har tillhandahållits
         behöriga mottagare. Såsom har angetts i skäl 41 i direktivet måste den registrerade, för att kunna utföra nödvändiga kontroller,
         förfoga över en rätt att få tillgång till de uppgifter som är föremål för en behandling.  
      
      50      I artikel 12 a i direktivet föreskrivs i detta hänseende en rätt att få tillgång till grunduppgifter samt till information
         om de mottagare eller mottagarkategorier till vilka uppgifterna lämnats ut.
      
      51      Denna rätt att få tillgång är nödvändig för att möjliggöra för den registrerade att utöva de rättigheter som avses i artikel 12 b
         och c i direktivet. För det fall behandlingen av vederbörandes uppgifter inte är förenlig med direktivet har den registrerade
         enligt dessa bestämmelser rätt att från den registeransvarige få uppgifterna rättade, utplånade eller blockerade (punkt b)
         eller att få den registeransvarige att underrätta tredje man till vilken uppgifterna utlämnats, om en sådan rättelse, utplåning
         eller blockering, om detta inte visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning (punkt c).
      
      52      Rätten att få tillgång är även nödvändig för att möjliggöra för den registrerade att utöva den rätt att göra invändningar
         mot behandlingen av dennes personuppgifter som avses i artikel 14 i direktivet, eller rätten att föra talan till följd av
         skada, i enlighet med artiklarna 22 och 23 i direktivet. 
      
      53      Med avseende på rätten att få tillgång till information om mottagare eller mottagarkategorier av grunduppgifter, och om innehållet
         i de uppgifter som har lämnats ut, preciseras det i direktivet inte huruvida denna rätt avser förfluten tid eller, i förekommande
         fall, en viss period i det förflutna.
      
      54      Domstolen konstaterar i detta hänseende att för att säkerställa den ändamålsenliga verkan av de bestämmelser som avses i punkterna 51
         och 52 i förevarande dom, måste denna rätt med nödvändighet avse förfluten tid. Om så inte var fallet skulle den registrerade
         inte på ett effektivt sätt kunna utöva sin rätt att få uppgifter, som antas vara ogiltiga eller felaktiga, rättade, utplånade
         eller blockerade eller ha rätt att föra talan vid domstol för att få ersättning för den skada som vederbörande har lidit.
         
      
      55      Frågan uppkommer vilken omfattning denna rätt har med avseende på förfluten tid.  
      
      56      Domstolen har tidigare funnit att bestämmelserna i direktivet är relativt allmänt hållna, med hänsyn till att de ska tillämpas
         på ett stort antal mycket olikartade situationer, och att direktivet innehåller regler som kännetecknas av en viss flexibilitet,
         enligt vilka det i flera fall överlåts till medlemsstaterna att fastställa detaljer eller att välja bland olika alternativ
         (se domen i det ovannämnda målet Lindqvist, punkt 83). Domstolen har således funnit att medlemsstaterna i flera avseenden
         förfogade över ett utrymme för skönsmässig bedömning beträffande direktivets införlivande (se domen i det ovannämnda målet
         Lindqvist, punkt 84). Detta utrymme för skönsmässig bedömning, som även gäller införlivandet av artikel 12 a i direktivet,
         är emellertid inte obegränsat.  
      
      57      Den frist som fastställs avseende rätten att få tillgång till information om mottagarna och mottagarkategorierna samt om innehållet
         i de uppgifter som lämnats ut måste möjliggöra för den registrerade att utöva de olika rättigheter som anges i direktivet
         och som det erinrats om i punkterna 51 och 52 i förevarande dom.   
      
      58      Hur länge uppgifterna ska lagras kan vara en användbar, men icke avgörande, faktor. 
      
      59      Direktivets tillämpningsområde är i själva verket mycket stort, såsom domstolen tidigare har funnit (se domarna i de ovannämnda
         målen Österreichischer Rundfunk m.fl., punkt 43, och Lindqvist, punkt 88), och de personuppgifter som omfattas av direktivet
         är av olika slag. Hur länge de nämnda uppgifterna lagras beror enligt ordalydelsen i artikel 6.1 e i direktivet på de ändamål
         för vilka de har samlats in och senare behandlats, och denna tid kan således variera. När grunduppgifter lagras mycket länge
         kan intresset hos den registrerade att utöva de sätt att invända eller föra talan som anges i punkt 57 i förevarande dom i
         vissa fall minska. Om de berörda mottagarna till exempel är många eller om uppgifter lämnas ut till ett mindre antal mottagare,
         men ofta, kan skyldigheten att under lika lång tid lagra information om mottagarna eller mottagarkategorierna samt om innehållet
         i de uppgifter som lämnats ut utgöra en orimlig börda för den registeransvarige.
      
      60      Enligt direktivet krävs emellertid inte att medlemsstaterna ålägger den registeransvarige en sådan skyldighet.
      
      61      I artikel 12 c i direktivet föreskrivs således uttryckligen ett undantag från skyldigheten för den registeransvarige att underrätta
         tredje man till vilken uppgifterna utlämnats, om varje rättelse, utplåning eller blockering, nämligen då detta visar sig omöjligt
         eller förutsätter en oproportionerligt stor ansträngning. 
      
      62      Av andra avsnitt i direktivet framgår att det förhållandet att vissa åtgärder kan vara oproportionerliga får beaktas. Med
         avseende på skyldigheten att informera den registrerade anges i skäl 40 att antalet registrerade och uppgifternas ålder kan
         beaktas. Enligt artikel 17 i direktivet, som avser säkerheten vid behandlingen, ska medlemsstaterna föreskriva att den registeransvarige
         ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå i förhållande till
         de risker som är förknippade med behandlingen och arten av de uppgifter som ska skyddas, med hänsyn till den nuvarande utvecklingsnivån
         och till kostnaderna för genomförandet.
      
      63      Liknande överväganden är relevanta vid bestämmandet av en frist för rätten att få tillgång till informationen om mottagarna
         eller mottagarkategorierna och om innehållet i de uppgifter som lämnats ut. Utöver de överväganden som det erinras om i punkt 57
         ovan, kan medlemsstaterna även beakta bland annat bestämmelser i nationell rätt som är tillämpliga på frister för väckande
         av talan, uppgifternas mer eller mindre känsliga art, hur länge uppgifterna lagras och antalet berörda mottagare.
      
      64      Det ankommer således på medlemsstaterna att fastställa en frist för lagring av information om mottagarna eller mottagarkategorierna
         och om innehållet i de uppgifter som lämnats ut samt föreskriva bestämmelser om tillgång till denna information, vilket innebär
         en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv och den börda som skyldigheten att lagra
         denna information utgör för den registeransvarige. Skyddet för den registrerades privatliv består härvid bland annat av rätten
         till rättelse, utplåning eller blockering av uppgifter, om behandlingen av dessa inte är förenlig med direktivet, samt rätten
         att göra invändningar och att föra talan.
      
      65      Medlemsstaterna ska, vid fastställandet av denna tidsfrist, i övrigt beakta den i artikel 6 e i direktivet angivna skyldigheten
         att föreskriva att personuppgifter ska förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre
         tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades.
      
      66      En regel enligt vilken tidsperioden för lagring av information om de mottagare eller mottagarkategorier till vilka uppgifter
         lämnats ut och om innehållet i dessa uppgifter begränsas till ett år och enligt vilken tillgången till denna information på
         motsvarande sätt begränsas, även om grunduppgifterna lagras mycket längre, utgör i förevarande fall inte en lämplig avvägning
         mellan de intressen och skyldigheter som är i fråga, om det inte kan visas att en mer långvarig lagring av informationen utgör
         en orimlig börda för den registeransvarige. Det ankommer dock på den nationella domstolen att utföra de kontroller som är
         nödvändiga mot bakgrund av de överväganden som har gjorts i föregående punkter.  
      
      67      Vissa medlemsstater har gjort gällande att tillämpningen av artiklarna 10 och 11 i direktivet medför att det inte är nödvändigt
         att bevilja tillgång till information om de mottagare eller mottagarkategorier som avses i artikel 12 a i direktivet. Denna
         argumentation kan, mot bakgrund av ovannämnda överväganden, inte godtas. 
      
      68      Domstolen konstaterar att enligt artiklarna 10 och 11 åläggs den registeransvarige eller dennes företrädare skyldigheten att,
         under vissa förhållanden, informera den registrerade om bland annat mottagare eller mottagarkategorier. Den registeransvarige
         eller dennes företrädare ska själv lämna denna information till den registrerade, bland annat vid tidpunkten för uppgifternas
         insamling, eller, om uppgifterna inte har samlats in från den registrerade, vid tidpunkten för registrering av uppgifterna,
         eller eventuellt då dessa uppgifter lämnas ut till tredje man.   
      
      69      Avsikten med dessa bestämmelser är således att föreskriva andra skyldigheter än dem som följer av artikel 12 a i direktivet.
         De innebär följaktligen ingalunda en begränsning av medlemsstaternas skyldighet att föreskriva att den registeransvarige ska
         ge den registrerade tillgång till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnas ut och
         om de uppgifter som lämnats ut, när denne bestämmer sig för att utöva den rätt att få tillgång som tillerkänns vederbörande
         enligt artikel 12 a i direktivet. Medlemsstaterna ska anta åtgärder för att införliva dels bestämmelserna i artiklarna 10
         och 11 i direktivet avseende informationsskyldigheten, dels bestämmelserna i artikel 12 a i direktivet, utan att de förstnämnda
         för den skull innebär en begränsning av de skyldigheter som följer av de sistnämnda åtgärderna. 
      
      70      Tolkningsfrågan ska därmed besvaras på följande sätt: 
      
      –        Medlemsstaterna är, enligt artikel 12 a i direktivet skyldiga att föreskriva en rätt att få tillgång till information om de
         mottagare eller mottagarkategorier till vilka uppgifterna lämnas ut och om innehållet i de uppgifter som lämnas ut, vilken
         avser inte enbart nutid, utan även förfluten tid. Det ankommer på medlemsstaterna att fastställa den tid under vilken denna
         information ska lagras och att fastställa en motsvarande rätt att få tillgång till denna information, vilket innebär en lämplig
         avvägning mellan den registrerades intresse av att skydda sitt privatliv, bland annat genom den rätt att göra invändningar
         och att föra talan som föreskrivs i direktivet, och den börda som skyldigheten att lagra denna information utgör för den registeransvarige.
         
      
      –        En regel enligt vilken lagringen av information om de mottagare eller mottagarkategorier till vilka uppgifter lämnats ut och
         om innehållet i dessa uppgifter begränsas till en tidsperiod på ett år och genom vilken tillgången till denna information
         på motsvarande sätt begränsas, även om grunduppgifterna lagras mycket längre, utgör inte en lämplig avvägning mellan de intressen
         och skyldigheter som är i fråga, om det inte visas att en mer långvarig lagring av informationen utgör en orimlig börda för
         den registeransvarige. Det ankommer på den nationella domstolen att utföra de kontroller som är nödvändiga.   
      
       Rättegångskostnader
      71      Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma
         mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till
         domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
      
      Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
      Medlemsstaterna är, enligt artikel 12 a i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd
            för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, skyldiga att
            föreskriva en rätt att få tillgång till information om de mottagare eller mottagarkategorier till vilka uppgifterna lämnas
            ut samt om de uppgifter som lämnas ut, vilken avser inte enbart nutid, utan även förfluten tid. Det ankommer på medlemsstaterna
            att fastställa den tid under vilken denna information ska lagras och att fastställa en motsvarande rätt att få tillgång till
            denna information, vilket innebär en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv, bland
            annat genom den rätt att göra invändningar och att föra talan som föreskrivs i direktiv 95/46, och den börda som skyldigheten
            att lagra denna information utgör för den registeransvarige. 
      En regel enligt vilken lagringen av information om de mottagare eller mottagarkategorier till vilka uppgifter lämnats ut och
            om innehållet i dessa uppgifter begränsas till en tidsperiod på ett år och genom vilken tillgången till denna information
            på motsvarande sätt begränsas, även om grunduppgifterna lagras mycket längre, utgör inte en lämplig avvägning mellan de intressen
            och skyldigheter som är i fråga, om det inte visas att en mer långvarig lagring av informationen utgör en orimlig börda för
            den registeransvarige. Det ankommer på den nationella domstolen att utföra de kontroller som är nödvändiga. 
      Underskrifter
      * Rättegångsspråk: nederländska.