Persondatadirektivet forhindrer afvigende nationale regler
17. december 2016
EU-Domstolen slog for nylig fast, at særlige nationale regler ikke kan forhindre behandling af persondata, hvis persondatadirektivet giver mulighed for det på baggrund af en konkret vurdering af legitime interesser. Sagen kan få store konsekvenser for persondataretten fremover, bl.a. i forhold til de danske særregler om markedsføring og "semi-følsomme" personoplysninger.
EU-Domstolen har den 19. oktober 2016 afsagt dom i ”Breyer”-sagen (C-582/14).
Sagen vedrørte en tvist om registrering og opbevaring af oplysninger om foretagne søgninger på flere tyske forbundsinstitutioners hjemmeside. Hjemmesiden opbevarede logfiler med informationer om bl.a. brugerens dynamiske IP-adresse, hvilket var nødvendigt af hensyn til at beskytte mod og forfølge cyberangreb, samt for at hjemmesiderne fortsat kunne fungere.
Som online-medieudbydere var myndighederne underlagt paragraf 12 og 15 i den tyske "Telemediengesetz", hvor indsamlingen og anvendelsen af personoplysninger kun er tilladt for at give adgang til online-mediet eller afregne for brugen, med mindre der er indhentet samtykke. Der var derfor tvivl om, hvorvidt opbevaringen af oplysninger kunne fortolkes som nødvendig for "at give adgang til online-medier".
Den tyske forbundsdomstol forelagde bl.a. et præjudicielt spørgsmål for EU-Domstolen om nationale bestemmelser. EU-Domstolen skulle bl.a. tage stilling til, om persondatadirektivets art. 7, litra f) forhindrer en national bestemmelse, der ikke tillader en konkret afvejning af legitime interesser, i forhold til om der kan ske opbevaring af personoplysninger af hensyn til online-mediets generelle funktionsdygtighed. EU-Domstolen skulle med andre ord forholde sig til, om særlige nationale regler kan forhindre behandling af persondata, hvis behandlingen er lovlig efter persondatadirektivet - og der ikke efter direktivets indhold er overladt kompetence til medlemsstaterne.
Til dette udtalte EU-Domstolen, at en restriktiv fortolkning af de tyske regler medfører, at der ikke kan tillades behandling på baggrund af en afvejning af andre legitime interesser. Domstolen henviste herefter til, at det tidligere er blevet fastslået, at persondatadirektivets art. 7 fastsætter en udtømmende liste over tilfælde, hvor der kan ske behandling, og at medlemsstaterne ikke må stille yderligere krav hertil. Da art. 7, litra f) tillader behandling, der er nødvendig for at forfølge en legitim interesse, når den registrerede ikke har forudgående modstående interesser, var den restriktive fortolkning af den tyske regulering derfor mere restriktiv end efter direktivet.
EU-Domstolen udtalte herefter, at art. 7, litra f) forhindrer en national regel, der kategorisk og generelt udelukker muligheden for behandling af visse kategorier af personoplysninger uden at tillade en konkret afvejning. Det måtte derfor lægges til grund, at hvis de tyske regler ikke kunne tillade opbevaring ved en konkret afvejning af andre legitime interesser, ville persondatadirektivet være til hinder for denne regulering.
Sagen vedrørte en tvist om registrering og opbevaring af oplysninger om foretagne søgninger på flere tyske forbundsinstitutioners hjemmeside. Hjemmesiden opbevarede logfiler med informationer om bl.a. brugerens dynamiske IP-adresse, hvilket var nødvendigt af hensyn til at beskytte mod og forfølge cyberangreb, samt for at hjemmesiderne fortsat kunne fungere.
Som online-medieudbydere var myndighederne underlagt paragraf 12 og 15 i den tyske "Telemediengesetz", hvor indsamlingen og anvendelsen af personoplysninger kun er tilladt for at give adgang til online-mediet eller afregne for brugen, med mindre der er indhentet samtykke. Der var derfor tvivl om, hvorvidt opbevaringen af oplysninger kunne fortolkes som nødvendig for "at give adgang til online-medier".
Den tyske forbundsdomstol forelagde bl.a. et præjudicielt spørgsmål for EU-Domstolen om nationale bestemmelser. EU-Domstolen skulle bl.a. tage stilling til, om persondatadirektivets art. 7, litra f) forhindrer en national bestemmelse, der ikke tillader en konkret afvejning af legitime interesser, i forhold til om der kan ske opbevaring af personoplysninger af hensyn til online-mediets generelle funktionsdygtighed. EU-Domstolen skulle med andre ord forholde sig til, om særlige nationale regler kan forhindre behandling af persondata, hvis behandlingen er lovlig efter persondatadirektivet - og der ikke efter direktivets indhold er overladt kompetence til medlemsstaterne.
Til dette udtalte EU-Domstolen, at en restriktiv fortolkning af de tyske regler medfører, at der ikke kan tillades behandling på baggrund af en afvejning af andre legitime interesser. Domstolen henviste herefter til, at det tidligere er blevet fastslået, at persondatadirektivets art. 7 fastsætter en udtømmende liste over tilfælde, hvor der kan ske behandling, og at medlemsstaterne ikke må stille yderligere krav hertil. Da art. 7, litra f) tillader behandling, der er nødvendig for at forfølge en legitim interesse, når den registrerede ikke har forudgående modstående interesser, var den restriktive fortolkning af den tyske regulering derfor mere restriktiv end efter direktivet.
EU-Domstolen udtalte herefter, at art. 7, litra f) forhindrer en national regel, der kategorisk og generelt udelukker muligheden for behandling af visse kategorier af personoplysninger uden at tillade en konkret afvejning. Det måtte derfor lægges til grund, at hvis de tyske regler ikke kunne tillade opbevaring ved en konkret afvejning af andre legitime interesser, ville persondatadirektivet være til hinder for denne regulering.
Afgørelsens betydning
Afgørelsen bekræfter EU-domstolens afgørelse i ASNEF sagen (C-468/10 og 469/10); altså at persondatadirektivets art. 7 udtømmende regulerer, i hvilke tilfælde der kan ske behandling af personoplysninger, og at nationale bestemmelser ikke kan indføre andre krav eller begrænsninger, der f.eks. fjerner behandlingsmuligheden ved afvejningen af legitime interesser.
Dette er meget relevant for dansk ret, da bestemmelser som persondatalovens § 6 stk. 2 og 3, om videregivelse til markedsføring, samt § 8, om de såkaldte "semi-følsomme" oplysninger, begge opstiller særlige krav, og giver dermed ikke mulighed for en sådan konkret afvejning af legitime interesser.
Da begge kategorisk afviser behandling af visse former for oplysninger på trods af legitime interesser, må disse danske særregler potentielt være omfattet af samme konklusion som i denne afgørelse, og altså være i strid med direktivet, dog undtaget i forhold til de danske regler om behandling af oplysninger om strafbare forhold - her er medlemsstaterne netop tillagt den nødvendige handlefrihed.
Læs hele afgørelsen her
Dette er meget relevant for dansk ret, da bestemmelser som persondatalovens § 6 stk. 2 og 3, om videregivelse til markedsføring, samt § 8, om de såkaldte "semi-følsomme" oplysninger, begge opstiller særlige krav, og giver dermed ikke mulighed for en sådan konkret afvejning af legitime interesser.
Da begge kategorisk afviser behandling af visse former for oplysninger på trods af legitime interesser, må disse danske særregler potentielt være omfattet af samme konklusion som i denne afgørelse, og altså være i strid med direktivet, dog undtaget i forhold til de danske regler om behandling af oplysninger om strafbare forhold - her er medlemsstaterne netop tillagt den nødvendige handlefrihed.
Læs hele afgørelsen her
