Nánari umfjöllun um Lindqvist mál
Hinn 6. nóvember 2003 kvað Evrópudómstóllinn upp dóm um birtingu persónuupplýsinga á netinu. Með dóminum var veittur forúrskurður að beiðni sænsks dómstóls, Göta hovrätt. Atvik voru þau að kona, sem leiðbeindi á fermingarnámskeiði, útbjó á tölvunámskeiði heimasíðu á internetinu sem átti að gera þeim kleift, sem undirbjuggu sig fyrir fermingu, að fá nauðsynlegar upplýsingar, þ. á m. um þá sem unnu hjá prestakallinu. Kom nafn þeirra fram á heimasíðunni, sem og upplýsingar um starf þeirra, tómstundir og í mörgum tilvikum fjölskylduaðstæður, símanúmer o.fl. Í einu tilviki kom og fram að tiltekinn starfsmaður hefði slasast á fæti og væri undir lækniseftirliti. Konan hafði hvorki upplýst vinnufélaga sína um gerð heimasíðunnar né tilkynnt um vinnslu persónuupplýsinga vegna hennar til sænsku persónuverndarstofnunarinnar, Datainspektionen, en um leið og hún komst að því að vinnufélagar hennar væru sumir á móti birtingu upplýsinga um sig á heimasíðunni tók hún síðuna af internetinu. Ákæruvaldið höfðaði hins vegar mál gegn henni fyrir Göta hovrätt vegna ætlaðra brota á sænsku persónuupplýsingalögunum, þ.e. fyrir vélræna vinnslu persónuupplýsinga án tilkynningar til Datainspektionen, vinnslu viðkvæmra persónuupplýsinga án heimildar, þ.e. um slys á fæti og lækniseftirlit, og flutning persónuupplýsinga til þriðju landa án heimildar. Óskaði Göta hovrätt þá eftir forúrskurði um eftirfarandi sjö spurningar:
Fellur birting upplýsinga um nafn og símanúmer einstaklings á heimasíðu á internetinu undir gildissvið tilskipunar 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og felur það í sér vélræna vinnslu persónuupplýsinga samkvæmt þeirri tilskipun í heild eða að hluta að birta upplýsingar á slíkri heimasíðu um starf fólks, áhugamál o.fl.?
Sé svarið við spurningunni hér að ofan neitandi, teljast þá upplýsingar um rúmlega 15 einstaklinga á heimasíðu á internetinu, með tengingum milli síðna um hvern og einn, sem gera það kleift að leita eftir eiginnafni, vera skrá sem fellur undir gildissvið tilskipunarinnar? Fellur birting persónuupplýsinga á heimasíðu á internetinu utan gildisviðs tilskipunarinnar samkvæmt einni af undantekningunum í 2. mgr. 3. gr., en þar segir að starfsemi sem fellur utan starfsemi Evrópubandalagsins, s.s. á sviði landvarna og öryggis, falli utan gildissviðsins, sem og vinnsla einstaklings sem eingöngu fer fram í þágu hans sjálfs eða fjölskyldu hans? Teljast upplýsingar um að einstaklingur hafi slasast á fæti og sé undir lækniseftirliti til viðkvæmra persónuupplýsinga? Felur birting persónuupplýsinga á heimasíðu á internetinu í sér flutning persónuupplýsinga til þriðju landa, þ.e. landa sem ekki veita persónuupplýsingum sambærilega vernd og samkvæmt tilskipuninni, þannig að skilyrðum tilskipunarinnar um slíkan flutning þurfi að vera fullnægt, enda verði þær þá aðgengilegar þeim sem staddir eru í þriðju löndum, og telst vera um flutning að ræða þótt netþjónninn sé staðsettur í þriðja landi eða ekki sé til þess vitað að einhver í þriðja landi hafi nálgast upplýsingarnar? Brjóta reglur tilskipunarinnar, þegar atvik eru eins og í umræddu máli, gegn meginreglum um tjáningarfrelsi eða öðrum réttindum sem gilda innan Evrópusambandsins og sem eiga sér m.a. samsvörun í 10. gr. mannréttindasáttmála Evrópu? Getur aðildarríki að Evrópusambandinu veitt persónuupplýsingum meiri vernd en sem gildir samkvæmt tilskipuninni, jafnvel þó að ekkert af ákvæðum 13. gr. um undanþágur frá ákvæðum hennar eigi við?
Svör Evrópudómstólsins
Hér fyrir neðan eru reifuð svör Evrópudómstólsins við ofangreindum spurningum. Einnig er í stuttu máli greint frá afstöðu konunnar, sem ákærð var, og annarra sem fengu færi á að tjá sig, þ.e. framkvæmdastjórnar Evrópubandalagsins og aðildarríkja.
Fyrsta spurningin
Konan, sem ákærð hafði verið, taldi að svara ætti fyrstu spurningunni neitandi, enda gæti það eitt að nafn eða aðrar persónuupplýsingar kæmu fyrir á heimasíðu á internetinu ekki leitt til þess að um væri að ræða vélræna vinnslu persónuupplýsinga sem félli undir gildissviðs tilskipunar 95/46/EB. Hins vegar væri um að ræða slíka vinnslu ef nota mætti leitarorð til að finna slíkar upplýsingar á þar til gerðri leitarsíðu.
Evrópudómstóllinn taldi hins vegar, í samræmi við afstöðu sænsku ríkisstjórnarinnar, þeirrar hollensku og framkvæmdastjórnar Evrópubandalagsins, að svara yrði fyrstu spurningunni játandi, þ.e. sú aðgerð að færa persónuupplýsingar inn á heimasíðu á internetinu, og þar með að hlaða síðunni inn á netþjón og framkvæma þær tæknilegu aðgerðir, sem nauðsynlegar eru til að upplýsingarnar verði aðgengilegar, teldist til vélrænnar vinnslu persónuupplýsinga.
Önnur spurningin
Evrópudómstóllinn svaraði ekki annarri spurningunni, enda var þess aðeins óskað af dómstólinum ef þeirri fyrstu yrði svarað neitandi.
Þriðja spurningin
Konan, sem ákærð hafði verið, taldi að svara yrði þriðju spurningunni játandi, þ.e. sú notkun tjáningarfrelsisins að setja upp heimasíður í tómstundum félli utan gildissviðs tilskipunar 95/46/EB, sbr. 2. mgr. 3. gr. um undanþágur frá gildissviðinu. Sænska ríkisstjórnin taldi hins vegar að almennt félli slík vinnsla innan gildissviðsins, þ.e. þegar vinnslan færi ekki eingöngu fram sem liður í notkun tjáningarfrelsis heldur einnig í þágu einhvers konar starfsemi. Hollenska ríkisstjórnin taldi enga af undanþágum 2. mgr. 3. gr. tilskipunarinnar eiga við um umrædda vinnslu. Framkvæmdastjórnin taldi og slíka heimasíðu, sem hér um ræðir, ekki geta fallið utan gildissviðsins nema hún hefði listrænan eða bókmenntalegan tilgang, sbr. 9. gr. tilskipunarinnar. Hún fjallaði nokkuð um það ákvæði 2. mgr. 3. gr. að starfsemi, sem fellur utan starfsemi Evrópubandalagsins, s.s. á sviði landvarna og öryggis, fellur utan gildissviðs tilskipunarinnar. Sú umfjöllun laut að hvort umrædd vinnsla ætti ekki að eiga undir tilskipunina þar sem hún tengdist ekki höfuðmarkmiðum bandalagsins um svokallað fjórfrelsi (frjálsa fólksflutninga, frjálsa fjármagnsflutninga, frjálsa vöruflutninga og frjálsa þjónustustarfsemi). Leit framkvæmdastjórnin svo á, m.a. með vísan til mannréttindayfirlýsingar Evrópusambandsins, að tilskipun 95/46/EB hefði ekki aðeins það markmið að stýra frjálsu flæði persónuupplýsinga í efnahagsstarfsemi heldur einnig félagsstarfsemi og að umrædd vinnsla persónuupplýsinga ætti því undir hana.
Evrópudómstóllinn taldi umrædda vinnslu persónuupplýsinga ekki falla utan gildissviðs tilskipunarinnar sökum þess að um væri að ræða starfsemi sem félli utan starfsemi Evrópubandalagsins. Ákvæði 2. mgr. 3. gr. þar að lútandi yrði að túlka svo að þrátt fyrir að ekki væri þar tæmandi talið hvaða vinnsla ætti að falla utan gildissviðsins væri það aðeins vinnsla, sem væri eðlislík þeim dæmum, sem talin væru upp, þ.e. landvörnum, öryggi o.þ.u.l., sem félli utan þess, en umrædd vinnsla væri ekki eðlislík þessum dæmum. Það ákvæði 2. mgr. 3. gr. að sú vinnsla persónuupplýsinga falli utan gildissviðsins, sem aðeins fer fram í þágu einstaklings eða fjölskyldu hans, taldi dómstóllinn ekki heldur eiga við um umrædda vinnslu. Túlka yrði ákvæðið svo að það ætti aðeins við um vinnslu sem væri þáttur í einka- eða fjölskyldulífi. Þar sem upplýsingarnar væru birtar á internetinu væri ekki um slíka vinnslu að ræða. Í ljósi framangreinds svaraði því dómstóllinn þriðju spurningunni svo að umrædd vinnsla væri ekki undanþegin ákvæðum tilskipunar 95/46/EB.
Fjórða spurningin
Evrópudómstóllinn svaraði fjórðu spurningunni svo að upplýsingar um að einstaklingur hefði slasast á fæti og væri undir lækniseftirliti væru viðkvæmar persónuupplýsingar í skilningi tilskipunar 95/46/EB, þ.e. upplýsingar um heilsufar, sbr. 1. mgr. 8. gr. þar sem fram kemur að slíkar upplýsingar eru viðkvæmar persónuupplýsingar.
Fimmta spurningin
Framkvæmdastjórnin og sænska ríkisstjórnin töldu að svara yrði fimmtu spurningunni svo að birting persónuupplýsinga á heimasíðu á internetinu væri flutningur upplýsinga til þriðju landa sem ekki veita persónuupplýsingum sambærilega vernd og samkvæmt tilskipun 95/46/EB, hvort sem einhver í þriðja landi nálgaðist upplýsingarnar í raun eða netþjónninn væri staðsettur í þriðja landi. Hollenska og breska ríkisstjórnin voru hins vegar á öðru máli og töldu birtingu persónuupplýsinga á internetinu ekki fela í sér slíkan flutning. Breska ríkisstjórnin færði þau rök fyrir afstöðu sinni að upplýsingar yrðu að vera fluttar í raun frá einum aðila til annars. Ekki væri nóg að þær væru aðeins gerðar aðgengilegar.
Evrópudómstóllinn taldi að líta yrði til tveggja þátta við úrlausn þess hvort birting persónuupplýsinga á heimasíðu á internetinu fæli í sér flutning persónuupplýsinga til þriðju landa: í fyrsta lagi þeirrar tækni, sem beitt er til birtingar á internetinu, og í öðru lagi reglna IV. kafla tilskipunarinnar um hvenær flutningur persónuupplýsinga til þriðju landa er heimill. Tæknin byggðist á því að sá sem setti upp heimasíðu færði þær upplýsingar, sem heimasíðan væri sett saman úr, til netþjónustuaðila sem réði yfir netþjóni sem gerði upplýsingarnar aðgengilegar á internetinu. Þetta gerði það síðan mögulegt að upplýsingarnar bærust öllum þeim sem fara á internetið. Ljóst væri hins vegar að það eitt væri ekki nóg að þeir færu á internetið; þeir yrðu líka sjálfir að framkvæma ákveðnar aðgerðir til að nálgast upplýsingarnar. Heimasíða á internetinu væri því ekki þannig gerð tæknilega að hún færði upplýsingar á sjálfvirkan hátt til þeirra sem ekki hefðu sjálfir reynt að nálgast þær. Af þessu leiddi að persónuupplýsingar, sem einhver í þriðja landi nálgaðist á internetinu, hefðu ekki færst beint á milli hans og þess sem birti þær heldur í gegnum tölvukerfi þess sem réði yfir netþjóninum.
Þessu næst fjallaði dómstóllinn um hvort það hefði verið ætlun evrópska löggjafans með IV. kafla tilskipunarinnar að láta birtingu persónuupplýsinga á heimasíðu á internetinu teljast flutningur persónuupplýsinga til þriðja lands. Tekið var fram að einungis væri fjallað um þetta hvað varðar þá athöfn þess sem setur upp heimasíðu að færa inn á hana upplýsingar. Ekki væri hins vegar fjallað um þær athafnir netþjónustuaðila sem nauðsynlegar eru til að þær verði aðgengilegar. Við mat sitt á ætlun löggjafans leit dómstóllinn til þróunarstigs internetsins þegar tilskipun 94/46/EB var sett og þess að í IV. kafla tilskipunarinnar eru engin ákvæði sem taka sérstaklega til internetsins. Í ljósi þessara atriða taldi hann ekki hægt að gera ráð fyrir því að löggjafinn hefði tekið þá afstöðu að birting persónuupplýsinga á internetinu ætti í framtíðinni að teljast flutningur persónuupplýsinga til þriðju landa. Þá leit dómstóllinn til þess að ef litið yrði svo á að birting persónuupplýsinga á internetinu teldist til flutnings persónuupplýsinga úr landi yrði ávallt, í hvert einasta sinn sem upplýsingar væru birtar þar, að telja þær hafa verið fluttar til þeirra þriðju landa þar sem tæknilega mögulegt væri að nálgast þær. Yrði þá að beita reglum IV. kafla tilskipunarinnar, þ. á m. þeirri reglu, sem kveðið er á um í 25. gr., að hafi framkvæmdastjórn Evrópubandalagsins komist að því að vernd persónuupplýsinga í þriðja landi sé ófullnægjandi sé aðildarríkjunum skylt að hindra flutning persónuupplýsinga þangað. Afleiðing þessa yrði sú að ef framkvæmdastjórnin kæmist að þeirri niðurstöðu að þó ekki nema eitt þriðja land veitti ófullnægjandi persónuupplýsingavernd yrði aðildarríkjunum skylt að koma í veg fyrir alla birtingu persónuupplýsinga á internetinu. Niðurstaða dómstólsins varð því sú að birting persónuupplýsinga á heimasíðu á internetinu fæli ekki í sér flutning persónuupplýsinga til þriðja lands.
Með vísan til þessarar niðurstöðu taldi dómstóllinn ekki þörf á að svara þeim þáttum fimmtu spurningarinnar hvort um flutning teldist vera að ræða þótt netþjónninn væri staðsettur í þriðja landi eða ekki væri til þess vitað að einhver í þriðja landi hefði nálgast upplýsingarnar.
Sjötta spurningin
Konan, sem ákærð hafði verið, taldi að svara yrði sjöttu spurningunni svo að tilskipun 95/46/EB stríddi gegn hinni almennu meginreglu Evrópuréttar um tjáningarfrelsi, þ.e. þeir þættir tilskipunarinnar að tilkynna á stjórnvaldi um vinnslu persónuupplýsinga áður en hún hefst og að óheimilt er að vinna með viðkvæmar persónuupplýsingar (nema einhverju þeirra skilyrða, sem kveðið er á um í 8. gr. tilskipunarinnar, sé fullnægt). Auk þess taldi hún þann þátt gildissviðs tilskipunarinnar að hún nær til allrar vinnslu persónuupplýsinga sem er vélræn í heild eða hluta brjóta gegn þeim meginreglum að lög eiga að vera fyrirsjáanleg og skýr. Loks taldi hún að það eitt að birta upplýsingar um nöfn, símanúmer og um vinnuaðstæður, auk almennt aðgengilegra, þekktra eða léttvægra upplýsinga um heilsufar, gæti ekki talist veruleg skerðing á friðhelgi einkalífs. Þar af leiðandi væri ekki gætt meðalhófs í kröfum tilskipunarinnar þegar höfð væri hliðsjón af þeim markmiðum hennar að vernda orðstír og einkalíf fólks.
Sænska ríkisstjórnin var ósammála þessu þar sem reglur tilskipunarinnar gera ráð fyrir hagsmunamati sem bæði tekur til friðhelgi einkalífs og tjáningarfrelsis. Það væri aðildarríkjanna að meta þessa hagsmuni. Afstaða hollensku ríkisstjórnarinnar var sú sama, en breska ríkisstjórnin tók ekki beina afstöðu til þessa. Hún taldi hins vegar erfitt að túlka tilskipunina á þann veg að birting persónuupplýsinga á ákveðnu formi, þ.e. á heimasíðu á internetinu, ætti að vera háð mun strangari skilyrðum en annars konar birting. Framkvæmdastjórn Evrópubandalagsins taldi tilskipunina aftur á móti ekki hafa í för með sér neinar takmarkanir sem stríddu gegn meginreglunni um tjáningarfrelsi eða öðrum mannréttindum sem tryggð eru í Evrópusambandinu og kveðið er á um í mannréttindasáttmála Evrópu.
Evrópudómstóllinn féllst ekki á það með þeirri konu, sem ákærð hafði verið, að tilskipunin bryti gegn þeim meginreglum að lög eiga að vera fyrirsjáanleg og skýr, enda væri óhjákvæmilegt að reglur hennar væu tiltölulega almennt orðaðar vegna þess fjölda tilvika sem þær eiga að ná til. Þá taldi dómstóllinn reglurnar ekki brjóta að öðru leyti gegn grundvallarreglum um mannréttindi, þ. á m. um tjáningarfrelsi. Í hverju einstöku tilviki yrði hins vegar að vega og meta mismunandi réttindi og hagsmuni og komast þannig að niðurstöðu sem ekki brýtur gegn framangreindum grundvallarreglum. Í því tilviki, sem málið reis út af, yrði því að finna jafnvægið milli tjáningarfrelsis umræddrar konu annars vegar og einkalífsverndar þeirra sem hún birti upplýsingar um hins vegar. Mat sem þetta ætti hins vegar undir aðildarríkin.
Sjöunda spurningin
Sænska ríkisstjórnin taldi að svara yrði sjöundu spurningunni svo að tilskipun 95/46/EB fæli ekki í sér lágmarkskröfur til vinnslu persónuupplýsinga heldur mættu aðildarríkin hvorki kveða á um meiri né minni vernd í lögum sínum. Framkvæmdastjórnin var sammála því og bætti því við að hún teldi það óheimilt að aðildarríkin veittu reglum tilskipunarinnar víðtækara gildissvið en þar er kveðið á um. Hollenska ríkisstjórnin taldi hins vegar að tilskipunin hindraði ekki að aðildarríkin kvæðu á um strangari skilyrði á vissum sviðum, þ.e. þegar gert er ráð fyrir því í tilskipuninni, og auk þess mættu þau veita vinnslu persónuupplýsinga á öðrum sviðum en þeim sem tilskipunin tekur til sömu vernd og þar er kveðið á um.
Evrópudómstóllinn taldi tilskipun 95/46/EB ekki fela í sér lágmarkskröfur til vinnslu persónuupplýsinga þannig að verndarstig þeirra gæti verið mismunandi eftir aðildarríkjum svo fremi sem lágmarkskröfum væri fullnægt. Markmiðið með henni væri að koma á fullkominni samræmingu en þó án þess að vernd persónuupplýsinga í einstökum aðildarríkjum yrði minni en áður. Með tilskipuninni ætti því að koma á háu verndarstigi. Þrátt fyrir að koma ætti á fullkominni samræmingu væri aftur á móti mikilvægt að aðildarríkin hefðu ákveðið svigrúm eins og fram kæmi í mörgum ákvæðum tilskipunarinnar. Við notkun þess svigrúms yrði að fara eftir reglum hennar og markmiði, þ.e. að koma á jafnvægi milli frjáls flæðis persónuupplýsinga og friðhelgi einkalífs. En ekkert stæði því í vegi að gildissvið reglna tilskipunarinnar væri útvíkkað í lögum aðildarríkjanna þannig að það næði til fleiri sviða en samkvæmt tilskipuninni, enda væri það ekki óheimilt samkvæmt skráðum ákvæðum í lögum Evrópusambandsins.