–

Peter Nowak, genom G. Rudden, solicitor, och N. Travers, SC,

–

Data Protection Commissioner, genom D. Young, solicitor, och P. A. McDermott, SC,

–

Irland, genom E. Creedon, L. Williams och A. Joyce, samtliga i egenskap av ombud, biträdda av A. Caroll, barrister,

–

Tjeckiens regering, genom M. Smolek och J. Vláčil, båda i egenskap av ombud,

–

Greklands regering, genom G. Papadaki och S. Charitaki, båda i egenskap av ombud,

–

Ungerns regering, genom M.Z. Fehér och A. Pálfy, båda i egenskap av ombud,

–

Österrikes regering, genom G. Eberhard, i egenskap av ombud,

–

Polens regering, B. Majczyna, i egenskap av ombud,

–

Portugals regering, genom L. Inez Fernandes, M. Figueire, I. Oliveira, samtliga i egenskap av ombud,

–

Europeiska kommissionen, genom D. Nardi och H. Kranenborg, båda i egenskap av ombud,

1

Begäran om förhandsavgörande avser tolkningen av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

2

Begäran har framställts i ett mål mellan Peter Nowak och Data Protection Commissioner (datatillsynsmyndigheten, Irland) angående myndighetens beslut att inte ge Peter Nowak tillgång till ett rättat exemplar av ett prov som han hade skrivit, med hänvisning till att uppgifterna i provet inte utgjorde personuppgifter.

Tillämpliga bestämmelser

Unionsrätt

Direktiv 95/46

3

Enligt artikel 1 i direktiv 95/46 är syftet med direktivet att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, samt att avlägsna begränsningar av det fria flödet av personuppgifter. I skälen 25, 26 och 41 i direktivet anges följande:

4

Begreppet personuppgifter är definierat på följande sätt i artikel 2 a i direktivet:

5

Artikel 6 i direktivet ingår i avdelning I med rubriken ”Principer om uppgifternas kvalitet”, vilken i sin tur ingår i kapitel II. Artikeln har följande lydelse:

6

Artikel 7 i direktivet ingår i avdelning II med rubriken ”Principer som gör att uppgiftsbehandling kan tillåtas”, vilken i sin tur ingår i kapitel II. Artikeln har följande lydelse:

7

I artikel 12 i direktivet, med rubriken ”Rätt till tillgång”, föreskrivs följande:

–

få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifterna utlämnas,

–

få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer,

8

I artikel 13 i direktivet, som har rubriken ”Undantag och begränsningar”, föreskrivs följande:

9

I artikel 14 i direktiv 95/46, med rubriken ”Den registrerades rätt att göra invändningar”, föreskrivs följande:

10

Artikel 28 i direktivet har rubriken ”Tillsynsmyndigheter” och föreskriver följande:

–

undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,

–

effektiva befogenheter att ingripa, som till exempel att kunna … besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling …

Förordning (EU) 2016/679

11

Enligt artikel 99.2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) ska den förordningen, i enlighet med dess artikel 99.2, tillämpas från och med den 25 maj 2018. I artikel 94.1 i förordningen föreskrivs att direktiv 95/46 ska upphöra att gälla med verkan från den dagen.

12

Artikel 15 i förordningen har rubriken ”Den registrerades rätt till tillgång”. I den artikeln föreskrivs följande:

13

I artikel 23 i förordning nr 2016/679, med rubriken ”Begränsningar”, föreskrivs följande:

Irländsk rätt

14

Direktiv 95/46 har införlivats med irländsk rätt genom Data Protection Act 1988 (1988 års dataskyddslag), i dess lydelse enligt Data Protection (Amendment) Act 2003 (2003 års lag om ändring av dataskyddslagen). I section 1.1 i den lagen definieras personuppgifter på följande sätt:

15

Rätten till tillgång regleras i section 4 i dataskyddslagen. Section 4.6 avser särskilt ansökningar om tillgång till provresultat och har följande lydelse:

16

Enligt section 6 i dataskyddslagen har den registrerade rätt att få tillgång till och erhålla rättelse av personuppgifter som behandlas på ett sätt som inte stämmer överens med den lagen.

17

I section 10.1 b i) i dataskyddslagen föreskrivs en skyldighet för datatillsynsmyndigheten att utreda ett klagomål, ”såvida myndigheten inte finner att klagomålet är grundlöst eller har ingetts mot bättre vetande”.

Målet vid den nationella domstolen och tolkningsfrågorna

18

Peter Nowak var revisorspraktikant och hade fått godkänt på första steget av revisorsexamen samt på tre prov i andra steget av revisorsexamen, vilka ordnades av Institute of Chartered Accountants of Ireland (institutet för auktoriserade revisorer i Irland, nedan kallat ICAI). Han fick dock underkänt på provet i strategisk finansiering och internredovisning, ett prov under vilket examinanderna hade möjlighet att använda litteratur (ett så kallat open book-prov).

19

Efter att hösten 2009 ha fått underkänt på detta prov en fjärde gång begärde Peter Nowak att provresultatet skulle omprövas. ICAI fann i mars 2010 vid omprövningen inte anledning att ändra sin bedömning. Peter Nowak ingav i maj 2010 med stöd av section 4 i dataskyddslagen en ansökan till ICAI om tillgång till de personuppgifter som rörde honom, vilka innehades av institutet.

20

I skrivelse av den 1 juni 2010 lämnade ICAI ut sjutton dokument till Peter Nowak, men lämnade inte ut hans prov med motiveringen att uppgifterna i provet inte utgjorde ”personuppgifter” i den mening som avses i dataskyddslagen.

21

Peter Nowak vände sig till datatillsynsmyndigheten i syfte att ifrågasätta huruvida det fanns grund för beslutet att inte lämna ut hans prov. I juni 2010 meddelade datatillsynsmyndigheten Peter Nowak i ett e-postmeddelande att ”att det i allmänhet inte görs någon bedömning av skriftliga prov [med avseende på skyddet av personuppgifter], eftersom denna typ av handlingar inte utgör personuppgifter”.

22

Datatillsynsmyndighetens svar följdes av en skriftväxling mellan Peter Nowak och myndigheten, vilken avslutades den 1 juli 2010 genom att Peter Nowak inkom med ett formellt klagomål.

23

Dataskyddsmyndigheten underrättade genom e-postmeddelande av den 21 juli 2010 Peter Nowak om att det, efter en genomgång av handlingarna i ärendet, inte framkommit något materiellt åsidosättande av dataskyddslagen och att myndigheten därför, med stöd av section 10.1 b i) i den lagen i vilken det finns bestämmelser om grundlösa klagomål och klagomål som getts in mot bättre vetande, beslutat att inte utreda saken vidare. I samma meddelande underrättades Peter Nowak om att de handlingar som denne hade begärt rättelse av ”inte utgjorde personuppgifter på vilka section 6 i dataskyddslagen var tillämplig”.

24

Peter Nowak överklagade beslutet till Circuit Court (Regiondomstolen, Irland). Circuit Court (Regiondomstolen) avvisade överklagandet eftersom det inte fanns något överklagbart beslut på grund av att dataskyddsmyndigheten inte hade utrett klagomålet. Den domstolen fann i andra hand att överklagandet skulle ogillas, eftersom ett prov inte utgör en personuppgift.

25

Peter Nowak överklagade Circuit Courts (Regiondomstolen) dom till High Court (Förvaltningsöverdomstolen, Irland), vilken fastställde underinstansens dom. High Courts (Förvaltningsöverdomstolen) dom fastställdes i sin tur av Court of Appeal (Appellationsdomstolen, Irland). Supreme Court (Högsta domstolen, Irland) har meddelat prövningstillstånd och funnit att Peter Nowak överklagande av dataskyddsmyndighetens beslut kan tas upp till prövning.

26

Supreme Court (Högsta domstolen) hyser emellertid tvivel beträffande frågan huruvida ett prov kan utgöra en personuppgift i den mening som avses i direktiv 95/46 och har därför beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen.

Prövning av tolkningsfrågorna

27

Den hänskjutande domstolen söker med sina frågor klarhet i huruvida artikel 2 a i direktiv 95/46 ska tolkas så, att under sådana omständigheter som de som är aktuella i det nationella målet utgör de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående nämnda svar personuppgifter, i den mening som avses i den bestämmelsen.

28

I detta hänseende erinrar domstolen om att i artikel 2 a i direktiv 95/46 definieras begreppet personuppgifter som ”varje upplysning som avser en identifierad eller identifierbar fysisk person”. Enligt samma bestämmelse är den person identifierbar ”som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifieringsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet”.

29

En examinand för ett prov för yrkesexamen är en fysisk person som antingen kan identifieras direkt genom sitt namn eller indirekt genom ett identifieringsnummer, vilka anges på provet eller på ett omslag till detta.

30

I motsats till vad dataskyddsmyndigheten förefaller göra gällande saknar det i detta sammanhang betydelse huruvida examinatorn kan identifiera examinanden i samband med rättningen och betygsättningen av provet.

31

För att en uppgift ska kunna kvalificeras som ”personuppgift”, i den mening som avses i artikel 2 a i direktiv 95/46, krävs det inte att det är en enda person som innehar alla upplysningar som är nödvändiga för att identifiera den registrerade (dom av den 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punkt 43). Det förhåller sig dessutom så, att i det fallet att examinatorn inte känner till examinandens identitet vid rättningen av de svar som vederbörande har lämnat på ett prov, har den organisation som anordnar provet, i förevarande fall ICAI, tillgång till de uppgifter som krävs för att det utan svårighet eller tvivel ska vara möjligt att identifiera examinanden utifrån personens identifieringsnummer, vilket är angivet på provet eller på provets omslag, och sålunda knyta svaren till examinanden.

32

Det ska emellertid prövas huruvida de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen och examinatorns eventuella anteckningar angående svaren utgör uppgifter som avser examinanden i den mening som avses i artikel 2 a i direktiv 95/46.

33

Såsom domstolen redan har konstaterat är direktivets tillämpningsområde mycket stort och de personuppgifter som omfattas av direktivet är av olika slag (dom av 7 maj 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punkt 59 och där angiven rättspraxis).

34

Användningen i definitionen av begreppet personuppgifter i artikel 2 a i direktiv 95/46 av uttrycket ”varje upplysning” avspeglar nämligen unionslagstiftarens målsättning att ge begreppet en vidsträckt innebörd. Begreppet är inte avgränsat till känsliga upplysningar eller upplysningar av privat karaktär, utan kan innefatta samtliga upplysningar, såväl objektiva upplysningar som subjektiva upplysningar som lämnas i form av åsikter eller bedömningar, under förutsättning att upplysningarna ”avser” den registrerade.

35

Detta villkor är uppfyllt när upplysningen på grund av sitt innehåll, syfte eller verkan är knuten till en bestämd person.

36

Såsom Peter Nowak, den tjeckiska, den grekiska, den ungerska, den österrikiska och den portugisiska regeringen samt Europeiska kommissionen har gjort gällande utgör de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen uppgifter som är knutna till vederbörandes person.

37

För det första avspeglar svarens innehåll examinandens kunskapsnivå och kompetens inom ett visst område samt, i förekommande fall, vederbörandes tankeprocesser, omdöme och förmåga till kritiskt tänkande. Med avseende på prov med handskrivna svar innehåller svaren dessutom upplysningar om examinandens handstil.

38

Syftet med insamlandet av nämnda svar är att utvärdera examinandens yrkeskvalifikationer och lämplighet att utöva det aktuella yrket.

39

Användningen av dessa upplysningar, vilken bland annat tar sig uttryck i examinandens godkända eller icke godkända resultat på det aktuella provet, är ägnad att påverka personens rättigheter och intressen, eftersom den kan avgöra eller inverka på vederbörandes möjligheter att få tillträder till det önskade yrket eller den önskade anställningen.

40

Konstaterandet att de skriftliga svar som lämnas av en examinand på ett prov för en yrkesexamen utgör upplysningar som på grund av sitt innehåll, syfte eller verkan avser personen i fråga gäller för övrigt även i samma utsträckning när det såsom i förevarande fall är fråga om ett så kallat open book-prov.

41

Domstolen delar generaladvokatens bedömning i punkt 24 i förslaget till avgörande att varje form av prov syftar till att fastställa och bedöma en specifik persons, det vill säga examinandens, individuella prestationer och inte till att erhålla upplysningar som är fristående från personen i fråga, vilket är fallet till exempel vid representativa undersökningar.

42

Domstolen konstaterar att, i likhet med examinandens svar på provet, utgör examinatorns anteckningar angående svaren upplysningar som avser examinanden.

43

Innehållet i dessa anteckningar avspeglar examinatorns åsikt om eller bedömning av examinandens individuella prestationer på provet, och särskilt beträffande vederbörandes kunskaper och kompetens inom ett visst område. Dessutom har anteckningarna just till syfte att dokumentera examinatorns bedömning av examinandens prestationer och är ägnade att ha verkningar för den personen, såsom angetts i punkt 39 i förevarande dom.

44

Konstaterandet att examinatorns anteckningar avseende examinandens svar på provet utgör upplysningar som på grund av sitt innehåll, syfte och verkan är knutna till examinanden påverkas inte av det faktum att anteckningarna även utgör upplysningar som avser examinatorn.

45

Samma upplysning kan nämligen avse flera fysiska personer och således utgöra en personuppgift rörande dessa personer, i den mening som avses i artikel 2 a i direktiv 95/46, under förutsättning att personerna i fråga är identifierade eller identifierbara.

46

I motsats till vad dataskyddsmyndigheten och Irland har gjort gällande, påverkas för övrigt inte kvalificeringen som personuppgifter av de skriftliga svar som en examinand lämnat på ett prov för en yrkesexamen och examinatorns eventuella anteckningar angående svaren av den omständigheten att en sådan kvalificering i princip ger examinanden rätt enligt artikel 12 a och b i direktiv 95/46 till tillgång och att erhålla rättelse.

47

Såsom kommissionen anförde vid förhandlingen, ska det först erinras om att ett flertal principer och garantier som är föreskrivna i direktiv 95/46 är förbundna med denna kvalificering och är beroende av den.

48

Enligt skäl 25 i direktiv 95/46 avspeglas principerna för det skydd som föreskrivs i direktivet dels i de förpliktelser som åvilar registeransvariga personer särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen.

49

Att frånkänna upplysningar avseende en examinand, vilka återfinns i de svar som vederbörande lämnat på ett prov för en yrkesexamen och i examinatorns anteckningar angående svaren, kvalificeringen som ”personuppgifter” skulle få till följd att dessa upplysningar fullständigt undandrogs från tillämpningen av principerna och garantierna för skydd av personuppgifter, särskilt principen i artikel 6 direktiv 95/46 om uppgifternas kvalitet och principerna i artikel 7 i samma direktiv för att behandling av uppgifterna ska vara tillåten, den registrerades rätt enligt artiklarna 12 och 14 i direktivet till tillgång, att erhålla rättelse och göra invändningar samt principen om tillsynsmyndighetens övervakning enligt artikel 28 i direktivet.

50

Såsom generaladvokaten har funnit i punkt 26 i sitt förslag till avgörande, har en examinand som skriver ett prov bland annat ett berättigat intresse grundat på skyddet för sitt privatliv av att kunna invända mot att de svar som vederbörande lämnat på provet och examinatorns anteckningar angående svaren behandlas utanför provförfarandet och i synnerhet att de, utan vederbörandes samtycke, överförs till utomstående eller till och med offentliggörs. På samma sätt är den enhet som ordnar provet skyldig att, i egenskap av registeransvarig, se till att svaren och anteckningarna lagras på ett sätt som förhindrar att utomstående olovligen kan få åtkomst till dem.

51

Domstolen konstaterar därefter att rätten till tillgång respektive att erhålla rättelse, vilka föreskrivs i artikel 12 a respektive b i direktiv 95/46, även kan vara motiverade med avseende på de skriftliga svar som en examinand lämnar på ett prov för en yrkesexamen och examinatorns eventuella anteckningar angående svaren.

52

Det är förvisso uppenbart att rätten att erhålla rättelse i artikel 12 b i direktiv 95/46 inte kan innebära att det är möjligt för en examinand att i efterhand ”rätta” ”felaktiga” svar.

53

Det följer nämligen av artikel 6.1 d i direktiv 95/46 att riktigheten och fullständigheten av personuppgifter ska bedömas i förhållande till det ändamål för vilket de samlades in. Beträffande en examinands svar på ett prov utgörs ändamålet av att kunna bedöma examinandens kunskaps- och kompetensnivå den dag då provet skrivs. Eventuella fel i svaren avspeglar emellertid just nämnda nivå. Sådana fel utgör följaktligen inte en felaktighet i den mening som avses i direktiv 95/46, vilken skulle ge rätt till rättelse enligt artikel 12 b i direktivet.

54

Däremot är det möjligt att finns fall där en examinands svar på ett prov och examinatorns anteckningar angående svaren visar sig vara felaktiga, i den mening som avses i artikel 6.1 d i direktiv 95/46, till exempel på grund av att prov av misstag har förväxlats och att den aktuella examinandens svar har bytts ut mot en annan examinands svar, eller på grund av att en del av arken med examinandens svar har förlagts och att svaren därför är ofullständiga, eller på grund av att examinatorns eventuella anteckningar inte på ett riktigt sätt dokumenterar bedömningen av examinandens svar.

55

Såsom generaladvokaten har påpekat i punkt 37 i sitt förslag till avgörande är det inte uteslutet att en examinand har rätt att med stöd av artikel 12 b i direktiv 95/46 begära att den registeransvarige efter en viss tid ska utplåna, det vill säga förstöra, vederbörandes svar på proven och examinatorns anteckningar angående svaren. Enligt artikel 6.1 e i direktiv 95/46 får personuppgifter förvaras på ett sätt som möjliggör identifiering av den registrerade endast under en så lång tid som är nödvändig för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Med hänsyn till ändamålet med de svar som en examinand lämnar i ett prov och ändamålet med examinatorns anteckningar angående svaren, förefaller en lagring av dessa svar och anteckningar i en form som gör det möjligt att identifiera examinanden emellertid i princip inte längre nödvändig när provförfarandet är slutligt avslutat och inte längre kan vara föremål för överklagande och svaren och anteckningarna därför inte längre har något bevisvärde.

56

I den utsträckning som de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående svaren således kan vara föremål för en kontroll, bland annat av deras riktighet och behovet av att de lagras, i den mening som avses i artikel 6.1 d och e i direktiv 95/46, och kan vara föremål för rättelse eller utplåning enligt artikel 12 b i samma direktiv, tjänar det faktum att examinanden med stöd av artikel 12 a i direktivet ges rätt till tillgång till svaren och anteckningarna den målsättning med direktivet som består i att garantera skyddet för examinandens privatliv med avseende på behandlingen av hans eller hennes personuppgifter (se, e contrario, dom av den 17 juli 2014, YS m.fl., C‑141/12 och C‑372/12, EU:C:2014:2081, punkterna 45 och 46), oberoende av huruvida examinanden även har en sådan rätt till tillgång enligt den nationella lagstiftning som är tillämplig på provförfarandet.

57

Domstolen erinrar i detta sammanhang om att skyddet för den grundläggande rätten till skydd för privatlivet bland annat innebär att den registrerade kan försäkra sig om att de personuppgifter som avser vederbörande är riktiga och att de behandlas på ett sätt som är tillåtet. Såsom framgår av skäl 41 i direktiv 95/46 är det för att kunna utföra nödvändiga kontroller som den registrerade, enligt artikel 12 a i direktivet, förfogar över en rätt att få tillgång till uppgifter om honom eller henne som behandlas. Denna rätt att få tillgång är nödvändig bland annat för att möjliggöra för den registrerade att, i förekommande fall, få uppgifterna rättade, utplånade eller blockerade av den registeransvarige och därigenom utöva den rätt som avses i artikel 12 b i direktivet (dom av den 17 juli 2014, YS m.fl., C‑141/12 och C‑372/12, EU:C:2014:2081, punkt 44 och där angiven rättspraxis).

58

Domstolen konstaterar för det första att rätten till tillgång respektive att erhålla rättelse i artikel 12 a respektive b i direktiv 95/46 inte omfattar provfrågorna, vilka i sig inte utgör personuppgifter avseende examinanden.

59

För det andra föreskrivs det i såväl direktiv 95/46 som i förordning 2016/679 vissa begränsningar av dessa rättigheter.

60

Enligt artikel 13.1 g i direktiv 95/46 får medlemsstaterna genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som bland annat föreskrivs i artiklarna 6.1 och 12 i direktivet i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till skydd av den registrerades eller andras fri- och rättigheter.

61

Artikel 23.1 e i förordning 2016/679 utvidgar den förteckning över begränsningar, vilken för närvarande är föreskriven i artikel 13.1 i direktiv 95/46, till att omfatta ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse”. För övrigt föreskrivs det i punkt 4 i artikel 15 i förordning 2016/679, vilken reglerar den registrerades rätt till tillgång, att rätten till en kopia av personuppgifter inte ska inverka menligt på andras rättigheter och friheter.

62

Mot bakgrund av det anförda ska de ställda frågorna besvaras enligt följande. Artikel 2 a i direktiv 95/46 ska tolkas så, att under sådana omständigheter som de som är aktuella i det nationella målet utgör de skriftliga svar som en examinand lämnat på ett prov för yrkesexamen och examinatorns eventuella anteckningar angående nämnda svar personuppgifter, i den mening som avses i den bestämmelsen.

Rättegångskostnader

63

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.