频道目录
个人数据处理过程中的“第三人合法利益”范围及要求(C-13/16)
2019-05-21 16:38:43 阅读次
警察局仅仅提供了该名乘客的姓名,并拒绝提供其他信息。警察局认为,有关行政制裁程序的信息只有该程序当事人可以获取,电车公司在本案行政制裁程序中,并未要求以受害人的身份参加,因此依据《拉脱维亚行政侵权法》,电车公司并非上述行政制裁程序的当事人。
【背景】里加市(拉脱维亚首都)发生一起出租车与电车相撞交通事故。刑事调查结论是,事故发生可能是出租车乘客导致的。因此,城市无轨电车公司Rīgas satiksme(以下简称“电车公司”)决定对该出租车乘客提起民事诉讼,并请求拉脱维亚警察局提供该出租车乘客的姓名、身份证明、地址,以及在刑事程序中获取的其他相关信息。
警察局仅仅提供了该名乘客的姓名,并拒绝提供其他信息。警察局认为,有关行政制裁程序的信息只有该程序当事人可以获取,电车公司在本案行政制裁程序中,并未要求以受害人的身份参加,因此依据《拉脱维亚行政侵权法》,电车公司并非上述行政制裁程序的当事人。
地方行政法院判决支持电车公司诉求,警察局向拉脱维亚最高法院提起上诉。最高法院对于如何理解《欧洲议会和欧盟委员会关于在个人数据处理和自由流转程序中保护个人权利的指令(第95/46/EC号)》(以下简称《欧盟第95/46/EC号指令》)(现已失效,2018年5月24日起被《欧盟第(EU)2016/679号条例》替代)第7(f)条规定的“必要(necessity)”的定义存在疑问,于是请求欧洲法院就以下问题作出初步裁定:
“
1. 第7(f)条规定的‘为第三方或相关方合法利益目的有必要披露个人数据’,是否应当理解为,警察局应当向电车公司披露后者要求的、为启动民事诉讼程序所需的个人数据信息?
2. 如果涉案交通事故中,电车公司要求获得其个人数据的出租车乘客的责任是次要的,是否会影响对第一个问题的回答?
”
【结论】欧洲法院认定,基于数据控制方或者第三方的合法利益处理个人数据需要满足《欧盟第95/46/EC号指令》规定的三个要求:
a. 存在合法利益。欧洲法院认定,本案中为向侵权人提起诉讼并要求赔偿损失而要求获取侵权人个人数据,构成合法利益目的。2008年1月29日“Promusicae”(案件号:C-275/06)一案对此已有裁定。
b. 为寻求合法利益有必要进行数据处理。欧洲法院指明,仅仅依靠姓名信息,无法确认具体侵权人,还需要侵权人的地址和/或身份证号码等信息。因此,为提出民事诉讼,有必要获得上述个人数据信息。
c. 不得损害数据保护主体的基本权利和自由。就这一点而言,欧洲法院指出,参考2011年11月24日“ASNEF”(案件号:C-468/10)案和2016年10月19日“Breyer”案判决确定的规则,应当分析具体案件事实情况,对争议涉及权利和利益进行权重比较。
至于出租车乘客承担次要责任的情况,欧洲法院裁定,这一案件事实是考量权重平衡的一项考虑因素。但是,就本案而言,以该乘客个人在事故中承担次要责任为由拒绝向电车公司披露个人数据,没有合法依据。
最后,欧洲法院指出,虽然《欧盟第95/46/EC号指令》第7(f)条不禁止第三方依据成员国国内法律规定要求披露个人数据,但是,不能因此将该条解释为,存在向第三方披露个人数据的义务,以便该第三方能够就个人数据权人造成的损害提起民事诉讼。
【评述】《欧洲议会和欧盟委员会关于在个人数据处理和自由流转程序中保护个人权利的条例(第(EU)2016/679号)》已经取代上述《欧盟第95/46/EC号指令》,对利益相关方可要求披露数据的条件引入新规定。有鉴于此,可以预计以后案件中要求披露特定数据信息时,会更经常地使用“合法利益”这一理由。
因此,本案裁定的重要意义在于,明确依“合法利益”理由要求披露特定个人数据的具体要求。由于新条例继承了原指令有关“合法利益”的概念,因此《欧盟第(EU)2016/679号条例》规定了同样的要求,即:存在真实的合法利益;为追求上述合法利益,有必要披露特定个人数据;存在利益冲突时,以合法利益为重。
最后,欧洲法院指出,虽然可以依据合法利益要求披露个人数据,但不能解释为条例规定了披露义务。因此,即使第三方存在可以要求披露特定个人数据信息的合法利益的理由,也不意味着条例已经设定向第三方披露个人数据的义务,只能解释为,此时向第三方披露特定数据信息不违反条例的相关规定。
编译:刘丹,艾萨博睿法律顾问
来源:艾萨博睿(ELZABURU)知识产权
封面图片来源:必应图片