下载掌阅APP，畅读海量书库
立即打开
海因茨·休伯先生系奥地利公民，其于1996年移居德国以便在德国开展保险中介业务。海因茨·休伯先生的以下数据被存储于德国外国公民中央登记簿（以下简称中央登记簿）之中：姓名、出生时间和地点、国籍、婚姻状况、性别、出入德国的记录和居住状况、护照的详细信息、就住所所作的声明记录、德国联邦移民和难民办公室发放的编号、提供相关数据的机关的详细信息以及这些机关使用的编号等。
海因茨·休伯先生认为，其因中央登记簿中登载的个人数据的处理而遭受歧视，因为就德国公民而言，此类数据库并不存在。为此，海因茨·休伯先生于2000年7月22日请求负责保管中央登记簿的德国联邦移民和难民办公室删除其个人数据，但该请求于2000年9月29日被德国联邦移民和难民办公室驳回。
之后，海因茨·休伯先生以德国联邦政府为被告，向德国科隆行政法院（以下简称科隆法院）提起诉讼，请求科隆法院撤销德国联邦移民和难民办公室的决定。科隆法院支持了海因茨·休伯先生的诉讼请求，理由是：通过中央登记簿对不属于德国公民的欧盟公民的数据进行处理构成了对《欧洲联盟条约》第49、50条规定的限制，而该限制无法因快速处理涉及外国公民居住权的案件之目的而变得正当。此外，科隆法院还认为，对案涉数据的存储和处理违反了《欧洲联盟条约》第12、18条以及《95/46指令》第6条第1款（b）项和第7条（e）项的规定。
德国联邦政府对科隆法院的判决不服，向德国北莱茵威斯特伐利亚州高级行政法院（以下简称北莱茵威斯特伐利亚州高院）提起上诉。因北莱茵威斯特伐利亚州高院认为，本案所涉的一些法律问题需要欧洲法院对相关欧盟法律进行解释，故该院决定中止本案诉讼，并请求欧洲法院就相关问题作出先予裁决，其中的一个问题是，在中央登记簿中对外国（该外国属于欧盟成员国）公民的个人数据进行处理，是否符合《95/46指令》第7条（e）项规定的必要性要求？
2008年12月16日，欧洲法院就本案作出判决。首先，欧洲法院指出，北莱茵威斯特伐利亚州高院的问题实质上是询问，在相关登记簿，例如案涉中央登记簿中进行的个人数据处理是否与欧盟法律的规定相符。对此，欧洲法院注意到，《德国外国公民中央登记法》第1条第2款规定，通过将外国公民的某些个人数据存储于中央登记簿之中，并提供这些数据，负责保管中央登记簿的德国联邦移民和难民办公室与其他公共机构一道，对相关公权力机关（这些机关负责适用有关外国公民和庇护的法律）给予了协助。此外，在其书面意见中，德国政府强调，中央登记簿系用于统计目的。并且，该登记簿还被安全部门、警察部门以及司法机关用于起诉和调查犯罪行为或危害公共安全的行为。
欧洲法院接下来指出，中央登记簿包含的与海因茨·休伯先生有关的数据，构成《95/46指令》第2条（a）项规定的个人数据，因为这些数据是与已识别或可识别的自然人相关的信息。负责该登记簿的机构对这些数据的收集、存储以及传输由此构成《95/46指令》第2条（b）项规定的个人数据处理。考虑到《95/46指令》第3条第2款明确将有关公共安全、国防、国家安全以及国家在刑法领域的活动排除在该指令的适用范围之外，因此，尽管出于适用居住权法律之目的以及统计目的而进行的个人数据处理涵盖在《95/46指令》的适用范围之内，但在处理这些个人数据的目的与打击犯罪相关的情况下，相关个人数据处理不在《95/46指令》的适用范围之内。鉴于此，通过诸如中央登记簿这样的登记簿进行的个人数据处理是否与欧盟法律相符这一问题，首先，必须根据该登记簿所具有的为负责适用居住权法律的机关提供支持，同时为将该登记簿用于统计目的提供支持等功能，并结合《95/46指令》的相关规定予以审查。其次，还须根据该登记簿在打击犯罪方面所发挥的作用，并基于欧盟基本法律予以审查。
关于出于适用居住权法律的目的以及统计目的而进行的个人数据处理，欧洲法院认为，《95/46指令》第1条要求欧盟成员国在个人数据处理方面确保对自然人的基本权利和自由的保护，特别是对其隐私权的保护。《95/46指令》第二章（该章的名称为“关于个人数据处理合法性的一般原则”）规定，受限于该指令第13条规定的例外情形，所有个人数据处理首先必须遵守该指令第6条规定的有关数据质量的原则。其次，还须遵守该指令第7条列明的使数据处理合法化的标准之一。《95/46指令》第7条（e）项规定，个人数据可以被合法地处理，若该处理为执行公共利益领域的任务所必需，或行使赋予控制者或接受数据披露的第三方的公务职权所必需。对此，需注意的是，从《95/46指令》“序言”部分第8条来看，该指令意图确保在个人数据处理方面，所有欧盟成员国对个人的权利和自由的保护水平都是平等的。该指令“序言”部分第10条还规定，有关个人数据处理的欧盟成员国国内法的统一不能导致这些法律已提供保护的任何削减；相反，应当确保欧盟境内的高水平保护。基于此，如同欧洲法院业已判决的，有关个人数据处理的欧盟成员国国内法的统一不能限于最低限度的统一，而应该是彻底的统一。在此情形下，考虑到确保所有欧盟成员国保护水平相等这一目的，同时考虑到《95/46指令》第7条（e）款规定“必需”这一概念的目的是对该款规定的个人数据处理系合法的情形予以准确限定。因此，“必需”这一概念不能在欧盟成员国之间含义各异。综上，“必需”这一概念是一个在欧盟法律中有其独立含义的概念，该概念应以充分反映《95/46指令》目的的方式予以解释。
欧洲法院接下来对出于适用居住权法律的目的以及统计目的而进行的个人数据处理，例如通过中央登记簿进行个人数据处理的必要性进行了分析。首先，欧洲法院指出，中央登记簿是一个包含欧盟公民（这些公民不属于德国公民）的个人数据的集中登记簿，该登记簿可以为一些公共和私人机构查阅。
其次，欧洲法院指出，就出于适用居住权法律的目的而使用诸如中央登记簿等登记簿而言，一是根据欧盟现行法律，在相关欧盟公民并非某个欧盟成员国公民的情况下，其所享有的在该成员国境内自由迁徙的权利并非无条件，而是受制于《欧洲联盟条约》以及根据该条约采取的措施。具体而言，欧盟《68/360指令》以及《73/148指令》规定，欧盟成员国公民应提交居住许可以及其他文件和详细资料，以便有权在另一成员国境内居住3个月以上。此外，欧盟《68/360指令》以及《73/148指令》还允许欧盟成员国基于公共政策、公共安全或公共卫生，部分不适用这些指令的规定，并对另一成员国的公民进入该成员国以及在该成员国境内居住的权利予以限制。据此，可以认定欧盟成员国有必要拥有其可以获得的详细资料和文件，以便根据欧盟法律确定另一成员国的公民在该成员国境内的居住权是否存在。在此情形下，中央登记簿对负责适用居住权法律的机关提供支持原则上是合法的。并且，考虑到登记簿的性质，使用中央登记簿原则上与《欧洲联盟条约》第12条第1款规定的禁止基于国籍进行歧视的原则相符。但是，该登记簿不能含有任何非为该目的所需的信息。对此，根据欧盟现行法律的规定，对身份证、护照、雇佣证明或自谋职业证明等文件中载明的个人数据的处理，应认定为《95/46指令》第7条（e）款规定的“必需”情形，即为适用居住权法律所必需。此外，考虑到享有居住权的个人的情况的改变，将可能对其权利状况产生影响。因此，对诸如中央登记簿这样的登记簿负有责任的机关，必须确保被存储的数据在恰当的情况下与时俱进，以便这些数据能够反映数据主体的实际情况，同时，无关的数据又能够从该登记簿中剔除。
二是关于本案所涉的出于适用居住权法律的目的而使用中央登记簿的具体规则，欧洲法院认为，仅仅允许在该领域拥有相关职权的机关访问该登记簿，可以认定为《95/46指令》第7条（e）项规定的“必需”情形。
三是关于诸如中央登记簿这样的集中化登记簿可以为负责适用居住权法律的机关获取，以满足这些机关的要求之必要性。欧洲法院认为，即使分散化的登记簿，例如地区人口登记簿包含了允许相关机关履行其职责的所有数据，在这些数据的集中在欧盟公民（该公民希望居住在其所属国之外的另一欧盟成员国境内）的居住权方面，有助于更为有效地适用相关居住权法律的情况下，该集中仍可能构成《95/46指令》第7条（e）项规定的必需情形。
至于诸如中央登记簿这样的登记簿的统计功能，欧洲法院认为，欧盟法律并未排除欧盟成员国的以下权力，即采取相关措施使其国家机关准确知晓对其领土产生影响的人口迁徙。但是，对该权力的行使并不意味着在中央登记簿中收集和存储个人数据构成《95/46指令》第7条（e）项规定的必需情形。正如本案总法律顾问在其法律意见中指出的，统计目的的实现仅要求对匿名信息进行处理。
综上，欧洲法院认为，一个处理欧盟公民（该公民并非案涉欧盟成员国的公民）个人数据的、目的是向负责适用居住权法律的国家机关提供支持的系统，例如《德国外国公民中央登记法》规定的中央登记簿，并不符合《95/46指令》第7条（e）项规定的必需情形，除非①该系统仅包含为这些机关适用相关法律所需的数据；②其集中化的性质使得相关法律在欧盟公民（该公民并非案涉欧盟成员国的公民）的居住权方面能够更为有效地适用。上述条件在本案中是否已获满足应由北莱茵威斯特伐利亚州高院予以认定。同时，出于统计目的，在诸如中央登记簿这样的登记簿中存储和处理包含个性化信息的个人数据，不能认定为《95/46指令》第7条（e）项所规定的必需情形。
第一，本案界定了“必需”的基本含义。根据《95/46指令》第7条（e）项和《一般数据保护条例》第6条第1款（e）项的规定，在数据处理为执行公共利益领域的任务所必需或者为行使控制者被赋予的公务职权所必需的情况下，该数据处理应为合法。在本案中，欧洲法院对“必需”这一概念进行了诠释，即考虑到确保所有欧盟成员国保护水平一致这一目的，“必需”这一概念不能在不同欧盟成员国之间含义各异。因此，“必需”是一个在欧盟法律中有其独立含义的概念。该概念应以充分反映《95/46指令》以及《一般数据保护条例》的目的，即在个人数据处理方面确保对自然人的基本权利和自由，特别是对其隐私权的保护之方式予以解释。此外，根据本案总法律顾问波亚里什·马杜罗（Poiares Maduro）在其就本案出具的法律意见
中发表的观点，“必需”这一概念在欧盟法中历史悠久，且被认定为是比例原则的一部分。“必需”意指采取相关措施（该措施干预了欧盟法律所保护的权利）以实现合法目的之机关必须证明，该措施对实现该目的而言是最低的限制性措施。另外，根据欧洲人权法院的判决，“必需”意指对国家而言存在着以特定方式行事的紧迫的社会需求，并且所采取的措施与所追寻的合法目的成比例。
第二，本案明确了认定相关登记簿（该登记簿被用于支持负责适用相关法律的有关部门）是否合法的标准。根据欧洲法院就本案所作的判决，认定相关登记簿是否合法的标准有两点：一是该登记簿仅包含为这些机关适用该法律所需的数据；二是其集中化的性质使得该法律的适用更为有效。此外，相关登记簿不能出于统计目的而存储和处理包含个性化信息的个人数据。