FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
G. PITRUZZELLA
fremsat den 9. juni 2022 (1)
Sag C-154/21
RW
mod
Österreichische Post AG
(anmodning om præjudiciel afgørelse indgivet af Oberster Gerichtshof (øverste domstol, Østrig))
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 15, stk. 1, litra c) – den registreredes ret til indsigt – oplysninger om den konkrete modtager eller om kategorier af modtagere, som oplysningerne er blevet videregivet til«
1. Når en person, hvis personoplysninger gøres til genstand for behandling, ønsker at få udleveret oplysninger fra den dataansvarlige, indebærer vedkommendes ret til indsigt nødvendigvis, at vedkommende modtager oplysninger om de konkrete modtagere af den kommunikation, der vedrører dennes personoplysninger, eller kan den dataansvarlige nøjes med give oplysninger om kategorierne af modtagere af disse oplysninger?
2. Dette er i det væsentlige det spørgsmål, der er rejst for Domstolen i denne præjudicielle forelæggelse fra Oberster Gerichtshof (øverste domstol, Østrig), den forelæggende ret, vedrørende fortolkningen af artikel 15, stk. 1, litra c), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse (2), herefter »databeskyttelsesforordningen«).
3. Den forelæggende rets spørgsmål er opstået i forbindelse med en tvist mellem RW, en fysisk person, og Österreichische Post, der er den største virksomhed inden for post- og logistiktjenester i Østrig, som efter RW’s anmodning om indsigt i sine personoplysninger ikke har meddelt denne sidstnævnte oplysninger om de præcise modtagere af de personoplysninger vedrørende den registrerede, som selskabet råder over.
I. Retsforskrifter
4. Databeskyttelsesforordningens artikel 15 med overskriften »Den registreredes indsigtsret« bestemmer i stk. 1, litra c):
»1. Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:
[…]
c) de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer
[…]«
II. De faktiske omstændigheder i hovedsagen og det præjudicielle spørgsmål
5. Den 15. januar 2019 henvendte RW, der er kassationsappellant ved den forelæggende ret, sig til Österreichische Post for i henhold til databeskyttelsesforordningens artikel 15 bl.a. at få indsigt i de personoplysninger, som vedrørte sagsøgeren, og som Österreichische Post havde opbevaret eller tidligere havde opbevaret, samt i tilfælde af videregivelse af disse oplysninger til tredjemand identiteten på modtagerne af disse oplysninger.
6. I sin svarskrivelse erklærede Österreichische Post, at selskabet inden for lovgivningens grænser anvendte oplysninger i forbindelse med sin aktivitet som udgiver af telefonbøger og tilbød oplysningerne til erhvervskunder med henblik på markedsføring. Selskabet henviste dernæst til et websted, hvoraf fremgik generelle oplysninger om formålene med behandlingen af oplysningerne vedrørende RW, og som henviste til et andet websted. Dette andet websted indeholdt generelle oplysninger om databeskyttelse og gjorde det muligt generelt at fastlægge visse kategorier af modtagere, som Österreichische Post videregav personoplysninger til. Österreichische Post har imidlertid på intet tidspunkt oplyst RW om de specifikke modtagere af oplysningerne vedrørende denne.
7. RW anlagde sag med påstand om, at Österreichische Post blev pålagt at fremlægge yderligere oplysninger i henhold til databeskyttelsesforordningens artikel 15 for så vidt angår eventuelle videregivelser af RW’s personoplysninger til tredjemand, samt, såfremt disse videregivelser faktisk havde fundet sted, for så vidt angår den eller de specifikke modtagere, til hvem RW’s personoplysninger er blevet eller vil blive videregivet. RW har gjort gældende, at de oplysninger, som Österreichische Post har givet, ikke opfylder de retlige krav i databeskyttelsesforordningens artikel 15, for så vidt som de ikke fastslår, om Österreichische Post har videregivet de pågældende personoplysninger til tredjemand eller ej, og i tilfælde af, at oplysningerne faktisk er blevet videregivet, hvem der konkret er modtagerne af disse oplysninger.
8. Førsteinstans- og appeldomstolene forkastede RW’s påstand, idet de i det væsentlige fandt, at eftersom databeskyttelsesforordningens artikel 15, stk. 1, litra c), henviser til modtagerne eller kategorierne af modtagere, giver denne bestemmelse den dataansvarlige mulighed for at vælge at begrænse sig til at meddele den pågældende kategorier af modtagere uden at skulle angive de specifikke modtagere af meddelelserne om den pågældendes personoplysninger.
9. RW har fastholdt sine påstande i forbindelse med den kassationsappel, der er iværksat ved den forelæggende ret.
10. Under sagen for denne ret oplyste Österreichische Post RW om, at RW’s oplysninger var blevet behandlet med henblik på markedsføring i forbindelse med udgivelsen af telefonbøger og videregivet til erhvervskunder, hvilket skulle forstås som annoncerende postordrehandelsvirksomheder og fysiske forretninger, IT-virksomheder, adresseformidlere og foreninger, såsom foreninger med velgørende formål, NGO’er eller politiske partier. Den har imidlertid ikke oplyst om de specifikke modtagere af oplysningerne om RW.
11. På denne baggrund er den forelæggende ret i tvivl om de realitetsbehandlende retters fortolkning af databeskyttelsesforordningens artikel 15 og har derfor besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»Skal [databeskyttelsesforordningens] artikel 15, stk. 1, litra c), fortolkes således, at retten til adgang er begrænset til oplysninger om kategorier af modtagere, såfremt konkrete modtagere ved planlagte videregivelser endnu ikke ligger fast, men at denne ret nødvendigvis også omfatter modtagere af disse videregivelser, når der allerede er blevet videregivet oplysninger?«
III. Retlig analyse
12. Med sit præjudicielle spørgsmål har den forelæggende ret anmodet Domstolen om en fortolkning af databeskyttelsesforordningens artikel 15, stk. 1, litra c), for så vidt angår rækkevidden af den registreredes ret i henhold til denne artikel til at indhente oplysninger fra den dataansvarlige om de modtagere eller kategorier af modtagere, som den pågældendes personoplysninger er blevet eller vil blive videregivet til.
13. Den forelæggende ret har rejst spørgsmålet, om denne bestemmelse skal fortolkes således, at rækkevidden af den ovennævnte ret for den registrerede til indsigt er forskellig alt efter, om oplysningerne allerede er blevet videregivet – i hvilket tilfælde denne ret skal udstrækkes til at omfatte de konkrete modtagere af disse meddelelser – eller om de konkrete modtagere af fremtidige meddelelser endnu ikke er blevet identificeret, i hvilket tilfælde denne ret skal anses for begrænset til oplysninger vedrørende kategorier af modtagere.
14. I denne henseende vil jeg indledningsvis fremhæve, at databeskyttelsesforordningens artikel 15 regulerer den registreredes ret i forhold til den dataansvarlige til at få indsigt i personoplysninger, der vedrører den pågældende, og som er genstand for en behandling, samt en række oplysninger om selve behandlingen. Denne bestemmelse konkretiserer og præciserer enhver persons ret til indsigt i oplysninger vedrørende den pågældende, der er fastsat i artikel 8, stk. 2, andet punktum, i Den Europæiske Unions charter om grundlæggende rettigheder (3).
15. Nærmere bestemt har den registrerede i henhold til databeskyttelsesforordningens artikel 15, stk. 1, for det første ret til fra den dataansvarlige at få bekræftet, om der foreligger en behandling af personoplysninger, der vedrører den pågældende. Når der finder en behandling sted, har den registrerede ret til indsigt i de personoplysninger, der gøres til genstand for behandling, samt til forskellige supplerende oplysninger, som hver især er opregnet i denne bestemmelses litra a)-h). I denne sammenhæng har den registrerede i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra c), ret til at få indsigt i oplysninger om de »modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til, navnlig modtagere i tredjelande eller internationale organisationer«.
16. Det præjudicielle spørgsmål, som den forelæggende ret har rejst, forudsætter en fortolkning af bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 1, litra c), med henblik på at fastlægge den præcise rækkevidde af den registreredes ret til i henhold til denne artikel at få oplysninger om modtagerne af denne registreredes personoplysninger.
17. I denne henseende fremgår det af fast retspraksis, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den ordning, som den udgør en del af (4).
18. Endvidere gælder, at eftersom databeskyttelsesforordningens bestemmelser regulerer behandling af personoplysninger, der kan udgøre et indgreb i de grundlæggende frihedsrettigheder og navnlig privatlivets fred, skal de nødvendigvis fortolkes i lyset af de grundlæggende rettigheder, der er sikret ved chartret (5).
19. Det fremgår endvidere af fast retspraksis, at såfremt en EU-retlig bestemmelse kan fortolkes på flere måder, skal den fortolkning, som kan sikre bestemmelsens effektive virkning, foretrækkes (6).
20. Hvad for det første angår den omhandlede bestemmelses ordlyd gør ordlyden af bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 1, litra c), således som den forelæggende ret selv – i lighed med flere af de parter, der har interveneret for Domstolen – har anført, det ikke muligt at give et endeligt svar på spørgsmålet om, hvorvidt den heri fastsatte ret til indsigt for den registrerede nødvendigvis skal anses for at omfatte adgangen til oplysninger om præcise modtagere af de oplysninger, der vedrører den pågældendes personlysninger, eller om denne ret kan begrænses til oplysninger om kategorier af modtagere. I denne bestemmelse anvendes udtrykkene »modtagere« og »kategorier af modtagere« successivt og på neutral vis, uden at det er muligt at udlede en rangorden mellem dem. Denne bestemmelse præciserer heller ikke udtrykkeligt, om det er muligt at foretage et valg i forhold til de to mulige opstillede kategorier af oplysninger (nemlig »modtagere« eller »kategorier af modtagere«), eller hvem (dvs. den registrerede eller den dataansvarlige) det i givet fald tilkommer at vælge, hvilken type oplysninger der skal gives indsigt i.
21. Som den forelæggende ret også har anført, fører selve opbygningen af databeskyttelsesforordningens artikel 15, stk. 1, imidlertid efter min opfattelse til at foretrække en fortolkning af den omhandlede bestemmelse, således at det tilkommer den registrerede (og dermed ikke den dataansvarlige, således som de to nationale realitetsbehandlende retter har fastslået i det foreliggende tilfælde) at foretage det valg mellem de to alternativer, der er fastsat deri. I modsætning til andre bestemmelser i databeskyttelsesforordningen, såsom artikel 13 og 14 (7), der er udformet således, at der indføres en oplysningspligt, som påhviler den dataansvarlige, fastsætter denne bestemmelse en reel ret til indsigt for den registrerede. Den registreredes udøvelse af denne ret til indsigt forudsætter logisk set, at rettighedshaveren gives mulighed for at vælge enten at få indsigt i oplysninger om så vidt muligt de specifikke modtagere, til hvem oplysningerne er blevet eller vil blive videregivet, eller alternativt blot anmode om oplysninger vedrørende kategorier af modtagere.
22. En fortolkning af bestemmelsen i databeskyttelsesforordningens artikel 15, stk. 1, litra c), hvorefter den registrerede har ret til, så vidt det er muligt, at anmode om indsigt i oplysninger vedrørende specifikke modtagere af videregivelsen af den registreredes personoplysninger, bekræftes i øvrigt af en analyse af såvel den sammenhæng, hvori den indgår, som af denne bestemmelses formål i lyset af databeskyttelsesforordningens formål og generelle opbygning.
23. I denne henseende skal det indledningsvis nævnes, at det udtrykkeligt fremgår af 63. betragtning til databeskyttelsesforordningen, at den registrerede bør »have ret til at kende og blive underrettet om navnlig […] modtagerne af personoplysningerne«. Denne betragtning, i lyset af hvilken den omhandlede bestemmelse skal fortolkes, omhandler den registreredes ret til indsigt i specifikke modtagere af den registreredes personoplysninger og nævner på ingen måde, at denne ret efter den dataansvarliges valg kan begrænses til kun at omfatte kategorier af modtagere.
24. Det fremgår desuden udtrykkeligt af retspraksis, at databeskyttelsesforordningen, således som det fremgår af tiende betragtning hertil, bl.a. har til formål at sikre et højt niveau for beskyttelse af fysiske personer inden for EU og med henblik herpå at sikre, at reglerne for beskyttelse af disse personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i EU (8).
25. Med henblik herpå skal enhver behandling af personoplysninger være i overensstemmelse med de principper, der er fastsat i forordningens artikel 5 (9). Det følger særligt af databeskyttelsesforordningens artikel 5, stk. 1, litra a), at personoplysninger skal behandles på en gennemsigtig måde i forhold til den registrerede (10). I denne sammenhæng udgør databeskyttelsesforordningens artikel 15, som regulerer den registreredes ret til indsigt, en bestemmelse, der er af grundlæggende betydning for at sikre, at måden, hvorpå personbehandlingerne behandles, er gennemsigtig for de registrerede personer.
26. Som det fremgår af 63. betragtning til databeskyttelsesforordningen (11), har den nævnte ret til indsigt til formål for det første at gøre det muligt for den registrerede at forvisse sig om behandlingen af sine personoplysninger og kontrollere behandlingens lovlighed (12). Udøvelsen af denne indsigtsret skal navnlig gøre det muligt for den registrerede at efterprøve ikke kun, om oplysningerne om den pågældende er korrekte, men også, at de videregives til nogen, som er berettiget til at modtage dem (13). Dette forudsætter principielt, at der gives så nøjagtige oplysninger som muligt.
27. I denne sammenhæng er jeg enig med Kommissionen i, at en afvisning af, at den registreredes ret til indsigt i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra c), skulle omfatte de specifikke modtagere og en begrænsning af denne ret til blot at omfatte kategorier af modtagere, ville være ensbetydende med at forhindre den registrerede i at kunne foretage en fuldstændig prøvelse af lovligheden af den behandling, der foretages af den dataansvarlige, og navnlig i at efterprøve lovligheden af de allerede foretagne videregivelser af oplysninger. En sådan fortolkning af den omhandlede bestemmelse gør det ikke muligt for den registrerede at efterprøve, at den pågældendes oplysninger kun er blevet sendt til nogen, der er berettiget til at modtage dem, hvilket er i strid med de krav, der er anført i det foregående punkt.
28. For det andet og i sammenhæng med det første formål er den pågældende ret til indsigt, som allerede fastslået af Domstolen, nødvendig for, at den registrerede kan udøve sin ret til berigtigelse, retten til sletning (»ret til at blive glemt«) og retten til begrænsning af behandling, der indrømmes den registrerede i databeskyttelsesforordningens artikel 16, 17 og 18 (14). Domstolen har ligeledes fastslået, at retten til indsigt også er nødvendig for, at den registrerede kan udøve sin ret i henhold til databeskyttelsesforordningens artikel 21 til at gøre indsigelse mod behandling af den pågældendes personoplysninger eller af vedkommendes adgang efter databeskyttelsesforordningens artikel 79 og 82 til at iværksætte retsmidler, såfremt denne har lidt skade, og ret til erstatning for tabet (15).
29. En fortolkning af den omhandlede bestemmelse, hvorved den registrerede nægtes muligheden for at indhente oplysninger om de specifikke modtagere af videregivelsen af dennes personoplysninger, ville have til følge, at den registrerede, såfremt han eller hun ikke havde kendskab til disses identitet, ikke ville være i stand til over for dem at udøve de rettigheder, som de nævnte bestemmelser i databeskyttelsesforordningen tillægger vedkommende, eller kun ville kunne udøve dem ved en uforholdsmæssigt stor indsats (16). Denne fortolkning ville således i sådanne situationer fratage de nævnte bestemmelser og de rettigheder, der følger af dem, deres effektive virkning.
30. Ud fra et kontekstuelt synspunkt bekræftes den ovennævnte fortolkning af databeskyttelsesforordningens artikel 15, stk. 1, litra c), i øvrigt ligeledes af bestemmelsen i samme forordnings artikel 19. Det fastsættes deri, at »[d]en dataansvarlige underretter hver modtager, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysningerne eller begrænsning af behandling, der er udført i henhold til artikel 16, artikel 17, stk. 1, og artikel 18, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt«.
31. Databeskyttelsesforordningens artikel 19 forpligter således den dataansvarlige til at oplyse alle de modtagere, som den pågældende har videregivet personoplysninger til, om enhver anmodning om berigtigelse eller sletning af personoplysningerne eller begrænsning af behandling af disse. De således oplyste modtagere er hermed forpligtede til straks at foretage berigtigelse, sletning eller begrænsning af behandlingen, for så vidt som de stadig er i færd med at behandle de pågældende oplysninger. I forbindelse med forfølgelsen af det formål om at sikre et højt beskyttelsesniveau, der er nævnt i denne artikels stk. 24, tilsigter databeskyttelsesforordningens artikel 19 i denne retning at fritage den registrerede for byrden – efter at have anmodet om oplysninger i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra c) – at fremsende yderligere anmodninger om berigtigelse, sletning eller begrænsning af behandling til de pågældende modtagere. Den registrerede skal imidlertid have mulighed for at efterprøve, at den dataansvarlige har foretaget en berigtigelse, sletning eller begrænsning, efter at den dataansvarlige har givet meddelelse herom. I dette perspektiv fastsætter databeskyttelsesforordningens artikel 19 således, at den dataansvarlige skal oplyse den registrerede om disse adressater, hvis den registrerede anmoder herom.
32. Bestemmelsen i databeskyttelsesforordningens artikel 19 bekræfter, at med henblik på at sikre den effektive virkning af den registreredes ret til sletning, berigtigelse eller begrænsning af behandlingen af den registrerede, der er fastsat i databeskyttelsesforordningens artikel 16, 17 og 18, skal den registrerede principielt have ret til at få oplysning om de specifikke modtagere, når dennes personoplysninger allerede er blevet videregivet. Det er nemlig kun på den måde, at den registrerede kan gøre sine rettigheder gældende over for dem.
33. Det følger af dovenstående betragtninger, at retten til indsigt i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra c), spiller en funktionel og instrumental rolle i forhold til udøvelsen af andre absolutte rettigheder for den registrerede i henhold til databeskyttelsesforordningen. Det følger heraf, at denne bestemmelse med henblik på at sikre den effektive virkning af alle de ovennævnte bestemmelser i databeskyttelsesforordningen skal fortolkes således, at den ret til indsigt, der er fastsat i denne bestemmelse, principielt og nødvendigvis skal omfatte muligheden for fra den dataansvarlige at indhente oplysninger vedrørende de specifikke modtagere af den registreredes personoplysninger, der er blevet videregivet.
34. Den udvidelse af retten til indsigt, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 1, litra c), til specifikke modtagere efter nævnte videregivelse, begrænses imidlertid efter min opfattelse i mindst to tilfælde.
35. For det første kan det, når det er materielt umuligt at give oplysning om de specifikke modtagere, f.eks. fordi disse endnu ikke rent faktisk er identificeret, naturligvis ikke kræves af den dataansvarlige, at denne meddeler oplysninger, der endnu ikke eksisterer. I dette tilfælde, der udtrykkeligt er nævnt i det præjudicielle spørgsmål, kan den berørtes ret til aktindsigt således kun vedrøre kategorier af adressater.
36. For det andet må udøvelsen af den registreredes ret til indsigt og opfyldelsen hos den dataansvarlige af den modsvarende forpligtelse, således som den italienske regering har anført, undersøges under hensyn til rimeligheds- og proportionalitetsprincippet.
37. I denne henseende skal det, således som det fremgår af Domstolens praksis, nævnes, at de rettigheder, der er sikret ved chartrets artikel 7 og 8, i ikke er absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet (17).
38. I denne sammenhæng fremgår det for det første udtrykkeligt af artikel 12, stk. 5, som også udtrykkeligt finder anvendelse på den bestemmelse, der er genstand for det præjudicielle spørgsmål, at den registreredes anmodninger ikke må være åbenbart grundløse eller overdrevne, og at den dataansvarlige, hvis dette er tilfældet, ligeledes kan afslå at efterkomme anmodningen. Det fremgår i øvrigt af samme bestemmelse, at »[b]evisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige«.
39. For det andet har Domstolen allerede haft lejlighed til at fastslå, at der skal foretages en rimelig afvejning af på den ene side hensynet til den registreredes interesse i beskyttelse af sit privatliv, bl.a. ved hjælp retten i henhold til kapitel III i databeskyttelsesforordningen til at intervenere og muligheden for at anlægge retssag og på den anden side hensynet til den byrde, som påhviler den registeransvarlige (18). Denne rimelige afvejning skal lægge betydelig vægt på sikring af databeskyttelse og på den registreredes ret til respekt for privatliv, hvilket fremgår af kravet om, det skal godtgøres, at anmodningen er åbenbart grundløs eller overdreven, for at anmodningen ikke kan imødekommes.
IV. Forslag til afgørelse
40. På baggrund af samtlige ovenstående betragtninger foreslår jeg Domstolen at besvare det af Oberster Gerichtshof (Østrig) forelagte præjudicielle spørgsmål således:
»Artikel 15, stk. 1, litra c), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) skal fortolkes således, at den registreredes ret til indsigt i henhold til forordningen nødvendigvis omfatter en angivelse af de specifikke modtagere af den pågældendes personoplysninger, der videregives, hvis den registrerede anmoder herom. Denne ret til indsigt kan begrænses til blot at omfatte en angivelse af kategorier af modtagere, når det er materielt umuligt at identificere de specifikke modtagere af personoplysninger om den registrerede, der videregives, eller når den dataansvarlige godtgør, at den registreredes anmodninger er åbenbart grundløse eller overdrevne som omhandlet i artikel 12, stk. 5, i forordning (EU) 2016/679.«