FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
A.M. COLLINS
fremsat den 28. april 2022(1)
Sag C-129/21
Proximus NV
(offentligt tilgængelige elektroniske telefonnummerfortegnelser)
mod
Gegevensbeschermingsautoriteit
(anmodning om præjudiciel afgørelse indgivet af Hof van beroep te Brussel (appeldomstolen i Bruxelles, Belgien))
»Præjudiciel forelæggelse – behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor – direktiv 2002/58/EF – artikel 12 – telefonnummerfortegnelser og nummeroplysningstjenester – den registreredes samtykke – forordning (EU) 2016/679 – definition af samtykke – artikel 17 – ret til sletning (»retten til at blive glemt«) – artikel 5, stk. 2, artikel 17, stk. 2, artikel 19 og 24 – den dataansvarliges oplysningspligt og ansvar«
I. Indledning
1. Denne anmodning om præjudiciel afgørelse, indgivet af Hof van beroep te Brussel (appeldomstolen i Bruxelles (Belgien)), er fremkommet i forbindelse med en anmodning fra en person, som abonnerer på en telekommunikationstjeneste, om, at hans kontaktoplysninger ikke længere fremgår af offentligt tilgængelige elektroniske telefonnummerfortegnelser eller er tilgængelige hos nummeroplysningstjenester. Anmodningen rejser vigtige problemstillinger vedrørende fortolkningen af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (2), og af Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (3) samt forholdet mellem disse to retsakter.
2. Databeskyttelsesforordningen pålægger hver dataansvarlig et generelt krav om at indhente den registreredes samtykke til at behandle den pågældendes oplysninger. Direktiv 2002/58 ændrer dette krav for så vidt angår databehandling foretaget af udbydere af elektroniske telefonnummerfortegnelser og nummeroplysningstjenester, således at et enkelt samtykke fra en abonnent til brug af den pågældendes oplysninger er tilstrækkeligt til at give mulighed for behandling med det samme formål. En abonnent giver dermed et enkelt samtykke til, at den pågældendes kontaktoplysninger fremgår af telefonnummerfortegnelser, hvorefter andre udbydere af telefonnummerfortegnelser kan støtte ret på det samme samtykke med henblik på at medtage kontaktoplysningerne i deres telefonnummerfortegnelser. Hvad sker der, når en abonnent ønsker at få sine kontaktoplysninger fjernet fra alle sådanne telefonnummerfortegnelser? Der opstår mindst to spørgsmål. For det første: Bør en abonnent da rette en anmodning til den teleoperatør, som den pågældende har en aftale med, til udbyder(ne) af telefonnummerfortegnelser eller til hver enkelt af dem? For det andet: Har en udbyder af telefonnummerfortegnelser da pligt til at videregive en anmodning om at fjerne kontaktoplysninger til tredjemænd, såsom abonnentens teleoperatør, andre udbyder(e) af telefonnummerfortegnelser og søgemaskineudbydere?
II. Sagens baggrund
3. Proximus leverer telekommunikationstjenester. Det omfatter selskabets egne abonnenters kontaktoplysninger og de kontaktoplysninger, som selskabet modtager fra andre teleoperatører, i to belgiske telefonnummerfortegnelser, www.1207.be og www.1307.be, og i to nummeroplysningstjenester, 1207 og 1307, som selskabet også leverer. Selskabet videregiver kontaktoplysningerne til andre udbydere af telefonnummerfortegnelser.
4. Proximus har forklaret, at der i selskabets databaser, ligesom tredjemænds databaser, sondres mellem abonnenter, hvis kontaktoplysninger skal medtages i telefonnummerfortegnelser, og abonnenter, som skal undtages herfra. Når kontaktoplysningerne skal medtages, er det relevante parameter i en abonnents fortegnelse »NNNNN«. Når kontaktoplysningerne skal undtages, er det relevante parameter »XXXXX«.
5. Klageren abonnerer på en telefontjeneste leveret af Telenet, som er en teleoperatør på markedet i Belgien. Telenet leverer ikke telefonnummerfortegnelser. Selskabet videregiver oplysninger om dets abonnenter til bl.a. Proximus.
6. Den 13. januar 2019 rettede klageren, som anvendte kontaktformularen på webstedet www.1207.be, følgende anmodning til Proximus: »Undlad venligst at medtage dette nummer i »Witte Gids«, på 1207.be, […]«
7. Den 28. januar 2019 ændrede Proximus efter denne anmodning de relevante parameter i klagerens fortegnelse fra »NNNNN« til »XXXXX«. Samme dag svarede en af Proximus’ ansatte klageren som følger: »Nummeret [x] er p.t. ikke medtaget i udgaven »Gids«. Oplysningerne er heller ikke tilgængelige på nummeroplysningstjenesten (1207) eller på webstedet (1207.be). De kan finde den seneste ajourføring af alle offentliggjorte registreringer på vores websted www.1207.be.«
8. Den 31. januar 2019 modtog Proximus en rutinemæssig ajourføring af abonnentoplysninger fra Telenet. Ajourføringen indeholdt nye kontaktoplysninger for klageren. Den anførte også, at klagerens kontaktoplysninger skulle medtages i telefonnummerfortegnelser (»NNNNN«). Proximus behandlede automatisk ajourføringen. Klagerens kontaktoplysninger blev som følge heraf offentligt tilgængelige.
9. Da klageren var blevet klar over, at hans telefonnummer var medtaget i de elektroniske telefonnummerfortegnelser www.1207.be og www.1307.be og i en række andre elektroniske telefonnummerfortegnelser, kontaktede han den 14. august 2019 Proximus ved at anvende kontaktformularen på websted www.1207.be og anmodede Proximus om »ikke at nævne« hans telefonnummer på »jeres websted(er) http://www.1207.be«.
10. Den samme dag svarede en af Proximus’ ansatte: »Vi har i overensstemmelse med Deres anmodning slettet Deres optegnelse, således at Deres oplysninger (telefonnummer, navn, adresse) ikke længere vil blive anvendt i telefonnummerfortegnelser eller nummeroplysningstjenester. Inden for et par dage vil Deres oplysninger ikke længere være tilgængelige på www.1207.be – www.1307.be og nummeroplysningstjenester (1207-1307). Vi vil også kontakte Google for at slette de relevante links til vores websted. I overensstemmelse med retsforskrifter er Deres oplysninger også blevet videregivet til andre telefonnummerfortegnelser eller nummeroplysningstjenester, som har anmodet [Proximus] om at give dem abonnentoplysninger, nemlig www.wittegids.be, www.infobel.com, www.de1212.be og www.opendi.be. De vil via månedlige ajourføringer få meddelelse om Deres anmodning om ikke længere at anvende Deres oplysninger.«
11. Klageren indgav samtidig en klage til Gegevensbeschermingsautoriteit (databeskyttelsesmyndigheden, Belgien). Klagen indeholdt følgende ordlyd: »På trods af min skriftlige og udtrykkelige anmodning om […] ikke at få medtaget mit (helt nye) telefonnummer […] og oplysninger i Witte Gids, på 1207.be, […], [opdagede jeg] i dag efter et telefonopkald fra en virksomhed, som ikke har mit telefonnummer, at mit telefonnummer ikke desto mindre er blevet medtaget i www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, ww.de1212.be og sandsynligvis også i de relevante nummeroplysningstjenester 1207, 1307 samt i papirudgaven af Witte Gids(en) og www.opendi.be.«
12. Den 27. august 2019 antog databeskyttelsesmyndighedens sekretariat klagen til realitetsbehandling og henviste den til Geschillenkamer van de Gegevensbeschermingsautoriteit (databeskyttelsesmyndighedens tvistemålsafdeling, Belgien).
III. Relevante retsforskrifter
A. EU-ret
1. Den Europæiske Unions charter om grundlæggende rettigheder
13. Artikel 8, stk. 1 og 2, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), der har overskriften »Beskyttelse af personoplysninger«, bestemmer:
»1. Enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.
2. Disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf.«
2. Den generelle forordning om databeskyttelse
14. Samtykkebegrebet er centralt for funktionen af databeskyttelsesforordningen. I henhold til artikel 4, nr. 11), heri betyder samtykke enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.
15. Databeskyttelsesforordningens artikel 5, stk. 1, der har overskriften »Principper for behandling af personoplysninger«, bestemmer, for så vidt som det er relevant her:
»Personaloplysninger skal:
a) behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«).«
16. Databeskyttelsesforordningens artikel 5, stk. 2, bestemmer:
»2. Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«
17. Databeskyttelsesforordningens artikel 6, der har overskriften »Lovlig behandling«, bestemmer:
»1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
[…]«
18. Databeskyttelsesforordningens artikel 7, der har overskriften »Betingelser for samtykke«, bestemmer i stk. 1 og 3:
»1. Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.
[…]
3. Den registrerede har til enhver tid ret til at trække sit samtykke tilbage. Tilbagetrækning af samtykke berører ikke lovligheden af den behandling, der er baseret på samtykke inden tilbagetrækningen. Inden der gives samtykke, skal den registrerede oplyses om, at samtykket kan trækkes tilbage. Det skal være lige så let at trække sit samtykke tilbage som at give det.
[…]«
19. For så vidt som det er relevant her, bestemmer databeskyttelsesforordningens artikel 17, der har overskriften »Ret til sletning (»retten til at blive glemt«)«:
»1. Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
[…]
b) Den registrerede trækker det samtykke, der er grundlaget for behandlingen, jf. artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), tilbage, og der er ikke et andet retsgrundlag for behandlingen.
[…]
2. Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.
[…]«
20. Databeskyttelsesforordningens artikel 19, der har overskriften »Underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling«, bestemmer:
»Den dataansvarlige underretter hver modtager, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysningerne eller begrænsning af behandling, der er udført i henhold til artikel 16, artikel 17, stk. 1, og artikel 18, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt. Den dataansvarlige oplyser den registrerede om disse modtagere, hvis den registrerede anmoder herom.«
21. Det bestemmes i databeskyttelsesforordningens artikel 24, stk. 1, der har overskriften »Den dataansvarliges ansvar«:
»Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.«
22. Databeskyttelsesforordningens artikel 95, der har overskriften »Forhold til direktiv 2002/58/EF«, bestemmer:
»Denne forordning indfører ikke yderligere forpligtelser for fysiske eller juridiske personer for så vidt angår behandling i forbindelse med levering af offentligt tilgængelige elektroniske kommunikationstjenester i offentlige kommunikationsnet i Unionen for så vidt angår spørgsmål, hvor de er underlagt specifikke forpligtelser med samme formål som det, der er fastsat i [direktiv 2002/58].«
3. Direktiv 2002/58
23. Af 17. betragtning til direktiv 2002/58 fremgår:
»I dette direktiv bør samtykke givet af en bruger eller en abonnent, hvad enten sidstnævnte er en fysisk eller en juridisk person, have samme betydning som den registreredes samtykke, således som defineret og yderligere fastlagt i [direktiv 95/46]. Samtykke kan gives ved ethvert passende middel, der muliggør en frit givet, specifik og informeret angivelse af brugerens ønsker, herunder ved at afkrydse en rubrik, når man besøger et internetwebsted.«
24. Medmindre andet er bestemt, anvender direktiv 2002/58 definitionerne i direktiv 95/46 (4) og i Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7. marts 2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og ‑tjenester (rammedirektivet) (5). Artikel 2, litra f), i direktiv 2002/58 definerer »samtykke« givet af bruger eller abonnent under henvisning til den registreredes samtykke i direktiv 95/46. Det følger heraf, at for så vidt angår direktiv 2002/58 er definitionen af samtykke den samme som i databeskyttelsesforordningens artikel 4, nr. 11), hvis ordlyd er gengivet i punkt 14 i dette forslag til afgørelse.
25. Artikel 12, stk. 2 og 3, i direktiv 2002/58 bestemmer:
»2. Medlemsstaterne sikrer, at abonnenterne får mulighed for at bestemme, om deres personoplysninger skal medtages i en offentlig fortegnelse, og i så fald hvilke, for så vidt sådanne oplysninger er relevante for formålet med fortegnelsen som angivet af udbyderen af fortegnelsen, samt mulighed for at kontrollere, få rettet eller slettet sådanne oplysninger. Det skal være gebyrfrit ikke at være medtaget i en offentlig abonnentfortegnelse og at få kontrolleret, rettet eller slettet personoplysninger i den.
3. Medlemsstaterne kan kræve, at abonnenter skal anmodes om supplerende samtykke til, at en offentlig fortegnelse anvendes til ethvert formål, der går ud over søgning efter adresseoplysninger om personer på grundlag af deres navn og eventuelt et minimum af andre identifikatorer.«
B. Belgisk ret
26. Wet van 13 juni 2005 betreffende de elektronische communicatie (lov af 13.6.2005 om elektronisk kommunikation) gennemfører bl.a. direktiv 2002/58 i belgisk ret (6). Artikel 133, stk. 1, heri gennemfører artikel 12, stk. 2, i direktiv 2002/58. Der er nedenfor henvist til de øvrige bestemmelser i WEC, som er relevante for de foreslåede svar på den forelæggende rets spørgsmål.
IV. De nationale retsforhandlinger og retsforhandlingerne for Domstolen
27. For så vidt som det forekommer relevant for forelæggelsen for Domstolen, pålagde databeskyttelsesmyndighedens tvistemålsafdeling den 30. juli 2020 Proximus at i) træffe omgående, passende foranstaltninger til at afspejle klagerens tilbagetrukne samtykke og dermed efterleve kravene om behandling af personoplysninger i databeskyttelsesforordningen, ii) efterkomme klagerens anmodning om udøvelse af hans »ret til at blive glemt«, og iii) ophøre med den ulovlige behandling af oplysninger, som bestod i videregivelse af personoplysninger til andre udbydere af telefonnummerfortegnelser. Den kritiserede også Proximus for manglende overholdelse af databeskyttelsesforordningens artikel 24. Databeskyttelsesmyndighedens tvistemålsafdeling pålagde Proximus en bøde på 20 000 EUR for overtrædelse af databeskyttelsesforordningens artikel 6, 7 og 12 (herefter »den anfægtede afgørelse«).
28. Proximus iværksatte appel til prøvelse af den anfægtede afgørelse til Hof van beroep te Brussel (appeldomstolen i Bruxelles), som har forelagt Domstolen de følgende spørgsmål:
»1) Skal artikel 12[, stk. 2], i [direktiv] 2002/58[…], sammenholdt med dette direktivs artikel 2, [litra f),] og med [databeskyttelsesforordningens] artikel 95 […], fortolkes således, at det er tilladt for en national tilsynsmyndighed at kræve et »samtykke« fra abonnenten i [databeskyttelsesforordningens] forstand som grundlag for at kunne offentliggøre dennes personoplysninger i offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester, såvel dem, der offentliggøres af operatøren selv, som dem, der offentliggøres af andre udbydere, når den nationale lovgivning på området ikke bestemmer andet?
2) Skal retten til sletning i henhold [til databeskyttelsesforordningens] artikel 17 […] fortolkes således, at denne ret er til hinder for, at en national tilsynsmyndighed kvalificerer en anmodning fra en abonnent om at blive fjernet fra offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester, som en anmodning om sletning som omhandlet i [GDPR] artikel 17 […]?
3) Skal [databeskyttelsesforordningens] artikel 24 og artikel 5[, stk. 2], […] fortolkes således, at de er til hinder for, at en national tilsynsmyndighed af det der forankrede ansvarlighedsprincip udleder, at den dataansvarlige skal træffe passende tekniske og organisatoriske forholdsregler for[,] at det meddeles andre dataansvarlige, dvs. udbydere af offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester, som har modtaget data fra denne dataansvarlige, at den pågældende i henhold til [databeskyttelsesforordningens] artikel 6, jf. artikel 7, har trukket sit samtykke tilbage?
4) Skal [databeskyttelsesforordningens] artikel 17[, stk. 2,] […] fortolkes således, at den er til hinder for, at en national tilsynsmyndighed pålægger en udbyder af offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester, som anmodes om ikke længere at offentliggøre en persons data, at træffe alle rimelige foranstaltninger til, at søgemaskiner får kendskab til denne anmodning om sletning?«
29. Proximus, databeskyttelsesmyndigheden, den italienske, den lettiske, den portugisiske og den rumænske regering samt Europa-Kommissionen har indgivet skriftlige indlæg.
30. I retsmødet den 9. februar 2022 afgav Proximus, databeskyttelsesmyndigheden og Kommissionen mundtlige indlæg og besvarede Domstolens spørgsmål.
V. Bedømmelse
A. Formaliteten med hensyn til de præjudicielle spørgsmål
31. Som en indledende problemstilling har Proximus gjort gældende, at den del af det første spørgsmål, som vedrører teleoperatørers forpligtelser i modsætning til forpligtelserne for udbydere af telefonnummerfortegnelser samt det andet og det fjerde spørgsmål er hypotetiske og/eller uden relevans for de problemstillinger, som den forelæggende ret skal afgøre, og derfor skal afvises.
32. Domstolen har stedse udtalt, at det i sager i henhold til artikel 267 TEUF udelukkende tilkommer den nationale ret, som tvisten er indbragt for, og som har ansvaret for den retsafgørelse, der skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, såvel om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, som relevansen af de spørgsmål, den forelægger Domstolen. Når de forelagte spørgsmål vedrører fortolkningen af EU-retten, er Domstolen derfor principielt forpligtet til at træffe afgørelse (7).
33. Domstolen kan ikke desto mindre afslå at træffe afgørelse vedrørende et præjudicielt spørgsmål fra en national ret, såfremt det klart fremgår, at den ønskede fortolkning af en EU-retlig regel savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en sagligt korrekt besvarelse af de forelagte spørgsmål (8).
34. For at besvare Proximus’ formalitetsindsigelse vil jeg redegøre for parternes hovedargumenter for Domstolen med henblik på at undersøge, om de fire præjudicielle spørgsmål ligger så fjernt fra den for den forelæggende ret verserende tvist, at de savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, hvorfor de alle eller nogle af dem skal afvises.
35. Proximus er af den opfattelse, at selskabet ikke er forpligtet til at indhente klagerens samtykke til at medtage hans kontaktoplysninger i selskabets telefonnummerfortegnelser eller at give ham mulighed for at beslutte, om hans personoplysninger skal medtages deri. Ifølge Proximus er der tale om anliggender, som teleoperatøren (her Telenet) har ansvaret for. Det følger heraf, at klageren burde have rettet sin anmodning om at trække kontaktoplysningerne tilbage fra Proximus’ telefonnummerfortegnelser til Telenet. Subsidiært er Proximus af den opfattelse, at databeskyttelsesforordningens bestemmelser om »retten til at blive glemt« er irrelevante, eftersom fjernelsen af kontaktoplysninger består i at ændre parameteret »NNNNN« i den relevante fortegnelse til »XXXXX«. Det er en berigtigelse af oplysninger, ikke en sletning. Det er urimeligt at pålægge Proximus at underrette søgemaskineudbydere om klagerens anmodning, eftersom det er usikkert, om udbyderne fik hans kontaktoplysninger fra Proximus eller fra en anden udbyder af telefonnummerfortegnelser.
36. Databeskyttelsesmyndigheden er af den opfattelse, at medtagelsen af klagerens kontaktoplysninger i telefonnummerfortegnelser krævede hans forudgående samtykke. Efter at klageren havde meddelt Proximus, at han ikke længere ønskede, at hans oplysninger blev medtaget på denne måde, blev det ulovligt fortsat at medtage dem i alle sådanne telefonnummerfortegnelser. Klagerens anmodning var en tilbagetrækning af hans samtykke og en udøvelse af hans »ret til at blive glemt« i den i databeskyttelsesforordningens artikel 17 omhandlede forstand. Databeskyttelsesforordningens artikel 17, stk. 2, pålagde Proximus at underrette søgemaskineudbydere om anmodningen. Databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 giver også databeskyttelsesmyndigheden mulighed for at pålægge Proximus at underrette teleoperatøren og andre udbydere af telefonnummerfortegnelser om anmodningen.
37. Den italienske regerings og Kommissionens indlæg følger i brede træk den samme linje, som databeskyttelsesmyndigheden har givet udtryk for. Mens den lettiske, den portugisiske og den rumænske regerings indlæg har en tilsvarende tilgang, medtager de også de følgende forbehold. Den lettiske regering har påpeget, at der ikke er noget retsgrundlag, hvorpå hver enkelt udbyder af telefonnummerfortegnelser kan pålægges at indhente særskilte samtykker: Forskellige udbydere, som anvender oplysninger med det samme formål, skal kunne støtte ret på et enkelt samtykke fra den registrerede. Den rumænske regering er af den opfattelse, at databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 ikke kan påberåbes på den måde, som databeskyttelsesmyndigheden har gjort gældende, fordi disse bestemmelser ikke pålægger de dataansvarlige en forpligtelse til at indlede en dialog med andre dataansvarlige. Den portugisiske regering er af den opfattelse, at de datasvarliges forpligtelse til at underrette tredjemænd, herunder søgemaskineudbydere, om anmodninger om sletning af oplysninger, stammer fra databeskyttelsesforordningens artikel 19, ikke fra artikel 17, stk. 2, heri.
38. Jeg er på baggrund af dette kortfattede overblik over parternes hovedargumenter for Domstolen overbevist om, at alle fire spørgsmål fra den forelæggende ret er relevante for tvistens genstand og er så nært forbundne, at ingen af dem skal afvises. Jeg foreslår derfor Domstolen at forkaste Proximus’ formalitetsindsigelse i forhold til de præjudicielle spørgsmål.
B. Realiteten
1. Det første spørgsmål
39. Den forelæggende ret har med det første spørgsmål nærmere bestemt ønsket oplyst, om en abonnents samtykke, som defineret i databeskyttelsesforordningen, i medfør af artikel 12, stk. 2, i direktiv 2002/58 sammenholdt med direktivets artikel 2, litra f), og GDPR artikel 95 er påkrævet for at medtage den pågældendes kontaktoplysninger i telefonnummerfortegnelser, som en teleoperatør og/eller andre udbydere af telefonnummerfortegnelser har gjort offentligt tilgængelige.
40. Artikel 12, stk. 2, i direktiv 2002/58 kræver, at abonnenter får mulighed for at bestemme, om deres personoplysninger skal medtages i en offentlig fortegnelse. Stiltiende i dette krav er en tilsvarende forpligtelse til at give abonnenter mulighed for at foretage et udtrykkeligt valg med hensyn til, om de ønsker, at deres oplysninger skal medtages i sådanne telefonnummerfortegnelser. Artikel 12, stk. 3, i direktiv 2002/58 henviser endvidere til, at abonnenter kan anmodes om »supplerende samtykke« til, at en offentlig fortegnelse anvendes til ethvert formål, der går ud over søgning efter adresseoplysninger om personer på grundlag af deres navn (9). Henvisningen til »supplerende samtykke« i artikel 12, stk. 3, indebærer også, at artikel 12, stk. 2, kræver, at der i det hele taget er indhentet samtykke til en sådan offentliggørelse.
41. Som anført i punkt 23 og 24 i dette forslag til afgørelse betyder »samtykke« for så vidt angår artikel 2, litra f), i direktiv 2002/58 enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.
42. Henvisningen til »viljestilkendegivelse« i definitionen af samtykke for så vidt angår direktiv 2002/58 er en yderligere angivelse af, at abonnenter skal have mulighed for »opt-in« [tilvalg], at deres personoplysninger medtages i en offentligt tilgængelig telefonnummerfortegnelse. I modsætning til det af Proximus’ anførte kan udbydere af telefonnummerfortegnelser ikke antage, at hovedreglen er, at abonnenter samtykker i, at deres kontaktoplysninger medtages i en offentligt tilgængelig fortegnelse, eller det, der kan beskrives som en tilgang med »opt-out« [fravalg].
43. Endvidere har Domstolen udtalt, at det følger af en fortolkning ud fra den lovgivningsmæssige sammenhæng og af en systematisk fortolkning af artikel 12 i direktiv 2002/58, at samtykket i henhold til artikel 12, stk. 2, vedrører formålet med offentliggørelsen af personoplysningerne i en offentlig nummerfortegnelse, og ikke identiteten på udbyderen af en bestemt fortegnelse. Samtykket i henhold til artikel 12, stk. 2, i direktiv 2002/58 omfatter dermed enhver efterfølgende behandling, der foretages af tredjemænd, som driver virksomhed på markedet for offentligt tilgængelige nummeroplysningstjenester og nummerfortegnelser, for så vidt som en sådan behandling forfølger det samme formål (10).
44. Det følger heraf, at abonnentens samtykke som defineret i databeskyttelsesforordningens artikel 4, nr. 11), kræves for at medtage den pågældendes personoplysninger i telefonnummerfortegnelser offentliggjort af teleoperatøren og/eller tredjemænd, som udbyder nummeroplysningstjenester. Hvis en sådan offentliggørelse tjener det samme formål, kan teleoperatøren og/eller andre udbydere støtte ret på det samme samtykke.
45. Hertil kommer, at den dataansvarlige i henhold til databeskyttelsesforordningens artikel 7, stk. 1, hvor behandlingen er baseret på samtykke, skal kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger. En udbyder af telefonnummerfortegnelser, såsom Proximus, kan ikke antage, at en abonnent har givet samtykke, selv hvis udbyderen kan støtte ret på det samtykke, som abonnenten har givet en anden dataansvarlig.
46. Proximus har henvist til 38. og 39. betragtning til direktiv 2002/58 til støtte for antagelsen om, at enhver forpligtelse til at: i) underrette abonnenter om formålet med telefonnummerfortegnelser, hvori deres personoplysninger skal medtages, og ii) give dem mulighed for at beslutte, om deres personoplysninger skal medtages i en telefonnummerfortegnelse, udelukkende påhviler den teleoperatør, med hvilken abonnenten har en aftale. Disse betragtningers ordlyd støtter ikke dette udsagn. 38. betragtning henviser til forpligtelsen for »[u]dbydere af offentlige abonnentfortegnelser« til at »underrette de abonnenter, som skal medtages i sådanne fortegnelser, om formålet med fortegnelsen […]«. Det er i 39. betragtning anført, at »et krav om underretning af abonnenterne om formålet eller formålene med de offentlige fortegnelser, hvor personoplysninger om dem skal medtages, bør pålægges den part, der indsamler de pågældende oplysninger«.
47. Eftersom Telenet ikke offentliggør telefonnummerfortegnelser, finder ingen af disse betragtninger anvendelse på selskabet. Selv om en teleoperatør kan få abonnenters samtykke med det formål at medtage deres oplysninger i telefonnummerfortegnelser, der udbydes af tredjemænd, og disse tredjemænd derefter kan støtte ret herpå og er i stand til at påvise, at et sådant samtykke er givet til teleoperatøren, antyder 38. og 39. betragtning til direktiv 2002/58 ikke, at det udelukkende er teleoperatører, som er forpligtet til at indhente samtykket, hvorved tredjemænd, der udbyder telefonnummerfortegnelser, fritages for deres ansvar i denne henseende.
48. Endelig er den drøftelse, som Proximus har påbegyndt vedrørende fortolkningen af databeskyttelsesforordningens artikel 95 og forholdet mellem databeskyttelsesforordningen og direktiv 2002/58, der er kendetegnet ved en drøftelse af »lex generalis/lex specialis«, irrelevant, eftersom direktiv 2002/58 udtrykkeligt henviser til definitionen af samtykke i databeskyttelsesforordningen.
49. Jeg foreslår derfor, at Domstolen besvarer det første spørgsmål med, at i medfør af artikel 12, stk. 2, i direktiv 2002/58, sammenholdt med artikel 2, litra f), deri, og databeskyttelsesforordningens artikel 95 er en abonnents »samtykke« som defineret i databeskyttelsesforordningens artikel 4, nr. 11), påkrævet for, at den pågældendes kontaktoplysninger kan medtages i telefonnummerfortegnelser, som en teleoperatør og/eller af udbydere af telefonnummerfortegnelser offentliggør.
2. Det andet spørgsmål
50. Den forelæggende ret har med det andet spørgsmål ønsket at få afklaret, om en abonnents anmodning om at få sine oplysninger fjernet fra telefonnummerfortegnelser udgør en udøvelse af »retten til sletning«, der er fastsat i databeskyttelsesforordningens artikel 17.
51. Proximus har gjort gældende, at en tredjemand, der udbyder telefonnummerfortegnelser, ikke har nogen forpligtelse til at gennemføre en anmodning fra en abonnent om at fjerne oplysninger fra telefonnummerfortegnelser, eftersom databeskyttelsesforordningens artikel 17 ikke finder anvendelse på tredjemanden. Abonnenten burde have rettet sin anmodning til den teleoperatør, som den pågældende har en aftale med. Proximus har atter gjort gældende, at forholdet mellem databeskyttelsesforordningen og direktiv 2002/58 er et forhold mellem en lex generalis og en lex specialis.
52. Subsidiært har Proximus anført, at klagerens anmodning »om ikke at medtage telefonnummer […] i 1207.be« er en anmodning om berigtigelse i den forstand, hvori dette udtryk er anvendt i databeskyttelsesforordningens artikel 16, og ikke en anmodning om sletning i henhold til databeskyttelsesforordningens artikel 17, eftersom det relevante parameter i abonnentens fortegnelse blot ændres fra »NNNNN« til »XXXXX«.
53. Artikel 12, stk. 2, i direktiv 2002/58 bestemmer, at abonnenter skal have mulighed for at »få rettet eller slettet« personoplysninger, hvis medtagelse i telefonnummerfortegnelser de har samtykket i. Direktiv 2002/58 definerer ikke ordene »få rettet eller slettet«. Det er derfor hensigtsmæssigt at tage hensyn til den almindelige betydning af disse ord i den sammenhæng, hvori de indgår, nemlig medtagelsen af abonnenters kontaktoplysninger i telefonnummerfortegnelser. Ordene »få rettet« finder klart anvendelse på situationer, hvor abonnenter ønsker at ændre den måde, hvorpå deres kontaktoplysninger fremgår af en telefonnummerfortegnelse, f.eks. rettelse af stavningen af et navn eller en unøjagtighed i en adresse. Denne situation adskiller sig fra den situation, der er opstået her, hvor klageren ønsker, at hans kontaktoplysninger ikke længere fremgår af offentligt tilgængelige telefonnummerfortegnelser. Blandt betydningerne af ordene »slette[…]« findes »fjerne«, »tage tilbage« eller »tilbagekalde«. Ved ikke længere at samtykke i, at klagerens oplysninger behandles ved medtagelse i telefonnummerfortegnelser, kan det siges, at klageren anmodede om, at hans personoplysninger blev slettet i den forstand, hvori dette udtryk anvendes i artikel 12, stk. 2, i direktiv 2002/58.
54. Som den lettiske regering har påpeget, indeholder direktiv 2002/58 ingen andre angivelser af fremgangsmåden, gennemførelsen og følgerne af anmodninger om at »slette« personoplysninger. Bestemmelserne i databeskyttelsesforordningen finder derfor direkte anvendelse, hvorfor Proximus’ argument, der bygger på lex generalis/lex specialis-forholdet mellem de to retsakter bortfalder. I medfør af databeskyttelsesforordningens artikel 7, stk. 3, har en abonnent til enhver tid ret til at trække sit samtykke tilbage. Når samtykket er trukket tilbage, bestemmer databeskyttelsesforordningens artikel 6, stk. 1, litra a), at behandlingen af abonnentens oplysninger til det specifikke formål at blive medtaget i telefonnummerfortegnelser ikke længere er lovligt. Dette udløser anvendelsen af databeskyttelsesforordningens artikel 17.
55. Proximus har anført, at denne fortolkning ikke kan være korrekt, fordi både Proximus og Telenet så ville være forpligtet til at slette klagerens fortegnelse i alle deres databaser. Databeskyttelsesmyndigheden og de andre parter, som har indgivet indlæg til Domstolen, er af den opfattelse, at klagerens anmodning er begrænset til, at hans oplysninger trækkes tilbage fra telefonnummerfortegnelser, og ikke, at de slettes i databasen over Telenets abonnenter.
56. Klageren har ønsket at forhindre, at hans oplysninger behandles til formål forbundet med telefonnummerfortegnelser. Databeskyttelsesforordningens artikel 17, stk. 1, litra b), som gør det muligt at trække det samtykke, der er grundlaget for behandlingen, tilbage, muliggør hans ønske. Det samtykke, der skal indhentes fra en abonnent i medfør af artikel 12, stk. 2, i direktiv 2002/58, vedrører behandlingen af oplysninger på en bestemt måde, nemlig med henblik på offentliggørelse i en telefonnummerfortegnelse. Når samtykket er trukket tilbage, bliver denne bestemte form for behandling af abonnentens oplysninger ulovlig. Ellers ville en abonnent ikke kunne trække sit samtykke tilbage til det formål at offentliggøre dem i telefonnummerfortegnelser uden samtidig at opsige sin aftale om levering af telekommunikationsydelser.
57. Jeg foreslår derfor, at Domstolen besvarer det andet spørgsmål med, at en abonnents anmodning om at få sine oplysninger fjernet fra telefonnummerfortegnelser udgør en udøvelse af »retten til sletning«, der er fastsat i databeskyttelsesforordningens artikel 17.
3. Det tredje spørgsmål
58. Den forelæggende ret har med det tredje spørgsmål nærmere bestemt ønsket afklaret, om en national tilsynsmyndighed i medfør af databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 kan konkludere, at den dataansvarlige skal træffe passende tekniske og organisatoriske foranstaltninger for at underrette andre dataansvarlige, nemlig teleoperatøren og andre udbydere af telefonnummerfortegnelser, som har modtaget oplysninger fra den første dataansvarlige, om tilbagetrækningen af den registreredes samtykke i overensstemmelse med databeskyttelsesforordningens artikel 6, sammenholdt med samme forordnings artikel 7.
59. I dette spørgsmål er »den dataansvarlige« Proximus, og »andre dataansvarlige« er i) teleoperatøren, Telenet, hvor klageren har et telefonabonnement; og ii) udbyder(e) af telefonnummerfortegnelser, til hvilke Proximus videregiver oplysninger om abonnenter, herunder oplysninger, som selskabet har modtaget fra Telenet.
60. Eftersom teleoperatøren ikke udbyder telefonnummerfortegnelser, og der skal indhentes samtykke til, at abonnenters kontaktoplysninger kan medtages i telefonnummerfortegnelser, opstår spørgsmålet, hvorfor det skulle være relevant at give teleoperatøren meddelelse om abonnentens tilbagetrækning af samtykket til brug af den pågældendes oplysninger til dette formål.
61. WEC pålægger teleoperatører at videregive abonnenters kontaktoplysninger til udbydere af telefonnummerfortegnelser (11). De skal dog »holde« kontaktoplysningerne på abonnenter, som har anført, at de ikke ønsker at blive medtaget i en telefonnummerfortegnelse, »adskilt«, således at de kan modtage en kopi af telefonnummerfortegnelsen (12). Som beskrevet i punkt 4 i dette forslag til afgørelse gennemføres tilbagetrækningen af et samtykke ved en tilpasning af parametrene i abonnentens fortegnelse. Proximus ajourfører sin database efter at have modtaget en tilbagetrækning af et samtykke. Ajourføringen overskrives imidlertid, når Proximus modtager et andet hold abonnentoplysninger fra teleoperatøren med henblik på, at disse oplysninger skal medtages i telefonnummerfortegnelser, og teleoperatøren ikke har fået meddelelse om abonnentens anmodning om, at den pågældendes oplysninger ikke fremgår af en offentligt tilgængelig telefonnummerfortegnelse. Proximus skal dermed ikke blot ajourføre sin egen database for at afspejle abonnentens tilbagetrækning af den pågældendes samtykke, men skal også underrette teleoperatøren om tilbagetrækningen.
62. Proximus har dermed anført, at selskabet blot er en »modtager, som personoplysningerne er videregivet til« i den forstand, hvori dette udtryk anvendes i databeskyttelsesforordningens artikel 19. Dataansvarliges forpligtelse til at træffe rimelige foranstaltninger til at underrette andre dataansvarlige om anmodninger om sletning, som findes i databeskyttelsesforordningens artikel 17, stk. 2, finder derfor ikke anvendelse på Proximus. Det følger ifølge Proximus heraf, at det ikke er korrekt at fortolke databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 således, at de pålægger Proximus en forpligtelse til at underrette teleoperatøren og andre udbydere af telefonnummerfortegnelser om anmodninger om sletning, som Proximus modtager.
63. Jeg har vanskeligt ved at godtage, at Proximus blot er en modtager af personoplysninger. Selv om selskabet kan have modtaget klagerens kontaktoplysninger fra Telenet, udgør offentliggørelsen af disse oplysninger i selskabets telefonnummerfortegnelser behandling af oplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2). Proximus handler i denne forbindelse som en dataansvarlig i den forstand, hvori dette udtryk anvendes i databeskyttelsesforordningens artikel 4, nr. 7) (13). Ifølge databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 er dataansvarlige pålagt forpligtelser vedrørende ansvarlighed og rimelige foranstaltninger til at sikre, at databehandlingen foretages i overensstemmelse med databeskyttelsesforordningen.
64. Databeskyttelsesforordningens artikel 5, stk. 1, litra a), bestemmer, at personoplysninger skal behandles lovligt. I medfør af samme forordnings artikel 6, stk. 1, litra a), er behandlingen kun lovlig, hvis den registrerede har givet samtykke til behandling af sine oplysninger til et eller flere specifikke formål. Det fremgår af forelæggelsesafgørelsen, at klageren trak sit samtykke tilbage i den forstand, hvori dette udtryk anvendes i databeskyttelsesforordningens artikel 7, til, at hans personlysninger blev behandlet med det formål at offentliggøre telefonnummerfortegnelser. En sådan behandling, herunder behandlingen hos andre udbydere af telefonnummerfortegnelser med det samme formål, er ikke i overensstemmelse med databeskyttelsesforordningen. Den er dermed ulovlig.
65. Det er i overensstemmelse med denne konstatering, sammenholdt med underretningspligten i databeskyttelsesforordningens artikel 17, stk. 2, og artikel 19, at en national tilsynsmyndighed på baggrund af pligten til at udvise ansvarlighed i databeskyttelsesforordningens artikel 5, stk. 2, og forpligtelsen i databeskyttelsesforordningens artikel 24 til at sikre og til at påvise, at behandlingen er foretaget i overensstemmelse med denne forordning, kan konkludere, at en dataansvarlig ved passende tekniske og organisatoriske foranstaltninger skal underrette andre dataansvarlige, nemlig udbyderen af telekommunikationsydelser og andre udbydere af telefonnummerfortegnelser, som har modtaget oplysninger fra den første dataansvarlige, om den registreredes tilbagetrækning af samtykke i overensstemmelse med databeskyttelsesforordningens artikel 6, sammenholdt med databeskyttelsesforordningens artikel 7.
66. Den rumænske regering har anført, at databeskyttelsesforordningens artikel 17, stk. 2, indeholder den underretningspligt, der påhviler søgemaskineudbydere, når der fremsættes anmodninger om sletning. Det vil dermed være upassende for en national tilsynsmyndighed at støtte ret på databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24, navnlig eftersom disse bestemmelser ikke indeholder specifikke forpligtelser, som regulerer videregivelsen af oplysninger til tredjemænd.
67. Efter min opfattelse pålægger databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 generelle forpligtelser for dataansvarlige vedrørende ansvarlighed og efterlevelse. Deres brede ordlyd og anvendelsesområde gør dem i stand til at gøre det lettere for en national tilsynsmyndighed, som ønsker at pålægge dataansvarlige en underretningspligt over for tredjemænd. Det er korrekt, at databeskyttelsesforordningens artikel 17, stk. 2, og artikel 19 opstiller specifikke underretningspligter i forhold til henholdsvis »dataansvarlige« (for oplysninger, der er blevet offentliggjort og anmodninger om sletning) og »modtagere«. Disse bestemmelser dækker imidlertid ikke de faktiske omstændigheder, der skal bedømmes, hvor der på grund af interaktionen mellem de forskellige involverede partners databaser er behov for at underrette teleoperatøren om tilbagetrækning af samtykket, uden hvilket Proximus og udbydere, der anvender abonnentsoplysninger modtaget fra Proximus, ender med at behandle oplysninger ulovligt.
68. Denne fortolkning af databeskyttelsesforordningen fører til en situation, hvor en abonnent kan give meddelelse om tilbagetrækningen af sit samtykke (her en anmodning om at undlade at medtage kontaktoplysninger i telefonnummerfortegnelser) til enhver enhed, som medtager oplysningerne i telefonnummerfortegnelser, eller til enhver enhed (herunder teleoperatøren), der videregiver sådanne kontaktoplysninger til andre til det samme formål. Den enhed, som abonnenten vælger at rette henvendelse til, bliver ansvarlig for at videregive abonnentens anmodning om sletning til andre dataansvarlige, for så vidt som det er påkrævet for at sikre, at oplysningerne ikke behandles ulovligt. En sådan fortolkning er i tråd med den forpligtelse, som databeskyttelsesforordningens artikel 12, stk. 2, pålægger dataansvarlige, til at lette udøvelsen af den registreredes rettigheder i henhold til databeskyttelsesforordningens artikel 15-22. Den afspejler også kravet i databeskyttelsesforordningens artikel 7, stk. 3, sidste punktum, hvorefter det skal være lige så let at trække et samtykke til behandling af personoplysninger tilbage som at give det. Eftersom en udbyder af telefonnummerfortegnelser kan støtte ret på en abonnents samtykke til behandling af oplysninger til det formål givet til en anden udbyder, skal det være muligt for en abonnent at kontakte enhver af udbyderne af telefonnummerfortegnelser eller teleoperatøren med henblik på, at den pågældendes kontaktoplysninger trækkes tilbage fra telefonnummerfortegnelser offentliggjort af alle dem, som støtter ret på den pågældendes samtykke.
69. Jeg foreslår derfor, at svaret på det tredje spørgsmål er, at i medfør af databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24 kan en national tilsynsmyndighed konkludere, at den dataansvarlige skal træffe passende tekniske og organisatoriske foranstaltninger til at underrette andre dataansvarlige, nemlig teleoperatøren og andre udbydere af telefonnummerfortegnelser, som har modtaget oplysninger fra den første dataansvarlige, om tilbagetrækningen af den registreredes samtykke i overensstemmelse med databeskyttelsesforordningens artikel 6, sammenholdt med databeskyttelsesforordningens artikel 7.
4. Det fjerde spørgsmål
70. Den forelæggende ret har med det fjerde spørgsmål nærmere bestemt ønsket oplyst, om databeskyttelsesforordningens artikel 17, stk. 2, er til hinder for, at en national tilsynsmyndighed pålægger en udbyder af telefonnummerfortegnelser at underrette søgemaskineudbydere om anmodninger om sletning, som den har modtaget.
71. Den forelæggende rets opfattelse, hvorefter klageren ikke længere ønskede, at hans kontaktoplysninger var tilgængelige for offentligheden på internettet via søgemaskiner, fremgår stiltiende af spørgsmålet.
72. Som det er anført i punkt 62 i dette forslag til afgørelse, er Proximus af den opfattelse, at databeskyttelsesforordningens artikel 17, stk. 2, ikke finder anvendelse på selskabet, fordi det blot er en modtager af personoplysninger. Subsidiært har Proximus gjort gældende, at selskabet i medfør af databeskyttelsesforordningens artikel 17, stk. 2, kun skal træffe rimelige foranstaltninger til at underrette dataansvarlige om, at den registrerede har anmodet om sletning af den pågældendes oplysninger (14). Når Proximus ikke har videregivet oplysninger direkte til søgemaskineudbydere, er det »ikke 100% sikkert«, at disse udbydere har fået klagerens kontaktoplysninger fra Proximus, og de kan have fået dem fra en anden udbyder af telefonnummerfortegnelser. Under disse omstændigheder vil det være urimeligt at pålægge Proximus at kontakte søgemaskineudbydere direkte, når selskabet har modtaget klagerens anmodning.
73. Det følger af mit foreslåede svar på det andet spørgsmål, at en abonnents anmodning om at få sine oplysninger fjernet fra telefonnummerfortegnelser udløser anvendelsen af den forpligtelse, som databeskyttelsesforordningens artikel 17, stk. 2, pålægger den dataansvarlige, til kun at træffe rimelige foranstaltninger til at underrette dataansvarlige, som behandler personoplysninger, om, at den registrerede har anmodet om sletning af ethvert link til eller kopi eller gengivelse af personoplysningerne.
74. Herefter opstår spørgsmålet, om søgemaskineudbydere er dataansvarlige. Indeksering og tilgængeliggørelse af personoplysninger til internetbrugere i en oversigt over søgeresultater udgør behandling af personoplysninger i den forstand, hvori dette udtryk anvendes i databeskyttelsesforordningens artikel 4, nr. 2). Eftersom søgemaskineudbydere beslutter, hvordan oplysninger skal indekseres, og har ansvaret for at udvikle den algoritme, som fastlægger den orden, hvori søgeresultater fremgår, afgør de, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger, hvorved de handler som dataansvarlige for så vidt angår databeskyttelsesforordningens artikel 4, nr. 7) (15).
75. Der er fortsat kravet om, at Proximus kun skal træffe rimelige foranstaltninger, herunder tekniske foranstaltninger, til at underrette søgemaskineudbydere om en anmodning om at slette oplysninger.
76. For at bedømme rimeligheden af de trufne foranstaltninger bestemmer databeskyttelsesforordningens artikel 17, stk. 2, at der skal tages hensyn til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, hvilken opgave fortrinsvis tilfalder den myndighed, som har kompetencen i forhold til sådanne anliggender, og under domstolskontrol. Det er i punkt 10 i dette forslag til afgørelse anført, at Proximus informerede klageren om, at selskabet ville underrette Google om hans anmodning om sletning. Databeskyttelsesmyndigheden har i indlæggene for Domstolen anført, at der fra andet kvartal 2020 var et begrænset antal søgemaskineudbydere i Belgien med Google i front, som havde en markedsandel på mellem 90% (for desktopsøgninger) og 99% (for smartphone- og tabletsøgninger) (16). På dette grundlag alene forekommer det ubegrundet at konkludere, at det vil være urimeligt at pålægge Proximus at underrette søgemaskineudbydere om sådanne anmodninger om sletning, som selskabet modtager.
77. Jeg er under alle omstændigheder ikke overbevist om, at der ved bedømmelsen af, om de foranstaltninger, som Proximus skal træffe for at underrette en bestemt søgemaskineudbyder, er »rimelige« som omhandlet i databeskyttelsesforordningens artikel 17, stk. 2, skal tages hensyn til, om det var »100% sikkert«, at den pågældende søgemaskineudbyder havde modtaget de oplysninger, der skulle slettes, fra Proximus. Jeg er heller ikke imponeret over argumentet, hvorefter det vil være urimeligt at pålægge Proximus at træffe foranstaltninger for at overholde databeskyttelsesforordningens artikel 17, stk. 2, eftersom det ikke er »100% sikkert«, at søgemaskineudbydere fik klagerens kontaktoplysninger fra Proximus.
78. Hvis dataansvarlige kan undvige ansvaret for behandling af personoplysninger på grundlag af en mulighed for, at de pågældende oplysninger ikke er kommet fra dem, vil det gøre enhver forpligtelse i denne henseende virkningsløs under de mange omstændigheder, hvor der er links til personoplysninger, eller de kopieres på internettet. En sådan tilgang kunne endog give en forkvaklet tilskyndelse til at sprede oplysninger for at undgå at blive underlagt denne forpligtelse. Hvis endvidere Proximus’ argument føres logisk til ende, vil ingen udbyder af telefonnummerfortegnelser være ansvarlig for overholdelse af databeskyttelsesforordningens artikel 17, stk. 2, ved at underrette søgemaskineudbydere om klagerens anmodning, fordi alle disse udbydere kan støtte ret på enhver usikkerhed for så vidt angår oplysningernes oprindelse. Eftersom Telenet endvidere ikke offentliggør telefonnummerfortegnelser, kan søgemaskineudbydere ikke have fået oplysningerne fra teleoperatøren. Det betyder, at abonnenten skal finde ud af, hvor den pågældendes kontaktoplysninger er tilgængelige, og sende anmodninger om sletning til hver enhed, som offentliggør dem. Det er åbenbart, at en sådan tilgang ikke vil være i overensstemmelse med databeskyttelsesforordningens artikel 7, stk. 3, hvorefter det skal være lige så let at trække et samtykke tilbage som at give det.
79. Jeg foreslår derfor, at Domstolen besvarer det fjerde spørgsmål således, at databeskyttelsesforordningens artikel 17, stk. 2, ikke er til hinder for, at en national tilsynsmyndighed pålægger en udbyder af telefonnummerfortegnelser at underrette søgemaskineudbydere om anmodninger om sletning, som den har modtaget.
VI. Forslag til afgørelse
80. Jeg foreslår derfor Domstolen at besvare de præjudicielle spørgsmål fra Hof van beroep te Brussel (appeldomstolen i Bruxelles (Belgien)) som følger:
»1) I medfør af artikel 12, stk. 2, i Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation), sammenholdt med artikel 2, litra f), deri, og artikel 95 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) er en abonnents »samtykke« som defineret i artikel 4, nr. 11), i den generelle forordning om databeskyttelse påkrævet for, at den pågældendes kontaktoplysninger kan medtages i telefonnummerfortegnelser, som en teleoperatør og/eller af andre udbydere af telefonnummerfortegnelser offentliggør.
2) En abonnents anmodning om at få sine oplysninger fjernet fra telefonnummerfortegnelser udgør en udøvelse af »retten til sletning«, der er fastsat i artikel 17 i den generelle forordning om databeskyttelse.
3) I medfør af artikel 5, stk. 2, og artikel 24 i den generelle forordning om databeskyttelse kan en national tilsynsmyndighed konkludere, at den dataansvarlige skal træffe passende tekniske og organisatoriske foranstaltninger til at underrette andre dataansvarlige, nemlig teleoperatøren og andre udbydere af telefonnummerfortegnelser, som har modtaget oplysninger fra den første dataansvarlige, om tilbagetrækningen af den registreredes samtykke i overensstemmelse med artikel 6 i den generelle forordning om databeskyttelse, sammenholdt med samme forordnings artikel 7.
4) Artikel 17, stk. 2, i den generelle forordning om databeskyttelse er ikke til hinder for, at en national tilsynsmyndighed pålægger en udbyder af telefonnummerfortegnelser at underrette søgemaskineudbydere om anmodninger om sletning, som den har modtaget.«