FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT ANTHONY MICHAEL COLLINS
föredraget den 28 april 2022(1)
Mål C-129/21
Proximus NV
(Allmänna elektroniska abonnentförteckningar)
mot
Gegevensbeschermingsautoriteit
(begäran om förhandsavgörande från Hof van beroep te Brussel (Appellationsdomstolen, Bryssel, Belgien))
”Begäran om förhandsavgörande – Behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation – Direktiv 2002/58/EG – Artikel 12 – Abonnentförteckningar och nummerupplysningstjänster – Den registrerades samtycke – Förordning (EU) 2016/679 – Definition av samtycke – Artikel 17 – Rätten till radering (”rätten att bli glömd”) – Artiklarna 5.2, 17.2, 19 och 24 – Den personuppgiftsansvariges informationsskyldigheter och ansvar”
I. Inledning
1. Förevarande begäran om förhandsavgörande från Hof van beroep te Brussel (Appellationsdomstolen, Bryssel (Belgien)) har sitt ursprung i en begäran av en person, som abonnerar på en telekommunikationstjänst, att hans kontaktuppgifter inte längre ska förekomma i allmänna elektroniska abonnentförteckningar eller vara tillgängliga för nummerupplysningstjänster. Den väcker viktiga frågor beträffande tolkningen av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning),(2) Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation)(3) och förhållandet mellan dessa två rättsakter.
2. Dataskyddsförordningen ålägger varje personuppgiftsansvarig ett generellt krav att inhämta den registrerades samtycke till behandling av dennes uppgifter. Direktiv 2002/58 lindrar detta krav med avseende på behandling av uppgifter av leverantörer av elektroniska förteckningar över telefonabonnenter och nummerupplysningstjänster i det att ett samtycke vid ett enda tillfälle av en abonnent att använda hans eller hennes uppgifter är tillräckligt för att tillåta behandling i samma syfte. En abonnent ger således sitt samtycke vid ett enda tillfälle till att hans eller hennes kontaktuppgifter intas i abonnentförteckningar varefter andra leverantörer av abonnentförteckningar kan åberopa detta samtycke för att införa dessa kontaktuppgifter i sina abonnentförteckningar. Vad händer om en abonnent vill att hans eller hennes kontaktuppgifter ska avlägsnas från alla dessa abonnentförteckningar? Åtminstone två frågor uppkommer. Ska abonnenten rikta sin begäran till telekommunikationsoperatören med vilken han eller hon har ett avtal eller till leverantören/erna av abonnentförteckningarna eller till var och en av dem? Är för det andra en leverantör av abonnentförteckningar skyldig att vidarebefordra en begäran att avlägsna kontaktuppgifter till tredje parter såsom abonnentens telekommunikationsoperatör eller andra leverantörer av abonnentförteckningar och sökmotorleverantörer?
II. Bakgrund
3. Proximus tillhandahåller telekommunikationstjänster. Det inför sina egna abonnenters kontaktuppgifter samt de uppgifter som det erhåller från andra telekommunikationsoperatörer i två belgiska elektroniska abonnentförteckningar, www.1207.be och www.1307.be, och i två nummerupplysningstjänster, 1207 och 1307, som det också tillhandahåller. Det vidarebefordrar dessa kontaktuppgifter till en annan leverantör av abonnentförteckningar.
4. Proximus har förklarat att dess och tredje personers databaser skiljer mellan abonnenter vars kontaktuppgifter ska införas i förteckningar och dem som inte ska införas. När kontaktuppgifter ska införas är den relevanta parametern i abonnentens registrering ”NNNNN”. När kontaktuppgifterna inte ska införas är den relevanta parametern ”XXXXX”.
5. Klaganden är abonnent av en telefontjänst som tillhandahålls av Telenet, en telekommunikationsoperatör på den belgiska marknaden. Telenet tillhandahåller inte abonnentförteckningar. Det tillhandahåller kontaktuppgifter för sina abonnenter till bland annat Proximus.
6. Den 13 januari 2019 tillställde klaganden Proximus, med användning av det kontaktformulär som finns på webbplatsen www.1207.be, följande begäran: ”Var vänlig inför inte detta nummer i ’Witte Gids’, på 1207.be, …”
7. Med stöd av denna begäran ändrade Proximus den 28 januari 2019 parametern i fråga i klagandens registrering från ”NNNNN” till ”XXXXX”. Samma dag gav en anställd vid Proximus följande svar till klaganden: ”Numret [x] är för närvarande inte infört i utgåvan av ’Gids’. Informationen är inte heller tillgänglig i nummerupplysningsförteckningar (1207) eller på webbplatsen (1207.be). Ni finner den senaste utgåvan av alla offentliggjorda registreringar på vår webbplats www.1207.be.”
8. Den 31 januari 2019 mottog Proximus en rutinmässig uppdatering av abonnentuppgifter från Telenet. Denna uppdatering innehöll nya kontaktuppgifter för klaganden. Den angav också att klagandens kontaktuppgifter skulle införas i abonnentförteckningar (”NNNNN”). Proximus behandlade denna uppdatering automatiskt. Följden blev att klagandens kontaktuppgifter blev allmänt tillgängliga.
9. När klaganden hade insett att hans telefonnummer förekom i de elektroniska förteckningarna över telefonabonnenter www.1207.be och www.1307.be och i ett antal andra förteckningar över telefonabonnenter kontaktade klaganden den 14 augusti 2019 Proximus med användning av kontaktformuläret som var tillgängligt på webbplatsen www.1207.be och begärde att Proximus ”inte skulle nämna” hans telefonnummer ”på er/a webbplats/er http://www.1207.be”.
10. Samma dag gav en anställd vid Proximus följande svar: ”Enligt er begäran har vi avlägsnat ert omnämnande så att era uppgifter (telefonnummer, namn, adress) inte längre kommer att användas för telefonabonnentförteckningar eller för nummerupplysningstjänster. Inom några dagar kommer era uppgifter inte vara tillgängliga på www.1207.be – www.1307.be eller för upplysningstjänster (1207–1307). Vi kommer också att be Google att avlägsna relevanta länkar till vår webbplats. I enlighet med rättsliga bestämmelser har era uppgifter också vidareförts till andra telefonabonnentförteckningar och nummerupplysningstjänster som begärde att [Proximus] skulle tillhandahålla dem abonnentuppgifter, det vill säga www.infobel.com, www.de1212.be och www.opendi.be. De kommer också informeras om er begäran att inte längre använda era uppgifter genom de månatliga uppdateringarna.”
11. Klaganden ingav samtidigt ett klagomål till Gegevensbeschermingsautoriteit (Dataskyddsmyndigheten, nedan kallad DSM). Detta innehöll följande text: ”trots min skriftliga och uttryckliga begäran … att inte införa mitt (helt nya) telefonnummer … och uppgifter i Witte Gids, på 1207.be, …, [konstaterade jag] i dag, i samband med ett telefonsamtal från ett företag som inte har mitt telefonnummer, att mitt telefonnummer ändå har införts i www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, ww.de1212.be och högst sannolikt också i relevanta nummerupplysningstjänsterna 1207, 1307 och i pappersutgåvorna av Witte Gids(en) och www.opendi.be.”.
12. Kundtjänstavdelningen vid DSM förklarade den 27 augusti 2019 att klagomålet kunde prövas och hänsköt det till Geschillenkamer van de Gegevensbeschermingsautoriteit (tvisteavdelningen vid dataskyddsmyndigheten, Belgien, nedan kallad tvisteavdelningen vid DSM).
III. Tillämpliga bestämmelser
A. Unionsrätt
1. Europeiska unionens stadga om de grundläggande rättigheterna
13. I artikel 8.1 och 8.2 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) benämnd ”Skydd av personuppgifter” anges följande:
”1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem.”
2. Den allmänna dataskyddsförordningen
14. Begreppet samtycke är centralt vid tillämpningen av dataskyddsförordningen. Enligt dess artikel 4.11 betyder samtycke av den registrerade varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.
15. Artikel 5.1 i dataskyddsförordningen, med rubriken ”Principer för behandling av personuppgifter”, anger i relevant del följande:
”a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).”
16. Artikel 5.2 i dataskyddsförordningen anger:
”Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”
17. Artikel 6 i dataskyddsförordningen, med rubriken ”Laglig behandling av personuppgifter”, föreskriver följande:
”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
…”
18. Artikel 7 i dataskyddsförordningen, med rubriken ”Villkor för samtycke”, anger i dess relevanta punkter följande:
‘1. Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.
…
3. De registrerade ska ha rätt att när som helst återkalla sitt samtycke. Återkallandet av samtycket ska inte påverka lagligheten av behandling som grundar sig på samtycke, innan detta återkallas. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke.
…”
19. Såvitt det har relevans här föreskriver artikel 17 i dataskyddsförordningen, med rubriken ”Rätt till radering (’rätten att bli bortglömd’)”, följande:
”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
…
b) Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen.
…
2. Om den personuppgiftsansvarige har offentliggjort personuppgifterna och enligt punkt 1 är skyldig att radera personuppgifterna, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter.
…”
20. Artikel 19 i dataskyddsförordningen, med rubriken ”Anmälningsskyldighet avseende rättelse eller radering av personuppgifter och begränsning av behandling”, föreskriver följande:
”Den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning. Den personuppgiftsansvarige ska informera den registrerade om dessa mottagare på den registrerades begäran.”
21. Artikel 24.1 i dataskyddsförordningen, med rubriken ”Den personuppgiftsansvariges ansvar”, föreskriver följande:
”Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov.”
22. Artikel 95 i dataskyddsförordningen, med rubriken ”Förhållande till direktiv 2002/58/EG” föreskriver följande:
”Denna förordning ska inte innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter inom ramen för tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster i allmänna kommunikationsnät i unionen, när det gäller områden inom vilka de redan omfattas av särskilda skyldigheter för samma ändamål i enlighet med direktiv [2002/58].”
3. Direktiv 2002/58
23. Skäl 17 i direktiv 2002/58 anger följande:
”I detta direktiv bör en användares eller abonnents samtycke, oavsett om den senare är en fysisk eller juridisk person, ha samma betydelse som den registrerades samtycke enligt vad som definieras och i övrigt fastställs i [direktiv 95/46]. Samtycke kan ges i varje lämplig form som gör det möjligt att frivilligt lämna särskilda och informerade uppgifter om användarens önskemål, däribland genom markeringar i en ruta vid besök på en webbplats.”
24. Om inte annat anges tillämpar direktiv 2002/58 definitionerna i direktiv 95/46/EG(4) och i Europaparlamentets och rådets direktiv 2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv).(5) Artikel 2 f i direktiv 2002/58 definierar en användares eller abonnents samtycke som den registrerades samtycke i direktiv 95/46. Härav följer att vid tillämpning av direktiv 2002/58 är definitionen av samtycke densamma som i artikel 4.11 i dataskyddsförordningen, vars lydelse återges i punkt 14 i detta förslag till avgörande.
25. Artikel 12.2 och 12.3 i direktiv 2002/58 föreskriver följande:
”2. Medlemsstaterna skall säkerställa att abonnenterna ges möjlighet att avgöra om deras personuppgifter skall finnas med i en allmän abonnentförteckning och i så fall vilka personuppgifter, i den utsträckning uppgifterna är relevanta för det ändamål med abonnentförteckningen som fastställts av den som tillhandahåller förteckningen, och att bekräfta, rätta eller dra tillbaka sådana uppgifter. Det skall vara kostnadsfritt att inte förtecknas i allmänna abonnentförteckningar eller att kontrollera, rätta eller dra tillbaka personuppgifter från dem.
3. Medlemsstaterna får begära att abonnenterna ombedes lämna kompletterande samtycke för alla andra ändamål med en allmän abonnentförteckning än sökning av adressuppgifter för personer grundade på deras namn och, vid behov, ett minimum av andra identifieringsuppgifter.”
B. Belgisk rätt
26. Wet van 13 juni 2005 betreffende de elektronische communicatie (lag av den 13 juni 2005 om elektronisk kommunikation) införlivar bland annat direktiv 2002/58 med belgisk rätt.(6) Artikel 133.1 däri genomför artikel 12.2 i direktiv 2002/58. Andra bestämmelser i WEC som har relevans för de föreslagna svaren på de frågor som ställts av den hänskjutande domstolen anges nedan.
IV. Det nationella målet och förfarandet vid denna domstol
27. I den omfattning som det förefaller vara relevant för begäran om förhandsavgörande av domstolen förelade prövningsavdelningen vid DSM den 30 juli 2020 Proximus att i) vidta omedelbara lämpliga åtgärder i anledning av klagandens återkallelse av samtycke och således uppfylla kraven avseende behandling av personuppgifter enligt dataskyddsförordningen, ii) uppfylla klagandens begäran att utöva sin ”rätt att bli glömd” och iii) upphöra med den lagstridiga behandlingen av uppgifter som bestod i vidareföring av personliga uppgifter till tredje parter som tillhandahöll abonnentförteckningar. Den klandrade också Proximus för att inte ha iakttagit artikel 24 i dataskyddsförordningen. Prövningsavdelningen vid DSM ålade Proximus böter med 20 000 EUR för överträdelse av artiklarna 6, 7 och 12 i dataskyddsförordningen (nedan kallat det omtvistade beslutet).
28. Proximus överklagade det omtvistade beslutet till Hof van beroep te Brussel (Appellationsdomstolen, Bryssel), som hänsköt följande frågor till domstolen:
”1) Ska artikel 12.2 i direktiv 2002/58/EG (1), jämförd med artikel 2 f i samma direktiv och med artikel 95 i [dataskyddsförordningen] tolkas så, att en nationell tillsynsmyndighet får kräva att abonnentens ’samtycke’ i den mening som avses i den förordningen ska ligga till grund för offentliggörandet av dennes personuppgifter i offentliga abonnentförteckningar och nummerupplysningstjänster, både sådana som operatören själv har utgett och sådana som utomstående leverantörer har utgett, om det inte finns någon nationell bestämmelse av motsatt innebörd?
2) Ska rätten till radering av uppgifter i artikel 17 i [dataskyddsförordningen] tolkas så, att den utgör hinder för en nationell tillsynsmyndighets möjlighet att kvalificera en abonnents begäran om att tas bort från offentliga abonnentförteckningar eller nummerupplysningstjänster som en begäran om radering av uppgifter i den mening som avses i artikel 17 i den förordningen?
3) Ska artiklarna 24 och 5.2 i [dataskyddsförordningen] tolkas så, att dessa utgör hinder för en nationell tillsynsmyndighets möjlighet att av den ansvarsskyldighet som föreskrivs i dessa bestämmelser dra slutsatsen att den personuppgiftsansvarige måste vidta lämpliga tekniska och organisatoriska åtgärder för att informera utomstående personuppgiftsansvariga – det vill säga leverantören av telefonitjänster och andra leverantörer av abonnentförteckningar och nummerupplysningstjänster som har erhållit personuppgifter från den personuppgiftsansvarige – om att den registrerades har återkallat sitt samtycke i enlighet med artikel 6 jämförd med artikel 7 i förordningen?
4) Ska artikel 17.2 i [dataskyddsförordningen] tolkas så, att den utgör hinder för en nationell tillsynsmyndighets möjlighet att ålägga en leverantör av allmänt tillgängliga abonnentförteckningar och nummerupplysningstjänster, som har mottagit en begäran om att inte längre offentliggöra en persons uppgifter, att vidta rimliga åtgärder för att informera sökmotorleverantörer om denna begäran om radering av uppgifter?”
29. Proximus, DSM, de italienska, lettiska, portugisiska och rumänska regeringarna samt Europeiska kommissionen har gett in skriftliga yttranden.
30. Vid förhandlingen den 9 februari 2022 yttrade sig Proximus, DSM och kommissionen muntligt och besvarade frågor från domstolen.
V. Bedömning
A. Upptagande till sakprövning av tolkningsfrågorna
31. Proximus har som en preliminärfråga gjort gällande att de delar av den första frågan som avser skyldigheter för telekommunikationsoperatörer till skillnad från dem som föreskrivs för leverantörer av abonnentförteckningar, samt den andra och den fjärde frågan, är hypotetiska och/eller utan betydelse för de frågor som ska avgöras av den hänskjutande domstolen och därför inte kan tas upp till prövning i sak.
32. Domstolen har konsekvent uttalat att i mål enligt artikel 267 FEUF det uteslutande ankommer på de nationella domstolarna, vid vilka tvisten anhängiggjorts och som har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i varje enskilt mål bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till domstolen. Domstolen är följaktligen i princip skyldig att meddela ett förhandsavgörande när de frågor som ställts av den nationella domstolen avser tolkningen av unionsrätten.(7)
33. Domstolen får dock underlåta att besvara en tolkningsfråga som en nationell domstol har ställt när det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller föremålet för tvisten i målet vid den nationella domstolen, när frågan är hypotetisk eller när domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga förhållandena som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den.(8)
34. För att bemöta Proximus påståenden om avvisning avser jag att återge parternas huvudsakliga argument vid domstolen för att bedöma huruvida de fyra tolkningsfrågorna fjärmar sig så från föremålet för tvisten vid den hänskjutande domstolen att de inte har något samband med omständigheterna i det nationella målet eller dess syfte med följden att inga eller endast en del av dem kan prövas i sak.
35. Proximus anser att det inte har någon skyldighet att inhämta klagandens samtycke att införa dennes personuppgifter i sina abonnentförteckningar eller att ge honom tillfälle att bestämma huruvida hans personuppgifter ska införas däri. Enligt Proximus rör detta frågor som telekommunikationsoperatören (här Telenet) svarar för. Därför borde klaganden ha ställt sin begäran att avlägsna hans kontaktuppgifter från Proximus abonnentförteckningar till Telenet. Alternativt anser Proximus att bestämmelserna i dataskyddsförordningen som avser ”rätten att bli glömd” saknar relevans, eftersom avlägsnandet av kontaktuppgifter består i att ändra NNNNN-parametern i det relevanta registret till XXXXX. Detta är en rättelse, inte en radering, av uppgifter. Det är också orimligt att kräva att Proximus informerar leverantörer av sökmotorer om klagandens begäran, eftersom det är oklart huruvida dessa erhöll hans kontaktuppgifter från Proximus eller från någon annan leverantör av abonnentförteckningar.
36. DSM har uppfattningen att införandet av klagandens kontaktuppgifter i abonnentförteckningar krävde hans föregående samtycke. När han informerade Proximus att han inte längre ville ha sina uppgifter införda blev fortsatt införande därav i samtliga sådana förteckningar lagstridigt. Klagandens begäran var en återkallelse av hans samtycke och ett utövande av hans ”rätt att bli glömd” i den mening som avses i artikel 17 i dataskyddsförordningen. Artikel 17.2 i dataskyddsförordningen ålade Proximus att informera leverantörer av sökmotorer om denna begäran. Artiklarna 5.2 och 24 i dataskyddsförordningen ger också DSM rätt att kräva att Proximus informerar telekommunikationsoperatören och andra leverantörer av abonnentförteckningar om denna begäran.
37. Den italienska regeringens och kommissionens yttranden följer i stort sett samma linjer som DSM. Yttrandena från de lettiska, portugisiska och rumänska regeringarna innehåller en liknande inställning men gör också följande förbehåll. Den lettiska regeringen har påpekat att det inte finns någon rättslig grund för att kräva att varje leverantör av abonnentförteckningar ska erhålla separata samtycken: olika leverantörer som använder uppgifter för samma syfte måste kunna åberopa ett samtycke vid ett enda tillfälle som lämnats av den registrerade. Den rumänska regeringen anser att artiklarna 5.2 och 24 i dataskyddsförordningen inte kan åberopas på det sätt som DSM hävdat då dessa bestämmelser inte föreskriver skyldigheter för personuppgiftsansvariga att ta kontakt med andra personuppgiftsansvariga. Den portugisiska regeringen anser att skyldigheten för personuppgiftsansvariga att informera tredje parter inbegripet leverantörer av sökmotorer om begäran att radera uppgifter följer av artikel 19 i dataskyddsförordningen och inte dess artikel 17.2.
38. Av denna korta genomgång av parternas huvudsakliga argument vid domstolen är jag övertygad om att samtliga fyra frågor som ställts av den hänskjutande domstolen har relevans för tvisten vid den och har ett så nära samband att inte någon del av dem kan sägas böra avvisas. Jag föreslår följaktligen att domstolen ogillar Proximus invändningar mot möjligheten att pröva tolkningsfrågorna.
B. Bedömning i sak
1. Den första frågan
39. Genom sin första fråga vill den hänskjutande domstolen i huvudsak få klarhet i huruvida en abonnents samtycke enligt definitionen i dataskyddsförordningen krävs, enligt artikel 12.2 i direktiv 2002/58 jämförd med artikel 2 f däri och artikel 95 i dataskyddsförordningen, för införandet av hans eller hennes kontaktuppgifter i abonnentförteckningar som publiceras av en telekommunikationsoperatör och/eller andra leverantörer av abonnentförteckningar.
40. Artikel 12.2 i direktiv 2002/58 kräver att abonnenterna ges möjlighet att avgöra om deras personuppgifter skall finnas med i en allmän abonnentförteckning. Underförstått i detta krav ligger en motsvarande skyldighet att bereda abonnenter tillfälle att göra ett uttryckligt val i fråga om de vill att deras uppgifter ska införas i sådana abonnentförteckningar. Artikel 12.3 i direktiv 2002/58 hänvisar dessutom till förhållandet att abonnenterna får ombedjas att lämna ”kompletterande samtycke” för alla andra ändamål med en allmän abonnentförteckning än sökning av adressuppgifter för personer grundade på deras namn.(9) Hänvisningen till ”kompletterande samtycke” i artikel 12.3 innebär också att artikel 12.2 kräver att samtycke till sådan publicering ska erhållas vid ett första tillfälle.
41. Som nämnts i punkterna 23 och 24 i detta förslag till avgörande betyder ”samtycke” vid tillämpning av artikel 2 f i direktiv 2002/58 varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.
42. Angivandet av ”bekräftande handling” i definitionen av samtycke vid tillämpningen av direktiv 2002/58 är en ytterligare anvisning om att abonnenter ska ges tillfälle att göra ett val beträffande införandet av deras personuppgifter i en allmän abonnentförteckning. Tvärtemot Proximus ståndpunkt kan inte utgivare av abonnentförteckningar utgå från att en abonnents samtycke normalt föreligger till införandet av dennes kontaktuppgifter i en allmän abonnentförteckning och att denne ska välja att avstå från införandet.
43. Domstolen har dessutom förklarat att det framgår av en kontextuell och systematisk tolkning av artikel 12 i direktiv 2002/58 att samtycket enligt artikel 12.2 däri avser ändamålet med offentliggörandet av personuppgifter i en allmän abonnentförteckning och inte vem som i det enskilda fallet tillhandahåller abonnentförteckningen. Det samtycke som ges enligt artikel 12.2 i direktiv 2002/58 gäller således för varje efterföljande uppgiftsbehandling av tredje parter som är verksamma på marknaden för allmänt tillgängliga nummerupplysningstjänster och abonnentförteckningar förutsatt att sådan behandling sker för samma ändamål.(10)
44. Följden är att abonnentens samtycke enligt definitionen i artikel 4.11 i dataskyddsförordningen krävs för att dennes personuppgifter införs i abonnentförteckningar som offentliggörs av telekommunikationsoperatören och/eller andra personer som tillhandahåller abonnentförteckningar. När sådant offentliggörande tjänar samma syfte kan telekommunikationsoperatören och/eller andra leverantörer åberopa samma samtycke.
45. Jag tillägger att enligt artikel 7.1 i dataskyddsförordningen ska den personuppgiftsansvarige när behandlingen grundas på samtycke kunna visa att den registrerade har samtyckt till behandlingen av hans eller hennes uppgifter. En utgivare av abonnentförteckningar som Proximus kan inte utgå från att en abonnent har gett sitt samtycke även om denne kan åberopa det samtycke som abonnenten lämnat till en annan personuppgiftsansvarig.
46. Proximus åberopar skälen 38 och 39 i direktiv 2002/58 som stöd för påståendena att skyldighet att: i) informera abonnenter om ändamålet för förteckningar i vilka deras personuppgifter ska föras in och ii) ge dem tillfälle att avgöra huruvida deras personuppgifter ska införas i en abonnentförteckning endast åvilar den telekommunikationsoperatör med vilken abonnenten har ett avtal. Texten i nämnda skäl stöder inte detta påstående. Skäl 38 anger skyldigheten för ”leverantörer av allmänna abonnentförteckningar” att ”upplysa de abonnenter som skall finnas med i sådana förteckningar om förteckningens syfte …”. Skäl 39 anger att ”skyldigheten att informera abonnenterna om ändamålen med allmänna abonnentförteckningar i vilka deras personuppgifter skall införas bör åläggas den part som samlar in uppgifterna för införande”.
47. Eftersom Telenet inte offentliggör abonnentförteckningar är inte något av dessa skäl tillämpligt på det. Medan en telekommunikationsoperatör kan erhålla samtycke från abonnenter i syfte att införa deras uppgifter i abonnentförteckningar som ges ut av tredje parter och dessa tredje parter därefter kan åberopa och visa att ett sådant samtycke har lämnats till telekommunikationsoperatören innebär inte skälen 38 och 39 i direktiv 2002/58 att endast telekommunikationsoperatörer har en skyldighet att erhålla detta samtycke med friskrivande av andra utgivare av abonnentförteckningar från deras ansvar och redovisningsskyldighet i detta avseende.
48. Eftersom direktiv 2002/58 uttryckligt antar definitionen av samtycke i dataskyddsförordningen saknar slutligen den diskussion som Proximus fört rörande tolkningen av artikel 95 i dataskyddsförordningen och förhållandet mellan dataskyddsförordningen och direktiv 2002/58, som det betecknade som ett förhållande mellan ”lex generalis/lex specialis”, betydelse.
49. Jag föreslår därför att domstolen besvarar den första frågan på det sättet att enligt artikel 12.2 i direktiv 2002/58 jämförd med artikel 2 f däri och artikel 95 i dataskyddsförordningen krävs en abonnents samtycke enligt definitionen i artikel 4.11 i dataskyddsförordningen för att införa hans eller hennes kontaktuppgifter i abonnentförteckningar som offentliggörs av en telekommunikationsoperatör och/eller andra leverantörer av abonnentförteckningar.
2. Den andra frågan
50. Genom sin andra fråga vill den hänskjutande domstolen få klarhet i huruvida en abonnents begäran att avlägsna hans eller hennes uppgifter från abonnentförteckningar utgör ett utövande av ”rätten till radering” som fastställs enligt artikel 17 i dataskyddsförordningen.
51. Proximus har påstått att en tredje part som utger abonnentförteckningar inte har någon skyldighet att verkställa en abonnents begäran att avlägsna uppgifter från abonnentförteckningar, eftersom artikel 17 i dataskyddsförordningen inte är tillämplig på denna tredje part. Abonnenten borde ha riktat sin begäran till telekommunikationsoperatören med vilken han eller hon har ett avtal. Proximus har återigen påstått att förhållandet mellan dataskyddsförordningen och direktiv 2002/58 är ett förhållande mellan lex generalis/lex specialis.
52. Alternativt har Proximus påstått att klagandens begäran ”att inte införa telefonnummer … i 1207.be” är en begäran om rättelse i den mening som avses i artikel 16 i dataskyddsförordningen och inte en begäran om radering enligt artikel 17 i dataskyddsförordningen, eftersom den relevanta parametern i abonnentens registrering endast ändras från ”NNNNN” till ”XXXXX”.
53. Artikel 12.2 i direktiv 2002/58 anger att abonnenterna ska ges möjlighet att ”rätta eller dra tillbaka” personuppgifter som de samtycker till att vara införda i abonnentförteckningar. Direktiv 2002/58 definierar inte termerna ”rätta eller dra tillbaka”. Det är därför lämpligt att beakta dessa ords vanliga innebörd i det sammanhang vari de förekommer, det vill säga införandet av abonnenters kontaktuppgifter i abonnentförteckningar. Ordet ”rätta” avser klart situationer där abonnenter vill ändra det sätt varpå deras kontaktuppgifter förekommer i en abonnentförteckning, exempelvis rättelse av stavningen av ett namn eller en felaktig adress. Denna situation skiljer sig från den som föreligger här, där klaganden vill att hans kontaktuppgifter inte längre ska förekomma i allmänna abonnentförteckningar. Bland betydelsen av ordet ”dra tillbaka” finns ”avlägsna”, ”återta” eller ”återkalla”. Genom att inte längre samtycka till att hans uppgifter behandlas genom att vara införda i abonnentförteckningar kan det sägas att klaganden begärde tillbakadragande av sina personuppgifter i den mening som avses i artikel 12.2 i direktiv 2002/58.
54. Som den lettiska regeringen har påpekat innehåller inte direktiv 2002/58 några andra anvisningar beträffande villkoren, genomförandet och följderna av en begäran att ”dra tillbaka” personuppgifter. Bestämmelserna i dataskyddsförordningen är därför direkt tillämpliga, och till följd därav förlorar Proximus argument grundat på förhållandet mellan lex generalis/lex specialis mellan de två rättsakterna sin betydelse. Enligt artikel 7.3 i dataskyddsförordningen har en abonnent rätt att återkalla sitt samtycke när som helst. Så snart som detta samtycke har dragits tillbaka föreskriver artikel 6.1 a i dataskyddsförordningen att behandling av abonnentens uppgifter i det specifika syftet att vara införda i abonnentförteckningar inte längre är laglig. Detta utlöser i sin tur tillämpning av artikel 17 i dataskyddsförordningen.
55. Proximus har gjort gällande att denna tolkning inte kan vara riktig då den skulle betyda att både Proximus och Telenet skulle vara skyldiga att ta bort klagandens uppgifter från alla sina databaser. DSM och övriga parter som har gett in yttranden till domstolen har uppfattningen att klagandens begäran är begränsad till att hans uppgifter ska drags tillbaka från abonnentförteckningar, inte att de ska raderas från databasen för Telenets abonnenter.
56. Klaganden söker förhindra att hans uppgifter behandlas i syften som har samband med abonnentförteckningar. Artikel 17.1 b i dataskyddsförordningen, som tillåter att samtycke, på vilket behandlingen grundas, dras tillbaka underlättar hans önskan. Det samtycke som ska erhållas från abonnenten enligt artikel 12.2 i direktiv 2002/58 avser behandlingen av uppgifter på ett specifikt sätt, det vill säga i syfte att offentliggöras i abonnentförteckningar. När detta samtycke har dragits tillbaka blir detta särskilda sätt för behandling av abonnentens uppgifter olagligt. Om det förhöll sig på annat sätt skulle en abonnent inte kunna dra tillbaka sitt samtycke för offentliggörande i abonnentförteckningar utan att samtidigt avsluta sitt avtal avseende tillhandahållande av telekommunikationstjänster.
57. Jag föreslår därför att domstolen besvarar den andra frågan på det sättet att en begäran från en abonnent att få sina uppgifter avlägsnade från abonnentförteckningar utgör ett utövande av ”rätten till radering”, som fastställs i artikel 17 i dataskyddsförordningen.
3. Den tredje frågan
58. Genom sin tredje fråga vill den hänskjutande domstolen i huvudsak få klarhet i huruvida enligt artiklarna 5.2 och 24 i dataskyddsförordningen en nationell tillsynsmyndighet kan besluta att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att informera andra personuppgiftsansvariga, det vill säga telekommunikationsoperatören och andra leverantörer av abonnentförteckningar som har mottagit uppgifter från denna första personuppgiftsansvarige, om återkallelse av den registrerades samtycke i enlighet med artikel 6 jämförd med artikel 7 i dataskyddsförordningen.
59. I denna fråga är Proximus den ”personuppgiftsansvarige”, och ”andra personuppgiftsansvariga” är: i) telekommunikationsoperatören, Telenet, med vilken klaganden har ett telefonabonnemang och ii) leverantör(er) av abonnentförteckningar till vilka Proximus lämnat abonnentuppgifter inbegripet dem som det erhållit från Telenet.
60. Eftersom telekommunikationsoperatören inte tillhandahåller abonnentförteckningar och samtycke ska erhållas för att abonnenternas kontaktuppgifter ska införas i abonnentförteckningar uppkommer frågan varför det skulle vara av betydelse att informera telekommunikationsoperatören om abonnentens återkallelse av sitt samtycke att använda hans eller hennes uppgifter för detta ändamål.
61. WEC kräver att telekommunikationsoperatörer ska vidareföra abonnenters kontaktuppgifter till leverantörer av abonnentförteckningar.(11) De måste emellertid ”hålla isär” kontaktuppgifter för abonnenter som har angett att de inte vill föras in i en abonnentförteckning så att de tillåts erhålla en kopia av denna förteckning.(12) Som beskrivits i punkt 4 i detta förslag till avgörande verkställs ett tillbakadragande av samtycke genom justering av parametrarna i abonnentens registrering. Proximus uppdaterar sin databas vid mottagandet av ett tillbakadragande av samtycke. Denna uppdatering ersätts emellertid när Proximus mottar en ny omgång abonnentuppgifter från telekommunikationsoperatören i syfte att dessa uppgifter ska införas i abonnentförteckningar och telekommunikationsoperatören inte har informerats om abonnentens begäran att hans eller hennes uppgifter inte ska förekomma i en allmän abonnentförteckning. Proximus måste således inte endast uppdatera sin egen databas utan måste också informera telekommunikationsoperatören om detta tillbakadragande.
62. Proximus har således gjort gällande att det endast är en ”mottagare till vilken personuppgifterna har lämnats ut” i den mening som avses i artikel 19 i dataskyddsförordningen. Skyldigheten för personuppgiftsansvariga att vidta rimliga åtgärder för att underrätta andra personuppgiftsansvariga om begäran om radering i artikel 17.2 i dataskyddsförordningen är därför inte tillämplig på Proximus. Härav följer enligt Proximus att det inte är riktigt att tolka artiklarna 5.2 och 24 i dataskyddsförordningen på det sättet att dessa föreskriver en skyldighet för Proximus att informera telekommunikationsoperatören och andra leverantörer av abonnentförteckningar om en begäran om radering som det mottar.
63. Jag anser det vara svårt att godta att Proximus endast är en mottagare av personuppgifter. Medan det kan ha mottagit klagandens kontaktuppgifter från Telenet utgör offentliggörande av dessa uppgifter i dess abonnentförteckningar behandling av uppgifter i den mening som avses i artikel 4.2 i dataskyddsförordningen. I detta sammanhang agerar Proximus som en personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen.(13) Enligt artiklarna 5.2 och 24 i dataskyddsförordningen föreligger skyldigheter för personuppgiftsansvariga avseende ansvarsskyldighet och vidtagande av lämpliga åtgärder för att säkerställa att uppgiftsbehandlingen utförs i enlighet med dataskyddsförordningen.
64. Artikel 5.1 a i dataskyddsförordningen föreskriver att personuppgifter ska behandlas på ett lagligt sätt. Enligt artikel 6.1 a däri är behandling endast laglig om och i den mån som den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Det framgår av begäran om förhandsavgörande att klaganden drog tillbaka sitt samtycke i den mening som avses i artikel 7 i dataskyddsförordningen till att hans personuppgifter behandlades i syfte att offentliggöras i abonnentförteckningar. Sådan behandling inbegripet den som utförs av andra leverantörer av abonnentförteckningar för samma ändamål är inte förenlig med dataskyddsförordningen. Den är således olaglig.
65. Det är förenligt med detta konstaterande, i förening med informationskraven i artikel 17.2 i dataskyddsförordningen och artikel 19 i dataskyddsförordningen, att en nationell tillsynsmyndighet får meddela beslut på grund av ansvarsskyldigheten som fastläggs i artikel 5.2 i dataskyddsförordningen och skyldigheten i artikel 24 i dataskyddsförordningen att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen, att en personuppgiftsansvarig ska genom lämpliga tekniska och organisatoriska åtgärder informera andra personuppgiftsansvariga, det vill säga leverantören av telekommunikationstjänster och andra leverantörer av abonnentförteckningar som har erhållit uppgifter från denna första personuppgiftsansvarige, om den registrerades tillbakadragande av sitt samtycke i enlighet med artikel 6 i dataskyddsförordningen jämförd med artikel 7 däri.
66. Den rumänska regeringen har anfört att artikel 17.2 i dataskyddsförordningen innehåller kraven på information från leverantörer av sökmotorer när begäran om radering framställs. Det skulle därför vara oriktigt om en nationell tillsynsmyndighet åberopade artiklarna 5.2 och 24 i dataskyddsförordningen, i synnerhet då dessa bestämmelser inte innehåller specifika skyldigheter beträffande vidarebefordran av information till tredje parter.
67. Enligt min uppfattning föreskriver artiklarna 5.2 och 24 i dataskyddsförordningen generell ansvarsskyldighet och krav på efterlevnad för personuppgiftsansvariga. Deras breda ordalydelse och tillämpningsområde underlättar för en nationell tillsynsmyndighet att föreskriva krav på information för personuppgiftsansvariga gentemot tredje parter. Det är riktigt att artiklarna 17.2 och 19 i dataskyddsförordningen innehåller specifika informationsskyldigheter med avseende på ”personuppgiftsansvariga” (avseende uppgifter som har offentliggjorts och vars radering har begärts) respektive ”mottagare”. Dessa bestämmelser avser emellertid inte det faktiska scenario under bedömning där behov uppstår att informera telekommunikationsoperatören om tillbakadragandet av samtycke, utan vilket Proximus, och leverantörer som använder abonnentuppgifter som erhållits från Proximus, till slut kommer att behandla uppgifter olagligt, till följd av samverkan av de olika inblandade parternas databaser.
68. Denna tolkning av dataskyddsförordningen leder till en situation i vilken en abonnent kan underrätta varje enhet som har dennes kontaktuppgifter i abonnentförteckningar om tillbakadragande av hans eller hennes samtycke (i detta fall en begäran om att inte införa kontaktuppgifter i abonnentförteckningar) eller varje enhet (inbegripet telekommunikationsoperatören) som tillställer andra enheter sådana kontaktuppgifter för samma ändamål. Den enhet som abonnenten väljer att vända sig till blir ansvarig för att vidarebefordra hans eller hennes begäran om radering till andra personuppgiftsansvariga i den omfattning som krävs för att se till att uppgifterna inte behandlas olagligt. Denna tolkning är i linje med den skyldighet som artikel 12.2 i dataskyddsförordningen ålägger personuppgiftsansvariga att underlätta de registrerades utövande av sina rättigheter enligt artiklarna 15–22 i dataskyddsförordningen. Den återspeglar också kravet i sista meningen i artikel 7.3 i förordningen att det ska vara lika lätt att dra tillbaka samtycke som att lämna samtycke till behandling av personuppgifter. Eftersom en leverantör av abonnentförteckningar kan åberopa samtycke av en abonnent till behandling av uppgifter för detta ändamål till en annan leverantör blir följden att för att dra tillbaka samtycket måste det vara möjligt för en abonnent att kontakta vem som helst av leverantörerna av abonnentförteckningar eller telekommunikationsoperatören i syfte att få hans eller hennes kontaktuppgifter avlägsnade från abonnentförteckningar som offentliggjorts av alla dem som åberopar hans eller hennes vid ett enda tillfälle lämnade samtycke.
69. Jag föreslår därför att svaret på den tredje frågan är att enligt artiklarna 5.2 och 24 i dataskyddsförordningen kan en nationell tillsynsmyndighet besluta att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att informera andra personuppgiftsansvariga, det vill säga telekommunikationsoperatören och andra leverantörer av abonnentförteckningar som har mottagit uppgifter från denna första personansvarige, om att den registrerade har återkallat sitt samtycke i enlighet med artikel 6 jämförd med artikel 7 i dataskyddsförordningen.
4. Den fjärde frågan
70. Genom sin fjärde fråga vill den hänskjutande domstolen i huvudsak få klarhet i huruvida artikel 17.2 i dataskyddsförordningen utgör hinder för en nationell tillsynsmyndighet att förelägga en leverantör av abonnentförteckningar att informera sökmotorleverantörer om en begäran om radering som denne mottagit.
71. Underförstått i denna fråga ligger den hänskjutande domstolens uppfattning att klaganden inte längre ville att hans kontaktuppgifter skulle vara tillgängliga för allmänheten på internet via sökmotorer.
72. Som anges i punkt 62 i förevarande förslag till avgörande intar Proximus uppfattningen att artikel 17.2 i dataskyddsförordningen inte är tillämplig då det endast är mottagare av personuppgifter. Alternativt har Proximus hävdat att företaget enligt den bestämmelsen är skyldigt att vidta rimliga åtgärder endast för att informera personuppgiftsansvariga att den registrerade har begärt radering av hans eller hennes uppgifter.(14) Då Proximus inte lämnat ut uppgifter direkt till sökmotorleverantörer är det ”inte 100 procent säkert” att dessa leverantörer erhållit klagandens kontaktuppgifter från Proximus och de kan ha erhållit dem från en annan leverantör av abonnentförteckningar. Under dessa förhållanden skulle det vara orimligt att kräva att Proximus vid erhållandet av klagandens begäran skulle kontakta sökmotorleverantörer direkt.
73. Det följer av mitt föreslagna svar på den andra frågan att en abonnents begäran att avlägsna hans eller hennes uppgifter från abonnentförteckningar utlöser tillämpning av skyldigheten som artikel 17.2 i dataskyddsförordningen ålägger den personuppgiftsansvarige att vidta rimliga åtgärder endast för att informera personuppgiftsansvariga som behandlar personuppgifter att den registrerade har begärt radering av eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter.
74. Frågan uppkommer då i vad mån sökmotorleverantörer är personuppgiftsansvariga. Indexering och tillgängliggörande av personuppgifter till internetanvändare i en lista med sökresultat utgör behandling av personuppgifter i den mening som avses i artikel 4.2 i dataskyddsförordningen. Eftersom sökmotorleverantörer avgör hur dessa uppgifter indexeras och är ansvariga för att utveckla den algoritm som fastställer den ordning i vilken sökresultaten framträder, bestämmer de ändamålen och medlen för behandling av personuppgifter och agerar därigenom som personuppgiftsansvariga vid tillämpningen av artikel 4.7 i dataskyddsförordningen.(15)
75. Sedan återstår kravet att Proximus ska vidta rimliga åtgärder, inbegripet tekniska åtgärder, endast för att informera sökmotorleverantörer om en begäran att radera uppgifter.
76. För att bedöma rimligheten av åtgärder som ska vidtas föreskriver artikel 17.2 i dataskyddsförordningen att tillgänglig teknik och kostnaden för genomförandet ska beaktas, vilket är en uppgift som i första hand ankommer på den myndighet som är behörig i sådana frågor med möjlighet till domstolsprövning. Punkt 10 i detta förslag till avgörande nämner att Proximus uppgav till klaganden att det skulle informera Google om hans begäran om radering. I sina yttranden till domstolen har DSM påpekat att det under andra kvartalet 2020 fanns ett begränsat antal sökmotorleverantörer i Belgien med Google i ledningen, som hade en marknadsandel om mellan 90 procent (för sökningar med stationära datorer) och 99 procent (för sökningar med smarta telefoner och surfplattor).(16) Redan på grund härav förefaller det opåkallat att påstå att det skulle vara orimligt att kräva att Proximus informerar sökmotorleverantörer om sådan begäran om radering som det mottar.
77. I vart fall är jag inte övertygad att bedömningen huruvida de åtgärder som Proximus ska vidta för att informera en viss sökmotorleverantör är ”rimliga” i den mening som avses i artikel 17.2 i dataskyddsförordningen ska beakta huruvida det var ”100 procent säkert” att sökmotorleverantören i fråga hade mottagit de uppgifter som skulle raderas från Proximus. Inte heller är jag imponerad av argumentet att det skulle vara orimligt att kräva att Proximus ska vidta åtgärder för att uppfylla artikel 17.2, eftersom det inte är ”100 procent säkert” att sökmotorleverantörer har erhållit klagandens kontaktuppgifter från Proximus.
78. Att tillåta att personuppgiftsansvariga undgår ansvar för behandling av personuppgifter på grund av möjligheten att uppgifterna i fråga inte har mottagits från dem skulle göra all skyldighet i detta avseende verkningslös i alla de fall där uppgifterna är länkade eller kopierade på internet. Ett sådant tillvägagångssätt kan även skapa ett negativt incitament att sprida uppgifter för att undvika denna skyldighet. Om man dessutom för Proximus argument till dess logiska slut skulle ingen leverantör av abonnentförteckningar vara ansvarig för att uppfylla artikel 17.2 i dataskyddsförordningen genom att informera sökmotorleverantörer om klagandens begäran, då samtliga dessa leverantörer kunde åberopa varje osäkerhet beträffande uppgifternas ursprung. Då dessutom Telenet inte offentliggör abonnentförteckningar kan inte sökmotorleverantörerna ha mottagit uppgifterna från telekommunikationsoperatören. Detta betyder att abonnenten skulle behöva ta reda på var hans eller hennes kontaktuppgifter finns tillgängliga och tillställa varje enhet som offentliggör dem en begäran om radering. En sådan ordning skulle vara uppenbart oförenlig med artikel 7.3 i dataskyddsförordningen, som föreskriver att det ska vara lika lätt att dra tillbaka som att lämna ett samtycke.
79. Jag föreslår följaktligen att domstolen besvarar den fjärde frågan på det sättet att artikel 17.2 i dataskyddsförordningen inte utgör hinder för att en nationell tillsynsmyndighet förelägger en leverantör av abonnentförteckningar att informera sökmotorleverantörer om en begäran om radering som denne har mottagit.
VI. Förslag till avgörande
80. Jag föreslår således att domstolen lämnar följande svar på tolkningsfrågorna från Hof van beroep te Brussel (Appellationsdomstolen, Bryssel):
1. Enligt artikel 12.2 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) jämförd med artikel 2 f däri och artikel 95 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) krävs en abonnents samtycke enligt definitionen i artikel 4.11 i allmänna dataskyddsförordningen för att införa hans eller hennes kontaktuppgifter i abonnentförteckningar som offentliggörs av en telekommunikationsoperatör och/eller andra leverantörer av abonnentförteckningar.
2. En begäran från en abonnent att få sina uppgifter avlägsnade från abonnentförteckningar utgör ett utövande av ”rätten till radering” som fastställs i artikel 17 i allmänna dataskyddsförordningen.
3. Enligt artiklarna 5.2 och 24 i allmänna dataskyddsförordningen kan en nationell tillsynsmyndighet besluta att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att informera andra personuppgiftsansvariga, det vill säga telekommunikationsoperatören och andra leverantörer av abonnentförteckningar som har mottagit uppgifter från denna första personansvarige, om att den registrerade har återkallat sitt samtycke i enlighet med artikel 6 jämförd med artikel 7 i dataskyddsförordningen.
4. Artikel 17.2 i allmänna dataskyddsförordningen utgör inte hinder för att en nationell tillsynsmyndighet förelägger en leverantör av abonnentförteckningar att informera sökmotorleverantörer om en begäran om radering som denne har mottagit.