Preliminär utgåva
FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
PRIIT PIKAMÄE
föredraget den 22 februari 2024(1)
Mål C‑693/22
I. sp. z o. o.
mot
M.W.
(begäran om förhandsavgörande ingiven av Sąd Rejonowy dla m.st. Warszawy w Warszawie (Distriktsdomstolen i staden Warszawa, Polen))
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Försäljning av en databas som innehåller personuppgifter inom ramen för ett utmätningsförfarande – Artikel 4.7 – Begreppet personuppgiftsansvarig – Artikel 5.1 b – Ändamålsbegränsning – Artikel 6.1, 6.3 och 6.4 – Laglig behandling av personuppgifter – Fullgörande av en rättslig förpliktelse som åvilar den personuppgiftsansvarige – Utförande av en uppgift av allmänt intresse – Artikel 23.1 j – Verkställighet av civilrättsliga krav – Nödvändig och proportionell åtgärd”
1. Kan försäljning, inom ramen för ett utmätningsförfarande, av en databas som innehåller personuppgifter vara förenlig med bestämmelserna i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (nedan kallad dataskyddsförordningen),(2) när de registrerade inte har gett sitt samtycke till en sådan försäljning?
2. Detta är den huvudsakliga fråga som Sąd Rejonowy dla m. st. Warszawy w Warszawie (Distriktsdomstolen i staden Warszawa, Polen) har ställt till EU-domstolen inom ramen för förevarande begäran om förhandsavgörande.
3. EU-domstolen har således att pröva ett särskilt fall som rör dataskyddsförordningen och att ta ställning till vissa centrala delar av den förordningen, såsom begreppet personuppgiftsansvarig, laglig behandling av personuppgifter och omfattningen av principen om ändamålsbegränsning.
I. Tillämpliga bestämmelser
A. Unionsrätt
4. I artikel 4 i dataskyddsförordningen anges följande:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), …
2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,
…”
5. I artikel 5 i nämnda förordning, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande i punkterna 1 och 2:
”1. Vid behandling av personuppgifter ska följande gälla:
a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).
b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. …
c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).
…
2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”
6. Artikel 6 i nämnda förordning, med rubriken ”Laglig behandling av personuppgifter”, har följande lydelse:
”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
…
c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
…
e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
…
3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med
a) unionsrätten, eller
b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.
4. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:
a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.
b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.
c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10.
d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.
e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”
7. I artikel 23 i dataskyddsförordningen, med rubriken ”Begränsningar”, föreskrivs följande i punkt 1:
”1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa
…
j) verkställighet av civilrättsliga krav.”
B. Polsk rätt
8. Artikel 299 i Ustawa z dnia 15 września 2000 r. Kodeks spółek handlowych (lag om handelsbolag) av den 15 september 2000 (Dz. U. 2022, position 1 467) (nedan kallad lagen om handelsbolag) har följande lydelse:
”§ 1. Om en utmätning gentemot bolaget är utan verkan, är styrelseledamöterna solidariskt ansvariga för bolagets skulder.
§ 2. En styrelseledamot kan befrias från ansvar enligt punkt 1 om han eller hon visar att en konkursansökan har lämnats in i rätt tid eller att ett beslut om att inleda ett rekonstruktionsförfarande eller ett beslut om ackordsuppgörelse inom ramen för en ackordsplan har fattats vid samma tidpunkt, eller att avsaknaden av en konkursansökan inte berott på oaktsamhet från dennes sida, eller att borgenären inte har lidit någon skada trots att det inte har ingetts någon konkursansökan eller fattats något beslut om att inleda ett rekonstruktionsförfarande eller ett beslut om ackordsuppgörelse inom ramen för en ackordsplan.”
9. I artikel 796 § 1 i ustawa Kodeks postępowania cywilnego (lag om civilprocesslagen) av den 17 november 1964 (Dz. U. 2021, position 1805), i ändrad lydelse, (nedan kallad civilprocesslagen) anges följande:
”En ansökan om inledande av ett utmätningsförfarande ska lämnas in till domstolen eller till utmätningsmannen, beroende på vad som är lämpligt. Ansökan till utmätningsmannen kan göras på en officiell blankett.”
10. Artikel 799 § 1 första meningen i civilprocesslagen har följande lydelse:
”En ansökan om verkställighet eller en begäran om verkställighet ex officio möjliggör verkställighet på alla tillåtna sätt, med undantag för verkställighet av fast egendom. …”
11. Artikel 824 § 1 led 3 i denna lag har följande lydelse:
”Verkställighetsförfarandet vid domstol ska ex officio anses helt eller delvis ha avslutats
…
3) när det står klart att utmätningen inte kommer att inbringa ett belopp som överstiger kostnaderna för dess genomförande.”
12. I artikel 831 i civilprocesslagen föreskrivs följande:
”§ 1. Följande får inte utmätas:
…
3) Rättigheter som inte kan överlåtas, såvida inte möjligheten att överlåta dem har uteslutits genom avtal och föremålet för prestationen är utmätbart eller om utövandet av rättigheten kan anförtros någon annan.”
13. Ustawa o komornikach sądowych (lag av om utmätningsmän) av den 22 mars 2018 (Dz. U. 2022, position 1168), i ändrad lydelse (nedan kallad lagen om utmätningsmän) reglerar utmätningsmäns ställning och verksamhet. I artikel 3.1 och 3.2 anges följande:
”En utmätningsman ska betraktas som en myndighet som utför rättshandlingar inom ramen för utmätningsförfaranden och säkerhetsåtgärder. Utmätningsmannens rättshandlingar begränsas enligt lag.
…
Utmätningsmannen ska ha följande uppgifter:
1) Att verkställa domstolsavgöranden i mål om penningfordringar och andra fordringar samt insättningsgarantier, inbegripet europeiska beslut om kvarstad på bankmedel, med förbehåll för de undantag som föreskrivs [civilprocesslagen].
…”
14. Artikel 9.1 i denna lag har följande lydelse:
”Utmätningsmannen får inte avslå en begäran som avser
1) genomförande av utmätning,
…
åtgärder som denne är behörig att utföra i enlighet med [civilprocesslagen].”
15. Artikel 31.1 första meningen i nämnda lag har följande lydelse:
”De belopp som utmätts från ett bankkonto, ett konto som innehas av en kooperativ spar- och kreditförening eller ett konto som innehas av en enhet som bedriver mäklarverksamhet, och som erhållits till följd av den första betalning som gjorts av gäldenären avseende de utmätta beloppen, ska av utmätningsmannen överföras till borgenären tidigast den sjunde dagen och senast den fjortonde dagen från dagen för deras mottagande. …”
16. I artikel 2.1 led 1 i ustawa o ochronie baz danych (lag om skydd för databaser) av den 27 juli 2001 (Dz. U. 2021, position 386) (nedan kallad lagen om skydd för databaser) föreskrivs följande:
”I lagen ska följande gälla:
1) med ’databas’ avses ett register med uppgifter eller andra element som sammanställts med en viss metod eller enligt en viss systematik, som var för sig är tillgängliga på alla de sätt, inbegripet elektroniskt, och som kräver en betydande kvalitativ eller kvantitativ investering för framställning, verifiering eller presentation av dess innehåll.”
17. I artikel 6.1 i lagen om skydd för databaser anges följande:
”Producenten av databasen har en exklusiv och överlåtbar rättighet till framtagning av uppgifterna och att återanvända dem i sin helhet eller i en kvalitativt eller kvantitativt sett väsentlig del.”
II. Målet vid den nationella domstolen, tolkningsfrågan och förfarandet vid domstolen
18. Bolaget I (nedan kallat käranden eller borgenärsbolaget), med säte i Polen, har en fordran, som har fastställts genom en lagakraftvunnen dom, mot bolaget NMW, som är specialiserat på försäljning via internet och i vars styrelse M.W. är styrelseledamot.
19. Ett utmätningsförfarande inleddes mot bolaget NMW på kärandens begäran för att få denna fordran betald. Detta förfarande resulterade i att utmätningsmannen beslutade att ställa in verkställigheten, eftersom bolaget NMW inte hade några tillgångar som kunde bli föremål för utmätning. Mot denna bakgrund väckte käranden talan mot M.W. vid Sąd Rejonowy dla m. st. Warszawy w Warszawie (Distriktsdomstolen i staden Warszawa) med stöd av artikel 299 § 1 i lagen om handelsbolag, enligt vilken en styrelseledamot är ansvarig för gäldenärsbolagets skulder när det inte finns någon möjlighet att betala en fordran med bolagets tillgångar.
20. M.W. bestred denna talan med motiveringen att bolaget NMW hade tillgångar som var och en hade ett värde som översteg kärandens fordringsbelopp, nämligen en källkod till en programvara för inköp via nätet, som är ansluten till något som liknar en återbetalningstjänst (cashback service) (nedan kallad M-plattformen), samt två databaser med uppgifter om användarna av denna plattform.
21. Den hänskjutande domstolen har emellertid påpekat att en försäljning av enbart M-plattformen, utan dessa databaser, inte är lika attraktivt på marknaden som att sälja hela ”paketet”.
22. Enligt den hänskjutande domstolen är det därför nödvändigt att få klarhet i huruvida de databaser som NMW har skapat får överlåtas inom ramen för ett utmätningsförfarande. Om denna fråga besvaras jakande ska talan i det nationella målet nämligen avvisas.
23. Den hänskjutande domstolen har i detta hänseende påpekat att om den inte är skyldig att följa den värdering av de omtvistade tillgångarna som M.W. har åberopat, särskilt eftersom denna värdering inte har gjorts av en sakkunnig, är ett svar på ovannämnda fråga fortfarande nödvändigt för att avgöra det nationella målet, eftersom det enligt de bestämmelser som reglerar civilrättsliga förfaranden i Polen inte är tillåtet att ta upp ett sådant bevis innan dess relevans i målet först är fastställd.
24. Den hänskjutande domstolen anser att de aktuella databaserna omfattas av begreppet databas i den mening som avses i artikel 1 i Europaparlamentets och rådets direktiv 96/9/EG av den 11 mars 1996 om rättsligt skydd för databaser,(3) vilket innebär att deras innehavare, bolaget NMW, har en äganderätt varigenom dessa databaser kan överlåtas med stöd av artikel 7 i det direktivet. Alla äganderätter kan i själva verket utmätas, såvida det inte finns någon bestämmelse som uttryckligen förbjuder detta. Den polska lagstiftaren har emellertid inte fastställt några normer som skulle förbjuda utmätning av en databas såsom den som är i fråga i det nationella målet.
25. Den hänskjutande domstolen hyser tvivel om huruvida sådana databaser kan bli föremål för utmätning, eftersom de innehåller personuppgifter om hundratusentals användare av M-plattformen och eftersom det inte finns några bevis för att användarna av den plattformen har gett sitt samtycke till att deras personuppgifter behandlas genom att dessa görs tillgängliga för tredje man, utanför nämnda plattform. Den hänskjutande domstolen har i detta hänseende påpekat att de aktuella uppgifterna inte omfattas av de särskilda kategorier av personuppgifter som avses i artikel 9 i dataskyddsförordningen.
26. Den hänskjutande domstolen vill även få klarhet i förhållandet mellan de begränsningar av behandlingen av personuppgifter som fastställs i dataskyddsförordningen och den rätt att fritt förfoga över en databas som följer av direktiv 96/9 och av nationell rätt, vilken enligt den hänskjutande domstolens mening inbegriper rätten att överlåta databasen inom ramen för ett utmätningsförfarande.
27. Mot denna bakgrund har Sąd Rejonowy dla m.st. Warszawy w Warszawie (Distriktsdomstolen i staden Warszawa) beslutat att vilandeförklara målet och att hänskjuta följande tolkningsfråga till EU-domstolen:
”Ska artikel 5.1 a jämförd med artiklarna 6.1 a, 6.1 c, 6.1 e samt artikel 6.3 i [dataskyddsförordningen] tolkas så, att den utgör hinder för en nationell bestämmelse enligt vilken det är tillåtet att i ett utmätningsförfarande sälja en databas i den mening som avses i artikel 1.2 i … [direktiv 96/9/] … som innehåller personuppgifter, när de personer som personuppgifterna avser inte har gett sitt samtycke till en sådan försäljning?”
28. Den polska regeringen och Europeiska kommissionen har inkommit med skriftliga yttranden. Dessa berörda parter samt bolaget I hördes muntligen vid förhandlingen den 16 november 2023.
Bedömning
Huruvida tolkningsfrågan kan tas upp till prövning
29. Först bör en behandling göras av två frågor om huruvida den aktuella tolkningsfrågan kan tas upp till prövning.
30. För det första uttryckte käranden i det nationella målet tvivel vid förhandlingen om huruvida denna tolkningsfråga är relevant. Enligt denna part upphörde bolaget NMW med sin näringsverksamhet redan för några år sedan. Det bolaget har närmare bestämt inte längre någon styrelse eller ledning och har inte tillhandahållit några tjänster till M-plattformens användare sedan april 2019.(4) Bolaget har därmed utan tvekan upphört med all behandling av personuppgifter i samband med dess verksamhet. Under dessa omständigheter kräver principerna om ändamålsbegränsning och lagringsminimering att de berörda uppgifterna ska raderas, och om så inte sker är de databaser som är i fråga i det nationella målet olagliga. Mot denna bakgrund är den fråga som den hänskjutande domstolen har ställt, om huruvida det är lagligt att sälja dessa databaser inom ramen för ett utmätningsförfarande, irrelevant för avgörandet av det nationella målet.
31. Det ska påpekas att enligt artikel 5.1 e i dataskyddsförordningen får personuppgifter(5) inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Härav följer att även en behandling av uppgifter som inledningsvis är laglig med tiden kan bli oförenlig med dataskyddsförordningen, om uppgifterna inte längre är nödvändiga för att uppnå dessa ändamål.(6) I ett sådant fall ska uppgifterna utplånas.(7) I förevarande fall har uppgifterna i fråga med all säkerhet insamlats för den försäljning på nätet som NMW har bedrivit. Om NMW upphörde med denna verksamhet i april 2019 råder det knappast något tvivel om att de uppgifterna inte längre var nödvändiga för att bedriva verksamheten och därför skulle raderas. Om uppgifterna inte har raderats strider de aktuella databaserna mot dataskyddsförordningen, varvid det är uppenbart att förevarande tolkningsfråga saknar relevans för avgörandet av det nationella målet.
32. Mot denna bakgrund ska det erinras om att enligt domstolens fasta praxis är EU-domstolen endast behörig att uttala sig om tolkningen av unionsrätten mot bakgrund av den beskrivning av målet och tillämplig lagstiftning som den nationella domstolen på eget ansvar har lämnat, utan att kunna ifrågasätta eller pröva riktigheten av denna.(8)
33. Det framgår emellertid inte av någon punkt i beslutet om hänskjutande att bolaget NMW upphörde med sin verksamhet i april 2019, såsom käranden har hävdat.
34. För det andra hyser den hänskjutande domstolen tvivel om huruvida dataskyddsförordningen är tillämplig med hänsyn till bestämmelserna i direktiv 96/9.
35. Det ska inledningsvis erinras om att syftet med direktiv är att genom en tillnärmning av de nationella rättsordningarna undanröja olikheter i desamma, såvitt avser rättsligt skydd för databaser, eftersom dessa olikheter ger upphov till hinder för den inre marknadens funktion, för den fria rörligheten för varor och tjänster inom unionen samt för upprättandet av en informationsmarknad inom unionen.(9) Enligt artikel 1.1 avser direktivet rättsligt skydd för alla slags databaser, varvid det preciseras i artikel 1.2 att med ”databas” avses ”en samling av verk, data eller andra självständiga element som sammanställts på ett systematiskt och metodiskt sätt och som var för sig är tillgänglig genom elektroniska medier eller på något annat sätt”.
36. Enligt nämnda direktiv ska alla medlemsstater i sin nationella lagstiftning föreskriva att databaser ska skyddas genom en rätt av sitt eget slag. Närmare bestämt förbehåller artikel 7.1 i direktiv 96/9 en producent av en databas som har krävt en kvantitets- eller kvalitetsmässigt sett väsentlig investering rätten att förbjuda utdrag och/eller återanvändning av hela eller en väsentlig del av databasens innehåll. Denna rätt kan överlåtas enligt artikel 7.3 i det direktivet.
37. Den hänskjutande domstolen anser att bolaget NMW:s databaser uppfyller villkoren för att omfattas av det skydd som säkerställs genom lagen om skydd för databaser och direktiv 96/9, varvid den förstnämnda lagen utgör ett införlivande av direktivet med den polska rättsordningen. I artikel 6 i den lagen förskrivs bland annat att producenten har en exklusiv och överlåtbar rätt till utdrag av uppgifterna och att återanvända dem i sin helhet eller i en väsentlig del. Enligt den hänskjutande domstolen rör det sig således om en absolut äganderätt med allmängiltig (erga omnes) verkan. Enligt polsk rätt kan varje äganderätt bli föremål för ett utmätningsförfarande, såvida inte ett undantag uttryckligen föreskrivs i lag. Den polska lagstiftaren har dock inte fastställt några normer som förbjuder utmätning av databaser. Härav följer att utmätningsmannen i förevarande fall har befogenhet att överlåta databaserna för fordringsägarens räkning, vilken följer av den rätt som den berörda producenten i utmätningsförfarandet har att fritt förfoga över dessa. Åberopandet av denna rättighet kan utgöra hinder för att tillämpa bestämmelserna i dataskyddsförordningen i ett fall som det här aktuella och därmed innebära att förevarande fråga inte kan tas upp till prövning.
38. Det ska först och främst påpekas att den hänskjutande domstolen inte har gjort någon korrekt bedömning av den rätt av sitt eget slag som fastställs i artikel 7 i det direktivet. Det rör sig i själva verket om en rätt att invända mot handlingar som bland annat består i att återskapa databasen eller en väsentlig del därav till en betydligt lägre kostnad än vad det kostar att själv skapa den,(10) och unionslagstiftarens syfte med detta är garantera att den person som tagit initiativet till och risken med att göra en väsentlig investering för anskaffning, granskning eller presentation av innehållet i en databas får ersättning för sin investering genom ett skydd mot att en användare eller en konkurrent på ett otillåtet sätt tillägnar sig resultaten av investeringen.(11)
39. Vad dessutom och framför allt gäller förhållandet mellan direktiv 96/9 och dataskyddsförordningen, framgår det av direktivets artikel 13 att det direktivet inte ska påverka tillämpningen av andra bestämmelser rörande bland annat skydd av personuppgifter och privatliv. Vidare framgår av skäl 48 i det direktivet att dess bestämmelser inte ska påverka tillämpningen av dataskyddsbestämmelserna i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter,(12) vilket har ersatts av dataskyddsförordningen.(13)
40. Jag anser således att EU-domstolen ska pröva förevarande mål i sak.
Prövning i sak
41. Genom sin fråga vill den hänskjutande domstolen, i huvudsak, få klarhet i huruvida artiklarna 5.1 a, 6.1 första stycket a, c och e samt 6.3 i dataskyddsförordningen ska tolkas så, att de utgör hinder för en nationell bestämmelse enligt vilken det är tillåtet för en utmätningsman att i ett utmätningsförfarande sälja en databas som innehåller personuppgifter, när de personer som personuppgifterna avser inte har gett sitt samtycke till en sådan försäljning.
42. Jag kommer att göra min rättsliga bedömning enligt följande: Vad dataskyddsförordningen beträffar kommer jag att behandla frågan om huruvida den förordningen är tillämplig i förevarande fall och den om identifieringen av den personuppgiftsansvarige i fråga, och därefter fokusera på tolkningen av de bestämmelser som reglerar lagligheten av en sådan behandling.
43. Av resonemanget i förevarande förslag till avgörande kommer det att framgå att de unionsrättsliga bestämmelser som EU-domstolen har att beakta endast delvis överensstämmer med dem som har tagits upp i tolkningsfrågan. Det föreslagna svaret kommer därför enbart att avse de bestämmelserna.(14)
Förekomsten av behandling och identifiering av den personuppgiftsansvarige
44. Såsom framgår av skäl 10 i dataskyddsförordningen syftar den förordningen till att säkra en enhetlig och hög skyddsnivå för fysiska personer inom unionen, och till att säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter i hela unionen.(15)
45. Enligt artikel 2.1 i dataskyddsförordningen ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk när uppgifterna ingår i eller kommer att ingå i ett register.
46. I förordningens artikel 2.2 föreskrivs ett antal undantag för tillämpningen av nämnda förordning, vilka grundar sig på typen av den verksamhet inom ramen för vilken behandlingen utförs. Det framgår av domstolens praxis att eftersom dessa undantag ska restriktivt, måste denna verksamhet ingå bland sådan som uttryckligen nämns i artikel 2.2 i dataskyddsförordningen eller kunna placeras i samma kategori som denna. Den omständigheten att en verksamhet endast kan bedrivas av staten eller av en myndighet räcker således inte för att behandlingen i fråga ska kunna anses utföras som ett led i en verksamhet som inte omfattas av unionsrätten enligt det undantag som återfinns i artikel 2.2 a i dataskyddsförordningen.(16)
47. Såvitt här är av intresse ska det påpekas att den behandling som utförs inom ramen för verkställighet av ett civilrättsligt krav inte faller utanför förordningens tillämpningsområde.
48. Gränserna för dataskyddsförordningens tillämpningsområde bestäms genom begreppet behandling. Enligt artikel 4.2 i förordningen omfattar det begreppet en åtgärd beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, däribland ”framtagning”, ”läsning”, ”användning” och ”tillhandahållande på annat sätt” av dessa uppgifter. Unionslagstiftaren har således haft för avsikt att ge nämnda begrepp en omfattande räckvidd.(17)
49. Förekommer någon behandling av personuppgifter i förevarande fall?
50. För detta krävs ett inledande förtydligande. Den behandling av personuppgifter som bolaget NMW har utfört för bedrivandet av sin nätbaserade försäljningsverksamhet genom M-plattformen omfattas inte av den fråga som den hänskjutande domstolen har ställt. Den frågan avser uteslutande det utmätningsförfarande som avser en exekutiv försäljning av de berörda databaserna. Enligt den hänskjutande domstolen utgör ett sådant förfarande en behandling i den mening som avses i dataskyddsförordningen, vilken utmätningsmannen är ansvarig för.
51. De klargöranden som den polska regeringen gjorde under förhandlingen i fråga om det uppdrag som utmätningsmannen har inom ramen för ett sådant utmätningsförfarande lämnar, enligt min mening, inte något tvivel om att den tolkningen är korrekt.
52. Regeringen har förklarat att förfarandet i fråga inleds med att databasen utmäts och att utmätningsmannen därigenom får tillgång till de personuppgifter som finns i denna för att uppskatta dess värde och ange detta i utmätningsprotokollet. För en sådan värdering utför utmätningsmannen en rad åtgärder, som innefattar framtagning, läsning och användning av dessa uppgifter.(18) Utmätningsförfarandet avslutas med att databasen säljs på offentlig aktion. När auktionen har avslutats och hela priset har betalats gör utmätningsmannen databasen tillgänglig för köparen.
53. Härav följer att de personuppgifter som finns i de aktuella databaserna åtminstone har tagits fram, lästs och använts av utmätningsmannen i samband med att denne värderade databaserna och därefter gjorts tillgängliga för köparen. Det ska i detta hänseende påpekas att en behandling av personuppgifter kan bestå av flera åtgärder, som i var och en av de olika leden kan innehålla en behandling av personuppgifter.(19) I förevarande fall ska dessa åtgärder därför anses utgöra en ”behandling” i den mening som avses i dataskyddsförordningen.
54. Nu återstår att identifiera den personuppgiftsansvarige.
55. Jag vill erinra om att begreppet personuppgiftsansvarig enligt artikel 4.7 i dataskyddsförordningen omfattar fysiska eller juridiska personer, offentliga myndigheter, institutioner och andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.(20) I den bestämmelsen föreskrivs även att om ändamålen och medlen för behandlingen bestäms bland annat av en medlemsstats nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i nämnda nationella rätt. En sådan vid definition av begreppet personuppgiftsansvarig syftar, enligt fast rättspraxis, till att säkerställa ett effektivt och fullständigt skydd för de berörda personerna.(21)
56. När ändamålen med och medlen för behandlingen bestäms av nationell rätt ska det, enligt senaste rättspraxis, prövas huruvida det i nationell rätt föreskrivs särskilda kriterier för hur denne ska utses. Fastställandet av denne ansvarige enligt nationell rätt kan inte bara vara uttryckligt utan även underförstått. I det senare fallet krävs det emellertid att detta bestämmande på ett tillräckligt säkert sätt följer av den roll, det uppdrag och de befogenheter som tilldelats den berörda personen eller enheten.(22)
57. I förevarande fall följer det av artikel 3.1 i den polska lagen om utmätningsmän att utmätningsmannen är en offentlig myndighet som, med förbehåll för de undantag som föreskrivs i lagen, utför handlingar särskilt i samband med utmätningsförfaranden. Dessutom och såsom har nämnts ovan, framgår det av handlingarna i målet att när utmätningen avser databaser består dessa handlingar bland annat i framtagning, läsning och användning av de personuppgifter som finns i dessa i samband med en värdering av de databaserna för försäljning på offentlig auktion samt i att göra databaserna tillgängliga för köparen när auktionen har avslutats. Det förefaller mig som om den polska lagstiftningen därmed, åtminstone underförstått, har fastställt ändamålen med och medlen för den behandling av personuppgifter som utmätningsmannen utför.
58. Härav följer att utmätningsmannen, i egenskap av en offentlig myndighet med ansvar för att genomföra utmätningsförfaranden av alla dess slag, inbegripet sådana som avser en databas, kan anses vara personuppgiftsansvarig för personuppgifterna i databasen i förevarande fall, enligt artikel 4.7 i dataskyddsförordningen.
59. Den hänskjutande domstolen har inte hänvisat till någon bestämmelse i polsk rätt enligt vilken gäldenärsbolaget NMW är skyldigt att samarbeta med utmätningsmannen för att denne ska kunna värdera de berörda databaserna för en exekutiv försäljning av dem.
60. Det kan inte uteslutas att sådana förpliktelser skulle innebära att det utförs en annan behandling i den mening som avses i dataskyddsförordningen, vilken nämnda bolag är ansvarigt för. Det ska i detta hänseende erinras om att domstolen, i domen i målet Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål), fann att en ekonomisk aktörs utlämnande och tillhandahållande av personuppgifter till skattemyndigheten i en medlemsstat vilka denne enligt lag är skyldig att lämna utgör en sådan behandling, som kommer utöver den behandling som den myndigheten utför genom begäran om att dessa uppgifter ska lämnas ut och tillhandahållas.(23)
61. Det är mindre sannolikt, om än teoretiskt sett tänkbart, att utmätningsmannen och gäldenärsbolaget NMW kan hållas gemensamt ansvariga för den behandling av de aktuella personuppgifterna som har utförts för den exekutiva försäljningen. Enligt domen i målet État belge (Données traitées par un journal officiel) kan denna slutsats dras när de olika behandlingsformerna förenas av ändamål och medel som fastställs i nationell rätt och när de skyldigheter som åligger var och en av de gemensamt personuppgiftsansvariga fastställs i nationell rätt.(24)
62. Med tanke på detta utgår följande analys, mot bakgrund av omständigheterna i förevarande fall, från antagandet att utmätningsmannen är ensam ansvarig för den behandling som är aktuell i det nationella målet.
63. I egenskap av personuppgiftsansvarig är utmätningsmannen inte bara ansvarig för att följa de principer som styr behandling av personuppgifter,(25) utan har även ett betydande antal skyldigheter, vilka motsvarar de registrerades rättigheter.(26) Dessa skyldigheter kan endast begränsas av den nationella lagstiftaren i enlighet med de villkor som föreskrivs i artikel 23 i nämnda förordning. Som svar på frågan vid förhandlingen huruvida sådana bestämmelser finns i nationell rätt, hänvisade den polska regeringen endast till artikel 4 i lagen om uppgiftsskydd. Denna artikel begränsar dock enbart omfattningen av de skyldigheter för en personuppgiftsansvarig som utför ett offentligt uppdrag som följer av artikel 14.1, 14.2 och 14.4 i dataskyddsförordningen (”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”).
Huruvida den aktuella behandlingen av personuppgifterna är laglig
64. Såsom domstolen vid upprepade tillfällen har slagit fast ska all behandling av personuppgifter i synnerhet stå i överensstämmelse med de principer för behandling av personuppgifter som anges i artikel 5.1 i dataskyddsförordningen och, med hänsyn till principen om laglig behandling, uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning.(27)
65. Artikel 6.1 första stycket i nämnda förordning innehåller en uttömmande och restriktiv uppräkning av fall där en behandling av personuppgifter kan anses vara laglig. För att kunna kvalificeras som laglig måste behandlingen omfattas av något av dessa fall. Det ska emellertid erinras om att den aktuella behandlingen inte omfattas av det första fall som anges i den bestämmelsen, det vill säga det där den registrerade har lämnat sitt samtycke till att personuppgifterna behandlas för ett eller flera specifika ändamål.(28) Såsom framgår av beslutet om hänskjutande har det i det nationella målet inte tagits upp några bevis som visar att de personer som berörs av de personuppgifter som har samlats in i de aktuella databaserna har gett sitt samtycke till att deras uppgifter delas med tredje man utanför den verksamhet som är knuten till M-plattformen och i synnerhet inte till att de säljs efter ett utmätningsförfarande.
66. Enligt den nationella domstolen skulle utmätningsmannens behandling kunna omfattas av artikel 6.1 första stycket c i dataskyddsförordningen (behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige) eller av artikel 6.1 första stycket e i den förordningen (behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller en uppgift som är ett led i den personuppgiftsansvariges myndighetsutövning).(29)
67. Såsom den hänskjutande domstolen har påpekat har utmätningsmannen ställning som myndighet, enligt artikel 3 i lagen om utmätningsmän. Enligt min mening är det svårt att hävda att de åtgärder som denne har anförtrotts i samband med inledandet av en utmätning i syfte att ersätta borgenären inte utgör ett utförande av en uppgift som är ett led i utmätningsmannens myndighetsutövning.
68. Det är dessutom inte svårt att finna att det fall som avses i artikel 6.1 första stycket c i dataskyddsförordningen är tillämpligt på situationen i förevarande fall. Det ska i detta hänseende påpekas att den bestämmelsens tillämpningsområde är strikt avgränsat. Såsom framgår av yttrande 6/2014 från artikel 29-arbetsgruppen(30) måste nämligen den rättsliga förpliktelse som åvilar den personuppgiftsansvarige vara tillräckligt tydlig när det gäller den behandling av personuppgifter som krävs. Detta innebär i synnerhet att det måste finnas rättsliga bestämmelser som innehåller en uttrycklig hänvisning till arten av och syftet med behandlingen.(31)
69. Jag anser inte att de bestämmelser som den hänskjutande domstolen har hänvisat till, det vill säga artiklarna 3.1, 9.1.1 och 31.1 första meningen i lagen om utmätningsmän samt artiklarna 796.1 och 799.1 första meningen i civilprocesslagen kan anses vara sådana i förevarande fall, eftersom det av de bestämmelserna endast framgår att utmätningsmannen, i sin egenskap av offentlig myndighet, är skyldig att efterkomma varje begäran om inledande av utmätning med utnyttjande av alla tillgängliga utmätningsmedel. Den polska lagstiftningen tycks närmare bestämt inte innebära någon rättslig förpliktelse för utmätningsmannen att utföra exekutiv försäljning av en databas som innehåller personuppgifter. Det ska påpekas i detta hänseende att enligt artikel 831.1.3 i civilprocesslagen får utmätning inte göras av ”rättigheter som inte kan överföras”, vilket kan förstås som ett förbud mot att överlåta en databas om denna skulle strida mot dataskyddsförordningen.
70. Det måste inte under några omständigheter uteslutas att även detta sistnämnda fall är tillämpligt här. Domstolen har nämligen förklarat att en och samma behandling kan omfattas av flera fall av laglig behandling, även om det räcker att endast ett av dessa är tillämpligt för att behandlingen ska vara laglig, såsom bekräftas av ordalydelsen i artikel 6.1 första stycket i dataskyddsförordningen.(32)
71. Den aktuella behandlingen omfattas således, enligt min mening, av det fall av laglig behandling som anges i artikel 6.1 första stycket e i dataskyddsförordningen.
72. Det ska påpekas att det fallet innebär att hänsyn måste tas till ett annat villkor för att behandlingen ska vara laglig. I artikel 6.3 i dataskyddsförordningen preciseras nämligen att den grund för behandlingen som avses bland annat i artikel 6.1 första stycket e i den förordningen ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och att den ska vara proportionell mot det legitima mål som eftersträvas.(33)
73. Enligt artikel 6.1 första stycket e jämförd med artikel 6.3 i dataskyddsförordningen, krävs således att det finns en rättslig grund, bland annat i nationell rätt, som ger stöd för personuppgiftsansvarigas behandling av personuppgifter som bland annat sker i samband med att de utför en uppgift som ett led i deras myndighetsutövning, såsom den behandling som utmätningsmannen utför inom ramen för utmätning av ett bolags tillgångar.(34)
74. Enligt min mening utgörs denna rättsliga grund av alla de bestämmelser i polsk rätt som nämns i punkt 69 första meningen i förevarande förslag till avgörande, av vilka det framgår att utmätningsmannen, i egenskap av offentlig myndighet, är skyldig att efterkomma varje begäran om inledande av utmätning med utnyttjande av alla tillgängliga utmätningsmedel.
75. Frågan huruvida den aktuella behandlingen är förenlig med dataskyddsförordningen kräver slutligen att en ytterligare rättslig frågeställning, som är central i förevarande mål, behandlas.
76. Jag konstaterar nämligen att syftet med utmätningsmannens behandling av personuppgifterna, det vill säga den exekutiva försäljningen av databaser som innehåller uppgifter om M-plattformens användare för att ersätta bolaget NMW:s borgenärer, skiljer sig från det ursprungliga syftet med det bolagets behandling av personuppgifterna, vilket var att M-plattformen skulle kunna användas för nämnda bolags verksamhet med försäljning på nätet.
77. Det ska i detta sammanhang erinras om att enligt artikel 5.1 b i dataskyddsförordningen, där principen om ”ändamålsbegränsning” fastställs, ska personuppgifter dels samlas in för särskilda, uttryckligt angivna och berättigade ändamål, dels inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Den bestämmelsen innehåller emellertid inte några uppgifter om under vilka omständigheter en senare behandling av personuppgifter kan anses vara förenlig med ändamålen med den ursprungliga insamlingen av dessa uppgifter.(35)
78. Det följer av artikel 6.4 i dataskyddsförordningen, jämförd med skäl 50 i samma förordning,(36) att det vid prövningen av en sådan förenlighet ska beaktas en rad icke-uttömmande kriterier som anges i den bestämmelsen.
79. Med beaktande av de kriterierna i förevarande fall är det uppenbart att frågan om huruvida behandlingen är förenlig med de aktuella ändamålen inte kan besvaras jakande. Såsom domstolen nyligen har påpekat ger dessa kriterier uttryck för behovet av ett konkret, logiskt och tillräckligt nära samband mellan ändamålet med den ursprungliga insamlingen av personuppgifterna och den senare behandlingen av dem, och de gör det även möjligt att säkerställa att sådan senare behandling inte avviker från de registrerades berättigade förväntningar på hur deras uppgifter kan komma att användas.(37) Ett sådant samband kan emellertid inte fastställas i förevarande mål.
80. Det framgår under alla omständigheter av artikel 6.4 första meningen i dataskyddsförordningen att förenligheten med ändamålen endast måste bedömas ”[o]m en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1 [i dataskyddsförordningen]”.
81. I förevarande fall är det fastställt att M-plattformens användare inte har gett sitt samtycke till en behandling för ett annat ändamål än det för vilket deras personuppgifter har samlats in. Frågan är således huruvida en sådan behandling grundar sig på nationell rätt eller på unionsrätten och om den kan anses vara en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att uppnå något av de mål som anges i artikel 23.1 i dataskyddsförordningen.
82. I detta hänseende anser jag att det först och främst måste klargöras att domstolen har tolkat detta villkor som ett verkligt undantag från principen om ändamålsbegränsning. Domstolen har hänvisat till skäl 50 i dataskyddsförordningen och angett att den personuppgiftsansvarige därmed har rätt att vidarebehandla personuppgifterna i fråga oberoende av om vidarebehandlingen är förenlig med det ursprungliga behandlingsändamålet, för att skydda de viktiga mål av allmänt intresse som anges i artikel 23.1 i dataskyddsförordningen. Domstolen drog således slutsatsen att artikel 6.4 första meningen i den förordningen är tillämplig på edition av en handling som innehåller personuppgifter som avser andra än de enskilda parterna själva och som har samlats in huvudsakligen för skattekontroll, på beslut av en domstol i ett tvistemål.(38)
83. Denna tolkning är kanske inte tillfredsställande för dem som anser att skyddet av personuppgifter enbart borde få begränsas genom nationell lagstiftning, men enligt min mening är den dock helt förenlig med unionslagstiftarens avsikter. Det ska nämligen erinras om att det i motiveringen till rådets ståndpunkt i förarbetena till dataskyddsförordningen, kanske ännu tydligare än i skäl 50 i denna förordning, ges uttryck för valet att ge den personuppgiftsansvarige ett noggrant avgränsat utrymme att behandla personuppgifterna i strid med de ändamål som angavs vid tidpunkten för insamlingen av de personuppgifter som behandlingen avser.(39)
84. Eftersom det redan har fastställts att det finns en rättslig grund för den aktuella behandlingen i förevarande fall, ska det därefter avgöras huruvida den behandlingen syftar till att skydda de mål som anges i artikel 23 i dataskyddsförordningen.
85. Jag noterar att ett av dessa mål, enligt dataskyddsförordningens artikel 23.1 j, är ”verkställighet av civilrättsliga krav”. Det förefaller mig som om den aktuella behandlingen av personuppgifterna kan säkerställa att det målet uppnås. Det ska i detta hänseende påpekas att enligt den hänskjutande domstolen framgår syftet med den behandlingen av en tolkning av artikel 911 i civilprocesslagen, jämförd med artikel 31.1 första meningen i lagen om utmätningsmän, enligt vilka utmätningsmannen har rätt att sälja databasen och därefter överföra det belopp som har erhållits genom denna exekutiva försäljning till borgenären.
86. Den hänskjutande domstolen har behörighet att pröva huruvida utmätningsmannens behandling inom ramen för utmätningsförfarandet utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att uppnå målet att säkerställa verkställighet av civilrättsliga krav. Det ankommer emellertid på EU-domstolen att, på grundval av de uppgifter som finns tillgängliga, ge den hänskjutande domstolen alla upplysningar vad gäller unionsrätten som är nödvändiga för denna bedömning.(40)
87. Vad gäller nödvändigheten är det fastslaget att en åtgärd är nödvändig när det eftersträvade målet inte kan uppnås genom en lika lämplig men mindre ingripande åtgärd. Är det med andra ord möjligt att säkerställa verkställighet av borgenärsbolagets krav genom andra åtgärder som är lika effektiva men som inskränker M‑plattformanvändarnas rätt till privatliv och skydd av personuppgifter? I detta hänseende nöjer jag mig med att påpeka att enligt den hänskjutande domstolen går det inte att ersätta borgenärsbolaget med hjälp av gäldenärsbolagets tillgångar utan att genomföra en exekutiv försäljning av de berörda databaserna.
88. Vad gäller proportionaliteten kräver bedömningen av detta villkor en avvägning mellan de motstående intressen som gör sig gällande med hänsyn till de faktiska omständigheterna i det enskilda fallet.
89. Det första av dessa intressen, som är en grundläggande rättighet enligt artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16 FEUF, består i förevarande fall i att skydda M-plattformens användare med avseende på behandlingen av personuppgifterna. Nära knuten till denna rättighet är rätten till respekt för privatlivet, som slås fast i artikel 7 i stadgan. Såsom anges i skäl 4 i dataskyddsförordningen är rätten till skydd av personuppgifter inte en absolut rättighet, utan bör förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. En av dessa rättigheter är rätten till egendom, som anges i artikel 17 i stadgan. Försäljning av en databas som tillhör gäldenären inom ramen för ett utmätningsförfarande bidrar dock, enligt min mening, till respekten för den rätt till egendom som tillkommer innehavaren av en rättsligt fastställd fordran.
90. Det ska i detta hänseende erinras om att artikel 17 i stadgan motsvarar artikel 1 i tilläggsprotokollet till den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950 (nedan kallad Europakonventionen), varvid dess innebörd och räckvidd, enligt artikel 52.3 i stadgan, är desamma som artikel 1 ges i Europakonventionen.
91. Enligt Europadomstolens praxis innebär rätten till egendom att staterna är bundna av den positiva skyldigheten att införa ett system för verkställighet av domstolsavgöranden som är effektivt i såväl faktiskt som rättsligt hänseende och som gör det möjligt att säkerställa att de förfaranden som har införts genom lagstiftningen för att verkställa slutliga domstolsavgöranden genomförs utan onödigt dröjsmål.(41) Om borgenären är en privat aktör är staten skyldig att ge borgenären nödvändigt bistånd vid verkställigheten av de aktuella domstolsavgörandena, exempelvis genom en utmätningsman.(42) När myndigheterna är skyldiga att ingripa för att verkställa en dom och de underlåter att göra detta, kan denna underlåtenhet leda till att staten ådrar sig skadeståndsansvar bland annat på grundval av artikel 1 i tilläggsprotokoll nr 1 till Europakonventionen.(43)
92. Vid bedömningen av denna avvägning mellan rätten till egendom, å ena sidan, och rätten till skydd av personuppgifter och respekt för privatlivet, å andra sidan, finns det en specifik omständighet som framgår av handlingarna i målet som, enligt min mening, kan beaktas.
93. Enligt beslutet om hänskjutande finns det inte någon bestämmelse i polsk rätt som inför subjektiva begränsningar vad gäller köparen av en databas, utan det enda villkoret är att köparen har rättskapacitet. Detta innebär att den tredje köparen också kan vara en enhet utanför Europeiska unionen som, i denna egenskap, inte är skyldig att följa de bestämmelser i fråga om behandling av personuppgifterna som föreskrivs i dataskyddsförordningen.
94. I en sådan situation förefaller det mig som om den aktuella behandlingen innebär en alltför stor försakelse av rätten till skydd av personuppgifter och därför inte kan anses vara en proportionell åtgärd. En sådan konsekvens kan undvikas exempelvis genom en nationell rättsregel enligt vilken utmätningsmannen ska införa en klausul i de specifikationer som ska upprättas för auktionen om att en tredje köpare ska följa bestämmelserna i dataskyddsförordningen.
Förslag till avgörande
95. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen besvarar tolkningsfrågan från Sąd Rejonowy dla m. st. Warszawy w Warszawie (Distriktsdomstolen i staden Warszawa, Polen) på följande sätt:
Artikel 6.1 första stycket e, 6.3 och 6.4 första meningen i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas så,
att den inte utgör hinder för en nationell bestämmelse enligt vilken det är tillåtet för en utmätningsman att i ett utmätningsförfarande sälja en databas som innehåller personuppgifter, när de personer som personuppgifterna avser inte har gett sitt samtycke till en sådan försäljning, på villkor att den behandling som utmätningsmannen utför av dessa uppgifter utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa verkställighet av ett civilrättsligt krav.