Förslag till avgörande av generaladvokat Pikamäe – Mål C‑77/21 Digi

1. Under vilka omständigheter får en leverantör av internet- och televisionstjänster som lagligt har samlat in och lagrat sina kunders personuppgifter lagra dessa uppgifter på ytterligare ett internt lagringsmedium utan kundernas uttryckliga samtycke i syfte att åtgärda ett tekniskt fel?

2. Detta är en av de frågor som har ställts i förevarande mål, vilket ger domstolen möjlighet att komplettera sin alltmer omfattande praxis avseende förordning (EU) 2016/679, särskilt när det gäller principerna om ändamålsbegränsning och lagringsminimering, vilka fastställs i artikel 5.1 b och e i denna förordning.

I. Tillämpliga bestämmelser

3. De relevanta bestämmelserna i förevarande mål utgörs av artiklarna 4–6, 13 och 32 i dataskyddsförordningen.

II. Målet vid den nationella domstolen och tolkningsfrågorna

4. Digi Távközlési és Szolgáltató Kft. (nedan kallat Digi) är en av de huvudsakliga leverantörerna av internet- och televisionstjänster i Ungern.

5. I april 2018 skapade Digi, till följd av ett tekniskt fel som påverkade en servers funktion, en databas kallad ”test” och kopierade över personuppgifterna för omkring en tredjedel av sina privatkunder till den.

6. Den 23 september 2019 fick Digi vetskap om att en hackare hade kommit åt personuppgifterna för omkring 322000 personer. Det var hackaren själv som skriftligen underrättade företaget om attacken genom ett e‑postmeddelande av den 21 september 2019. Som bevis bifogades en rad som hade extraherats ur testdatabasen. Digi åtgärdade säkerhetshålet och ingick ett sekretessavtal med vederbörande och erbjöd denne en belöning.

7. Efter att ha raderat testdatabasen anmälde Digi den 25 september 2019 personuppgiftsincidenten till Nemzeti Adatvédelmi és Információszabadság Hatóság (nationell myndighet med ansvar för uppgiftsskydd och informationsfrihet) (nedan kallad tillsynsmyndigheten), som inledde en utredning.

8. I ett beslut av den 18 maj 2020 konstaterade tillsynsmyndigheten att Digi hade brutit mot artikel 5.1 b och e i dataskyddsförordningen, eftersom företaget inte hade raderat testdatabasen när nödvändiga tester hade utförts och problemen hade åtgärdats, vilket innebar att ett stort antal personuppgifter lagrades i testdatabasen under närmare 18 månader utan något ändamål, i ett register som kunde möjliggöra identifiering av de registrerade, och att underlåtenheten att radera denna databas hade gett upphov till ett åsidosättande av personuppgiftsbestämmelser. Tillsynsmyndigheten konstaterade vidare att Digi hade brutit mot artikel 32.1 och 32.2 i dataskyddsförordningen. Under dessa omständigheter påförde tillsynsmyndigheten Digi en sanktionsavgift om 100000000 ungerska forinter (HUF) (cirka 270000 euro).

9. Digi bestred beslutets rättsenlighet vid den hänskjutande domstolen.

10. Den hänskjutande domstolen har påpekat att de personuppgifter som Digi kopierade över till testdatabasen hade samlats in i syfte att ingå abonnemangsavtal och att tillsynsmyndigheten inte ifrågasatte huruvida insamlingen av uppgifterna var laglig. Den hänskjutande domstolen vill emellertid få klarhet i huruvida ändamålet med insamlingen och behandlingen av uppgifterna ändras på grund av den omständigheten att uppgifterna, som samlats in för ett bestämt ändamål, kopieras över till en annan databas. Den har tillagt att den också måste avgöra huruvida skapandet av en testdatabas och den fortsatta behandlingen av kundernas uppgifter på detta sätt är förenligt med ändamålet med insamlingen av dessa uppgifter. Principen om ändamålsbegränsning ger inga tydliga anvisningar om i vilka interna system den personuppgiftsansvarige har rätt att behandla de lagligt insamlade uppgifterna eller om denne kan kopiera över uppgifterna till en testdatabas utan att ändamålet med insamlingen av uppgifterna ändras.

11. För det fallet att skapandet av testdatabasen är oförenligt med insamlingens ändamål vill den hänskjutande domstolen även få klarhet i huruvida den nödvändiga lagringstiden – då ändamålet med behandlingen av kunduppgifterna i en annan databas inte är att åtgärda fel, utan att ingå avtal – ska anpassas efter den tid som är nödvändig för att åtgärda felen eller i stället efter den tid som är nödvändig för att fullgöra avtalsskyldigheterna.

12. Mot denna bakgrund beslutade Fővárosi Törvényszék (Överdomstolen för Budapests stad, Ungern) att vilandeförklara målet och ställa följande frågor till domstolen:

”1) Ska begreppet ’ändamålsbegränsning’ som definieras i artikel 5.1 b i [dataskyddsförordningen] tolkas så, att den omständigheten att den personuppgiftsansvarige parallellt i en annan databas lagrar vissa personuppgifter som för övrigt har inhämtats och lagrats för ett begränsat berättigat ändamål är förenlig med det begreppet, eller är det begränsade berättigade ändamålet med inhämtandet av uppgifterna inte längre giltigt när det gäller den parallella databasen?

2) För det fallet att den första tolkningsfrågan besvaras så att den parallella lagringen av uppgifterna i sig är oförenlig med principen om ’ändamålsbegränsning’, är då den omständigheten att den personuppgiftsansvarige parallellt i en annan databas lagrar vissa personuppgifter som för övrigt har inhämtats och sparats för ett begränsat berättigat ändamål, förenlig med principen om ’lagringsminimering’ som föreskrivs i artikel 5.1 e i dataskyddsförordningen?”

III. Förfarandet vid domstolen

13. Klaganden och motparten i det nationella målet, den ungerska, den tjeckiska och den portugisiska regeringen samt Europeiska kommissionen har inkommit med skriftliga yttranden. Vid förhandlingen den 17 januari 2022 utvecklade klaganden och motparten i det nationella målet sin talan, liksom den ungerska regeringen och kommissionen.

IV. Bedömning

A. Upptagande till prövning

14. Tillsynsmyndigheten och den ungerska regeringen har uttryckt tvivel avseende huruvida begäran om förhandsavgörande kan tas upp till prövning, eftersom de ställda frågorna inte speglar de faktiska omständigheterna i det nationella målet och inte är direkt relevanta för att det ska kunna avgöras.

15. Enligt domstolens fasta praxis ankommer det uteslutande på den nationella domstolen, vid vilken målet anhängiggjorts och vilken har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i målet bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till EU-domstolen. EU-domstolen är följaktligen skyldig att meddela ett förhandsavgörande när de frågor som ställts avser tolkningen eller giltigheten av en unionsbestämmelse. Av detta följer att de frågor som ställs av nationella domstolar presumeras vara relevanta. En tolkningsfråga som har hänskjutits av en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den. I förevarande fall innehåller begäran om förhandsavgörande tillräckliga uppgifter om de faktiska och rättsliga omständigheterna för att det ska gå att förstå tolknings- och giltighetsfrågornas räckvidd. Framför allt finns det inget i handlingarna i målet som tyder på att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller att den är hypotetisk.

16. Det ska påpekas att den talan om ogiltigförklaring som har väckts vid den hänskjutande domstolen avser ett beslut om att påföra Digi, i egenskap av personuppgiftsansvarig, en sanktionsavgift på grund av ett påstått åsidosättande av principerna om ändamålsbegränsning och lagringsminimering, vilka fastställs i artikel 5.1 b och e i dataskyddsförordningen, som avses i den hänskjutande domstolens begäran om tolkning. Det måste därför anses att begäran om förhandsavgörande kan tas upp till prövning.

B. Tillämpliga bestämmelser vid bedömningen

17. Det måste konstateras att begäran om förhandsavgörande uteslutande avser tolkningen av artikel 5 i dataskyddsförordningen inom ramen för ett nationellt mål som avser huruvida en behandling av personuppgifter som Digi har utfört är laglig. Digi är en av de huvudsakliga leverantörerna av internet- och televisionstjänster i Ungern och är således en operatör som erbjuder allmänt tillgängliga kommunikationstjänster online.

18. Det ska emellertid påpekas att i artikel 1.1 i direktiv 2002/58/EG föreskrivs att genom detta direktiv möjliggörs en harmonisering av nationella bestämmelser för att bland annat säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, särskilt rätten till integritet och konfidentialitet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation. I artikel 3 i direktiv 2002/58 föreskrivs dessutom att detta direktiv ska tillämpas på behandling av personuppgifter i samband med att allmänt tillgängliga elektroniska kommunikationstjänster tillhandahålls i allmänna kommunikationsnät inom unionen, inbegripet allmänna kommunikationsnät som stöder datainsamling och identifieringsutrustning. Detta direktiv ska följaktligen anses reglera verksamheten för leverantörer av sådana tjänster.

19. Enligt artikel 1.2 i direktiv 2002/58 ska bestämmelserna i detta direktiv precisera och komplettera direktiv 95/46/EG för de ändamål som avses i punkt 1 i samma artikel, varvid det ska påpekas att enligt artikel 94.2 i dataskyddsförordningen ska hänvisningarna i direktiv 2002/58 till direktiv 95/46 anses som hänvisningar till dataskyddsförordningen. Enligt skäl 10 i direktiv 2002/58 är direktiv 95/46 tillämpligt på området för elektronisk kommunikation, i synnerhet beträffande alla de frågor avseende skydd av grundläggande fri- och rättigheter som inte särskilt omfattas av bestämmelserna i direktiv 2002/58, inbegripet den registeransvariges skyldigheter och enskilda personers rättigheter.

20. Av begäran om förhandsavgörande framgår att det nationella målet inte rör Digi-abonnenternas användning av elektroniska kommunikationstjänster och således skyddet av deras kommunikationer och tillhörande trafikuppgifter, vilket regleras genom direktiv 2002/58, utan rör företagets interna funktion. Det framgår att Digi under 2018, till följd av ett tekniskt fel hos en server som gjorde att det inte gick att komma åt den ursprungliga databasen över abonnenter, skapade ett register kallat ”test”, till vilket företaget kopierade över personuppgifterna för en del av företagets kunder. När Digi väl hade åtgärdat felet lagrades uppgifterna fortsatt i denna ytterligare databas ända till september 2019, då den utsattes för en hackerattack. Den verksamhet som Digi på detta sätt utvecklade har karaktären av en ”behandling av personuppgifter”, för vilken detta företag är ”personuppgiftsansvarig” i den mening som avses i definitionerna i artikel 4.2 och 4.7 i dataskyddsförordningen. Det är i denna egenskap som Digi påfördes sanktionsavgifter av tillsynsmyndigheten för att i detta sammanhang ha åsidosatt de skyldigheter som följer av bland annat artikel 5.1 b och e i dataskyddsförordningen.

21. Det ska erinras om att med förbehåll för de undantag som medges i artikel 23 i dataskyddsförordningen ska all behandling av personuppgifter vara förenlig med de principer som reglerar behandlingen och de rättigheter som registrerade personer har enligt kapitel II respektive kapitel III i förordningen. All behandling av personuppgifter ska i synnerhet dels stå i överensstämmelse med de principer som anges i artikel 5 i förordningen, dels uppfylla de laglighetsvillkor som anges i artikel 6 i samma förordning.

22. Enligt artikel 5 i dataskyddsförordningen ankommer det på den personuppgiftsansvarige att säkerställa att personuppgifterna ”behandlas på ett lagligt, korrekt och öppet sätt” (led a), att de ”samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål” (led b), att de är ”adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de [har samlats in och för vilka de senare behandlas]” (led c), att de är ”riktiga och om nödvändigt uppdaterade” (led d) och slutligen att de ”inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna [har samlats in och för vilka de senare behandlas]” (led e), medan behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål omfattas av särskilda bestämmelser. Den personuppgiftsansvarige ska i detta sammanhang vidta alla rimliga åtgärder för att säkerställa att uppgifter som inte uppfyller kraven i denna bestämmelse raderas eller rättas.

C. Räckvidden av begäran om förhandsavgörande

23. Den hänskjutande domstolen vill, såsom framgår av de båda tolkningsfrågor som den har ställt rörande bestämmelserna i artikel 5.1 b och 5.1 e i dataskyddsförordningen, få klarhet i tolkningen av principerna om ändamålsbegränsning och lagringsminimering, vilka fastställs i respektive bestämmelse. Den andra frågan, som avser principen om lagringsminimering, är dock villkorad och behöver endast besvaras för det fallet att behandlingen i fråga är oförenlig med principen om ändamålsbegränsning.

24. Det är viktigt att betona att de krav avseende behandlingen av personuppgifter som fastställs i artikel 5 i dataskyddsförordningen uppenbart är kumulativa och fristående i förhållande till varandra. Problematiken avseende iakttagandet av principen om lagringsminimering är juridiskt oberoende av problematiken avseende principen om ändamålsbegränsning. I det beslut som är föremål för det nationella målet ansåg tillsynsmyndigheten att den omständigheten att uppgifterna hade lagrats på ytterligare ett internt lagringsmedium innebar ett åsidosättande av båda dessa olika principer.

25. Även om den hänskjutande domstolen formellt sett har begränsat sin andra fråga genom att göra den villkorad, utgör denna omständighet inte hinder för att EU-domstolen tillhandahåller den hänskjutande domstolen alla uppgifter om unionsrättens tolkning som kan vara användbara vid avgörandet av det nationella målet, genom att från samtliga uppgifter som den hänskjutande domstolen har lämnat, och i synnerhet utifrån skälen i beslutet om hänskjutande, identifiera de delar av unionsrätten som behöver tolkas med hänsyn till saken i målet.

D. Huruvida behandlingen är laglig med hänsyn till principerna om ändamålsbegränsning och lagringsminimering

1. Inledande anmärkningar

26. Det tycks mig nödvändigt att inledningsvis analysera räckvidden av respektive princip som fastställs i artikel 5.1 b och e i dataskyddsförordningen och detta i samband med begreppet lagring, vilket i begäran om förhandsavgörande och de berördas inlagor har använts för att beskriva den ifrågasatta behandlingen ur två aspekter. Den första aspekten rör själva lagringen eller säkrandet av uppgifterna, i förevarande fall lagringen av en kopia av uppgifterna för en del av Digis abonnenter i ytterligare en inter databas. Den andra rör lagringen i meningen av ett upprätthållande av denna databas över tiden. Den fråga som har ställts är då hur länge uppgifterna får lagras. Denna tidsproblematik omfattas enligt min mening inte av principen om ändamålsbegränsning utan endast av principen om lagringsminimering.

27. Principen om ändamålsbegränsning, vilken föreskrivs i artikel 5.1 b i dataskyddsförordningen, består av två delar: dels ska personuppgifterna samlas in för ”särskilda, uttryckligt angivna och berättigade” ändamål, dels ska de inte ”senare behandlas på ett sätt som är oförenligt” med dessa ändamål. Denna princip är avsedd att tydligast möjligt avgränsa användningen av personuppgifterna genom att säkerställa en balans mellan iakttagandet av de registrerades grundläggande rättigheter vad gäller integritet och uppgiftsskydd och medgivandet av en viss flexibilitet till förmån för den personuppgiftsansvarige vid hanteringen av uppgifterna, vilket är nödvändigt med hänsyn till det digitala livet och dess risker.

28. Den andra delen av denna princip, som intresserar oss särskilt i förevarande fall, syftar till att definiera de gränser inom vilka personuppgifter som har samlats in för ett givet ändamål kan användas på nytt. Enligt artikel 5.1 b i dataskyddsförordningen ska all behandling efter insamlingen betraktas som en ”ytterligare behandling” och ska alltså utan undantag uppfylla kravet på förenlighet. Kravet på förenlighet innebär att det måste finnas en konkret, logisk och tillräckligt nära koppling mellan ändamålet med insamlingen av uppgifterna och den ytterligare behandlingen av dem. Denna behandling får med andra ord inte vara frikopplad från det ursprungliga ändamålet med insamlingen av uppgifterna eller strida mot det, och dess innehåll måste vara förenligt med insamlingens existensberättigande, oberoende av eventuell tidsproblematik.

29. Principen om ändamålsbegränsning utgör inte i egentlig mening ett uttryck för proportionalitetsprincipen, till skillnad från principen om lagringsminimering som fastställs i artikel 5.1 e i dataskyddsförordningen. Som domstolen har preciserat följer det av de krav som uppställs i denna artikel att även en behandling av uppgifter som inledningsvis är laglig med tiden kan bli oförenlig med denna förordning när uppgifterna inte längre är nödvändiga med hänsyn till de ändamål för vilka de samlats in eller behandlats. Så är bland annat fallet när de inte är adekvata, inte eller inte längre är relevanta eller är för omfattande med hänsyn till dessa ändamål och den tid som gått.

30. Inom ramen för principen om lagringsminimering handlar det således om att bedöma huruvida behandlingen är proportionerlig i förhållande till dess ändamål med hänsyn till den tid som gått. Att lagra uppgifterna under en längre tid än vad som är nödvändigt, det vill säga längre än vad som är nödvändigt för att uppnå de ändamål för vilka uppgifterna lagrats, strider mot denna princip. När lagringens ändamål har uppnåtts ska uppgifterna raderas. Principen om lagringsminimering svarar således på frågan om när Digis lagring av uppgifterna på ytterligare ett internt lagringsmedium inte längre var motiverad.

31. Mot bakgrund av det ovan anförda kommer jag nu att undersöka huruvida behandlingen i fråga var laglig med hänsyn till dessa båda ovannämnda principer.

2. Principen om ändamålsbegränsning

32. För att kontrollera huruvida den andra delen av denna princip har iakttagits måste ändamålet eller ändamålen med insamlingen av uppgifterna i fråga först fastställas. Av de handlingar som domstolen innehar framgår att Digi i egenskap av leverantör av internet- och televisionstjänster samlade in uppgifterna i syfte att ingå och fullgöra abonnemangsavtal och att lagligheten av denna första behandling inte är föremål för någon diskussion mellan parterna i det nationella målet. Det samma gäller den efterföljande ofrånkomliga behandling som består i att lagra nämnda uppgifter på ett särskilt lagringsmedium, betecknat den ursprungliga databasen. Den hänskjutande domstolen vill i detta sammanhang framför allt få svar på frågan huruvida det särskilda, uttryckligt angivna och berättigade ändamålet med insamlingen av uppgifterna ”ändrades” av den omständigheten att uppgifterna kopierades över till ytterligare en databas, utöver den första lagringen som inte är föremål för någon diskussion mellan parterna.

33. Enligt domstolens praxis ska dataskyddsförordningens regler om skydd för personuppgifter iakttas vid all sådan behandling av personuppgifter som avses i artikel 2 i denna förordning. Den ovannämnda frågan tycks mig tyda på en okunnighet om kravet att det ska göras en individuell bedömning av all behandling av uppgifter som vidtas efter det att de har samlats in, såsom det följer av artikel 5.1 b i dataskyddsförordningen.

34. Varje fall av ytterligare användning av uppgifterna ska med andra ord granskas i syfte att kontrollera det särskilda ändamålet och vid behov dess förenlighet med insamlingens ändamål. Att insamlingen och den första lagringen av uppgifterna är laglig innebär inte automatiskt, genom en sorts smittoeffekt, att principen om ändamålsbegränsning iakttas vid en ytterligare behandling, även om sistnämnda behandling avser samma uppgifter. Som den ungerska regeringen har gjort gällande kan det inte anses att den personuppgiftsansvarige har möjlighet att lagra personuppgifterna i flera register och utan begränsningar under förutsättning att uppgifterna initialt har samlats in och behandlats lagligt.

35. Det ska således undersökas huruvida den ytterligare behandlingen av uppgifterna var förenlig med ändamålen med insamlingen av dem, såsom det krävs enligt artikel 5.1 b i dataskyddsförordningen. Logiskt sett uppkommer denna fråga emellertid endast i det fallet att behandlingen utfördes för andra ändamål än de ursprungligen angivna.

36. Enligt skäl 50 i dataskyddsförordningen bör behandling av personuppgifter ”för andra ändamål” än de för vilka de ursprungligen samlades in endast vara tillåten när detta är förenligt med insamlingens ändamål. Även ordalydelsen i artikel 6.4 i förordningen styrker ovannämnda slutsats. I denna bestämmelse uppräknas på ett icke uttömmande sätt de kriterier som i en given konfiguration gör det möjligt att bedöma om behandling ”för andra ändamål” är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Ett konstaterande av att insamlingen av uppgifter och den ytterligare behandlingen av dem har samma ändamål, såsom Digi har gjort gällande, gör således att frågan rörande förenligheten saknar föremål och att slutsatsen kan dras att denna behandling är laglig med hänsyn till principen om ändamålsbegränsning.

a) Behandlingens ändamål

37. Av de handlingar som lämnats in till domstolen och särskilt av Digis uttalanden framgår att detta företag, till följd av ett tekniskt fel i servern som omöjliggjorde åtkomst till den ursprungliga databasen, lagrade en kopia av uppgifterna för en del av abonnenterna i ytterligare en intern databas, som kallades ”test”, i syfte att åtgärda det tekniska felet och säkerställa åtkomsten till uppgifterna i enlighet med den skyldighet som den personuppgiftsansvarige är ålagd enligt artikel 5.1 f och som fastställs närmare i artikel 32 i dataskyddsförordningen. Digi har gjort gällande att denna behandling således också bidrog till uppnåendet av ändamålet med insamlingen av uppgifter, det vill säga att tillhandahålla den avtalade tjänsten. Under dessa omständigheter var den ifrågasatta lagringen inte kopplad till ett annat ändamål, vilket utesluter en överträdelse av artikel 5.1 b i dataskyddsförordningen.

38. Även om det naturligtvis ankommer på den hänskjutande domstolen att kontrollera huruvida den ovannämnda behandlingen var laglig med hänsyn till bland annat de krav som anges i artikel 5 i dataskyddsförordningen och samtliga omständigheter i förevarande fall, kan flera påpekanden göras i detta sammanhang.

39. För det första ska det påpekas att Digi har hävdat att den ifrågasatta behandlingen hade ett dubbelt ändamål, i den meningen att det primära och specifika syftet, att åtgärda felet i servern och säkerställa åtkomsten till abonnenternas uppgifter, i sig omfattades av det sekundära och allmänna syftet, som var att fullgöra abonnemangsavtalen, vilket sammanföll med den ursprungliga uppgiftsinsamlingens syfte.

40. Det är i praktiken fullständigt tänkbart att personuppgifter kan samlas in eller behandlas ytterligare för flera ändamål, vilket förutses och tydligt medges i dataskyddsförordningen, såsom det framgår av ordalydelsen i artiklarna 5.1 b och 6.1 a, samt skälen 32 och 50. Detta synsätt svarar mot behovet av pragmatism och flexibilitet vid komplexa och föga linjära behandlingar av personuppgifter i den digitala eran. Kravet på precisering av ändamålet, som är ett väsentligt element i genomförandet av det europiska systemet för skydd för personuppgifter, måste emellertid beaktas.

41. Ett tillräckligt preciserat ändamål utgör således en grundläggande garanti för förutsebarhet och rättssäkerhet, i den meningen att det bidrar till att ge den registrerade en god uppfattning om hur uppgifterna kan användas och ger vederbörande möjlighet att bestämma sig med full kännedom om saken. Denna förutsebarhet är väsentlig vid bedömningen av förenligheten mellan ändamålet med uppgiftsinsamlingen och den ytterligare behandlingen av uppgifterna, vilket således minskar risken för en obalans mellan de registrerades skäliga förväntningar på hur deras uppgifter kan användas i framtiden och de åtgärder som den personuppgiftsansvarige vidtar. Ändamålet behöver också specificeras för tillämpningen av andra krav som ställs på de insamlade uppgifternas kvalitet, bland annat att de ska vara adekvata, relevanta, proportionerliga och korrekta, och kraven avseende lagringstiden, i enlighet med artikel 5.1 c, d och e i dataskyddsförordningen.

42. Som det underströks i yttrande 3/2013 från ”artikel 29-gruppen” gäller kravet på precisering således all behandling och inte endast i det inledande skedet för insamling av uppgifter. Det är intressant att notera att i fall av behandling av uppgifter som grundas på den registrerades samtycke är denna, enligt lydelsen i artikel 6.1 a i dataskyddsförordningen, laglig endast om personen i fråga har lämnat sitt samtycke till behandlingen för ett eller flera ”specifika” ändamål.

43. Även om en given behandling kan syfta till att uppnå två ändamål, måste under dessa omständigheter vart och ett av ändamålen ha en precis karaktär samt en objektiv och tillräckligt nära koppling till behandlingen i fråga.

44. För det andra ska det erinras om det särskilda sammanhang i vilket bedömningen av ändamålet eller ändamålen med den ytterligare behandlingen i fråga ska göras.

45. Enligt skälen 60 och 61 i dataskyddsförordningen fordrar principerna om rättvis och öppen behandling att den registrerade informeras om att behandling sker och syftet med denna, samt att information om behandlingen av dennes personuppgifter lämnas till honom eller henne vid den tidpunkt då personuppgifterna samlas in från den registrerade. I artikel 13.1 c i dataskyddsförordningen föreskrivs att om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

46. Dock kvarstår att oavsett hur förutseende och grundlig en personuppgiftsansvarig än är, kan det hända att han eller hon inte redan när behandlingen utformas kan förutse och fastställa arten och den exakta omfattningen av alla åtgärder i kedjan för behandling av uppgifterna. Förevarande mål är en perfekt illustration av problematiken i samband med hanteringen av ett tekniskt fel, vilket per definition är en oförutsedd händelse, och det efterföljande utförandet av en viss typ av behandling av uppgifter för ett ändamål som inte ursprungligen hade specificerats.

47. Inom ramen för den bedömning av den ifrågavarande behandlingens laglighet som i förevarande fall har gjorts av tillsynsmyndigheten och därefter av den domstol vid vilken tillsynsmyndighetens beslut överklagades har ändamålet i fråga varit föremål för en efterhandskontroll, med beaktande av de uppgifter som lämnades av den personuppgiftsansvarige under det administrativa förfarandet. Och det är på den sistnämnde, som har utformat behandlingen i fråga, som det enligt den princip om ansvar som föreskrivs i artikel 5.2 i dataskyddsförordningen ankommer att visa att det påstådda ändamålet var verkligt och vid behov att behandlingen var förenlig med uppgiftsinsamlingens syfte.

48. Två konkreta och objektiva faktorer kan beaktas vid kontrollen av detta ändamål. För det första föreskrivs i artikel 13.3 i dataskyddsförordningen att om personuppgifter som rör en registrerad person samlas in från den registrerade och den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det ändamål för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2 i denna bestämmelse. För det andra föreskrivs i artikel 30.1 i dataskyddsförordningen att varje personuppgiftsansvarig ska föra ett register, som ska upprättas skriftligen, inbegripet i elektronisk form, över behandling som utförts under dess ansvar samt på begäran ska göra registret tillgängligt för tillsynsmyndigheten. Detta register ska innehålla olika uppgifter, bland annat uppgifter om ändamålen med behandlingen.

49. I förevarande fall tycks det fastställt att Digi inte informerade någon av de registrerade abonnenterna om sin avsikt att kopiera deras uppgifter och lagra dem på ett internt lagringsmedium som var avsett för genomförande av tester och åtgärdande av fel, eftersom nämnda operatör ansåg att denna behandling inte hade ett annat ändamål än det ändamål för vilket uppgifterna hade samlats in och således inte omfattades av tillämpningsområdet för artikel 13.3 i dataskyddsförordningen. Vidare kan det inte utifrån de handlingar som har lämnats in till domstolen avgöras huruvida Digi omfattas av det undantag från skyldigheten att föra register som föreskrivs i artikel 30.5 i dataskyddsförordningen.

50. Det ska i varje fall påpekas att Digi vid förhandlingen tydligt angav att det tekniska fel som uppstod 2018 inte föranledde ett avbrott i den avtalade tjänsten, eftersom den ifrågasatta lagringen genomfördes enbart med hänsyn till risken för ett sådant avbrott. Detta uttalande måste ses mot bakgrund av de objektiva konstaterandena avseende sakförhållandena vad gäller valet att kalla nämnda databas för ”test”, den omständigheten att testdatabasen inte innehöll uppgifter om samtliga abonnenter utan endast om en tredjedel av dem, och att Digi, efter att ha glömt bort denna databas under 18 månader när det ursprungliga tekniska felet hade åtgärdats, omedelbart raderade den efter hackerattacken i september 2019 som påverkade uppgifternas säkerhet.

51. Under dessa omständigheter tycks det möjligt att fastställa att den ifrågasatta behandlingen hade ett enda konkret och specifikt syfte, det vill säga att tillfälligt säkra en del av abonnenternas uppgifter i samband med att man åtgärdade ett tekniskt fel som påverkade serverns funktion, vilket enligt min mening är ett annat syfte än det för vilket uppgifterna samlades in.

52. Kommissionen och Digi har däremot hävdat att en sådan behandling, som syftar till att iaktta den personuppgiftsansvariges skyldighet att säkerställa säkerheten, vilken föreskrivs i artikel 5.1 f i dataskyddsförordningen och fastställs närmare i artikel 32, inte kan anses ha ett nytt eller annat ändamål, eftersom det skulle motverka denna rättsakts ändamålsenliga verkan och resultera i information till de registrerade som saknar praktiskt intresse.

53. Det tycks mig som om detta abstrakta och systematiska synsätt strider mot kravet att varje behandlings laglighet ska bedömas med beaktande av alla relevanta omständigheter i det enskilda fallet. Genom detta synsätt fråntas de facto den skyldighet att lämna information till de registrerade som föreskrivs i artikel 13.3 i dataskyddsförordningen sin ändamålsenliga verkan – information som den personuppgiftsansvarige ska lämna till dessa personer för att tillförsäkra dem en korrekt behandling av uppgifterna. Denna skyldighet är av tvingande karaktär i det fallet att behandlingen, såsom i förevarande fall, utförs inom ramen för ett avtalsförhållande och grundas på artikel 6.1 b i dataskyddsförordningen som avser nödvändigheten att fullgöra ett avtal utan att samtycke av avtalsparterna krävs. Nämnda synsätt innebär slutligen att man bortser från existensberättigandet för artikel 5.1 b i dataskyddsförordningen, det vill säga att en ytterligare behandling som har ett annat ändamål än det ändamål för vilket uppgifterna samlades in inte nödvändigtvis är olaglig, eftersom det räcker att den är förenlig med sistnämnda ändamål för att uppfylla kraven i ovannämnda bestämmelse.

b) Behandlingens förenlighet

54. Artikel 5.1 b i dataskyddsförordningen innehåller inga uppgifter om under vilka villkor en ytterligare behandling som har ett annat ändamål än det ändamål för vilket uppgifterna ursprungligen samlades in kan anses vara förenlig med sistnämnda ändamål. Stöd kan sökas i artikel 6.4 i dataskyddsförordningen, jämförd med skäl 50, av vilken det framgår en koppling mellan principen om ändamålsbegränsning och den rättsliga grunden för behandlingen i fråga.

55. Vad gäller kravet på förenlighet görs i denna bestämmelse således åtskillnad beroende på om en behandling för andra ändamål än det ändamål för vilket uppgifterna samlades in grundar sig på, eller inte grundar sig på, den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1 i dataskyddsförordningen.

56. Om behandlingen i fråga grundar sig på något av det ovannämnda, tillåts den personuppgiftsansvarige enligt ordalydelsen i skäl 50 andra stycket i dataskyddsförordningen behandla personuppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Detta undantag från kravet på förenlighet motiveras i huvudsak av förekomsten av andra regler som skyddar de registrerade, särskilt reglerna om att de ska informeras om användningen för andra ändamål och rätten att invända mot behandling.

57. Om behandlingen i fråga däremot inte grundar sig på något av det ovannämnda, vilket är fallet i det nationella målet, föreskrivs följande i artikel 6.4 i dataskyddsförordningen:

”… ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:

a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.

b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.

c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10.

d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.

e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”

58. Eftersom Digi när uppgifterna samlades in inte lämnade någon formell information om den ytterligare behandling som planerades och dess ändamål, måste ett materiellt synsätt väljas som enligt min mening tycks resultera i ett konstaterande av att denna behandling var förenlig med det ursprungliga ändamålet.

59. Det finns onekligen en koppling mellan ändamålet med den ursprungliga insamlingen av uppgifterna, det vill säga att fullgöra internet- och tv-abonnemangsavtal, och en behandling som syftar till att säkra dessa uppgifter i ytterligare en intern databas och att i största säkerhet genomföra tester i avsikt att åtgärda ett tekniskt fel som potentiellt kunde ha skadat tillhandahållandet av den avtalade tjänsten. Även om dessa ändamål, såsom det angetts ovan, inte sammanfaller med varandra finns det en logisk koppling mellan dem.

60. Det ska betonas att denna behandling inte avviker från abonnenternas berättigade förväntningar på hur deras uppgifter senare kunde komma att användas. En ytterligare lagring av uppgifter på ett internt lagringsmedium som motiverades av behovet att åtgärda ett tekniskt fel som påverkade åtkomsten till uppgifterna i den ursprungliga databasen kan nämligen inte anses vara överraskande eller osannolik. Uppgifterna i fråga behandlades dessutom fortsatt av samma personuppgiftsansvarige och spreds inte till tredje man, vilket i princip visar att det inte förelåg någon negativ inverkan. Den omständigheten att upphovsmannen bakom den hackerattack som riktades mot Digi kunde komma åt uppgifterna på detta lagringsmedium kan enligt min mening inte retroaktivt leda till slutsatsen att behandlingen i fråga var oförenlig med det ursprungliga ändamålet.

3. Principen om lagringsminimering

61. Enligt artikel 5.1 e i dataskyddsförordningen får uppgifterna inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål, eller statistiska ändamål i enlighet med artikel 89.1 i nämnda förordning, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter.

62. Principen om lagringsminimering utgör, som det har nämnts ovan, ett uttryck för proportionalitetsprincipen, liksom för principen om ”uppgiftsminimering”, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Inom ramen för principen om lagringsminimering ska frågan om huruvida behandlingen är nödvändig sett ur en tidsmässig aspekt sättas i relation till frågan om huruvida ändamålet fortfarande föreligger.

63. Det ska även erinras om att iakttagande av kravet på proportionalitet innebär att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt. Domstolen har tydligt angett att artikel 5.1 e i dataskyddsförordningen syftar till att skydda de registrerade.

64. Lika uttryckligt anges i skäl 39 i dataskyddsförordningen att den period under vilken uppgifterna lagras ska vara ”begränsad till ett strikt minimum” och att den personuppgiftsansvarige för detta ändamål bör införa tidsfrister för radering eller för regelbunden kontroll. I artikel 13.2 a i dataskyddsförordningen föreskrivs att utöver den information som avses i punkt 1 i denna artikel ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling, bland annat information om den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

65. I detta sammanhang ska det mot bakgrund av samtliga omständigheter i förevarande fall fastställas vid vilken tidpunkt ändamålen med lagringen av en kopia av uppgifterna för en del av abonnenterna i ytterligare en intern databas eventuellt kunde anses ha uppnåtts, så att denna behandling inte längre hade något existensberättigande och Digi var skyldigt att radera uppgifterna. Det är uppenbart att enligt principen om ansvarsskyldighet, som föreskrivs i artikel 5.2 i dataskyddsförordningen, ankommer det på den personuppgiftsansvarige att bevisa att behandlingen var laglig med hänsyn till principen om lagringsminimering, liksom med hänsyn till principen om ändamålsbegränsning.

66. Eftersom den ifrågasatta lagringen syftade till att säkra uppgifterna och därigenom bidrog till uppnåendet av målet att fullgöra abonnemangsavtalen, har Digi hävdat att den period under vilken uppgifterna lagrades i testdatabasen anpassades efter perioden för fullgörande av företagets avtalsskyldigheter, vilket utesluter en eventuell överträdelse av artikel 5.1 e i dataskyddsförordningen.

67. När det gäller att fastställa ändamålet eller ändamålen hänvisar jag till samtliga de konstateranden och bedömningar som gjorts ovan inom ramen för svaret på frågan huruvida principen om ändamålsbegränsning har iakttagits, av vilka det framgår att behandlingen i fråga inte kan anses ha haft ett dubbelt ändamål som inbegrep att fullgöra abonnemangsavtalen.

68. Oavsett de fastställda ändamålens art måste behandlingen av uppgifterna i form av lagring i ytterligare ett internt register i varje fall ändå begränsas i tiden till vad som var strikt nödvändigt. När det ursprungliga felet väl hade åtgärdats förelåg med andra ord inte längre den omständighet som motiverade lagringen och upprätthållandet av den. Under dessa omständigheter kunde det direkta och primära syftet att säkra uppgifterna i samband med att det tekniska felet åtgärdades, taget för sig eller i kombination med det indirekta och sekundära syftet att fullgöra abonnemangsavtalen, inte längre motivera en fortsatt behandling.

69. Det måste konstateras att Digi entydigt har angett att testdatabasen var avsedd att garantera åtkomsten till abonnenternas uppgifter ”till dess att felet hade åtgärdats” och att det var av misstag som företaget inte raderade den när felen hade åtgärdats och det inte längre var motiverat att upprätthålla den, vilket innebär att det inte längre fanns någon nytta med den ifrågasatta behandlingen och att den således inte hade något ändamål. Kan det anses att en intern databas som, enligt vad den personuppgiftsansvarige själv har erkänt, glömdes bort under ett och ett halvt år ändå hade ett effektivt ändamål? Svaret på detta måste enligt min mening vara nekande.

V. Förslag till avgörande

70. Mot bakgrund av det ovan anförda föreslår jag att domstolen besvarar de frågor som ställts av Fővárosi Törvényszék (Överdomstolen för Budapests stad, Ungern) på följande sätt: 1) Artikel 5.1 b i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att den princip som fastställs däri inte utgör hinder för att personuppgifter som har samlats in och lagrats på ett lagligt sätt lagras i ytterligare en intern databas, förutsatt att denna behandling har samma ändamål som ändamålen med insamlingen eller, om så inte är fallet, att den är förenlig med sistnämnda ändamål, vilket det ankommer på den personuppgiftsansvarige att visa, inbegripet i det fallet att behandlingen svarar mot dennes skyldighet att säkerställa lämplig säkerhet för personuppgifterna i enlighet med artikel 5.1 f i nämnda förordning. Om nämnda behandling för ett annat ändamål än det ändamål för vilket uppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt i enlighet med artikel 23.1 i förordning 2016/679, ska dess förenlighet fastställas med beaktande av bland annat de kriterier som anges i artikel 6.4 i denna förordning. 2) Artikel 5.1 e i förordning 2016/679 ska tolkas så, att den princip som fastställs däri utgör hinder för att uppgifter som har samlats in och lagrats på ett lagligt sätt lagras i ytterligare en intern databas, i en form som möjliggör identifiering av de registrerade, i syfte att åtgärda ett tekniskt fel och tillfälligt säkra dessa uppgifter, under en längre tid än vad som är nödvändigt för att uppnå detta syfte och således efter det att felet åtgärdats, inbegripet om detta direkta och primära syfte kan kombineras med det indirekta och sekundära syftet att tillhandahålla den avtalade tjänsten.

1 Originalspråk: franska.

2 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

3 Dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkterna 73 och 74).

4 Europaparlamentets och rådets direktiv av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37).

5 Dom av den 6 oktober 2020, Privacy International ( C‑623/17, EU:C:2020:790, punkterna 34 och 36).

6 Europaparlamentets och rådets direktiv av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

7 Det ska erinras om att eftersom dataskyddsförordningen har upphävt och ersatt direktiv 95/46 och de relevanta bestämmelserna i dataskyddsförordningen i allt väsentligt har samma räckvidd som de relevanta bestämmelserna i direktivet, är domstolens praxis avseende nämnda direktiv i princip även tillämplig med avseende på dataskyddsförordningen (dom av den 17 juni 2021, M.I.C.M. ( C‑597/19, EU:C:2021:492, punkt 107)).

8 Se dom av den 11 november 2020, Orange România ( C‑61/19, EU:C:2020:901), avseende genomförande av bestämmelserna i direktiv 95/46 och dataskyddsförordningen i ett mål som avsåg bolaget Orange România, tillhandahållare av mobila telekommunikationstjänster på den rumänska marknaden, och dess kunders samtycke till insamling och lagring av kopior av deras identitetshandlingar.

9 Av punkt 2 i kommissionens yttranden framgår att dessa uppgifter utgjordes av följande: de registrerade personernas namn, födelseort och födelsedatum, adress, ID-kortnummer, i vissa fall personnummer, e‑postadress, fasta telefonnummer och mobiltelefonnummer.

10 Dom av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 208).

11 Se, analogt, dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 72).

12 Att de skyldigheter som åligger den personuppgiftsansvarige enligt artikel 5 i dataskyddsförordningen är fristående hindrar inte att det finns en koppling mellan dem, vilken i föreliggande fall utgörs av begreppet ändamål. Kontrollen av en behandlings art och ändamål är väsentlig för att bedöma huruvida de principer som anges i denna bestämmelse har iakttagits, bland annat principerna om ändamålsbegränsning och lagringsminimering, vilka avses i det nationella målet.

13 Dom av den 22 april 2021, Profi Credit Slovakia ( C‑485/19, EU:C:2021:313, punkt 50).

14 Enligt ordalydelsen i artikel 5.1 b i dataskyddsförordningen ska ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål anses som laglig behandling som är förenlig med de ursprungliga ändamålen, men detta motsvarar inte omständigheterna i det nationella målet.

15 Se, analogt, dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 93).

16 Se, för ett liknande resonemang, dom av den 7 maj 2009, Rijkeboer ( C‑553/07, EU:C:2009:293, punkt 33), och dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 92).

17 Se, för ett liknande resonemang, dom av den 7 maj 2009, Rijkeboer ( C‑553/07, EU:C:2009:293, punkt 33).

18 Med hänsyn till dessa behandlingars karaktär förefaller den lämpliga rättsliga grunden för dem att utgöras av artikel 6.1 a och b i dataskyddsförordningen, vilket för övrigt inte är föremål för någon diskussion i förevarande fall.

19 Se, analogt, dom av den 20 maj 2003, Österreichischer Rundfunk m.fl. ( C‑465/00, C‑138/01 och C‑139/01, EU:C:2003:294, punkt 40).

20 Insamlingen av kundernas personuppgifter och lagringen av dem i den ursprungliga databasen svarar simultant mot samma ändamål, det vill säga att tillhandahålla den avtalade tjänsten.

21 Se punkt 13 i Digis yttranden.

22 Oberoende rådgivande organ som inrättades i enlighet med artikel 29 i direktiv 95/46 och som efter antagandet av dataskyddsförordningen har ersatts med Europeiska dataskyddsstyrelsen.

23 Se, analogt, dom av den 11 november 2020, Orange România ( C‑61/19, EU:C:2020:901, punkterna 51 och 52).

24 Innehållet i artikel 13.3 i dataskyddsförordningen styrker synsättet att kravet på precisering av ändamålet inte endast är tillämpligt i skedet för insamling av uppgifterna, utan gäller all behandling.

25 Denna bestämmelse speglar den flexibla hantering som tillåts till förmån för den personuppgiftsansvarige, som ensam bedömer huruvida det föreligger en skyldighet att lämna information till de registrerade. Denna möjlighet kräver på motsvarande sätt att tillsynsmyndigheten vidtar en strikt kontroll av ändamålen med behandlingen, vilket är väsentligt för att försäkra sig om att den ytterligare behandlingen är laglig och framför allt att kravet på förenlighet är uppfyllt.

26 Denna skyldighet gäller inte företag eller organisationer som sysselsätter färre än 250 personer såvida inte den behandling som utförs sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar särskilda kategorier av uppgifter som avses i artikel 9.1 i dataskyddsförordningen eller personuppgifter om fällande domar i brottmål samt lagöverträdelser som innefattar brott, som avses i artikel 10 i dataskyddsförordningen.

27 Dom av den 11 november 2020, Orange România ( C‑61/19, EU:C:2020:901, punkt 48). Det är intressant att notera att det undantag från den personuppgiftsansvariges informationsskyldighet när personuppgifterna inte har samlats in från den registrerade som föreskrivs i artikel 14.5 b i dataskyddsförordningen, för det fall att tillhandahållandet av information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, inte har gjorts tillämpligt på de situationer som regleras av artikel 13 i dataskyddsförordningen.

28 Det ska påpekas att bland de behandlingar som är undantagna från kravet på förenlighet ingår inte de som grundar sig på artikel 6.1 c i dataskyddsförordningen avseende behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige och bland annat den förpliktelse som föreskrivs i artikel 5.1 f i dataskyddsförordningen avseende säkerställandet av lämplig säkerhet för uppgifterna.

29 Det ska erinras om att enligt artikel 6.1 a i dataskyddsförordningen är en behandling laglig, om och i den mån som den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas ”för ett eller flera specifika ändamål”.

30 Detta villkor är inte föremål för någon diskussion i förevarande fall.

31 Se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C‑439/19, EU:C:2021:504, punkt 98).

32 Dom av den 6 oktober 2020, La Quadrature du Net m.fl. ( C‑511/18, C‑512/18 och C‑520/18, EU:C:2020:791, punkt 210).

33 Se, analogt, dom av den 7 maj 2009, Rijkeboer ( C‑553/07, EU:C:2009:293, punkt 35).

34 Med beaktande av de omständigheter under vilka den ifrågasatta behandlingen genomfördes är denna bestämmelse inte tillämplig i förevarande fall.

35 Dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 94).

36 Det ska endast erinras om att konstaterandet att testdatabasen omedelbart raderades efter den hackerattack som riktades mot Digi, oberoende av att avtalsförhållandena med abonnenterna i fråga fortsatte, radikalt motsäger påståendet att upprätthållandet av denna databas syftade till att fullgöra abonnemangsavtalen.

37 Se, bland annat, punkt 22 i Digis yttranden.