Förslag till avgörande av generaladvokat Campos Sánchez-Bordona – Mål C-579/21 Pankki S

1. En anställd hos en bank, som även var kund hos banken, bad banken om att tillhandahålla honom information om identiteten på de personer som hade kontrollerat hans personuppgifter i samband med en intern revision. När banken vägrade att lämna ut denna information till honom, använde han sig av de rättsmedel som stod till buds, vilket resulterade i det mål som anhängiggjordes vid Östra Finlands förvaltningsdomstol.

2. Den hänskjutande domstolen har begärt ett förhandsavgörande från EU-domstolen rörande tolkningen av förordning (EU) 2016/679. När EU-domstolen besvarar tolkningsfrågorna ska den uttala sig om den registrerades rätt att få tillgång till viss information som rör behandlingen av hans personuppgifter.

I. Tillämpliga bestämmelser

A. Unionsrätt. Den allmänna dataskyddsförordningen

3. I skäl 11 anges följande:

”Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna.”

4. Artikel 4 (”Definitioner”) har följande lydelse:

”I denna förordning avses med

1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer, eller till en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,

2. behandling: en åtgärd eller kombination av åtgärder som utförs beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om det sker automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

9. mottagare: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte...”

5. I artikel 15 (”Den registrerades rätt till tillgång”) har punkt 1 följande lydelse:

”Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

a) Ändamålen med behandlingen.

b) De kategorier av personuppgifter som behandlingen gäller.

c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer.

d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller, om det inte är möjligt, de kriterier som används för att fastställa denna period.

e) Förekomsten av rätten att hos den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling.

f) Rätten att inge klagomål till en tillsynsmyndighet.

g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig information om varifrån dessa uppgifter kommer.

h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid åtminstone i dessa fall meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.”

6. I artikel 24 (”Den personuppgiftsansvariges ansvar”) har punkt 1 följande lydelse:

”Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov.”

7. I artikel 25 (”Inbyggt dataskydd och dataskydd som standard”) föreskrivs följande i punkt 2:

”Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att som standard säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, den tid de lagras och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer.”

8. Artikel 29 (”Behandling under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende”) har följande lydelse:

”Personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, får endast behandla dessa på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt.”

9. I artikel 30 (”Register över behandling”) föreskrivs följande:

”1. Varje personuppgiftsansvarig och, i tillämpliga fall, dennes företrädare ska föra ett register över behandling som utförts under dess ansvar. Detta register ska innehålla samtliga följande uppgifter:

a) Namn och kontaktuppgifter för den personuppgiftsansvarige, samt i tillämpliga fall gemensamt personuppgiftsansvariga, den personuppgiftsansvariges företrädare samt dataskyddsombudet.

b) Ändamålen med behandlingen.

c) En beskrivning av kategorierna av registrerade och av kategorierna av personuppgifter.

d) De kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, inbegripet mottagare i tredjeländer eller i internationella organisationer.

…

f) Om möjligt, de planerade tidsfristerna för utplåning av de olika kategorierna av uppgifter.

g) Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i artikel 32.1.

2. Varje personuppgiftsbiträde och, i tillämpliga fall, dennes företrädare ska föra ett register över alla kategorier av behandling som utförts för den personuppgiftsansvariges räkning, som omfattar följande:

a) Namn och kontaktuppgifter för personuppgiftsbiträdet eller personuppgiftsbiträdena och för varje personuppgiftsansvarig för vars räkning personuppgiftsbiträdet agerar, och, i tillämpliga fall, för den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare samt dataskyddsombudet.

b) De kategorier av behandling som har utförts för varje personuppgiftsansvariges räkning.

c) I tillämpliga fall, kategorier av personuppgiftsöverföringar till ett tredjeland eller en internationell organisation...

d) Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i artikel 32.1.

3. De register som avses i punkterna 1 och 2 ska upprättas skriftligen, inbegripet i elektronisk form.

4. På begäran ska den personuppgiftsansvarige eller personuppgiftsbiträdet samt, i tillämpliga fall, den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare göra registret tillgängligt för tillsynsmyndigheten.

5. De skyldigheter som anges i punkterna 1 och 2 ska inte gälla för ett företag eller en organisation som sysselsätter färre än 250 personer såvida inte den behandling som utförs sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar särskilda kategorier av uppgifter... eller personuppgifter om fällande domar i brottmål...”

10. I artikel 58 (”Befogenheter”) punkt 1 har följande lydelse:

”Varje tillsynsmyndighet ska ha samtliga följande utredningsbefogenheter

a) Beordra den personuppgiftsansvarige eller personuppgiftsbiträdet, och i tillämpliga fall den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare, att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter.

…”

B. Nationell rätt

1. Dataskyddslag (1050/2018)

11. Enligt 30 § i dataskyddslagen återfinns bestämmelser om behandling av anställdas personuppgifter, test och kontroller som anställda ska genomgå och de krav som ställs på dessa, teknisk övervakning på arbetsplatsen samt hämtning och öppnande av anställdas e-postmeddelanden i lagen om integritetsskydd i arbetslivet (759/2004).

12. Enligt 34 § 1 dataskyddslagen har en registrerad inte rätt att få tillgång till uppgifter, i den mening som avses i artikel 15 i dataskyddsförordningen, som samlats in om honom eller henne, om 1) lämnandet av informationen kan skada den nationella säkerheten, försvaret eller allmän ordning och säkerhet eller försvåra förebyggande eller utredning av brott, 2) lämnandet av informationen kan medföra allvarlig fara för den registrerades hälsa eller vård eller för den registrerades eller någon annans rättigheter, eller 3) personuppgifterna används för tillsyns- och kontrolluppgifter och det för att trygga ett viktigt ekonomiskt eller finansiellt intresse för Finland eller Europeiska unionen är nödvändigt att informationen inte lämnas.

13. Enligt 34 § 2 har den registrerade, om endast en del av de uppgifter som gäller den registrerade är sådana att de enligt 1 mom. inte omfattas av rätten enligt artikel 15 i dataskyddsförordningen, rätt att få tillgång till övriga uppgifter som rör honom eller henne.

14. Enligt 34 § 3 ska den registrerade underrättas om orsakerna till begränsningen, om detta inte äventyrar syftet med begränsningen.

15. Enligt 34 § 4 ska de uppgifter som avses i artikel 15.1 i dataskyddsförordningen lämnas till dataombudsmannen på begäran av den registrerade, om den registrerade inte har rätt att bekanta sig med uppgifter som samlats in om honom eller henne.

2. Lag om integritetsskydd i arbetslivet (759/2004)

16. Enligt 4 § andra stycket i kapitel 2 i denna lag ska arbetsgivaren på förhand underrätta arbetstagaren om att uppgifter samlas in för utredning av dennas tillförlitlighet. Om arbetsgivaren skaffar personkreditupplysningar om arbetstagaren, ska arbetsgivaren dessutom informera arbetstagaren från vilket register uppgifterna skaffas. Har uppgifter om arbetstagaren samlats in någon annanstans än hos arbetstagaren själv, ska arbetsgivaren informera arbetstagaren om de uppgifter som inhämtats innan de används för beslutsfattande som gäller arbetstagaren. Bestämmelser om den personuppgiftsansvariges skyldighet att till den registrerade lämna ut uppgifter samt om den registrerades rätt att få tillgång till uppgifter finns i kapitel III i dataskyddsförordningen.

II. Faktiska omständigheter, det nationella målet och tolkningsfrågor

17. År 2014 fick J.M. kännedom om att hans personuppgifter som kund i banken Suur-Savon Osuuspankki (nedan kallad banken) hade kontrollerats mellan den 1 november och den 31 december 2013. Utöver att J.M. var kund på den banken var han även under den perioden anställd där.

18. Eftersom han misstänkte att skälen till att hans uppgifter kontrollerades inte var helt legitima, bad han den 29 maj 2018 banken om att tillhandahålla honom information om identiteten på de personer som hade behandlat hans kunduppgifter under den ovannämnda perioden, samt om att informeras om ändamålet med behandlingen.

19. Under den tiden sade banken upp J.M. J.M. motiverade sin begäran om information med att han bland annat ville klargöra skälen till uppsägningen.

20. I sitt svar av den 30 augusti 2018 till J.M. vägrade banken, som var den personuppgiftsansvarige, att lämna information om namnen på de anställda som hade behandlat hans personuppgifter. Enligt banken är den rätt som föreskrivs i artikel 15 i den allmänna dataskyddsförordningen, inte tillämplig på logguppgifterna i bankens datasystem, där det framgår vilka anställda och vid vilken tidpunkt de har fått tillgång till det datasystem som innehåller kunduppgifter. De uppgifter som begärts var inte J.M.:s personuppgifter, utan personuppgifter om andra anställda.

21. I syfte att undvika missförstånd lämnade banken följande ytterligare förklaringar till J.M.: Bankens interna revision granskade år 2014 J.M.:s kunduppgifter för perioden 1 november-31 december 2013. Granskningen hängde samman med behandlingen av uppgifter om en annan bankkund till vilken J.M. hade en anknytning, vilket skulle kunna ge upphov till en intressekonflikt. Syftet med behandlingen var således att klargöra situationen.

22. J.M. vände sig till den nationella tillsynsmyndigheten, nämligen dataombudsmannens byrå, och begärde att denne skulle förelägga banken att lämna ut de begärda uppgifterna.

23. Den 4 augusti 2020 avslog den ställföreträdande dataombudsmannen J.M.:s begäran.

24. J.M. väckte talan vid Östra Finlands förvaltningsdomstol och gjorde gällande att han enligt den allmänna dataskyddsförordningen har rätt att få information om identiteten på de personer på banken som har kontrollerat hans uppgifter samt om deras befattning.

25. Östra Finlands förvaltningsdomstol beslutade mot denna bakgrund att ställa följande frågor till EU-domstolen:

”1) Ska den rätt till tillgång som tillkommer den registrerade enligt artikel 15.1 i den allmänna dataskyddsförordningen, med hänsyn till [begreppet] personuppgifter i den mening som avses i artikel 4.1 i förordningen, tolkas så, att information som insamlats av den personuppgiftsansvarige, av vilken framgår vem som har behandlat den registrerades personuppgifter samt tidpunkten och ändamålet för behandlingen, inte utgör information som den registrerade har rätt att få tillgång till, bland annat på grund av att det rör sig om uppgifter om den personuppgiftsansvariges arbetstagare?

2) Om fråga 1 besvaras jakande och den registrerade med stöd av artikel 15.1 i den allmänna dataskyddsförordningen inte har någon rätt att få tillgång till den information som anges i fråga 1 på grund av att den inte utgör personuppgifter om den registrerade enligt artikel 4.1 i den allmänna dataskyddsförordningen, ska följande för den informationen, som den registrerade i enlighet med artikel 15.1 [a-h] har rätt att få tillgång till, i förevarande fall beaktas:

a) Hur ska ändamålet med behandlingen, i den mening som avses i artikel 15.1 a, tolkas mot bakgrund av omfattningen av den registrerades rätt till tillgång? Kan ändamålet för behandlingen närmare bestämt ligga till grund för rätten att få tillgång till användarnas logguppgifter som den personuppgiftsansvarige har samlat in, såsom information om personuppgifter om de personer som har behandlat uppgifterna samt tidpunkten och ändamålet för behandlingen av personuppgifterna?

b) Kan personer som har behandlat J.M.:s kunduppgifter, i ett sådant sammanhang och enligt särskilda villkor, i enlighet med artikel 15.1 c i den allmänna dataskyddsförordningen betraktas som mottagare av personuppgifter som den registrerade har rätt att få tillgång till?

3) Har det någon betydelse för målet att det rör sig om en bank som utövar reglerad verksamhet eller att J.M. var både anställd och kund hos banken?

4) Är det relevant för prövningen av ovanstående frågor att J.M.:s uppgifter behandlades innan den allmänna dataskyddsförordningen trädde i kraft?”

III. Förfarandet vid EU-domstolen

26. Begäran om förhandsavgörande inkom till domstolens kansli den 22 september 2021.

27. Skriftliga yttranden har inkommit från J.M., den österrikiska, den tjeckiska och den finländska regeringen samt Europeiska kommissionen.

28. Vid förhandlingen som hölls den 12 oktober 2022 deltog J.M., dataombudsmannens byrå, banken, den finländska regeringen och kommissionen.

IV. Bedömning

29. Eftersom den hänskjutande domstolen efterfrågar en tolkning av flera olika bestämmelser i den allmänna dataskyddsförordningen, måste det till att börja med klargöras huruvida den av tidsmässiga skäl är tillämplig i det nationella målet. Om detta handlar den fjärde tolkningsfrågan.

A. Huruvida den allmänna dataskyddsförordningen är tillämplig (den fjärde tolkningsfrågan)

30. Enligt artikel 99.1 i den allmänna dataskyddsförordningen trädde denna förordning i kraft den 24 maj 2016. Den skulle emellertid inte börja tillämpas förrän den 25 maj 2018.

31. Kontrollen av J.M.:s personuppgifter skedde mellan den 1 november och den 31 december 2013, det vill säga innan den allmänna dataskyddsförordningen hade trätt i kraft och börjat tillämpas.

32. Det datum som är relevant här är emellertid den 29 maj 2018, då J.M. med stöd av artikel 15.1 i den allmänna dataskyddsförordningen (som var tillämplig från och med den 25 maj 2018) begärde att få tillgång till den omtvistade informationen.

33. Såsom den österrikiska regeringen har påpekat, ger artikel 15.1 i den allmänna dataskyddsförordningen de registrerade en processuell rättighet (rätt till tillgång) för att få information om behandlingen av deras personuppgifter. Eftersom det är en processuell regel är den tillämplig från och med att den träder i kraft. J.M. fick därför åberopa den när han begärde att få information från banken.

34. Frågan huruvida det var tillåtet att behandla de uppgifter som samlats in innan den allmänna dataskyddsförordningen trädde i kraft ska visserligen prövas mot bakgrund av de materiella bestämmelser som då gällde, det vill säga direktiv 95/46/EG och, i den mån det finns delar som är retroaktivt tillämpliga, den allmänna dataskyddsförordningen.

35. Eftersom det är ostridigt att den personuppgiftsansvarige förfogade över informationen när J.M. begärde att få tillgång till den (vilket är den rätt som garanteras genom artikel 15.1 i den allmänna dataskyddsförordningen), var den sistnämnda förordningen tillämplig.

36. Frågan huruvida de omtvistade uppgifterna har behandlats innan den allmänna dataskyddsförordningen trädde i kraft saknar följaktligen betydelse för bedömningen av huruvida den registrerade ska ges tillgång till den efterfrågade informationen enligt artikel 15.1 i den allmänna dataskyddsförordningen.

B. Den första och den andra tolkningsfrågan

37. Den första och den andra tolkningsfrågan kan prövas tillsammans. De avser i korthet huruvida J.M.:s personuppgifter, som banken samlat in och behandlat, överensstämmer med den information som den registrerade har rätt att få tillgång till enligt artikel 15.1 i den allmänna dataskyddsförordningen.

1. Den anställdes identitet och den registrerades personuppgifter

38. Jag vill erinra om att den information som J.M. begärde att få tillgång till avsåg identiteten på de anställda som hade kontrollerat hans kunduppgifter under år 2013, samt den tidpunkt då behandlingen hade skett och ändamålet med den.

39. Vid förhandlingen klargjordes att J.M. har begränsat sin begäran till att endast avse identiteten på de anställda. Det har i förevarande mål inte specifikt ifrågasatts att bankens behandling av hans uppgifter hade en laglig grund.

40. Således kan följande konstateras: Vad beträffar tidpunkten för behandlingen, framgår det av begäran om förhandsavgörande att J.M. redan kände till den när han framställde sin begäran. Vad beträffar ändamålet med behandlingen, informerade banken J.M. om det på det sätt som beskrivits ovan.

41. Tvisten handlar således enbart om informationen om identiteten på de anställda hos banken som hanterade J.M.:s personuppgifter.

42. I själva verket rör den informationen bara en detalj i behandlingen och inte den registrerades personuppgifter i sig, i den mening som avses i artikel 4.1 i den allmänna dataskyddsförordningen.

43. Det är uppenbart att den person vars uppgifter kontrollerades var J.M. När banken hade bekräftat att hans uppgifter hade behandlats, var den information som han hade rätt till, enligt artikel 15.1 i den allmänna dataskyddsförordningen, den som anges i led a–h i den bestämmelsen. När den informationen lämnas blir det möjligt för den registrerade att utöva sina rättigheter, inom ramen för de mekanismer som säkerställer att personuppgiftsbehandlingen är tillåten.

44. Av artikel 15.1 i den allmänna dataskyddsförordningen framgår att den information som åsyftas rör de omständigheter under vilka behandlingen av uppgifter sker.

45. Enligt artikel 15.1 i den allmänna dataskyddsförordningen har den registrerade rätt att få följande från den registeransvarige: För det första en ”bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas”. För det andra, om det bekräftas att uppgifterna behandlas, ”… tillgång till personuppgifterna och följande information”, det vill säga den som räknas upp i led a–h i den bestämmelsen.

46. I den bestämmelsen görs skillnad mellan ”personuppgifterna”, å ena sidan, och den ”information” som avses i de olika leden i punkt 1, å andra sidan.

47. Den information som ska lämnas till den registrerade enligt led a–h i artikel 15.1 i den allmänna dataskyddsförordningen, ska således inte förväxlas med hans eller hennes personuppgifter, i den mening som avses i artikel 4.1 i samma förordning.

48. Det handlar naturligtvis inte om uppgifter, utan om information, när det gäller ”ändamålen med behandlingen” (led a), ”de kategorier av personuppgifter som behandlingen gäller” (led b), ”den förutsedda period under vilken personuppgifterna kommer att lagras” (led d), den registrerades rättigheter enligt led e, f och g, förekomsten av automatiserat beslutsfattande (led h).

49. I samtliga dessa fall handlar informationen antingen om vissa rättigheter som den registrerade har eller, i synnerhet, om omständigheter kring den behandling som gjorts, som ändamålet med den (vilket är detsamma som grunden för den) och föremålet för den (kategorier av uppgifter som behandlats).

50. Informationen om de mottagare till vilka den registrerades personuppgifter har lämnats eller ska lämnas ut (artikel 15.1 c i den allmänna dataskyddsförordningen) uppvisar fler begreppsmässiga problem, vilka jag ska behandla nedan.

51. Artikel 15.1 i den allmänna dataskyddsförordningen föreskriver sammanfattningsvis en rätt till information om att själva behandlingen har ägt rum och om omständigheterna kring den. Därtill kommer informationen om den registrerades rättigheter rörande de uppgifter som behandlas, exempelvis att inge klagomål till en tillsynsmyndighet.

52. Jag anser inte att enbart förekomsten av en behandling och omständigheterna kring den utgör ”personuppgifter” i den mening som avses i artikel 4.1 i den allmänna dataskyddsförordningen.

53. Behandlingen kan visserligen medföra beslut som berör den registrerade, vilket den hänskjutande domstolen har påpekat. Det resultatet är emellertid inte beroende av vilken eller vilka fysiska personer som har kontrollerat uppgifterna för bankens räkning och under dess ansvar, vilket är den information som är omtvistad i det nationella målet.

54. J.M. har således rätt att få information från banken, i egenskap av registeransvarig, om de personuppgifter som den förfogar över, oavsett om den samlats in från J.M. själv (artikel 13 i den allmänna dataskyddsförordningen) eller om den inte har inhämtats från honom (artikel 14 i den allmänna dataskyddsförordningen). Han har även – enligt artikel 15 i den allmänna dataskyddsförordningen – rätt att få information om förekomsten av och omständigheterna kring varje behandling som skett av hans uppgifter, men inte på grund av att det sistnämnda i sig utgör en ”personuppgift”, utan på grund av att det uttryckligen föreskrivs i artikel 15 i den allmänna dataskyddsförordningen.

55. För att föregripa det som jag kommer att gå närmare in på nedan, är det viktiga i förvarande mål att identiteten på de anställda som kontrollerade uppgifterna om J.M. inte utgör en ”personuppgift” om honom.

56. En annan sak är om det i logguppgifter som jag kommer att ta upp senare, direkt eller indirekt finns andra personuppgifter om den registrerade än uppgifter om vilka anställda som fått tillgång till dessa uppgifter. Huruvida så är fallet är i stor utsträckning beroende av innehållet i logguppgifterna i fråga. Eftersom det nationella målet bara handlar om att få reda på de bankanställdas identitet, rör det sig emellertid som nämnts inte om en personuppgift om J.M. utan om dessa anställda.

2. Tillgång till information om de mottagare till vilka personuppgifterna har lämnats ut

57. Den hänskjutande domstolen vill veta huruvida J.M. mot bakgrund av artikel 15.1 a och c i den allmänna dataskyddsförordningen, har rätt att begära att banken ska lämna information om de anställda som behandlat hans personuppgifter, även om denna information inte utgör personuppgifter om J.M.

58. Enligt led a har den registrerade rätt att av den personuppgiftsansvarige få reda på ändamålen med behandlingen. Det som föreskrivs i led a (vilket iakttogs i förevarande mål, eftersom banken informerade J.M. om ändamålet med behandlingen) tillhandahåller emellertid inga kriterier för att avgöra vilka mottagarna är som hans personuppgifter har lämnats ut till.

59. Däremot anges det, helt riktigt, i frågan att det krävs en tolkning av artikel 15.1 c i den allmänna dataskyddsförordningen. Jag vill erinra om att där föreskrivs att den registrerade har rätt att få information om ”de mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut...”.

60. Enligt artikel 4.9 avses med mottagare ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte”.

61. Den sista satsen (”vare sig det är en tredje part eller inte”) skulle kunna ge upphov till missförstånd när det gäller den personkrets som bestämmelsen omfattar, vilket påtalades vid förhandlingen. Den skulle vid en ytlig, och enligt min uppfattning felaktig, tolkning kunna uppfattas så att med ”mottagare” inte bara avses vilken tredje part som helst som banken lämnat ut J.M.:s uppgifter till, utan även var och en av de anställda som rent konkret kontrollerar dessa uppgifter för den juridiska personens, det vill säga bankens, räkning.

62. Enligt artikel 4.10 i den allmänna dataskyddsförordningen avses med tredje part ”en fysisk eller juridisk person, offentlig myndighet, institution eller organ som inte är den registrerade, den personuppgiftsansvarige, personuppgiftsbiträdet eller de personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar är behöriga att behandla personuppgifterna”.

63. Mot bakgrund av detta anser jag att begreppet mottagare inte omfattar de anställda hos en juridisk person som när de använder sig av den juridiska personens datasystem, kontrollerar en kunds personuppgifter på uppdrag av den juridiska personens ledningsorgan. När dessa anställda handlar under den personuppgiftsansvariges direkta ansvar, är de enbart av det skälet inte att betrakta som ”mottagare” av uppgifterna.

64. Det kan emellertid hända att en anställd inte följer de förfaranden som den personuppgiftsansvarige har fastställt, utan på eget initiativ på ett otillåtet sätt bereder sig tillgång till uppgifter om kunder eller andra anställda. I det fallet har den illojale anställde inte handlat för den personuppgiftsansvariges räkning.

65. En illojal anställd skulle då kunna betecknas som en ”mottagare” till vilken personuppgifter om den registrerade har lämnats ut (bildligt talat), antingen av honom själv, och därmed otillåtet, eller av en (självständig) personuppgiftsansvarig.

66. Av redogörelsen för de faktiska omständigheterna i begäran om förhandsavgörande och av bankens argument vid förhandlingen, kan slutsatsen dras att banken, på eget ansvar, gav sina anställda tillstånd att kontrollera J.M.:s personuppgifter. De anställda följde således den personuppgiftsansvariges instruktioner och handlade för dennes räkning. Därför kan de inte anses vara mottagare i den mening som avses i artikel 15.1 c i den allmänna dataskyddsförordningen.

67. En annan sak är att identifieringen av dessa anställda och den tidpunkt då var och en av dem fick tillgång till kundens personuppgifter (det vill säga innehållet i register som jag ska behandla nedan) ska ställas till förfogande för tillsynsmyndigheterna för att kontrollera om de handlat på ett tillåtet sätt.

68. Detta bekräftas av artikel 29 i den allmänna dataskyddsförordningen, vilken innehåller formuleringen personer som utför arbete ”under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter”. Dessa personer får bara behandla uppgifterna i enlighet med instruktionerna från arbetsgivaren, som är den verklige personuppgiftsansvarige (eller det verkliga personuppgiftsbiträdet).

69. Syftet med artikel 15.1 i den allmänna dataskyddsförordningen är att ge den registrerade möjlighet att på ett effektivt sätt utöva (försvara) sina rättigheter när det gäller hans eller hennes personuppgifter. Det är därför som det måste anges vem som är personuppgiftsansvarig och, i förekommande fall, till vilka mottagare som uppgifterna har lämnats ut. Med den informationen kan den registrerade, förutom till den personuppgiftsansvarige, vända sig till de mottagare som fått kännedom om hans eller hennes uppgifter.

70. Den registrerade kan visserligen hysa tvivel om huruvida vissa personers medverkan var tillåten vid behandlingen av hans eller hennes uppgifter för den personuppgiftsansvariges eller personuppgiftsbiträdets räkning, och under dess överinseende.

71. Såsom den tjeckiska regeringen har påpekat och kommissionen uppgav vid förhandlingen, kan den registrerade i sådana fall vända sig till dataskyddsombudet (artikel 38.4 i den allmänna dataskyddsförordningen) eller till tillsynsmyndigheten för att inge ett klagomål (artiklarna 15.1 f och 77 i den allmänna dataskyddsförordningen). Vad denne inte tillerkänns är rätten att direkt inhämta en personuppgift (identiteten) om en anställd, som är underställd den personuppgiftsansvarige eller personuppgiftsbiträdet och i princip handlar på instruktion från denne.

72. Vid förhandlingen diskuterades det huruvida möjligheten att vända sig till dataskyddsombudet eller till tillsynsmyndigheten utgör en tillräcklig garanti, när det gäller att försvara rättigheterna för den person vars uppgifter har behandlats.

73. När den frågan besvaras skulle ett extensivt synsätt kunna tillämpas, vilket skulle innebära att varje registrerad person har rätt att få reda på identiteten på de anställda hos den personuppgiftsansvarige som fått tillgång till hans eller hennes uppgifter, även om det skett på uppdrag och under överinseende av den personuppgiftsansvarige.

74. Jag anser att den allmänna dataskyddsförordningen inte ger stöd för en sådan slutsats, även om en medlemsstat kan godta den i sin nationella lagstiftning, för en eller flera särskilda sektorer.

75. Jag anser inte att det är tillrådligt att domstolen tar på sig uppgifter som är näst intill lagstiftningsmässiga och ändrar den allmänna dataskyddsförordningen genom att föra in en ny informationsskyldighet, utöver de som återfinns i artikel 15.1. Så skulle vara fallet om den utan åtskillnad ålade den personuppgiftsansvarige att till den registrerade lämna information om, inte bara identiteten på den mottagare som uppgifterna lämnades ut till utan på alla anställda, eller personer inom företaget, som fått legitim tillgång till dem.

76. Såsom banken uppgav vid förhandlingen utgör identiteten på de enskilda anställda som haft hand om behandlingen av uppgifter om en kund särskilt känslig information ur ett säkerhetsperspektiv, åtminstone inom vissa ekonomiska sektorer.

77. Dessa anställda skulle kunna bli utsatta för försök till påtryckningar och påverkan från kunder i banken som kan ha intresse av att individualisera sin samtalspartner, som då inte längre skulle vara själva banken utan någon av dess anställda, som den svagaste länken i företagets kedja. Detta skulle till exempel kunna ske när det görs en uppföljning av transaktionerna, genom att uppgifterna om kunden kontrolleras, för att banken ska uppfylla sina skyldigheter när det gäller att förebygga och bekämpa ekonomisk brottslighet.

78. Kunden kan mycket väl betvivla redbarheten eller opartiskheten hos den fysiska person som handlar för den personuppgiftsansvariges räkning vid behandlingen kundens uppgifter. Ett sådant tvivel skulle, om det är rimligt, kunna motivera ett intresse av att få reda på den anställdes identitet, för att kunden ska kunna utöva sin rätt att vidta åtgärder mot honom eller henne.

79. Med tanke på hur känslig den informationen är, står intresset av att få reda på den anställdes identitet mot det minst lika odiskutabla intresset hos de som svarat för behandlingen att iaktta diskretion när det gäller de anställdas identitet, liksom de sistnämndas rätt att skydda sina egna uppgifter. Jag anser att en jämvikt kan uppnås genom att tillsynsmyndigheten griper in och gör en avvägning mellan dessa två motstående intressen.

80. I ett fall som det här aktuella måste det således vara tillsynsmyndigheten som utifrån sin opartiska ställning bedömer om tvivlen rörande de bankanställdas handlande har fog för sig och är tillräckligt starka för att det ska finnas skäl att offra sekretessen kring deras identitet.

3. Tillgång till uppgifter om anställdas identitet som finns i register över behandling

81. Den första och den andra tolkningsfrågan skulle här kunna anses ha besvarats, när det har slagits fast att anställda på banken som handlar för bankens räkning och på instruktion från den, egentligen inte är mottagare i den mening som avses i artikel 15.1 c i den allmänna dataskyddsförordningen.

82. Det är emellertid lämpligt att komplettera svaret med en bedömning av den registrerades påstådda rätt att få kännedom om de anställdas identitet, när uppgifter om den finns i bankens register över behandling. Såsom jag tidigare har påpekat är det visserligen inte säkert att alla sådana register har ett identiskt innehåll, men det är allmänt accepterat att de avspeglar vem (bland den personuppgiftsansvariges anställda) som kontrollerat kunduppgifterna och hur och när det har skett.

83. Den här typen av register gör det möjligt för den personuppgiftsansvarige att uppfylla sin skyldighet att iaktta principerna i artikel 5.1 i den allmänna dataskyddsförordningen och att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning (artiklarna 24.1 och 25.2 i den allmänna dataskyddsförordningen).

84. Vad beträffar direktiv (EU) 2016/680, vilket kommissionen har tagit upp som ett exempel på ett särskilt system för skydd av uppgifter inom det straffrättsliga området, kan följande konstateras: Enligt artikel 24 i det direktivet ska alla personuppgiftsansvariga föra ett register över alla kategorier av verksamheter i samband med behandling som de ansvarar för (punkt 1) och alla personuppgiftsbiträden ska upprätthålla ett register över alla kategorier av behandling som utförts för den personuppgiftsansvariges räkning (punkt 2). Enligt artikel 25 ska det föras ”... loggar... över åtminstone följande typer av behandlingar i automatiserade behandlingssystem: insamling, ändring, läsning, utlämning inbegripet överföringar, sammanförande och radering. Loggarna över läsning och utlämning ska göra det möjligt att fastställa motivering, datum och tidpunkt för sådan behandling och i möjligaste mån vem som har läst eller lämnat ut personuppgifter, samt vilka som har fått tillgång till personuppgifterna.”

85. Enligt artikel 14 i direktiv 2016/680 ingår inte information om identiteten på den anställde som har behandlat personuppgifterna i den information som den registrerade har rätt att få tillgång till.

86. Vidare föreskrivs i artikel 30 i den allmänna dataskyddsförordningen att det ska finnas ett ”register över behandling”, vars innehåll överensstämmer – dock på ett mindre konkret sätt när det gäller definitionen av behandlingen – med loggningen i artikel 25 i direktiv 2016/680. Liksom är fallet med det sistnämnda direktivet, ingår inte den registrerade informationen om den anställdes identitet i den information som den registrerade har rätt att få tillgång till enligt artikel 15 i den allmänna dataskyddsförordningen.

87. Denna brist på symmetri mellan den registrerade informationen, å ena sidan, och rätten till tillgång till den, å den andra, beror på att de bestämmelser som reglerar register över behandling respektive rätten till tillgång till deras innehåll har olika syften.

88. Syftet med de register som avses i artikel 30 i den allmänna dataskyddsförordningen är som nämnts att kontrollera att behandlingen är tillåten samt att säkerställa uppgifternas integritet och säkerhet. Ansvaret för detta faller i allmänhet på tillsynsmyndigheten. Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidare göra registren över behandling tillgängliga för den myndigheten (artikel 30.4 i den allmänna dataskyddsförordningen).

89. I den allmänna dataskyddsförordningen syftar rätten att inge klagomål till tillsynsmyndigheterna (artikel 15.1 f), vilka ska se till att förordningen tillämpas på rätt sätt, till att skydda fysiska personers rättigheter i samband med att deras uppgifter behandlas. Detta föreskrivs i artikel 51.1 i den allmänna dataskyddsförordningen och det framgår även av uppräkningen av tillsynsmyndigheternas uppgifter i artikel 57 i samma förordning.

90. Den allmänna uppgiften att övervaka tillämpningen av den allmänna dataskyddsförordningen och skydda fysiska personers rättigheter, motiverar tillsynsmyndigheternas befogenheter. Här ingår befogenheten att ta reda på omständigheterna kring den behandling av uppgifter som har skett under ett personuppgiftsbiträdes eller en personuppgiftsansvarigs ansvar. Det är just en av dessa omständigheter som har betydelse här, nämligen identiteten på de personer som kontrollerar kundernas personuppgifter för den personuppgiftsansvariges eller personuppgiftsbiträdets räkning.

91. Ingenstans i den allmänna dataskyddsförordningen finns det emellertid något krav på att de uppgifter om de anställdas identitet som finns i bankernas interna register, genom vilka dessa kan få kännedom om (och i förekommande fall göra dem tillgängliga för tillsynsmyndigheten) vem som har granskat personuppgifter rörande en kund, och när det har skett, ska vara tillgängliga för kunden.

92. Däremot har den person som berörs av en konkret behandling rätt att få den information som krävs för att få kännedom om de relevanta omständigheterna, för att kunna bedöma om behandlingen har varit tillåten och i förekommande fall ifrågasätta den hos tillsynsmyndigheten eller i sista hand i domstol.

93. Detta hindrar emellertid inte att om det i dessa register över behandling verkligen finns personuppgifter om den registrerade (det vill säga andra uppgifter än enbart de anställdas identitet), så har denne självklart rätt att få en bekräftelse från den personuppgiftsansvarige på att hans eller hennes personuppgifter håller på att behandlas. Det saknar i detta sammanhang betydelse huruvida personuppgifterna finns i ett register över behandling eller i något annat internt register eller någon databas hos banken.

C. Den tredje tolkningsfrågan

94. Den hänskjutande domstolen vill veta om ”det [har] någon betydelse för målet att det rör sig om en bank som utövar reglerad verksamhet eller att J.M. var både anställd och kund hos banken”.

95. Jag anser att det ovan anförda inte påverkas av att den personuppgiftsansvarige utövar en reglerad verksamhet. Att den personuppgiftsansvarige är en bank som omfattas av en särskild reglering för den här typen av institutioner kan emellertid ha betydelse när det ska klargöras huruvida behandlingen har varit tillåten (den rättsliga grunden), när den föranleds av ett uppfyllande av lagstadgade skyldigheter som åligger den.

96. I princip saknar det också betydelse att den person vars uppgifter har kontrollerats var både anställd och kund hos banken. Enligt artikel 15.1 i den allmänna dataskyddsförordningen spelar det ingen roll vilken yrkesverksamhet den registrerade bedriver, förutsatt att han är kund hos banken.

97. Såsom kommissionen har påpekat får medlemsstaterna visserligen enligt artikel 23 i den allmänna dataskyddsförordningen vidta åtgärder som begränsar de skyldigheter och rättigheter som föreskrivs i bland annat artikel 15, genom sektorslagstiftning för en viss kategori av personer som berörs. Den hänskjutande domstolen nämner emellertid inte några sådana nationella begränsningar.

V. Förslag till avgörande

98. Mot bakgrund av vad som ovan anförts föreslår jag att domstolen ska besvara de tolkningsfrågor som Östra Finlands förvaltningsdomstol har ställt på följande sätt:

”Artikel 15.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförd med artikel 4.1 i samma förordning,

ska tolkas på följande sätt:

Den är tillämplig när den begäran om tillgång till information som den registrerade har riktat till den personuppgiftsansvarige har framställts efter den 25 maj 2018.

Den ger inte den registrerade rätt att, bland den information som den personuppgiftsansvarige förfogar över (i förekommande fall genom register över behandling), få kännedom om identiteten på den anställde eller de anställda som under den personuppgiftsansvariges överinseende och på instruktion från denne, har kontrollerat den registrerades personuppgifter.”

1 Originalspråk: spanska.

2 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelse i EUT L 74, 2021, s. 35) (nedan kallad den allmänna dataskyddsförordningen).

3 Dataskyddslagen. Enligt 1 § dataskyddslagen preciseras och kompletteras den allmänna dataskyddsförordningen genom denna lag.

4 Lagen om integritetsskydd i arbetslivet.

5 Banken ville få klarlagt huruvida det förelåg en intressekonflikt mellan J.M. och en bankkund vars konto J.M. var ansvarig för. Till sist drogs slutsatsen att J.M. inte hade gjort sig skyldig till någon skadeståndsgrundande handling.

6 Artikel 99.2 i den allmänna dataskyddsförordningen.

7 Se, för ett liknande resonemang, förslag till avgörande av generaladvokaten Pitruzzella i målet Österreichische Post (Information om personuppgifternas mottagare) ( C-154/21, EU:C:2022:452, punkt 33): ”... rätten till tillgång enligt artikel 15.1 c i dataskyddsförordningen har en praktisk och avgörande betydelse för utövandet av andra rättigheter som den registrerade har enligt dataskyddsförordningen”.

8 Eller, vilket här är fallet, från och med den tidpunkt då själva rättsakten ska börja tillämpas, om den inte sammanfaller med ikraftträdandet.

9 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

10 EU-domstolens rättspraxis rörande regeländringars rättsverkningar i tiden sammanfattas i dom av den 15 juni 2021, Facebook Ireland m.fl. ( C-645/19, EU:C:2021:483).

11 Vad beträffar direktiv 95/46 slog domstolen i dom av den 7 maj 2009, Rijkeboer (C-553/07, EU:C.2009:293, punkt 70) fast att ”[m]edlemsstaterna... enligt artikel 12 a i direktivet [är] skyldiga att föreskriva en rätt att få tillgång till information..., vilken avser inte enbart nutid, utan även förfluten tid. Det ankommer på medlemsstaterna att fastställa den tid under vilken denna information ska lagras och att fastställa en motsvarande rätt att få tillgång till denna information, vilket innebär en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv, bland annat genom den rätt att göra invändningar och att föra talan som föreskrivs i direktiv 95/46 och den börda som skyldigheten att lagra denna information utgör för den registeransvarige.” Min kursivering.

12 Med förbehåll för att detta är en fråga som det eventuellt ankommer på den hänskjutande domstolen att pröva, anfördes vid förhandlingen som grunder för att behandla uppgifterna dels de skyldigheter som följer av den finländska lagstiftningen, enligt vilken banken, i egenskap av finansinstitut, ska säkerställa att riskerna hanteras på rätt sätt samt iaktta bestämmelserna om förebyggande och bekämpning av penningtvätt vad beträffar spårbarheten i transaktionerna, dels de avtal som banken har med sina kunder och anställda, enligt vilka deras personuppgifter får kontrolleras under förhållanden som de här aktuella.

13 Se punkt 21 i detta förslag till avgörande.

14 Enligt den bestämmelsen avses med personuppgifter ”varje upplysning som avser en identifierad eller identifierbar fysisk person”, det vill säga en person ”som direkt eller indirekt kan identifieras”.

15 Hans identitet angavs inte som en följd eller effekt av behandlingen, eftersom den ju skedde efter det att J.M. hade identifierats.

16 Såsom kommissionen har påpekat är det möjligt att J.M. anser att den information som har tillhandahållits är otillräcklig eller alltför vag. Under alla förhållanden följer det av artikel 15.1 i den allmänna dataskyddsförordningen att J.M. har rätt att få bekräftelse på huruvida hans uppgifter har behandlats eller håller på att behandlas (vilket innebär att det måste anges när) och vilka ändamålen är med behandlingen. Det ankommer på den hänskjutande domstolen att avgöra huruvida han fått tillräcklig information om detta.

17 Se återgivningen av den i punkt 9 i detta förslag till avgörande.

18 Såsom domstolen har slagit fast beträffande direktiv 95/46, vilket även kan tillämpas på den allmänna dataskyddsförordningen, avspeglas principerna för det skydd som föreskrivs i unionsrätten ”dels i de förpliktelser som åvilar registeransvariga personer särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de omständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få tillgång till uppgifterna, att begära rättelse och att under vissa omständigheter invända mot behandlingen” (dom av den 20 december 2017, Nowak, C-434/16, EU:C:2017:994, punkt 48).

19 Min kursivering.

20 Rätt att begära rättelse eller radering av uppgifter eller begränsningar av eller invändning mot behandlingen, att inge klagomål till en tillsynsmyndighet och att få information om varifrån uppgifter som inte samlats in från den registrerade kommer.

21 Punkt 38 i beslutet att begära förhandsavgörande.

22 Artiklarna 13, 14 och 15 i den allmänna dataskyddsförordningen, vilka ingår i avsnitt 2 (”Information och tillgång till personuppgifter”) i kapitel III (”Den registrerades rättigheter”), utgör ett system som bygger på ett erkännande av rätten att få kännedom om: a) de personuppgifter som den registeransvarige förfogar över, oavsett hur de har inhämtats (artiklarna 13 och 14), och b) omständigheterna kring varje behandling av dessa uppgifter, i synnerhet (artikel 15).

23 Min kursivering.

24 Detta anser även Europeiska dataskyddsstyrelsen i sina riktlinjer 07/2020, vilka antogs den 2 september 2020, rörande begreppen ansvarig och biträde i den allmänna dataskyddsförordningen, punkterna 83–90.

25 I det fallet är artikel 34.1 i den allmänna dataskyddsförordningen tillämplig.

26 Detta anser Europeiska dataskyddsstyrelsen i de ovannämnda riktlinjerna 07/2020, punkt 88: ”An employee … who obtains access to data that he or she is not authorised to access and for other purposes than that of the employer does not fall within this category. Instead, this employee should be considered as a third party vis-à-vis the processing undertaken by the employer. Insofar as the employee processes personal data for his or her own purposes, distinct from those of his or her employer, he or she will then be considered a controller and take on all the resulting consequences and liabilities in terms of personal data processing.”

27 Resultatet blir detsamma om man tolkar hänvisningarna i artiklarna 13 och 14 i den allmänna dataskyddsförordningen, och skäl 61, till den tidpunkt då de registrerade ska förses med information om behandlingen av de personuppgifter som har lämnats ut till mottagarna. Härav följer att mottagaren är en annan enhet eller person än den personuppgiftsansvarige/personuppgiftsbiträdet.

28 Den finländska regeringen uppgav vid förhandlingen att den har gjort det när det gäller sjukvårdsuppgifter.

29 Det är svårt att förutse vilka konsekvenser ett erkännande av en sådan skyldighet skulle få för företagens löpande verksamhet, i synnerhet de företag som blir skyldiga att (naturligtvis genom sina anställda) behandla miljontals personuppgifter rörande sina kunder.

30 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).

31 Det klargjordes vid förhandlingen att hänvisningen till direktiv 2016/680 inte innebar att det skulle anses tillämpligt i förevarande mål, vilket helt saknar straffrättsliga inslag.

32 Dessa bestämmelser återges i artikel 88 Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39), med tillägget, i punkt 2, att sådana loggar ska raderas efter tre år, om de inte krävs för en pågående kontroll.

33 I artikel 25.1 i direktiv 2016/680 nämns uttryckligen den ”som har läst eller lämnat ut personuppgifter”. Mer generellt, och utan att åsyfta varje konkret behandling, utan ”alla kategorier av behandling som utförts för den personuppgiftsansvariges räkning”, nämns i artikel 30.2 a i den allmänna dataskyddsförordningen ”namn och kontaktuppgifter för personuppgiftsbiträdet”, det vill säga, enligt artikel 4.8 i den allmänna dataskyddsförordningen, en ”person... som behandlar personuppgifter för den personuppgiftsansvariges räkning”.

34 En sådan särskild reglering kan till exempel, enligt skäl 11 i direktiv 2016/680, innebära att ”... finansinstitut [behåller] vissa personuppgifter som de behandlar i syfte att utreda, avslöja eller lagföra brott, och tillhandahåller dessa personuppgifter för behöriga nationella myndigheter endast i särskilda fall och i enlighet med medlemsstaternas nationella rätt”.

35 Se fotnot 12 i detta förslag till avgörande.

36 Den hänskjutande domstolen ställer ingen fråga om huruvida J.M.:s rättigheter i egenskap av anställd hos banken har åsidosatts.