Förslag till avgörande av Generaladvokat Emiliou – Mål C‑683/21 Nacionalinis visuomenės sveikatos centras

I. Inledning

1. Under vilka omständigheter är det, i en värld där personuppgifter är en handelsvara och utgör en nyupptäckt guldgruva för företagen, möjligt att påföra administrativa sanktionsavgifter för överträdelser av dataskyddsreglerna i förordning (EU) 2016/679? Eller, mer specifikt: vilken form av skuld, om någon, måste en personuppgiftsansvarig visa prov på för att kunna påföras sådana avgifter? Detta är den centrala fråga som i förevarande mål har tagits upp av Vilniaus apygardos administracinis teismas (Regionala förvaltningsdomstolen i Vilnius, Litauen).

2. Tvisten i den domstolen, där parterna är Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (Nationella folkhälsocentret inom Hälsoministeriet, Litauen; nedan kallat NVSC) och Valstybinė duomenų apsaugos inspekcija (Statliga dataskyddsinspektionen, Litauen; nedan kallad datainspektionen), rör väsentligen den roll som NVSC spelade i samband med utvecklingen och tillgängliggörandet för allmänheten av en mobilapp som under april och maj 2020 samlade in personuppgifter om personer som hade varit i kontakt med covid‑19-smittade patienter.

3. I det sammanhanget får EU-domstolen tillfälle att i förevarande mål ytterligare klargöra begreppen ”personuppgiftsansvarig”, ”gemensamt personuppgiftsansvariga” och ”behandling”, vilka definieras i artikel 4 led 7, artikel 26.1 respektive artikel 4 led 2 i dataskyddsförordningen, liksom att för första gången ta ställning till huruvida det är möjligt att med stöd av artikel 83 i den förordningen påföra en administrativ sanktionsavgift på en personuppgiftsansvarig som inte vare sig uppsåtligen eller av oaktsamhet har begått någon överträdelse av reglerna i nämnda förordning. För att kunna besvara den frågan måste EU-domstolen slå fast huruvida den bestämmelsen medger att sanktionsavgifter påförs när ingen form av skuld föreligger, alltså på grundval av strikt ansvar.

II. Tillämpliga bestämmelser

A. Unionsrätt

4. Skäl 148 i dataskyddsförordningen har följande lydelse:

”För att stärka verkställigheten av denna förordning bör det utdömas sanktioner, inbegripet administrativa sanktionsavgifter, för överträdelser av denna förordning … Vid en mindre överträdelse eller om den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda för en fysisk person får en reprimand utfärdas i stället för sanktionsavgifter. Vederbörlig hänsyn bör dock tas till överträdelsens karaktär, svårighetsgrad och varaktighet och huruvida den har skett uppsåtligen, vilka åtgärder som vidtagits för att lindra skadan, graden av ansvar eller eventuella tidigare överträdelser av relevans, det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, efterlevnad av åtgärder som förordnats mot den personuppgiftsansvarige eller personuppgiftsbiträdet, tillämpning av en uppförandekod och eventuella andra försvårande eller förmildrande faktorer. Utdömandet av sanktioner, inbegripet administrativa sanktionsavgifter, bör underkastas adekvata rättssäkerhetsgarantier i överensstämmelse med allmänna principer inom unionsrätten och stadgan, vilket inbegriper ett effektivt rättsligt skydd och korrekt rättsligt förfarande.”

5. Skäl 150 i den förordningen har följande lydelse:

”För att förstärka och harmonisera de administrativa sanktionerna för överträdelser av denna förordning bör samtliga tillsynsmyndigheter ha befogenhet att utfärda administrativa sanktionsavgifter. Det bör i denna förordning anges vilka överträdelserna är, den övre gränsen för och kriterierna för fastställande av de administrativa sanktionsavgifterna, som i varje enskilt fall bör bestämmas av den behöriga tillsynsmyndigheten med beaktande av alla relevanta omständigheter i det särskilda fallet, med vederbörlig hänsyn bland annat till överträdelsens karaktär, svårighetsgrad och varaktighet samt till dess följder och till de åtgärder som vidtas för att sörja för fullgörandet av skyldigheterna enligt denna förordning och för att förebygga eller lindra konsekvenserna av överträdelsen. … Utfärdande av administrativa sanktionsavgifter eller utdelning av en varning påverkar inte tillämpningen av tillsynsmyndigheternas övriga befogenheter eller av andra sanktioner enligt denna förordning.”

6. I artikel 4 led 7 i dataskyddsförordningen definieras ”personuppgiftsansvarig” som ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter …”.

7. I den relevanta delen av artikel 26 i den förordningen, vars rubrik lyder ”Gemensamt personuppgiftsansvariga”, anges följande:

”1. Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. …

…”

8. I artikel 83 i samma förordning, vars rubrik lyder ”Allmänna villkor för påförande av administrativa sanktionsavgifter”, föreskrivs följande: 1. Varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande. 2. Administrativa sanktionsavgifter ska, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vid beslut om huruvida administrativa sanktionsavgifter ska påföras och om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall ska vederbörlig hänsyn tas till följande: a) Överträdelsens karaktär, svårighetsgrad och varaktighet med beaktande av den aktuella uppgiftsbehandlingens karaktär, omfattning eller syfte samt antalet berörda registrerade och den skada som de har lidit. b) Om överträdelsen skett med uppsåt eller genom oaktsamhet. … k) Eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet, såsom ekonomisk vinst som görs eller förlust som undviks, direkt eller indirekt, genom överträdelsen. 3. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. …”

B. Litauisk rätt

9. I artikel 72.2 i Viešųjų pirkimų įstatymas (lagen om offentlig upphandling) stadgas följande:

”Den upphandlande myndigheten ska genomföra ett förhandlat förfarande utan offentliggörande av meddelande om upphandling enligt följande:

1. Skriftlig inbjudan att lämna anbud riktas till de utvalda ekonomiska aktörerna.

2. Kontroll utförs av huruvida det föreligger skäl för uteslutning av ekonomiska aktörer i enlighet med vad som anges i upphandlingsdokumenten samt av huruvida de ekonomiska aktörerna uppfyller föreskrivna kvalifikationskrav och, i förekommande fall, erforderliga standarder för kvalitetssäkring och/eller miljöledning.

3. Förhandlingar genomförs med anbudsgivarna, i enlighet med det förfarande som anges i artikel 66 i denna lag, och begäran om att de ska lämna slutliga anbud framställs. Den upphandlande myndigheten är inte skyldig att begära in ett slutligt anbud när endast en ekonomisk aktör deltar i ett förhandlat förfarande utan föregående offentliggörande av meddelande.

4. Utvärdering görs av de slutliga anbuden och det fastställs vilken anbudsgivare som ska tilldelas kontraktet.”

III. Bakgrunden till tvisten, förfarandet vid den nationella domstolen och tolkningsfrågorna

10. För att hantera den situation som spridningen av covid‑19 hade gett upphov till anmodade Republiken Litauens hälsominister (nedan kallad hälsoministern) genom beslut av den 24 mars 2020 NVSC:s direktör att ombesörja utveckling och förvärv av en mobilapp, nämligen KARANTINAS. Denna mobilapp var utformad för att samla in och övervaka personuppgifter för personer som hade varit i kontakt med covid‑19-smittade patienter.

11. Den 27 mars 2020 underrättades bolaget ”IT sprendimai sėkmei” UAB (nedan kallat ITSS) av en person som påstod sig vara företrädare för NVSC om att bolaget hade utsetts till utvecklare av KARANTINAS. E‑postmeddelanden rörande utvecklingen av appen utväxlades både mellan ITSS och nämnda person och mellan ITSS och ett antal NVSC‑anställda och NVSC:s direktör. I detta skede upprättades också ett sekretessavtal där både ITSS och NVSC angavs som personuppgiftsansvariga.

12. Den mobilapp som slutligen utvecklades gjordes tillgänglig för allmänheten att ladda ned från Google Play Store den 4 april 2020 och från Apple App Store den 6 april 2020. Både ITSS och NVSC angavs på nytt som personuppgiftsansvariga i den version av KARANTINAS som gjordes tillgänglig för allmänheten att ladda ned. Vid denna tidpunkt hade den mobilappen ännu inte förvärvats av NVSC.

13. Genom beslut av den 10 april 2020 anmodade hälsoministern NVSC:s direktör att gå vidare med förvärvet av KARANTINAS genom förhandlat förfarande utan offentliggörande av meddelande om upphandling i enlighet med artikel 72.2 i lagen om offentlig upphandling.

14. Ett sådant förfarande inleddes, men NVSC lyckades inte erhålla tillräcklig finansiering och avbröt därför förfarandet. Således ingicks inget offentligt avtal om köp. Appen KARANTINAS förblev emellertid tillgänglig för allmänheten att ladda ned.

15. NVSC uppmanade den 15 maj 2020 ITSS att i mobilappen inte använda några upplysningar om NVSC eller göra några kopplingar till NVSC. Den 18 maj 2020 inledde datainspektionen en utredning avseende både ITSS och NVSC rörande överträdelse av reglerna i dataskyddsförordningen. På begäran av datainspektionen togs KARANTINAS den 26 maj 2020 tills vidare ur drift. Enligt ITSS hade 3802 användare lagt in personuppgifter via appen mellan den 4 april och den 26 maj 2020.

16. Genom beslut av den 24 februari 2021 påförde datainspektionen administrativa sanktionsavgifter på NVSC och ITSS, i dessas egenskap av gemensamt personuppgiftsansvariga, för överträdelser av artiklarna 5, 13, 24, 32 och 35 i dataskyddsförordningen.

17. Det beslutet har NVSC nu överklagat till Vilniaus apygardos administracinis teismas (Regionala förvaltningsdomstolen i Vilnius), som i allt väsentligt är osäker på huruvida begreppet ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen ska ges en extensiv tolkning och anses innefatta fysiska personer, juridiska personer eller organ som i likhet med NVSC inte är utvecklare av en mobilapp men som i syfte att förvärva en sådan mobilapp genom ett upphandlingsförfarande har bestämt ”ändamålen och medlen för behandlingen av personuppgifter”, eller om det begreppet i stället ska ges en mer restriktiv tolkning där hänsyn tas till förfarandet för offentlig upphandling och dettas utfall.

18. I synnerhet undrar den hänskjutande domstolen huruvida det i detta hänseende är relevant att anbudsförfarandet så småningom avbröts och att KARANTINAS aldrig förvärvades av NVSC. Därutöver undrar den hänskjutande domstolen också huruvida den aktuella bedömningen påverkas av att NVSC inte officiellt samtyckte till eller tillät att den mobilappen gjordes tillgänglig för allmänheten.

19. Vidare önskar den hänskjutande domstolen få klarlagt vissa punkter som rör förhållandet mellan NVSC och ITSS. Därvidlag undrar nämnda domstol under vilka omständigheter nämnda enhet och bolag skulle anses vara ”gemensamt personuppgiftsansvariga” i den mening som avses i artikel 4 led 7 jämförd med artikel 26.1 i dataskyddsförordningen. För den händelse att NVSC och ITSS i det aktuella fallet inte är att anse som ”gemensamt personuppgiftsansvariga”, utan i stället som ”personuppgiftsansvarig” respektive ”personuppgiftsbiträde” i den mening som avses i dataskyddsförordningen, önskar den hänskjutande domstolen få det klarlagt när ITSS:s handlande skulle kunna ge upphov till ansvar för NVSC:s del. Därvidlag undrar nämnda domstol huruvida artikel 83 i dataskyddsförordningen ska tolkas så, att den innebär att det är möjligt att påföra en administrativ sanktionsavgift på en personuppgiftsansvarig som i likhet med NVSC inte själv har gjort sig skyldig till någon överträdelse av den förordningen, vare sig uppsåtligen eller av oaktsamhet.

20. Mot denna bakgrund beslutade Vilniaus apygardos administracinis teismas (Regionala förvaltningsdomstolen i Vilnius) att vilandeförklara målet och hänskjuta följande tolkningsfrågor till EU-domstolen för förhandsavgörande:

”1) Kan begreppet ’personuppgiftsansvarig’ i artikel 4 led 7 i dataskyddsförordningen tolkas så, att en person som planerar att anskaffa ett verktyg för insamling av uppgifter (mobilapplikation) genom offentlig upphandling även ska anses vara personuppgiftsansvarig, oberoende av att ett offentligt kontrakt inte har ingåtts och att den skapade produkten (mobilapplikation), för vars anskaffning ett offentligt upphandlingsförfarande användes, inte har överlåtits?

2) Kan begreppet ’personuppgiftsansvarig’ i artikel 4 led 7 i dataskyddsförordningen tolkas så, att en upphandlande myndighet, som inte har förvärvat äganderätten till den skapade it-produkten och inte har tagit den i besittning, även ska anses vara personuppgiftsansvarig när den slutliga versionen av den skapade it-produkten tillhandahåller länkar eller gränssnitt till denna offentliga enhet och/eller till sekretesspolicyn, vilka inte har godkänts eller erkänts officiellt av den ifrågavarande offentliga enheten, som betecknar den offentliga enheten själv som personuppgiftsansvarig?

3) Kan begreppet ’personuppgiftsansvarig’ i artikel 4 led 7 i dataskyddsförordningen tolkas så, att en person som inte har utfört någon faktisk behandling av personuppgifter i den mening som avses i artikel 4 led 2 i dataskyddsförordningen, och/eller som inte har lämnat något tydligt tillstånd/samtycke till sådana åtgärder, även ska anses vara personuppgiftsansvarig? Är det av betydelse för tolkningen av begreppet ’personuppgiftsansvarig’ att den it-produkt som användes för behandlingen av personuppgifter skapades i enlighet med det av den upphandlande myndigheten formulerade uppdraget?

4) Om det är relevant för tolkningen av begreppet ’personuppgiftsansvarig’ att faktisk behandling av personuppgifter fastställs, ska då definitionen av ’behandling’ av personuppgifter i den mening som avses i artikel 4 led 2 i dataskyddsförordningen tolkas så, att den även omfattar situationer där kopior av personuppgifter har använts för att prova it-systemen i samband med förfarandet för anskaffning av en mobilapplikation?

5) Kan gemensamt personuppgiftsansvar enligt artikel 4 led 7 och artikel 26.1 i dataskyddsförordningen tolkas så, att det uteslutande innefattar avsiktligt samordnade åtgärder för att bestämma ändamålen och medlen för behandlingen av personuppgifter, eller kan detta begrepp även tolkas så, att gemensamt personuppgiftsansvar även omfattar situationer där det inte finns något tydligt ’arrangemang’ beträffande ändamålen och medlen för behandlingen av personuppgifter och/eller åtgärderna inte har samordnats mellan enheterna? Är omständigheter som hänför sig till utvecklingsstadiet för det medel för behandling av personuppgifter (it-applikation) i vilket personuppgifter behandlades och syftet med att skapa en sådan applikation av rättslig betydelse för tolkningen av begreppet gemensamt personuppgiftsansvar? Kan ett ’arrangemang’ mellan gemensamt personuppgiftsansvariga enbart förstås som ett klart och definierat fastställande av villkoren för det gemensamma personuppgiftsansvaret?

6) Ska artikel 83.1 i dataskyddsförordningen, enligt vilken påförandet av ’administrativa sanktionsavgifter … [ska vara] effektivt, proportionellt och avskräckande’, tolkas så, att den även omfattar fall där den ’personuppgiftsansvarige’ påförs ansvar när utvecklaren, i samband med skapandet av en it-produkt, även utför åtgärder för behandling av personuppgifter, och medför otillbörliga åtgärder för behandling av personuppgifter som utförs av personuppgiftsbiträdet alltid automatiskt ett rättsligt ansvar för den personuppgiftsansvarige? Ska denna bestämmelse tolkas så, att den även innefattar strikt ansvar för den personuppgiftsansvarige?”

21. Begäran om förhandsavgörande, som är daterad den 22 oktober 2021, registrerades den 12 november 2021. NVSC, datainspektionen, den litauiska regeringen och Europeiska kommissionen har inkommit med skriftliga yttranden.

22. Den litauiska och den nederländska regeringen var jämte kommissionen och rådet företrädda vid den muntliga förhandlingen, som ägde rum den 17 januari 2023.

IV. Bedömning

23. Under covid‑19-pandemin erbjöds allmänheten i många medlemsstater att ladda ned mobilappar som gjorde det möjligt att ”följa och spåra” personer som var smittade av viruset eller hade varit i kontakt med smittade. Dessa mobilappar utvecklades för att hantera det akuta läget och ofta under medverkan av flera offentliga och privata aktörer (exempelvis ministerier och andra offentliga enheter liksom privata bolag). Användarna uppmanades att ladda upp personuppgifter till dessa mobilappar, särskilt uppgifter om sin hälsa.

24. Målet vid den nationella domstolen rör just en sådan mobilapp, nämligen appen KARANTINAS, som utvecklades av bolaget ITSS (ett privat företag) på initiativ av NVSC (en offentlig myndighet) efter ett beslut av hälsoministern. Det framgår inte tydligt av akten i målet eller av de upplysningar som lämnades vid förhandlingen vilka andra offentliga enheter i Litauen som eventuellt var inblandade i arbetet med att utveckla appen. Dessutom råder det visst tvivel om huruvida NVSC samtyckte till att KARANTINAS gjordes tillgänglig för allmänheten under den period då den aktuella behandlingen av personuppgifter ägde rum (april och maj 2020). I de frågor som har ställts till EU-domstolen har emellertid Vilniaus apygardos administracinis teismas (Regionala förvaltningsdomstolen i Vilnius) pekat ut följande omständigheter som betydelsefulla: NVSC hade planerat att förvärva KARANTINAS i enlighet med artikel 72.2 i lagen om offentlig upphandling, men förfarandet slutfördes aldrig och inget förvärv kom till stånd. Således övergick äganderätten till KARANTINAS aldrig från ITSS till NVSC. NVSC angavs som personuppgiftsansvarig i sekretesspolicyn för KARANTINAS, som gjordes tillgänglig för allmänheten. Länkar till NVSC fanns också med i den sista versionen av appen, som emellertid aldrig officiellt godkändes av NVSC. NVSC behandlade aldrig själv personuppgifter och lämnade inte heller uttryckligt samtycke till den aktuella behandlingen, men däremot gav NVSC instruktioner rörande utvecklingen av KARANTINAS, och dessa instruktioner följdes av ITSS. ITSS och NVSC kom aldrig överens om något uttryckligt arrangemang såvitt avsåg ändamålen och medlen för den behandling av personuppgifter som ägde rum.

25. Mot denna bakgrund konstaterar jag att de frågor som har ställts till EU-domstolen rör tolkningen av olika bestämmelser i dataskyddsförordningen. De tre första frågorna och den femte frågan gör det nödvändigt att tolka begreppet ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i den förordningen och att klargöra under vilka omständigheter två eller fler enheter kan anses som ”gemensamt personuppgiftsansvariga” i kraft av den bestämmelsen jämförd med artikel 26.1 i samma förordning. Jag kommer först att pröva dessa fyra frågor tillsammans (A) och sedan se närmare på den fjärde frågan, som rör begreppet ”behandling” i den mening som avses i artikel 4 led 2 i dataskyddsförordningen och tillämpningen av det begreppet under testfasen för en mobilapp (B). Därefter kommer jag att ta mig an den frågeställning som är allra mest central för förevarande mål, nämligen den sjätte frågan, som är av övergripande art med tanke på att den rör under vilka villkor personuppgiftsansvariga kan åläggas administrativa sanktionsavgifter i enlighet med artikel 83 i dataskyddsförordningen (C).

A. Begreppet ”personuppgiftsansvarig” och situationer där gemensamt personuppgiftsansvar föreligger (frågorna 1–3 och 5)

26. Den hänskjutande domstolen har i allt väsentligt ställt sina första tre frågor för att få klarhet i huruvida en sådan enhet som NVSC mot bakgrund av de omständigheter som har räknats upp i punkt 24 ovan ska anses vara ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen. Genom sin femte fråga vill den hänskjutande domstolen vidare få klarhet i huruvida två enheter såsom NVSC och ITSS under sådana omständigheter ska anses som ”gemensamt personuppgiftsansvariga” i enlighet med den bestämmelsen jämförd med artikel 26.1 i samma förordning, trots att de inte har kommit överens om något uttryckligt arrangemang såvitt avser ändamålen och medlen för behandlingen och/eller inte förefaller ha samordnat sina åtgärder på annat sätt.

1. Vad är en personuppgiftsansvarig? (frågorna 1–3)

27. Jag erinrar om att det slås fast i artikel 4 led 7 i dataskyddsförordningen att en ”personuppgiftsansvarig” är den person eller enhet som ”ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter”. Den personuppgiftsansvarige behöver enkelt uttryckt inte själv behandla några av de aktuella personuppgifterna men måste däremot bestämma svaren på frågorna ”varför?” och ”hur?” såvitt avser den aktuella behandlingen. EU-domstolen har uttalat att en person eller enhet för att anses uppfylla det rekvisitet i praktiken måste ”[påverka[behandlingen av personuppgifter”. Däremot behöver valet av ändamålen och medlen för behandlingen inte ske utifrån skriftliga riktlinjer eller instruktioner från den personuppgiftsansvariges sida. Artikel 4 led 7 i dataskyddsförordningen får i själva verket anses uppmana till en materiell snarare än formell bedömning.

28. I detta sammanhang har Europeiska dataskyddsstyrelsen (EDPB) uttalat att den personuppgiftsansvarige inte behöver ha en lagstadgad behörighet eller befogenhet att utöva kontroll över uppgifter. Förmågan att bestämma ändamålen och medlen för behandlingen beror framför allt på den utövade påverkan, vilken det går att sluta sig till utifrån de faktiska omständigheterna. En enhet som de facto har förmågan att bestämma ändamålen och medlen för en behandling anses därför vara ”personuppgiftsansvarig” oberoende av huruvida denna enhet formellt har utsetts till sådan (genom lag eller avtal eller på annat sätt).

29. Efter att ha klargjort detta noterar jag att flera av de omständigheter som den hänskjutande domstolen har beskrivit i sina tre första frågor är av rent formell beskaffenhet. Detta gäller exempelvis den omständigheten att NVCS inte är ägare i rättslig mening till mobilappen KARANTINAS, att förfarandet för förvärv av den appen aldrig slutfördes och att NVSC inte officiellt lämnade tillstånd till att nämnda app gjordes tillgänglig för allmänheten eller godkände den sista versionen därav. Enligt min uppfattning kan ingen av dessa omständigheter i sig utesluta att NVSC i det sammanhang som är i fråga i det nationella målet ska anses ha agerat som ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen. Dessa omständigheter är nämligen inte tillräckliga för att vederlägga bedömningen att NVSC faktiskt hade möjlighet att bestämma ändamålen och medlen för den behandling av personuppgifter som ägde rum. På samma sätt förefaller det mig som om den omständigheten att NVSC nämndes som personuppgiftsansvarig i sekretesspolicyn för den version av KARANTINAS som gjordes tillgänglig för allmänheten att ladda ned och den omständigheten att det fanns länkar till NVSC i den versionen av mobilappen visserligen har betydelse men inte avgörande för att det ska kunna dras någon slutsats om vilken påverkan NVSC faktiskt utövade.

30. Däremot anser jag att den för den hänskjutande domstolen framlagda bevisning som visar att det var NVSC som bestämde vilket slags personuppgifter som KARANTINAS skulle samla in, från vilka registrerade som insamling skulle ske och/eller andra centrala aspekter av hur behandlingen skulle ske faktiskt är tillräcklig för att det ska anses styrkt att NVSC bestämde ”medlen” för behandlingen. Vidare anser jag att den omständigheten att avsikten med skapandet av KARANTINAS var att uppnå ett syfte som NVSC hade angett, nämligen att hantera covid‑19-pandemin, och den omständigheten att ITSS regelbundet justerade appens funktionssätt i syfte att tillgodose de behov som NVSC angav, i linje med de instruktioner som NVSC lämnade, räcker för att det ska vara möjligt att dra slutsatsen att NVSC bestämde ”ändamålen” med den aktuella behandlingen.

31. Det förefaller mig emellertid som om den hänskjutande domstolen, för att kunna slå fast huruvida en sådan enhet som NVSC kan betraktas som ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, även måste avgöra – oberoende av den påverkan som NVSC utövade under den fas då den aktuella mobilappen utvecklades – huruvida beslutet att göra mobilappen tillgänglig för allmänheten och således beslutet att behandla personuppgifter faktiskt fattades med NVSC:s (uttryckliga eller underförstådda) samtycke (oaktat att sådant samtycke inte officiellt eller formellt lämnades).

32. Det framgår nämligen tydligt av definitionen av ”personuppgiftsansvarig” i artikel 4 led 7 i dataskyddsförordningen att den påverkan som en personuppgiftsansvarig utövar måste avse själva behandlingen av personuppgifter, inte enbart ett förberedande steg. En fysisk person, juridisk person eller enhet blir inte ”personuppgiftsansvarig” enbart genom att ta initiativ till utvecklingen av en mobilapp eller genom att bestämma parametrarna för en sådan app (eller något annat verktyg för insamling av uppgifter), utan dess åtgärder måste ha ett faktiskt samband med behandlingen av personuppgifter, varför personen eller enheten måste ha samtyckt, uttryckligen eller underförstått, till att det aktuella verktyget skulle användas för sådan behandling.

33. Det kravet framhöll EU-domstolen i sin dom i målet Fashion ID, där den uttryckligen slog fast att en personuppgiftsansvarigs ansvar är begränsat till den behandling eller den gemensamma behandling av personuppgifter som denne faktiskt bestämmer ändamålen och medlen för. Härav följer att fastställandet av ändamålen och medlen måste vara direkt kopplat till den relevanta åtgärden eller den relevanta kombinationen av åtgärder som utgör behandling av personuppgifter.

34. Enligt min åsikt följer det av dessa slutsatser att en sådan enhet som NVSC, som har tagit initiativ till utvecklingen av en mobilapp, kan anses vara ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen enbart i en situation där det föreligger tillräckliga omständigheter av faktisk snarare än formell beskaffenhet som de nationella domstolarna kan lägga till grund för slutsatsen att denna enhet utövade en faktisk påverkan på både ”ändamålen och medlen” för den aktuella behandlingen och att den faktiskt samtyckte till att mobilappen gjordes tillgänglig för allmänheten och således samtyckte till behandlingen av personuppgifter. Med förbehåll för den hänskjutande domstolens kontroll anser jag att NVSC uppfyller dessa krav.

2. När kan två enheter anses vara gemensamt personuppgiftsansvariga? (fråga 5)

35. Den femte frågan rör de villkor som måste vara uppfyllda för att två (eller fler) enheter ska anses som gemensamt personuppgiftsansvariga. Jag förstår anledningen till att den hänskjutande domstolen vill få klarhet i tolkningen av det begreppet som att den misstänker att NVSC och ITSS i den situation som är i fråga i det nationella målet skulle kunna anses vara ”gemensamt personuppgiftsansvariga” och därmed skulle kunna vara solidariskt och individuellt skyldiga att ersätta den vållade skadan och/eller gemensamt kunna påföras en sanktionsavgift för de överträdelser av dataskyddsreglerna som begicks när appen KARANTINAS gjordes tillgänglig för allmänheten att ladda ned. Därvidlag noterar jag att nämnda enhet och nämnda bolag – såsom jag har påpekat i punkt 16 ovan – båda befanns var ansvariga och påfördes sanktionsavgifter i kraft av artikel 83 i dataskyddsförordningen av datainspektionen, i deras egenskap av gemensamt personuppgiftsansvariga.

36. Enligt artikel 26.1 i dataskyddsförordningen föreligger ”gemensamt personuppgiftsansvariga” när två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen. Var och en av de gemensamt personuppgiftsansvariga måste således självständigt uppfylla de kriterier som räknas upp i definitionen av ”personuppgiftsansvarig” i artikel 4 led 7 i den förordningen. Dessutom måste de gemensamt personuppgiftsansvariga ha ett visst inbördes förhållande, med tanke på att de måste utöva påverkan på behandlingen gemensamt.

37. EU-domstolen har angett att förekomsten av gemensamt personuppgiftsansvar inte nödvändigtvis kräver att de olika inblandade personerna eller enheterna har ett likvärdigt ansvar eller deltar i lika stor utsträckning. Tvärtom kan gemensamt personuppgiftsansvariga vara inblandade i olika skeden av behandlingen, så att graden av ansvar för var och en av dem måste bedömas mot bakgrund av samtliga relevanta omständigheter i varje enskilt fall. För att flera aktörer ska anses ha gemensamt ansvar för en viss behandling krävs vidare inte heller att var och en av dem har tillgång till de aktuella personuppgifterna. Vad som däremot är väsentligt är att de olika aktörerna deltar gemensamt i bestämmandet av ”ändamålen och medlen” för behandlingen.

38. Därvidlag noterar jag att ett sådant gemensamt deltagande, såsom också anges i riktlinjerna 07/2020, kan ta sig olika former. Det kan följa av ett gemensamt beslut fattat av två eller fler enheter, eller så kan det följa enbart av att dessa enheter har fattat samstämmiga beslut. I det sistnämnda fallet är det enda som är väsentligt att de olika besluten kompletterar varandra och är nödvändiga för att behandlingen ska kunna ske i så måtto att de får en påtaglig inverkan på bestämmandet av ändamålen och medlen för behandlingen – något som i allt väsentligt innebär att behandlingen inte vore möjlig utan båda parternas deltagande.

39. Mot denna bakgrund vill den hänskjutande domstolen få klarhet i huruvida den omständigheten att två personuppgiftsansvariga (i förevarande fall NVSC och ITSS) inte har kommit överens om något uttryckligt arrangemang såvitt avser ändamålen och medlen för behandlingen och/eller inte förefaller ha samordnat sina åtgärder i övrigt gör det uteslutet att betrakta dem som ”gemensamt personuppgiftsansvariga”.

40. Som jag förstår saken, har den hänskjutande domstolens tvivel på den punkten sitt ursprung i den omständigheten att gemensamt personuppgiftsansvariga enligt artikel 26.1 i dataskyddsförordningen är skyldiga att under öppna former genom ett inbördes arrangemang fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt den förordningen. Dessutom anges det i skäl 79 i samma förordning att det krävs ”ett tydligt fastställande av vem som bär ansvaret”, bland annat i fall där en personuppgiftsansvarig fastställer ändamål och medel för en behandling tillsammans med andra personuppgiftsansvariga. Enligt min uppfattning är emellertid dessa skyldigheter och krav tillämpliga på gemensamt personuppgiftsansvariga först när det har slagits fast att dessa verkligen kan anses som sådana. Nämnda skyldigheter och krav ingår alltså inte bland de kriterier som måste vara uppfyllda för att personer och enheter ska kunna anses vara gemensamt personuppgiftsansvariga.

41. Som jag har påpekat i punkt 36 ovan, finns det endast två objektiva rekvisit som behöver vara uppfyllda för att gemensamt personuppgiftsansvar ska anses föreligga. För det första måste varje gemensamt personuppgiftsansvarig uppfylla de kriterier som räknas upp i definitionen av ”personuppgiftsansvarig” i artikel 4 led 7 i dataskyddsförordningen. Akten i målet innehåller inte tillräckliga upplysningar för att det ska kunna avgöras huruvida ITSS i den situation som är i fråga i det nationella målet ska anses som ”personuppgiftsansvarig” i den mening som avses i den bestämmelsen. Mot bakgrund av mina slutsatser i det föregående avsnittet anser jag emellertid – med förbehåll för den kontroll som det ankommer på den hänskjutande domstolen att utföra – att åtminstone NVSC, och måhända både NVSC och ITSS, uppfyller kriterierna för att kunna anses som ”personuppgiftsansvarig” i den mening som avses i nämnda bestämmelse. För det andra måste de olika personuppgiftsansvariga utöva sin påverkan på behandlingen gemensamt (vilket betyder att påverkan måste utövas i överensstämmelse med de rättsliga kriterier och den rättspraxis som jag har erinrat om i punkterna 37 och 38 ovan). Därvidlag har jag förklarat att ett gemensamt deltagande i behandlingen kan ta sig olika former och inte ens behöver härröra från ett gemensamt beslut av de inblandade parterna. Detta betyder enligt min uppfattning att det materiella och funktionella angreppssätt som krävs vid fastställande av huruvida en person eller enhet är att anse som ”personuppgiftsansvarig” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen även ska tillämpas såvitt avser gemensamt personuppgiftsansvar.

42. Med tanke på detta anser jag för det första att avsaknaden av överenskommelse, arrangemang eller ens gemensamt beslut mellan två eller fler personuppgiftsansvariga såsom NVSC och ITSS inte i sig kan göra det uteslutet att anse dem som ”gemensamt personuppgiftsansvariga” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen jämförd med artikel 26.1 i samma förordning. Därvidlag vill jag tillägga att EDPB har angett att avtalsbaserade arrangemang visserligen kan vara användbara vid bedömning av gemensamt personuppgiftsansvar men ändå alltid måste kontrolleras mot den faktiska beskaffenheten av förhållandet mellan parterna.

43. För det andra anser jag att bara för att NVSC och ITSS, utöver det faktum att de inte nått någon överenskommelse, arrangemang eller ens något gemensamt beslut, inte förefaller ha samordnat sina åtgärder eller ha samarbetat med varandra på annat sätt inte i sig gör det uteslutet att betrakta dem som ”gemensamt personuppgiftsansvariga”. Även om sådan samordning eller sådant samarbete skulle föreligga, saknar detta i själva verket betydelse för frågan huruvida de båda enheterna ska eller inte ska anses ha ett inbördes förhållande som kännetecknas av gemensamt personuppgiftsansvar. Det är nämligen lätt att föreställa sig fall där två eller fler enheter samarbetar eller samordnar sina åtgärder utan att för den skull vara gemensamt personuppgiftsansvariga. Till exempel kan man tänka sig att två separata personuppgiftsansvariga samordnar sina åtgärder eller samarbetar i syfte att överföra personuppgifter sinsemellan. Detta skulle inte göra dem till ”gemensamt personuppgiftsansvariga” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen jämförd med artikel 26.1 i samma förordning. Vad som är av vikt här är, såsom jag har förklarat i punkt 38 ovan, att behandlingen inte vore möjlig utan båda parternas deltagande eftersom båda har en påtaglig inverkan på bestämmandet av ändamålen och medlen för behandlingen.

3. Slutsats rörande tolkningen av begreppet ”personuppgiftsansvarig” och situationer där gemensamt personuppgiftsansvar föreligger

44. Mot bakgrund av det ovan anförda anser jag att en sådan enhet som NVSC – med förbehåll för de kontroller som det ankommer på den hänskjutande domstolen att utföra – uppfyller villkoren enligt artikel 4 led 7 i dataskyddsförordningen för att anses som ”personuppgiftsansvarig”. Frågan huruvida NVSC och ITSS kan anses som ”gemensamt personuppgiftsansvariga” i linje med de kriterier som jag har redogjort för i det föregående avsnittet eller i stället ska betraktas som ”personuppgiftsansvarig” respektive ”personuppgiftsbiträde” beror på arten av förhållandet dem emellan, vilket det ankommer på den hänskjutande domstolen att bedöma.

45. Därvidlag vill jag tillägga att arten av förhållandet mellan NVSC och ITSS (det vill säga huruvida de är ”gemensamt personuppgiftsansvariga” eller ”personuppgiftsansvarig” respektive ”personuppgiftsbiträde”) har betydelse för svaret på den sjätte frågan. Jag kommer därför att återkomma till mina slutsatser rörande den femte frågan när jag ska behandla de spörsmål som aktualiseras av den sjätte frågan.

B. Begreppet ”behandling” (fråga 4)

46. Den hänskjutande domstolen har i allt väsentligt ställt sin fjärde fråga för att få klarhet i huruvida definitionen av ”behandling” i artikel 4 led 2 i dataskyddsförordningen omfattar en situation där personuppgifter används under testfasen för en mobilapp. Med ledning av begäran om förhandsavgörande drar jag slutsatsen att KARANTINAS genomgick en testfas innan appen gjordes tillgänglig för allmänheten att ladda ned. Som jag förstår saken, rör således den fjärde frågan en situation som skiljer sig från den som är aktuell i de övriga frågorna till EU-domstolen, vilka alla avser den behandling av personuppgifter som ägde rum efter testfasen, när KARANTINAS gjordes tillgänglig för allmänheten. Vad den hänskjutande domstolen specifikt vill få klarhet i är huruvida användningen av personuppgifter under den testfasen är att anse som ”behandling” i den mening som avses i artikel 4 led 2 i dataskyddsförordningen och således skulle kunna föranleda ansvar för de inblandade personuppgiftsansvariga och/eller personuppgiftsbiträdena.

47. I artikel 4 led 2 i dataskyddsförordningen definieras ”behandling” som ”en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej …”.

48. Utifrån denna lydelse (särskilt användningen av ordet ”en” och av allmänna uttryck som ”åtgärd” och ”kombination av åtgärder”) drar jag slutsatsen att denna bestämmelse är avsedd att ha en vidsträckt betydelse, så att den omfattar så många situationer där personuppgifter används som möjligt. Den icke-uttömmande uppräkning av sådana situationer som görs i bestämmelsen bekräftar den tolkningen, med tanke på att det där nämns åtgärder av så olikartad beskaffenhet.

49. Vidare ska det påpekas att medan det har framgått av det föregående avsnittet att definitionen av ”personuppgiftsansvarig” i artikel 4 led 7 i dataskyddsförordningen har nära samband med bestämmandet av ändamålet med behandlingen av personuppgifter (svaret på frågan varför personuppgifter samlas in), är så inte fallet för definitionen i artikel 4 led 2 i samma förordning. I själva verket saknar skälet till att en åtgärd eller en kombination av åtgärder genomförs i princip betydelse för huruvida åtgärden eller åtgärdskombinationen ska anses utgöra ”behandling” i den mening som avses i den bestämmelsen. Av detta följer, som jag ser saken, att det vid bedömning av huruvida en viss åtgärd är att anse som ”behandling” är ovidkommande huruvida de aktuella personuppgifterna har samlats in för testning av de it-system som finns inbäddade i en mobilapp eller för något annat ändamål.

50. I detta sammanhang noterar jag vidare att ”användning” av personuppgifter (utan vidare specificering och således oberoende av ändamålet med användningen) räknas upp bland de åtgärder eller kombinationer av åtgärder som utgör ”behandling”. Dessutom innehåller artikel 4 led 2 i dataskyddsförordningen inte något uttryckligt undantag av något slag för åtgärder som innebär att personuppgifter används vid testning av it-system. Av detta följer att det inte finns något som hindrar att användning av personuppgifter i syfte att genomföra sådan testning kan anses utgöra ”behandling” i den mening som avses i den bestämmelsen, snarare tvärtom.

51. Med ledning av det ovan anförda drar jag slutsatsen att definitionen av ”behandling” i artikel 4 led 2 i dataskyddsförordningen omfattar en situation där personuppgifter används under testfasen för en mobilapp.

52. Min slutsats i detta hänseende påverkas inte av att de personuppgifter som tillhandahålls för testning av de it-system som finns inbäddade i en mobilapp kan ha pseudonymiserats. Det enda fall där dataskyddsförordningen inte är tillämplig är om de uppgifter som tagits med i mobilapplikationen uteslutande består av anonymiserad information som ”inte hänför sig till en identifierad eller identifierbar fysisk person [eller av] personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar”. Jag noterar emellertid att det mot bakgrund av upplysningarna i akten i målet inte förefaller som om de uppgifter som i det nationella målet användes i testfasen utgjordes av sådana anonymiserade uppgifter.

53. Mot bakgrund av det ovan anförda anser jag att definitionen av ”behandling” i artikel 4 led 2 i dataskyddsförordningen omfattar en situation där personuppgifter används under testfasen för en mobilapp, såvida inte dessa uppgifter har anonymiserats på ett sådant sätt att den registrerade inte, eller inte längre, är identifierbar. Huruvida personuppgifter samlas in med syftet att testa de it-system som finns inbäddade i en mobilapp eller för något annat ändamål saknar betydelse vid bedömningen av huruvida en åtgärd är att anse som ”behandling”.

54. Efter att ha klargjort detta kommer jag nu att gå in på den allra mest centrala frågan i förevarande mål, som rör under vilka förutsättningar en personuppgiftsansvarig eller ett personuppgiftsbiträde kan påföras en administrativ sanktionsavgift i enlighet med artikel 83 i dataskyddsförordningen.

C. Administrativa sanktionsavgifter enligt artikel 83 i dataskyddsförordningen (fråga 6)

55. Innan dataskyddsförordningen antogs, var det till största delen medlemsstaterna som – i kraft av sin självbestämmanderätt i processuella frågor och frågor rörande rättsmedel – fick avgöra vilka sanktioner som skulle påföras för överträdelser av dataskyddsreglerna. De administrativa sanktionsavgifter som har införts genom artikel 83 i den förordningen är således en relativt ny företeelse i EU:s dataskyddsregelverk. Av artikel 29-arbetsgruppen har dessa sanktionsavgifter beskrivits som ”en central del” i det ”ny[a] system[et] för verkställighet”. Även om den bestämmelsen ännu inte har tolkats av EU-domstolen, men den har redan tillämpats av tillsynsmyndigheter, som i vissa fall har påfört personuppgiftsansvariga eller personuppgiftsbiträden högst betydande sanktionsavgifter.

56. Genom artikel 83 i dataskyddsförordningen införs ett system med sanktionsavgifter på två nivåer beroende på vilken typ av bestämmelser överträdelsen gäller. Den första nivån, som slås fast i artikel 83.4 i den förordningen, gäller för situationer där en personuppgiftsansvarig eller ett personuppgiftsbiträde åsidosätter de allmänna skyldigheter som åvilar dem eller vissa angivna särskilda skyldigheter. Den andra nivån gäller, såsom framgår av artikel 83.5 i samma förordning, för allvarligare överträdelser, bland annat överträdelser av de grundläggande principerna för behandling, åsidosättande av de registrerades rättigheter och överträdelser av bestämmelserna om överföring av personuppgifter till en mottagare i ett tredjeland eller en internationell organisation.

57. För båda nivåerna gäller att de behöriga nationella myndigheterna, efter att ha fastställt att en viss bestämmelse i dataskyddsförordningen har överträtts, ska göra två bedömningar: för det första ska de avgöra huruvida en sanktionsavgift ska påföras och för det andra, om de beslutat att påföra en sådan sanktionsavgift, beloppet för denna. Dessa bedömningar ska göras i varje enskilt fall och mot bakgrund av de olika faktorer som räknas upp i artikel 83.2 i dataskyddsförordningen. En av dessa faktorer är ”[o]m överträdelsen skett med uppsåt eller genom oaktsamhet” (artikel 83.2 b).

58. Den hänskjutande domstolen har i allt väsentligt ställt sin sjätte fråga för att få klarhet i huruvida en administrativ sanktionsavgift kan påföras en personuppgiftsansvarig när denne inte handlade vare sig uppsåtligen eller av oaktsamhet vid överträdelsen av dataskyddsreglerna och när det inte var den personuppgiftsansvarige själv utan ett personuppgiftsbiträde som utförde den lagstridiga behandlingen av personuppgifter. Om jag knyter an till de slutsatser som jag har dragit ovan såvitt avser den femte frågan, förefaller det mig som om den sjätte frågan har ställts för den händelse att det skulle visa sig att NVSC och ITSS i det nationella målet inte kan anses som ”gemensamt personuppgiftsansvariga” i den mening som avses i artikel 4 led 7 i dataskyddsförordningen jämförd med artikel 26.1 i samma förordning utan i stället ska anses vara ”personuppgiftsansvarig” respektive ”personuppgiftsbiträde”. Det är med avseende på just det sammanhanget som den hänskjutande domstolen vill få klarhet i under vilka omständigheter NVSC kan påföras en sanktionsavgift i enlighet med artikel 83 i dataskyddsförordningen.

59. Jag noterar därvidlag att det i den sjätte frågan endast är artikel 83.1 i dataskyddsförordningen som nämns såsom relevant bestämmelse. Enligt min åsikt medför emellertid de spörsmål som den frågan aktualiserar att det blir nödvändigt att beakta artikel 83 i den förordningen i dess helhet och i synnerhet – såsom jag har förklarat i punkt 57 ovan – artikel 83.2 b, med tanke på att det är där som det hänvisas till ”[o]m överträdelsen skett med uppsåt eller genom oaktsamhet”. Jag kommer därför att utgå från att den sjätte frågan rör tolkningen av artikel 83 i dataskyddsförordningen i dess helhet, inte endast artikel 83.1.

60. Den frågan sönderfaller enligt min uppfattning i två delar. Till att börja med innebär den att EU-domstolen måste avgöra huruvida artikel 83 i dataskyddsförordningen allmänt medger att administrativa sanktionsavgifter påförs personuppgiftsansvariga eller personuppgiftsbiträden trots att det inte föreligger någon mens rea (mental aspekt – skuld). Vad den hänskjutande domstolen vill få klarhet i är väsentligen huruvida NVSC kan påföras en sanktionsavgift med hänvisning enbart till att denna enhet har åsidosatt de skyldigheter som åligger den i dess egenskap av personuppgiftsansvarig (strikt ansvar) eller huruvida det behöver finnas ett inslag av skuld i begåendet av den eller de aktuella överträdelserna. Vidare innebär den sjätte frågan också att EU-domstolen måste klargöra huruvida den omständigheten att den lagstridiga behandlingen av personuppgifter inte har utförts av den personuppgiftsansvarige själv utan av ett personuppgiftsbiträde på något sätt påverkar tillsynsmyndigheternas möjlighet att påföra den personuppgiftsansvarige en sanktionsavgift.

61. Jag kommer att se närmare på dessa båda aspekter i tur och ordning.

1. Den första delen: huruvida skuld måste styrkas

62. Enligt artikel 83 i dataskyddsförordningen måste varje påförande av en administrativ sanktionsavgift för en överträdelse av dataskyddsreglerna vara ”effektivt, proportionellt och avskräckande”. Detta framgår tydligt av punkt 1 i den bestämmelsen. I den punkten anges emellertid inte huruvida en sådan sanktionsavgift kan påföras endast om skuld är styrkt, det vill säga huruvida förekomsten av skuld är ett villkor för att en administrativ sanktionsavgift ska kunna påföras.

63. I punkt 2 i samma bestämmelse anges däremot ”[o]m överträdelsen skett med uppsåt eller genom oaktsamhet” bland de omständigheter som tillsynsmyndigheter ska ta ”vederbörlig hänsyn” till i varje enskilt fall. Av artikel 83.2 k i dataskyddsförordningen framgår att dessa omständigheter måste förstås som ”försvårande eller förmildrande faktorer” och att uppräkningen inte är uttömmande.

64. Mot denna bakgrund finns det enligt mitt förmenande två möjliga sätt att förstå artikel 83 i dataskyddsförordningen.

65. Å ena sidan är det möjligt att anse att ett beslut att påföra en sanktionsavgift till ett visst belopp visserligen måste fattas med vederbörlig hänsyn tagen till den graden av skuld som föreligger (exempelvis på så sätt att en högre sanktionsavgift i princip ska påföras när en överträdelse är följden av ett uppsåtligt handlande medan ett oaktsamt handlande däremot bör föranleda en lägre sanktionsavgift), men att det däremot inte finns något som hindrar att en sanktionsavgift påförs också i en situation där skuld inte föreligger, förutsatt att den personuppgiftsansvarige eller personuppgiftsbiträdet kan anses bära ansvaret för överträdelsen. En sådan tolkning får stöd i en läsning av artikel 83.2 b och k med innebörden att omnämnandet av olika former av skuld (uppsåtlig eller av oaktsamhet) såsom ”förmildrande eller försvårande faktorer” underförstått betyder att förekomsten av skuld generellt inte utgör någon förutsättning för att en sanktionsavgift ska kunna påföras.

66. Å andra sidan kan man i stället hävda – som kommissionen har gjort i förevarande mål – att ett minimikrav för att en sanktionsavgift ska kunna påföras är att det är styrkt att den person eller enhet som begick överträdelsen var oaktsam. Detta synsätt får stöd i en annan, mer försiktig läsning av artikel 83.2 b och k i dataskyddsförordningen med innebörden att dessa bestämmelser kräver att tillsynsmyndigheterna gör åtskillnad mellan en förmildrande faktor (oaktsamhet) och en försvårande faktor (uppsåt) men däremot inte anger att en sanktionsavgift kan påföras när skuld över huvud taget inte föreligger.

67. Den tolkningen stämmer överens med vad kommissionen uttryckligen valde i sitt ursprungliga förslag som ledde fram till antagandet av dataskyddsförordningen, där den föreslog att systemet med sanktionsavgifter (”böter”) skulle ha tre nivåer. För var och en av dessa nivåer föreslog kommissionen att sanktionsavgifter uteslutande skulle kunna påföras ”var och en som uppsåtligen eller av oaktsamhet” begick en eller flera påstådda överträdelser. Således avsåg kommissionen uppenbart att skuld skulle vara en förutsättning för påförande av sanktionsavgifter.

68. Båda ansatserna kan enligt min åsikt försvaras på grundval av en ordagrann tolkning av artikel 83.2 i dataskyddsförordningen, eftersom de båda innebär att uttrycket ”[o]m överträdelsen skett med uppsåt eller genom oaktsamhet” förstås såsom syftande på en ”försvårande” eller ”förmildrande” faktor. Jag anser emellertid att det endast är den andra ansatsen som korrekt avspeglar unionslagstiftarens avsikt. Den slutsatsen grundar jag på ett antal olika omständigheter.

a) Skäl för att skuld krävs

69. För det första noterar jag att flera av de faktorer som räknas upp i artikel 83.2 i dataskyddsförordningen innehåller formuleringar som ger vid handen att dessa faktorer kan tänkas inte vara tillämpliga i samtliga fall utan endast i vissa. I synnerhet inleds både led c, led e och led k i artikel 83.2 med ordet ”any” på engelska (närmast motsvarande ”eventuell” på svenska, där dessa tre led lyder ”De åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att lindra … skada …”, ”Eventuella relevanta tidigare överträdelser …” och ”Eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet …”), vilket tyder på att tillsynsmyndigheterna visserligen alltid måste beakta huruvida det finns några lindrande åtgärder, några tidigare överträdelser eller någon annan försvårande eller förmildrande faktor att ta hänsyn till där sådana omständigheter föreligger eller har styrkts, men att det kan tänkas förekomma situationer där sådana omständigheter helt enkelt inte föreligger och att tillsynsmyndigheten oaktat detta kan tänkas besluta att påföra en sanktionsavgift (eller att tvärtom avstå från att påföra en sanktionsavgift). På motsvarande sätt noterar jag att led i) i artikel 83.2 också har en icke-systematisk formulering i så måtto att det enligt den bestämmelsen krävs att det beaktas huruvida den personuppgiftsansvarige eller personuppgiftsbiträdet har efterlevt de åtgärder som avses i artikel 58.2 i samma förordning, men endast ”[n]är [sådana] åtgärder … tidigare har förordnats mot den … personuppgiftsansvarige eller personuppgiftsbiträdet”.

70. I led b i artikel 83.2 anges däremot ”[o]m överträdelsen skett med uppsåt eller genom oaktsamhet”. Detta framstår för mig som en av de faktorer som måste föreligga i samtliga fall och som i bildlig bemärkelse alltid måste vara ”förkryssade” för att en sanktionsavgift ska kunna påföras – på väsentligen samma sätt som ”[ö]verträdelsens karaktär, svårighetsgrad och varaktighet …” (led a), ”[d]e kategorier av personuppgifter som påverkas …” (led g) och ”[d]et sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom” (led h). Även dessa andra faktorer måste enligt min uppfattning ”föreligga” i samtliga fall. Till exempel kan ”[ö]verträdelsens karaktär, svårighetsgrad och varaktighet” variera högst betydligt från ett fall till ett annat (och därmed betraktas antingen som något som talar för att en sanktionsavgift ska påföras eller som något som talar emot detta). I samtliga fall kommer det emellertid att finnas en viss karaktär, en viss svårighetsgrad och en viss varaktighet att beakta. Detta utgör i mina ögon ett första tecken på att administrativa sanktionsavgifter infördes i artikel 83 i dataskyddsförordningen med syftet att de skulle kunna påföras uteslutande i situationer där den påstådda överträdelsen var antingen uppsåtlig eller oaktsam.

71. För det andra noterar jag att det visserligen inte uttryckligen föreskrivs i artikel 83.2 i dataskyddsförordningen att överträdelsen måste ha skett ”med uppsåt eller av oaktsamhet” men att detsamma inte gäller för artikel 83.3, som innehåller en allmän regel om förbud mot sammanläggning av administrativa sanktionsavgifter. Där nämns nämligen enbart fallet där den eller de ifrågavarande överträdelserna skedde ”uppsåtligen eller av oaktsamhet”.

72. Enligt min uppfattning följer det logiskt av detta att artikel 83.2 i dataskyddsförordningen ska tolkas så, att en sanktionsavgift kan påföras endast om den påstådda överträdelsen skedde uppsåtligen eller av oaktsamhet. Om punkterna 2 och 3 i artikel 83 i dataskyddsförordningen hade olika tillämpningsområde, vore det nämligen möjligt att påföra sammanlagda sanktionsavgifter för mindre allvarliga överträdelser (det vill säga sådana som begås helt utan skuld), eftersom dessa överträdelser fortfarande skulle kunna föranleda att sanktionsavgifter påförs med tillämpning av den förstnämnda bestämmelsen (artikel 83.2) men däremot inte skulle träffas av den andra bestämmelsen (artikel 83.3). Motsvarande skulle däremot inte gälla för uppsåtliga eller oaktsamma överträdelser, eftersom samtliga sådana överträdelser skulle omfattas av regeln om förbud mot sammanläggning i artikel 83.3 i samma förordning. En sådan situation skulle tydligt strida mot grundprincipen för dataskyddsförordningens sanktionssystem, som är att mer allvarliga överträdelser i regel ska straffas hårdare än mindre allvarliga överträdelser – inte tvärtom.

73. För det tredje noterar jag att de sanktionsavgifter som kan påföras i kraft av artikel 83 i dataskyddsförordningen kan innebära hårda straff. Inom ramen för den första nivån, som regleras i artikel 83.4 i den förordningen, kan det nämligen påföras sanktionsavgifter på upp till 10 miljoner euro eller, såvitt avser företag, upp till 2 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst. På den andra nivån föreskrivs ett högsta belopp för sanktionsavgiften på 20 miljoner euro eller, såvitt avser företag, 4 procent av den totala globala årsomsättningen under föregående budgetår, även här beroende på vilket värde som är högst.

74. Mot bakgrund av detta förefaller det mig som om de sanktionsavgifter som påförs i enlighet med artikel 83 i dataskyddsförordningen har ett repressivt syfte, åtminstone i vissa situationer, och att de är så stränga att de kan anses vara av straffrättslig karaktär, vilket betyder att de faller inom tillämpningsområdet för artikel 49 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

75. I ljuset av dessa omständigheter och i synnerhet med beaktande av den straffrättsliga karaktären av de sanktionsavgifter som påförs med tillämpning av artikel 83 i dataskyddsförordningen, kan det vara frestande att hävda att det vore oförenligt med kravet enligt artikel 83.1 i dataskyddsförordningen att påförandet av sådana avgifter i varje enskilt fall ska vara inte endast ”effektivt” och ”avskräckande”utan även ”proportionellt” om det ges möjlighet att påföra sådana sanktionsavgifter även i avsaknad av skuld. Med andra ord vore det oproportionerligt att påföra sanktionsavgifter i fall där inte ens oaktsamhet styrkts. Det argumentet torde emellertid enligt min åsikt vara svårt att vinna framgång med, eftersom EU-domstolen tidigare har slagit fast att ett på strikt ansvar grundat system med påföljder eller sanktioner, även ett som till sin natur är av straffrättslig beskaffenhet, inte i sig är oproportionerligt i förhållande till de eftersträvade syftena, under förutsättning dels att systemet kan förmå de personer som berörs att rätta sig efter bestämmelserna i en viss förordning, dels att de eftersträvade syftena är av ett sådant allmänintresse som kan motivera inrättandet av ett sådant system. Dessutom har Europeiska domstolen för de mänskliga rättigheterna (Europadomstolen) i förhållande till artikel 7 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) – (som motsvarar artikel 49 i stadgan) – uttalat att ett straff i den mening som avses i den bestämmelsen visserligen i allmänhet kräver att det finns ett mentalt samband som gör att det kan konstateras ett inslag av ansvar i handlandet hos den person som fysiskt har begått brottet men att det kravet inte utesluter förekomsten av vissa former av objektivt ansvar.

76. Denna rättspraxis föranleder mig emellertid att dra slutsatsen att mens rea enligt huvudregeln måste föreligga för att en straffrättslig påföljd ska kunna åläggas och att strikt ansvar således utgör ett slags ”undantag” från denna huvudregel, med tanke på att förekomsten av strikt ansvar måste vara motiverad mot bakgrund av de syften som eftersträvas genom den aktuella förordningen.

77. Sett till dataskyddsförordningen i dess helhet framstår det för mig som om administrativa sanktionsavgifter i unionslagstiftarens ögon utgör endast ett av de verktyg som i den rättsakten föreskrivs i syfte att säkerställa en faktisk efterlevnad därav. Det anges nämligen att sanktionsavgifter ska påföras ”utöver eller i stället för” de andra åtgärder som räknas upp i artikel 58.2 i den förordningen, som ger tillsynsmyndigheterna en uppsättning av korrigerande befogenheter (däribland befogenhet att utfärda varningar, reprimander och förelägganden). I situationer där ingen administrativ sanktionsavgift påförs med stöd av artikel 83 i dataskyddsförordningen har tillsynsmyndigheterna dessutom möjlighet att påföra andra sanktioner i enlighet med artikel 84 i den förordningen.

78. Det framgår enligt min uppfattning klart och tydligt av dessa bestämmelser att unionslagstiftarens avsikt i samband med antagandet av dataskyddsförordningen inte var att varje överträdelse av dataskyddsreglerna skulle bestraffas med en administrativ sanktionsavgift, utan att dess avsikt i stället var att inrätta ett flexibelt och differentierat system med sanktionsavgifter och andra sanktioner. Detta bekräftas av skäl 148 i den förordningen, där det anges att tillsynsmyndigheterna får avstå från att påföra en administrativ sanktionsavgift och i stället utfärda en reprimand ”[v]id en mindre överträdelse eller om den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda för en fysisk person”. Att i det sammanhanget låta artikel 83 i dataskyddsförordningen vara tillämplig endast i situationer där det har styrkts att åtminstone oaktsamhet föreligger stämmer enligt min åsikt väl överens med dessa syften liksom med den övergripande logiken att påförande av administrativa sanktionsavgifter endast ska ske vid vissa typer av överträdelser.

79. Vidare förefaller det mig som om unionslagstiftaren, när den på andra ställen i dataskyddsförordningen har önskat ange att strikt eller presumerat ansvar ska gälla, har uttryckt detta genom att använda en specifik formulering som inte förekommer i artikel 83 i den förordningen. Såvitt avser civilrättsligt skadeståndsansvar (det vill säga personuppgiftsansvarigas och personuppgiftsbiträdens ansvar gentemot registrerade), som omfattas av artikel 82 i dataskyddsförordningen, har unionslagstiftaren exempelvis angett att personuppgiftsansvariga och personuppgiftsbiträden har ett strikt ansvar att ersätta skada som de vållar registrerade såvida de inte visar att de inte på något sätt är ansvariga för den händelse som orsakade skadan. Artikel 83 i samma förordning innehåller däremot inte någon formulering som liknar den i artikel 84 i dataskyddsförordningen. Detta bekräftar enligt min uppfattning att unionslagstiftarens avsikt inte var att den bestämmelsen skulle ge upphov till ett system med sanktionsavgifter baserat på strikt eller presumerat ansvar.

80. För det fjärde anser jag – vilket kanske är det allra viktigaste – att tröskeln för när oaktsamhet i den mening som avses i artikel 83.2 b i dataskyddsförordningen ska anses föreligga vid överträdelse av den förordningen i praktiken under alla omständigheter måste betraktas som så låg att det är svårt att föreställa sig situationer där det är omöjligt att påföra en administrativ sanktionsavgift på grund av att den tröskeln inte är uppnådd. Jag anser att det förhållandet att det måste visas att uppsåt eller oaktsamhet föreligger innan en administrativ sanktionsavgift kan påföras med tillämpning av artikel 86 i den förordningen inte äventyrar unionslagstiftarens målsättning att säkerställa ett effektivt genomförande av dataskyddsreglerna som föreskrivs där, snarare tvärtom.

81. Vissa har i detta sammanhang gjort gällande att redan en underlåtenhet från en personuppgiftsansvarigs eller ett personuppgiftsbiträdes sida att vidta åtgärder i en situation där vederbörande hyser tvivel om huruvida en behandling är lagenlig är att anse som ett uppsåtligt godtagande av en möjlig överträdelse av dataskyddsförordningen och således som grov oaktsamhet. Vidare har artikel 29-arbetsgruppen gjort gällande att en överträdelse som sker av oaktsamhet på många sätt är att jämställa med en ”icke-uppsåtlig” överträdelse i så måtto att ”icke-uppsåtlighet” enligt dess uppfattning innebär att det inte fanns någon avsikt bakom överträdelsen utan att den personuppgiftsansvarige eller personuppgiftsbiträdet enbart brast i sin aktsamhetsplikt. I synnerhet har nämnda arbetsgrupp påpekat att till och med ordinära fel som kan tillskrivas den ”mänskliga faktorn” kan anses tyda på oaktsamhet.

82. Detta föranleder mig att dra två slutsatser. Den första är att gränsen mellan en helt oavsiktlig överträdelse utan skuld och en oaktsam överträdelse är mycket svår att dra. Jag tror att tillsynsmyndigheterna sällan kommer att ha svårt att hitta tillräckliga omständigheter för att kunna konstatera att en påstådd överträdelse skedde åtminstone av oaktsamhet. Därvidlag noterar jag att det i doktrinen har påpekats att ”med tanke på det stora antalet medvetandehöjande insatser … i syfte att säkerställa efterlevnaden av dataskyddsförordningen, är det svårt att tänka sig … överträdelser av den förordningen där inte åtminstone oaktsamhet föreligger”. Jag håller helt och hållet med om detta och vill dessutom erinra om att ett av de uttalade syftena med dataskyddsförordningen är att se till att personuppgiftsansvariga och personuppgiftsbiträden känner till dataskyddsreglerna, något som enligt min åsikt gör det ännu svårare att hävda att en överträdelse skulle kunna tänkas äga rum helt utan skuld (varvid alltså inte ens oaktsamhet skulle föreligga).

83. Den andra slutsatsen är att detta konstaterande förefaller ligga helt och hållet i linje med dataskyddsförordningens huvudsyfte, som är att säkerställa en sammanhängande och hög nivå av skydd för enskilda i europeiska unionen.. Sanktionsavgifter har nämligen avskräckande verkan Genom att skapa incitament för personuppgiftsansvariga och personuppgiftsbiträden att rätta sig efter dataskyddsförordningen, bidrar de på en övergripande nivå till att stärka skyddet för de registrerade, vilket betyder att de är ett väsentligt inslag i strävan att garantera iakttagandet av de registrerades rättigheter. Av detta följer enligt min åsikt att skuld visserligen behöver föreligga men att den grad av skuld som krävs för att artikel 83 i dataskyddsförordningen ska bli tillämplig kan vara mycket låg, så att en lämplig skyddsnivå för de registrerade kan säkerställas.

84. Utöver detta skulle jag också vilja framhålla att det synsätt som jag föreslår att EU-domstolen ska inta också bekräftar att det system för sanktionsavgifter som har införts genom den bestämmelsen ligger väl i linje med det system för böter som har införts genom artikel 23.1 i förordning (EG) nr 1/2003 såvitt avser överträdelser av konkurrensrätten. Sistnämnda system är också bara tillämpligt om uppsåt eller oaktsamhet har styrkts. Att detta andra sanktionssystem fungerade som inspiration för lydelsen av artikel 83 i dataskyddsförordningen bekräftas av skäl 150 i denna, där det anges att ”[o]m de administrativa sanktionsavgifterna åläggs ett företag, bör ett företag i detta syfte anses vara ett företag i den mening som avses i artiklarna 101 [FEUF] och 102 [FEUF]”, liksom av andra likheter mellan de båda sanktionssystemen, exempelvis att beloppet för den sanktionsavgift respektive de böter som ett företag påförs i båda systemen kan baseras på företagets omsättning. Jag noterar också att flera av de faktorer som räknas upp i artikel 83.2 i dataskyddsförordningen avspeglar dem som är relevanta vid beräkningen av böter för överträdelse av konkurrensrätten.

85. När jag nu har redogjort för skälen till att skuld enligt min mening måste vara styrkt för att en sanktionsavgift ska kunna påföras en personuppgiftsansvarig eller ett personuppgiftsbiträde i enlighet med artikel 83.2 i dataskyddsförordningen, återstår det för mig att kortfattat kommentera det resonemang som rådet och den litauiska regeringen har anfört och som utmynnar i att det skulle ankomma på medlemsstaterna att avgöra huruvida skuld måste föreligga för att en administrativ sanktionsavgift ska få påföras.

86. Detta håller jag helt enkelt inte med om.

b) Skäl för att medlemsstaterna saknar utrymme för skönsmässig bedömning när det gäller huruvida det krävs skuld

87. För mig står det klart att ett av huvudsyftena med dataskyddsförordningen och i synnerhet artikel 83 i denna var att få till stånd ökad harmonisering inom EU med avseende just på påförandet av sanktionsavgifter. Därför anser jag att unionslagstiftaren, tvärtemot vad rådet och den litauiska regeringen har gjort gällande, inte avsåg att medlemsstaterna skulle ha utrymme för skönsmässig bedömning i fråga om huruvida det krävs skuld eller inte.

88. Det är visserligen riktigt att det i nationell lagstiftning kan föreskrivas kompletterande processuella krav som tillsynsmyndigheterna måste uppfylla när de påför sanktionsavgifter (exempelvis med avseende på delgivning av beslut att påföra sanktionsavgift, tidsfrister för att inkomma med synpunkter, överklagande, verkställighet och betalning). Detta står klart mot bakgrund av artikel 83.8 i dataskyddsförordningen, där det stadgas att tillsynsmyndigheternas utövande av sina befogenheter att påföra sanktionsavgifter ska ”omfattas av lämpliga rättssäkerhetsgarantier”, vilka ska föreskrivas i nationell lagstiftning men måste innebära att unionsrätten (och i synnerhet rätten till ett effektivt rättsmedel och till en opartisk domstol) iakttas.

89. Det utrymme för skönsmässig bedömning som medlemsstaterna åtnjuter i det hänseendet kan emellertid inte utsträckas till att omfatta de materiella rekvisiten för påförande av sanktionsavgift, exempelvis huruvida det ska krävas skuld. Enligt min åsikt följer den slutsatsen direkt av flera av skälen i dataskyddsförordningen, där det anges att unionslagstiftarens avsikt med det system för administrativa sanktionsavgifter som införs genom artikel 83 i den förordningen var att få till stånd enhetliga resultat inom hela EU.

90. För fullständighetens skull vill jag tillägga att det, med tanke på att sanktionsavgifter får en betydande inverkan på konkurrensen mellan företag liksom avsevärda konsekvenser på marknaderna, enligt min uppfattning är av avgörande betydelse att artikel 83 i dataskyddsförordningen tillämpas på ett enhetligt sätt. I annat fall skulle den bestämmelsen faktiskt kunna bidra till att snedvrida konkurrensen mellan företag.

2. Den andra delen: kan en personuppgiftsansvarig påföras en sanktionsavgift i ett sammanhang där den lagstridiga behandlingen inte har utförts av den personuppgiftsansvarige själv utan av ett personuppgiftsbiträde?

91. Genom den andra delen av sin sjätte fråga vill den hänskjutande domstolen i allt väsentligt få klarhet i huruvida en personuppgiftsansvarig kan påföras en sanktionsavgift i enlighet med artikel 83 i dataskyddsförordningen i ett sammanhang där den lagstridiga behandlingen av personuppgifter inte har utförts av den personuppgiftsansvarige själv utan av ett personuppgiftsbiträde (i det nu aktuella fallet av ITSS).

92. Den frågan ska enligt min uppfattning besvaras jakande.

93. Därvidlag erinrar jag om att en personuppgiftsansvarig, såsom jag har påpekat i punkt 27 ovan, inte själv behöver behandla några av de aktuella personuppgifterna men däremot måste vara den som bestämmer svaret på frågorna ”varför?” och ”hur?” såvitt avser den aktuella behandlingen. Därutöver noterar jag också att ”personuppgiftsbiträde” i artikel 4 led 8 i dataskyddsförordningen definieras som ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning”.

94. Dessa definitioner bekräftar enligt mitt förmenande att en personuppgiftsansvarig vid tillämpning av dataskyddsförordningen kan hållas ansvarig, och således påföras en sanktionsavgift i enlighet med artikel 83 i den förordningen, i en situation där personuppgifter har behandlats på ett lagstridigt sätt och den lagstridiga behandlingen inte har utförts av den personuppgiftsansvarige själv utan av ett personuppgiftsbiträde. Den möjligheten föreligger så länge det berörda personuppgiftsbiträdet kan anses ha behandlat personuppgifter för den personuppgiftsansvariges räkning.

95. Så är fallet så länge personuppgiftsbiträdet handlar inom ramen för sitt uppdrag från den personuppgiftsansvarige och behandlar uppgifter i överensstämmelse med lagenliga instruktioner från den personuppgiftsansvarige. Om personuppgiftsbiträdet går utanför sitt uppdrag och använder uppgifter som det har erhållit i egenskap av personuppgiftsbiträde för sina egna ändamål, och det står klart att parterna inte är ”gemensamt personuppgiftsansvariga” i den mening som avses i artikel 4 led 7 jämförd med artikel 26.1 i dataskyddsförordningen, kan däremot den personuppgiftsansvarige enligt min uppfattning inte påföras en sanktionsavgift i enlighet med artikel 83 i den förordningen med anledning av den lagstridiga behandling som har skett.

96. Av detta följer att i ett sådant fall som i det nationella målet kan en sanktionsavgift i kraft av den bestämmelsen påföras NVSC trots att lagstridig behandling av personuppgifter utfördes enbart av ITSS och att NVSC inte på något sätt var inblandat i behandlingen. Den möjligheten föreligger så länge ITSS kan anses ha behandlat personuppgifter för NVSC:s räkning, vilket inte är fallet om ITSS handlade på ett sätt som gick utöver eller stred mot de lagenliga instruktionerna från NVSC och använde personuppgifter för egna ändamål och det dessutom står klart att NVSC och ITSS inte handlade i egenskap av gemensamt personuppgiftsansvariga.

V. Förslag till avgörande

97. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen ska besvara tolkningsfrågorna från Vilniaus apygardos administracinis teismas (Regionala förvaltningsdomstolen i Vilnius, Litauen) enligt följande: 1) Artikel 4 led 7 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att en enhet som har tagit initiativ till utvecklingen av en mobilapp kan anses vara ”personuppgiftsansvarig” i den mening som avses i den bestämmelsen enbart i en situation där det föreligger tillräckliga omständigheter av faktisk snarare än formell beskaffenhet som de nationella domstolarna kan lägga till grund för slutsatsen att denna enhet har utövat en faktisk påverkan på både ”ändamålen” och ”medlen” för den aktuella behandlingen, och att den faktiskt har samtyckt till att mobilappen gjordes tillgänglig för allmänheten och således har samtyckt till behandlingen av personuppgifterna. 2) Den bestämmelsen jämförd med artikel 26.1 i samma förordning ska tolkas så, att två eller fler personuppgiftsansvariga kan anses vara ”gemensamt personuppgiftsansvariga” endast om två villkor är uppfyllda: för det första måste var och en av de personuppgiftsansvariga självständigt uppfylla de kriterier som räknas upp i definitionen av ”personuppgiftsansvarig” i artikel 4 led 7 i den förordningen, och för det andra måste de personuppgiftsansvariga utöva sin påverkan på ”ändamålen och medlen” för behandlingen gemensamt. Därutöver gäller att den omständigheten att det saknas arrangemang och till och med samordning mellan de personuppgiftsansvariga inte i sig är tillräcklig för att det ska kunna uteslutas att de är ”gemensamt personuppgiftsansvariga” i den mening som avses i nämnda bestämmelser. 3) Artikel 4 led 2 i samma förordning ska tolkas så, att begreppet ”behandling” omfattar en situation där personuppgifter används under testfasen för en mobilapp, såvida inte dessa uppgifter har anonymiserats på ett sådant sätt att den registrerade inte, eller inte längre, är identifierbar. Huruvida personuppgifter samlas in med syftet att testa de it-system som finns inbäddade i en mobilapp eller för något annat ändamål saknar betydelse vid bedömningen av huruvida en åtgärd är att anse som ”behandling”. 4) Artikel 83 i förordning 2016/679 ska tolkas så, att en sanktionsavgift kan påföras endast med anledning av en regelöverträdelse som har begåtts ”uppsåtligen eller av oaktsamhet”. Vidare kan en personuppgiftsansvarig påföras en sanktionsavgift i enlighet med den bestämmelsen trots att den lagstridiga behandlingen har utförts av ett personuppgiftsbiträde. Denna möjlighet föreligger så länge det är styrkt att personuppgiftsbiträdet har handlat för den personuppgiftsansvariges räkning. Om personuppgiftsbiträdet däremot behandlar personuppgifter på ett sätt som går utöver eller strider mot den personuppgiftsansvariges lagenliga instruktioner och använder de erhållna personuppgifterna för egna ändamål, och det dessutom står klart att parterna inte är ”gemensamt personuppgiftsansvariga” i den mening som avses i artikel 4 led 7 jämförd med artikel 26.1 i den förordningen, kan den personuppgiftsansvarige inte påföras en sanktionsavgift i enlighet med artikel 83 i samma förordning med anledning av den lagstridiga behandling som har skett.

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

3 De personuppgifter som KARANTINAS samlade in från sina användare innefattade bland annat följande: identitetsnummer, koordinater för latitud och longitud, land, stad, kommun, bostadsadress, förnamn, efternamn, personnummer och telefonnummer samt uppgift om huruvida personen var tvungen att isolera sig och huruvida han eller hon var registrerad och så vidare. Dessa uppgifter samlades inte endast in i Litauen utan även utomlands.

4 Artikel 5 i dataskyddsförordningen innehåller en förteckning över allmänna principer som den personuppgiftsansvarige ska se till är uppfyllda när personuppgifter behandlas. I artikel 13 anges vilken information den personuppgiftsansvarige ska förse de registrerade med när personuppgifter samlas in från dem. Enligt artikel 24 ska den personuppgiftsansvarige bland annat genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa (och kunna visa) att behandlingen utförs i enlighet med de tillämpliga dataskyddsreglerna. Artikel 32 rör säkerhet i samband med behandlingen och skapar skyldigheter i det sammanhanget för både personuppgiftsansvariga och personuppgiftsbiträden. Artikel 35 rör den personuppgiftsansvariges skyldighet att utföra en konsekvensbedömning avseende dataskydd innan vissa typer av behandling genomförs.

5 Enligt artikel 29 i dataskyddsförordningen får ”[p]ersonuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, … endast behandla dessa på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt”.

6 Jag noterar att uppgifter om hälsa är en sådan ”särskild kategori av personuppgifter” som det enligt artikel 9 i dataskyddsförordningen är förbjudet att behandla såvida inte någon av de omständigheter som räknas upp i artikel 9.2 föreligger (bland dessa omständigheter märks att behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet (artikel 9.2 i) eller av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin (artikel 9.2 h)). De frågor som EU-domstolen har att ta ställning till i förevarande mål rör emellertid inte huruvida den aktuella behandlingen var lagenlig utan i stället under vilka omständigheter en sådan enhet som NVSC kan hållas ansvarig för överträdelser begångna av utvecklaren av en sådan app (i det aktuella fallet ITSS).

7 Utifrån uppgifterna i akten och de upplysningar som lämnades vid förhandlingen är det oklart huruvida staden Vilnius medverkade i utvecklingen av KARANTINAS.

8 Som jag förklarar i punkt 46 nedan, tolkar jag begäran om förhandsavgörande så, att KARANTINAS genomgick en testfas innan appen gjordes tillgänglig för allmänheten att ladda ned. Som jag förstår saken, rör således den fjärde frågan den användning av personuppgifter som skedde under den testfasen, i motsats till den användning av personuppgifter som ägde rum i ett senare skede, när KARANTINAS var tillgänglig för allmänheten att ladda ned.

9 Se Rücker, D. och Kugler, T., New European General Data Protection Regulation, A Practitioner’s Guide, C.H. Beck, Hart and Nomos, Oxford, 2018, s. 27. Den personuppgiftsansvariges främsta kännetecken är enligt dessa författare att den slår fast vilka resultat som är tänkta att uppnås, snarare än medlen för behandlingen eller svaret på frågan ”hur?”, vilka åtminstone såvitt avser icke-centrala aspekter, kan delegeras till ett personuppgiftsbiträde utan att vederbörande därigenom förlorar sin ställning som personuppgiftsansvarig.

10 Se dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 68). Den domen rörde tolkningen av begreppet ”registeransvarig” såsom detta definierades i artikel 2 d i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Det direktivet är visserligen inte längre i kraft och har ersatts av dataskyddsförordningen, men EU-domstolens tolkning av den bestämmelsen är fortfarande relevant i samband med tillämpning av dataskyddsförordningen, eftersom definitionen av det begreppet är identisk i de båda rättsakterna bortsett från smärre formella justeringar. Jag kommer därför att hänvisa till domar som rör den ena eller den andra av dessa båda rättsakter utan åtskillnad.

11 Se dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 67.

12 Se EDPB:s riktlinjedokument ”Guidelines 07/2020 on the concepts of controller and processor in the GDPR”, version 2.1, antaget den 7 juli 2021 (nedan kallat riktlinje 07/2010), tillgängligt på engelska på följande internetadress: https://edpb.europa.eu/system/files/2021–07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), s. 3 och punkterna 21 och 25–27.

13 Dom av den 29 juli 2019 ( C‑40/17, EU:C:2019:629, punkt 85).

14 Se även riktlinje 07/2020, punkt 42.

15 Se artikel 26.3 i dataskyddsförordningen, enligt vilken ”den registrerade [får] utöva sina rättigheter enligt [dataskydds]förordning[en] med avseende på och emot var och en av de personuppgiftsansvariga”. Se även artikel 82.4 och 82.5 i samma förordning.

16 Se dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 67 och där angiven rättspraxis).

17 Se, för ett liknande resonemang, dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 43).

18 Se dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 69 och där angiven rättspraxis).

19 Se riktlinje 07/2020, s. 3 och punkterna 54 och 55.

20 Det vore i själva verket en smula motsägelsefullt om det var möjligt att klara sig utan formella krav när det gäller huruvida en person eller en enhet kan anses vara ”personuppgiftsansvarig” men däremot inte när det gäller huruvida samma enhet och en annan enhet kan anses vara ”gemensamt personuppgiftsansvariga”.

21 Se riktlinje 07/2020, punkt 52.

22 Se riktlinje 07/2020, punkt 69.

23 Jag noterar att den hänskjutande domstolen i sin fjärde fråga talar om användning av ”kopior av personuppgifter” snarare än användning av personuppgifter. Det är för mig oklart vad den hänskjutande domstolen menar med uttrycket ”kopior av personuppgifter”, med tanke på att personuppgifter kan föreligga i icke-materiell form och att, såsom tydligt framgår av artikel 4 led 1 i dataskyddsförordningen begreppet ”personuppgifter” definieras i den bestämmelsen som ”varje upplysning som avser en identifierad eller identifierbar fysisk person” (min kursivering), utan något som helst krav på att personuppgiften ska ”kopieras” eller transkriberas till en särskild anordning eller ett särskilt medium. Enligt min åsikt saknar det fysiska föremål (exempelvis ett papper), eller för den delen den elektroniska filen, där en personuppgift återfinns betydelse för huruvida en viss kombination av åtgärder som inbegriper personuppgifter är att anse som ”behandling” i den mening som avses i artikel 4 led 2 i den förordningen. I mitt svar på den fjärde frågan kommer jag därför att hänvisa till ”personuppgifter” och inte till ”kopior av personuppgifter”.

24 Min kursivering.

25 Enligt artikel 4 led 2 i dataskyddsförordningen innefattar ”behandling” åtgärder såsom ”insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring”.

26 Se föregående fotnot.

27 ”Personuppgifter” i den mening som avses i artikel 4 led 1 i dataskyddsförordningen jämförd med skäl 26 i samma förordning innefattar i själva verket personuppgifter som har pseudonymiserats men som skulle kunna tillskrivas en fysisk person genom att kompletterande personuppgifter används.

28 I begäran om förhandsavgörande har den hänskjutande domstolen nämnt att vissa, men inte alla, personuppgifter som användes i testfasen kan ha utgjorts av ”fingerade” uppgifter. Den hänskjutande domstolen har emellertid inte närmare utvecklat vad den åsyftar med det uttrycket. I detta hänseende nöjer jag mig med att påpeka att en upplysning enligt min åsikt kan anses utgöra en ”personuppgift” i den mening som avses i artikel 4 led 1 i dataskyddsförordningen oavsett om den är sann eller falsk. Det enda väsentliga är, som jag har påpekat, att upplysningen hänför sig till en identifierad eller identifierbar fysisk person. Om en uppgift är helt och hållet påhittad, så att den inte kan sägas hänföra sig till en identifierad eller identifierbar person, rör det sig enligt min uppfattning inte om en ”personuppgift”, varför dataskyddsförordningen inte är tillämplig på behandling av den uppgiften. Däremot är den förordningen fortfarande tillämplig på de övriga ”icke-fingerade” uppgifter som samlades in under testfasen.

29 Här skulle jag vilja påpeka att användningen av personuppgifter för testning av de it-system som finns inbäddade i en mobilapp utgör en annan ”behandling” än den som sker när samma mobilapp görs tillgänglig för allmänheten att ladda ned. Således krävs det en separat bedömning av vem som är ”personuppgiftsansvarig”, ”personuppgiftsbiträde” eller ”gemensamt personuppgiftsansvarig”.

30 Se artikel 24 i direktiv 95/46.

31 Se ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [dataskydds]förordning[en]”, antagna den 3 oktober 2017 av artikel 29-arbetsgruppen för skydd av personuppgifter, s. 4. Den arbetsgruppen har sedermera ersatts av Europeiska dataskyddsstyrelsen (EDPB), men dess riktlinjer för tillämpning av administrativa sanktionsavgifter är fortfarande giltiga.

32 Ett exempel är den sanktionsavgift på 50 miljoner euro som den franska dataskyddsmyndigheten påförde Google i januari 2019 (https://edpb.europa.eu/news/national-news/2019/cnils-restricted-committee-imposes-financial-penalty-50-million-euros_en).

33 Närmare bestämt i artikel 83.2 b. De övriga omständigheter som räknas upp i artikel 83.2 a–k har antingen samband med själva överträdelsen (exempelvis dess karaktär, svårighetsgrad och varaktighet (led a) eller de kategorier av personuppgifter som berörs (led g)) eller med den personuppgiftsansvarige eller det personuppgiftsbiträde som i förekommande fall ska påföras sanktionsavgiften (nämligen graden av deras ansvar (led d), deras agerande före överträdelsen, exempelvis relevanta tidigare överträdelser (led e) och åtgärder som tidigare har förordnats mot dem (led i), och deras agerande efter överträdelsen, bland annat huruvida de anmälde överträdelsen (led h), vilka åtgärder de vidtog för att lindra skadan (led c) och i vilken grad de har samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelsen och minska dess potentiella negativa effekter (led f)). Därutöver föreskrivs också att vederbörlig hänsyn ska tas till ”eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet, såsom ekonomisk vinst som görs eller förlust som undviks, direkt eller indirekt, genom överträdelsen” (led k).

34 Förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), COM(2012) 11 final (nedan kallat kommissionens ursprungliga förslag till förordning).

35 Se artikel 79.4, 79.5 och 79.6 i kommissionens ursprungliga förslag till förordning. Jag noterar att ”om överträdelsen skett med uppsåt eller genom oaktsamhet” fanns med även i förteckningen i artikel 79.2 i det förslaget över faktorer som skulle beaktas vid fastställandet av sanktionsavgiftens belopp (min krusivering).

36 Lydelsen ändrades sedermera, och uttrycket ”uppsåtligen eller av oaktsamhet” finns inte längre med i bestämmelserna om de båda nivåerna för det system med sanktionsavgifter som införs genom dataskyddsförordningen.

37 Min kursivering.

38 Samma konstaterande är möjligt att göra med ledning av de övriga språkversionerna av artikel 83.2 i dataskyddsförordningen, i synnerhet den tjeckiska, den grekiska, den spanska, den franska och den italienska. Jag noterar dock att i den italienska versionen används ordet ”the” (”le”) snarare än ordet ”any” (”eventuali”) med avseende på artikel 83.2 c i den förordningen som gäller de åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att milda skador.

39 Enligt artikel 29-arbetsgruppen utgör de administrativa sanktionerna ”korrigerande åtgärder” vilkas syfte kan vara ”antingen … att se till att reglerna efterlevs eller att bestraffa olagligt beteende (eller båda delarna)” (min kursivering) (se ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [dataskydds]förordning[en]”, antagna den 3 oktober 2017 av artikel 29-arbetsgruppen för skydd av personuppgifter, s. 6).

40 Se, analogt, dom av den 2 februari 2021, Consob ( C‑481/19, EU:C:2021:84, punkt 43). Jag vill erinra om att tre kriterier är relevanta vid bedömning av huruvida en sanktion är av straffrättslig karaktär. Det första av dessa är den rättsliga kvalificeringen av överträdelsen i nationell rätt, det andra är själva överträdelsens art och det tredje är arten av och strängheten i den sanktion som den berörde kan åläggas (se punkt 42 i den domen och dom av den 5 juni 2012, Bonda, C‑489/10, EU:C:2012:319, punkt 37; se även Europadomstolen, 8 juni 1976, Engel m.fl. mot Nederländerna, CE:ECHR:1976:0608JUD000510071, § 82). Det är inte nödvändigt att alla kriterierna är uppfyllda för att böter eller sanktionsavgifter ska anses vara av straffrättslig karaktär (se förslag till avgörande av generaladvokaten Bot i målet ThyssenKrupp Nirosta/kommissionen ( C‑352/09 P, EU:C:2010:635, punkt 50 och där angiven rättspraxis)).

41 I punkt 3 i artikel 49 i stadgan, vars rubrik lyder ”Principerna om laglighet och proportionalitet i fråga om brott och straff”, anges att ”[s]traffets stränghet [inte] bör … vara oproportionerlig i förhållande till lagöverträdelsen”.

42 Se dom av den 9 februari 2012, Urbán ( C‑210/10, EU:C:2012:64, punkt 48), dom av den 13 november 2014, Reindl ( C‑443/13, EU:C:2014:2370, punkt 42), dom av den 20 december 2017, Global Starnet ( C‑322/16, EU:C:2017:985, punkt 63), och dom av den 22 mars 2017, Euro-Team och Spirál-Gép ( C‑497/15 och C‑498/15, EU:C:2017:229, punkterna 53 och 54). Dessa domar illustrerar att denna rättspraxis har tillämpats på en rad olika områden inom unionsrätten.

43 Se ”Förklaringar avseende stadgan om de grundläggande rättigheterna” (EUT C 303, 2007, s. 17). Enligt artikel 52.3 i stadgan kan det skydd som följer av artikel 49 i denna inte vara mindre omfattande än det som följer av artikel 7 i Europakonventionen.

44 Se Europadomstolen (stora kammaren), 28 juni 2018, GIEM s.r.l. m.fl. mot Italien (CE:ECHR:2018:0628JUD000182806, §§ 242 och 243).

45 Se artiklarna 58.2 i) och 83.2 i dataskyddsförordningen.

46 Enligt artikel 84.1 i dataskyddsförordningen ska ”[m]edlemsstaterna … fastställa regler om andra sanktioner för överträdelser …, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83, och vidta alla nödvändiga åtgärder för att säkerställa att de genomförs”. I skäl 152 i den förordningen anges att artikel 84 är tillämplig när dataskyddsförordningen ”inte harmoniserar administrativa sanktioner eller om nödvändigt i andra fall, till exempel vid fall av allvarliga överträdelser”.

47 Se, för ett liknande resonemang, Chamberlain, J., och Reichel, J., ”The relationship between Damages and Administrative Fines in the EU General Data Protection Regulation”, vol. 89, nr 4, Mississippi Law Journal, 2020, s. 677–679.

48 Se Nemitz, P. ”Fines under the GDPR”, i: Leenes, R., van Brakel, R., Gutwirth, S., och De Hert, P., Data Protection and Privacy: The internet of Bodies, Hart Publishing, 2019, s. 241.

49 Däremot har samma arbetsgrupp påpekat att begreppet ”med uppsåt” innefattar både kunskap och uppsåt i förhållande till en överträdelse (se ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [dataskydds]förordning[en]”, antagna den 3 oktober 2017 av artikel 29-arbetsgruppen för skydd av personuppgifter, s. 11).

50 Ibid., s. 12. Bland andra omständigheter som anges märks ren underlåtenhet att läsa och följa befintliga policyer, underlåtenhet att kontrollera huruvida det finns personuppgifter i information som offentliggörs, underlåtenhet att utan dröjsmål tillämpa tekniska uppdateringar och underlåtenhet att anta policyer.

51 Se Nemitz, P. ”Fines under the GDPR”, i: Leenes, R., van Brakel, R., Gutwirth, S., och De Hert, P., Data Protection and Privacy: The internet of Bodies, Hart Publishing, 2019, s. 240.

52 Se skälen 122 och 132 i dataskyddsförordningen.

53 Se, särskilt, skäl 1 i dataskyddsförordningen, där det med hänvisning till artikel 8.1 i stadgan och artikel 16.1 FEUF erinras om att det är en grundläggande rättighet att få sina personuppgifter skyddade. Se även skälen 10, 11 och 13 i den förordningen samt dom av den 24 september 2019, Google (Territoriell räckvidd för borttagandet av länkar) ( C‑507/17, EU:C:2019:772, punkt 54).

54 Se skäl 148 i dataskyddsförordningen.

55 Se Chamberlain, J., och Reichel, J., ”The relationship between Damages and Administrative Fines in the EU General Data Protection Regulation”, vol. 89, nr 4, Mississippi Law Journal, 2020, s. 685.

56 Rådets förordning (EG) nr 1/2003 av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna [101 FEUF] och [102 FEUF] (EGT L 1, 2003, s. 1).

57 Se dom av den 8 december 2011, Chalkor/kommissionen ( C‑386/10 P, EU:C:2011:815, punkterna 56 och 57 samt där angiven rättspraxis). Därvidlag noterar jag att uppsåt eller oaktsamhet visserligen måste vara styrkt för att böter för överträdelse av konkurrensreglerna ska kunna påföras men att det kravet i praktiken är mycket lågt ställt även i det fallet. EU-domstolen har nämligen funnit att det aktuella rekvisitet är uppfyllt när det berörda företaget måste ha varit medvetet om att dess beteende var konkurrensbegränsande, oberoende av huruvida det var medvetet om att dess beteende innebar en överträdelse av konkurrensreglerna (se dom av den 10 juli 2014, Telefónica och Telefónica de España/kommissionen ( C‑295/12 P, EU:C:2014:2062, punkt 156 och där angiven rättspraxis).

58 Se, exempelvis, skäl 9 i dataskyddsförordningen, där det anges att skillnader i nivån på skyddet av fysiska personers rättigheter och friheter kan ”förhindra det fria flödet av personuppgifter” och ”utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå”.

59 Se skäl 129 (”Detta bör inte utesluta ytterligare krav enligt medlemsstaternas nationella processrätt.” (min kursivering)) och skäl 150 i dataskyddsförordningen. Se även ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [dataskydds]förordning[en]”, antagna den 3 oktober 2017 av artikel 29-arbetsgruppen för skydd av personuppgifter (s. 6).

60 Därvidlag noterar jag att det i skäl 10 i dataskyddsförordningen anges att ”nivån på skyddet [bör] vara likvärdig i alla medlemsstater” medan det i skälen 11, 13 och 129 i samma förordning anges att det i medlemsstaterna behöver finnas likvärdiga befogenheter för övervakning och för säkerställande av efterlevnad samt likvärdiga sanktioner för överträdelser. I skäl 152 i dataskyddsförordningen anges vidare att det endast är i den mån som den förordningen inte harmoniserar administrativa sanktioner (eller när det är nödvändigt i andra fall) som medlemsstaterna bör genomföra ett system med sådana sanktioner (se även skäl 150 i dataskyddsförordningen).

61 Se Voss, W.G., och Bouthinon-Dumas, H., ”EU General Data Protection Regulation Sanctions in Theory and in Practice”, Santa Clara High Tech, vol. 37, 2020, s. 44.

62 Min kursivering.

63 Enligt artikel 29 i dataskyddsförordningen får ”[p]ersonuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, … endast behandla dessa på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt”.

64 Enligt artikel 28.10 i dataskyddsförordningen ska personuppgiftsbiträdet anses vara personuppgiftsansvarig med avseende på sådan behandling. Se även Rücker, D., och Kugler, T., New European General Data Protection Regulation, A Practitioner’s Guide, C.H. Beck, Hart and Nomos, Oxford, 2018, s. 30.