Förslag till avgörande av generaladvokat Medina – Mål C‑169/23 Másdi
I. Inledning
1. En av den personuppgiftsansvariges viktigaste skyldigheter är att förse den registrerade med information. Generaladvokat Cruz Villalón uttryckte det på ett elegant sätt i sitt förslag till avgörande i målet Bara m.fl. när han konstaterade att kravet på information till de registrerade ”säkerställer insyn i varje behandling”. Skyldigheten att tillhandahålla information svarar mot den registrerades grundläggande rätt att erhålla information om behandlingen av hans eller hennes uppgifter. Det har påpekats i doktrinen att rätten till information ”illustrerar” öppenhetsprincipen och ”utgör riktmärket” för alla andra rättigheter. Långtgående informationskrav gör det nämligen möjligt för den registrerade att utöva andra viktiga rättigheter som erkänns i förordning (EU) 2016/679.
2. Förevarande mål har föranletts av utfärdandet av covid-19-intyg. EU-domstolen uppmanas här för första gången att tolka ett viktigt undantag från den personuppgiftsansvariges skyldighet att tillhandahålla information som föreskrivs i artikel 14.5 c i dataskyddsförordningen. Det ifrågavarande undantaget kommer att analyseras i anslutning till tillsynsmyndighetens befogenheter i samband med ett klagomål som lämnats in av den registrerade.
II. Tillämpliga bestämmelser
A. Unionsrätt
3. I artikel 14 i dataskyddsförordningen, med rubriken ”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”, föreskrivs följande i punkterna 1, 2 och 5:
”1. Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:
a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.
b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.
c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.
d) De kategorier av personuppgifter som behandlingen gäller.
e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.
f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till en mottagare i ett tredjeland eller en internationell organisation och huruvida ett beslut av [Europeiska] kommissionen om adekvat skyddsnivå föreligger eller saknas …
2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och öppen behandling när det gäller den registrerade:
a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
b) Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.
c) Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet.
d) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.
e) Rätten att inge klagomål till en tillsynsmyndighet.
f) Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor.
g) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
…
5. Punkterna 1–4 ska inte tillämpas i följande fall och i den mån
…
c) erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, …
…”
4. I artikel 32 i dataskyddsförordningen, som har rubriken ”Säkerhet i samband med behandlingen”, anges följande i punkt 1:
”Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken …
…”
5. I artikel 77 i dataskyddsförordningen, med rubriken ”Rätt att lämna in klagomål till en tillsynsmyndighet”, föreskrivs följande i punkt 1:
”Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.”
B. Ungersk rätt
6. I 2 § punkt 1 led a–g i a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (regeringsdekret 60/2021 av den 12 februari om intyg om immunitet mot coronaviruset) (nedan kallat dekret 60/2021), i den lydelse som är tillämplig i det nationella målet, anges följande:
”Immunitetsintyget ska innehålla
a) den registrerades namn,
b) den registrerades passnummer, om denne har ett pass,
c) nummer och identitetsbeteckning på den registrerades permanenta identitetskort, om denne har ett sådant,
d) immunitetsintygets serienummer,
e) om ett vaccinationsbevis ges in, vaccinationsdatum,
f) om ett bevis om tillfrisknande efter genomgången infektion ges in, bevisets giltighetsdatum,
g) en datalagringskod, som genererats med hjälp av de uppgifter som anges i led a–f och som är optiskt läsbar med datorutrustning,
…”
7. Enligt 2 § punkterna 6 och 7 i dekret 60/2021 ska intyg om immunitet utfärdas av Budapest Főváros Kormányhivatala (regeringskansliet i huvudstaden Budapest, Ungern) (nedan kallat Budapestkansliet) till berättigade fysiska personer, antingen ex officio eller efter ansökan.
8. I 3 § punkt 3 i dekret 60/2021 föreskrivs följande:
”I ärenden enligt 2 § punkt 6 led c och d ska [Budapestkansliet] genom automatisk informationsöverföring – i förekommande fall via relevanta avdelningar inom összerendelési nyilvántartás [(registret för elektronisk organisering av identitetsuppgifter, Ungern)] – samla in
a) den registrerades socialförsäkringsnummer, de uppgifter som anges i 2 § punkt 1 led e och g samt de uppgifter som anges i punkt 1 från operatören av EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér (webbplatsen för elektronisk hälso- och sjukvård))],
b) den registrerades namn, identitetsbeteckningarna i passet och på det permanenta identitetskortet samt vederbörandes bostadsadress från det organ som hanterar personuppgifts- och bostadsadressregistret.”
III. Det nationella målet och tolkningsfrågorna
9. UC, som är en fysisk person, erhöll från Budapestkansliet ett immunitetsintyg som bekräftade att han blivit vaccinerad mot covid-19.
10. Den 30 april 2021 ingav UC ett klagomål grundat på artikel 77.1 i dataskyddsförordningen till Nemzeti Adatvédelmi és Információszabadság Hatóság (nationella myndigheten för skydd av personuppgifter och informationsfrihet, Ungern) (nedan kallad den ungerska tillsynsmyndigheten). UC begärde att denna myndighet skulle förelägga Budapestkansliet att anpassa sin behandling av personuppgifter till bestämmelserna i dataskyddsförordningen. I klagomålet gjorde UC bland annat gällande att Budapestkansliet inte hade utarbetat eller offentliggjort något integritetsmeddelande om behandlingen av personuppgifter i samband med utfärdandet av immunitetsintyg och att det saknades tillräcklig information om ändamålen med och den rättsliga grunden för behandlingen, samt om de registrerades rättigheter och hur dessa rättigheter kunde utövas.
11. Inom ramen för det förfarande som inleddes till följd av klagomålet förklarade Budapestkansliet att det utförde sina uppgifter avseende utfärdandet av immunitetsintyg i enlighet med 2 § i dekret 60/2021 och att den rättsliga grunden för behandlingen var artikel 6.1 e i dataskyddsförordningen och, såvitt avsåg behandlingen av särskilda kategorier av personuppgifter, artikel 9.2 i) i nämnda förordning.
12. Budapestkansliet angav vidare att det, i enlighet med artikel 3 § punkterna 2 och 3 i dekret 60/2021, hade samlat in de behandlade uppgifterna genom automatisk informationsöverföring från operatören av webbplatsen för elektronisk hälso- och sjukvård och från det organ som hanterar personuppgifts- och bostadsadressregistret. Budapestkansliet menade att det enligt artikel 14.5 c i dataskyddsförordningen inte var skyldigt att tillhandahålla information om behandlingen. Trots detta hade den sammanställt ett integritetsmeddelande om den ifrågavarande behandlingen som den hade offentliggjort på sin webbplats.
13. Genom beslut av den 15 november 2021 avslog den ungerska tillsynsmyndigheten klagomålet på den grunden att Budapestkansliet inte var skyldigt att tillhandahålla information, eftersom den ifrågavarande behandlingen omfattades av det undantag som stadfästs i artikel 14.5 c i dataskyddsförordningen. Mer specifikt ansåg denna tillsynsmyndighet att dekret 60/2021 utgjorde den rättsliga grunden för behandlingen och att Budapestkansliet inte hade erhållit uppgifterna från de registrerade själva. Den konstaterade vidare att det i 3 § punkt 1 i dekret 60/2021 uttryckligen föreskrevs att Budapestkansliet skulle samla in uppgifterna. Den omständigheten att Budapestkansliet på sin webbplats hade offentliggjort information om behandlingen av uppgifter, trots att det inte förelåg någon rättslig skyldighet att göra detta, var att anse som god sed.
14. Den ungerska tillsynsmyndigheten prövade ex officio frågan om lämpliga åtgärder för att skydda den registrerades berättigade intressen i enlighet med artikel 14.5 c i dataskyddsförordningen, och fann att 2 och 3 §§ samt 5–7 §§ i dekret 60/2021 skulle anses avse sådana åtgärder.
15. UC överklagade den ungerska tillsynsmyndighetens beslut till Fővárosi Törvényszék (Överdomstolen för Budapests stad, Ungern). Nämnda domstol biföll överklagandet, upphävde den ungerska tillsynsmyndighetens beslut och återförvisade ärendet till nämnda myndighet för förnyad prövning.
16. I domskälen angav Fővárosi Törvényszék (Överdomstolen för Budapests stad) att undantaget i artikel 14.5 c i dataskyddsförordningen inte var tillämpligt eftersom vissa uppgifter i samband med immunitetsintygen inte samlades in från något annat organ utan i stället genererades av den personuppgiftsansvarige själv. Bland dessa uppgifter ingick immunitetsintygets serienummer, intygets giltighetstid, QR-koden på intyget, samt den streckkod och andra alfanumeriska koder som genererades av den personuppgiftsansvarige under handläggningen av ärendet.
17. Den ungerska tillsynsmyndigheten har överklagat den slutliga domen från Fővárosi Törvényszék (Överdomstolen för Budapests stad) till Kúria (Högsta domstolen, Ungern).
18. Vad avser tillämpligheten av undantaget i artikel 14.5 c i dataskyddsförordningen, anser den hänskjutande domstolen att det kan omfatta alla typer av behandling som inte rör uppgifter som samlats in från den registrerade i den mening som avses i artikel 13 i dataskyddsförordningen, inbegripet uppgifter som generats av den personuppgiftsansvarige själv.
19. Om artikel 14.5 c i dataskyddsförordningen tolkas på detta sätt, hyser den hänskjutande domstolen tvivel beträffande omfattningen av de nationella tillsynsmyndigheternas befogenhet att vidta korrigerande åtgärder i samband med ett klagomål enligt artikel 77.1 i dataskyddsförordningen. Mer specifikt ifrågasätter den hänskjutande domstolen huruvida tillsynsmyndigheten inom ramen för ett sådant klagomål har befogenhet att pröva frågan om huruvida det i nationell rätt fastställts sådana lämpliga åtgärder för att skydda den registrerades berättigade intressen som avses i artikel 14.5 c i dataskyddsförordningen.
20. Om tillsynsmyndigheten skulle anses ha denna befogenhet, önskar den hänskjutande domstolen få klarhet i den exakta innebörden av uttrycket ”lämpliga åtgärder för att skydda den registrerades berättigade intressen”. I detta avseende konstaterar den hänskjutande domstolen att ”lämpliga åtgärder” skulle kunna anses innefatta dels ett införlivande med nationell rätt av de uppgifter som räknas upp i artikel 14.1 a–f i dataskyddsförordningen och dels en rätt att begära en granskning av säkerheten i samband med behandlingen, som regleras i artikel 32 i dataskyddsförordningen. En sådan tolkning av begreppet ”lämpliga åtgärder” skulle emellertid medföra en risk för att lagstiftningen belastas med tekniska bestämmelser, vilket skulle strida mot kravet på att rättsakter ska vara begripliga och tydliga. Det skulle även kunna vara en tillräcklig garanti om åtgärderna avseende datasäkerhet iakttas, även om de inte specifikt har införlivats.
21. Mot denna bakgrund har Kúria (Högsta domstolen) beslutat att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:
”1) Ska artikel 14.5 c, jämförd med artikel 14.1 och skäl 62, i [dataskyddsförordningen] tolkas så, att det undantag som föreskrivs i artikel 14.5 c inte avser uppgifter som har tagits fram i den personuppgiftsansvariges eget förfarande, utan bara uppgifter som den personuppgiftsansvarige uttryckligen har erhållit från en annan person?
2) Om artikel 14.5 c i dataskyddsförordningen även ska tillämpas på uppgifter som har tagits fram i den personuppgiftsansvariges eget förfarande, ska då rätten att inge klagomål till en tillsynsmyndighet, i enlighet med artikel 77.1 i dataskyddsförordningen, tolkas så, att en fysisk person som gör gällande att skyldigheten att tillhandahålla information har åsidosatts, när denne utövar sin rätt att inge klagomål får begära att det ska prövas huruvida medlemsstatens lagstiftning fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, i enlighet med artikel 14.5 c i den allmänna dataskyddsförordningen?
3) Om fråga 2 besvaras jakande, kan då artikel 14.5 c i dataskyddsförordningen tolkas så, att uttrycket ’lämpliga åtgärder’ i den bestämmelsen innebär att den nationella lagstiftaren (genom att föreskriva det i lag eller annan författning) ska införliva de åtgärder rörande datasäkerhet som föreskrivs i artikel 32 i dataskyddsförordningen?”
22. Skriftliga yttranden har inkommit från UC, den ungerska tillsynsmyndigheten, den ungerska regeringen och kommissionen. EU-domstolen har i enlighet med artikel 23 i stadgan för Europeiska unionens domstol ställt frågor för skriftligt besvarande till parterna och andra berörda parter, vilka besvarats av UC, den tjeckiska regeringen, den ungerska regeringen och kommissionen.
IV. Bedömning
A. Inledande anmärkningar beträffande informationsskyldigheten och undantaget i artikel 14.5 c i dataskyddsförordningen
23. Tillhandahållandet av information till de registrerade är en central del av den öppenhetsprincip som stadfästs i artikel 5.1 a i dataskyddsförordningen. När öppenhetsprincipen respekteras ”kan de registrerade hålla personuppgiftsansvariga och personuppgiftsbiträden ansvariga”, vilket stärker deras möjlighet att utöva kontroll över sina personuppgifter. Såsom anges i domen i målet Bara m.fl. är ”kravet på information till dem vars personuppgifter behandlas av särskilt stor betydelse, eftersom det utgör en nödvändig förutsättning för att de ska kunna utöva sin rätt till tillgång och rättelse av de behandlade uppgifterna”. De viktigaste bestämmelserna i detta avseende är artiklarna 12, 13 och 14 i dataskyddsförordningen.
24. Enligt artikel 12.1 i dataskyddsförordningen ska den personuppgiftsansvarige vidta lämpliga åtgärder för att tillhandahålla den information som avses i artiklarna 13 och 14 ”i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk”. Sådan information lämnas vanligen i en integritetspolicy, ett integritetsmeddelande eller en sekretesspolicy.
25. Innehållet i och omfattningen av informationsskyldigheten anges i artiklarna 13 och 14 i dataskyddsförordningen. Artikel 13 reglerar vilken information som ska tillhandahållas om personuppgifterna samlas in från den registrerade (direkt insamling), medan artikel 14 styr vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade (indirekt insamling). Den information som ska tillhandahållas enligt dessa två bestämmelser sammanfaller i betydande utsträckning.
26. När det gäller indirekt insamling av uppgifter inbegriper ”standardinformationskatalogen” i artikel 14.1 i dataskyddsförordningen information om den personuppgiftsansvariges identitet, ändamålen med behandlingen, mottagarna av uppgifterna och i tillämpliga fall om överföring av uppgifter till en mottagare i ett tredjeland. Såvitt avser den ytterligare information som krävs för att säkerställa rättvis och öppen behandling hänvisas det i artikel 14.2 i dataskyddsförordningen uttryckligen till den period under vilken personuppgifterna kommer att lagras, den personuppgiftsansvariges berättigade intressen och förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter.
27. Den personuppgiftsansvariges skyldighet att tillhandahålla information vid indirekt insamling enligt artikel 14 i dataskyddsförordningen är föremål för fyra undantag, vilka anges i punkt 5 i denna artikel. Det undantag som är relevant för det nationella målet är det som föreskrivs i artikel 14.5 c i dataskyddsförordningen, som innehåller en ”öppningsklausul”. Den personuppgiftsansvarige är inte skyldig att tillhandahålla information i fall och i den mån ”erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av” och denna rätt fastställer ”lämpliga åtgärder för att skydda den registrerades berättigade intressen”.
28. I den engelska språkversionen av artikel 14.5 c i dataskyddsförordningen, liksom i andra språkversioner, görs det inte en uttrycklig hänvisning till föremålet för ”erhållandet eller utlämnandet”. I ett antal andra språkversioner hänvisas det däremot uttryckligen till erhållandet eller utlämnandet av ”uppgifter”. Det förefaller som om det endast är i den franska språkversionen som det hänvisas till erhållande eller utlämnande av ”information”.
29. Eftersom alla språkversioner av en unionsrättsakt i princip ska tillerkännas samma värde, ska emellertid den aktuella bestämmelsen, i händelse av bristande överensstämmelse mellan språkversionerna, tolkas med hänsyn till sammanhanget och ändamålet med de föreskrifter i vilka den ingår.
30. I detta hänseende framgår det tydligt av sammanhanget för de föreskrifter i vilka artikel 14.5 c i dataskyddsförordningen ingår att erhållandet eller utlämnandet avser personuppgifter (i motsats till information). Det följer redan av rubriken till artikel 14 i nämnda förordning att informationen ”tillhandahålls” medan erhållandet avser ”personuppgifter”. Denna tolkning bekräftas av skäl 61 i dataskyddsförordningen, där det anges att ”personuppgifterna” erhålls från en annan källa, och av skäl 62 i samma förordning, där det hänvisas till registreringen eller utlämnandet av ”personuppgifterna”. Om man dessutom beaktar den vida definitionen av begreppet ”behandling” i artikel 4.2 i dataskyddsförordningen som en åtgärd eller kombination av åtgärder beträffande personuppgifter, så måste ”erhållandet eller utlämnandet” betraktas som en behandlingsåtgärd beträffande personuppgifter.
31. När det gäller ändamålet med de föreskrifter i vilka artikel 14.5 c i nämnda förordning ingår, verkar det ifrågavarande undantaget bygga på det underliggande antagandet att unionsrätten eller medlemsstaternas nationella rätt utgör en ersättning eller ett substitut för den skyldighet som normalt åvilar den personuppgiftsansvarige att tillhandahålla information om erhållandet eller utlämnandet av uppgifter. I kraft av den relevanta lagstiftningen har de registrerade redan tillräcklig kunskap om erhållandet eller utlämnandet av uppgifterna. Den lagstiftning som den personuppgiftsansvarige omfattas av måste uttryckligen avse erhållandet eller utlämnandet av uppgifter och den personuppgiftsansvarige ska omfattas av ett obligatoriskt krav i fråga om detta erhållande eller utlämnande.
32. Av vad som anförts ovan framgår således tydligt att föremålet för undantaget i fråga om erhållande eller utlämnande rör personuppgifter.
33. Det är mot bakgrund av dessa iakttagelser som jag kommer att utforska undantaget i artikel 14.5 c i dataskyddsförordningen närmare i samband med bedömningen av tolkningsfrågorna.
B. Den första frågan
34. Den hänskjutande domstolen har i huvudsak ställt sin första fråga för att få klarhet i huruvida artikel 14.5 c i dataskyddsförordningen ska tolkas så, att undantaget från den personuppgiftsansvariges skyldighet att tillhandahålla information endast avser uppgifter som den personuppgiftsansvarige uttryckligen har erhållit från en annan person och inte uppgifter som har tagits fram i den personuppgiftsansvariges eget förfarande.
35. Denna fråga har sin grund i att vissa uppgifter i covid-19-intygen i det nationella målet inte erhölls från en annan organisation utan togs fram av Budapestkansliet själv.
36. Det måste således fastställas huruvida begreppet ”erhållande”, som används i artikel 14.5 c i dataskyddsförordningen, inte inbegriper uppgifter som tagits fram av den personuppgiftsansvarige själv.
37. För att besvara den frågan ska det inledningsvis erinras om att det vid tolkningen av en unionsbestämmelse inte bara är lydelsen som ska beaktas, utan också det sammanhang i vilket bestämmelsen förekommer och de mål som eftersträvas med den rättsakt som bestämmelsen ingår i.
38. När det gäller ordalydelsen föreskrivs det i artikel 14.5 c i dataskyddsförordningen inte någon begränsning till en viss typ av behandling eller ett specifikt sätt som den personuppgiftsansvarige ska erhålla uppgifterna på. Uppgifterna kan erhållas genom ett tekniskt förfarande, såsom att den personuppgiftsansvarige tar fram uppgifterna.
39. Den vida tolkning som ska ges begreppet ”erhållande” bekräftas i skäl 62 i dataskyddsförordningen. I det skälet används begreppet ”registrering” av uppgifter, vilket, såsom den hänskjutande domstolen har påpekat, avser en bredare grupp av behandlingsåtgärder som kan utföras av den personuppgiftsansvarige. Artikel 14.5 c i dataskyddsförordningen kan därför inte tolkas så, att den enbart är tillämplig på uppgifter som erhållits från en annan enhet och inte på uppgifter som tagits fram av den personuppgiftsansvarige själv.
40. Denna tolkning av artikel 14.5 c i nämnda förordning bekräftas även av det sammanhang i vilket denna bestämmelse ingår och av de mål och syften som eftersträvas med den.
41. Det ska i detta sammanhang påpekas att de undantag som föreskrivs i artikel 14.5 i dataskyddsförordningen avser punkterna 1–4 i samma artikel. Det materiella tillämpningsområdet för artikel 14 i dataskyddsförordningen (som det ifrågavarande undantaget utgör en del av) definieras på ett negativt sätt jämfört med artikel 13 i förordningen. Medan artikel 13 i dataskyddsförordningen reglerar vilken information som ska tillhandahållas om personuppgifter samlas in från den registrerade, reglerar artikel 14 i samma förordning tillhandahållandet av information om personuppgifterna inte har erhållits från den registrerade. Det följer av uppdelningen mellan direkt och indirekt insamling av uppgifter att alla uppgifter som inte erhålls från den registrerade omfattas av det materiella tillämpningsområdet för artikel 14 i dataskyddsförordningen. Det saknar betydelse om uppgifterna tagits fram av den personuppgiftsansvarige själv i den mån de inte erhålls från den registrerade. Det vida materiella tillämpningsområdet för artikel 14 bekräftas också av skäl 61, där det hänvisas till uppgifter som ”erhålls direkt från en annan källa”, det vill säga en annan källa än den registrerade.
42. Såsom kommissionen och den ungerska tillsynsmyndigheten har påpekat utgör dessutom bestämmelserna i artiklarna 13 och 14 i dataskyddsförordningen ett i allt väsentligt heltäckande system för information till den registrerade i alla tänkbara situationer. Om begreppet ”erhållande” i artikel 14.5 c i dataskyddsförordningen skulle tolkas så, att det inte inbegriper uppgifter som tagits fram av den personuppgiftsansvarige själv, så skulle denna bestämmelse ha en snävare räckvidd än artikel 14, som den utgör en del av.
43. När det gäller det specifika ändamålet med det ifrågavarande undantaget bygger, såsom påpekats i de inledande anmärkningarna i förevarande förslag till avgörande, den personuppgiftsansvariges befrielse från att tillhandahålla information på antagandet att lagen ersätter den skyldighet som normalt åvilar den personuppgiftsansvarige att tillhandahålla informationen. Det undantag som föreskrivs i artikel 14.5 c i dataskyddsförordningen ger medlemsstaterna ett utrymme för skönsmässig bedömning när det gäller att föreskriva ett annat sätt att informera den registrerade och säkerställa en rättvis och öppen behandling än att den personuppgiftsansvarige tillhandahåller individuell information. Denna alternativa rättsliga lösning måste dock ändå leda till samma resultat. Den lag som ersätter den personuppgiftsansvariges skyldighet att informera måste ge den registrerade möjlighet att utöva kontroll över sina uppgifter och att utöva sina rättigheter enligt dataskyddsförordningen.
44. En tolkning av artikel 14.5 c i dataskyddsförordningen som innebär att uppgifter som tagits fram av den personuppgiftsansvarige själv undantas från dess tillämpningsområde skulle begränsa det utrymme för skönsmässig bedömning som medlemsstaterna har getts på grundval av ett skäl som inte förefaller vara relevant för skyddet av den registrerades berättigade intressen.
45. En sådan alternativ tolkning – som skulle medföra att det införs ett undantag från undantaget i artikel 14.5 c i dataskyddsförordningen när uppgifterna tagits fram av den personuppgiftsansvarige själv – skulle dessutom riskera att göra det ännu mer komplicerat för den registrerade. Den registrerade måste kunna veta från vilken källa han eller hon kommer att erhålla information om behandlingen av hans eller hennes uppgifter när dessa uppgifter inte samlas in från den registrerade själv. Den relevanta lagstiftningen måste göra behandlingen förutsebar för den registrerade i alla sådana situationer.
46. Av vad som anförts ovan följer att artikel 14.5 c i dataskyddsförordningen ska tolkas så, att undantaget från den personuppgiftsansvariges skyldighet att tillhandahålla information till den registrerade även gäller alla uppgifter som den personuppgiftsansvarige inte har erhållit från den registrerade. I detta avseende saknar det betydelse huruvida uppgifterna uttryckligen erhållits från en annan enhet eller om uppgifterna har tagits fram i den personuppgiftsansvariges eget förfarande.
C. Den andra frågan
47. Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 77.1 i dataskyddsförordningen ska tolkas så, att tillsynsmyndigheten inom ramen för ett klagomålsförfarande har befogenhet att pröva om det i medlemsstatens lagstiftning, som den personuppgiftsansvarige omfattas av, fastställs lämpliga åtgärder för att skydda den registrerades berättigade intressen så att undantaget i artikel 14.5 c i förordningen kan tillämpas.
48. I detta avseende ska det erinras om att varje registrerad för det första enligt artikel 77.1 i dataskyddsförordningen har rätt att lämna in ett klagomål till en tillsynsmyndighet om vederbörande anser att behandlingen av personuppgifter som avser honom eller henne utgör en överträdelse av förordningen.
49. För det andra ska varje tillsynsmyndighet enligt artikel 55.1 i dataskyddsförordningen vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt förordningen inom sin egen medlemsstats territorium. Vidare ska den nationella tillsynsmyndigheten enligt artikel 57.1 a i dataskyddsförordningen ansvara för att övervaka och verkställa tillämpningen av denna förordning.
50. De bestämmelser som återges i ovanstående två punkter innebär inte att villkoren för att tillämpa undantaget i artikel 14.5 c i dataskyddsförordningen utesluts från de nationella tillsynsmyndigheternas befogenhet.
51. Såsom den ungerska regeringen och kommissionen har anfört, har de nationella tillsynsmyndigheterna således i huvudsak befogenhet att inom ramen för ett klagomål enligt artikel 77.1 i dataskyddsförordningen kontrollera huruvida alla villkor i artikel 14.5 c i denna förordning är uppfyllda. Av artikel 14.5 första meningen i dataskyddsförordningen följer att alla undantag som föreskrivs i denna punkt är tillämpliga ”i … fall och i den mån” de villkor som anges där är uppfyllda.
52. I detta hänseende måste tillsynsmyndigheterna mer specifikt ha befogenhet att granska för det första huruvida lagen direkt avser den personuppgiftsansvarige och huruvida denne omfattas av ett obligatoriskt krav i fråga om erhållande eller utlämnande. För det andra måste tillsynsmyndigheterna kunna pröva huruvida den lag som den personuppgiftsansvarige åberopar fastställer ”lämpliga åtgärder för att skydda den registrerades berättigade intressen” och huruvida den personuppgiftsansvarige kan visa att erhållandet eller utlämnandet av personuppgifter överensstämmer med dessa åtgärder.
53. Den ungerska tillsynsmyndigheten har gjort gällande att en prövning av frågan huruvida det i nationell rätt fastställs lämpliga åtgärder för att skydda den registrerades berättigade intressen skulle gå utanför dess uppgifter och överskrida dess befogenheter enligt artiklarna 57 respektive 58 i dataskyddsförordningen. Denna myndighet anser att dessa bestämmelser inte tillerkänner tillsynsmyndigheterna några korrigerande befogenheter avseende nationell rätt och att det inte är möjligt att utöva sådana befogenheter gentemot en personuppgiftsansvarig som endast har följt den nationella lagstiftningen.
54. Det ska i detta sammanhang framhållas att en nationell tillsynsmyndighets granskning av frågan huruvida samtliga villkor för tillämpning av undantaget i artikel 14.5 c i dataskyddsförordningen är uppfyllda, såsom kommissionen med rätta har påpekat, inte innebär en prövning av den nationella lagstiftningens giltighet. Tillsynsmyndigheten prövar endast huruvida den personuppgiftsansvarige har rätt att åberopa undantaget gentemot en viss registrerad i en viss situation.
55. Det ankommer därför på den nationella tillsynsmyndigheten att pröva den registrerades begäran att den personuppgiftsansvarige inte ska befrias från sin skyldighet att tillhandahålla information eftersom den relevanta lagstiftningen inte fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen.
56. För det fall att den nationella tillsynsmyndigheten kommer fram till att det saknas fog för klagomålet, ska den person som lämnade in klagomålet och som ifrågasätter detta beslut, såsom framgår av artikel 78 i dataskyddsförordningen, ha tillgång till ett rättsmedel som gör det möjligt för honom eller henne att angripa beslutet vid nationell domstol.
57. Om den nationella tillsynsmyndigheten anser att klagomålet är välgrundat och att villkoren för undantaget inte är uppfyllda, har den, såsom den ungerska regeringen och kommissionen i huvudsak har hävdat, befogenhet att ålägga den personuppgiftsansvarige att tillmötesgå den registrerades begäran. I den situationen måste den personuppgiftsansvarige tillhandahålla informationen enligt artikel 14.1–4 i dataskyddsförordningen.
58. Som svar på EU-domstolens skriftliga frågor hävdade den tjeckiska regeringen att det inte är möjligt att pröva huruvida åtgärder för att skydda den registrerades berättigade intressen är lämpliga när det i nationell rätt, på ett målinriktat sätt och med avseende på en specifik situation, föreskrivs ett undantag från skyldigheten att lämna information. Denna regering har med hänvisning till domen i målet Schrems i huvudsak konstaterat att det enbart ankommer på domstolarna och inte på en förvaltningsmyndighet att pröva huruvida en rättskälla är förenlig med en annan rättskälla.
59. I detta hänseende ska det erinras om att en av de viktigaste frågorna i målet Schrems rörde de nationella tillsynsmyndigheternas befogenhet att pröva en persons begäran om skydd för sina fri- och rättigheter med avseende på ett kommissionsbeslut i vilket denna myndighet konstaterade att ett tredjeland säkerställde en adekvat skyddsnivå. EU-domstolen slog fast att när de nationella tillsynsmyndigheterna prövar en sådan begäran, har de inte befogenhet att själva ogiltigförklara detta beslut. Om den nationella tillsynsmyndigheten anser att det finns fog för de invändningar som framförts av den person som har lämnat in klagomålet, måste denna myndighet ha befogenhet att inleda rättsliga förfaranden.
60. Domen i målet Schrems förefaller emellertid inte ha någon direkt relevans för frågan om tillsynsmyndigheternas befogenheter vid prövningen av det undantag som stadgas i artikel 14.5 c i dataskyddsförordningen. Det ska redan inledningsvis påpekas att tillsynsmyndigheten vid denna prövning inte kan påverka den personuppgiftsansvariges rättsliga skyldighet att erhålla eller lämna ut personuppgifterna. Tillsynsmyndigheten kan med andra ord inte ålägga den personuppgiftsansvarige att avstå från att tillämpa ett lagstadgat krav på att erhålla eller lämna ut uppgifter som den personuppgiftsansvarige alltjämt är bunden av. Såsom kommissionen och den ungerska regeringen har hävdat består den nationella tillsynsmyndighetens befogenhet i en sådan situation i huvudsak i att ålägga den personuppgiftsansvarige att tillhandahålla den nödvändiga informationen i sitt integritetsmeddelande om villkoren för det ifrågavarande undantaget inte är uppfyllda. Ett sådant beslut påverkar nämligen, såsom har påpekats ovan, inte giltigheten av den lagstiftningsåtgärd som den personuppgiftsansvarige omfattas av.
61. Tillsynsmyndighetens befogenhet att ålägga den personuppgiftsansvarige att tillhandahålla information påverkar inte denna myndighets befogenhet att, om den anser att den aktuella lagstiftningsåtgärden är ogiltig, delta i rättsliga förfaranden såsom fastställts i nationell rätt i enlighet med artikel 58.5 i dataskyddsförordningen.
62. Slutligen har tillsynsmyndigheten på ett mer systematiskt plan, såsom alla berörda parter har gjort gällande, befogenhet att råda den lagstiftande eller verkställande makten att ändra den relevanta lagstiftningsåtgärden om den anser att den inte fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. Det ska i detta sammanhang erinras om att tillsynsmyndigheterna i enlighet med artikel 57.1 c i dataskyddsförordningen ansvarar för att ge rådgivning åt det nationella parlamentet, regeringen och andra institutioner och organ. De åtnjuter även de rådgivande befogenheter som anges i artikel 58.3 b i dataskyddsförordningen.
63. Det följer av vad som angetts ovan att artikel 77.1 i dataskyddsförordningen ska tolkas så, att tillsynsmyndigheten inom ramen för ett klagomålsförfarande har befogenhet att pröva huruvida alla villkor i artikel 14.5 c i dataskyddsförordningen är uppfyllda. Mer specifikt har denna tillsynsmyndighet befogenhet att pröva frågan huruvida en medlemsstats nationella rätt, som den personuppgiftsansvarige omfattas av, fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen.
D. Den tredje frågan
64. Den hänskjutande domstolen vill genom sin tredje fråga i huvudsak få klarhet i huruvida artikel 14.5 c i dataskyddsförordningen ska tolkas så, att begreppet ”lämpliga åtgärder” i den bestämmelsen innebär att den nationella lagstiftaren ska införliva de åtgärder rörande datasäkerhet som föreskrivs i artikel 32 i denna förordning.
65. I detta avseende ska det å ena sidan erinras om att tillämpligheten av undantaget från skyldigheten att tillhandahålla information enligt artikel 14.5 c i dataskyddsförordning är beroende av att det fastställts ”lämpliga åtgärder” för att skydda den registrerades berättigade intressen. Å andra sidan följer det av artikel 32 i dataskyddsförordningen att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta ”lämpliga tekniska och organisatoriska åtgärder” för att säkerställa säkerheten i samband med behandlingen.
66. Såsom kommissionen har gjort gällande har emellertid artiklarna 14 och 32 i nämnda förordning olika tillämpningsområden. Räckvidden av begreppet ”lämpliga åtgärder” måste bedömas mot bakgrund av artikel 14 i dataskyddsförordningen. Det är således inte möjligt att fastställa innebörden av ett av villkoren för tillämpligheten av undantaget i artikel 14.5 c i förordningen med hjälp av uttrycket ”lämpliga tekniska och organisatoriska åtgärder” som används i en annan bestämmelse. Inom ramen för artikel 32 i dataskyddsförordningen förefaller det dessutom vara irrelevant huruvida det är den personuppgiftsansvarige som tillhandahåller information eller om erhållandet eller utlämnandet föreskrivs i lag. Föremålet för tillsynsmyndighetens granskning ska följaktligen avgränsas av tillämpningsområdet för artikel 14 i förordningen.
67. Exakt vad som avses med begreppet ”lämpliga åtgärder” specificeras inte i artikel 14.5 c i dataskyddsförordningen. Det är tillräckligt brett för att täcka alla åtgärder som lagstiftaren anser vara nödvändiga och lämpliga. Begreppet ”lämpliga åtgärder” ska, såsom kommissionen har anfört, i huvudsak tolkas mot bakgrund av principen om öppenhet i artikel 5.1 a i dataskyddsförordningen. I detta hänseende är det viktigt att beakta att den relevanta lagstiftningen, såsom påpekats i de inledande anmärkningarna i förevarande förslag till avgörande, är ett ”substitut” för den informationsskyldighet som normalt åvilar den personuppgiftsansvarige. Det ankommer på lagstiftaren att fastställa lämpliga åtgärder, bland annat beroende på vilken kategori av uppgifter som erhållits och i vilket sammanhang behandlingen sker.
68. Den tjeckiska regeringen anförde i sitt svar på EU-domstolens fråga att de lämpliga åtgärderna har ett vidare tillämpningsområde än den förteckning över information som anges i artikel 14.1, 14.2 och 14.4 i dataskyddsförordningen.
69. Jag håller med om att åtgärdernas lämplighet inte kan bedömas enbart genom en ”mekanisk” jämförelse med den personuppgiftsansvariges informationsskyldighet såsom den harmoniserats genom dataskyddsförordningen. Det förefaller meningslöst att införa en ”öppningsklausul” i artikel 14.5 c i förordningen och samtidigt ålägga lagstiftaren exakt samma skyldigheter utan att lämna något utrymme för skönsmässig bedömning. Den relevanta lagstiftningen måste dock säkerställa en rättvis och öppen behandling som är likvärdig med den som garanteras i artikel 14.1–4 i dataskyddsförordningen. För att den registrerade ska kunna bedöma eventuella risker förknippade med erhållandet av uppgifterna och behandlingen av dem, måste det av ordalydelsen av den relevanta rättsliga bestämmelsen klart och tydligt framgå vem som behandlar uppgifterna, av vilken anledning och på vilket sätt dessa behandlas. Som jag har påpekat ovan, måste denna alternativa rättsliga lösning leda till samma resultat, nämligen ge den registrerade möjlighet att utöva kontroll över sina uppgifter och att utöva sina rättigheter enligt dataskyddsförordningen.
70. Den specifika rättsliga grunden för behandlingen har också betydelse för fastställandet av vad som ska anses vara ”lämpliga åtgärder” med hänsyn till de specifika omständigheterna vid behandlingen. I detta hänseende ska det erinras om att det följer av artikel 6.1 c och e i dataskyddsförordningen att behandlingen är laglig om och i den mån den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller för att utföra en uppgift av allmänt intresse. När det gäller sådan behandling får medlemsstaterna enligt artikel 6.2 i samma förordning behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen med hänsyn till behandling genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Om behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet måste det dessutom enligt artikel 9.2 i) i dataskyddsförordningen fastställas lämpliga och specifika åtgärder i medlemsstaternas nationella rätt (eller i unionsrätten) för att skydda den registrerades rättigheter och friheter.
71. I förevarande mål föreskrivs erhållandet av uppgifterna i dekret 60/2021, vilket, såsom framgår av handlingarna i målet, antogs med stöd av artikel 6.1 c och e samt artikel 9.2 i) i dataskyddsförordningen. Den ungerska regeringen har hävdat att det i dekret 60/2021 – utöver de allmänna skyddsåtgärder som gäller i kraft av den rättsliga ram som antagits för att säkerställa att behandlingen är laglig – föreskrivs ytterligare skyddsåtgärder. Nämnda regering har i detta hänseende angett att en av dessa garantier består i att de underleverantörer som utses genom dekretet är statsägda och måste iaktta det rättsliga ramverk om datasäkerhet som är tillämpligt på statliga organ och lokala myndigheter. Det ankommer på den hänskjutande domstolen att pröva dessa argument och bedöma huruvida den nationella rätten fastställer lämpliga åtgärder mot bakgrund av ovanstående överväganden.
72. Med hänsyn till vad som anförts ovan anser jag att artikel 14.5 c i dataskyddsförordningen ska tolkas så, att begreppet ”lämpliga åtgärder” i den bestämmelsen inte innebär att den nationella lagstiftaren ska införliva de åtgärder rörande datasäkerhet som föreskrivs i artikel 32 i denna förordning.
V. Förslag till avgörande
73. Mot bakgrund av vad som anförts ovan föreslår jag att EU-domstolen ska besvara de frågor som ställts av Kúria (Högsta domstolen, Ungern) på följande sätt: 1. Artikel 14.5 c i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att undantaget från den personuppgiftsansvariges skyldighet att tillhandahålla information till den registrerade gäller alla uppgifter som den personuppgiftsansvarige inte har erhållit från den registrerade. I detta avseende saknar det betydelse huruvida uppgifterna uttryckligen erhållits från en annan enhet eller om uppgifterna har tagits fram i den personuppgiftsansvariges eget förfarande. 2. Artikel 77.1 i förordning 2016/679 ska tolkas så, att tillsynsmyndigheten inom ramen för ett klagomålsförfarande har befogenhet att pröva huruvida alla villkor i artikel 14.5 c i den förordningen är uppfyllda. Tillsynsmyndigheten har närmare bestämt befogenhet att pröva frågan huruvida en medlemsstats nationella rätt, som den personuppgiftsansvarige omfattas av, fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. 3. Artikel 14.5 c i förordning 2016/679 ska tolkas så, att begreppet ”lämpliga åtgärder” i den bestämmelsen inte innebär att den nationella lagstiftaren ska införliva de åtgärder rörande datasäkerhet som föreskrivs i artikel 32 i denna förordning.
1 Originalspråk: engelska.
2 Förevarande mål har getts ett fiktivt namn. Detta namn är inte någon av rättegångsdeltagarnas verkliga namn.
3 Förslag till avgörande av generaladvokat Cruz Villalón i målet Bara m.fl. ( C‑201/14, EU:C:2015:461, punkt 74) (min kursivering).
4 Vrabec, U., H., ”Data Subject Rights under the GDPR”, Oxford University Press, Oxford, 2021, s. 64.
5 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
6 Se artikel 29-arbetsgruppen för uppgiftsskydd, Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 29 november 2017, 17/SV WP260 rev. 01 (nedan kallade riktlinjerna om öppenhet), punkt 4. Denna arbetsgrupp ersattes därefter av Europeiska dataskyddsstyrelsen (EDPB). Riktlinjerna om öppenhet gäller dock fortfarande. Se även EDPB, Riktlinjer 03/2020 om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-19-utbrottet, antagna den 21 april 2020, punkt 5.1.2.4.
7 Dom av den 1 oktober 2015, Bara m.fl. ( C‑201/14, EU:C:2015:638, punkt 33), som hänvisar till generaladvokat Cruz Villalóns förslag till avgörande i samma mål.
8 Riktlinjerna om öppenhet, punkt 24. Se även Vrabec, U., H., Data Subject Rights under the GDPR, i det ovan i fotnot 3 citerade verket, s. 84.
9 Se, Zanfir-Fortuna, G., ”Article 14. Information to be provided where personal data have not been obtained from the data subject” i Kuner, C., Bygrave, L.A. och Docksey, C. (red), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, s. 435–448, särskilt på s. 436.
10 Ibidem, s. 444.
11 Vrabec, U., H., Data Subject Rights under the GDPR, i det ovan i fotnot 3 citerade verket, s. 68.
12 Om behandlingen grundar sig på artikel 6.1 f i dataskyddsförordningen.
13 I egenskap av en bestämmelse som innehåller en öppningsklausul ger den medlemsstaterna möjlighet att införa ytterligare nationella regler, som är strängare eller avvikande, och som ger dem ett utrymme för skönsmässig bedömning när det gäller på vilket sätt den relevanta bestämmelsen ska genomföras (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51). Se Knyrim, R., ”IV. Ausnahme von der Informationspflicht”, i Ehmann, E. och Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2:a uppl., 2018, Artikel 14, punkterna 42–48, särskilt punkt 47.
14 Nämligen den bulgariska, den danska, den tyska, den grekiska, den spanska, den italienska, den lettiska, den polska, den slovakiska och den svenska språkversionen.
15 Detta gäller särskilt den estniska (”isikuandmed”), den litauiska (”duomenų”), den ungerska (”adat”), den nederländska (”gegevens”), den portugisiska (”dados”), den rumänska (”datelor”) och den finska (”tietojen”) språkversionen.
16 I fransk doktrin har det påpekats att den franska språkversionen borde ha använt ordet ”uppgifter” i stället för ”information”, såsom var fallet i föregångaren till artikel 14.5 c i dataskyddsförordningen, nämligen artikel 11.2 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) (se de Terwangne, C. och Rosier, K., ”Section 1. – Droit d’être informée de l’existence de traitements la concernant”, i Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bryssel, 1:a upplagan, 2018, s. 409–432, fotnot 132).
17 Se, för ett liknande resonemang, dom av den 21 mars 2024, Cobult ( C‑76/23, EU:C:2024:253, punkt 25 och där angiven rättspraxis).
18 Se, för ett liknande resonemang, dom av den 5 oktober 2023, Ministerstvo zdravotnictví (Mobilapplikation Covid-19) ( C‑659/22, EU:C:2023:745, punkt 27).
19 Ebner, K., ”6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, s. 272–298, särskilt på s. 280. Denna författare påpekar vidare (på s. 281) att den personuppgiftsansvariges befrielse från skyldigheten att lämna information i den situation som avses i artikel 14.5 c i dataskyddsförordningen är ett sätt att undvika risken för ”informationsutmattning” eller ”informationsöverbelastning”, Dix, A., ”DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)”, i Simitis, S., Hornung, G. och Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, punkterna 27–28, särskilt punkt 27, där den relevanta lagstiftningen beskrivs som ett ”tillräckligt substitut” (”hinreichendes Surrogat”) för den information som krävs av den personuppgiftsansvarige.
20 Dix, A., i det ovan i fotnot 18 citerade verket.
21 Riktlinjerna om öppenhet, punkt 66. De personuppgiftsansvariga måste därför kunna visa på vilket sätt lagen i fråga är tillämplig för dem och att de därmed måste antingen erhålla eller utlämna personuppgifterna i fråga enligt denna.
22 Se punkt 16 i förevarande förslag till avgörande.
23 Dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958, punkt 48, samt där angiven rättspraxis).
24 Se punkt 31 ovan.
25 Se punkt 23 ovan.
26 Dix, A., i Simitis, S., Hornung, G. och Spiecker, I., i det i fotnot 18 citerade verket och Ebner, K., ”6. Ausschluss der Informationspflicht”, i det i fotnot 18 citerade verket, s. 281.
27 Dom av den 16 januari 2024, Österreichische Datenschutzbehörde ( C‑33/22, EU:C:2024:46, punkt 61).
28 Ibidem.
29 Se riktlinjerna om öppenhet, punkt 66.
30 Ibidem.
31 Dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 65).
32 Som antagits med stöd av artikel 25.6 i direktiv 95/46/EG.
33 Se, för ett liknande resonemang, dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 62).
34 Ibidem, punkt 65.
35 Detta påverkar inte möjligheten att i unionsrätten eller i en medlemsstats nationella rätt begränsa rätten till information i enlighet med de villkor som anges i artikel 23 i dataskyddsförordningen.
36 Punkt 31 i förevarande förslag till avgörande.
37 Se punkt 27 i förevarande förslag till avgörande.
38 Se, för ett liknande resonemang, Ebner, K., ”6. Ausschluss der Informationspflicht”, i det i fotnot 18 citerade verket, s. 281, som talar om en jämförbar skyddsnivå (”vergleichbares Schutzniveau”); Mester, B.-A.,”DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, i Taeger, J. och Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, punkt 26; Paal, B. och Hennemann, M., ”DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, i Paal, B. och Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, punkt 42.
39 Mester, B.-A., i Taeger, J. och Gabel, D., i det i fotnot 37 citerade verket.
40 Ebner, K., ”6. Ausschluss der Informationspflicht”, i det i fotnot 18 citerade verket, s. 281.
41 Punkt 43 i detta förslag till avgörande.
42 Dessa särskilda bestämmelser kan innehålla de inslag som anges i artikel 6.3 i dataskyddsförordningen, bland annat: de allmänna villkor som ska gälla för laglig behandling, vilken typ av uppgifter som ska behandlas, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX i förordningen.