Förslag till avgörande av generaladvokat Richard de la Tour – Mål C‑416/23 Österreichische Datenschutzbehörde (Orimliga begäranden)
I. Inledning
1. Genom artikel 57.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad dataskyddsförordningen) får tillsynsmyndigheterna om de mottar en begäran som är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva karaktär, ta ut en rimlig avgift grundad på de administrativa kostnaderna eller vägra att tillmötesgå begäran.
2. Det resonemang som ligger till grund för detta processrättsliga instrument är åsikten att registrerade personer visserligen på ett enkelt sätt ska kunna inge klagomål till tillsynsmyndigheterna avseende de rättigheter som de har i enlighet med dataskyddsförordningen, men att nämnda myndigheter ska kunna få förbehålla orimliga begäranden en särskild handläggning i syfte att säkerställa att deras arbete fungerar väl och att de behåller sin förmåga att till fullo utföra sina uppdrag.
3. Dock måste det fastställas vad som i sak kan betecknas som orimligt. Detta är det centrala problem som tas upp i förevarande begäran om förhandsavgörande.
4. Förevarande begäran har ingetts inom ramen för en tvist mellan Österreichische Datenschutzbehörde (dataskyddsmyndigheten, Österrike) (nedan kallad dataskyddsmyndigheten) och F R med anledning av denna myndighets avslag, grundat på artikel 57.4 i dataskyddsförordningen, på ett klagomål som ingetts av F R i enlighet med förordningens artikel 77.1.
II. Saken i det nationella målet och de frågor som har hänskjutits för förhandsavgörande
5. Den 17 februari 2020 ingav F R till dataskyddsmyndigheten ett klagomål i enlighet med artikel 77.1 i dataskyddsförordningen angående intrång i hans rätt till tillgång till uppgifter i enlighet med artikel 15 i förordningen med avseende på att den personuppgiftsansvarige inte inom en månad hade besvarat hans begäran om tillgång.
6. Med stöd av artikel 57.4 i förordningen avslog dataskyddsmyndigheten genom beslut av den 22 april 2020 klagomålet och betecknade detta som ”orimligt”. Dataskyddsmyndigheten förklarade härvid bland annat att vederbörande till denna under en tidsperiod av cirka 20 månader hade inkommit med 77 klagomål rörande bestridande av att inget svar hade getts inom fristen på en månad av olika personuppgiftsansvariga på hans begäranden om tillgång eller radering. Vidare hade F R fortlöpande tagit kontakt med nämnda myndighet per telefon för att lämna kompletterande uppgifter och få rådgivning inför ett eventuellt ingivande av ytterligare klagomål.
7. F R överklagade nämnda beslut till Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike). Genom dom av den 22 december 2022 biföll denna domstol överklagandet och upphävde beslutet. Den domstolen fann att det för att en begäran ska betecknas som orimlig i den mening som avses i artikel 57.4 i dataskyddsförordningen inte endast förutsätts ett frekvent inlämnande av begäranden, utan dessa måste även vara uppenbart provocerande eller utgöra ett missbruk. Nämnda domstol ansåg att den motivering som dataskyddsmyndigheten hade angett för att vägra att handlägga klagomålet från F R inte tydde på något missbruk från dennes sida. Nämnda myndighet kunde heller inte fritt välja mellan att ta ut en rimlig avgift för en ”orimlig” begäran och att vägra att handlägga en sådan begäran. Detta val måste vara motiverat av myndigheten, vilket inte hade skett i förevarande fall.
8. Dataskyddsmyndigheten har överklagat domen till Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike), som i förevarande mål är hänskjutande domstol och för det första frågar sig huruvida begreppet klagomål i artikel 77.1 i dataskyddsförordningen kan likställas med begreppet begäran i den mening som avses i förordningens artikel 57.4.
9. Den hänskjutande domstolen påpekar härvid att ett nekande svar på denna fråga skulle medföra att en tillsynsmyndighet på grundval av denna bestämmelse inte kan avslå klagomål eller ta ut en rimlig avgift för handläggningen av dessa, och detta oberoende av om klagomålen eventuellt skulle vara ogrundade eller orimliga. Enligt den hänskjutande domstolen skulle de mest solida argumenten tala för att klagomål enligt artikel 77.1 i dataskyddsförordningen ska inbegripas i tillämpningsområdet för artikel 57.4 i förordningen.
10. För det andra är den hänskjutande domstolen tveksam i fråga om hur begreppet orimliga begäranden ska uttydas vid tillämpning av denna bestämmelse. Denna domstol förklarar särskilt att det trots att begärandenas repetitiva karaktär anges som ett exempel på orimliga begäranden bör beaktas att möjligheten för en tillsynsmyndighet att avslå ett klagomål skulle medföra ett betydande intrång i det skydd som registrerade personer kan åberopa med tillämpning av dataskyddsförordningen. Detta skulle därmed stå i strid med förordningens syfte att säkerställa en hög skyddsnivå för personuppgifter. I sin egenskap av undantag från tillsynsmyndigheternas skyldighet att handlägga de klagomål som läggs fram för dem bör möjligheten att vägra handläggning av ett klagomål tolkas restriktivt.
11. Den hänskjutande domstolen betvivlar att det enkla förhållandet att en registrerad person utnyttjar de möjligheter som erbjuds i dataskyddsförordningen genom att inge ett antal klagomål som är mycket högt i förhållande till de klagomål som inges av andra personer, i synnerhet som klagomålen gäller olika personuppgiftsansvariga, kan vara tillräckligt för att kvalificera begärandena som ”orimliga” om det inte finns andra omständigheter som påvisar ett avsiktligt missbruk.
12. Enligt den hänskjutande domstolen kan heller inte det förhållandet att handläggningen av vissa klagomål för tillsynsmyndigheten innebär en belastning i fråga om arbete och tidsåtgång som går utöver genomsnittet i sig berättiga ett uttag av avgifter eller avslag med tillämpning av artikel 57.4 i dataskyddsförordningen.
13. För det tredje vill den hänskjutande domstolen få svar på om en tillsynsmyndighet vid begäranden som är uppenbart ogrundade eller orimliga fritt kan välja mellan att ta ut en rimlig avgift på grundval av de administrativa kostnaderna eller att vägra att tillmötesgå dessa begäranden.
14. Mot denna bakgrund beslutade Verwaltungsgerichtshof (Högsta förvaltningsdomstolen) att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:
”1) Ska begreppet begäran i artikel 57.4 i [dataskyddsförordningen] tolkas så, att det även omfattar ’klagomål’ enligt artikel 77.1 i samma förordning?
2) För det fall att den första frågan ska besvaras jakande, ska då artikel 57.4 i dataskyddsförordningen tolkas så, att för att fråga ska anses vara om en orimlig begäran räcker att den registrerade framställt ett visst antal begäranden (klagomål enligt artikel 77.1 i dataskyddsförordningen) till en tillsynsmyndighet under en viss tidsperiod, oavsett om de rör olika faktiska situationer och/eller begärandena (klagomålen) rör olika personuppgiftsansvariga, eller krävs det förutom att begärandena (klagomålen) är av repetitiv art även att det föreligger ett uppsåt till rättsmissbruk hos den registrerade?
3) Ska artikel 57.4 i dataskyddsförordningen tolkas så, att tillsynsmyndigheten i fall då det är fråga om en ’uppenbart ogrundad’ eller ’orimlig’ begäran (klagomål) fritt kan välja mellan att ta ut en rimlig avgift grundad på de administrativa kostnaderna eller vägra att över huvud taget tillmötesgå begäran? För det fall att denna fråga ska besvaras nekande: Vilka omständigheter och kriterier ska tillsynsmyndigheten beakta? Är tillsynsmyndigheten i synnerhet skyldig att i första hand ta ut en avgift, då det är den mindre ingripande åtgärden, och först om denna åtgärd visar sig vara otillräcklig för att motverka uppenbart ogrundade eller orimliga begäranden (klagomål) har myndigheten rätt att vägra tillmötesgå dessa begäranden?”
15. Skriftliga yttranden har ingetts av F R, dataskyddsmyndigheten, Bundesministerin für Justiz (förbundsjustitieministern, Österrike), den österrikiska och den tjeckiska regeringen samt Europeiska kommissionen.
III. Bedömning
A. Den första tolkningsfrågan
16. Genom sin första tolkningsfråga vill den hänskjutande domstolen få svar på huruvida begreppet begäran i artikel 57.4 i dataskyddsförordningen inbegriper klagomål enligt artiklarna 57.1 f och 77.1 i samma förordning.
17. Genom att i enlighet med artikel 57.4 i dataskyddsförordningen vägra att tillmötesgå det klagomål som ingetts av F R på grund av ett påstått åsidosättande av dennes rätt till tillgång av uppgifter i enlighet med artikel 15 i förordningen har dataskyddsmyndigheten nämligen fattat ett beslut som vilar på antagandet att klagomål som inges av registrerade personer i enlighet med artikel 77.1 i förordningen ska likställas med begäranden i enlighet med artikel 57.4 i samma förordning.
18. Den hänskjutande domstolen anser att det är nödvändigt att tillfråga EU-domstolen huruvida detta antagande är korrekt, eftersom en tillsynsmyndighet, om så inte är fallet, skulle vara förhindrad att vägra att tillmötesgå klagomål eller ta ut en rimlig avgift för handläggningen av dessa i enlighet med artikel 57.4 i dataskyddsförordningen.
19. Det bör inledningsvis erinras om att enligt fast rättspraxis ska ordalydelsen i en unionsbestämmelse som inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde, i regel ges en självständig och enhetlig tolkning inom hela unionen. Vidare bör det framhållas att det vid tolkningen av en unionsbestämmelse enligt fast rättspraxis inte bara är lydelsen i enlighet med dess sedvanliga betydelse i normalt språkbruk som ska beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i.
20. Utifrån en bokstavstolkning, kontextuell och teleologisk tolkning av artikel 57.4 i dataskyddsförordningen finner jag att begreppet begäran i denna bestämmelse innefattar klagomål enligt artiklarna 57.1 f och 77.1 i förordningen.
21. Vad för det första gäller lydelsen av artikel 57.4 i dataskyddsförordningen anges i denna bestämmelse följande: ”Om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva karaktär, får tillsynsmyndigheten ta ut en rimlig avgift grundad på de administrativa kostnaderna eller vägra att tillmötesgå begäran. Det åligger tillsynsmyndigheten att visa att begäran är uppenbart ogrundad eller orimlig.”
22. I artikel 77.1 i dataskyddsförordningen föreskrivs följande: ”Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.”
23. Det finns ingen bestämmelse i dataskyddsförordningen där begreppet begäran definieras i den mening som avses i artikel 57.4 i förordningen. Om jag hänvisar till begreppets sedvanliga bemärkelse i gängse språkbruk täcker detta ett ytterst brett fält. Det kan innefatta varje bön eller uppfordran som framställs av en person eller en enhet. Ordboken Larousse definierar sålunda begreppet begäran som ”ett handlande för att tillkännage att man önskar erhålla något; det att begära; skrivelse som uttrycker detta”, och anger bland synonymerna ordet klagomål. Klagomål enligt artikel 77.1 i dataskyddsförordningen utgör därför enligt min åsikt en kategori av ”begäranden” i den mening som avses i artikel 57.4 i förordningen.
24. Denna textanalys bekräftas för det andra av det sammanhang i vilket bestämmelsen ingår. Jag konstaterar härvid att tillsynsmyndigheternas uppdrag och villkoren för hur dessa ska utföras anges i artikel 57 i dataskyddsförordningen. Bland dessa uppdrag ingår följande: I artikel 57.1 a i förordningen föreskrivs att varje tillsynsmyndighet ska ”[ö]vervaka och verkställa tillämpningen av denna förordning”. I artikel 57.1 e i dataskyddsförordningen föreskrivs att varje tillsynsmyndighet ”[p]å begäran [ska] tillhandahålla information till registrerade om hur de ska utöva sina rättigheter enligt denna förordning, och om så krävs samarbeta med tillsynsmyndigheter i andra medlemsstater för detta ändamål”. I artikel 57.1 f i förordningen föreskrivs att varje tillsynsmyndighet ska ”[b]ehandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet”.
25. I enighet med artikel 57.2 i dataskyddsförordningen ska ”[v]arje tillsynsmyndighet … underlätta inlämningen av klagomål enligt punkt 1 f genom åtgärder såsom ett särskilt formulär för ändamålet, vilket också kan fyllas i elektroniskt, utan att andra kommunikationsformer utesluts”.
26. Dessutom anges i förordningens artikel 57.3 principen att ”[u]tförandet av alla tillsynsmyndigheters uppgifter ska vara avgiftsfritt för den registrerade och, i tillämpliga fall, för dataskyddsombudet”.
27. Genom att ange en möjlighet för tillsynsmyndigheterna att i fråga om begäranden som är uppenbart ogrundade eller orimliga ta ut en rimlig avgift på grundval av de administrativa kostnaderna eller vägra att tillmötesgå en begäran föreskrivs i artikel 57.4 i förordningen ett undantag från principen om avgiftsfrihet enligt artikel 57.3 i samma förordning samt från den skyldighet som åvilar dessa myndigheter att tillmötesgå de begäranden som inlämnats till dem.
28. I motsats till vad F R gör gällande kan man enligt min åsikt inte av placeringen av dessa olika bestämmelser sida vid sida sluta sig till att artikel 57.4 i dataskyddsförordningen, på grund av att begreppet begäran används i denna, ska tillämpas endast på begäranden enligt artikel 57.1 e i förordningen. Med andra ord anser jag inte att man av konstaterandet att begreppet begäran används i denna bestämmelse kan dra slutsatsen att tillämpningsområdet för artikel 57.4 i förordningen ska begränsas till det uppdrag för tillsynsmyndigheterna som där föreskrivs. Dessutom innebär inte konstaterandet att artikel 57.2 i samma förordning avser ”klagomål” att det rör sig om den enda bestämmelse som är avsedd att reglerar villkoren för ingivande av klagomål till tillsynsmyndigheterna.
29. Jag konstaterar att artikel 57.3 i dataskyddsförordningen, som uppställer principen om avgiftsfrihet vid tillsynsmyndigheternas fullgörande av sina uppdrag, är tillämplig på samtliga uppdrag som dessa har, inbegripet på den handläggning av klagomål som föreskrivs i artikel 57.1 f i förordningen. Enligt all logik och med tillämpning av symmetri ska artikel 57.4 i förordningen även tillämpas på denna handläggning av klagomål, eftersom det i den anges ett undantag från principen om avgiftsfrihet utan att detta begränsas till vissa särskilda uppdrag som dessa myndigheter har.
30. Detta gäller i än högre grad, eftersom den handläggning av klagomål som föreskrivs i artikel 57.1 f i dataskyddsförordningen, utgör ett centralt uppdrag för tillsynsmyndigheterna. Principen om avgiftsfrihet och skyldigheten att underlätta inlämningen av klagomål, vilken anges i artikel 57.2 och 57.3 i förordningen, syftar till att alla registrerade ska ges möjlighet att inge klagomål till en tillsynsmyndighet mot hur deras rättigheter enligt förordningen beaktas.
31. En tolkning, enligt vilken begreppet begäran i artikel 57.4 i dataskyddsförordningen endast omfattar begäranden enligt artikel 57.1 e i förordningen och inte klagomål enligt artiklarna 57.1 f och 77.1 i förordningen, skulle innebära att den förstnämnda bestämmelsen således till stor del skulle sakna ändamålsenlig verkan.
32. Dessutom förefaller det mig som om de klagomål som avses i artiklarna 57.1 f och 77.1 i dataskyddsförordningen i tillämpliga fall snarare kan betecknas som ”uppenbart ogrundade” än de begäranden som görs i enlighet med artikel 57.1 e i förordningen, genom vilka registrerade från tillsynsmyndigheterna söker information om utövandet av de rättigheter som förordningen ger dem.
33. Jag vill tillägga att tolkningen att artikel 57.4 i dataskyddsförordningen även avser handläggningen av de klagomål som inges i enlighet med artikel 77.1 i förordningen har anammats av Europeiska dataskyddsstyrelsen (EDPB), som med avseende på huruvida klagomål kan tas upp till prövning hänvisar till den förstnämnda av dessa bestämmelser.
34. Trots att det i artikel 57.4 i nämnda förordning föreskrivs ett undantag från principen om avgiftsfrihet och från den skyldighet som åvilar tillsynsmyndigheterna att tillmötesgå de begäranden som läggs fram för dessa, ska tolkas restriktivt får detta följaktligen inte, enligt min åsikt, medföra att denna bestämmelse inte får tillämpas på klagomål som inges i enlighet med samma förordning.
35. För det tredje anser jag att den tolkning som jag föreslår att domstolen ska anamma gör det möjligt att uppnå de syften som eftersträvas med dataskyddsförordningen. Det bör härvid noteras att förordningen, såsom anges i skälen 10 och 11 i denna, syftar till att säkerställa en enhetlig och hög skyddsnivå för fysiska personer inom unionen samt att stärka och precisera de registrerades rättigheter.
36. Som den hänskjutande domstolen understryker skulle visserligen tolkningen att klagomålen ingår i tillämpningsområdet för artikel 57.4 i dataskyddsförordningen, vid ett första påseende, kunna tyckas stå i motsatsförhållande till nämnda syften och de skyldigheter som åvilar tillsynsmyndigheterna.
37. Som jag redan har angett är nämligen varje tillsynsmyndighet enligt artikel 57.1 f i dataskyddsförordningen skyldig att inom sitt territorium behandla klagomål som var och en enligt artikel 77.1 i förordningen har rätt att inge när vederbörande anser att en behandling av personuppgifter som rör honom eller henne utgör ett åsidosättande av nämnda förordning, och i den utsträckning det är nödvändigt pröva syftet med behandlingen. Tillsynsmyndigheten ska med vederbörlig omsorg utreda ett sådant klagomål.
38. Klagomålsförfarandet är sålunda utformat som en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen.
39. Ett inbegripande av klagomål i tillämpningsområdet för artikel 57.4 i dataskyddsförordningen medför att tillsynsmyndigheterna kan välja att begränsa den skyldighet som de har att handlägga klagomålen och att på handläggningen av dessa tillämpa principen om avgiftsfrihet.
40. Om en tillsynsmyndighet mottar begäranden som är uppenbart ogrundade eller orimliga kan dock enligt min åsikt möjligheten att ta ut en rimlig avgift eller att vägra att tillmötesgå en begäran säkerställa en hög skyddsnivå för personuppgifter.
41. Eftersträvandet av det nämnda syftet kräver nämligen att man säkerställer att tillsynsmyndigheterna fungerar väl genom att man ser till att de inte hindras genom ingivandet av klagomål som är uppenbart ogrundade eller orimliga i den mening som avses i artikel 57.4 i dataskyddsförordningen. Denna bestämmelse ger sålunda tillsynsmyndigheterna en möjlighet att särbehandla dessa klagomål och därvid lätta på det tryck som de genom klagomålen kan påbördas. Nämnda myndigheter får således besluta att inte göra de klagomål som är uppenbart ogrundade eller orimliga till föremål för en normal handläggning, vilken genom att utan giltigt skäl ta dessa myndigheters resurser i anspråk skulle kunna ha negativa effekter på tidsåtgången för och kvaliteten på handläggningen av de begäranden som jämsides inlämnas av andra registrerade och därmed på nivån av det skydd som dessa ska tillförsäkras.
42. Med tanke på den vikt som rätten att inge klagomål har med tanke på syftet att säkerställa en hög skyddsnivå för personuppgifter och på den centrala plats som handläggningen av dessa klagomål har bland tillsynsmyndigheternas uppdrag bör man sålunda undvika ett bruk av denna rätt som är uppenbart ogrundat eller orimligt, vilket i avsaknad av möjligheten att använda de processrättsliga instrument som föreskrivs i artikel 57.4 i dataskyddsförordningen skulle kunna hindra tillsynsmyndigheterna från att utföra sina uppdrag. Härav följder att en tolkning genom vilken klagomål undantas från tillämpningsområdet för denna bestämmelse skulle kunna utsätta tillsynsmyndigheternas funktionalitet för risker och därmed äventyra syftet att säkerställa en hög skyddsnivå för registrerades rättigheter enligt förordningen.
43. Jag noterar dessutom att tillämpningen av den berörda bestämmelsen åtföljs av processrättsliga skyddsregler som gör det möjligt att strikt kringgärda tillsynsmyndigheternas tillämpning. Uppgiften att bevisa att begäranden är uppenbart ogrundade eller orimliga åvilar sålunda tillsynsmyndigheten. Därtill kan denna myndighets beslut att ta ut en rimlig avgift eller vägra att tillmötesgå begäranden bli föremål för ett effektivt rättsmedel med tillämpning av artikel 78.1 i dataskyddsförordningen. Om en tillsynsmyndighet inte handlägger ett klagomål, och inte fattar beslut härom, har den registrerade likaså rätt till ett effektivt rättsmedel i enlighet med vad som anges i artikel 78.2 i förordningen.
44. Vidare har varje registrerad person i enlighet med artikel 79.1 i dataskyddsförordningen rätt till ett effektivt rättsmedel om vederbörande anser att de rättigheter som denne har i enlighet med förordningen har kränkts på grund av en behandling av dennes personuppgifter vilken utförts i strid med förordningen.
45. Som domstolen slog fast i sin dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság ska artiklarna 77.1, 78.1 och 79.1 i förordning nr 2016/679, jämförda med artikel 47 i stadgan, tolkas så, att de tillåter parallell användning och oberoende av varandra av de rättsmedel som föreskrivs i å ena sidan de nämnda artiklarna 77.1 och 78.1 och å andra sidan artikel 79.1.
46. Mot bakgrund av ovanstående föreslår jag att domstolen ska besvara den första tolkningsfrågan med att begreppet begäran i artikel 57.4 i dataskyddsförordningen omfattar klagomål enligt artiklarna 57.1 f och 77.1 i förordningen.
B. Den andra tolkningsfrågan
47. Genom sin andra tolkningsfråga vill den hänskjutande domstolen av EU-domstolen få svar på om begäranden kan betecknas som ”orimliga” i den mening som avses i artikel 57.4 i dataskyddsförordningen endast på grund av sitt antal under en viss tidsperiod eller om det också måste påvisas ett avsiktligt missbruk hos den person som inkommer med sådana begäranden till en tillsynsmyndighet.
48. För svaret på denna fråga kommer jag att börja med att analysera lydelsen av bestämmelsen, utifrån vilken jag drar därpå följande slutsatser.
49. Eftersom begreppet orimliga begäranden inte är definierat i dataskyddsförordningen ska man för det första fastställa begreppets sedvanliga bemärkelse i gängse språkbruk. Det franska ordet ”excessif” (orimlig) anger att något går utöver vad som är normalt eller rimligt (ordboken Larousse) eller som går utöver vad som är önskvärt eller tillåtligt (ordboken Le Robert). Att utföra något i övermått (franska ”avec excès”) betyder att man handlar måttlöst.
50. För det andra bör det understrykas att lydelsen av artikel 57.4 i dataskyddsförordningen dock inte saknar indikationer eftersom det anges att ”en begäran är … orimlig, särskilt på grund av dess repetitiva karaktär”, varvid man av denna bestämmelse kan utläsa att man på grund av upprepningen kan beteckna begärandena som orimliga.
51. För det tredje – och med koppling till det ovannämnda – innebär den omständigheten att adverbet ”särskilt” anger att den repetitiva karaktär som begärandena har endast är ett exempel på orimliga begäranden att nämnda begrepp även omfattar andra fall än bara begärandenas antal.
52. Efter detta klargörande tycks det mig inte nödvändigt att här uttömmande ange samtliga typfall i vilka begäranden kan betecknas som ”orimliga”. Jag kommer i stället att inrikta min analys mot den särskilda fråga som den hänskjutande domstolen ställer till EU-domstolen, vilken avser klarlägganden angående vilken räckvidd som ska ges åt angivelsen att begärandena är av repetitiv art såsom exempel på orimliga begäranden. Det ska sålunda fastställas huruvida ett stort antal klagomål i sig är tillräckligt för att beteckna begärandena som ”orimliga” på grund av sin repetitiva karaktär.
53. Det framgår nämligen av de handlingar som domstolen förfogar över att det faktiskt var det antal klagomål som under en viss period ingavs av F R, vilket dataskyddsmyndigheten fann alltför högt, som låg till grund för att den avslog ett klagomål genom att beteckna det som ”orimligt”. Sammanfattningsvis ansåg denna myndighet att man nått en tröskel beträffande klagomålen för vad som är godtagbart från en kvantitativ synpunkt, varför de klagomål som ingavs till myndigheten av F R inte längre behövde tillmötesgås. Dataskyddsmyndigheten motiverade också sitt beslut med farhågan för att F R i framtiden skulle fortsätta att lämna in ett stort antal klagomål. Myndigheten ifrågasatte dock inte på något sätt att de klagomål som dittills ingetts av F R skulle vara välmotiverade.
54. I likhet med förbundsjustitieministern, den österrikiska regeringen och kommissionen finner jag att det antal begäranden som en registrerad inlämnar till en tillsynsmyndighet, hur viktigt detta än är, inte i sig och i motsats till vad som vid ett första påseende skulle kunna utläsas av lydelsen av artikel 57.4 i dataskyddsförordningen får utgöra ett tillräckligt kriterium för att man ska kunna sluta sig till att det föreligger ”orimliga begäranden” i den mening som avses i denna bestämmelse. Jag grundar denna åsikt på en analys av det sammanhang i vilket bestämmelsen ingår samt på de syften som eftersträvas ned förordningen.
55. Vad avser det sammanhang i vilket artikel 57.4 i dataskyddsförordningen ingår noterar jag att det i artikel 12 i förordningen anges allmänna skyldigheter för den personuppgiftsansvarige i fråga om klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter.
56. Artikel 15 i dataskyddsförordningen, vilket ingår i kapitel III avsnitt 2 och behandlar information och tillgång till personuppgifterna, kompletterar förordningens ram för transparens genom att den registrerade ges rätt att få tillgång till sina personuppgifter och rätt till information om behandlingen av dessa uppgifter.
57. I synnerhet föreskrivs i artikel 15.1 i förordningen att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse angående huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna samt information om bland annat ändamålen med behandlingen och de mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut.
58. Denna rätt att få tillgång till uppgifter ska göra det möjligt för den registrerade att försäkra sig om att hans eller hennes personuppgifter är korrekta och att de behandlas på ett lagligt sätt.
59. Som domstolen har slagit fast är den rätt till tillgång som föreskrivs i artikel 15 i dataskyddsförordningen nödvändig för att möjliggöra för den registrerade att, i förekommande fall, kunna utöva sin rätt till rättelse, sin rätt till radering (”rätten att bli bortglömd”) och sin rätt till begränsning av behandling, vilka tillerkänns den registrerade i artiklarna 16, 17 respektive 18 i dataskyddsförordningen, liksom sin i artikel 21 i dataskyddsförordningen föreskrivna rätt att göra invändningar mot behandlingen av hans eller hennes personuppgifter, och sin rätt att föra talan till följd av skada, i enlighet med artiklarna 79 och 82 i samma förordning.
60. Artikel 15 i dataskyddsförordningen är således en av de bestämmelser som syftar till att säkerställa insyn i hur personuppgifterna behandlas med avseende på den registrerade. I avsaknad av sådan insyn skulle den registrerade inte kunna bedöma huruvida behandlingen av hans eller hennes uppgifter är laglig eller utöva de rättigheter som föreskrivs i bland annat artiklarna 16–18, 21, 79 och 82 i förordningen.
61. Det är i detta sammanhang som domstolen redan har förklarat att principen om att den första kopian av uppgifterna ska tillhandahållas kostnadsfritt och den omständigheten att det inte krävs att den registrerade åberopar något specifikt skäl som motiverar begäran om tillgång bidrar med nödvändighet till att underlätta den registrerades utövande av sina rättigheter enligt dataskyddsförordningen.
62. Med tanke på den vikt som genom förordningen tillmäts rätten att få tillgång till de personuppgifter som är föremål för sådan behandling, som garanteras genom artikel 15.1 i förordningen, för att uppnå de syften som eftersträvas med förordningen, får utövandet av nämnda rätt inte underställas alltför strikta villkor.
63. Detsamma gäller enligt min åsikt i fråga om registrerade personers rätt att i enlighet med artikel 77.1 i dataskyddsförordningen inge klagomål.
64. I enlighet med vad som föreskrivs i artikel 12.3 i förordningen ska nämligen den personuppgiftsansvarige på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22 i den förordningen. Om den personuppgiftsansvarige inte uppfyller denna skyldighet ska den person som har framställt en begäran till denne kunna inge ett klagomål till tillsynsmyndighet för att denna i förekommande fall, i enlighet med artikel 58.2 c i förordningen, ska kunna förelägga den personuppgiftsansvarige att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt dataskyddsförordningen.
65. Om en person har framställt en begäran om tillgång eller radering till flera personuppgiftsansvariga, vilket tycks vara fallet i förevarande mål, ska det antal klagomål som inges till en tillsynsmyndighet kunna vara identiskt med det antal avslag som dessa personuppgiftsansvariga har meddelat vederbörande. Att fastställa något annat genom att ange ett tröskelvärde över vilket dessa klagomål endast på grund av sitt antal skulle kunna betecknas som ”orimliga” av en tillsynsmyndighet skulle inskränka de ovan angivna rättigheter som garanteras genom dataskyddsförordningen.
66. Jag framhåller dessutom att en registrerad person, såsom det uttryckligen anges i skäl 63 i dataskyddsförordningen, genom denna förordning bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt. Detta innebär enligt min åsikt att dessa personer upprepade gånger kan utöva denna rättighet gentemot samma personuppgiftsansvarige, utan att en begärans repetitiva karaktär i sig kan betecknas som ”orimlig”. Om denna rättighet skulle åsidosättas av den eller de personuppgiftsansvariga till vilka begäranden framställts upprepade gånger, skulle enligt min uppfattning de personerna i enlighet med artikel 77.1 i dataskyddsförordningen kunna inge flera klagomål till en tillsynsmyndighet mot den eller dessa personuppgiftsansvariga.
67. Jag noterar vidare att det i artikel 12.5 i förordningen finns en bestämmelse likartad den i artikel 57.4 i förordningen genom vilken, den personuppgiftsansvarige i det här fallet på ett liknande sätt, när denne mottar begäranden som är uppenbart ogrundade eller orimliga, ges en möjlighet att antingen ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller vägra att tillmötesgå begäran.
68. I sin dom av den 26 oktober 2023, FT (Kopior av patientjournalen) förklarade domstolen att det i artikel 12.5 i dataskyddsförordningen uppställs en princip enligt vilken den registrerades rätt att få tillgång till personuppgifter rörande honom eller henne vilka är under behandling och till därmed sammanhängande information ska kunna utövas utan kostnad för den registrerade. I denna bestämmelse anges dock två skäl som kan ge en personuppgiftsansvarig rätt att antingen ta ut en rimlig avgift för att täcka de administrativa kostnaderna eller vägra att tillmötesgå en begäran. Domstolen förklarade att dessa skäl avser fall av rättsmissbruk. På grundval härav angav EU-domstolen att den hänskjutande domstolen påpekat att den registrerades begäran inte utgjorde missbruk.
69. Eftersom artiklarna 12.5 och 57.4 i dataskyddsförordningen är utformade på likartat sätt och grundar sig på samma resonemang, vilket är att undvika en oproportionerlig belastning på den personuppgiftsansvarige eller på tillsynsmyndigheten, vilketdera som är fallet, som kan hindra deras funktion, finner jag att dessa båda bestämmelser bör tolkas på samma sätt.
70. Av det ovannämnda sluter jag mig till att tillsynsmyndigheten för att utnyttja den möjlighet som erbjuds genom artikel 57.4 i förordningen, med hänsyn till samtliga relevanta omständigheter i det enskilda fallet, ska fastställa om det föreligger ett missbruk från den registrerades sida, varvid antalet klagomål som denne har ingett inte i sig är tillräckligt.
71. Med detta som utgångspunkt avspeglar både artikel 12.5 i dataskyddsförordningen och artikel 57.4 i densamma domstolens fasta rättspraxis enligt vilken det finns en allmän unionsrättslig princip som innebär att enskilda inte får missbruka unionsrätten eller åberopa den i bedrägligt syfte. I samband med den sistnämnda bestämmelsen kan ett missbruk anses föreligga om en person inger klagomål utan att detta objektivt sett är nödvändigt för att skydda de rättigheter som vederbörande har enligt förordningen.
72. Artikel 57.4 i dataskyddsförordningen ger sålunda uttryck för proportionalitetsprincipen, genom att tillsynsmyndigheterna i princip ska pröva varje klagomål med all den omsorg som krävs men inte får belastas med en börda som går utöver de rättigheter som registrerade personer ges genom förordningen. Denna bestämmelse gör det därmed möjligt för tillsynsmyndigheterna att förena den registrerades intressen med det intresse som en god förvaltning utgör.
73. Som jag redan har angett vill jag tillägga att artikel 57.4 i dataskyddsförordningen ska tolkas restriktivt, vilket innebär att dess tillämpning bör begränsas till vad som är absolut nödvändigt för att undvika att tillsynsmyndigheternas effektiva funktion hindras, vilket också är syftet med denna bestämmelse. En sådan restriktiv tolkning förefaller mig emellertid utesluta att beaktandet av antalet klagomål i sig, hur viktigt detta än är, är tillräckligt för att berättiga att en tillsynsmyndighet tillämpar nämnda bestämmelse.
74. I enlighet med artikel 8.3 i stadgan om de grundläggande rättigheterna ska nämligen en oberoende myndighet kontrollera att reglerna om skydd av personuppgifter efterlevs. Härvid ska varje medlemsstat i enlighet med artikel 52.4 i dataskyddsförordningen säkerställa att varje tillsynsmyndighet förfogar över de personella, tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att myndigheten ska kunna utföra sina uppgifter och utöva sina befogenheter. Det följer härav att dessa resurser ska vara anpassade till registrerade personers utövande av sin rätt att inge klagomål till tillsynsmyndigheter. Det skulle utgöra en paradox om unionslagstiftaren, såsom framgår av artikel 57.2 i nämnda förordning, trots att denne har velat underlätta inlämnandet av klagomål, vilket utgör en uppmuntran till detta, också har gett dessa myndigheter möjlighet att avslå klagomålen om de anser att antalet sådana är alltför högt
75. För att fastställa att begäranden är orimliga på grund av sin repetitiva karaktär räcker det sålunda inte att en registrerad vänder sig till en tillsynsmyndighet med ett antal klagomål som är betydligt högre än det genomsnittliga antal som inges av varje registrerad person och sålunda skulle medföra en tung handläggningsbörda över genomsnittet för denna myndighet. Det ankommer nämligen på medlemsstaterna att förse tillsynsmyndigheterna med resurser som är avpassade för handläggning av samtliga klagomål som inges till dessa genom att vid behov öka dessa medel så att de anpassas till att registrerade personer utövar sin rätt i enlighet med artikel 77.1 i dataskyddsförordningen att inge klagomål. En tillsynsmyndighet får därför inte avslå ett klagomål i enlighet med artikel 57.4 i förordningen med argumentet att en registrerad som inger ett stort antal klagomål på ett betydande sätt tar myndighetens resurser i anspråk, till men för handläggningen av andra klagomål som inges av andra personer.
76. Dessutom har klagomål enligt artikel 77.1 i dataskyddsförordningen en viktig roll för den kännedom som tillsynsmyndigheterna kan få om intrång i de rättigheter som skyddas genom förordningen. Klagomålen är därför av väsentlig betydelse för att myndigheterna ska kunna utföra sitt uppdrag att säkerställa en korrekt tillämpning av förordningen väl. Klagomålen bidrar således i hög grad till att säkerställa en enhetlig och hög skyddsnivå för registrerade personer inom unionen samt att stärka och precisera de registrerades rättigheter.
77. Om tillsynsmyndigheterna tillåts fastställa att klagomål är orimliga av det enda skälet att de är många skulle därför enligt min åsikt detta kunna äventyra möjligheten att uppnå nämnda mål. Som jag redan har förklarat kan nämligen ett stort antal klagomål vara den direkta följden av ett stort antal uteblivna svar eller avslag från en eller flera personuppgiftsansvariga på de begäranden om tillgång som en registrerad person har framställt i syfte att skydda sina rättigheter. Vidare är det svårt att fastställa ett gränsvärde över vilket klagomål på grund av sitt antal skulle kunna betecknas som ”orimliga”. Ett beaktande av endast antalet klagomål skulle härvidlag kunna medföra ett godtyckligt inkräktande på det rättsliga skydd som en registrerad ska ha enligt dataskyddsförordningen. Enligt min åsikt bör därför ett konstaterande av förekomst av orimliga begäranden underställas villkoret att ett avsiktligt missbruk är påvisat hos den person som inger sådana klagomål.
78. Eftersom huvudregeln är att tillsynsmyndigheterna ska handlägga de klagomål som läggs fram för dem med all den omsorg som krävs följer enligt min åsikt av ovanstående att dessa myndigheter ska tillåtas att tillämpa artikel 57.4 i dataskyddsförordningen endast i undantagsfall och särskilt med hänsyn till att beaktandet av den arbetsinsats som krävs för utövandet av rätten enligt förordningens artikel 77.1 att inge klagomål och av sökandens intresse i princip inte är relevant för att avpassa utövandet av sagda rättighet. Undantagen från tillsynsmyndigheternas skyldighet att handlägga klagomålen bör följaktligen tolkas restriktivt, varvid handläggningen av klagomålen bör vägas mot det intresse som betjänas av att begäran om handläggning avslås.
79. Det ankommer således på den tillsynsmyndighet som mottagit ett stort antal klagomål att på grundval av omständigheterna i det enskilda fallet påvisa att antalet klagomål inte motiveras av den registrerades önskan att få sina rättigheter enligt dataskyddsförordningen skyddade utan har ett annat syfte som saknar samband med detta skydd. Detta är också fallet i synnerhet när omständigheterna visar att det stora antalet klagomål syftar till att hindra denna myndighets goda funktionalitet genom att man utan giltigt skäl tar dess resurser i anspråk.
80. Mångfalden klagomål kan härvid vara ett tecken på orimliga begäranden från den registrerades sida om det visar sig att klagomålen inte är objektivt berättigade av överväganden som avser skyddet för de rättigheter som denne ska ha enligt dataskyddsförordningen. Detta kan vara fallet exempelvis om klagomålen avser en och samma personuppgiftsansvarige, alla har samma innehåll, avser samma skyldigheter enligt förordningen och har ingetts med mycket korta intervaller trots att det inte föreligger någon ändring av de faktiska förhållanden som legat till grund för dem och därmed visar på en avsikt från den registrerades sida att hindra att tillsynsmyndigheten fungerar effektivt, i stället för att söka skydd för de rättigheter som förordningen ger densamme. Ett annat fall av begäranden som är orimliga på grund av sin repetitiva karaktär skulle kunna vara den situation där en person inger ett så stort antal klagomål till en tillsynsmyndighet avseende ett stort antal personuppgiftsansvariga till vilka denne inte nödvändigtvis har någon koppling, att detta oproportionerliga bruk av rätten att inge klagomål, i samband med andra inslag såsom innehållet i klagomålen, visar vederbörandes avsikt att lamslå myndighetens arbete genom att till denna inge ett övermått av begäranden.
81. Det ankommer på den hänskjutande domstolen att på grundval av dessa indikationer kontrollera om dataskyddsmyndigheten med rätta har kunnat konstatera en förekomst av ”orimliga begäranden” i den mening som avses i artikel 57.4 i dataskyddsförordningen.
82. Jag erinrar härvid om att de klagomål som ingetts av F R, vilka är 77 till antalet, följer upp begäranden om tillgång eller radering som av honom har framställts till olika personuppgiftsansvariga och som i flertalet fall inte har besvarats inom fristen på en månad. Till detta kommer att F R har tagit fortlöpande telefonkontakt med dataskyddsmyndigheten för att informera sig om förhållanden som skulle kunna föranleda klagomål.
83. Genom att fortlöpande inge nya klagomål, vilka enligt dataskyddsmyndigheten uppgår till ett stort antal, har vederbörande enligt myndigheten sedan ungefär ett och ett halvt år tagit i anspråk myndighetens begränsade resurser i fråga om personal på ett sätt som är oproportionerligt vid en jämförelse med de registrerade personer som inger färre klagomål. Dessutom skulle det ökade antalet klagomål och telefonsamtal mellan F R och dataskyddsmyndigheten förebåda ett massivt anlitande av denna myndighet i framtiden. De 77 klagomål som ingetts bör därför betecknas som ”orimliga begäranden” i den mening som avses i artikel 57.4 i dataskyddsförordningen.
84. Jag betvivlar att denna motivering är tillräcklig för att berättiga en sådan beteckning, eftersom det av denna inte framgår någon förekomst av missbruk från F R:s sida, det vill säga ett agerande som inte bara syftar till att få skydd för de rättigheter som vederbörande har genom dataskyddsförordningen, utan har ett annat syfte, nämligen att störa tillsynsmyndighetens goda funktionalitet. Likaså tycks mig myndighetens förutsägelser i fråga om det stora antal klagomål som F R i framtiden skulle kunna inge sakna relevans och så även fastställelsen av att myndighetens personalresurser är begränsade.
85. Av det ovan anförda följer enligt min åsikt att artikel 57.4 i dataskyddsförordningen ska tolkas så, att begäranden inte kan betecknas som ”orimliga” i den mening som avses i denna bestämmelse endast på grund av sitt antal under en viss tidsperiod eftersom det också ankommer på tillsynsmyndighet att påvisa ett avsiktligt missbruk från den persons sida som framställt begärandena.
C. Den tredje tolkningsfrågan
86. Genom sin tredje tolkningsfråga vill den hänskjutande domstolen få svar på huruvida artikel 57.4 i dataskyddsförordningen ska tolkas så, att den tillsynsmyndighet som mottar orimliga begäranden fritt kan välja mellan att ta ut en rimlig avgift på grundval av de administrativa kostnaderna eller att vägra att tillgodose begäran. För den händelse att denna fråga ska besvaras nekande vill den hänskjutande domstolen få klarlagt vilka kriterier som tillsynsmyndigheten ska beakta samt i synnerhet huruvida denna myndighet i första hand ska välja betalning för kostnaderna innan den vägrar att tillmötesgå en sådan begäran.
87. Med utgångspunkt i en prövning av denna bestämmelses lydelse konstaterar jag att de valmöjligheter som å ena sidan utgörs av en rimlig avgift på grundval av de administrativa kostnaderna och å andra sidan av en vägran att tillmötesgå orimliga begäranden anges efter varandra och separeras av den samordnande konjunktionen ”eller”, utan att det är möjligt att härleda någon prioritetsordning mellan de båda.
88. Det förhållandet att de två alternativ som står tillsynsmyndigheten till buds jämställs i lydelsen tycks sålunda tala för tolkningen att myndigheten, om den har fastställt att de begäranden som framställts till den är ”orimliga”, fritt kan välja mellan att ta ut en rimlig avgift och att vägra att tillmötesgå sådana begäranden.
89. En tillsynsmyndighet får dock, med hänsyn till det sammanhang i vilket artikel 57.4 i dataskyddsförordningen ingår och de syften som eftersträvas med denna, inte göra detta val skönsmässigt och utan motivering. Dessa myndigheter måste beakta samtliga relevanta omständigheter och förvissa sig om att det alternativ som väljs är lämpligt och proportionerligt, med beaktande av den betydelse som rätten att inge klagomål har för syftet att säkerställa en hög skyddsnivå för personuppgifter, den väsentliga plats som handläggningen av dessa klagomål intar bland de uppdrag som tilldelats tillsynsmyndigheterna och skyldigheten för dessa myndigheter att handlägga klagomålen med all den omsorg som krävs. Bedömningen av ovanstående ska återfinnas i den handläggande tillsynsmyndighetens motivering till sitt beslut.
90. En tillsynsmyndighet skulle härvid utifrån relevanta omständigheter kunna finna det lämpligt att ta ut en rimlig avgift på grundval av de administrativa kostnaderna för det merarbete som uppstått genom orimliga klagomål samt för att få slut på ett förfarande som utgör missbruk av rättigheter och som kan skada dess funktionalitet. Den avskräckande funktion som detta alternativ har skulle nämligen kunna föranleda denna myndighet att prioritera detta i stället för att direkt avslå dessa klagomål.
91. Till detta kommer att proportionalitetsprincipen samt syftet att säkerställa en hög skyddsnivå för personuppgifter också borde utgöra incitament för tillsynsmyndigheterna att överväga en rimlig avgift på grundval av de administrativa kostnaderna innan den avslår klagomål, eftersom detta är en åtgärd som mindre inkräktar på de rättigheter som registrerade personer ges genom dataskyddsförordningen.
92. Det tycks mig likväl inte som om artikel 57.4 i dataskyddsförordningen kan tolkas så, att en tillsynsmyndighet i samtliga fall i första hand måste tillämpa alternativet att ta ut en rimlig avgift.
93. Följaktligen finner jag att artikel 57.4 i dataskyddsförordningen ska tolkas så, att en tillsynsmyndighet som mottar orimliga begäranden genom motiverat beslut får välja mellan att ta ut en rimlig avgift på grundval av de administrativa kostnaderna eller att vägra att tillgodose begäran, med beaktande av samtliga relevanta omständigheter och efter att ha förvissat sig om att det alternativ som väljs är lämpligt och proportionerligt, varvid det inte finns någon prioritetsordning mellan de två alternativen.
IV. Förslag till avgörande
94. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen ska besvara de tolkningsfrågor som ställts av Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike) på följande sätt: Artikel 57.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att begreppet begäran i denna bestämmelse omfattar ”klagomål” enligt artiklarna 57.1 f och 77.1 i förordningen, att begäranden inte får betecknas som ”orimliga” i den mening som avses i artikel 57.4 i nämnda förordning uteslutande på grund av sitt antal under en viss tidsperiod, eftersom det också ankommer på tillsynsmyndigheten att påvisa ett avsiktligt missbruk från den persons sida som framställt begärandena, att en tillsynsmyndighet som mottar orimliga begäranden genom ett motiverat beslut får välja mellan att ta ut en rimlig avgift grundad på de administrativa kostnaderna eller vägra att tillgodose begäran, med beaktande av samtliga relevanta omständigheter och efter att ha förvissat sig om att det alternativ som valts är lämpligt och proportionerligt, varvid det inte finns någon prioritetsordning mellan de två alternativen.
1 Originalspråk: franska.
2 EUT L 119, 2016, s. 1.
3 Enligt de uppgifter som lämnats i beslutet om hänskjutande hänför sig fyra klagomål till år 2018 och 53 till år 2019, varefter 20 klagomål ingavs under första kvartalet 2020. F R har i 46 fall gjort gällande rätten till radering och i 29 fall rätten till tillgång.
4 Eftersom artikel 57.1 f i dataskyddsförordningen i viss mån avspeglar artikel 77.1 i förordningen förefaller det mig lämpligt att lägga denna artikel till de bestämmelser vars tolkning begärts av den hänskjutande domstolen.
5 Se, bland annat, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) ( C‑300/21, EU:C:2023:370, punkt 29 och där angiven rättspraxis).
6 Se, bland annat, dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF ( C‑487/21, EU:C:2023:369, punkt 19 och där angiven rättspraxis), dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958, punkt 48 och där angiven rättspraxis), samt dom av den 30 april 2024, Trade Express-L och DEVNIA TSIMENT ( C‑395/22 och C‑428/22, EU:C:2024:374, punkt 65 och där angiven rättspraxis).
7 Min kursivering.
8 Min kursivering.
9 Min kursivering.
10 Den österrikiska regeringen anger att handläggningen av klagomål utgör huvudparten av tillsynsmyndigheternas arbetsbörda med avseende på kvantiteten.
11 Se Internal EDPB Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, antaget den 15 december 2020, punkt 15.
12 Se i fråga om restriktiv tolkning av de undantag som föreskrivs genom bestämmelserna i dataskyddsförordningen, bland annat dom av den 16 januari 2024, Österreichische Datenschutzbehörde ( C‑33/22, EU:C:2024:46, punkt 37 och där angiven rättspraxis).
13 Se dom av den 26 oktober 2023, FT (Kopior av patientjournalen) ( C‑307/22, EU:C:2023:811, punkt 47).
14 Se, bland annat, dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 63), och dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958, punkt 56 och där angiven rättspraxis).
15 Se, bland annat, dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958, punkt 58 och där angiven rättspraxis).
16 C‑132/21, EU:C:2023:2.
17 Se dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság ( C‑132/21, EU:C:2023:2, punkt 57).
18 Se, bland annat, dom av den 26 oktober 2023, FT (Kopior av patientjournalen) ( C‑307/22, EU:C:2023:811, punkt 73 och där angiven rättspraxis).
19 Se, bland annat, dom av den 22 juni 2023, Pankki S ( C‑579/21, EU:C:2023:501, punkt 58 och där angiven rättspraxis).
20 Se, bland annat, dom av den 22 juni 2023, Pankki S ( C‑579/21, EU:C:2023:501, punkt 59 och där angiven rättspraxis).
21 Se, bland annat, dom av den 26 oktober 2023, FT (Kopior av patientjournalen) ( C‑307/22, EU:C:2023:811, punkt 50).
22 Se i fråga om artikel 12.5 i dataskyddsförordningen, EDPB, Lignes directrices 01/2022 sur les droits des personnes concernées – Droit d’accès, antagna den 28 mars 2023, punkterna 175–195.
23 C‑307/22, EU:C:2023:811.
24 Se dom av den 26 oktober 2023, FT (Kopior av patientjournalen) ( C‑307/22, EU:C:2023:811, punkt 31).
25 Se dom av den 26 oktober 2023, FT (Kopior av patientjournalen) ( C‑307/22, EU:C:2023:811, punkt 32).
26 Se i fråga om begreppet rättsmissbruk förslag till avgörande av generaladvokat Szpunar i målet McCarthy m.fl. ( C‑202/13, EU:C:2014:345, punkterna 108–114) och, i fråga om missbruk av rättigheterna enligt dataskyddslagstiftningen, förslag till avgörande av generaladvokaten Kokott i målet Nowak ( C‑434/16, EU:C:2017:582, punkterna 42–50).
27 Se, bland annat, dom av den 21 december 2023, BMW Bank m.fl. ( C‑38/21, C‑47/21 och C‑232/21, EU:C:2023:1014, punkt 281 och där angiven rättspraxis).
28 Se Hijmans, H., ”Article 57. Tasks” i Kuner, C., Bygrave, L. A., Docksey, C. och Drechsler, L., The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press USA, New York, 2020, s. 927–938, särskilt s. 935.
29 Se, analogt, i fråga om tillgång till handlingar, dom av den 26 oktober 2011, Dufour/BCE ( T‑436/09, EU:T:2011:634, punkt 122).
30 Se, analogt, i fråga om allmänhetens tillgång till miljöinformation, dom av den 20 januari 2021, Land Baden-Württemberg (Interna meddelanden) ( C‑619/19, EU:C:2021:35, punkt 33 och där angiven rättspraxis).
31 Se, analogt, dom av den 12 januari 2023, Österreichische Post (Information om mottagarna av personuppgifter) ( C‑154/21, EU:C:2023:3, punkt 31).