Förslag till avgörande av generaladvokat Campos Sánchez-Bordona — Mål C-655/23 Quirin Privatbank

1. I det mål som föranlett denna begäran om förhandsavgörande är frågan i korthet huruvida en enskild har rätt att kräva att den personuppgiftsansvarige för dennes personuppgifter inte ska upprepa överträdelser av bestämmelserna i förordning (EU) 2016/679. Samma person yrkar även att den personuppgiftsansvarige ska förpliktas att betala ersättning för immateriell skada till följd av den redan begångna överträdelsen av dataskyddsförordningen.

2. EU-domstolen har uttalat sig om tolkningen av dataskyddsförordningen när det gäller ersättning för skada och även när det gäller talan om förbudsföreläggande vid olaglig behandling av personuppgifter. Den har emellertid ännu inte behandlat något av de specifika problem som tas upp i förevarande begäran om förhandsavgörande.

I. Tillämpliga bestämmelser

A. Unionsrätt. Dataskyddsförordningen

3. Artikel 4 (”Definitioner”) har följande lydelse:

”I denna förordning avses med

…

2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom … begränsning, radering eller förstöring,

3. begränsning av behandling: markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i framtiden,

…”

4. I artikel 5 (”Principer för behandling av personuppgifter”) föreskrivs följande:

”1. Vid behandling av personuppgifter ska följande gälla:

a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

…

2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”

5. Artikel 6.1 (”Laglig behandling av personuppgifter”) har följande lydelse:

”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

…”

6. I artikel 17 (”Rätt till radering (’rätten att bli bortglömd’)”) föreskrivs följande:

”1. Den registrerade ska ha rätt att hos den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om någon av följande grunder föreligger:

…

d) Personuppgifterna har behandlats på olagligt sätt.

…”

7. Artikel 18 (”Rätt till begränsning av behandling”) har följande lydelse:

”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om något av följande alternativ är tillämpligt:

…

b) Behandlingen är olaglig, och den registrerade motsätter sig att personuppgifterna raderas och begär i stället en begränsning av deras användning.

…”

8. I artikel 79 (”Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde”) har punkt 1 följande lydelse:

”Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.”

9. I punkt 1 i artikel 82 (”Ansvar och rätt till ersättning”) föreskrivs följande:

”Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.”

10. I artikel 84 (”Sanktioner”) har punkt 1 följande lydelse:

”Medlemsstaterna ska fastställa regler om andra sanktioner för överträdelser av denna förordning, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83, och vidta alla nödvändiga åtgärder för att säkerställa att de genomförs. Dessa sanktioner ska vara effektiva, proportionerliga och avskräckande.”

B. Tysk rätt. Bürgerliches Gesetzbuch

11. 823 § (”Ersättningsskyldighet”) har följande lydelse:

”1). Den som uppsåtligen eller av oaktsamhet olovligen skadar annans liv, kropp, hälsa, frihet, egendom eller annan rättighet är skyldig att ersätta den uppkomna skadan.

2). Samma skyldighet gäller den som åsidosätter en lag som har till syfte att skydda någon annan. Om det på grund av lagens innehåll även är möjligt att åsidosätta lagen utan att begå någon försummelse, uppstår ersättningsskyldigheten endast vid försummelse.”

12. I 1004 § (”Begäran om undanröjande och om ett förbudsföreläggande”) föreskrivs följande i punkt 1:

”Om det sker ingrepp i äganderätten på annat sätt än genom avhändande eller undanhållande av besittning, så får ägaren från den som orsakar ingreppet kräva att ingreppet avlägsnas. Om ytterligare ingrepp befaras får ägaren begära ett förbudsföreläggande i domstol.”

II. Faktiska omständigheter, det nationella målet och tolkningsfrågorna

13. De faktiska omständigheterna redovisas på följande sätt i beslutet att begära förhandsavgörande: IP deltog i ett rekryteringsförfarande hos banken Quirin Privatbank AG (nedan kallad Quirin) via onlineportalen Xing. Under förfarandet sände en person som var anställd vid Quirin via portalen Xings meddelandetjänst den 23 oktober 2018 ett meddelande till en utomstående person som inte deltog i rekryteringsförfarandet, trots att detta meddelande endast var avsett för IP. Meddelandet hade följande lydelse: ”Bäste herr [IP]! Jag hoppas att allt står väl till! Vår chef – R … – finner er profil som säljare mycket intressant. Emellertid kan vi inte uppfylla Era löneanspråk. Vår chef kan erbjuda 80000 euro + en rörlig ersättning. Är Er ansökan under dessa förhållanden fortfarande intressant för Er? Jag ser fram emot att höra från Er … Med vänlig hälsning …” Den utomstående personen, som kände IP eftersom han tidigare hade arbetat i samma koncern som honom, delgav honom meddelandet. Han frågade om det rörde sig om ett meddelande till denne (IP) och om han sökte en ny anställning.

14. IP väckte talan vid Landgericht (regional överdomstol, Tyskland) och yrkade att Quirin skulle åläggas att upphöra med att behandla eller låta behandla personuppgifter som hade samband med rekryteringsförfarandet, ”om detta sker som var fallet i meddelandet … via portalen Xing den 23 oktober 2018”. Han yrkade även ersättning för immateriell skada med minst 2500 euro.

15. Landgericht biföll delvis talan, förelade Quirin ett förbud och tillerkände IP en ersättning med 1000 euro jämte ränta.

16. Quirin överklagade den regionala domstolens dom till Oberlandesgericht (regionala överdomstol, Tyskland) vilken ändrade den rätt till ersättning för immateriell skada som gjorts gällande men ogillade överklagandet i övrigt.

17. Oberlandesgericht slog fast följande: I enlighet med artikel 17.1 i dataskyddsförordningen har IP gentemot Quirin rätt till ett förbudsföreläggande avseende behandlingen av dennes personuppgifter om detta sker på sådant sätt som i meddelandet av den 23 oktober 2018. Det föreligger nämligen risk för att beteendet upprepas. IP har ingen rätt till ersättning i enlighet med artikel 82 i dataskyddsförordningen, eftersom det från dennes sida saknas en redovisning av skadan.

18. IP har överklagat denna dom och vidhåller i full utsträckning sina anspråk. Även Quirin har överklagat och yrkat att talan ska ogillas i sin helhet.

19. Bundesgerichtshof (Federala högsta domstolen, Tyskland) har mot denna bakgrund ställt sex tolkningsfrågor till EU-domstolen, av vilka jag återger den första, den andra, den tredje och den sjätte, med följande lydelse:

”1)

a) Ska artikel 17 i dataskyddsförordningen tolkas på så sätt att en registrerad vars personuppgifter otillåtet har lämnats ut av den personuppgiftsansvarige genom överföring har rätt att kräva att den personuppgiftsansvarige ska föreläggas att upphöra med fortsatt otillåten överföring av dessa uppgifter, såvida den registrerade inte begär att den personuppgiftsansvarige ska radera uppgifterna?

b) Kan en sådan rätt till förbudsföreläggande (även) följa av artikel 18 i dataskyddsförordningen eller av någon annan bestämmelse i förordningen?

2) Om frågorna 1 a och/eller 1 b ska besvaras jakande:

a) Är det en förutsättning för att en registrerad ska ha rätt enligt unionsrätten att kräva att ett förbudsföreläggande ska utfärdas mot en personuppgiftsansvarig som kränkt den registrerades rättigheter enligt dataskyddsförordningen att det kan befaras att den personuppgiftsansvarige kommer att begå ytterligare kränkningar i framtiden (risk för ytterligare överträdelser)?

b) Kan det presumeras föreligga en risk för ytterligare överträdelser på grund av den redan begångna överträdelsen av dataskyddsförordningen?

3) Om frågorna 1 a och 1 b ska besvaras nekande: Ska artikel 84 jämförd med artikel 79 i dataskyddsförordningen tolkas på så sätt att en nationell domstol har möjlighet att – utöver ersättning för materiell eller immateriell skada enligt artikel 82 i dataskyddsförordningen och de anspråk som framgår av artiklarna 17 och 18 i förordningen – med stöd av bestämmelserna i den nationella lagstiftningen tillerkänna en registrerad person vars personuppgifter otillåtet har lämnats ut av den personuppgiftsansvarige genom överföring en rätt att kräva att den personuppgiftsansvarige ska föreläggas att upphöra med fortsatt otillåten överföring av dessa uppgifter?

6) Om frågorna 1 a, 1 b eller 3 ska besvaras jakande: Ska artikel 82.1 i dataskyddsförordningen tolkas på så sätt att den omständigheten att den registrerade vid sidan av rätten till ersättning också har rätt att kräva att ett förbudsföreläggande ska utfärdas mot den personuppgiftsansvarige beaktas i ersättningsbegränsande riktning vid beräkningen av storleken på ersättningen för immateriell skada?”

III. Förfarandet vid EU-domstolen

20. Begäran om förhandsavgörande inkom till domstolens kansli den 7 november 2023.

21. Skriftliga yttranden har inkommit från IP, Quirin och Europeiska kommissionen. Det har inte ansetts nödvändigt att hålla muntlig förhandling.

IV. Bedömning

22. På uppmaning av domstolen begränsar sig detta förslag till avgörande till tolkningsfrågorna 1, 2, 3 och 6.

A. Den första tolkningsfrågan

23. Den hänskjutande domstolen vill veta om den registrerade, när personuppgifter redan har behandlats på ett otillåtet sätt enligt dataskyddsförordningen, med stöd av artiklarna 17 eller 18 eller någon annan bestämmelse i dataskyddsförordningen, kan begära att den personuppgiftsansvarige ska föreläggas att upphöra med (Anspruch auf Unterlassung) ”[fortsatt] otillåten överföring av dessa uppgifter, såvida den registrerade inte begär att den personuppgiftsansvarige ska radera uppgifterna”.

24. Den hänskjutande domstolens tvivel tycks bero på de att det råder olika uppfattningar i tysk doktrin och rättspraxis om den (påstådda) rätten att genom rättsliga åtgärder kräva att den personuppgiftsansvarige ska förbjudas att fortsätta med en viss otillåten personuppgiftsbehandling av liknande slag som tidigare ägt rum.

25. Bakom denna diskussion ligger avsaknaden av ett uttryckligt erkännande av denna rättighet i dataskyddsförordningen. Vissa menar att denna avsaknad innebär att det inte finns någon sådan rättighet i själva dataskyddsförordningen, medan andra anser att den kan härledas från artiklarna 17 eller 18.

26. Bland förespråkarna för den första ståndpunkten finns det ytterligare en uppdelning. Enligt vissa skapar dataskyddsförordningen ett slutet system, vilket gör att det saknas stöd för yrkandet om förbudsföreläggande i nationell rätt. Andra, såsom domstolen i första instans i det nationella målet, är av motsatt uppfattning.

27. Dataskyddsförordningen innehåller förvisso inte uttryckligen någon rätt för den registrerade att kräva att den som bär ansvar för en otillåten behandling ska upphöra med den. Vid tolkningen av en unionsbestämmelse ska emellertid inte bara lydelsen beaktas, utan också det sammanhang i vilket bestämmelsen förekommer samt de mål och syften som eftersträvas med de föreskrifter som bestämmelsen ingår i och, i förekommande fall, till dess ursprung.

28. I det följande kommer jag att bedöma den första tolkningsfrågan mot bakgrund av dessa tolkningskriterier.

1. Rätt att kräva att en otillåten behandling ska upphöra

29. I linje med kommissionens resonemang anser jag att den registrerades rätt att kräva (av den personuppgiftsansvarige) att en otillåten behandling ska upphöra, om en sådan behandling redan har ägt rum tidigare, kan härledas ur själva dataskyddsförordningen. Jag syftar närmare bestämt på artiklarna 5.1 a och 6.1 jämförda med artikel 79.1.

30. Jag förstår man kan ha betänkligheter mot denna ståndpunkt, med tanke på att artiklarna 5 och 6 i dataskyddsförordningen ingår i kapitel II (”Principer”) och inte i kapitel III, som särskilt handlar om ”Den registrerades rättigheter”. Vid första påseende skulle man kunna tro att katalogen över de registrerades rättigheter som skyddas av dataskyddsförordningen är uttömd genom förteckningen i kapitel III.

31. Dessa betänkligheter förefaller mig dock inte vara oöverstigliga.

32. Kapitel II i dataskyddsförordningen, som har rubriken ”Principer”, är inte begränsat till programmatiska uttalanden eller uttalanden som endast är till nytta för tolkningen av andra regler. I stället fastställs rättsliga skyldigheter för alla dem som dataskyddsförordningen riktar sig till. Dessa skyldigheter motsvarar, i gengäld och logiskt nog, antingen subjektiva intressen som förtjänar skydd eller, i förekommande fall, verkliga rättigheter för de registrerade.

33. I artikel 5.1 i dataskyddsförordningen fastställs direkt bindande och tvingande principer. Dessa principers normativa karaktär bekräftas av punkt 2 i samma artikel, i den mån ”att punkt 1 efterlevs” blir till en materiell skyldighet, som i synnerhet åläggs den personuppgiftsansvarige. Dessutom kan överträdelser av de ”grundläggande principerna för behandling” straffas med sanktionsavgifter.

34. På en högre normativ nivå kräver artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, efter att ha proklamerat rätten till skydd av personuppgifter, i punkt 2 att behandlingen av sådana uppgifter ska omfattas av vissa villkor (”Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund”) som garanterar deras laglighet.

35. Om den personuppgiftsansvarige bryter mot någon av de principer som anges i artiklarna 5 och 6 i dataskyddsförordningen är behandlingen olaglig. En olaglig behandling av personuppgifter åsidosätter också rätten till skydd av personuppgifter.

36. Med detta menar jag inte att varje överträdelse av bestämmelserna i dataskyddsförordningen automatiskt gör behandlingen av personuppgifter olaglig. När överträdelsen av dataskyddsförordningen är av sådan omfattning att den i sig bryter mot de vägledande principerna för behandlingen, innebär emellertid den olagliga behandlingen som nämnts att själva rätten till skydd av personuppgifter åsidosätts.

37. Vad beträffar principen om laglig behandling har EU-domstolen slagit fast att den är av tvingande karaktär och upprepade gånger erinrat om att all behandling av personuppgifter måste vara förenlig med principen om laglighet, betonat ”omfattningen av den personuppgiftsansvariges skyldigheter enligt artikel 5.1 a och artikel 6.1 i förordningen”. Denna omfattning preciseras i artiklarna 7–11 i förordningen: för att vara laglig måste behandlingen av personuppgifter även iaktta dessa artiklar.

38. Som en omedelbar motsvarighet till påbudet i artiklarna 5.1 a och 6.1 i dataskyddsförordningen har den registrerade därför rätt att säkerställa att all behandling av hans eller hennes personuppgifter är laglig. Jag anser att detta är utgångspunkten, även om denna rättighet inte uttryckligen återspeglas i kapitel III i dataskyddsförordningen.

39. Om kapitel III i dataskyddsförordningen, som handlar om den registrerades rättigheter, inte innehåller något erkännande av rätten att säkerställa att behandlingen av hans eller hennes personuppgifter är laglig, beror det på att ett sådant uttryckligt erkännande inte behövs: det räcker att se till artiklarna 5 och 6 i dataskyddsförordningen för att dra slutsatsen att en sådan rätt förutsätts.

40. Att i dataskyddsförordningen, utöver vad som redan anges i artikel 5, uttryckligen föreskriva en rätt att säkerställa att all behandling av personuppgifter vilar på en laglig grund var, som nämnts, inte nödvändigt. För enhetlighetens skull och för alla inblandades rättssäkerhet var det tillräckligt att specificera och beskriva dessa grunder i själva dataskyddsförordningen.

41. Vidare är jag inte så säker på att den registrerades rättigheter uteslutande är de som anges i kapitel III i dataskyddsförordningen. I förordningen kan det finnas andra rättigheter, och utövandet av dessa ska i första hand underlättas av den personuppgiftsansvarige. Exempelvis föreskrivs rätten att återkalla sitt samtycke i artikel 7.3 i dataskyddsförordningen, men den ingår inte som sådan i kapitel III.

42. Enligt min mening kan den registrerades rätt att kräva att den personuppgiftsansvarige inte fortsätter med en olaglig personuppgiftsbehandling av liknande slag som tidigare ägt rum anses ingå som en följd av den registrerades rätt att säkerställa att all behandling av hans eller hennes personuppgifter är laglig.

43. Denna rätt (ius) är kopplad till ett system där det finns möjlighet att göra gällande denna rätt vid domstol (actio) som är nödvändig för tillämpningen av dataskyddsförordningen, och det är detta system som avses i artikel 79 i förordningen. I annat fall skulle det rättsliga skyddet för personuppgifter vara ofullständigt.

44. Erkännandet av den registrerades rätt att kräva (i förekommande fall i domstol) att en olaglig behandling av hans eller hennes uppgifter ska upphöra motsvarar det mål som anges i skäl 10 i dataskyddsförordningen, nämligen att tillhandahålla en hög skyddsnivå för fysiska personer med avseende på behandlingen av deras personuppgifter i unionen. I skäl 11 i dataskyddsförordningen anges vidare att ett effektivt skydd av personuppgifter förutsätter att de registrerades rättigheter förstärks.

45. Tillsynsmyndighetens befogenheter enligt artikel 58.2 d och f i dataskyddsförordningen omfattar dels befogenheten att besluta att behandlingen ska ske på ett specifikt sätt i enlighet med bestämmelserna i dataskyddsförordningen, dels befogenheten att införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandlingen. Ett klagomål från den registrerade enligt artikel 77.1 i dataskyddsförordningen kan leda till att ett sådant förfarande inleds.

46. Att ge sådana befogenheter till tillsynsmyndigheten är helt förenligt med att den registrerade, om han eller hon anser det lämpligt, vänder sig till en domstol för att få ett effektivt skydd för sina åsidosatta rättigheter. För detta ändamål kan den registrerade väcka talan i domstol mot den personuppgiftsansvarige enligt artikel 79.1 i dataskyddsförordningen. Det finns inget som hindrar att de yrkanden som framställs i samband med en sådan talan innefattar att den personuppgiftsansvarige ska förbjudas att fortsätta med den olagliga behandlingen.

47. Mot bakgrund av ovanstående anser jag att den registrerade både har rätt (ius) att kräva att den personuppgiftsansvarige inte ska fortsätta med den olagliga behandlingen i enlighet med dataskyddsförordningen och möjlighet att göra gällande denna rätt vid domstol (actio) och yrka att den personuppgiftsansvarige ska förbjudas att göra detta.

48. En sådan talan från den registrerade är förenlig med det karakteristiska regleringsinnehållet i artikel 79.1 i dataskyddsförordningen, vilket innebär att den kan ingå i det system för effektivt domstolsskydd som denna förordning erbjuder honom eller henne. Det bör beaktas att rätten till ersättning, som en gottgörelse för skada som redan har orsakats av en överträdelse av dataskyddsförordningen, regleras särskilt i artikel 82 i förordningen och att den har en ”rent kompenserande”, och inte en bestraffande, funktion.

49. I motsats till min ståndpunkt hävdar Quirin att ett förslag från kommissionen i samband med utarbetandet av dataskyddsförordningen om att ”medlemsstaterna ska se till att befintliga rättsmedel enligt nationell rätt gör det möjligt att snabbt vidta åtgärder, inklusive interimistiska åtgärder, för att få en påstådd överträdelse att upphöra och för att förhindra ytterligare skada för de berörda intressena” i slutändan inte antogs.

50. Att denna punkt försvann under behandlingen i rådet förefaller mig dock inte vara ett tecken på att lagstiftaren hade för avsikt att ”inte integrera rätten att vidta skyndsamma åtgärder för att förhindra ytterligare skada i den slutliga versionen av dataskyddsförordningen”, eller på ett förbiseende. Jag tror snarare att de ändringar som gjorts i kommissionens förslag på denna punkt återspeglar en önskan att se till att hela det ursprungliga kapitel VIII (”Rättsmedel, ansvar och sanktioner”) blev mer korrekt i systematiskt hänseende.

51. Under rubrikerna ”Rätt till rättsmedel mot en registeransvarig eller registerförare” respektive ”Gemensamma regler om domstolsförfaranden” reglerade artiklarna 75 och 76 i förslaget ett antal situationer som inte hängde samman med varandra. I det kapitlets nya systematik flyttades rätten till domstolsskydd av den registrerades rättigheter till artikel 79 i dataskyddsförordningen, där det är logiskt att anta att åtgärder för att förhindra en fortsatt olaglig behandling av personuppgifter ingår som karakteristiska uttryck för ett effektivt domstolsskydd.

2. Möjlighet att härleda en rätt att kräva att olaglig behandling upphör från artiklarna 17 eller 18 i dataskyddsförordningen

52. Den hänskjutande domstolen formulerar sin första fråga genom att hänvisa till artiklarna 17 och 18 eller ”någon annan bestämmelse i dataskyddsförordningen” som möjliga grunder för den registrerades rätt att kräva att den personuppgiftsansvarige ska upphöra med olaglig överföring av hans eller hennes personuppgifter.

53. För min del anser jag, som jag redan har nämnt, att denna grund tillhandahålls genom artiklarna 5 och 6 jämförda med artikel 79 i dataskyddsförordningen, vilket gör det onödigt att ta upp effekterna av artiklarna 17 och 18 i samma förordning på denna punkt.

54. För fullständighetens skull kommer jag dock att behandla dessa två bestämmelser nedan. Jag kommer att redogöra för de skäl som enligt min mening talar emot att härleda en sådan rätt från artikel 17 i dataskyddsförordningen, om den registrerade inte begär radering av de uppgifter som är föremål för olaglig behandling, eller från artikel 18 i dataskyddsförordningen, särskilt punkt 1 b.

55. Som en allmän regel har den registrerade, gentemot den personuppgiftsansvarige, både rätt till radering av personuppgifter som har behandlats olagligt (artikel 17.1 d i dataskyddsförordningen) och rätt till begränsning av behandlingen (artikel 18.1 b i dataskyddsförordningen) om behandlingen är olaglig och den registrerade motsätter sig radering och i stället begär begränsning.

56. Enligt min mening är ingen av dessa två bestämmelser i sig tillräcklig för att fastställa att den registrerade har rätt att begära att den personuppgiftsansvarige ska upphöra med en olaglig behandling (som den som redan har utförts), och detta av följande skäl: Genom att på grundval av artikel 17.1 d i dataskyddsförordningen få till stånd en radering av personuppgifter som behandlats olagligt förhindras att behandlingen fortsätter, men det förhindrar också all annan behandling, vilket ibland är till nackdel för samtliga berörda parter. En begränsning av behandlingen av uppgifterna med stöd av artikel 18.1 b i dataskyddsförordningen är inte en åtgärd som ger ett tillräckligt skydd mot olaglig behandling. En sådan åtgärd (på vissa villkor) upphäver, på begäran av den registrerade, den personuppgiftsansvariges skyldighet att radera uppgifterna just på grund av att behandlingen är olaglig.

57. I artikel 17 i dataskyddsförordningen föreskrivs rätten att få sina personuppgifter raderade och att bli bortglömd. I punkt 1 fastställs den registrerades rätt att få personuppgifter som rör honom eller henne raderade och de omständigheter under vilka denna rätt kan utövas. Om sådana omständigheter föreligger ska den personuppgiftsansvarige radera uppgifterna ”utan onödigt dröjsmål”.

58. Att tolka artikel 17 så att den registrerade kan begära något annat än att de behandlade personuppgifterna raderas strider mot bestämmelsens ordalydelse och syfte.

59. En sådan tolkning stöter också på systematiska svårigheter: i andra artiklar i kapitel III i dataskyddsförordningen föreskrivs en rätt för den registrerade att begränsa behandlingen av uppgifter utan att de raderas. Om artikel 17 också skulle anses tjäna detta syfte skulle de andra artiklarna riskera att förlora sin ändamålsenliga verkan.

60. Eftersom denna tolkning är utesluten förefaller det mig inte logiskt att från artikel 17 i dataskyddsförordningen härleda en rätt att få den personuppgiftsansvarige som haft personuppgifterna i sin besittning att i framtiden upphöra med en viss behandling. Om den personuppgiftsansvarige följer föreläggandet om radering kommer uppgifterna per definition inte längre att vara tillgängliga för den personuppgiftsansvarige och denne kan i praktiken inte behandla dem.

61. Artikel 18 i dataskyddsförordningen skyddar inte heller den registrerades rätt att kräva att den personuppgiftsansvarige ska upphöra med en olaglig behandling av hans eller hennes personuppgifter, liknande den som redan har ägt rum.

62. Under rubriken ”Rätt till begränsning av behandling” ger artikel 18 i dataskyddsförordningen den registrerade befogenheter som utgör alternativ till rätten att kräva att hans eller hennes personuppgifter raderas. Det är fråga om befogenheter som ges med ett bestämt innehåll, på vissa villkor och under en begränsad tidsperiod. Enligt artikel 18 i dataskyddsförordningen kan den registrerade också invända mot att sådana uppgifter raderas.

63. Syftet med bestämmelsen är att förena den registrerades och den personuppgiftsansvariges intressen om de inte är överens om huruvida personuppgifterna ska rättas (punkt 1 a) eller raderas (punkt 1 b och c) eller om vilket intresse som ska väga tyngst om den registrerade invänder mot behandlingen enligt artikel 21.1 i dataskyddsförordningen (punkt 1 d).

64. Konsekvensen av att rätten till begränsning av behandling utövas är att de ”begränsade uppgifterna” inte rättas eller raderas, utan att den enda möjliga behandlingen begränsas till att behålla dem, det vill säga lagra dem. Denna lagring är dock i själva verket inte en eftergift till den personuppgiftsansvarige, utan en skyldighet för denne att vidta lämpliga åtgärder för att säkerställa detta.

65. Begränsningen av behandlingen i enlighet med artikel 18 i dataskyddsförordningen är tillfällig; dess varaktighet är beroende av att det ändamål för vilket den registrerade utövar rätten att begränsa behandlingen uppnås. Det råder ingen tvekan om att den är tillfällig i de situationer som beskrivs i artikel 18.1 a, c och d i dataskyddsförordningen, men det gäller enligt min mening också den situation som beskrivs i artikel 18.1 b.

66. Artikel 18.1 b i dataskyddsförordningen, vars innebörd och räckvidd förvisso är oklar, måste tolkas i sitt sammanhang, det vill säga i överensstämmelse med resten av artikel 18.1. I detta sammanhang bildar artikel 18.1 b par med artikel 18.1 c, som avser laglig behandling som har upphört. I det senare fallet, liksom vid olaglig behandling, har den personuppgiftsansvarige inte rätt att behålla uppgifterna längre än vad som är nödvändigt. Att tvinga den personuppgiftsansvarige att göra detta, på grundval av att den registrerade motsätter sig radering av dessa uppgifter, kan endast ske tillfälligt.

67. Av skäl som även de är systematiska bör avsaknaden i artikel 18.1 b i dataskyddsförordningen av en hänvisning till den registrerades skäl för att invända mot radering av hans eller hennes uppgifter (och i stället begära att användningen av dem begränsas) inte tolkas som ett godtyckligt medgivande av alla skäl, än mindre att inga skäl krävs. Rätten att begära begränsning av behandling enligt artikel 18.1 b måste i stället tjäna ett legitimt och välgrundat syfte.

68. Lagring av personuppgifter innebär en börda för den personuppgiftsansvarige, som inte är riskfri, och bör därför endast krävas under en viss tidsperiod, under omständigheter där en radering av dessa uppgifter skulle skada den registrerades berättigade intressen.

69. Jag anser därför att den registrerades rätt att kräva att den personuppgiftsansvarige upphör med olaglig behandling av hans personuppgifter inte heller kan härledas från artikel 18.1 b i dataskyddsförordningen. Syftet med denna bestämmelse är att tillfälligt och för den registrerades berättigade ändamål förhindra att den personuppgiftsansvarige fullgör den rättsliga förpliktelse som följer av en olaglig personuppgiftsbehandling genom att utan dröjsmål radera de berörda uppgifterna.

B. Den tredje tolkningsfrågan

70. Den tredje tolkningsfrågan har ställts för det fall den första tolkningsfrågan besvaras nekande. Eftersom artiklarna 5, 6 och 79 i dataskyddsförordningen, tolkade på ovan redovisat sätt, enligt min mening utgör en tillräcklig grund för att motivera den registrerades rätt att kräva att den personuppgiftsansvarige upphör med olagliga överföringar av hans eller hennes personuppgifter, är det onödigt att ta ställning till huruvida samma lösning skulle kunna uppnås på grundval av bestämmelser i nationell rätt.

C. Den andra tolkningsfrågan

71. Den andra tolkningsfrågan utgår från antagandet att dataskyddsförordningen ger den registrerade rätt att kräva att den personuppgiftsansvarige upphör med en olaglig personuppgiftsbehandling av liknande slag som tidigare ägt rum.

72. Mot bakgrund av detta vill den hänskjutande domstolen få klarhet i huruvida denna rätt är beroende av att det finns en risk för ytterligare överträdelser och, om så är fallet, om den risken kan ”presumeras föreligga … på grund av den redan begångna överträdelsen av dataskyddsförordningen”.

73. Om dataskyddsförordningen inte reglerar möjligheten att väcka talan för att förhindra fortsatt olaglig behandling av personuppgifter, är det upp till varje medlemsstat att, i enlighet med principen om processuell autonomi, införa en sådan möjlighet att väcka talan.

74. Nämnda regler får inte vara mindre förmånliga än dem som avser liknande talan som syftar till att skydda rättigheter som följer av den nationella rättsordningen (likvärdighetsprincipen) eller medföra att det i praktiken blir omöjligt eller orimligt svårt att utöva rättigheter som följer av unionens rättsordning (effektivitetsprincipen).

75. De uppgifter som finns i beslutet att begära förhandsavgörande tyder inte på att de nationella bestämmelserna om väckande av talan för att förhindra ytterligare olaglig behandling av personuppgifter skulle strida mot dessa två principer: Vid en första anblick är dessa regler desamma som de som gäller för liknande situationer enligt nationell lagstiftning. Skyddet för de rättigheter som tillerkänns enskilda genom unionsrätten är således inte mindre förmånligt än det som föreskrivs för rättigheter enligt nationella bestämmelser. Dessa regler förefaller inte heller innebära alltför stora bördor för den som väcker talan. Den registrerade (sökanden) måste visserligen, i enlighet med den normala fördelningen av bevisbördan, bevisa att det finns en risk för ytterligare överträdelser från den personuppgiftsansvariges sida. Det finns emellertid inget som hindrar att sökanden till sin fördel kan åberopa en motbevisbar presumtion för att en sådan risk föreligger, med hänsyn till den överträdelse som redan har begåtts. Enligt denna presumtion, som kan motbevisas genom bevis på motsatsen, är ett föreläggande att avstå från ytterligare olaglig behandling tillåtet, såvida inte den personuppgiftsansvarige visar att det inte finns någon risk för ytterligare överträdelser i det enskilda fallet.

D. Den sjätte tolkningsfrågan

76. Den hänskjutande domstolen har ställt denna fråga, återigen med utgångspunkt i att den registrerade har rätt att yrka att den personuppgiftsansvarige ska föreläggas att upphöra med en olaglig personuppgiftsbehandling av liknande slag som tidigare ägt rum, för att få klarhet i hur artikel 82.1 i dataskyddsförordningen ska tolkas.

77. Den vill särskilt få klarhet i om ”den omständigheten att den registrerade vid sidan av rätten till ersättning också har rätt att kräva att ett förbudsföreläggande ska utfärdas mot den personuppgiftsansvarige beaktas i ersättningsbegränsande riktning vid beräkningen av storleken på ersättningen för immateriell skada”.

78. Jag förstår av den dom från Bundesgerichtshof (Federala högsta domstolen, Tyskland) som det hänvisas till i beslutet att begära förhandsavgörande, att ersättning i pengar (Geldentschädigung) för immateriell skada i samband med en kränkning av personlighetsskyddet (allgemeine Persönlichkeitsrechte) i Tyskland är förknippad med funktioner som gottgörelse för den skadelidande och även prevention. I detta sammanhang kan ett förbudsföreläggande som utfärdats i preventivt syfte påverka ersättningen, antingen genom att påverka dess storlek eller genom att till och med utesluta den, i den mån detta föreläggande redan säkerställer det nödvändiga skyddet.

79. Enligt den hänskjutande domstolen förefaller ”frågan om … dessa principer kan överföras till … rätten till ersättning för immateriell skada i enlighet med artikel 82.1 i dataskyddsförordningen … diskutabel”.

80. Ersättning för skada som orsakats av olaglig behandling av personuppgifter, som krävs enligt artikel 82.1 i dataskyddsförordningen, bygger på ett annat synsätt än det som framgår av den sjätte tolkningsfrågan. Därför måste svaret på denna fråga enligt min mening vara nekande.

81. Den ersättning som föreskrivs i artikel 82.1 i dataskyddsförordningen omfattar all materiell och immateriell skada som uppkommit till följd av en överträdelse av förordningen. Begreppet ”immateriell skada” i den mening som avses i denna bestämmelse ska ges en självständig och enhetlig definition.

82. EU-domstolen har gjort en vid tolkning av begreppet immateriell skada. Den har bland annat slagit fast att ”den fruktan som en registrerad känner för att hans eller hennes personuppgifter kan komma att missbrukas av tredje part till följd av en överträdelse av förordningen, i sig kan anses utgöra en ’immateriell skada’, i den mening som avses i denna bestämmelse”.

83. Enligt denna tolkning görs i artikel 82.1 i dataskyddsförordningen inte någon åtskillnad beroende på om den immateriella skada som den registrerade påstår sig ha lidit har samband med att hans eller hennes personuppgifter redan har missbrukats av utomstående aktörer vid tidpunkten för ersättningsbegäran eller är knuten till den fruktan som den registrerade känner för att ett sådant missbruk kan komma att ske i framtiden.

84. En skadelidande som har bevisat att denne verkligen har lidit skada har rätt till en ersättning som syftar till att kompensera denne fullt ut, oavsett hur stor skadan är.

85. Enligt EU-domstolens fasta praxis är den fulla ersättningen uteslutande avsedd som kompensation. EU-domstolen medger att rätten att begära ersättning för skada också kan hindra att överträdelser upprepas, men anser att syftet med ersättningen enligt artikel 82 i dataskyddsförordningen varken är att avskräcka eller att bestraffa.

86. Mot bakgrund av denna rättspraxis kan följande konstateras: Syftet med den ersättning som begärs eller erhålls enligt artikel 82 i dataskyddsförordningen är inte detsamma som syftet med en talan om förbudsföreläggande som väcks för att förhindra att den personuppgiftsansvarige i framtiden fortsätter med en olaglig personuppgiftsbehandling av liknande slag som tidigare ägt rum. Ett förbudsföreläggande, som syftar till att förhindra att skadegörande handlingar fortsätter, så att ytterligare skada inte uppkommer, avhjälper inte den skada som redan har lidits.

87. En talan om förbudsföreläggande för att förhindra en fortsatt behandling av personuppgifter som strider mot dataskyddsförordningen förutsätter att det finns en viss risk för att en sådan olaglig behandling kommer att fortsätta i framtiden. Om åtgärden vidtas kommer denna risk att undanröjas och det blir svårt att motivera en rädsla som grundar sig på möjligheten att den olagliga behandlingen fortsätter för att med framgång kunna kräva ersättning. Å andra sidan innebär inte förbudsföreläggandet att den immateriella skada som uppkom innan föreläggandet utfärdades och som var förknippad med denna rädsla gottgörs retroaktivt.

88. Sammanfattningsvis ska den omständigheten att den registrerade, utöver rätten till ersättning, även har rätt att pro futuro kräva att en olaglig personuppgiftsbehandling av liknande slag som tidigare ägt rum ska upphöra, inte beaktas i ersättningsbegränsande riktning vid beräkningen av storleken på ersättningen för den immateriella skada som uppkommit till följd av en olaglig personuppgiftsbehandling och som ska ersättas eftersom den redan har ägt rum.

V. Förslag till avgörande

89. Mot bakgrund av det ovan anförda föreslår jag att den första, andra, tredje och sjätte tolkningsfrågan från Bundesgerichtshof (Federala högsta domstolen, Tyskland) besvaras enligt följande: Artiklarna 5.1 a, 6.1, 79.1 och 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), ska tolkas på följande sätt: Enligt artiklarna 5.1 a och 6.1 jämförda med artikel 79.1 i förordning 2016/679 får en registrerad vars personuppgifter olagligen har lämnats ut av den personuppgiftsansvarige väcka talan för att den personuppgiftsansvarige i framtiden inte ska göra ytterligare olagliga överföringar av uppgifter liknande dem som redan har genomförts. Det ankommer på den nationella rättsordningen att, med iakttagande av principerna om likvärdighet och effektivitet, reglera villkoren för att få väcka talan om förbudsföreläggande mot den personuppgiftsansvarige. Det finns inget som hindrar att det för detta ändamål krävs bevis för att det föreligger risk för ytterligare överträdelser eller, i förekommande fall, en (motbevisbar) presumtion för en sådan risk på grundval av förekomsten av en tidigare överträdelse av förordning 2016/679. Enligt artikel 82.1 i förordning 2016/679 ska den omständigheten att den registrerade, utöver rätten till ersättning, även har rätt att kräva att en olaglig personuppgiftsbehandling av liknande slag som tidigare ägt rum ska upphöra inte beaktas i ersättningsbegränsande riktning vid beräkningen av storleken på ersättningen för den immateriella skadan.

1 Originalspråk: spanska.

2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

3 Med avseende på artikel 82.1 i dataskyddsförordningen, se, i senare rättspraxis, dom av den 20 juni 2024, Scalable Capital ( C‑182/22 och C‑189/22, EU:C:2024:531), dom av den 4 oktober 2024, Agentsia po vpisvaniyata ( C‑200/23, EU:C:2024:827) (nedan kallad domen Agentsia po vpisvaniyata), och dom av den 4 oktober 2024, Patērētāju tiesību aizsardzības centrs ( C‑507/23, EU:C:2024:854) (nedan kallad domen Patērētāju tiesību aizsardzības centrs).

4 Dom av den 28 april 2022, Meta Platforms Ireland ( C‑319/20, EU:C:2022:322) (nedan kallad domen Meta Platforms Ireland), och dom av den 4 oktober 2024, Lindenapotheke ( C‑21/23, EU:C:2024:846). I dessa mål yrkades att metoder som ansågs vara otillbörliga skulle upphöra eftersom de inte uppfyllde de rättsliga kraven för att erhålla giltigt samtycke från den registrerade enligt dataskyddsförordningen. I båda fallen begärdes skydd av personuppgifter genom förbudsföreläggande enligt bestämmelser som syftar till att skydda konsumenter eller bekämpa otillbörliga affärsmetoder: överträdelsen av dataskyddsförordningen utgjorde förutsättningen för dessa bestämmelser. De frågor som ställdes till domstolen rörde klagandenas talerätt i respektive mål.

5 Den tyska civillagen (nedan kallad BGB).

6 I punkt 10 i beslutet att begära förhandsavgörande förklaras att bestämmelsen i detta fall skulle tillämpas analogt på intrång i absoluta rättigheter i den mening som avses i 823 § punkt 1 BGB eller på överträdelse av en sådan regel som avses i 823 § punkt 2 BGB.

7 Som stöd för sitt ersättningsyrkande gjorde IP gällande att den immateriella skadan inte utgjordes av en abstrakt förlust av kontrollen över de utlämnade uppgifterna utan av att numera minst ytterligare en person som känner IP, samt både potentiella och tidigare arbetsgivare, hade fått kännedom om förhållanden som var konfidentiella. Det kunde befaras att den personen, som var verksam i samma bransch, hade spridit uppgifterna i meddelandet vidare eller genom sin kännedom om innehållet hade kunnat skaffa sig en fördel i konkurrensen om eventuella lediga tjänster på arbetsmarknaden. Dessutom uppfattade IP ”misslyckandet” i löneförhandlingarna som en ”förödmjukelse” som han inte ville att utomstående skulle få reda på – och framför allt inte potentiella konkurrenter.

8 Se punkt 22 nedan.

9 Se hänvisningarna i punkterna 21 och 29 i beslutet att begära förhandsavgörande.

10 Dom av den 21 december 2023, Krankenversicherung Nordrhein ( C‑667/21, EU:C:2023:1022, punkt 37).

11 Kommissionens skriftliga yttrande, punkt 11 och följande punkter, dock utan uttrycklig hänvisning till artikel 5 i dataskyddsförordningen.

12 Enligt artikel 1.2 syftar dataskyddsförordningen till att ”skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter”. Dataskyddsförordningen kan därför skapa skyldigheter som har direkt samband med dessa fysiska personer, och inte bara är av allmänt intresse.

13 Den tvingande formuleringen finns åtminstone i följande språkversioner: ”los datos personales serán” (den spanska versionen); ”personal data shall be” (den engelska versionen); ”les données à caractère personnel doivent être” (den franska versionen); ”Personenbezogene Daten müssen” (den tyska versionen).

14 Enligt artikel 5.2 i dataskyddsförordningen ska ”den personuppgiftsansvarige … ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet)”. För att kunna visa detta måste den personuppgiftsansvarige förvissa sig om att behandlingen är laglig. Se dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda) ( C‑60/22, EU:C:2023:373, punkterna 53 och 54).

15 Artikel 83.5 a i dataskyddsförordningen.

16 Se dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda) ( C‑60/22, EU:C:2023:373, punkt 59 och följande punkter), där de skyldigheter som följer av artiklarna 26 och 30 i dataskyddsförordningen jämförs med de som följer av artiklarna 5 och 6 i samma förordning.

17 Dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda) ( C‑60/22, EU:C:2023:373, punkt 57): ”all behandling av personuppgifter ska stå i överensstämmelse med de principer som anges i artikel 5.1 i dataskyddsförordningen och uppfylla de villkor som anges i artikel 6 i samma förordning”. Se även dom av den 1 oktober 2015, Bara m.fl. ( C‑201/14, EU:C:2015:638), avseende den rättsakt som föregick dataskyddsförordningen, det vill säga Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Behandlingens laglighet angavs i artikel 6 i direktiv 95/46 bland ”principerna om uppgifternas kvalitet” och grunden för lagligheten i artikel 7 som ”principer som gör att uppgiftsbehandling kan tillåtas”.

18 Dom av den 21 december 2023, Krankenversicherung Nordrhein ( C‑667/21, EU:C:2023:1022, punkt 77, med andra hänvisningar).

19 Se föregående fotnot.

20 Enligt bestämmelserna i direktiv 95/46 var situationen annorlunda när det gällde andra preciseringar av principerna för behandling av personuppgifter, i form av registrerades rättigheter. Vissa av de rättigheter som är kopplade till dessa principer fanns redan i direktiv 95/46, och de förtydligas i dataskyddsförordningen, vilket förklaras i skäl 9. Andra ingick inte i direktivet och deras införlivande i förordningen mötte motstånd, särskilt på grund av behovet av att väga dem mot andra: detta var särskilt fallet med rätten att få personuppgifter raderade i form av ”rätten att bli bortglömd”.

21 Artikel 12.2 i dataskyddsförordningen.

22 Domstolen har dragit andra slutsatser av dessa uttalanden som inte uttryckligen föreskrivs i dataskyddsförordningen: se domen Meta Platforms Ireland, och dom av den 4 oktober 2024, Lindenapotheke ( C‑21/23, EU:C:2024:846), avseende talerätt i tvistemål enligt kapitel VIII i dataskyddsförordningen.

23 I artikel 79.1 i dataskyddsförordning betonas att rätten till ett effektivt domstolsskydd erkänns ”[u]tan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet …”. Se även domen Meta Platforms Ireland, punkt 54, och dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság ( C‑132/21, EU:C:2023:2, punkterna 34, 35 och 42).

24 Som ett ytterligare argument erinrar jag om att medlemsstaterna enligt artikel 80.2 i dataskyddsförordningen får föreskriva att vissa organ får utöva de rättigheter som avses i artikel 79 i förordningen utan uppdrag från den registrerade. Åtgärderna från dessa organ har ofta en preventiv funktion. Om artikel 79.1 inte skulle anses omfatta ett sådant skydd skulle denna bestämmelse (och den tidigare nämnda artikel 80.2 i dataskyddsförordningen) förlora en stor del av sitt innehåll.

25 Dom av den 20 juni 2024, Scalable Capital ( C‑182/22 och C‑189/22, EU:C:2024:531, punkt 23), domen Agentsia po vpisvaniyata, punkt 153, och domen Patērētāju tiesību aizsardzības centrs, punkt 40 och följande punkter. EU-domstolen har godtagit att rätten för var och en att begära ersättning för skada enligt artikel 82 i dataskyddsförordningen ”stärker den ändamålsenliga verkan av de skyddsregler som fastställs i förordningen och är ägnade att avskräcka från att överträdelser upprepas”: dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) ( C‑300/21, EU:C:2023:370, punkt 40), dom av den 11 april 2024, juris ( C‑741/21, EU:C:2024:288, punkt 59), och dom av den 20 juni 2024, Scalable Capital ( C‑182/22 och C‑189/22, EU:C:2024:531, punkt 22). Det utesluter dock att syftet med bestämmelsen skulle vara att avskräcka från olaglig behandling i framtiden.

26 Quirins skriftliga yttrande, punkt 1, in fine.

27 Min kursivering. Det rörde sig om artikel 76.5 i förslaget till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän dataskyddsförordning), COM(2012) 11 final, som återgav artikel 18.1 i Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (”Direktiv om elektronisk handel”) (EGT L 178, 2000, s. 1). Parlamentet föreslog inga ändringar på denna punkt.

28 Quirins skriftliga yttrande, punkt 1, in fine.

29 En alternativ förklaring som Quirin tagit upp, och förkastat, se föregående fotnot.

30 Artikel 75 reglerade den registrerades rätt att föra talan, internationell behörighet, parallella rättsliga och administrativa förfaranden inom ramen för mekanismen för enhetlighet och verkställighet av domstolsavgöranden i andra medlemsstater. Artikel 76 rörde rätten att väcka talan för organisationer eller sammanslutningar som har till uppgift att skydda de registrerades rättigheter och intressen när det gäller skyddet av deras personuppgifter, samt talerätten för tillsynsmyndigheter; kommunikation mellan domstolar i olika medlemsstater; parallella förfaranden i två eller flera medlemsstater; samt syftet med skyddsåtgärderna.

31 Detta ord förekom dock inte i förslaget, som endast hänvisade till snabba åtgärder.

32 Detta förtydligande finns i själva frågan från den hänskjutande domstolen.

33 Detta förtydligande finns i punkt 21 i beslutet att begära förhandsavgörande.

34 Ibland är det inte möjligt att utöva rätten till radering eller begränsning av behandling, i alla fall inte i full utsträckning: se artiklarna 17.3 (behandling som är nödvändig för vissa ändamål) och 23 i dataskyddsförordningen. På samma sätt hänvisas i artikel 18.2 i dataskyddsförordningen till behandling av uppgifter i andra personers intresse än den registrerades eller allmänhetens intresse. Naturligtvis går det inte att få till stånd ett förbud mot de behandlingar som är tillåtna enligt dessa regler eller ett beslut om att de ska upphöra.

35 Att den personuppgiftsansvarige lagrar personuppgifter som ska raderas är ett undantag: se artikel 17.3 och skäl 65 i dataskyddsförordningen. Skyldigheten att radera vissa uppgifter innebär i regel också att de förstörs.

36 I en ”blandad” situation, där både laglig och olaglig behandling sker av samma uppgifter, kan det ligga i inte bara den personuppgiftsansvariges utan även den registrerades intresse att fortsätta med den lagliga behandlingen. I det aktuella fallet är det till exempel rimligt att anta att (den lagliga) behandlingen av IP:s personuppgifter ligger i hans intresse, eftersom han annars inte skulle kunna delta i Quirins rekryteringsförfarande.

37 Bland annat att personuppgifterna har behandlats på ett olagligt sätt: artikel 17.1 d i dataskyddsförordningen.

38 Till exempel artikel 18 (rätt till begränsning av behandling) eller artikel 21 (rätt att göra invändningar).

39 Se fotnot 35 ovan. Enligt artikel 17.1 i kommissionens förslag skulle den registrerade ha rätt att ”av den [personuppgiftsansvarige] utverka att personuppgifter som rör vederbörande raderas och att man avstår från ytterligare spridning av sådana uppgifter …”. Detta stycke ansågs ”meningslöst” av vissa medlemsstaters delegationer, vilket rådets ordförandeskap höll med om, eftersom det inte längre är möjligt att sprida uppgifterna när de har raderats: se meddelande från rådets ordförandeskap till arbetsgruppen för skydd av personuppgifter, dokument 16529/12 av den 4 december 2012, fotnot 245. Punkt 8 i artikel 17 ansågs också överflödig. Där anges att ”om raderingen genomförs ska den [personuppgiftsansvarige] inte på annat sätt behandla sådana personuppgifter”: ibidem, fotnot 270.

40 Tillfälligt: se följande punkter i detta förslag till avgörande.

41 Artikel 18.2 i dataskyddsförordningen. När behandlingen har begränsats i enlighet med artikel 18.1 i dataskyddsförordningen och fram till dess att begränsningen upphävs, får annan behandling av de berörda personuppgifterna än lagring bara ske i undantagsfall och under förutsättning att någon av de grunder som anges i artikel 18.2 i dataskyddsförordningen föreligger.

42 Ett ord med en innebörd motsvarande ”lagring” används i vissa språkversioner av dataskyddsförordningen, till exempel den engelska (”storage”) och den tyska (”Speicherung”). I artikel 12 b i direktiv 95/46 användes ordet ”blockering”, liksom i artikel 15.1 c i Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 2001, s. 1). Alla dessa begrepp för tankarna till ”frysning av” personuppgifter.

43 Detta är särskilt tydligt under de omständigheter som avses i led b och c.

44 Lagring innebär inte bara att uppgifterna sparas, utan även tekniska åtgärder såsom markering (som enligt artikel 4.3 i dataskyddsförordningen utgör definitionen av ”begränsning av behandling”) eller de åtgärder som beskrivs i skäl 67 i dataskyddsförordningen, som gör det möjligt att identifiera, isolera och skydda de berörda uppgifterna mot behandling.

45 ”… under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta”.

46 Så länge den registrerade behöver uppgifterna ”för fastställande, utövande eller försvar av rättsliga anspråk”.

47 ”… i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl”.

48 De tvivel som uttrycktes i detta avseende ledde till att denna punkt i kommissionens förslag, som parlamentet inte ifrågasatte, först sattes inom parentes under förhandlingarna i rådet (se meddelande från rådets ordförandeskap till arbetsgruppen för skydd av personuppgifter, dokument 16529/12 av den 4 december 2012, fotnot 275) och sedan helt enkelt togs bort. Att den senare återkom till delegationerna för övervägande förklaras (enligt min mening på ett diskutabelt vis) av att den möjlighet som den ger ökar skyddet för den registrerade ”without entailing additional administrative burden on controllers”: Meddelande från rådets ordförandeskap till delegationerna inför trepartsmötet, dokument 11696/15, av den 4 september 2015, s. 9, där delegationerna dessutom uppmanas ”to show flexibility on this point”.

49 En bestämmelse liknande artikel 18.1 b i dataskyddsförordningen fanns i direktiv 95/46 och i artikel 15.1 c i förordning nr 45/2001. Med samma lydelse återfinns den i artikel 20.1 b i Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39). Dessa bestämmelser har inte tolkats av EU-domstolen och ger enligt min mening upphov till samma tvivel som dataskyddsförordningen och är därför inte till någon hjälp för att förstå den.

50 Skäl 39 och artikel 5.1 e i dataskyddsförordningen. Se även dom av den 20 oktober 2022, Digi ( C‑77/21, EU:C:2022:805, punkt 53): ”principen om lagringsminimering kräver att den personuppgiftsansvarige, i enlighet med den ansvarsprincip det erinrats om …, kan visa att personuppgifterna endast lagras under den tid som krävs för att uppnå de ändamål för vilka uppgifterna samlades in eller senare behandlas”.

51 Den skulle enligt min mening tjäna till att bevisa olaglig behandling: i artikel 18.1 skulle punkterna b och c ha liknande mål, men olika utgångspunkter (olaglig behandling enligt punkt b, laglig behandling enligt punkt c).

52 Dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság ( C‑132/21, EU:C:2023:2, punkt 45 och följande punkter).

53 Punkt 43 i beslutet att begära förhandsavgörande. Det rör sig om dom av den 22 februari 2022 (VI ZR 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0).

54 Dom meddelad av Bundesgerichtshof (Federala högsta domstolen, Tyskland) den 22 februari 2022 (VI ZR 1175/20, ECLI:DE:BGH:2022:220222UVIZR1175.20.0, punkterna 44 och 51).

55 Dom av den 20 juni 2024, PS (Felaktig adress) ( C‑590/22, EU:C:2024:536, punkt 31).

56 Dom av den 20 juni 2024, PS (Felaktig adress) ( C‑590/22, EU:C:2024:536, punkt 32) och domen Agentsia po vpisvaniyata, punkt 144.

57 Dom av den 14 december 2023, Natsionalna agentsia za prihodite ( C‑340/21, EU:C:2023:986, punkterna 79 och 80).

58 Domen Patērētāju tiesību aizsardzības centrs, punkterna 36 och 37.

59 Domen Agentsia po vpisvaniyata, punkt 150.

60 Se fotnot 25 ovan. Den ekonomiska ersättningen ska motsvara den skada som den registrerade faktiskt har lidit, utan att överstiga eller understiga denna: dom av den 20 juni 2024, PS (Felaktig adress) ( C‑590/22, EU:C:2024:536, punkt 41), och domen Patērētāju tiesību aizsardzības centrs, punkterna 43 och 44. Hänsyn ska inte tas till allvaret i den personuppgiftsansvariges överträdelse av förordningen och till huruvida överträdelsen eventuellt har skett uppsåtligen (domen Patērētāju tiesību aizsardzības centrs, punkt 42), eller till den personuppgiftsansvariges hållning och motiv (ibidem, punkt 44), eller till den omständigheten att den personuppgiftsansvarige har gjort sig skyldig till flera överträdelser med avseende på en och samma registrerade (dom av den 11 april 2024, juris, C‑741/21, EU:C:2024:288, punkt 64).