Domstolens dom (tredje avdelningen) den 28 november 2024
I mål C‑169/23 [Másdi], angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Kúria (Högsta domstolen, Ungern) genom beslut av den 8 februari 2023, som inkom till domstolen den 17 mars 2023, i målet
DOMSTOLEN (tredje avdelningen) sammansatt av ordföranden på andra avdelningen K. Jürimäe, tillika tillförordnad ordförande på tredje avdelningen, domstolens ordförande K. Lenaerts, tillika tillförordnad domare på tredje avdelningen, samt domarna N. Jääskinen, M. Gavalec (referent) och N. Piçarra, generaladvokat: L. Medina, justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av: Nemzeti Adatvédelmi és Információszabadság Hatóság, genom G.J. Dudás, ügyvéd, UC, genom D. Karsai och V. Łuszcz, ügyvédek, Ungerns regering, genom Zs. Biró-Tóth och M.Z. Fehér, båda i egenskap av ombud, Tjeckiens regering, genom L. Březinová, M. Smolek och J. Vláčil, samtliga i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, C. Kovács och H. Kranenborg, samtliga i egenskap av ombud,
och efter att den 6 juni 2024 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1. Begäran om förhandsavgörande avser tolkningen av artiklarna 14.1, 14.5 c, 32 och 77.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).
2. Begäran har framställts i ett mål mellan Nemzeti Adatvédelmi és Információszabadság Hatóság (nationell myndighet för skydd av uppgifter och för informationsfrihet, Ungern) (nedan kallad den nationella tillsynsmyndigheten) och UC. Målet rör huruvida det föreligger en informationsskyldighet avseende den behandling av personuppgifter som utförts av Budapest Főváros Kormányhivatala (regeringsorgan i Budapests stad, Ungern) (nedan kallad den utfärdande myndigheten), vilken har till uppgift att utfärda immunitetsintyg till personer som vaccinerats mot eller har smittats av covid-19.
Tillämpliga bestämmelser
Unionsrätt
Dataskyddsförordningen
3. Skälen 1, 10 och 61–63 i dataskyddsförordningen har följande lydelse:
(”(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna … och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
…
(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. Vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i denna förordning ska tillämpas. …
…
(61) Information om behandling av personuppgifter som rör den registrerade bör lämnas till honom eller henne vid den tidpunkt då personuppgifterna samlas in från den registrerade eller, om personuppgifterna erhålls direkt från en annan källa, inom en rimlig period, beroende på omständigheterna i fallet. Om personuppgifter legitimt kan lämnas ut till en annan mottagare, bör de registrerade informeras första gången personuppgifterna lämnas ut till denna mottagare. Om den personuppgiftsansvarige avser att behandla personuppgifter för ett annat ändamål än det för vilket uppgifterna insamlades, bör denne före ytterligare behandling informera den registrerade om detta andra syfte och lämna annan nödvändig information. Om personuppgifternas ursprung inte kan meddelas den registrerade på grund av att olika källor har använts, bör allmän information ges.
(62) Det är dock inte nödvändigt att införa någon skyldighet att tillhandahålla information, om den registrerade redan innehar denna information, om registreringen eller utlämnandet av personuppgifterna uttryckligen föreskrivs i lag eller om det visar sig vara omöjligt eller skulle medföra orimliga ansträngningar att tillhandahålla den registrerade informationen. …
(63) Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. …”
4. I artikel 1 i dataskyddsförordningen, med rubriken ”Syfte”, föreskrivs följande i punkt 2:
”Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.”
5. I artikel 4 i förordningen, med rubriken ”Definitioner”, föreskrivs följande:
”I denna förordning avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), …
2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; …
…”
6. I artikel 6 i dataskyddsförordningen, som har rubriken ”Laglig behandling av personuppgifter ”, anges följande i punkt 1:
”Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
…
c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
…
e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
…”
7. I artikel 9 i förordningen, med rubriken ”Behandling av särskilda kategorier av personuppgifter”, föreskrivs följande i punkterna 1 och 2:
”1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.
2. Punkt 1 ska inte tillämpas om något av följande gäller:
…
i) Behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter, på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt.
…”
8. Kapitel III i dataskyddsförordningen, med rubriken ”Den registrerades rättigheter”, innehåller flera avsnitt, däribland avsnitt 2, med rubriken ”Information och tillgång till personuppgifter”.
9. I detta avsnitt 2 återfinns dataskyddsförordningens artikel 13, som rör ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”, artikel 14, som rör ”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”, och artikel 15, som rör ”Den registrerades rätt till tillgång”.
10. I artikel 14 i dataskyddsförordningen föreskrivs följande:
”1. Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:
a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.
b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.
c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.
d) De kategorier av personuppgifter som behandlingen gäller.
e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.
f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till en mottagare i ett tredjeland eller en internationell organisation …
2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och öppen behandling när det gäller den registrerade:
a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
b) Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.
c) Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet.
d) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.
e) Rätten att inge klagomål till en tillsynsmyndighet.
f) Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor.
g) förekomsten av automatiserat beslutsfattande, …
…
4. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.
5. Punkterna 1–4 ska inte tillämpas i följande fall och i den mån
a) den registrerade redan förfogar över informationen,
b) tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, eller i den mån den skyldighet som avses i punkt 1 i den här artikeln sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen; i sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten,
c) erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den [personuppgiftsansvarige] omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, eller
d) personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser.”
11. Artikel 32 i dataskyddsförordningen, med rubriken ”Säkerhet i samband med behandlingen”, har följande lydelse:
”1. Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt
a) pseudonymisering och kryptering av personuppgifter,
b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och ‑tjänsterna,
c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident,
d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.
2. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
3. Anslutning till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 får användas för att visa att kraven i punkt 1 i den här artikeln följs.
4. Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det.”
12. I artikel 55 i dataskyddsförordningen, med rubriken ”Behörighet”, föreskrivs följande i punkt 1:
”Varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium.”
13. I artikel 57 i dataskyddsförordningen, med rubriken ”Uppgifter”, föreskrivs följande i punkt 1:
”Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:
a) Övervaka och verkställa tillämpningen av denna förordning.
…
c) I enlighet med medlemsstatens nationella rätt ge rådgivning åt det nationella parlamentet, regeringen och andra institutioner och organ om lagstiftningsåtgärder och administrativa åtgärder rörande skyddet av fysiska personers rättigheter och friheter när det gäller behandling.
…”
14. I artikel 58 i förordningen, med rubriken ”Befogenheter”, föreskrivs följande i punkt 3:
”Varje tillsynsmyndighet ska ha samtliga följande befogenheter att utfärda tillstånd och att ge råd:
…
b) På eget initiativ eller på begäran avge yttranden till det nationella parlamentet, medlemsstatens regering eller, i enlighet med medlemsstatens nationella rätt, till andra institutioner och organ samt till allmänheten, i frågor som rör skydd av personuppgifter.
…”
15. I artikel 77 i dataskyddsförordningen, med rubriken ”Rätt att lämna in klagomål till en tillsynsmyndighet”, föreskrivs följande i punkt 1:
”Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.”
16. Artikel 78 i dataskyddsförordningen, med rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighets beslut”, har följande lydelse:
”1. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.
2. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur arbetet med det klagomål som ingetts med stöd av artikel 77 fortskrider eller om dess resultat.
3. Talan mot en tillsynsmyndighet ska väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte.
4. Om talan väcks mot ett beslut som fattats av en tillsynsmyndighet och som föregicks av ett yttrande från eller beslut av styrelsen inom ramen för mekanismen för enhetlighet ska tillsynsmyndigheten vidarebefordra detta yttrande eller beslut till domstolen.”
Förordning (EU) 2021/953
17. Artikel 10.1 i Europaparlamentets och rådets förordning (EU) 2021/953 av den 14 juni 2021 om en ram för utfärdande, kontroll och godtagande av interoperabla intyg om vaccination mot, testning för och tillfrisknande från covid-19 (EU:s digitala covidintyg) för att underlätta fri rörlighet under covid-19-pandemin (EUT L 211, 2021, s. 1), hade följande lydelse:
”[Dataskyddsförordningen] ska vara tillämplig på behandling av personuppgifter vid genomförandet av den här förordningen.”
Ungersk rätt
18. I 2 § punkt 1 i a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (regeringsdekret nr 60/2021 (II.12.) om intyg om immunitet mot coronaviruset) av den 12 februari 2021, i den lydelse som är tillämplig i det nationella målet (nedan kallat dekret nr 60/2021), föreskrivs följande:
”Immunitetsintyget ska innehålla
a) den registrerades namn,
b) den registrerades passnummer, om denne har ett pass,
c) nummer och identitetsbeteckning på den registrerades permanenta identitetskort, om denne har ett sådant,
d) immunitetsintygets serienummer,
e) om ett vaccinationsbevis ges in, vaccinationsdatum,
f) om ett bevis om tillfrisknande efter genomgången infektion ges in, bevisets giltighetsdatum,
g) en datalagringskod, som genererats med hjälp av de uppgifter som anges i led a–f och som är optiskt läsbar med datorutrustning,
h) följande uppgifter ska anges i form av obligatorisk information:
ha) ’För att intyget ska vara giltigt ska det uppvisas tillsammans med ett identitetskort eller pass.’
hb) ’Intyget får inte överlåtas.’
hc) ’Uppgifter om de rättigheter som intyget medför finns på webbplatsen koronavirus.gov.hu.’”
19. Enligt 2 § punkterna 6 och 7 i dekret nr 60/2021 ska intyg om immunitet utfärdas av den utfärdande myndigheten till berättigade fysiska personer, antingen ex officio eller efter ansökan.
20. I 3 § punkt 3 i dekret nr 60/2021 föreskrivs följande:
”I de fall som avses i 2 § punkt 6 led c och d ska den utfärdande myndigheten genom automatisk informationsöverföring – i förekommande fall med hjälp av relevanta avdelningar vid registret för elektronisk organisering av identitetsuppgifter – samla in
a) den registrerades socialförsäkringsnummer, de uppgifter som anges i 2 § punkt 1 leden e och g samt de uppgifter som anges i punkt 1 från operatören av plattformen EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (elektronisk plattform på området för hälso- och sjukvård)]:
b) den registrerades namn, identitetsbeteckningarna i passet och på det permanenta identitetskortet samt vederbörandes bostadsadress från det organ som hanterar personuppgifts- och bostadsadressregistret.”
Målet vid den nationella domstolen och tolkningsfrågorna
21. UC, som är en fysisk person, erhöll från den utfärdande myndigheten ett immunitetsintyg som bekräftade att han blivit vaccinerad mot covid-19, med tillämpning av dekret nr 60/2021.
22. Den 30 april 2021 inledde UC ett administrativt förfarande avseende behandlingen av hans personuppgifter genom att inge ett klagomål till den nationella tillsynsmyndigheten med stöd av artikel 77.1 i dataskyddsförordningen. UC begärde att den utfärdande myndigheten skulle föreläggas att anpassa sin behandling så den överensstämde med bestämmelserna i dataskyddsförordningen. I klagomålet påpekade UC bland annat att den utfärdande myndigheten inte hade utarbetat eller offentliggjort något meddelande angående skyddet av personuppgifter i samband med utfärdandet av immunitetsintyg och gjorde gällande att det saknades tillräcklig information dels om ändamålet med och den rättsliga grunden för behandlingen av dessa uppgifter dels om de registrerades rättigheter och hur dessa rättigheter kunde utövas.
23. Inom ramen för det förfarande som inleddes till följd av klagomålet förklarade den utfärdande myndigheten att den utförde sitt uppdrag avseende utfärdandet av immunitetsintyg med stöd av 2 § i dekret nr 60/2021 och att den rättsliga grunden för behandlingen av personuppgifterna var artikel 6.1 e i dataskyddsförordningen och, såvitt avsåg behandlingen av särskilda kategorier av personuppgifter, artikel 9.2 i) i nämnda förordning.
24. Den utfärdande myndigheten angav dessutom att den erhöll de personuppgifter som den behandlade från ett annat organ i enlighet med bestämmelserna i dekret nr 60/2021. Den utfärdande myndigheten påstod, mot denna bakgrund, att den, enligt artikel 14.5 c i dataskyddsförordningen, inte var skyldig att tillhandahålla information om behandlingen av dessa uppgifter. Trots detta hade den utarbetat och på sin webbplats offentliggjort det begärda meddelandet om skydd av personuppgifter.
25. Genom beslut av den 15 november 2021 avslog den nationella tillsynsmyndigheten UC:s klagomål och slog fast att den utfärdande myndigheten inte hade någon informationsskyldighet, med motiveringen att den berörda behandlingen av personuppgifter omfattades av undantaget i artikel 14.5 c i dataskyddsförordningen.
26. Den nationella tillsynsmyndigheten ansåg särskilt att dekret nr 60/2021 utgjorde den rättsliga grunden för behandlingen och att den utfärdande myndigheten enligt dekretet uttryckligen var skyldig att samla in de aktuella uppgifterna. Enligt den nationella tillsynsmyndigheten följde den utfärdande myndighetens offentliggörande, på dess webbplats, av information angående behandlingen av personuppgifter av god praxis och utgjorde inte en lagstadgad skyldighet.
27. Den nationella tillsynsmyndigheten prövade dessutom ex officio huruvida det fanns lämpliga åtgärder för att skydda den registrerades berättigade intressen, i den mening som avses i artikel 14.5 c andra delen av meningen i dataskyddsförordningen, och fann att 2, 3 och 5‑‑7 §§ i dekret nr 60/2021 skulle anses utgöra sådana åtgärder.
28. UC överklagade detta beslut till Fővárosi Törvényszék (Överdomstolen för Budapests stad, Ungern), som upphävde beslutet och återförvisade ärendet till den nationella tillsynsmyndigheten för förnyad prövning.
29. I sin dom fann nämnda domstol att undantaget i artikel 14.5 c i dataskyddsförordningen inte var tillämpligt, eftersom vissa uppgifter i samband med immunitetsintygen inte samlades in från något annat organ utan i stället genererades av den personuppgiftsansvarige själv, i samband med att denne fullgjorde sitt uppdrag. Så var, enligt nämnda domstol, fallet med immunitetsintygets serienummer, det datum då ett intyg som utfärdats till en person som hade ådragit sig sjukdomen upphörde att gälla, QR-koden på intyget, den streckkod och andra alfanumeriska koder som angavs i den skrivelse som åtföljde intyget samt de personuppgifter som genererades i samband med den personuppgiftsansvariges handläggning av ärendet. Enligt samma domstol var det endast personuppgifter som erhållits från ett annat organ som kunde omfattas av undantaget i artikel 14.5 c i dataskyddsförordningen.
30. Den nationella tillsynsmyndigheten överklagade denna dom till Kúria (Högsta domstolen, Ungern), som är den hänskjutande domstolen.
31. Det är i detta sammanhang som den hänskjutande domstolen först vill få klarhet i huruvida undantaget i artikel 14.5 c i dataskyddsförordningen kan tillämpas på all behandling av personuppgifter, med undantag för behandling av personuppgifter som erhållits från den registrerade.
32. Om så är fallet vill den hänskjutande domstolen få klarhet i huruvida den nationella tillsynsmyndigheten, inom ramen för ett klagomålsförfarande enligt artikel 77.1 i dataskyddsförordningen, är behörig att – i syfte att avgöra huruvida detta undantag är tillämpligt – kontrollera huruvida det i den nationella lagstiftning som den personuppgiftsansvarige omfattas av föreskrivs lämpliga åtgärder för att skydda den registrerades berättigade intressen.
33. Om så är fallet vill den hänskjutande domstolen slutligen få klarhet i huruvida denna kontroll även avser lämpligheten av de åtgärder som den personuppgiftsansvarige är skyldig att vidta enligt artikel 32 i dataskyddsförordningen för att säkerställa säkerheten i samband med behandlingen av personuppgifter.
34. Mot denna bakgrund beslutade Kúria (Högsta domstolen) att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:
”1) Ska artikel 14.5 c, jämförd med artikel 14.1 och skäl 62, i [dataskyddsförordningen] tolkas så, att det undantag som föreskrivs i artikel 14.5 c inte avser uppgifter som har tagits fram i den personuppgiftsansvariges eget förfarande, utan bara uppgifter som den personuppgiftsansvarige särskilt har samlat in från en annan person?
2) Om artikel 14.5 c i dataskyddsförordningen även ska tillämpas på uppgifter som har tagits fram i den personuppgiftsansvariges eget förfarande, ska då rätten att inge klagomål till en nationell tillsynsmyndighet, i enlighet med artikel 77.1 i dataskyddsförordningen, tolkas så, att en fysisk person som gör gällande att skyldigheten att tillhandahålla information har åsidosatts, när denne utövar sin rätt att inge klagomål, även får begära att det ska prövas huruvida medlemsstatens lagstiftning fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, i enlighet med artikel 14.5 c i den allmänna dataskyddsförordningen?
3) Om den andra frågan besvaras jakande, kan då artikel 14.5 c i dataskyddsförordningen tolkas så, att uttrycket ’lämpliga åtgärder’ i den bestämmelsen innebär att den nationella lagstiftaren (genom att föreskriva det i lag eller annan författning) ska införliva de åtgärder rörande datasäkerhet som föreskrivs i artikel 32 i dataskyddsförordningen?”
35. Den 16 januari 2024 anmodade domstolen, i enlighet med artikel 61 i domstolens rättegångsregler, de parter och berörda som avses i artikel 23 i stadgan för Europeiska unionens domstol att skriftligen besvara vissa frågor. Klaganden och motparten i det nationella målet, den ungerska och den tjeckiska regeringen samt Europeiska kommissionen har besvarat dessa frågor.
Prövning av tolkningsfrågorna
Den första frågan
36. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 14.5 c i dataskyddsförordningen ska tolkas så, att det undantag från den personuppgiftsansvariges skyldighet att informera den registrerade som föreskrivs i denna bestämmelse endast avser personuppgifter som den personuppgiftsansvarige har samlat in från en annan person än den registrerade eller om undantaget även avser personuppgifter som den personuppgiftsansvarige själv har genererat i samband med att den utfört sitt uppdrag.
37. I artikel 14.1, 14.2 och 14.4 i dataskyddsförordningen fastställs den information som den personuppgiftsansvarige är skyldig att lämna till den registrerade, i den mening som avses i artikel 4 led 1 i samma förordning, när personuppgifterna inte har samlats in från den registrerade.
38. I artikel 14.5 i samma förordning anges undantagen från denna skyldighet. Ett av dessa undantag anges i artikel 14.5 c, där det föreskrivs att nämnda skyldighet inte gäller i det fall och i den mån erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen.
39. För att avgöra huruvida detta undantag omfattar personuppgifter som den personuppgiftsansvarige själv har genererat i samband med utövandet av sitt uppdrag, från uppgifter som erhållits från en annan person än den registrerade, ska enligt fast rättspraxis inte bara lydelsen av den bestämmelse som innehåller undantaget beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i (se, för ett liknande resonemang, dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 32 och där angiven rättspraxis).
40. För det första ska det, mot bakgrund av lydelsen i artikel 14.5 c i dataskyddsförordningen, fastställas vad som är föremålet för det ”erhållande eller utlämnande” som avses i denna bestämmelse.
41. Det föreligger nämligen en skillnad mellan de olika språkversionerna av nämnda bestämmelse. Den franska språkversionen av nämnda bestämmelse hänvisar till erhållande eller utlämnande av ”information”. Den ungerska (”adat”), den estniska (”isikuandmed”), den kroatiska (”podataka”), den litauiska (”duomenų”), den nederländska (”gegevens”), den portugisiska (”dados”), den rumänska (”datelor”) och den svenska (”uppgifter”) språkversionen hänvisar till erhållande eller utlämnande av ”uppgifter”. Den finska språkversionen innehåller ett ord (”tietojen”) som kan avse både ”uppgifter” och ”information”. Slutligen nämns inte föremålet för erhållandet eller utlämnandet i den bulgariska, den spanska, den tjeckiska, den danska, den tyska, den grekiska, den engelska, den italienska, den lettiska, den maltesiska, den polska, den slovakiska och den slovenska språkversionen.
42. I enlighet med likaledes fast rättspraxis kan den formulering som använts i en av språkversionerna av en unionsbestämmelse inte ensam ligga till grund för tolkningen av denna bestämmelse eller ges företräde framför övriga språkversioner. Unionsbestämmelserna ska nämligen tolkas och tillämpas på ett enhetligt sätt mot bakgrund av de olika versionerna på samtliga unionsspråk. I händelse av bristande överensstämmelse mellan språkversionerna av en unionsrättslig text, ska den aktuella bestämmelsen tolkas med hänsyn till systematiken i och ändamålet med de föreskrifter i vilka den ingår (dom av den 21 mars 2024, Cobult, C‑76/23, EU:C:2024:253, punkt 25 och där angiven rättspraxis).
43. Vad gäller den allmänna systematiken i dataskyddsförordningen ska artikel 14.5 i förordningen tolkas mot bakgrund av skälen 61 och 62 i förordningen, i vilka det hänvisas dels till ”personuppgifterna [som] erhålls [och] personuppgifterna [som] lämnas ut” och till ”registreringen eller utlämnandet av personuppgifterna [som] uttryckligen föreskrivs i lag”, dels till ”information [som] lämnas” eller ”bör … lämna[s]”. Tolkningen att ”erhållande eller utlämnande”, i den mening som avses i artikel 14.5 c i dataskyddsförordningen, avser personuppgifter stöds dessutom av den omfattande räckvidd som begreppet behandling ges i artikel 4 led 2 i dataskyddsförordningen, vilket omfattar alla åtgärder som vidtas med avseende på personuppgifter (se, för ett liknande resonemang, dom av den 5 oktober 2023, Ministerstvo zdravotnictví (Mobilapplikation Covid-19), C‑659/22, EU:C:2023:745, punkt 27 och där angiven rättspraxis).
44. Vad gäller ändamålet med de föreskrifter som artikel 14.5 c i dataskyddsförordningen ingår i, räcker det att, i likhet med vad generaladvokaten angav i punkt 31 i sitt förslag till avgörande, påpeka att ratio legis för detta undantag är att den skyldighet att informera den registrerade som föreskrivs i artikel 14.1, 14.2 och 14.4 i förordningen inte är motiverad när det i en annan bestämmelse i unionsrätten eller i en medlemsstats nationella rätt, på ett tillräckligt fullständigt och bindande sätt, föreskrivs att den personuppgiftsansvarige ska tillhandahålla den registrerade information om erhållande eller utlämnande av personuppgifter. I det fall som omfattas av artikel 14.5 c måste de berörda personerna nämligen ha tillräcklig kännedom om hur uppgifterna erhålls eller lämnas ut och om vad som är ändamålet med detta.
45. Mot bakgrund av lydelsen i artikel 14.5 c i dataskyddsförordningen i dess samtliga språkversioner ska denna bestämmelse följaktligen förstås så, att den avser erhållande eller utlämnande av personuppgifter.
46. Vidare kan det konstateras att lydelsen i artikel 14.5 c i dataskyddsförordningen inte begränsar det undantag som föreskrivs i denna bestämmelse till att endast avse personuppgifter som den personuppgiftsansvarige har erhållit från en annan person än den registrerade, och den utesluter inte heller uppgifter som, utifrån sådana uppgifter, har genererats av den personuppgiftsansvarige själv, i samband med att denne har utövat sitt uppdrag.
47. Av detta följer att de personuppgifter som har ”erhållits”, i den mening som avses i nämnda bestämmelse, av den personuppgiftsansvarige är alla uppgifter som samlats in från en annan person än den registrerade och alla uppgifter som den personuppgiftsansvarige själv har genererat, i samband med att denne utövat sitt uppdrag, utifrån uppgifter som erhållits från en annan person än den registrerade.
48. För det andra ska det påpekas att det materiella tillämpningsområdet för artikel 14 i dataskyddsförordningen definieras negativt i förhållande till artikel 13 i förordningen. Såsom framgår av rubrikerna till dessa bestämmelser reglerar artikel 13 vilken information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, medan artikel 14 reglerar vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Mot bakgrund av denna tudelning omfattas alla fall där uppgifter inte samlas in från den registrerade av det materiella tillämpningsområdet för artikel 14.
49. Det följer således av en kombinerad tolkning av artiklarna 13 och 14 i dataskyddsförordningen att såväl personuppgifter som den personuppgiftsansvarige har erhållit från en annan person än den registrerade som de uppgifter som har genererats av den personuppgiftsansvarige själv, vilka till sin natur inte heller har erhållits från den registrerade, omfattas av tillämpningsområdet för nämnda artikel 14. Av detta följer att undantaget i artikel 14.5 c omfattar båda dessa kategorier av uppgifter.
50. För det tredje ska artikel 14.5 c i dataskyddsförordningen tolkas i överensstämmelse med det ändamål som eftersträvas med förordningen. Detta ändamål består, såsom framgår av artikel 1, jämförd med skälen 1 och 10 i förordningen, i att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet rätten till skydd för privat- och familjelivet med avseende på behandling av personuppgifter, vilken är stadfäst i artikel 8.1 i stadgan om de grundläggande rättigheterna och i artikel 16.1 FEUF (se, för ett liknande resonemang, dom av den 7 mars 2024, IAB Europe, C‑604/22, EU:C:2024:214, punkt 53 och där angiven rättspraxis).
51. Det framgår av skäl 63 i dataskyddsförordningen att unionslagstiftaren har velat att en registrerad, i den mening som avses i denna förordning, ska ha rätt att få tillgång till de personuppgifter som har samlats in om honom eller henne för att vara medveten om att behandling sker och kunna kontrollera att den är laglig.
52. Den personuppgiftsansvarige kan således befrias från den skyldighet som normalt åligger denne att tillhandahålla en registrerad information, förutsatt att den registrerade kan utöva kontroll över sina personuppgifter och utöva sina rättigheter enligt dataskyddsförordningen.
53. I enlighet med det ändamål som eftersträvas med denna förordning kräver det undantag från skyldigheten att informera den registrerade som föreskrivs i artikel 14.5 c i dataskyddsförordningen att den personuppgiftsansvariges erhållande eller utlämnande av personuppgifterna uttryckligen föreskrivs genom unionsrätten eller genom den medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Dessutom måste det i denna rätt föreskrivas lämpliga åtgärder för att skydda den registrerades berättigade intressen.
54. Av detta följer att tillämpningen av artikel 14.5 c i dataskyddsförordningen, för att vara helt förenlig med det ändamål som eftersträvas med denna förordning, förutsätter att de villkor som föreskrivs i denna bestämmelse noggrant iakttas, det vill säga bland annat att det ska finnas en skyddsnivå för den registrerade som är åtminstone likvärdig med den som garanteras i artikel 14.1–14.4 i förordningen.
55. Mot bakgrund av dessa skäl ska den första frågan besvaras enligt följande. Artikel 14.5 c i dataskyddsförordningen ska tolkas så, att det undantag från den personuppgiftsansvariges skyldighet att informera den registrerade som föreskrivs i denna bestämmelse utan åtskillnad avser alla personuppgifter som den personuppgiftsansvarige inte har samlat in direkt från den registrerade, oavsett om dessa uppgifter har erhållits av den personuppgiftsansvarige från en annan person än den registrerade eller om de har genererats av den personuppgiftsansvarige själv i samband med att denne utövat sitt uppdrag.
Den andra och den tredje frågan
56. Den hänskjutande domstolen har ställt den andra och den tredje frågan, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 14.5 c och artikel 77.1 i dataskyddsförordningen ska tolkas så, att tillsynsmyndigheten, inom ramen för ett klagomålsförfarande, är behörig att kontrollera huruvida det i den medlemsstats lagstiftning som den personuppgiftsansvarige omfattas av föreskrivs lämpliga åtgärder för att skydda den registrerades berättigade intressen, vid tillämpningen av det undantag som föreskrivs i artikel 14.5 c och, om så är fallet, huruvida denna kontroll även avser lämpligheten av de åtgärder som den personuppgiftsansvarige är skyldig att vidta enligt artikel 32 i förordningen för att säkerställa säkerheten i samband med behandlingen av personuppgifter.
57. För det första ska det påpekas att varje registrerad, enligt artikel 77.1 i dataskyddsförordningen, utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, har rätt att lämna in ett klagomål till en tillsynsmyndighet om vederbörande anser att behandlingen av personuppgifter som avser henne eller honom strider mot förordningen.
58. Vad gäller tillsynsmyndigheternas behörighet föreskrivs det i artikel 55.1 i dataskyddsförordningen att varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium.
59. Vad gäller dessa uppgifter anges det i artikel 57.1 a i dataskyddsförordningen att varje tillsynsmyndighet ska ansvara för att på sitt territorium övervaka och verkställa tillämpningen av förordningen.
60. Dataskyddsförordningen innehåller inte någon bestämmelse som undantar vissa aspekter av tillämpningen av undantaget i artikel 14.5 c i förordningen från dessa tillsynsmyndigheters behörighet.
61. Enligt nämnda bestämmelse befrias den personuppgiftsansvarige från att tillhandahålla den registrerade den information som avses i artikel 14.1, 14.2 och 14.4 i dataskyddsförordningen när, och i den mån, erhållande eller utlämnande av personuppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och det i denna rätt fastställs lämpliga åtgärder för att skydda den registrerades berättigade intressen.
62. Ett klagomål enligt artikel 77.1 i dataskyddsförordningen kan således grundas på att den personuppgiftsansvarige har åsidosatt sin informationsskyldighet på grund av att villkoren för att tillämpa undantaget i artikel 14.5 c i förordningen inte är uppfyllda.
63. Vad gäller det första villkoret, som det erinrats om i punkt 61 ovan, kan den tillsynsmyndighet som ska pröva ett sådant klagomål behöva kontrollera huruvida det i unionsrätten eller i nationell rätt föreskrivs att den personuppgiftsansvarige ska erhålla eller lämna ut personuppgifter.
64. Vad gäller det andra villkoret konstaterar domstolen, i likhet med vad generaladvokaten påpekade i punkterna 67 och 69 i sitt förslag till avgörande, att räckvidden av uttrycket ”lämpliga åtgärder för att skydda den registrerades berättigade intressen” inte preciseras i dataskyddsförordningen. Domstolen finner emellertid att de bestämmelser i unionsrätten eller i medlemsstatens nationella rätt, vilka föreskriver sådana åtgärder och som den personuppgiftsansvarige omfattas av, såsom påpekats i punkt 54 ovan, ska säkerställa en skyddsnivå för den registrerade med avseende på behandlingen av hans eller hennes personuppgifter som är åtminstone likvärdig med den som föreskrivs i artikel 14.1–14.4 i förordningen. Dessa bestämmelser ska således göra det möjligt för den registrerade att utöva kontroll över sina personuppgifter och utöva de rättigheter denne har enligt dataskyddsförordningen.
65. I detta syfte är det särskilt viktigt att dessa bestämmelser på ett klart och förutsebart sätt anger varifrån den registrerade kan få information om behandlingen av de personuppgifter som rör honom eller henne.
66. När det gäller överföring av personuppgifter mellan organ i en medlemsstat och en personuppgiftsansvarigs generering av sådana uppgifter utifrån uppgifter som samlats in från en annan person än den registrerade, ska det påpekas att det, för det fall den registrerade inger ett klagomål, ankommer på tillsynsmyndigheten att bland annat kontrollera huruvida de olika typer av personuppgifter som ska erhållas eller lämnas ut, samt de personuppgifter som den personuppgiftsansvarige kan komma att generera när den utför sina uppgifter, definieras tillräckligt precist i relevant nationell rätt eller unionsrätt och om denna rätt föreskriver på vilket sätt den registrerade faktiskt ges tillgång till den information som avses i artikel 14.1, 14.2 och 14.4 i dataskyddsförordningen.
67. Såsom kommissionen har påpekat i sitt skriftliga yttrande omfattar en tillsynsmyndighets kontroll av huruvida samtliga villkor för tillämpning av undantaget i artikel 14.5 c i dataskyddsförordningen är uppfyllda inte för den skull någon prövning av giltigheten av de relevanta bestämmelserna i nationell rätt. Tillsynsmyndigheten ska endast uttala sig om huruvida den personuppgiftsansvarige, i ett visst fall, har rätt att åberopa det undantag som föreskrivs i denna bestämmelse i förhållande till den registrerade.
68. När det gäller resultatet av en sådan kontroll ska det erinras om att det i artikel 78 i förordningen föreskrivs att den registrerade – om tillsynsmyndigheten i ett visst fall finner att det saknas fog för den registrerades klagomål – i sin medlemsstat ska ha rätt till en effektiv domstolsprövning av avslagsbeslutet.
69. Om tillsynsmyndigheten däremot anser att klagomålet är välgrundat och villkoren för tillämpning av undantaget i artikel 14.5 c i förordningen inte är uppfyllda, ska den ålägga den personuppgiftsansvarige att tillhandahålla den registrerade information i enlighet med artikel 14.1, 14.2 och 14.4 i samma förordning.
70. För det andra, vad gäller frågan om denna kontroll även ska avse huruvida de åtgärder som den personuppgiftsansvarige är skyldig att vidta för att säkerställa säkerheten i samband med behandlingen är lämpliga mot bakgrund av artikel 32 i dataskyddsförordningen, ska det understrykas att det i artikel 14.5 c i förordningen endast föreskrivs ett undantag från den informationsskyldighet som föreskrivs i artikel 14.1, 14.2 och 14.4 i förordningen, men inte något undantag från de skyldigheter som följer av andra bestämmelser i förordningen, däribland artikel 32.
71. Enligt artikel 32 är den personuppgiftsansvarige och dennes eventuella personuppgiftsbiträde skyldiga att vidta tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå vid behandlingen av personuppgifter. Lämpligheten av dessa åtgärder ska bedömas på ett konkret sätt utifrån vilka risker som är förenade med den aktuella personuppgiftsbehandlingen och en prövning av om de vidtagna åtgärdernas art, innebörd och genomförande är anpassade till dessa risker (se, för ett liknande resonemang, dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkterna 42, 46 och 47, och dom av den 25 januari 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punkterna 37 och 38).
72. Mot bakgrund av lydelsen i dessa båda bestämmelser ska det påpekas att de skyldigheter som föreskrivs i artikel 32 i dataskyddsförordningen, vilka under alla omständigheter ska iakttas oberoende av huruvida det föreligger en informationsskyldighet enligt artikel 14 i förordningen, är av en annan art och räckvidd än den informationsskyldighet som föreskrivs i artikel 14 i förordningen.
73. När det har ingetts ett klagomål enligt artikel 77.1 i dataskyddsförordningen, där det gjorts gällande att den personuppgiftsansvarige felaktigt har åberopat undantaget i artikel 14.5 c i denna förordning, ska de kontroller som ska utföras av tillsynsmyndigheten endast avse tillämpningsområdet för artikel 14 i förordningen, och inte omfatta efterlevnaden av artikel 32 i förordningen.
74. Mot bakgrund av dessa skäl ska den andra och den tredje frågan besvaras enligt följande. Artikel 14.5 c och artikel 77.1 i dataskyddsförordningen ska tolkas så, att tillsynsmyndigheten, inom ramen för ett klagomålsförfarande, är behörig att kontrollera huruvida det i den medlemsstats lagstiftning som den personuppgiftsansvarige omfattas av föreskrivs lämpliga åtgärder för att skydda den registrerades berättigade intressen vid tillämpningen av det undantag som föreskrivs i artikel 14.5 c. Denna kontroll avser emellertid inte lämpligheten av de åtgärder som den personuppgiftsansvarige är skyldig att vidta enligt artikel 32 i förordningen för att säkerställa säkerheten i samband med behandlingen av personuppgifter.
Rättegångskostnader
75. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
1) Artikel 14.5 c i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att det undantag från den personuppgiftsansvariges skyldighet att informera den registrerade som föreskrivs i denna bestämmelse utan åtskillnad avser alla personuppgifter som den personuppgiftsansvarige inte har samlat in direkt från den registrerade, oavsett om dessa uppgifter har erhållits av den personuppgiftsansvarige från en annan person än den registrerade eller om de har genererats av den personuppgiftsansvarige själv i samband med att denne utövat sitt uppdrag.
2) Artikel 14.5 c och artikel 77.1 i förordning 2016/679 ska tolkas så, att tillsynsmyndigheten, inom ramen för ett klagomålsförfarande, är behörig att kontrollera huruvida det i den medlemsstats lagstiftning som den personuppgiftsansvarige omfattas av föreskrivs lämpliga åtgärder för att skydda den registrerades berättigade intressen vid tillämpningen av det undantag som föreskrivs i artikel 14.5 c. Denna kontroll avser emellertid inte lämpligheten av de åtgärder som den personuppgiftsansvarige är skyldig att vidta enligt artikel 32 i förordningen för att säkerställa säkerheten i samband med behandlingen av personuppgifter.
1 Rättegångsspråk: ungerska.
2 Förevarande mål har getts ett fiktivt namn. Detta namn är inte någon av rättegångsdeltagarnas verkliga namn.