Domstolens dom (fjärde avdelningen) den 19 mars 2026
I mål C‑526/24, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Amtsgericht Arnsberg (Distriktsdomstolen i Arnsberg, Tyskland) genom beslut av den 31 juli 2024, som inkom till EU-domstolen samma dag, i målet
DOMSTOLEN (fjärde avdelningen) sammansatt av avdelningsordföranden I. Jarukaitis, domstolens ordförande K. Lenaerts, tillika tillförordnad domare på fjärde avdelningen, samt domarna M. Condinanzi, N. Jääskinen och R. Frendo (referent), generaladvokat: M. Szpunar, justitiesekreterare: handläggaren I. Illéssy,
efter det skriftliga förfarandet och förhandlingen den 5 juni 2025,
med beaktande av de yttranden som avgetts av: Brillen Rottler GmbH & Co. KG, genom J. Tröber, Rechtsanwalt, TC, genom P. Brandt, Rechtsanwalt, Europeiska kommissionen, genom A. Bouchagiar, M. Heller och H. Kranenborg, samtliga i egenskap av ombud,
och efter att den 18 september 2025 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1. Begäran om förhandsavgörande avser tolkningen av artiklarna 4 led 2, 12.5 och 82.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
2. Begäran har framställts i ett mål mellan Brillen Rottler GmbH & Co. KG, som är ett familjeägt optikföretag (nedan kallat Brillen Rottler eller företaget), och den fysiska personen TC. Målet rör Brillen Rottlers avslag på TC:s begäran om att få tillgång till sina personuppgifter med stöd av artikel 15 i dataskyddsförordningen.
Tillämpliga bestämmelser
3. I skälen 4, 10, 11, 63, 85, 141 och 146 i dataskyddsförordningen anges följande:
(”(4) Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i [Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan)], såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.
…
(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. …
(11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna.
…
(63) Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. …
…
(85) En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan för fysiska personer leda till fysisk, materiell eller immateriell skada, såsom förlust av kontrollen över de egna personuppgifterna eller till begränsning av deras rättigheter, diskriminering, identitetsstöld eller [identitets]bedrägeri, ekonomisk förlust, obehörigt hävande av pseudonymisering, skadat anseende, förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt, eller till annan ekonomisk eller social nackdel för den berörda fysiska personen. …
…
(141) Alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet, särskilt i den medlemsstat där den registrerade har sin hemvist, och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan, om den registrerade anser att hans eller hennes rättigheter enligt denna förordning har kränkts …
…
(146) Den personuppgiftsansvarige … bör ersätta all skada som en person kan komma att lida till följd av behandling som strider mot denna förordning. Den personuppgiftsansvarige … bör dock befrias från skadeståndsskyldighet om den kan visa att den inte på något sätt är ansvarig för skadan. Begreppet skada bör tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar denna förordnings mål. … Registrerade bör få full och effektiv ersättning för den skada de lidit. …”
4. Artikel 4 (”Definitioner”) i dataskyddsförordningen har följande lydelse:
”I denna förordning avses med
…
2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…”
5. I artikel 12 (”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”) i dataskyddsförordningen föreskrivs följande i punkterna 1, 2 och 5:
”1. Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling …
2. Den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. …
…
5. Information som tillhandahållits enligt artiklarna 13 och 14, all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34 ska tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen
a) ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller
b) vägra att tillmötesgå begäran.
Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.”
6. I artikel 15 (”Den registrerades rätt till tillgång”) i dataskyddsförordningen föreskrivs följande i punkt 1:
”Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:
…”
7. I artikel 26 (”Gemensamt personuppgiftsansvariga”) i dataskyddsförordningen föreskrivs följande i punkt 1:
”Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. …”
8. I artikel 30 (”Register över behandling”) i dataskyddsförordningen föreskrivs följande i punkt 1:
”Varje personuppgiftsansvarig och, i tillämpliga fall, dennes företrädare ska föra ett register över behandling som utförts under dess ansvar. …”
9. I artikel 57 (”Uppgifter”) i dataskyddsförordningen föreskrivs följande i punkterna 1 och 4:
”1. Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:
…
f) Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller …,
…
4. Om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva karaktär, får tillsynsmyndigheten ta ut en rimlig avgift grundad på de administrativa kostnaderna eller vägra att tillmötesgå begäran. Det åligger tillsynsmyndigheten att visa att begäran är uppenbart ogrundad eller orimlig.”
10. I artikel 79 (”Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde”) i dataskyddsförordningen föreskrivs följande i punkt 1:
”Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.”
11. I artikel 82 (”Ansvar och rätt till ersättning”) i dataskyddsförordningen föreskrivs följande i punkterna 1, 2 och 4:
”1. Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.
2. Varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot denna förordning. …
…
4. Om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde, eller både en personuppgiftsansvarig och ett personuppgiftsbiträde, har medverkat vid samma behandling, och om de enligt punkterna 2 och 3 är ansvariga för eventuell skada som behandlingen orsakat ska varje personuppgiftsansvarig eller personuppgiftsbiträde hållas ansvarig för hela skadan för att säkerställa att den registrerade får effektiv ersättning.”
Målet vid den nationella domstolen och tolkningsfrågorna
12. I mars 2023 registrerade sig TC, som är en fysisk person bosatt i Österrike, för ett nyhetsbrev från det familjeägda optikföretaget Brillen Rottler i Arnsberg (Tyskland). Han angav sina personuppgifter i registreringsformuläret på Brillen Rottlers webbplats och lämnade sitt samtycke till att företaget behandlade hans uppgifter. Tretton dagar senare vände sig TC till Brillen Rottler och begärde med stöd av artikel 15 i dataskyddsförordningen att få tillgång till sina personuppgifter.
13. Brillen Rottler avslog – inom den lagstadgade fristen på en månad – denna begäran med hänvisning till artikel 12.5 första stycket andra meningen b i dataskyddsförordningen, eftersom företaget ansåg att TC haft en otillbörlig avsikt med sin begäran. Företaget uppmanade TC att slutgiltigt återkalla sin begäran.
14. TC vidhöll dock sin begäran om tillgång och begärde dessutom ersättning enligt artikel 82 i dataskyddsförordningen med ett belopp på 1000 euro. Brillen Rottler väckte då talan vid Amtsgericht Arnsberg (Distriktsdomstolen i Arnsberg, Tyskland), som är hänskjutande domstol i förevarande mål, och yrkade att den skulle fastställa att TC inte hade rätt till någon ersättning.
15. Till stöd för sin fastställelsetalan gjorde Brillen Rottler gällande bland annat följande. Det framgår av olika mediareportage, bloggartiklar och nyhetsbrev från advokatbyråer att TC systematiskt och på ett otillbörligt sätt ägnar sig åt att begära ut sina personuppgifter från olika aktörer i det enda syftet att erhålla ersättning för ett påstått – av honom själv medvetet framprovocerat – åsidosättande av hans rättigheter enligt dataskyddsförordningen. TC:s tillvägagångssätt består i att registrera sig för ett nyhetsbrev från ett visst företag och efter en tid ge in en begäran till företaget om att få tillgång till sina personuppgifter, för att sedan begära ersättning.
16. TC gjorde för sin del gällande att den begäran han ingett till Brillen Rottler om att få tillgång till sina personuppgifter är berättigad och ska ses som ett uttryck för den rätt till sådan tillgång som han har enligt artikel 15 i dataskyddsförordningen. Enligt TC försöker Brillen Rottler på ett rättsstridigt sätt att begränsa hans rättigheter enligt förordningen. Han yrkade i genkäromål att Brillen Rottler skulle förpliktas att till honom utge ersättning på minst 1000 euro för den ideella skada som han lidit till följd av företaget vägran att ge honom tillgång till hans personuppgifter.
17. Den hänskjutande domstolen har angett att det nationella målet ger upphov till tre frågeställningar. Den första frågeställningen avser huruvida en första begäran från en registrerad om att få tillgång till sina personuppgifter kan anses utgöra en ”orimlig begäran”, i den mening som avses i artikel 12.5 i dataskyddsförordningen, och därmed anses utgöra rättsmissbruk samt vilka omständigheter som ska beaktas vid bedömningen av om en sådan första begäran är orimlig. Den vill särskilt få klarhet i huruvida en personuppgiftsansvarig har rätt att avslå en begäran om tillgång med stöd av nämnda bestämmelse på grundval av allmänt tillgängliga uppgifter som visar att den som gett in begäran har gjort ett stort antal framställningar till andra personuppgiftsansvariga där denne begärt att få tillgång till sina personuppgifter och begärt ersättning.
18. Den andra frågeställningen avser huruvida en registrerads begäran om tillgång enligt artikel 15.1 i dataskyddsförordningen och/eller den personuppgiftsansvariges svar på en sådan begäran ska anses utgöra ”behandling”, i den mening som avses i artikel 4 led 2 i förordningen.
19. Den tredje frågeställningen avser kriterierna för rätt till ersättning för skada enligt artikel 82.1 i dataskyddsförordningen. Den hänskjutande domstolen vill särskilt få klarhet i huruvida rätt till ersättning enligt denna artikel föreligger redan på grund av ett åsidosättande av rätten till tillgång enligt artikel 15.1 i förordningen, även om det inte skett någon personuppgiftsbehandling.
20. Det är mot den nu angivna bakgrunden som Amtsgericht Arnsberg (Distriktsdomstolen i Arnsberg) har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1) Ska artikel 12.5 [första stycket] andra meningen i dataskyddsförordningen tolkas på så sätt att en registrerads begäran om att få tillgång till sina personuppgifter inte kan anses vara orimlig om det är fråga om en första begäran som den registrerade framställer till den personuppgiftsansvarige?
2) Ska artikel 12.5 [första stycket] andra meningen i dataskyddsförordningen tolkas på så sätt att den personuppgiftsansvarige har rätt att vägra att tillmötesgå en registrerads begäran om att få tillgång till sina personuppgifter om den registrerades avsikt med begäran är att provocera fram ett skadeståndsanspråk gentemot den personuppgiftsansvarige?
3) Ska artikel 12.5 [första stycket] andra meningen i dataskyddsförordningen tolkas på så sätt att det kan vara motiverat att vägra tillmötesgå en begäran om tillgång på grundval av allmänt tillgängliga uppgifter som visar att den som gett in begäran i ett stort antal fall, vid överträdelser av personuppgiftsskyddet, har riktat skadeståndsanspråk mot personuppgiftsansvariga?
4) Ska artikel 4 led 2 i dataskyddsförordningen tolkas på så sätt att en registrerads begäran om tillgång enligt artikel 15.1 i dataskyddsförordningen och/eller den personuppgiftsansvariges svar på en sådan begäran ska anses utgöra ’behandling’, i den förstnämnda bestämmelsens mening?
5) Ska artikel 82.1 jämförd med skäl 146 första meningen i dataskyddsförordningen tolkas på så sätt att endast skada som den registrerade lidit till följd av en behandling av personuppgifter är ersättningsgill? Innebär detta att det måste ha skett en behandling av den registrerades personuppgifter – under förutsättning att det föreligger en kausal skada – för att han eller hon ska ha rätt till ersättning enligt artikel 82.1 i förordningen?
6) Om fråga 5 besvaras jakande: Innebär detta att den registrerade – under förutsättning att det föreligger en kausal skada – inte redan på grund av att hans eller hennes rätt till tillgång enligt artikel 15.1 i dataskyddsförordningen har åsidosatts har rätt till ersättning enligt artikel 82.1 i förordningen?
7) Ska artikel 82.1 i dataskyddsförordningen tolkas på så sätt att den personuppgiftsansvarige enligt EU-rätten inte har rätt att vägra att tillmötesgå en registrerads begäran om att få tillgång till sina personuppgifter med hänvisning till att det är fråga om rättsmissbruk på grund av att den registrerade har provocerat fram en behandling av hans eller hennes personuppgifter enbart, eller i vart fall delvis, i syfte att kunna begära ersättning [med stöd av nämnda bestämmelse]?
8) Om frågorna 5 och 6 besvaras nekande: Ska redan den omständigheten att den registrerade förlorat kontrollen över sina personuppgifter till följd av en överträdelse av artikel 15.1 i dataskyddsförordningen, och/eller att han eller hon svävar i ovisshet om huruvida hans eller hennes personuppgifter har behandlats, anses innebära att den registrerade har lidit immateriell skada, i den mening som avses i artikel 82.1 i dataskyddsförordningen, eller krävs det dessutom att den registrerade har drabbats av ytterligare (objektiva eller subjektiva) begränsningar och/eller (märkbar) skada?”
Prövning av tolkningsfrågorna
Fråga 1–3 och fråga 7
21. Den hänskjutande domstolen har ställt frågorna 1–3 och fråga 7, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 12.5 i dataskyddsförordningen ska tolkas på så sätt att en första begäran om att få tillgång till sina personuppgifter som en registrerad framställer till en personuppgiftsansvarig med stöd av artikel 15 i förordningen kan anses utgöra en ”orimlig” begäran i den förstnämnda bestämmelsens mening och, om så är fallet, under vilka omständigheter en sådan begäran i förekommande fall kan anses vara orimlig.
22. EU-domstolen gör i denna del följande bedömning. Enligt artikel 15.1 i dataskyddsförordningen ska en registrerad ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas. Om så är fallet ska den registrerade ha rätt att få tillgång till sina personuppgifter och till därmed sammanhängande information (se, för ett liknande resonemang, dom av den 26 oktober 2023, FT (Kopior av patientjournalen), C‑307/22, EU:C:2023:811, punkt 31).
23. I artikel 12.5 i dataskyddsförordningen uppställs dessutom en princip enligt vilken den registrerades rätt att få tillgång till sina personuppgifter ska kunna utövas utan kostnad för honom eller henne. I denna bestämmelse anges dock två skäl som kan ge en personuppgiftsansvarig rätt att antingen ta ut en skälig avgift för att täcka de administrativa kostnaderna eller avslå en begäran om tillgång. Dessa skäl avser fall av rättsmissbruk, där den registrerades begäran är ”uppenbart ogrundad” eller ”orimlig”, särskilt på grund av dess repetitiva art (dom av den 26 oktober 2023, FT (Kopior av patientjournalen), C‑307/22, EU:C:2023:811, punkt 31).
24. Vad först gäller frågan huruvida en första begäran om att få tillgång till sina personuppgifter som en registrerad framställer till en personuppgiftsansvarig med stöd av artikel 15 i dataskyddsförordningen kan anses utgöra en ”orimlig” begäran, ska följande påpekas. Eftersom begreppet orimlig begäran inte definieras i förordningen, ska det, enligt fast rättspraxis, vid tolkningen av detta begrepp tas hänsyn både till de termer som används i artikel 12.5 i förordningen utifrån deras normala betydelse i vanligt språkbruk och till den bestämmelsens sammanhang samt till de mål som eftersträvas med de föreskrifter som den ingår i (se dom av den 17 november 1983, Merck, 292/82, EU:C:1983:335, punkt 12, och dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 24 och där angiven rättspraxis).
25. Vad gäller ordalydelsen i artikel 12.5, och i synnerhet den normala betydelsen av begreppet orimlig begäran i vanligt språkbruk, kan det konstateras att adjektivet ”orimlig” betecknar något som går utöver vad som är normalt eller skäligt eller som går utöver vad som är önskvärt eller tillåtet (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 43). Således kan man inte redan av den omständigheten att bestämmelsen använder adjektivet ”orimlig” – som avser både kvalitativa och kvantitativa aspekter – dra den slutsatsen att en första ansökan om att få tillgång till sina personuppgifter aldrig kan vara orimlig.
26. Av ordalydelsen i artikel 12.5 första stycket andra meningen i dataskyddsförordningen framgår vidare att framställningar från en registrerad kan vara orimliga ”särskilt på grund av deras repetitiva art”. Den omständigheten att en registrerad har gjort ett stort antal framställningar kan således vara ett tecken på att det är fråga om ett fall av orimliga framställningar (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 57). EU-domstolen konstaterar dock, i likhet med vad generaladvokaten har påpekat i punkt 28 i sitt förslag till avgörande, att framställningarnas repetitiva art endast nämns som ett exempel på orimlighet i denna bestämmelse. För att en begäran från en registrerad om att få tillgång till sina personuppgifter ska kunna anses vara ”orimlig” krävs det således inte att den aktuella begäran är en i raden av många framställningar från en och samma registrerade.
27. Vid en bokstavstolkning av artikel 12.5 i dataskyddsförordningen kan det således inte uteslutas att en första begäran från en registrerad om att få tillgång till sina personuppgifter kan anses vara ”orimlig” i bestämmelsens mening.
28. Det nu anförda vinner stöd av det sammanhang i vilket artikel 12.5 första stycket andra meningen i dataskyddsförordningen ingår. Det ska i detta avseende påpekas att artikel 12, som ingår i kapitel III (”Den registrerades rättigheter”) i dataskyddsförordningen, anger vilka allmänna skyldigheter personuppgiftsansvariga har i fråga om öppenhet i information och kommunikation samt reglerar villkoren för utövandet av den registrerades rättigheter. Av artikel 12.2 första meningen framgår att den personuppgiftsansvarige ska underlätta utövandet av den registrerades rättigheter enligt bland annat artikel 15, som kompletterar dataskyddsförordningens öppenhetsreglering genom att den registrerade ges rätt att få tillgång till sina personuppgifter (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkterna 45 och 46).
29. Av artikel 12.5 framgår att en personuppgiftsansvarig i fall av uppenbart ogrundade eller orimliga framställningar även har möjlighet att ta ut en skälig avgift grundad på de administrativa kostnaderna eller att avslå framställningarna. Denna möjlighet utgör därmed ett undantag från den personuppgiftsansvariges skyldighet att underlätta utövandet av bland annat rätten att få tillgång till sina personuppgifter, vilket ska tolkas restriktivt (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 33).
30. EU-domstolen har dock i sin praxis rörande tolkningen av begreppet orimlig begäran i artikel 57.4 i dataskyddsförordningen – vilken är överförbar på det nu aktuella målet, eftersom den bestämmelse i huvudsak har samma lydelse och syfte som artikel 12.5 i förordningen – uttalat att bestämmelsen i artikel 57.4 ger uttryck för en allmän princip i EU-rätten som innebär att enskilda inte får åberopa EU-rättsliga bestämmelser i bedrägligt eller otillbörligt syfte (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 49). Tillämpningen av EU-lagstiftning får nämligen inte utsträckas till att omfatta även förfaranden som har ett otillbörligt syfte (se, för ett liknande resonemang, dom av den 19 september 2024, Matmut, C‑236/23, EU:C:2024:761, punkt 52 och där angiven rättspraxis).
31. Det sagda innebär att det för den personuppgiftsansvariges rätt att utnyttja sin möjlighet enligt artikel 12.5 i dataskyddsförordningen att avslå en begäran från en registrerad om att få tillgång till sina personuppgifter inte i sig är avgörande hur många sådana framställningar som den registrerade har gjort. Den personuppgiftsansvarige kan således utnyttja denna möjlighet även vid en första begäran om denne kan visa – med stöd av samtliga relevanta omständigheter i det enskilda fallet – att det finns en otillbörlig avsikt från den registrerades sida (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkt 50).
32. Den nu angivna kontextuella tolkningen är förenlig med de mål som eftersträvas med dataskyddsförordningen. I detta avseende ska det påpekas att förordningen, såsom anges i skälen 10 och 11 i denna, syftar till att säkerställa en enhetlig och hög skyddsnivå för fysiska personer inom unionen samt att stärka och precisera de registrerades rättigheter. I linje med detta är den personuppgiftsansvariges skyldigheter enligt artikel 12 i dataskyddsförordningen – bland annat i fråga om kommunikation enligt artikel 15 i förordningen – tänkta som ett sätt att skydda de registrerades rättigheter och intressen på ett effektivt sätt (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran) , C‑416/23, EU:C:2025:3, punkterna 38 och 39 samt där angiven rättspraxis).
33. Enligt skäl 4 i dataskyddsförordningen är rätten till skydd av personuppgifter dock inte en absolut rättighet, utan den måste bedömas utifrån sin funktion i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. EU-domstolen har dessutom redan uttalat att metoder som gör det möjligt att uppnå en korrekt balans mellan de olika rättigheter och intressen som är för handen finns angivna i själva dataskyddsförordningen (dom av den 21 december 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 54 och där angiven rättspraxis).
34. Vid den praktiska tillämpningen gäller det därför att hitta en korrekt balans av nyss nämnt slag som säkerställer den aktuella undantagsregelns ändamålsenliga verkan. Det som är relevant för att kunna slå fast att en registrerad haft en otillbörlig avsikt med en begäran om att få tillgång till sina personuppgifter är huruvida begäran kan anses vara orimlig, vilket är en bedömning som ska göras utifrån kvalitativa aspekter (se punkt 26 ovan). Vid orimlighetsbedömningen ska det således inte endast tas hänsyn till hur många sådana framställningar den registrerade har gjort, och det saknar därmed betydelse att det rör sig om en första begäran om tillgång från honom eller henne.
35. Det sagda innebär att en första begäran om att få tillgång till sina personuppgifter som en registrerad framställer till en personuppgiftsansvarig med stöd av artikel 15 i dataskyddsförordningen kan anses vara ”orimlig”, i den mening som avses i artikel 12.5 i förordningen. Av det ovan anförda (se punkt 29) framgår dock att begreppet orimlig begäran ska tolkas restriktivt. Detta innebär att en personuppgiftsansvarig endast i undantagsfall kan göra gällande att en begäran är orimlig och att det, såsom generaladvokaten har angett i punkt 34 i sitt förslag till avgörande, bör gälla högt ställda krav för att en första begäran om tillgång ska anses vara orimlig. Det ska även påpekas att det uttryckligen framgår av artikel 12.5 andra stycket i dataskyddsförordningen att det ankommer på den personuppgiftsansvarige att visa att en begäran är orimlig.
36. EU-domstolens övergår nu till att behandla frågan om under vilka omständigheter en registrerads första begäran om att få tillgång till sina personuppgifter kan anses vara ”orimlig”, i den mening som avses i artikel 12.5 i dataskyddsförordningen, och således utgöra rättsmissbruk, i den mening som avses i ovan i punkterna 23 och 30 angiven rättspraxis. För att styrka att det är fråga om ett förfarande som har en otillbörlig avsikt krävs dels att det föreligger en rad objektiva omständigheter av vilka det framgår att det mål som eftersträvas med den aktuella EU-lagstiftningen inte har uppnåtts, trots att de förutsättningar som föreskrivs i lagstiftningen formellt sett är uppfyllda, dels att det föreligger en subjektiv omständighet som består i att den registrerades avsikt är att erhålla en förmån enligt nämnda lagstiftning genom att på ett konstlat sätt skapa de förutsättningar som krävs för att erhålla förmånen. Det krävs även att det tas hänsyn till samtliga fakta och omständigheter i det aktuella fallet (se, för ett liknande resonemang, dom av den 21 december 2023, BMW Bank m.fl. ( C‑38/21, C‑47/21 och C‑232/21, EU:C:2023:1014, punkterna 285 och 286 och där angiven rättspraxis).
37. Vad först gäller det objektiva rekvisitet för ett otillbörligt förfarande, ska det påpekas att artikel 15 jämförd med skäl 63 i dataskyddsförordningen syftar till att ge en registrerad rätt att få tillgång till sina personuppgifter och att enkelt och med rimliga intervall utöva denna rätt. Detta syftar i sin tur bland annat till att den registrerade ska kunna hålla sig underrättad om att personuppgiftsbehandling sker och kunna kontrollera att den är laglig, för att på detta sätt i förekommande fall kunna utöva sin rätt till rättelse, radering och behandlingsbegränsning samt sin rätt att göra invändningar och väcka talan vid skada (se, för ett liknande resonemang, dom av den 12 januari 2023, Österreichische Post (Information om mottagarna av personuppgifter), C‑154/21, EU:C:2023:3, punkterna 37 och 38).
38. I förevarande fall framgår av handlingarna i målet att TC framställde den nu aktuella begäran om att få tillgång till sina personuppgifter efter att ha registrerat sig för Brillen Rottlers nyhetsbrev och vid registreringen ha lämnat ut vissa personuppgifter till företaget. Detta innebär att nämnda begäran formellt sett skulle kunna betraktas som att TC utnyttjade sin rätt till tillgång i syfte att uppnå det mål som eftersträvas med den aktuella EU-lagstiftningen.
39. Det följer dock av ovan i punkt 36 angiven rättspraxis att den omständigheten att förutsättningarna för tillämpning av artikel 15 i dataskyddsförordningen formellt sett är uppfyllda inte automatiskt innebär att en begäran om att få ut sina personuppgifter inte kan anses vara ”orimlig” och att det därmed inte är fråga om rättsmissbruk.
40. Vad därefter gäller det subjektiva rekvisitet för ett otillbörligt förfarande, ska det påpekas att en personuppgiftsansvarig som avser att utnyttja sin möjlighet att kvalificera en begäran från en registrerad om att få tillgång till sina personuppgifter som ”orimlig”, i den mening som avses i artikel 12.5 i dataskyddsförordningen, måste kunna visa – mot bakgrund av samtliga relevanta omständigheter i det enskilda fallet – att den registrerade haft en otillbörlig avsikt med sin begäran. En sådan avsikt kan anses föreligga om den registrerade har lämnat in begäran i något annat syfte än att hålla sig underrättad om att behandling av hans eller hennes personuppgifter sker och kontrollera huruvida den är laglig, för att därefter kunna få sina rättigheter enligt dataskyddsförordningen skyddade (se, för ett liknande resonemang, dom av den 9 januari 2025, Österreichische Datenschutzbehörde (Orimlig begäran), C‑416/23, EU:C:2025:3, punkterna 50 och 56).
41. Vad gäller förevarande fall innebär det nu sagda följande. Mot bakgrund bland annat av vad som anförts ovan i punkt 35 ankommer det på den personuppgiftsansvarige att på ett otvetydigt sätt visa att den registrerades avsikt med att begära ut sina personuppgifter med stöd av artikel 15 i dataskyddsförordningen inte har varit att hålla sig underrättad om att behandling av hans eller hennes personuppgifter sker, utan att på ett konstlat sätt skapa de förutsättningar som krävs för att erhålla ersättning från den personuppgiftsansvarige.
42. I detta avseende ska samtliga omständigheter i det enskilda fallet beaktas, däribland att den registrerade frivilligt har lämnat ut sina personuppgifter till den personansvarige och vad syftet med detta har varit. Hänsyn ska även tas till hur lång tid som förflutit mellan att den registrerade lämnade ut sina personuppgifter till den personansvarige och att den registrerade begärde ut dem samt till den registrerades agerande.
43. Enligt den hänskjutande domstolen uppkommer i det nationella målet frågan huruvida det vid bedömningen av om det är fråga om rättsmissbruk är möjligt att beakta allmänt tillgängliga uppgifter som visar att TC systematiskt har ägnat sig åt att begära ut sina personuppgifter från olika personuppgiftsansvariga och begära ersättning av dem, enligt ett tillvägagångssätt som är jämförbart med det som är i fråga i det nationella målet. EU-domstolen finner att detta är en omständighet som i och för sig kan läggas till grund för att anse att den registrerade haft en otillbörlig avsikt, förutsatt att den vinner stöd av andra relevanta omständigheter i ärendet.
44. I förevarande fall ankommer det således på den hänskjutande domstolen att utifrån samtliga relevanta omständigheter i målet pröva huruvida Brillen Rottler kan anses ha visat att TC haft en otillbörlig avsikt med sin begäran om att få ut sina personuppgifter från företaget.
45. Mot bakgrund av det ovan anförda ska frågorna 1–3 och fråga 7 besvaras enligt följande. Artikel 12.5 i dataskyddsförordningen ska tolkas på så sätt att en första begäran om att få tillgång till sina personuppgifter som en registrerad framställer till en personuppgiftsansvarig med stöd av artikel 15 i förordningen kan anses utgöra en ”orimlig” begäran i den förstnämnda bestämmelsens mening, när den personuppgiftsansvarige, mot bakgrund av samtliga relevanta omständigheter i det enskilda fallet, kan visa att den registrerades avsikt med den aktuella begäran – trots att de förutsättningar som föreskrivs i nämnda bestämmelser i förordningen formellt sett är uppfyllda – inte har varit att hålla sig underrättad om att behandling av hans eller hennes personuppgifter sker och huruvida den är laglig, för att därefter kunna få sina rättigheter enligt förordningen skyddade, utan att den registrerade haft en otillbörlig avsikt, såsom att på ett konstlat sätt skapa de förutsättningar som krävs för att erhålla en förmån enligt förordningen. Om det framgår av allmänt tillgängliga uppgifter att den registrerade har ägnat sig åt att begära ut sina personuppgifter från flera olika personuppgiftsansvariga och begära ersättning av dem, är detta en omständighet som kan läggas till grund för att anse att den registrerade haft en otillbörlig avsikt med den aktuella begäran.
Fråga 5 och fråga 6
46. Den hänskjutande domstolen har ställt fråga 5 och fråga 6, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas på så sätt att en registrerad har rätt till ersättning enligt denna bestämmelse för den som skada som han eller hon har lidit till följd av att hans eller hennes rätt att få tillgång till sina personuppgifter enligt artikel 15.1 i förordningen har åsidosatts.
47. EU-domstolen gör i denna del följande bedömning. I likhet med vad som anförts ovan i punkt 24 gäller enligt fast rättspraxis att det vid tolkningen av en EU-rättslig bestämmelse inte endast ska tas hänsyn till de termer som används i bestämmelsen, utan även det sammanhang som den ingår i och de mål som eftersträvas med den.
48. Av ordalydelsen i artikel 82.1 i dataskyddsförordningen framgår att varje person som har lidit materiell eller immateriell skada ”till följd av en överträdelse av denna förordning” ska ha rätt till ersättning från den personuppgiftsansvarige för den uppkomna skadan. Det kan konstateras att denna bestämmelse inte innehåller någon hänvisning till ”behandling”, vilket innebär att rätten till ersättning inte kan anses vara begränsad till skada till följd av behandling av personuppgifter.
49. Denna bedömning vinner stöd av en kontextuell tolkning av artikel 82.1 jämförd med skäl 141 i dataskyddsförordningen. Av detta skäl framgår att alla registrerade bör ha rätt till ett effektivt rättsmedel inför en domstol i enlighet med artikel 47 i stadgan ”om [de] anser att [deras] rättigheter enligt [förordningen] har kränkts”. Dataskyddsförordningens artikel 82.1 ingår nämligen i kapitel VIII i förordningen, som reglerar de rättsmedel, ansvarsregler och sanktioner som gör det möjligt att skydda de registrerades rättigheter. Dessa rättigheter omfattar både rätten till information (artikel 12) och rätten att få tillgång till sina personuppgifter (artikel 15.1), vilket innebär att de ska skyddas av artikel 82. Denna artikel ska således tolkas på så sätt att den även är tillämplig på skada som en registrerad har lidit till följd av överträdelser av artiklarna 12 och 15.
50. Varken den omständigheten att det i skäl 146 i dataskyddsförordningen anges att den personuppgiftsansvarige bör ersätta all skada som en person kan komma att lida ”till följd av behandling” som strider mot förordningen eller att det i artikel 82.2 och 82.4 i förordningen talas om ”skada som orsakats av behandling” föranleder någon annan tolkning än den nyss angivna.
51. EU-domstolen konstaterar nämligen, i likhet med vad kommissionen, i huvudsak, har anfört i sitt skriftliga yttrande, att i fall där en registrerad påstår att hans eller hennes rättigheter enligt bestämmelserna i kapitel III i dataskyddsförordningen – däribland rätten till tillgång till sina personuppgifter och rättelse samt rätten till radering, behandlingsbegränsning och portabilitet – har åsidosatts, så kan det inte vara fråga om en överträdelse av förordningen som är att hänföra till att det faktiskt skett en personuppgiftsbehandling i egentlig mening, utan snarare till att den registrerade har fått avslag på en begäran om att få utöva sina rättigheter enligt förordningen. Sådana situationer skulle således komma att falla utanför tillämpningsområdet för artikel 82.1 i dataskyddsförordningen om det för rätt till ersättning enligt denna bestämmelse krävdes att den registrerade lidit skada till följd av personuppgiftsbehandling i egentlig mening, vilket därmed skulle undergräva bestämmelsens ändamålsenliga verkan.
52. EU-domstolen har dessutom tidigare uttalat att en personuppgiftsansvarigs överträdelse av artiklarna 26 och 30 i dataskyddsförordningen – vilka avser skyldigheten att ingå ett arrangemang för att fastställa det gemensamma ansvaret för behandlingen av personuppgifter respektive skyldigheten att föra ett register över alla personuppgiftsbehandlingar – inte utgör ”olaglig behandling”, som ger den registrerade rätt att kräva radering eller behandlingsbegränsning. En sådan överträdelse ska således avhjälpas genom att andra åtgärder som föreskrivs i dataskyddsförordningen vidtas, särskilt genom ersättning enligt artikel 82 för den skada som den personuppgiftsansvarige eventuellt har orsakat (se, för ett liknande resonemang, dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda), C‑60/22, EU:C:2023:373, punkterna 66 och 67).
53. Ytterligare stöd för den bedömning som gjorts ovan i punkt 48 följer av en teleologisk tolkning av artikel 82.1 i dataskyddsförordningen. Denna artikel syftar nämligen till att säkerställa att förordningens mål uppnås, däribland det i skäl 11 angivna målet att de registrerades rättigheter ska stärkas och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter ska skärpas. EU-domstolen instämmer här i vad generaladvokaten, i huvudsak, har anfört i punkt 72 i sitt förslag till avgörande, nämligen att de registrerades rättigheter – däribland just rätten att få tillgång till sina personuppgifter, som den hänskjutande domstolen har hänvisat till – avsevärt skulle försvagas om artikel 82.1 tolkades på så sätt att den endast gäller för skada som uppkommit till följd av olagliga handlingar som innefattar personuppgiftsbehandling.
54. Det nu sagda innebär att en registrerad kan göra gällande den rätt till ersättning som föreskrivs i artikel 82 i dataskyddsförordningen även om det är fråga om en överträdelse av förordningen som inte i sig innefattar personuppgiftsbehandling.
55. Mot bakgrund av det ovan anförda ska fråga 5 och fråga 6 besvaras enligt följande. Artikel 82.1 i dataskyddsförordningen ska tolkas på så sätt att en registrerad har rätt till ersättning enligt denna bestämmelse för den skada som han eller hon har lidit till följd av att hans eller hennes rätt att få tillgång till sina personuppgifter enligt artikel 15.1 i förordningen har åsidosatts.
Fråga 4
56. Med hänsyn till svaret på fråga 5 och fråga 6 saknas anledning att besvara fråga 4.
Fråga 8
57. Den hänskjutande domstolen har ställt fråga 8 för att få klarhet i huruvida artikel 82.1 i dataskyddsförordningen ska tolkas på så sätt att immateriell skada som en registrerad har lidit omfattar att den registrerade har förlorat kontrollen över sina personuppgifter eller att han eller hon svävar i ovisshet om huruvida hans eller hennes personuppgifter har behandlats.
58. EU-domstolen gör i denna del följande bedömning. Dataskyddsförordningen innehåller inte någon hänvisning till medlemsstaternas nationella rätt när det gäller innebörden och räckvidden av de termer som används i artikel 82.1, i synnerhet ”materiell eller ideell skada” och ”ersättning för den uppkomna skadan”. Vid tillämpningen av förordningen ska dessa uttryck således anses utgöra självständiga EU-rättsliga begrepp som ska tolkas enhetligt i samtliga medlemsstater (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkt 30, och dom av den 4 september 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, punkt 55 och där angiven rättspraxis).
59. I detta avseende ska det påpekas att en ”överträdelse” av dataskyddsförordningen inte i sig själv kan anses ge den registrerade rätt till ersättning. I artikel 82.1 i dataskyddsförordningen anges nämligen att ”[v]arje person som har lidit materiell eller immateriell skada till följd av en överträdelse av förordningen ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan”. Av detta framgår tydligt att det för att rätt till ersättning enligt denna bestämmelse ska föreligga krävs att den registrerade har ”lidit … skada”, att det har skett en överträdelse av bestämmelserna i förordningen och att det finns ett orsakssamband mellan den aktuella skadan och överträdelsen av förordningen. Det är således fråga om tre kumulativa villkor (se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter), C‑300/21, EU:C:2023:370, punkterna 31–33, och dom av den 4 september 2025, Quirin Privatbank, C‑655/23, EU:C:2025:655, punkt 56 och där angiven rättspraxis).
60. Det sagda innebär att en registrerad som begär ersättning för immateriell skada med stöd av artikel 82.1 i dataskyddsförordningen är skyldig att visa inte bara att det har skett en överträdelse av bestämmelserna i förordningen, utan även att överträdelsen faktiskt har orsakat honom eller henne immateriell skada. En sådan skada kan således inte presumeras föreligga enbart på grund av nämnda överträdelse (dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 141 och där angiven rättspraxis).
61. EU-domstolen har dock i sin tidigare praxis här hänvisat till den i skäl 85 första meningen i förordningen intagna exemplifierande förteckningen över de typer av ”skada” som en registrerad kan komma att drabbas av och framhållit att det därav framgår att EU-lagstiftaren har avsett att redan den omständigheten att den registrerade ”[förlorar] kontrollen” över sina personuppgifter till följd av en överträdelse av förordningen ska omfattas av begreppet skada, även om det inte har förekommit något konkret missbruk av de aktuella personuppgifterna (dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 145 och där angiven rättspraxis).
62. EU-domstolen har även funnit att begreppet immateriell skada inte kan anses vara begränsat till att avse endast skada av en viss allvarlighetsgrad. Den har därvid särskilt uttalat att det inte kan godtas att det genom en nationell regel eller praxis fastställs en ”miniminivå” för immateriell skada som uppkommit till följd av en överträdelse av dataskyddsförordningen. Den registrerade måste dock kunna visa dels att han eller hon faktiskt har lidit immateriell skada, om än obetydlig, dels att, bortsett från det enkla faktum att bestämmelserna i förordningen har överträtts, de konsekvenser som han eller hon påstår sig ha drabbats av med anledning av överträdelsen utgör en skada (se, för ett liknande resonemang, dom av den 14 december 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punkterna 22 och 23).
63. Enbart den omständigheten att den registrerade påstår sig känna fruktan över att förlorat kontrollen över sina personuppgifter räcker således inte i sig för att ge rätt till ersättning enligt artikel 82.1 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 20 juni 2024, PS (Felaktig adress), C‑590/22, EU:C:2024:536, punkterna 33 och 35). I detta avseende gäller därmed följande. I ett mål vid en nationell domstol som rör en begäran om skadeersättning enligt denna bestämmelse, där den registrerade till stöd för sin begäran åberopar sin fruktan för att hans eller hennes personuppgifter kan komma att missbrukas i framtiden till följd av en överträdelse av dataskyddsförordningen, måste den nationella domstolen pröva om denna fruktan kan anses välgrundad under de omständigheter som föreligger i det aktuella fallet och med hänsyn till den registrerade (se, för ett liknande resonemang, dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 143 och där angiven rättspraxis).
64. Det nu anförda (punkterna 59–63) gäller även i ett fall där den registrerade anser att det råder ovisshet om huruvida hans eller hennes personuppgifter har behandlats.
65. I syfte att ge den hänskjutande domstolen ett användbart svar ska det även påpekas att orsakssambandet mellan den påstådda överträdelsen av dataskyddsförordningen och den åberopade skadan kan brytas genom den registrerades eget handlande, när detta handlande visar sig vara den avgörande orsaken till skadan. En sådant handlande kan bland annat bestå i ett beslut av den skadelidande, detta dock under förutsättning att denne inte tvingats till detta beslut (se, analogt, dom av den 18 december 2025, WS m.fl./Frontex (Gemensam återvändandeinsats), C‑679/23 P, EU:C:2025:976, punkterna 151 och 152 och där angiven rättspraxis).
66. Av ovan i punkt 59 angiven rättspraxis framgår dessutom att förekomsten av ett orsakssamband mellan den påstådda överträdelsen av dataskyddsförordningen och den skada som den registrerade påstår sig ha lidit är en nödvändig förutsättning för att rätt till ersättning enligt artikel 82.1 i förordningen ska föreligga. Detta innebär att en registrerad som påstår sig ha lidit skada till följd av att han eller hon har förlorat kontrollen över sina personuppgifter eller svävar i ovisshet om huruvida hans eller hennes personuppgifter har behandlats inte kan anses ha rätt till ersättning enligt denna bestämmelse om orsakssambandet har brutits genom den registrerades eget handlande då den åberopade förlusten av kontroll eller ovissheten har orsakats av den registrerades beslut att lämna ut sina personuppgifter till den personuppgiftsansvarige i syfte att på ett konstlat sätt skapa de förutsättningar som krävs för att nämnda bestämmelse ska vara tillämplig.
67. Mot bakgrund av det ovan anförda ska fråga 8 besvaras enligt följande. Artikel 82.1 i dataskyddsförordningen ska tolkas på så sätt att immateriell skada som en registrerad har lidit omfattar att den registrerade har förlorat kontrollen över sina personuppgifter eller att han eller hon svävar i ovisshet om huruvida hans eller hennes personuppgifter har behandlats. Detta gäller dock under förutsättning att den registrerade kan visa bland annat att han eller hon faktiskt har lidit sådan skada och att hans eller hennes eget handlande inte har varit den avgörande orsaken till denna skada.
Rättegångskostnader
68. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (fjärde avdelningen) följande:
1) Artikel 12.5 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas på följande sätt: En första begäran om att få tillgång till sina personuppgifter som en registrerad framställer till en personuppgiftsansvarig med stöd av artikel 15 i förordning 2016/679 kan anses utgöra en ”orimlig” begäran i den mening som avses i artikel 12.5 i förordningen, när den personuppgiftsansvarige, mot bakgrund av samtliga relevanta omständigheter i det enskilda fallet, kan visa att den registrerades avsikt med den aktuella begäran – trots att de förutsättningar som föreskrivs i nämnda bestämmelser i förordningen formellt sett är uppfyllda – inte har varit att hålla sig underrättad om att behandling av hans eller hennes personuppgifter sker och huruvida den är laglig, för att därefter kunna få sina rättigheter enligt förordningen skyddade, utan att den registrerade haft en otillbörlig avsikt, såsom att på ett konstlat sätt skapa de förutsättningar som krävs för att erhålla en förmån enligt förordningen. Om det framgår av allmänt tillgängliga uppgifter att den registrerade har ägnat sig åt att begära ut sina personuppgifter från flera olika personuppgiftsansvariga och begära ersättning av dem, är detta en omständighet som kan läggas till grund för att anse att den registrerade haft en otillbörlig avsikt med den aktuella begäran.
2) Artikel 82.1 i förordning 2016/679 ska tolkas på följande sätt: En registrerad har rätt till ersättning enligt denna bestämmelse för den skada som han eller hon har lidit till följd av att hans eller hennes rätt att få tillgång till sina personuppgifter enligt artikel 15.1 i förordningen har åsidosatts.
3) Artikel 82.1 i förordning 2016/679 ska tolkas på följande sätt: Immateriell skada som en registrerad har lidit omfattar att den registrerade har förlorat kontrollen över sina personuppgifter eller att han eller hon svävar i ovisshet om huruvida hans eller hennes personuppgifter har behandlats. Detta gäller dock under förutsättning att den registrerade kan visa bland annat att han eller hon faktiskt har lidit sådan skada och att hans eller hennes eget handlande inte har varit den avgörande orsaken till denna skada.
1 Rättegångsspråk: tyska.