Förslag till avgörande av generaladvokat Laila Medina föredraget den 8 oktober 2026

Preliminär utgåva

FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT

LAILA MEDINA

föredraget den 8 oktober 2026( 1 )

Mål C ‑ 222/25

X

mot

Rahapesu Andmebüroo,

ytterligare deltagare i rättegången:

Andmekaitse Inspektsioon

(begäran om förhandsavgörande från Riigikohus (Högsta domstolen, Estland))

” Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 2.2 d – Direktiv (EU) 2016/680 – Artikel 1.1 – Tillämpningsområde – Begreppet behörig myndighet – Direktiv (EU) 2015/849 – Åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism – Finansunderrättelseenheter (FIU) – Behandling av personuppgifter som utbyts i samband med misstanke om penningtvätt – Den registrerades rätt att få tillgång till personuppgifter – Begränsningar som införs genom en lagstiftningsåtgärd – Indirekt tillgång till personuppgifter genom en tillsynsmyndighet ”

I. Inledning

1. Brottslighet, vinning av brott och olagliga finansiella flöden finner inga gränser. Under de senaste decennierna har Europeiska unionen utvecklat ett robust regelverk för att förebygga och bekämpa penningtvätt vilket även syftar till att motarbeta finansiering av terrorism. Detta regelverk utvecklas ständigt i enlighet med de insatser som görs på internationell nivå på området och särskilt rekommendationer från arbetsgruppen för finansiella åtgärder (FATF)( 2 ) och instrument som används av andra internationella organ som är verksamma på området för bekämpning av penningtvätt och finansiering av terrorism.( 3 ) Finansunderrättelse och utbyte av finansiell information utgör hörnstenen i dessa insatser. De nationella myndigheter som är behöriga för frågor som rör finansunderrättelser, det vill säga finansunderrättelseenheterna (FIU), är en viktig del av det internationella systemet och unionens system för bekämpning av penningtvätt och finansiering av terrorism.( 4 )

2. I samband med finansunderrättelseenheternas huvuduppgift att samla in, analysera och vidarebefordra finansiella underrättelser behandlar finansunderrättelseenheterna en stor mängd personuppgifter. Trots deras omfattande befogenheter och mängden uppgifter som de behandlar är de dataskyddsregler som gäller för dem ännu inte helt tydliga. Förevarande mål ger domstolen tillfälle att för första gången undersöka finansunderrättelseenheternas rättsliga ställning, de dataskyddsregler som gäller för dessa och villkoren för begränsning av de registrerades rätt att få tillgång till de personuppgifter som finansunderrättelseenheterna innehar.

II. De faktiska omständigheterna, det nationella målet och frågorna som har hänskjutits för förhandsavgörande

3. X lämnade in två separata begäranden om upplysningar, den 16 december 2019 respektive den 27 december 2019, till Rahapesu Andmebüroo (underrättelseenheten för penningtvätt, Estland) (nedan kallad RAB) för att utröna huruvida uppgifter om honom hade överförts till estniska eller utländska kreditinstitut eller utländska myndigheter eller om dessa institut eller myndigheter hade begärt upplysningar.

4. Den 20 december 2019 och den 6 januari 2020 avslog RAB respektive begäran med motiveringen att RAB enligt 60 § stycke 1 i Rahapesu ja terrorismi rahastamise tõkestamise seadus (lagen om bekämpning av penningtvätt och finansiering av terrorism) av den 26 oktober 2017 (RT I, 17.11.2017, 2) (nedan kallad RahaPTS)( 5 ) och enligt 23 § stycke 1 led 1 i Avaliku teabe seadus (lagen om offentlig information) av den 15 november 2000 (RT I 2000, 92, 597) (nedan kallad AvTS)( 6 ) inte kunde lämna ut uppgifter som samlats in när RAB fullgjort sina skyldigheter eller information om förekomsten av eller ett eventuellt utbyte av sådana uppgifter. Som svar på X begäran därpå om att skälen till begränsningen av tillgången till uppgifter skulle anges upprepade RAB att enheten enligt 60 § stycke 1 RahaPTS inte kunde vare sig bekräfta förekomsten av den begärda informationen eller lämna ut den.

5. Tallinna Halduskohus (Förvaltningsdomstolen, Tallinn, Estland) och därefter Tallina Ringkonnakohus (Appellationsdomstolen, Tallinn, Estland), ogillade X överklagande av beslutet att avslå hans yrkanden. Båda domarna upphävdes av Riigikohus (Högsta domstolen, Estland), som genom dom av den 24 mars 2022 förpliktade RAB att utfärda ett nytt beslut om X yrkanden.

6. I den domen slog Riigikohus (Högsta domstolen) fast att enligt artikel 41 i direktiv (EU) 2015/849( 7 ) och i avsaknad av straffrättsliga förfaranden är förordning (EU) 2016/679( 8 ) tillämplig på X rätt att få tillgång till sina uppgifter.

7. Nämnda domstol slog också fast att 60 § stycke 1 RahaPTS i sig inte föreskriver någon begränsning av den registrerades rättigheter, men den ger chefen för RAB befogenhet att begränsa tillgången till information genom att klassificera den som avsedd för internt bruk. Något sådant beslut har emellertid inte antagits i förevarande mål.

8. Under tiden lämnade X in en tredje begäran om information till RAB för att utröna huruvida RAB hade upprättat en kontrolljournal rörande honom och riktat förfrågningar till USA, vilket RAB återigen tillbakavisade.

9. X lämnade in ett administrativt klagomål till Andmekaitse Inspektsioon (Datatillsynsmyndigheten, Estland) (nedan kallad AKI). AKI biföll det administrativa klagomålet och ålade RAB att på nytt pröva begäran om upplysningar. Den 17 februari 2022 avslog RAB återigen begäran om upplysningar, varpå X ingav ett nytt administrativt klagomål till AKI.

10. Genom beslut av den 18 april 2022 utfärdade AKI ett interimistiskt beslut enligt vilket RAB ålades att lämna ut den begärda informationen och förklarade att den registrerades rättigheter inte kunde begränsas med stöd av 60 § stycke 1 RahaPTS.

11. Chefen för RAB meddelade den 22 april 2022 med stöd av 60 § stycke 1 andra meningen RahaPTS ett beslut enligt vilket X tillgång till uppgifter begränsades. Han förklarade att RAB är skyldig att bevara sekretessen för uppgifterna i RAB:s databas för att skydda det estniska finanssystemet.

12. Den 13 maj 2022 utfärdade chefen för RAB ett beslut med retroaktiv verkan enligt vilket tillgången till uppgifterna i RAB:s databas begränsades och förklarade att de uppgifter som anges i artiklarna 8–17 i finansministerns dekret nr 56 av den 16 december 2020 avseende Andmebüroo andmekogu põhimäärus (stadgarna för RAB:s databas)( 9 ) skulle vara information som uteslutande skulle användas av myndigheten (nedan kallat RAB-chefens beslut).

13. Den 19 maj 2022 meddelade chefen för RAB ett beslut i vilket han upprepade vägran att hörsamma X begäran om upplysningar och hänvisade till 23 § stycke 1 led 1 AvTS och till de begränsningar vad gäller tillgången till uppgifter som anges i beslutet av den 22 april 2022 och i RAB-chefens beslut.

14. X överklagade besluten av den 22 april 2022 och den 19 maj 2022 samt RAB-chefens beslut till Tallinna Halduskohus (Förvaltningsdomstolen, Tallinn). Nämnda domstol biföll talan genom dom av den 19 december 2022 och förklarade att 60 § stycke 1 RahaPTS inte är förenlig med artikel 23 i dataskyddsförordningen. Den påpekade i detta avseende att det i 60 § stycke 1 RahaPTS inte angavs i samband med vilken verksamhet RAB behandlar personuppgifter, av vilka skäl kännedom om behandlingen av personuppgifter är utesluten och hur länge denna begränsning gäller. Den ålade därför RAB att på nytt pröva X begäran om upplysningar.

15. RAB överklagade till Tallinna Ringkonnakohus (Appellationsdomstolen, Tallinn), som ogillade överklagandet genom dom av den 10 april 2024. Den domstolen bekräftade resonemanget i den överklagade domen och påpekade att 60 § stycke 1 RahaPTS inte är tydlig och precis och att den inte låter de registrerade utröna hur länge begränsningen gäller. Den ansåg även att det i de omtvistade besluten och i RAB-chefens omtvistade beslut föreskrivs en absolut och obegränsad inskränkning av rätten att få tillgång till uppgifter som inte är proportionerlig.

16. RAB överklagande domen från Tallinna Rinkonnakohus (Appellationsdomstolen, Tallinn), som är hänskjutande domstol.

17. Den hänskjutande domstolen önskar för det första ett klargörande från EU-domstolen av vilka dataskyddsregler som gäller för de uppgifter som RAB behandlar, med hänsyn dels till artikel 41 i direktiv 2015/849, i vilket anges att behandlingen av personuppgifter enligt det direktivet omfattas av dataskyddsförordningen, dels till skäl 40 i direktiv (EU) 2018/843( 10 ), i vilket anges att det inte påverkar skyddet av personuppgifter som behandlas av behöriga myndigheter enligt direktiv (EU) 2016/680.( 11 )

18. Den hänskjutande domstolen har förklarat att den omständigheten att RAB inte utgör en brottsutredande myndighet och inte genomför straffrättsliga förfaranden inte nödvändigtvis måste vara avgörande för avgränsningen av tillämpningsområdet för dataskyddsförordningen och direktiv 2016/680 mot bakgrund av EU‑domstolens dom La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång).( 12 )

19. Den hänskjutande domstolen har för det andra ställt frågan huruvida RAB med stöd av artikel 23.2 h i dataskyddsförordningen eller artikel 15,3 i direktiv 2016/680 får neka information om på grundval av vilken rättsakt tillgången till personuppgifter har nekats. Den har i detta avseende påpekat att avsaknaden i dataskyddsförordningen av mekanismer som gör det möjligt för den registrerade att indirekt utöva sina rättigheter genom den behöriga tillsynsmyndigheten och som motsvarar den mekanism som föreskrivs i artikel 17.1 i direktiv 2016/680.

20. Den hänskjutande domstolen har för det tredje framhållit att samtidigt som en begränsning av den registrerades rättigheter genom en lagstiftningsåtgärd är tillåten oberoende av om dataskyddsförordningen eller direktiv 2016/680 ska tillämpas i det specifika fallet måste lagstiftningsåtgärden i fråga uppfylla kraven på tydlighet och precision, och tillämpningen av den måste vara förutsebar.

21. Den hänskjutande domstolen har påpekat att det i 60 § stycke 1 RahaPTS inte uttryckligen anges under vilka villkor chefen för RAB får besluta att begränsa rätten att få tillgång till information eller tillgångens tidsmässiga eller materiella omfattning. Begränsningen av den registrerades rättigheter kan pågå fram till dess att de lagringsperioder som föreskrivs i 26 § i stadgarna avseende RAB:s databas (vanligtvis i 15 år) löper ut. Efter den tidsperioden kan registrerade inte längre få information om de uppgifter som rör dem, eftersom uppgifterna har raderats.

22. Dessutom kan syftet med begränsningen av tillgången enligt 60 § stycke 1 andra meningen RahaPTS endast fastställas genom en tolkning av bestämmelsen jämförd med andra bestämmelser i samma lag och rättsakterna om förhindrande av penningtvätt och finansiering av terrorism.

23. Slutligen har den hänskjutande domstolen ställt frågan huruvida artikel 23 i dataskyddsförordningen och artikel 15 i direktiv 2016/680 utgör hinder för en nationell bestämmelse i vilken utövandet av rätten att få tillgång till personuppgifter begränsas i sin helhet fram till dess att uppgifterna förstörs.

24. Mot denna bakgrund beslutade Riigikohus (Högsta domstolen) att vilandeförklara målet och hänskjuta följande frågor till EU‑domstolen med begäran om förhandsavgörande:

”1) Ska artikel 2.2 d i [dataskyddsförordningen] och artikel 2.1 jämförd med artikel 1 i [direktiv 2016/680] av den 27 april 2016 tolkas så, att en eventuell behandling av personuppgifter från en finansunderrättelseenhet kan utgöra en behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, även om underrättelseenheten inte utgör en brottsutredande myndighet i den mening som avses i straffprocesslagen?

2) Ska artikel 23.2 h [i] dataskyddsförordningen och artikel 15.3 i direktiv 2016/680 tolkas så, att en registrerad i ett administrativt förfarande eller ett domstolsförfarande även får nekas information om på grundval av vilken rättsakt tillgången till personuppgifter som rör honom eller henne har nekats, för att förhindra att en behandling av personuppgifter som rör honom eller henne bekräftas eller vederläggs, om den registrerade saknar kännedom om huruvida en sådan behandling har ägt rum eller inte, och får man i ett sådant fall underlåta att informera den registrerade om att han eller hon har möjlighet att utnyttja den åtgärd som föreskrivs i artikel 17.1 i direktiv 2016/680?

3) Ska artikel 15 i direktiv 2016/680, respektive artikel 23 i dataskyddsförordningen, tolkas så, att de inte utgör hinder för en nationell bestämmelse, enligt vilken chefen för finansunderrättelseenheten ges befogenhet att begränsa den registrerades rättigheter och genom vilken syftet, förutsättningarna samt den tidsmässiga och territoriella räckvidden för begränsningen av den registrerades rättigheter anges i förening med andra bestämmelser, däribland även underordnade bestämmelser?

4) Ska artikel 15 i direktiv 2016/680, respektive artikel 23 i dataskyddsförordningen, tolkas så, att de inte utgör hinder för en nationell bestämmelse, i vilken utövandet av de rättigheter som föreskrivs i artikel 14 i direktiv 2016/680 respektive artikel 15 i dataskyddsförordningen begränsas i sin helhet, fram till dess att uppgifterna förstörs, vilket gör att det är omöjligt för den registrerade att någonsin få tillgång till dessa uppgifter?”

25. Republiken Estland, Konungariket Spanien, Republiken Finland samt Europeiska kommissionen har inkommit med skriftliga yttranden. Republiken Estland, Konungariket Spanien, Republiken Frankrike, Republiken Lettland, Storhertigdömet Luxemburg, Konungariket Nederländerna, Republiken Finland samt kommissionen deltog i den muntliga förhandlingen den 3 juni 2026 och besvarade domstolens frågor muntligen.

III. Bedömning

A. Den första frågan (unionens dataskyddsregler som är tillämpliga på finansunderrättelseenheter)

26. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 2.2 d i dataskyddsförordningen och artikel 2.1 i direktiv 2016/680 jämförda med artikel 1.1 i samma direktiv ska tolkas så, att behandling av personuppgifter som utförs av en finansunderrättelseenhet, såsom RAB, kan anses utgöra en behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, även om underrättelseenheten inte utgör en brottsutredande myndighet i den mening som avses i den nationella straffprocesslagen?

27. Den hänskjutande domstolen har ställt denna fråga för att få klarhet i vilka av unionens dataskyddsregler som är tillämpliga på en finansunderrättelseenhet när den utövar sitt uppdrag i samband med bekämpning av penningtvätt och finansiering av terrorism. Det är särskilt viktigt att fastställa detta mot bakgrund av skillnaderna mellan dataskyddsförordningen och direktiv 2016/680. I förevarande mål är det viktigt att notera skillnaden när det gäller omfattningen av begränsningarna av den registrerades rättigheter,( 13 ) tillsynsmyndighetens uppgift enligt artikel 17 i direktiv 2016/680 att indirekt utöva den registrerades rättigheter, och skillnaderna i de regler som gäller för överföring av uppgifter till tredjeländer eller organisationer.( 14 )

28. Den centrala frågan när det gäller att bestämma tillämpliga dataskyddsregler är huruvida den behandling av uppgifter som utförs av en finansunderrättelseenhet såsom RAB ska anses utgöra behandling som utförs av en ”behörig myndighet” i den mening som avses i direktiv 2016/680. Om så var fallet skulle RAB:s behandling av uppgifter omfattas av det materiella tillämpningsområdet för direktiv 2016/680 enligt artiklarna 1.1 och 2.1 i samma direktiv. För att undersöka frågan kommer jag först att ge en kort översikt över kriterierna för begränsning av tillämpningsområdet för dataskyddsförordningen och direktiv 2016/680. Därefter kommer jag att undersöka finansunderrättelseenheternas ställning, uppdrag och funktioner på området för bekämpning av penningtvätt och finansiering av terrorism innan jag drar slutsatser om vilka dataskyddsregler som är tillämpliga på finansunderrättelseenheterna när de utför sina huvuduppdrag enligt dessa regler.

1. Begränsning av tillämpningsområdet för dataskyddsförordningen och direktiv 2016/680

29. Den grundläggande rätten till skydd av personuppgifter är förankrad i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och i artikel 16.1 FEUF. Unionens dataskyddsregler vilar på tre pelare, nämligen dataskyddsförordningen, direktiv 2016/680 och förordning 2018/1725( 15 ), som är tillämplig på unionens institutioner.

30. Såsom benämningen antyder föreskrivs i dataskyddsförordningen ett allmänt och övergripande system för skydd av personuppgifter.( 16 ) I artikel 2.2 i dataskyddsförordningen anges fyra undantag från förordningens tillämpningsområde, såsom detta definieras i artikel 2.1 i förordningen, vilka ska tolkas restriktivt.( 17 )

31. Från dataskyddsförordningens tillämpningsområde utesluts i synnerhet i dess artikel 2.2 d behöriga myndigheters behandling av personuppgifter i syfte att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.

32. Anledningen till detta undantag från tillämpning av lagen, vilket framgår av skäl 19 i dataskyddsförordningen, är att behandling av personuppgifter för sådana ändamål regleras genom en mer specifik unionsrättsakt, nämligen direktiv 2016/680, som antogs samma dag som dataskyddsförordningen.( 18 )

33. Tillämpningsområdet för direktiv 2016/680, vilket anges i artikel 2.1 jämförd med artikel 1.1 i samma direktiv, bestäms på grundval av den person eller aktör som genomför behandlingen och syftet med behandlingen.( 19 ) Den person som utför behandlingen ska vara en ”behörig myndighet” i den mening som avses i artikel 3 led 7 i direktiv 2016/680. I syftet med behandlingen av personuppgifter ingår att förebygga, avslöja, utreda eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.

34. Av skäl 10 i direktiv 2016/680 framgår att begreppet ”behörig myndighet” ska kopplas till skyddet av personuppgifter inom områdena straffrättsligt samarbete och polissamarbete, med beaktande av de anpassningar som kan visa sig nödvändiga i detta avseende med hänsyn till dessa områdens särart.( 20 )

35. Begreppet behörig myndighet definieras i artikel 3 led 7 i förordning 2016/680.

36. I artikel 3 led 7 i direktiv 2016/680 anges två kategorier av behöriga myndigheter. I artikel 3 led 7 a i direktivet definieras ”behörig myndighet” som ”en offentlig myndighet som har behörighet att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga hot mot den allmänna säkerheten”. Definitionen omfattar offentliga myndigheter såsom rättsliga myndigheter, polis eller andra brottsbekämpande myndigheter.( 21 )

37. I artikel 3 led 7 b utsträcks definitionen till att innefatta ”annat organ eller annan enhet som genom medlemsstaternas nationella rätt har anförtrotts myndighetsutövning för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga och förhindra hot mot den allmänna säkerheten”.

38. Definitionen av behörig myndighet måste tillämpas analogt på artikel 2.2 d i dataskyddsförordningen och det undantag vad gäller brottsbekämpning som anges i den bestämmelsen.( 22 ) Det framgår tydligt av bestämmelsens ordalydelse att, för att undantaget i fråga ska gälla, måste de båda villkoren beträffande syftet med behandlingen och den person som utför behandlingen uppfyllas samtidigt.( 23 )

39. Den omständigheten att behandlingen av personuppgifter utförs för brottsbekämpning räcker inte ensam för att utesluta en tillämpning av dataskyddsförordningen.( 24 ) Den omständigheten att en behörig myndighet behandlar personuppgifter är omvänt inte tillräckligt för att den ska omfattas av tillämpningsområdet för direktiv 2016/680, om behandlingen inte har något samband med tillämpningen av lagen.( 25 )

40. I EU-domstolens praxis finns upplysande exempel på avgränsningen av tillämpningsområdet för de båda rättsliga instrumenten. Domstolen har slagit fast att det ansvariga lettiska organet( 26 ) inte ska anses som en ”behörig myndighet” i den mening som avses i artikel 3 led 7 i direktiv 2016/680 när den utövar en verksamhet som består i att i trafiksäkerhetssyfte lämna ut personuppgifter avseende prickning av förare vid överträdelser av trafikregler. Sådan verksamhet omfattas därför av det materiella tillämpningsområdet för dataskyddsförordningen.( 27 ) Domstolen har även slagit fast att när skattemyndigheter samlar in uppgifter från en ekonomisk aktör i syfte att uppbära skatt och bekämpa skatteundandragande anses de inte agera såsom ”behörig myndighet” i den mening som avses i artikel 3 led 7 i direktiv 2016/680.( 28 )

41. Domstolen ansåg däremot att behandling av passageraruppgiftssamlingar (PNR-uppgifter) i syfte att förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet som utförs av en enhet för passagerarinformation, som är en myndighet som är behörig att förhindra, upptäcka, utreda eller lagföra terroristbrott och grov brottslighet och har inrättats genom direktiv 2016/681( 29 ) omfattas av tillämpningsområdet för direktiv 2016/680.( 30 )

42. Domstolen har även slagit fast att direktiv 2016/680 ska gälla för behandling av uppgifter som utförs av Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (den franska offentliga myndigheten med ansvar för spridning av verk och rättighetsskydd på internet) (nedan kallad Hadopi) när denna myndighet vidtar åtgärder inom ramen för det så kallade graduated response -förfarandet i den mån åtgärderna omedelbart föregår ett brottmålsförfarande och har direkt samband med ett domstolsförfarande.( 31 )

43. Av denna praxis följer, när det gäller brottsförebyggande, att frågan huruvida direktiv 2016/680 är tillämpligt inte beror på om den berörda offentliga myndigheten utgör en brottsutredande myndighet enligt nationell straffrätt. Det beror på den berörda offentliga myndighetens specifika uppdrag och funktioner i kedjan av brottsförebyggande enligt den rättsakt som reglerar denna myndighets behandling av personuppgifter i syfte att förebygga brottslighet.

44. Mot bakgrund av ovanstående allmänna överväganden kommer jag nu att undersöka finansunderrättelseenheternas ställning, uppdrag och funktioner i det juridiska landskapet när det gäller bekämpning av penningtvätt och finansiering av terrorism, och därefter kommer jag att bedöma om de uppfyller kriterierna för tillämpning av direktiv 2016/680.

2. Finansunderrättelseenheternas ställning, uppdrag och funktioner i unionens system för bekämpning av penningtvätt och finansiering av terrorism

45. Medlemsstaternas skyldighet att inrätta finansunderrättelseenheter anges i artikel 32.1 i direktiv 2015/849 (även känt som det fjärde penningtvättsdirektivet).

46. Det hade emellertid länge funnits finansunderrättelseenheter innan de erkändes formellt i nämnda direktiv.( 32 ) I rådets beslut 2000/642/RIF( 33 ), som antogs enligt den tidigare ”tredje pelaren” om polissamarbete och straffrättsligt samarbete( 34 ) föreskrevs i dess artikel 1.1 att medlemsstaterna var skyldiga att säkerställa att ”finansunderrättelseenheter som inrättats eller utsetts för att ta emot finansiell information i syfte att bekämpa penningtvätt, [skulle samarbeta] för att samla, analysera och undersöka relevant information inom finansunderrättelseenheten om alla förhållanden som [kunde] tyda på penningtvätt i enlighet med sina nationella befogenheter”. Enligt artikel 3 i nämnda direktiv skulle medlemsstaterna säkerställa att utförandet av finansunderrättelseenheternas uppgifter enligt detta beslut inte påverkades ”av deras interna status, oavsett om de [var] administrativa, brottsbekämpande eller rättsliga myndigheter”.

47. Finansunderrättelseenheternas ställning varierar mellan medlemsstaterna.( 35 ) Modellen med finansunderrättelseenheter har inte harmoniserats, och medlemsstaterna ”behåller hela ansvaret för att inrätta [finansunderrättelseenheter] och besluta om hur de ska organiseras”.( 36 )

48. I direktiv 2015/849 ställs emellertid ett viktigt krav som gäller oberoende av vilken modell medlemsstaterna har valt för finansunderrättelseenheten. Finansunderrättelseenheten ska enligt artikel 32.2 vara ”operativt oberoende och självständig”, vilket innebär att en finansunderrättelseenhet ska ha ”behörighet och kapacitet att utföra sina uppgifter fritt, inklusive att kunna fatta självständiga beslut om att analysera, begära och sprida specifik information”.

49. Vidare ska finansunderrättelseenheternas varierande rättsliga ställning inte hindra deras samarbete( 37 ) och effektiviteten i informationsutbytet mellan brottsbekämpande organ eller åklagarmyndigheter och finansunderrättelseenheter.( 38 )

50. Huvuduppdraget för en finansunderrättelseenhet( 39 ) vilket anges i artikel 32.1 i direktiv 2015/849, är att ”förebygga, upptäcka och effektivt bekämpa penningtvätt och finansiering av terrorism”. I det avseendet är enligt artikel 32.2 i direktiv 2015/849 finansunderrättelseenheten den centrala nationella enheten med ansvar för att ta emot( 40 ) och analysera rapporter om misstänkta transaktioner och annan information som är relevant för penningtvätt, därmed associerade förbrott eller finansiering av terrorism. Den ska också ansvara för att till behöriga myndigheter sprida resultaten av sina analyser och andra relevanta uppgifter, när det finns skäl att misstänka penningtvätt, därmed associerade förbrott eller finansiering av terrorism.

51. När finansunderrättelseenheterna fullgör sitt uppdrag och sina funktioner ska de enligt artikel 32.4 i direktiv 2015/849 ha betydande befogenheter när det gäller tillgång till brottsbekämpningsuppgifter som de behöver för att fullgöra sina uppdrag på rätt sätt.( 41 )

52. Finansunderrättelseenheterna har enligt artikel 32.7 i direktiv 2015/849 även befogenheter att vidta ”brådskande åtgärder om det finns en misstanke om att en transaktion är kopplad till penningtvätt eller finansiering av terrorism, och uppskjuta eller vägra samtycka till en transaktion som är under utförande för att kunna analysera den, styrka misstankarna och sprida resultaten av analysen till behöriga myndigheter”.

53. Uppdragen, funktionerna och befogenheterna belyser betydelsen av finansunderrättelseenheter för att upptäcka brott och förebygga brott i samband med bekämpning av penningtvätt och finansiering av terrorism. Finansunderrättelseenheterna har i uppdrag att förebygga och bekämpa penningtvätt och finansiering av terrorism, vilket är ett brottsbekämpningsuppdrag, och de har även nära samarbete med de behöriga brottsbekämpande myndigheterna.( 42 )

54. Finansunderrättelseenheterna har en sui generis -ställning. Även om de verkar inom den ”bredare polisverksamheten”( 43 ) är de inte nödvändigtvis integrerade i polisväsendet. Utan att förneka deras betydelse när det gäller att se till att unionens finansmarknad fungerar väl (vilket motiverar antagandet av direktiv 2015/849 med stöd av artikel 114 FEUF) måste det understrykas att särskilt deras roll i samband med utbyte av finansiell information med brottsbekämpande myndigheter och Europol föreskrivs i ett instrument för polissamarbete som är baserat på artikel 87.2 FEUF, närmare bestämt direktiv 2019/1153 (som har ersatt beslut 2000/642/RIF, ett tidigare instrument i ”tredje pelaren”).

55. Finansunderrättelseenhetens huvuduppdrag, uppgifter och befogenheter visar, vilket jag kommer att gå in på närmare nedan, att unionens tillämpliga ordning för en finansunderrättelseenhets behandling av uppgifter måste vara den som är lämpligast för brottsbekämpning. Jag kommer att utveckla mitt resonemang härom nedan.

3. Dataskyddsregler som är tillämpliga på finansunderrättelseenheterna

56. Alla de regeringar som intagit en ståndpunkt i frågan om vilka av unionens dataskyddsregler som är tillämpliga på finansunderrättelseenheter( 44 ) i sina skriftliga yttranden eller vid den muntliga förhandlingen ansåg att finansunderrättelseenheterna när de utövar sitt huvuduppdrag utgör ”behöriga myndigheter” i den mening som avses i direktiv 2016/680. I det avseendet anlägger de i huvudsak ett funktionellt synsätt vid tolkningen av direktivet och koncentrerar sig på de uppdrag och funktioner som finansunderrättelseenheterna utövar.

57. Jag håller med om att finansunderrättelseenheternas behandling av personuppgifter omfattas av tillämpningsområdet för direktiv 2016/680 när de fullgör sina huvuduppdrag och funktioner.

58. Såsom jag har förklarat ovan har finansunderrättelseenheternas huvuduppdrag samband med området bekämpning av penningtvätt och finansiering av terrorism. I artikel 83.1 FEUF inkluderas terrorism och penningtvätt bland de områden med särskilt allvarlig brottslighet med ett gränsöverskridande inslag för vilka unionslagstiftaren får införa minimiregler om fastställande av brottsrekvisit och påföljder.( 45 ) När finansunderrättelseenheterna fullgör detta uppdrag deltar de i förebyggande och upptäckande av brotten i fråga.

59. Såsom jag har påpekat ovan har finansunderrättelseenheterna nära kopplingar till brottsbekämpande myndigheter och Europol i samband med sina uppdrag. De sprider resultaten av sin analys till de brottsbekämpande myndigheterna, de besvarar dessa myndigheters begäranden om upplysningar, och de har även själva tillgång till de brottsbekämpningsuppgifter som de behöver.

60. Finansunderrättelseenheterna befinner sig mellan de aktörer inom den privata sektorn som omfattas av rapporteringsskyldigheter för bekämpning av penningtvätt och de brottsbekämpande myndigheterna. Deras roll är emellertid inte begränsad till att bara ta emot och vidarebefordra information. Finansunderrättelseenheternas mervärde består i deras analys av information,( 46 ) vilket är väsentligt i kedjan av brottsförebyggande. Med hänsyn till deras roll i den analysen och de kanaler för utbyte av information och för kommunikation som står till deras förfogande är finansunderrättelseenheterna, såsom det träffande beskrivs i doktrinen, Europeiska unionens ”nav för finansunderrättelser”,( 47 ) och som sådana har de en central roll i systemet för bekämpning av penningtvätt och finansiering av terrorism.

61. De befinner sig i skärningspunkten( 48 ) mellan förebyggande, å ena sidan, och utredning och lagföring som genomförs av brottsbekämpande myndigheter, å andra sidan, inom systemet för bekämpning av penningtvätt och finansiering av terrorism. En finansunderrättelseenhets huvuduppdrag befinner sig, vilket den lettiska regeringen förklarade vid den muntliga förhandlingen, i det inledande skedet av brottmålsprocesser. Luxemburgs regering har i samma anda med rätta påpekat att finansunderrättelseenheterna har en funktion ”före ett brottmålsförfarande” som ingår i ett ”funktionellt kontinuum” som leder fram till bekämpning av brott.

62. Mot bakgrund av sin roll i samband med upptäckt och förebyggande av brott har vissa regeringar som inkommit med skriftliga yttranden och deltagit i den muntliga förhandlingen dragit paralleller med EU-domstolens slutsatser i domen La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång)( 49 ) beträffande den franska myndigheten Hadopi. I det målet fann domstolen, vilket jag har påpekat ovan,( 50 ) att Hadopi, som är en administrativ myndighet med befogenhet att vidta åtgärder som ”omedelbart föregår ett brottmålsförfarande” ska kvalificeras som ”behörig myndighet” i den mening som aves i artikel 3 i direktiv 2016/680, inblandad i att förebygga och avslöja brott i form av ”grov oaktsamhet” eller ”upphovsrättsintrång”, omfattas av tillämpningsområdet för nämnda direktiv enligt dess artikel 1.( 51 ) Så var fallet även om domstolen slog fast att Hadopi ”sakna[de] egna beslutsbefogenheter” enligt tillämplig nationell rätt.( 52 )

63. Om den behandling av uppgifter som utförs av en administrativ myndighet såsom Hadopi omfattas av tillämpningsområdet för direktiv 2016/680 bör samma slutsats gälla i ännu högre grad för en finansunderrättelseenhet, som är en offentlig myndighet som, oavsett dess ställning enligt nationell rätt, är behörig att fatta självständiga beslut för att analysera, begära och sprida finansiella underrättelser och har betydande befogenheter enligt unionsrätten som är nödvändiga för att upptäcka och förebygga brott inom området bekämpning av penningtvätt och finansiering av terrorism.

64. De flesta regeringarna har, helt riktigt enligt min uppfattning, betonat att karaktären hos finansunderrättelseenheternas uppdrag liknar de uppdrag som enheterna för passagerarinformation har( 53 ) vilka domstolen i domen Ligue des droits humains( 54 ) klassificerade som ”behöriga myndigheter” som omfattas av tillämpningsområdet för direktiv 2016/680. Enheterna för passagerarinformation klassificerades som sådana på grund av deras behörighet enligt artiklarna 4 och 7 i PNR‑direktivet att förebygga, upptäcka, utreda eller lagföra terroristbrott och grov brottslighet. Dessa enheter för passagerarinformation samlar in uppgifter från lufttrafikföretag, behandlar dem och överför uppgifterna eller resultatet av behandlingen till de behöriga myndigheterna. De har även ansvar för att utbyta PNR‑uppgifter och resultatet av behandlingen med enheterna för passagerarinformation i andra medlemsstater och med Europol. Enheterna för passagerarinformation hör helt klart till det straffrättsliga området och ingår i kedjan av förhindrande och upptäckt av brott.

65. Finansunderrättelseenheternas funktion i kedjan av brottsförebyggande liknar den funktion som enheter för passagerarinformation har, eftersom de också tar emot information, analyserar den och sprider den till de brottsbekämpande myndigheterna.

66. I domstolens praxis stöds därför slutsatsen att uppgifter som behandlas av finansunderrättelseenheterna i syfte att förhindra brott inom området brottsbekämpning på området penningtvätt och finansiering av terrorism omfattas av tillämpningsområdet för direktiv 2016/680.

67. Finansunderrättelseenheterna uppfyller också kraven för en ”behörig myndighet” i den mening som avses i artikel 3 led 7 a i direktiv 2016/680. Såsom jag har påpekat ovan( 55 ) omfattar denna definition inte endast de ”traditionella” rättsliga eller brottsbekämpande myndigheterna, utan den utsträcks till att gälla varje ”offentlig myndighet” (min kursivering) som är behörig inom området brottsbekämpning.

68. Klassificeringen av en finansunderrättelseenhet som ”behörig myndighet” enligt artikel 3 led 7 i direktiv 2016/680 ska inte bero på vilken organisatorisk struktur som har valts (brottsbekämpande, rättslig, administrativ eller hybrid), utan på de uppdrag och funktioner som den har getts och de befogenheter som den utövar. Den omständigheten att en sådan finansunderrättelseenhet som RAB inte är en brottsutredande myndighet i den mening som avses i straffprocesslagen är inte heller avgörande.( 56 )

69. Även om det ansågs att en finansunderrättelseenhet inte omfattas av artikel 3 led 7 a i direktiv 2016/680 ska den, vilket Luxemburgs regering har påpekat, under alla omständigheter anses omfattas av artikel 3 led 7 b i bestämmelsen, vilken gäller för ”varje annat organ eller varje annan enhet” med uppdrag att bekämpa brott. I den mån en privat enhet kan kvalificeras som ”behörig myndighet” enligt artikel 3 led 7 b i direktivet när en medlemsstat ger den i uppdrag att utöva befogenheter för brottsbekämpning bör detta gälla i ännu högre grad för en finansunderrättelseenhet som är en offentlig myndighet med betydande befogenheter inom området bekämpning av penningtvätt och finansiering av terrorism.

70. En finansunderrättelseenhet ska följaktligen kvalificeras som ”behörig myndighet” i den mening som avses i artikel 3 led 7 i direktiv 2016/680 när den fullgör sitt huvuduppdrag inom området bekämpning av penningtvätt och finansiering av terrorism.

71. Detta påverkar inte tillämpningen av dataskyddsdirektivet när finansunderrättelseenheterna behandlar uppgifter i samband med andra uppdrag som inte har att göra med någon av de verksamheter som anges i artikel 1.1 i direktiv 2016/680. Av artikel 9.2 i direktivet följer att dataskyddsförordningen ska gälla för behandling för sådana andra ändamål. Den estniska regeringen har förklarat att RAB har tillsynsbefogenheter i förhållande till den icke-finansiella sektorn och att den även kontrollerar verkställigheten av vissa ekonomiska sanktioner. När en finansunderrättelseenhet behandlar uppgifter för ändamål som inte har samband med dess huvuduppdrag inom området bekämpning av penningtvätt och finansiering av terrorism omfattas behandlingen av tillämpningsområdet för dataskyddsförordningen.( 57 )

72. Kommissionen anser ändå att finansunderrättelseenheterna inte utgör ”behöriga myndigheter” i den mening som avses i direktiv 2016/680, varför dessa myndigheters behandling av uppgifter omfattas av dataskyddsförordningen.

73. Den anser i detta avseende att finansunderrättelseenheternas verksamhet begränsas till ”förberedande administrativ hantering” av information som de tar emot. Det är endast de behöriga myndigheter som de sprider information till som kan dra slutsatser om huruvida de verksamheter som ingår är av brottsbekämpande karaktär.

74. Mot bakgrund av finansunderrättelseenheternas uppdrag, funktioner och befogenheter som har förklarats utförligt ovan stämmer detta synsätt illa överens med finansunderrättelseenheternas centrala roll i kedjan av förebyggande av brottslighet. Finansunderrättelseenheterna är, såsom namnet antyder, verkliga underrättelsenav som kan fatta självständiga beslut i samband med analysen av relevant information. Finansunderrättelseenheternas befogenhet att få åtkomst till de brottsbekämpningsuppgifter som de behöver för att kunna fullgöra sina uppdrag (enligt artikel 32.4 i direktiv 2015/849) för att utbyta information med varandra, med de brottsbekämpande myndigheterna och med Europol och befogenheten att uppskjuta eller vägra samtycka till en transaktion visar tydligt att deras roll inte begränsas till enbart förberedande administrativ hantering.

75. Den omständigheten att finansunderrättelseenheterna befinner sig mitt i kedjan av upptäckt och förhindrande av brott och att de sprider information till de behöriga myndigheterna utesluter inte att de själva kvalificeras som ”behöriga myndigheter”. En sådan kvalificering beror förvisso inte på var exakt i systemet för brottsbekämpning myndigheten befinner sig, utan på dess uppdrag och funktioner.( 58 )

76. Kommissionens starkaste argument rör ordalydelsen i artikel 41.1 i direktiv 2015/849. Enligt dess ändrade lydelse omfattas behandling av personuppgifter enligt det direktivet av dataskyddsförordningen. Kommissionen har påpekat att den bestämmelsen har formulerats brett för att omfatta alla uppgiftsbehandlingar enligt direktiv 2015/849, däribland finansunderrättelseenheternas behandling.

77. Såsom nästan alla de regeringar som har inkommit med skriftliga yttranden och deltagit i den muntliga förhandlingen har gjort gällande( 59 ) ska artikel 41.1 i direktiv 2015/849 inte påverka tillämpningen av direktiv 2016/680.

78. Unionslagstiftaren har fastställt en omfattande uppsättning dataskyddsregler som ska tillämpas konsekvent inom alla områden av unionsrätten. Dataskyddsförordningen och direktiv 2016/680 gäller inom sina respektive tillämpningsområden. Såsom den spanska regeringen förklarade vid den muntliga förhandlingen ändrar artikel 41.1 i direktiv 2015/849 med andra ord inte villkoren för respektive tillämpningsområde för dataskyddsförordningen och direktiv 2016/680.

79. Detta bekräftas av skäl 42 i direktiv 2015/849 enligt vilket det direktivet inte påverkar skyddet av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, däribland rådets rambeslut 2008/977/RIF (rambeslut 2008/977)( 60 ), som var föregångaren till direktiv 2016/680. Det är viktigt att erinra om att ramdirektivet, som upphävdes genom direktiv 2016/680, hade ett begränsat tillämpningsområde inom området polissamarbete och straffrättsligt samarbete.

80. Såsom den franska regeringen förklarade vid den muntliga förhandlingen framgår det också av skäl 22 i direktiv 2016/680 att unionslagstiftaren inte försökte ändra regeln om avgränsning mellan dataskyddsförordningen och direktiv 2016/680 inom området bekämpning av penningtvätt och finansiering av terrorism. I det skälet nämns ett antal offentliga myndigheter till vilka personuppgifter lämnas ut i enlighet med en rättslig förpliktelse i samband med deras offentliga uppdrag, och det anges att dessa offentliga myndigheters behandling av personuppgifter bör ske i överensstämmelse med de bestämmelser om dataskydd som är tillämpliga på behandlingens ändamål.

81. Behovet av att säkerställa överensstämmelse mellan direktiv 2015/849 och unionens befintliga rättsliga ram för skydd av personuppgifter bekräftas slutligen av direktiv 2024/1640 (det sjätte penningtvättsdirektivet) genom vilket direktiv 2015/849 upphävs. I direktiv 2024/1640 finns inte längre någon uttrycklig bestämmelse om tillämpliga dataskyddsregler. Även om det i skäl 122 anges att dataskyddsförordningen är tillämplig på behandling av personuppgifter vid tillämpningen av det direktivet hänvisas i samma skäl även till tillämpningen av direktiv 2016/680.

82. Kommissionen har uttryckt oro över att om finansunderrättelseenheterna ansågs utgöra behöriga myndigheter skulle detta äventyra deras oberoende i förhållande till de behöriga myndigheter som de sprider informationen till.

83. Jag har svårt att dela kommissionens oro. Finansunderrättelseenheterna ska anses utgöra behöriga myndigheter för att avgöra vilka av unionens dataskyddsregler som är tillämpliga. Detta avgörande påverkar inte deras operativa oberoende och självständighet, vilket måste säkerställas oberoende av deras organisatoriska ställning, även om finansunderrättelseenheten existerar inom en annan myndighets befintliga struktur.( 61 )

84. Ett sista argument som talar för en tillämpning av direktiv 2016/680 på finansunderrättelseenheterna när de utövar sina uppdrag och funktioner är behovet av att värna möjligheten för registrerade att indirekt utöva sin rätt till tillgång till uppgifter genom tillsynsmyndigheten enligt artikel 17 i det direktivet. I min bedömning av den fjärde tolkningsfrågan kommer jag vidare att förklara att indirekt kontroll som utförs av en tillsynsmyndighet är en viktig skyddsåtgärd för att kompensera för möjligheten att rätten till tillgång till uppgifter begränsas helt och hållet enligt artikel 15.1 i direktiv 2016/680.

85. Mot bakgrund av det ovan anförda ska artikel 2.2 d i dataskyddsförordningen och artikel 2.1 i direktiv 2016/680, jämförd med artikel 1.1 i samma direktiv, tolkas så, att en finansunderrättelseenhets behandling av personuppgifter, såsom RAB, när den utövar sitt uppdrag att förebygga, avslöja och bekämpa penningtvätt och finansiering av terrorism och mot bakgrund av dess funktioner och befogenheter på det området ska anses bli utförd av en behörig myndighet i den mening som avses i artikel 3 led 7 i direktiv 2016/680, även om finansunderrättelseenheten i fråga inte utgör en brottsutredande myndighet i den mening som avses i den nationella straffprocesslagen. Behandling av sådana personuppgifter omfattas följaktligen av direktiv 2016/680.

86. Med hänsyn till det svar jag föreslår att domstolen ska ge på den första hänskjutna frågan kommer jag att bedöma de återstående frågorna avseende begränsningarna av den registrerades rätt att få tillgång till uppgifter på grundval av de tillämpliga bestämmelserna i direktiv 2016/680 utan att beakta dataskyddsförordningen.

B. Den fjärde frågan

87. Den hänskjutande domstolen har ställt den fjärde frågan, som bör behandlas härnäst, för att i huvudsak få klarhet i huruvida artikel 15 i direktiv 2016/680 ska tolkas så, att den utgör hinder för en nationell bestämmelse, i vilken utövandet av den registrerades rätt att få tillgång till sina personuppgifter som innehas av en finansunderrättelseenhet begränsas i sin helhet, fram till dess att uppgifterna förstörs, vilket gör att det är omöjligt för den registrerade att någonsin få tillgång till dessa uppgifter.

88. Artikel 15.1 i direktiv 2016/680 ger den nationella lagstiftaren rätt att, med hänsyn till den särskilda särarten hos de ändamål för vilka de uppgifter som omfattas av direktivet behandlas (på vilket uppmärksamhet fästs särskilt i skäl 10 i direktivet), genom lagstiftning vidta åtgärder som begränsar den registrerades rätt att få tillgång till uppgifter under vissa villkor. Rätten till tillgång kan ”helt eller delvis” begränsas ”i den utsträckning och så länge som en sådan åtgärd är nödvändig och proportionell i ett demokratiskt samhälle med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter och berättigade intressen”, i syfte att säkerställa ett visst antal mål av allmänt intresse, vilka förtecknas uttömmande i leden a–e i bestämmelsen. I dessa mål ingår behovet av att ”undvika att hindra officiella eller rättsliga utredningar, förundersökningar eller förfaranden” och att ”undvika menlig inverkan på förebyggande, förhindrande, upptäckt, utredning eller lagföring av brott …”.

89. Medlemsstaterna får enligt artikel 15.2 i direktiv 2016/680 anta lagstiftningsåtgärder för att fastställa kategorier av behandling som helt eller delvis kan omfattas av något av dessa ändamål.

90. I artikel 41.4 i direktiv 2015/849 anges en särskild skyldighet för medlemsstaterna att begränsa de registrerades rätt att få tillgång till personuppgifter ”[v]id tillämpningen av det förbud om röjande av uppgifter som anges i artikel 39.1”. Enligt den bestämmelsen ska medlemsstaterna anta lagstiftningsåtgärder genom vilka den registrerades rätt att få tillgång till uppgifter ”helt eller delvis” begränsas enligt de villkor som anges i bestämmelsen. Dessa villkor är i allt väsentligt desamma som de villkor som anges i artikel 15.1 i direktiv 2016/680. Där anges att den partiella eller fullständiga begränsningen och behovet av att säkerställa de mål som anges i artikel 41.4 i direktiv 2015/849 ska vara nödvändig och proportionerlig.( 62 )

91. Det förbud mot röjande av uppgifter som anges i den inledande meningen i artikel 41.4 i direktiv 2015/849 gäller för de ansvariga enheter som förbjuds att röja (eller ”tipsa om” för att använda språkbruket i FATF:s rekommendation nr 21) den omständigheten att information om misstänkta transaktioner överförs, kommer att överföras eller har överförts till en finansunderrättelseenhet i enlighet med artikel 33 i det direktivet.( 63 )

92. Hänvisningen till förbudet mot röjande av uppgifter verkar tyda på att artikel 41.4 i direktiv 2015/849 särskilt reglerar begränsningarna av de registrerades rätt att få tillgång till uppgifter när det gäller den information som innehas av ansvariga enheter och den omständigheten att sådan information överförs, kommer att överföras eller har överförts till en finansunderrättelseenhet (eller ett självreglerande organ). Vad gäller rätten att få tillgång till uppgifter som innehas av en finansunderrättelseenhet vill jag emellertid erinra om att dessa myndigheter inte endast tar emot information från de ansvariga enheterna, utan de tar även emot information från andra källor (inhemska och utländska behöriga myndigheter, finansunderrättelseenheter i andra medlemsstater och Europol) med vilka de också utbyter information. Finansunderrättelseenheterna skapar också finansunderrättelser.( 64 ) Efter det att direktiv 2016/680 antagits och med hänsyn till den vida formuleringen i det nationella målet av den registrerades begäranden om att få tillgång till uppgifter förefaller det mer lämpligt att undersöka begränsningarna av rätten att få tillgång till uppgifter mot bakgrund av artikel 15 i det direktivet. Bestämmelsen har ett omfattande tillämpningsområde och kan gälla för alla de uppgifter och all den information som finansunderrättelseenheterna innehar.( 65 )

93. Det framgår av artikel 15.1 i direktiv 2016/680 att den begränsning av rätten till tillgång som medlemsstaterna får fastställa kan vara ”fullständig”. En sådan fullständig (eller partiell) begränsning måste emellertid vara förenlig med proportionalitetsprincipen. Enligt den bestämmelsen får medlemsstaterna anta lagstiftningsåtgärder som helt eller delvis begränsar den registrerades rätt till tillgång ”i den utsträckning och så länge en sådan partiell eller fullständig begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter och berättigade intressen”. Varje inskränkning måste således begränsas när det gäller omfattningen och tiden i förhållande till vad som är nödvändigt och proportionerligt.( 66 )

94. I detta avseende vill jag erinra om att rätten att få tillgång sina personuppgifter är förankrad i artikel 8.2 i stadgan. Denna rätt ska dock inte ses som en absolut rättighet, utan den ska beaktas i förhållande till sin samhällsfunktion.

95. Såsom framgår av artikel 52.1 i stadgan är det förvisso tillåtet att begränsa utövandet av dessa rättigheter, under förutsättning att begränsningarna föreskrivs i lag, att de är förenliga med det väsentliga innehållet i dessa rättigheter och att de, med beaktande av proportionalitetsprincipen, är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av Europeiska unionen eller mot behovet av skydd för andra människors rättigheter och friheter.( 67 )

96. Inom ramen för direktiv 2015/849 är fullständig sekretess för uppgifterna en väsentlig förutsättning för att det system för bekämpning av penningtvätt och finansiering av terrorism som inrättas genom det direktivet ska vara effektivt.( 68 ) Av skäl 46 i det direktivet följer även att den registrerades tillgång till uppgifter med anknytning till en rapport om en misstänkt transaktion allvarligt skulle undergräva en effektiv bekämpning av penningtvätt och finansiering av terrorism. Uppgifterna är och måste förbli konfidentiella i hela kedjan av viktiga aktörer i systemet, nämligen de ansvariga enheter som omfattas av förbud mot att röja uppgifter, finansunderrättelseenheterna som samlar in och analyserar konfidentiell information och de brottsbekämpande myndigheterna.

97. Samtliga regeringar som inkommit med skriftliga yttranden hävdade vid den muntliga förhandlingen att kravet på sekretess är en inneboende egenskap hos systemet för bekämpning av penningtvätt och finansiering av terrorism och av central betydelse för finansunderrättelseenheternas samarbete. Dessa regeringar betonade den känsliga karaktären hos den information som innehas av finansunderrättelseenheterna och att redan vetskapen om att uppgifter behandlas kan äventyra den analys och de utredningar som pågår och göra det möjligt för de misstänkta personerna att dölja pengarnas ursprung.

98. Det förefaller därför nödvändigt och lämpligt att helt begränsa rätten att få tillgång till de uppgifter som finansunderrättelseenheterna innehar i samband med sitt huvuduppdrag, för att uppnå målen avseende bekämpning av penningtvätt och finansiering av terrorism.

99. Med detta sagt vill jag erinra om att det följer av fast rättspraxis att för att åtgärder som innebär ett ingrepp i de rättigheter som garanteras i artikel 8 i stadgan ska vara proportionerliga krävs det att inte bara kraven på lämplighet och nödvändighet iakttas utan även kravet att åtgärderna är proportionerliga i förhållande till det eftersträvade målet.( 69 ) Närmare bestämt ska undantag från och begränsningar av skyddet för personuppgifter inskränkas till vad som är absolut nödvändigt.( 70 )

100. Enligt EU-domstolens praxis måste närmare bestämt varje lagstiftning som ger upphov till ett ingrepp i rätten till skydd av personuppgifter ske med iakttagande av proportionalitetsprincipen, vilket fordrar att all lagstiftning som ger upphov till ett sådant ingrepp innehåller klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden och föreskriver minimikrav, så att de personer vilkas personuppgifter behandlas har tillräckliga garantier för att på ett effektivt sätt kunna skydda dessa uppgifter mot riskerna för missbruk samt mot otillåten åtkomst och användning.( 71 ) Denna lagstiftning ska vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd avseende behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strängt nödvändigt för att inte äventyra ett mål av allmänintresse.( 72 )

101. Av denna praxis följer att en absolut och ovillkorlig begränsning av rätten att få tillgång till de uppgifter som finansunderrättelseenheten innehar, enligt vilken inga omständigheter, villkor eller skyddsåtgärder är tillåtna i samband med begränsningen, utgör ett omotiverat ingrepp i rätten till dataskydd som inte är förenligt med artikel 15.1 i direktiv 2016/680. I avsaknad av villkor eller kriterier som fastställts i lag är det inte möjligt för vare sig tillsynsmyndigheten eller laga domstol som utövar tillsyn över den personuppgiftsansvariges beslut att pröva lagligheten av den begränsning som införts.

102. Jag vill också påpeka att det i artikel 15.4 i direktiv 2016/680 föreskrivs att den personuppgiftsansvarige ska dokumentera de sakliga och rättsliga grunderna för beslutet och göra denna information tillgänglig för tillsynsmyndigheterna. Genom den personuppgiftsansvariges skyldighet att dokumentera nekandet säkerställs den personuppgiftsansvariges ansvarighet gentemot tillsynsmyndigheten, och en effektiv rättslig prövning av oberoende domstolar.( 73 ) Den personuppgiftsansvariges möjlighet att neka den registrerade tillgång till uppgifter ger med andra ord inte den personuppgiftsansvarige (finansunderrättelseenheten i det aktuella fallet) fria händer.

103. Kraven på nödvändighet och proportionalitet som följer av artikel 52.1 i stadgan måste även iakttas när medlemsstaterna i enlighet med artikel 15.2 i direktiv 2016/680 fastställer kategorier av behandling för vilka begränsningar ska gälla enligt artikel 15.1 i samma direktiv.

104. Vad gäller den nationella lagstiftningen i det nationella målet har den hänskjutande domstolen förklarat att den föreskriver en absolut begränsning av rätten till tillgång för alla enskilda personer under alla omständigheter fram till dess att uppgifterna förstörs. I RAB-chefens beslut, enligt vilket tillgången till alla uppgifter i RAB:s databas ska begränsas, tycks inte några exakta regler anges som reglerar omfattningen och tillämpningen av begränsningen av tillgången till uppgifter, och där fastställs inga minimikrav för att skydda mot risken för missbruk och säkerställa att finansunderrättelseenheten tillämpar begränsningarna i fråga i den mån det är strängt nödvändigt. Såsom kommissionen i huvudsak har påpekat i sitt skriftliga yttrande måste nödvändigheten av och proportionaliteten hos begränsningen av rätten garanteras på grundval av allmänna kriterier som möjliggör en bedömning av varje enskild begäran om tillgång.

105. Den estniska regeringen förklarade vid den muntliga förhandlingen att det inte fastställs någon absolut eller kategorisk begränsning i det nationella rättsliga ramverket. Den förklarade att chefen för RAB har utrymme för skönsmässig bedömning när det gäller att pröva och avgöra varje begäran om tillgång. Den bekräftade att sådant utrymme för skönsmässig bedömning exempelvis utövas när en person redan känner till att det pågår en utredning eller när RAB beslutar att spärra personens tillgångar.

106. Den hänskjutande domstolen, som är behörig att tolka sin nationella rätt, har att kontrollera om det finns detaljer i det nationella rättsliga ramverket som säkerställer att begränsningen av rätten till tillgång endast ska gälla i den mån den är strängt nödvändig, för att inte det mål av allmänintresse ska äventyras för vilket begränsningen av rätten till tillgång fastställs och säkerställer att begränsningen inte är godtycklig.

107. Även om det anses att det finns utrymme för skönsmässig bedömning för chefen för RAB måste, såsom kommissionen med rätta påpekade vid den muntliga förhandlingen, de detaljer eller kriterier som anger ramen för den skönsmässiga bedömningen anges i den nationella åtgärden i fråga. Dessa detaljer framgår emellertid inte av presentationen av den tillämpliga nationella lagstiftningen.

108. Samtidigt som en fullständig begränsning av tillgången till de uppgifter som finansunderrättelseenheten innehar kan fastställas i nationell rätt måste det således i den nationella rätten fastställas tydliga och precisa bestämmelser som reglerar omfattningen och villkoren för tillämpning av lagstiftningsåtgärden i fråga och införas minimikrav, så att de personer vars personuppgifter behandlas har tillräckliga garantier för att uppgifterna kommer att skyddas effektivt mot risken för missbruk och mot att finansunderrättelseenheterna eller någon annan behörig myndighet i systemet för bekämpning av penningtvätt och finansiering av terrorism får tillgång till eller använder uppgifterna olagligt.( 74 )

109. Vidare måste en fullständig begränsning av den registrerades tillgång till uppgifter uppvägas av den kompensationsmekanism som föreskrivs i artikel 17 i direktiv 2016/680. I den bestämmelsen anges att den registrerades rättigheter kan utövas indirekt av tillsynsmyndigheten. Detta indirekta utövande gäller bland annat i det fall som avses i artikel 15.3 i direktivet. Där ges den personuppgiftsansvarige möjlighet att inte underrätta den registrerade om nekad eller begränsad tillgång och om skälen till att information nekas eller begränsas när något av de mål av allmänintresse som anges i artikel 15.1 i direktivet skulle undergrävas om informationen lämnades ut. Enligt artikel 17.3 måste tillsynsmyndigheten, när den utövar rätten att få tillgång för den registrerades räkning, åtminstone informera den registrerade om att alla nödvändiga kontroller eller en översyn genom tillsynsmyndigheten har ägt rum.

110. I EU-domstolens praxis framhävs betydelsen av indirekt utövande av den registrerades rättigheter för att säkerställa en lämplig balans mellan det allmänintresse som motiverar en begränsning av rätten till tillgång och den registrerades grundläggande rätt till dataskydd och till en effektiv rättslig prövning enligt artikel 47 i stadgan. I domen Ligue des droits humains (Tillsynsmyndighetens kontroll av behandlingen av personuppgifter) slog domstolen fast att det, såsom framgår av skäl 48 i direktiv 2016/680, ska anses vara nödvändigt att indirekt kunna utöva den registrerades rättigheter genom den behöriga tillsynsmyndigheten för att skydda dessa rättigheter, när det visar sig vara svårt eller till och med omöjligt att utöva dem direkt hos den personuppgiftsansvarige.( 75 )

111. Vad gäller tillsynsmyndighetens exakta roll vid ett indirekt utövande av dessa rättigheter har domstolen slagit fast att myndigheten ska inleda en konfidentiell dialog med den personuppgiftsansvarige och, efter denna dialog, besluta vilken information som är nödvändig för att den registrerade ska kunna utöva sin rätt till ett effektivt rättsmedel.( 76 )

112. Av domstolens praxis följer dessutom att det inom ramen för domstolsprövningen av om tillsynsmyndigheten har gjort en korrekt tillämpning av artikel 17 i direktiv 2016/680, åligger medlemsstaterna att införa regler som gör det möjligt för den behöriga domstolen att få kännedom om de skäl och den bevisning som myndigheten i detta sammanhang har lagt till grund för sin bedömning av huruvida den aktuella behandlingen av uppgifterna är laglig samt de slutsatser som myndigheten dragit därav.( 77 ) Den information som den personuppgiftsansvarige gjort tillgänglig för tillsynsmyndigheten beträffande de skäl på vilka denne grundat sitt beslut ska även göras tillgänglig för den domstol som har att pröva ett överklagande mot tillsynsmyndigheten.( 78 )

113. Vid den muntliga förhandlingen förklarade den estniska regeringen att den nationella tillsynsmyndigheten har befogenhet att kontrollera om RAB:s behandling av uppgifter är laglig. Det ankommer på den nationella domstolen att kontrollera att den nationella lagstiftningen säkerställer att artikel 17 i direktiv 2016/680 tillämpas korrekt.

114. Mot bakgrund av det ovan anförda måste artikel 15 i direktiv 2016/680 tolkas så, att den utgör hinder för en nationell bestämmelse, i vilken utövandet av den registrerades rätt att få tillgång till sina personuppgifter som en finansunderrättelseenhet innehar fram till dess att uppgifterna förstörs, vilket gör det omöjligt för den registrerade att någonsin få tillgång till dessa uppgifter, i den mån det i den tillämpliga nationella åtgärden inte fastställs tydliga och precisa bestämmelser som reglerar omfattningen och tillämpningen av åtgärden i fråga och införs minimikrav, så att de personer vars personuppgifter behandlas har tillräckliga garantier för att uppgifterna kommer att skyddas effektivt mot risken för missbruk och mot att finansunderrättelseenheten i fråga får tillgång till eller använder uppgifterna olagligt.

C. Den andra frågan

115. Det framgår av fast rättspraxis att det, enligt det förfarande för samarbete mellan nationella domstolar och EU-domstolen som införts genom artikel 267 FEUF, ankommer på EU-domstolen att ge den nationella domstolen ett användbart svar, som gör det möjligt för den nationella domstolen att avgöra det mål som den ska pröva. I detta syfte kan EU-domstolen behöva omformulera de frågor som hänskjutits.( 79 )

116. I förevarande mål har den hänskjutande domstolen i den andra frågans första del ställt frågan huruvida en finansunderrättelseenhet enligt artikel 15.3 i direktiv 2016/680 får neka en registrerad information om på grundval av vilken rättsakt tillgången till personuppgifter som rör honom eller henne har nekats, för att förhindra att en behandling av personuppgifter som rör honom eller henne bekräftas eller vederläggs.

117. Kommissionen har i sitt skriftliga yttrande bestritt att den andra frågan kan tas upp till sakprövning. Den har påpekat att det i RAB:s beslut att neka tillgång till uppgifter i det nationella målet uttryckligen hänvisades till den rättsliga grunden för att neka tillgång, närmare bestämt 60 § stycke 1 RahaPTS och 23 första stycket led 1 AvTS.

118. Vid den muntliga förhandlingen förklarade den estniska regeringen att frågan kan tas upp till sakprövning, medan den nederländska regeringen gjorde gällande att det är felaktigt att påstå att den omständigheten att personuppgifter har behandlats kan röjas om skälet till en begränsning yppas. Begränsningen av rätten att få tillgång till uppgifter gör det under alla omständigheter möjligt att begränsa informationen om huruvida uppgifter behandlas eller ej.

119. Mot bakgrund av de förklaringar som gavs i begäran om förhandsavgörande, där det i allmänna ordalag talas om ”rättslig grund” för begränsningen och även om de ”faktiska och rättsliga skälen” för beslut som berör registrerade personer, kan den andra frågans första del förstås så, att det frågas huruvida en finansunderrättelseenhet kan vägra meddela skälen till vägran.

120. Med tillämpning av den rättspraxis som anges i punkt 115 i detta förslag till avgörande ska den hänskjutande domstolen således i huvudsak anses ha ställt den andra frågan för att få klarhet i huruvida artikel 15.3 i direktiv 2016/680 ska tolkas så, att den tillåter en finansunderrättelseenhet att vägra ange skälen för nekande eller begränsning, för att undvika att bekräfta eller förneka att personuppgifter som rör den registrerade har behandlats, och, i en sådan situation, huruvida registrerade får nekas information om huruvida det är möjligt för dem att utöva sin rätt att få tillgång till uppgifter genom tillsynsmyndigheten enligt artikel 17.1 i direktiv 2016/680.

121. När en begränsning av den registrerades rätt att få tillgång till uppgifter gäller( 80 ) ska den personuppgiftsansvarige enligt artikel 15.3 i direktiv 2016/680 utan onödigt dröjsmål informera den registrerade skriftligen om varje vägran eller begränsning av tillgång och om skälen för vägran eller begränsningen. Denna information kan emellertid utelämnas om tillhandahållandet skulle undergräva ett ändamål av allmänt intresse (enligt artikel 15.1 i det direktivet).( 81 )

122. Av ovanstående bestämmelse följer att en finansunderrättelseenhet, i enlighet med de villkor som anges där, får lämna ett svar såsom ”varken bekräftar eller förnekar” och utelämna information om huruvida behandling av uppgifter över huvud taget har ägt rum.

123. Av artikel 15.3 i direktiv 2016/680 följer emellertid att den personuppgiftsansvarige är skyldig att i ett sådant fall underrätta den registrerade om möjligheten att lämna in ett klagomål till en tillsynsmyndighet eller begära rättslig prövning. Den personuppgiftsansvarige är även enligt artikel 17.2 i direktiv 2016/680 skyldig att underrätta den registrerade om hans eller hennes möjlighet att utöva sina rättigheter genom tillsynsmyndigheten enligt artikel 17.1 i samma direktiv. Inga undantag är tillåtna när det gäller att lämna sådan information.

124. Detta beror på att rätten till indirekt tillgång till uppgifter genom tillsynsmyndigheten är av yttersta vikt. Såsom har påpekats ovan i samband med bedömningen av den fjärde frågan( 82 ) uppväger förekomsten av denna rättighet den personuppgiftsansvariges vägran att lämna information om behandlingen av uppgifter. När det är svårt eller omöjligt att utöva rätten till tillgång ska den registrerade alltid underrättas om möjligheten att utöva sina rättigheter indirekt. Vidare är en finansunderrättelseenhet inte undantagen från skyldigheten att dokumentera skälen för sitt beslut att neka tillgång och att göra denna information tillgänglig för tillsynsmyndigheterna i enlighet med artikel 15.4 det direktivet.( 83 )

125. Mot bakgrund av det ovan anförda ska artikel 15.3 i direktiv 2016/680 tolkas så, att en finansunderrättelseenhet får vägra ange skälen för vägran eller begränsningen för att undvika att bekräfta eller förneka att personuppgifter som rör den registrerade har. I en sådan situation måste den registrerade emellertid alltid underrättas om möjligheten att utöva sin rätt att få tillgång till uppgifter genom tillsynsmyndigheten enligt artikel 17.1 i direktiv 2016/680.

D. Den tredje frågan

126. Den hänskjutande domstolen har ställt den tredje frågan för att i huvudsak få klarhet i huruvida artikel 15.1 i direktiv 2016/680 ska tolkas så, att den utgör hinder för en nationell bestämmelse som genom en allmän regel ger chefen för en finansunderrättelseenhet befogenhet att begränsa registrerades rättigheter, när det, för att förstå syftet med och förutsättningarna och räckvidden för begränsningen, krävs en jämförelse med andra bestämmelser, däribland även underordnade bestämmelser.

127. Av artikel 15.1 i direktiv 2016/680 följer att det för varje begränsning av registrerades rätt att få tillgång till uppgifter krävs att medlemsstaterna antar en lagstiftningsåtgärd.

128. Av skäl 33 i nämnda direktiv framgår att det för en hänvisning till en lagstiftningsåtgärd inte nödvändigtvis krävs en lagstiftningsakt antagen av ett parlament. En sådan lagstiftningsåtgärd måste emellertid vara tydlig och precis, och dess tillämpning måste vara förutsägbar, i enlighet med rättspraxis från EU-domstolen och Europeiska domstolen för de mänskliga rättigheterna. I skälet anges också att medlemsstaternas nationella rätt som reglerar behandlingen av personuppgifter åtminstone bör specificera målen, vilka personuppgifter som ska behandlas, behandlingens ändamål, förfarandena för att bevara personuppgifternas integritet och konfidentialitet samt förfarandena för förstöring av dem så att tillräckliga garantier mot risken för missbruk och godtycklighet ges.

129. EU-domstolen har i sin praxis dragit den slutsatsen av artikel 8.2 i stadgan – en bestämmelse som i sig själv enbart återspeglar och konkretiserar kravet i artikel 52 i stadgan att varje begränsning i utövandet av de grundläggande rättigheter som erkänns i stadgan bland annat ska vara föreskriven i lag – att varje rättslig grund som medger ett ingrepp i rätten till skydd för personuppgifter ska vara definierad i själva den rättsliga grund som tillåter ingreppet.( 84 )

130. Domstolen har dessutom, vad gäller kravet i artikel 52 i stadgan, slagit fast att varje ingrepp i rätten till skydd av personuppgifter måste ske med iakttagande av proportionalitetsprincipen, vilket fordrar att all lagstiftning som ger upphov till ett sådant ingrepp innehåller klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden och föreskriver minimikrav, så att de personer vilkas personuppgifter behandlas har tillräckliga garantier för att på ett effektivt sätt kunna skydda dessa uppgifter mot riskerna för missbruk samt mot otillåten åtkomst och användning.( 85 )

131. Av domstolens praxis, i vilken den hänvisat till fast praxis från Europadomstolen, följer att uttrycket ”lagenlig grund” i artikel 8.2 i stadgan ska förstås enligt sin materiella, inte formella betydelse.( 86 ) Vidare följer av praxis från Europadomstolen att ordet ”lag”, som används i artikel 8.2 i stadgan, i uttrycket ”lagenligt”, ska förstås enligt sin materiella, inte formella betydelse( 87 ) och att det inte endast avser lagstiftningsakter, utan även underordnade rättsliga bestämmelser.( 88 ) Det avser gällande lagtext, såsom den tolkats av de behöriga domstolarna.

132. Därför ska det krav som anges i artikel 15.1 i direktiv 2016/680, nämligen att alla begränsningar måste grunda sig på lagstiftningsåtgärder, tolkas brett så att det uppfylls inte endast när det finns en enda lagstiftningsakt som reglerar alla aspekter av begränsningen av tillgången till en viss kategori av uppgifter, såsom de uppgifter som innehas av RAB. Termen ”lagstiftningsåtgärder” kan omfatta en uppsättning rättsliga bestämmelser, däribland underordnade rättsliga bestämmelser, såsom de tolkats av de behöriga domstolarna.

133. Så förhåller det sig under förutsättning att de relevanta lagstiftningsåtgärderna möjliggör en tydlig och precis förståelse av begränsningens räckvidd och att tillämpningen av sådana åtgärder är förutsebar för de personer som omfattas av begränsningen. Tillämpningen av en åtgärd som har antagits enligt direktiv 2016/680 ska anses vara förutsägbar för enskilda rättssubjekt när de kan identifiera under vilka omständigheter och på vilka villkor räckvidden av de rättigheter som de tillerkänns genom detta direktiv kan begränsas.( 89 )

134. I det nationella målet förhåller det sig så att det genom ett antal lagstiftningsåtgärder fastställs bestämmelser som är relevanta för att utöva rätten att få tillgång till uppgifter. 60 § stycke 1 RahaPTS ger chefen för RAB rätt att begränsa tillgången till uppgifter i RAB:s databas och att klassificera dem som information för internt bruk. I RAB:s beslut av den 13 maj 2022 fastställs en begränsning av åtkomsten av uppgifterna i RAB:s databas, och det förklaras att de uppgifterna är avsedda för internt bruk. Enligt 23 § stycke 1 led 1 AvTS är en begränsning av åtkomsten av uppgifter tillåten när personen som begär att få tillgång till uppgifter inte har rätt att få tillgång till dem.

135. Sådana bestämmelser är mycket allmänt formulerade och låter inte de registrerade identifiera på vilka villkor och under vilka omständigheter en begränsning är tillåten eller garantierna för att de uppgifter som behandlas skyddas effektivt mot risken för missbruk och mot olaglig åtkomst eller användning av uppgifterna.( 90 )

136. Det är riktigt att det i RAB:s interna arbetsordning finns viss information som är relevant för behandlingen av uppgifter, närmare bestämt den personuppgiftsansvariges (RAB:s) beskrivning av uppgifterna, typen av uppgifter som har lagts in i databasen,( 91 ) uppgifternas säkerhetsklassificering( 92 ) och lagringstiden för de uppgifter som rör en person i databasen.( 93 )

137. Dessa detaljer avser emellertid mer generellt RAB:s behandling av uppgifterna, och det hänvisas inte specifikt till villkoren och omständigheterna i samband med begränsningen av rätten att få tillgång till uppgifter och till säkerhetsåtgärderna mot risken för missbruk.

138. Vid den muntliga förhandlingen förklarade den estniska regeringen att chefen för RAB har utrymme för skönsmässig bedömning när det gäller att besluta om huruvida tillgång ska ges till uppgifterna i RAB:s databas och att det finns omständigheter under vilka tillgång kan beviljas. Såsom har påpekats ovan( 94 ) tycks regelverket i fråga inte begränsa detta utrymme för skönsmässig bedömning, och det föreskrivs inga tydliga och precisa villkor för att begränsa rätten till tillgång till uppgifter. Detta bekräftar slutsatsen att de nationella lagstiftningsåtgärderna i fråga inte tycks uppfylla kravet på en tydlig och precis regel vars tillämpning är förutsebar för enskilda rättssubjekt som vill utöva sin rätt att få tillgång till uppgifter, något som emellertid ankommer på den nationella domstolen att bedöma.

139. Mot bakgrund av ovanstående ska artikel 15.1 i direktiv 2016/680 tolkas så, att den inte utgör hinder för en nationell bestämmelse som genom en allmän föreskrift ger chefen för en finansunderrättelseenhet befogenhet att begränsa den registrerades rättigheter, när det, för att förstå syftet, förutsättningarna samt räckvidden för begränsningen, krävs en jämförelse med andra bestämmelser, däribland även underordnade bestämmelser. Denna bestämmelse utgör emellertid hinder för en sådan nationell bestämmelse i den mån det genom den nationella bestämmelsen i fråga inte fastställs tydliga och precisa regler beträffande omfattningen och förutsättningarna för att tillämpa en begränsning av rätten till tillgång, så att personer vars personuppgifter behandlas har tillräckliga garantier för att de uppgifter som behandlas skyddas effektivt mot risken för missbruk och mot olaglig åtkomst eller användning av dessa uppgifter.

IV. Förslag till avgörande

140. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen besvarar tolkningsfrågorna från Riigikohus (Högsta domstolen, Estland) enligt följande:

1) Artikel 2.2 d i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och artikel 2.1 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, jämförd med artikel 1.1 i samma direktiv,

ska tolkas så, att behandlingen av personuppgifter från en finansunderrättelseenhet, såsom RAB, när denna när den utövar sitt uppdrag att förebygga, avslöja och bekämpa penningtvätt och finansiering av terrorism och mot bakgrund av dess funktioner och befogenheter på detta område ska anses bli utförd av en behörig myndighet i den mening som avses i artikel 3 led 7 i direktiv 2016/680, även om underrättelseenheten i fråga inte utgör en brottsutredande myndighet i den mening som avses i den nationella straffprocesslagen. Behandlingen av sådana uppgifter omfattas följaktligen av tillämpningsområdet för direktiv 2016/680.

2) Artikel 15 i direktiv 2016/680

ska tolkas så, att den utgör hinder för en nationell bestämmelse, i vilken föreskrivs en fullständig begränsning av den registrerades rätt att få tillgång till sina personuppgifter, som innehas av en finansunderrättelseenhet, fram till dess att uppgifterna förstörs, vilket gör det omöjligt för den registrerade att någonsin få tillgång till dessa uppgifter, i den mån det i den tillämpliga nationella åtgärden inte fastställs tydliga och precisa bestämmelser som reglerar omfattningen och tillämpningen av åtgärden i fråga och införs minimikrav, så att de personer vars personuppgifter behandlas har tillräckliga garantier för att uppgifterna kommer att skyddas effektivt mot risken för missbruk och mot att finansunderrättelseenheten i fråga får tillgång till eller använder dessa uppgifter olagligt.

3) Artikel 15.3 i direktiv 2016/680

ska tolkas så, att en finansunderrättelseenhet får vägra ange skälen för vägran eller begränsningen för att undvika att bekräfta eller förneka att personuppgifter som rör den registrerade har behandlats. I en sådan situation måste den registrerade emellertid alltid informeras om möjligheten att utöva sin rätt att få tillgång till uppgifter genom tillsynsmyndigheten enligt artikel 17.1 i direktiv 2016/680.

4) Artikel 15.1 i direktiv 2016/680

ska tolkas så, att den inte utgör hinder för en nationell bestämmelse som genom en allmän föreskrift ger chefen för en finansunderrättelseenhet befogenhet att begränsa den registrerades rättigheter, när det, för att förstå syftet, förutsättningarna samt räckvidden för begränsningen, krävs en jämförelse med andra bestämmelser, däribland även underordnade bestämmelser. Denna bestämmelse utgör emellertid hinder för en sådan nationell bestämmelse i den mån det genom den nationella bestämmelsen i fråga inte fastställs tydliga och precisa regler beträffande omfattningen och förutsättningarna för att tillämpa en begränsning av rätten till tillgång, så att personer vars personuppgifter behandlas har tillräckliga garantier för att de uppgifter som behandlas kommer att skyddas effektivt mot risken för missbruk och mot olaglig åtkomst eller användning av dessa uppgifter.

1 Originalspråk: engelska.

2 FATF är ett mellanstatligt organ som fastställer standarder och utvecklar och främjar strategier för bekämpning av penningtvätt och finansiering av terrorism.

3 Se skäl 4 i Europaparlamentets och rådets förordning (EU) 2024/1624 av den 31 maj 2024 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism (EUT L, 2024/1624) och Mitsilegas, V., och Vavoula, N., ”The evolving EU anti-money laundering regime: Challenges for fundamental rights and the rule of law”, Maastricht Journal of European and Comparative Law , volym 23, nummer 2, 2016, s. 261–293.

4 Se ingressen till Egmontgruppens stadga för finansunderrättelseenheter, som godkändes i juli 2013 av cheferna för finansunderrättelseenheterna inom Egmontgruppen.

5 Denna bestämmelse har följande lydelse: ”Endast en tjänsteman eller anställd vid finansunderrättelseenheten ska ha tillgång till och rätt att behandla uppgifter i finansunderrättelseenhetens databas. Chefen för finansunderrättelseenheten får med stöd av denna lag införa begränsningar av tillgången till information och klassificera informationen som avsedd för internt bruk. …”

6 Denna bestämmelse har följande lydelse: ”Innehavaren av information ska vägra tillmötesgå en begäran om information, om 1) begränsningar av tillgången till information avser den begärda informationen och den person som begär information inte har rätt att få tillgång till den begärda informationen”.

7 Europaparlamentets och rådets direktiv (EU) 2015/849 av den 20 maj 2015 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, om ändring av Europaparlamentets och rådets förordning (EU) nr 648/2012 och om upphävande av Europaparlamentets och rådets direktiv 2005/60/EG och kommissionens direktiv 2006/70/EG (EUT L 141, 2015, s. 73).

8 Europaparlamentets och rådets förordning 2016/67 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

9 RT I, 18.12.2020, 38.

10 Europaparlamentets och rådets direktiv (EU) 2018/843 av den 30 maj 2018 om ändring av direktiv (EU) 2015/849 och om ändring av direktiven 2009/138/EG och 2013/36/EU (EUT L 156, 2018, s. 43).

11 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).

12 Dom av den 30 april 2024 (C‑470/21, EU:C:2024:370, punkt 158).

13 I dataskyddsförordningen finns en övergripande bestämmelse, medan varje rättighet kan begränsas individuellt enligt direktiv 16/680. Särskilt när det gäller den registrerades rätt att få tillgång till uppgifter tillåts medlemsstaterna enligt artikel 15 i direktiv 2016/680 uttryckligen att genom lagstiftning vidta åtgärder som ”helt eller delvis” begränsar denna rätt och att genom lagstiftning bestämma ”kategorier av behandling” som ”helt eller delvis” omfattas av de olika kategorierna av skäl för begränsningar. I doktrinen konstateras med rätta att även om de registrerades rättigheter, inbegripet rätten att få till gång till uppgifter också kan begränsas enligt dataskyddsförordningen finns det mer utrymme för begränsningar enligt direktiv 2016/680, vilket gör det mer sannolikt att en person som begär tillgång till uppgifter från en brottsbekämpande myndighet kommer att få ett svar av typen ”varken bekräftar eller förnekar”, se Mouzakiti, F., ”Cooperation between financial intelligence units in the European Union: Stuck in the middle between the General Data Protection Regulation and the Police Data Protection Directive”, 2020, volym 11, nummer 3, New Journal of European Criminal Law , s. 351–374, s. 366.

14 Kommissionens beslut om adekvat skyddsnivå enligt artikel 46 i dataskyddsförordningen, i vilka fastställs huruvida ett tredjeland erbjuder en adekvat skyddsnivå, gäller inte för utbyte av uppgifter enligt direktiv 2016/680, för vilket det måste finnas ett separat beslut om adekvat skyddsnivå enligt artikel 36 i samma direktiv. I avsaknad av ett sådant beslut får överföringar enligt artikel 37 i direktiv 2016/680 göras om det finns lämpliga skyddsåtgärder.

15 Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39).

16 Se skäl 10 i dataskyddsförordningen.

17 Dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 40).

18 Dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 42 och där angiven rättspraxis).

19 Se Vogiatzoglou, P., ”Scope” i: Kosta, E., och Boehm, F., (red.), The EU Law Enforcement Directive (LED) , Oxford University Press, Oxford, 2024, s. 67–77.

20 Dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 43 och där angiven rättspraxis).

21 Se skäl 11 i direktiv 2016/680.

22 Dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 42 och där angiven rättspraxis).

23 Se, för ett liknande resonemang, dom av den 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punkt 67). Se Brewczyńska, M., ”A critical reflection on the material scope of the application of the Law Enforcement Directive and its boundaries with the General Data Protection Regulation” i: Kosta, E., m.fl. (red.) Research handbook on EU data protection law , Edward Elgar, Cheltenham, 2022, s. 91–114, s. 104.

24 Det framgår av artikel 23.1 d och h i dataskyddsförordningen att behandling av personuppgifter som utförs av enskilda personer för de ändamål som avses i artikel 2.2 d i denna förordning omfattas av förordningens tillämpningsområde. Se, för ett liknande resonemang, dom av den 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punkt 68 och där angiven rättspraxis).

25 Såsom följer av skälen 11 och 12 i direktiv 2016/680 är dataskyddsförordningen tillämplig på behandling av personuppgifter som utförs av en ”behörig myndighet” i den mening som avses i artikel 3 led 7 i nämnda direktiv, men för andra ändamål än brottsbekämpning. Dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 43 och där angiven rättspraxis).

26 Ceļu satiksmes drošības direkcija (Trafiksäkerhetsstyrelsen, Lettland).

27 Dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) (C‑439/19, EU:C:2021:504, punkt 72).

28 Dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 44).

29 Europaparlamentets och rådets direktiv (EU) 2016/681 av den 27 april 2016 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (EUT L 119, 2016, s. 132) (nedan kallat PNR‑direktivet).

30 Dom av den 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punkt 80).

31 Dom av den 30 april 2024 (plenum), La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång) (C‑470/21, EU:C:2024:370, punkterna 158 och 159).

32 Se, för en översikt över finansunderrättelseenheternas historia i det juridiska landskapet när det gäller penningtvätt, Europaparlamentet: Europaparlamentets utredningstjänst och Scherrer, A., Fighting tax-crimes – Cooperation between Financial Intelligence Units , Ex-post impact assessment – Study, mars 2017, s. 8 (nedan kallad Europaparlamentets studie från år 2017), Mitsilegas, V., ”New forms of transnational policing: The emergence of financial intelligence units in the European Union and the challenges for human rights: Del 1”, Journal of Money Laundering Control , volym 3, nummer 2, 1999, s. 147. Samarbetet mellan de enheter som var specialiserade på finansunderrättelse tog konkret form i det första mötet i ”Egmontgruppen” år 1995. År 2003 antog FATF en reviderad serie om 40 rekommendationer som formellt inkluderade en rekommendation om inrättande av finansunderrättelseenheter och om deras funktion. I FATF:s rekommendationer från år 2012, som uppdaterades i juni 2026, finns en rekommendation beträffande finansunderrättelseenheterna (rekommendation nr 29).

33 Rådets beslut 2000/642/RIF av den 17 oktober 2000 om en samarbetsordning för medlemsstaternas finansunderrättelseenheter avseende utbyte av information (EGT L 271, 2000, s. 4).

34 Tidigare artikel 34.2 c FEU.

35 Se Internationella valutafonden, Financial Intelligence Units, An Overview , 2004 (som finns på https://www.elibrary.imf.org/display/book/9781589063624/9781589063624.xml), s. 9. I Europaparlamentets studie från år 2017, på s. 13 och 14, hänvisas till en rapport från år 2016 som utarbetats av plattformen för unionens finansunderrättelseenheter där det hänvisas till tre modeller av finansunderrättelseenheter, nämligen administrativ, brottsbekämpande (eller rättslig) och hybrid. Fördelningen av de modeller för finansunderrättelseenheter som rapporten hänvisade till är följande: 12 av unionens finansunderrättelseenheter är av administrativ karaktär och återfinns exempelvis i finans-, justitie eller inrikesministerierna, eller ingår de i centralbanken eller en tillsynsmyndighet enligt Belgien, Bulgarien, Republiken Tjeckien, Spanien, Frankrike, Kroatien, Italien, Lettland, Malta, Polen, Rumänien och Slovenien. 11 av unionens finansunderrättelseenheter är organiserade enligt en modell med brottsbekämpning (polisen och/eller rättsväsendet) enligt Österrike, Estland, Finland, Tyskland, Irland, Litauen, Portugal, Slovakien, Sverige, Luxemburg och Förenade kungariket. Fem av unionens finansunderrättelseenheter har beskrivit sig som att de är av ”hybrid” karaktär på grund av en kombination av polisiära och administrativa inslag enligt Danmark, Grekland, Cypern, Ungern och Nederländerna. Se, för ett av skälen till att välja modellen för finansunderrättelseenhet, Masciandaro, D., och Volpicella, A., ”Designing Financial Supervision: The puzzling case of the FIUs against money laundering”, Journal of Financial Regulation, volym 2, nummer 1, 2016, s. 79–113.

36 Se skäl 14 i Europaparlamentets och rådets direktiv (EU) 2019/1153 av den 20 juni 2019 om fastställande av bestämmelser för att underlätta användning av finansiell information och andra uppgifter för att förebygga, upptäcka, utreda eller lagföra vissa brott och om upphävande av rådets beslut 2000/642/RIF (EUT L 186, 2019, s. 122).

37 Se artikel 52 i direktiv 2015/849, enligt vilken finansunderrättelseenheterna ska samarbeta med varandra i största möjliga utsträckning, ”oavsett organisatorisk ställning”.

38 Se skäl 14 i direktiv 2019/1153. Det direktivet, som antogs i enlighet med artikel 87.2 FEUF om polissamarbete (och genom vilket rådets beslut 2000/642/RIF upphävdes), syftade till att stärka utbytet av finansiell information med de angivna behöriga myndigheterna och öka rättssäkerheten och den operativa effektiviteten. I artikel 1.2 a i direktivet klargörs att det inte påverkar direktiv (EU) 2015/849 och tillhörande bestämmelser i nationell rätt, ”inbegripet [finansunderrättelseenheternas] organisatoriska ställning enligt nationell rätt samt deras operativa oberoende och självständighet”.

39 Finansunderrättelseenheterna kan, beroende på medlemsstaterna, ges andra uppdrag och funktioner i den mån de inte inkräktar på deras huvuduppdrag. Den estniska regeringen har förklarat att RAB även ska utöva tillsyn. Det nationella målet avser emellertid rätten att få tillgång till information när det gäller uppgifter som innehas av finansunderrättelseenheten och utövandet av dess huvuduppdrag och funktion.

40 De tar emot information från ansvariga enheter som direktiv 2015/849 ska tillämpas på enligt dess artikel 2.1. Ansvariga enheter är enligt artikel 33 i direktivet skyldiga att informera finansunderrättelseenheterna, inbegripet genom att lämna in en rapport om misstänkta transaktioner.

41 I detta syfte ska medlemsstaterna enligt artikel 8 i direktiv 2019/1153 säkerställa att deras utsedda behöriga myndigheter är skyldiga att med nödvändig skyndsamhet besvara en begäran om brottsbekämpningsrelaterad information från en nationell finansunderrättelseenhet i varje enskilt fall, om informationen är nödvändig för att förebygga, upptäcka och bekämpa penningtvätt, associerade förbrott och finansiering av terrorism.

42 Med detta sagt måste finansunderrättelseenheterna vara oberoende och operativt avskilda även om de hör till polisen eller den dömande makten. Se artikel 19.4 i Europaparlamentets och rådets direktiv (EU) 2024/1640 av den 31 maj 2024 om de mekanismer som medlemsstaterna ska inrätta för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, om ändring av direktiv (EU) 2019/1937 och om ändring och upphävande av direktiv (EU) 2015/849 (EUT L, 2024/1640) (det sjätte penningtvättsdirektivet som medlemsstaterna har att följa senast den 10 juli 2027).

43 Mouzakiti, F., fotnot 13, citerad ovan, s. 373, som beskriver finansunderrättelseenheterna som ”nya polisinstitutioner”.

44 Konungariket Nederländerna avstod vid den muntliga förhandlingen från att ta ställning till frågan om de dataskyddsregler som är tillämpliga på finansunderrättelseenheterna.

45 På den grunden fastställs i Europaparlamentets och rådets direktiv (EU) 2018/1673 av den 23 oktober 2018 om bekämpande av penningtvätt genom straffrättsliga bestämmelser (EUT L 284, 2018, s. 22) krav på att göra penningtvätt till ett brott.

46 Detta framhålls också av Europarådets expertkommitté för utvärdering av åtgärder mot penningtvätt och finansiering av terrorism (Moneyval) i presentationen av finansunderrättelseenheternas funktioner (som finns på https://www.coe.int/en/web/moneyval/implementation/fiu). Enligt organisationen Transparency International kopplar finansunderrättelseenheterna, när de analyserar information, samman ”fragment som ingen enskild bank eller myndighet kan se på egen hand”. Se https://www.transparency.org/en/news/financial-intelligence-units-powerful-tools-against-corruption.

47 Mouzakiti, F., fotnot 13, citerad ovan, s. 353.

48 Se Franska senaten, ”Rapport fait au nom de la commission d’enquête aux fins d’évaluer les outils de la lutte contre la délinquance financière, la criminalité organisée et le contournement des sanctions internationales, en France et en Europe, et de proposer des mesures face aux nouveaux défis”, volym I, 18 juni 2005, s. 197, i vilken påpekas att den franska finansunderrättelseenheten (Tracfin) befinner sig på gränsen mellan förebyggande och lagföring ( à la frontière entre les volets préventif et répressif ).

49 Dom av den 30 april 2024 (C‑470/21, EU:C:2024:370).

50 Punkt 42 ovan i detta förslag till avgörande.

51 Dom av den 30 april 2024, La Quadrature du Net m.fl. (Personuppgifter och bekämpning av upphovsrättsintrång) (C‑470/21, EU:C:2024: 370, punkt 158).

52 Ibidem.

53 Se punkt 41 ovan i detta förslag till avgörande.

54 Dom av den 21 juni 2022 (C‑817/19, EU:C:2022:491, punkterna 79 och 80).

55 Se punkt 36 i förevarande förslag till avgörande.

56 Se punkt 43 i förevarande förslag till avgörande.

57 För fullständighetens skull vill jag påpeka att det direktivet, såsom följer av skäl 14 i direktiv 2016/680, inte gäller för behandling av uppgifter i samband med en verksamhet som inte omfattas av unionsrätten, särskilt verksamhet som avser nationell säkerhet.

58 Detta stöds av domen av den 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), där domstolen slog fast att enheterna för passagerarinformation ska anses utgöra ”behöriga myndigheter” enligt direktiv 2016/680. En sådan kvalificering uteslöts inte av den omständigheten att enheterna för passagerarinformation överför PNR-uppgifter eller resultatet av behandlingen till de behöriga myndigheterna.

59 Med undantag av den nederländska regeringen, som inte tog ställning till denna fråga.

60 Rådets rambeslut 2008/977/RIF av den 27 november 2008 om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (EUT L 350, 2008, s. 60).

61 Se artikel 19.4 andra stycket i direktiv 2024/1654.

62 Nämligen att göra det möjligt för den ansvariga enheten eller den behöriga nationella myndigheten att på ett korrekt sätt fullgöra sitt uppdrag och inte hindra officiella eller rättsliga utredningar, analyser, förundersökningar eller förfaranden vid tillämpning av detta direktiv och för att se till att förebyggandet, utredningen och upptäckten av penningtvätt och finansiering av terrorism inte äventyras. Förekomsten av en sådan särskild sektorsspecifik begränsning av den registrerades rätt att få tillgång till uppgifter i samband med förbudet mot utlämnande kan eventuellt förklaras av den omständigheten att direktiv 2015/849 antogs före unionens instrument för dataskydd, närmare bestämt direktiv 2016/680. I direktiv 2024/1640 genom vilket direktiv 2015/849 upphävs, såsom nämnts i punkt 81 ovan, finns inte längre den bestämmelsen om begränsning av rätten till tillgång till uppgifter.

63 Eller till ett självreglerande branschorgan i enlighet med de villkor som anges i artikel 34 i direktiv 2015/849.

64 Se punkt 60 i detta förslag till avgörande.

65 Om EU-domstolen anser att artikel 41.4 i direktiv 2015/849 har ett vidare tillämpningsområde när det gäller alla de uppgifter som finansunderrättelseenheterna innehar är min bedömning av den fjärde frågan fortfarande relevant i den mån bestämmelsen i allt väsentligt avspeglar de huvudvillkor för en begränsning av rätten att få tillgång till uppgifter som fastställs i artikel 15.1 i direktiv 2016/680.

66 Se Dimitrova, D., ”Limitations to the right of access”, Kosta, E. och Boehm, F., (red.), fotnot 19, citerad ovan, s. 288.

67 Dom av den 6 oktober 2020, Privacy International (C‑623/17, EU:C:2020:790, punkt 64).

68 Se artiklarna 38.2 och 42 i direktiv 2015/849 och artikel 61.3 tredje stycket i samma direktiv.

69 Dom av den 22 november 2022, Luxembourg Business Registers (C‑37/20 och C‑601/20, EU:C:2022:912, punkt 63).

70 Dom av den 22 november 2022, Luxembourg Business Registers (C‑37/20 och C‑601/20, EU:C:2022:912, punkt 64).

71 Dom av den 18 juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, punkt 72 och där angiven rättspraxis).

72 Dom av den 6 oktober 2020, Privacy International (C‑623/17, EU:C:2020:790, punkt 68 och där angiven rättspraxis).

73 Se Dimitrova, D., fotnot 66, citerad ovan, s. 292. Där påpekas att skyldigheten att dokumentera syftar till att säkerställa att begränsningar inte införs slumpmässigt.

74 Sådana garantier ska inte påverka de säkerhetsåtgärder som föreskrivs i nationell straffrätt för den händelse den registrerade formellt anklagas för ett brott.

75 Dom av den 16 november 2023 (C‑333/22, EU:C:2023:874, punkt 44).

76 Ibidem, punkt 66.

77 Ibidem, punkt 69 och där angiven rättspraxis.

78 Ibidem, punkt 70.

79 Dom av den 16 juli 2026, AEDT och État du Grand-Duché de Luxembourg (C‑158/25, EU:C:2026:591, punkt 21).

80 Se punkt 88 och följande punkter i detta förslag till avgörande.

81 Dom av den 16 november 2023, Ligue des droits humains (Tillsynsmyndighetens kontroll av behandlingen av personuppgifter) (C‑333/22, EU:C:2023:874, punkt 42).

82 Se punkt 109 i detta förslag till avgörande.

83 Se punkt 102 i detta förslag till avgörande.

84 Dom av den 18 juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, punkt 71 och där angiven rättspraxis).

85 Ibidem, punkt 72 och där angiven rättspraxis.

86 Ibidem, punkt 74 och där angiven rättspraxis.

87 Europadomstolen, 23 januari 2025, H.W mot Frankrike, CE:ECHR:2025:0123JUD001380521, § 65 och där angiven rättspraxis.

88 Se, för ett motsvarande synsätt, dom av den 18 juni 2026, NTH Haustechnik (C‑484/24, EU:C:2026:496, punkt 75), i vilken, för ett liknande resonemang, hänvisas till Europadomstolens dom av den 23 januari 2025, H.W. mot Frankrike, CE:ECHR:2025:0123JUD001380521, § 65 och där angiven rättspraxis.

89 Se, för ett liknande resonemang, dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) (C‑175/20, EU:C:2022:124, punkt 56).

90 Se punkt 100 och följande punkter i detta förslag till avgörande.

91 Artiklarna 8–17 i stadgarna avseende RAB:s databas.

92 De behandlade uppgifternas säkerhetsnivå betecknas som ”hög” i artikel 5.2 i stadgarna avseende RAB:s databas.

93 I artikel 26.1 i stadgarna avseende RAB:s databas föreskrivs att de uppgifter och handlingar som har lagts in i databasen avseende en person ska lagras i 15 år efter det att rapporten eller akten har avslutats. Uppgifterna om en person, personens kopplingar till andra uppgifter och de handlingar som rör personen ska raderas från databasen på ett sådant sätt att integriteten hos uppgifterna om personer, rapporter och akter säkerställs.

94 Se ovan punkt 107 i detta förslag till avgörande.