Förslag till avgörande av generaladvokat Michal Bobek föredraget den 19 december 2018

1 Originalspråk: engelska.

2 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

3 Europaparlamentets och rådets direktiv 2009/22/EG av den 23 april 2009 om förbudsföreläggande för att skydda konsumenternas intressen (EUT L 110, 2009, s. 30).

4 I beslutet om hänskjutande har angetts att insticksprogrammet tillhandahölls Fashion ID av Facebook Irland eller det sistnämnda bolagets amerikanska moderbolag Facebook Inc. Det framgår dock att Facebook Irland såväl i målet vid den hänskjutande domstolen som i förfarandet i förevarande domstol har påtagit sig det eventuella ansvar som kan uppkomma enligt direktiv 95/46 inom ramen för förevarande mål. Jag finner därför ingen anledning att behandla frågan huruvida direktiv 95/46 är tillämpligt på Facebook Irlands moderbolag.

5 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

6 Medlemsstaterna får föreskriva att ett organ, en organisation eller en sammanslutning enligt punkt 1 i den här artikeln, oberoende av en registrerads mandat, har rätt att i den medlemsstaten inge klagomål till den tillsynsmyndighet som är behörig enligt artikel 77 och utöva de rättigheter som avses i artiklarna 78 och 79 om organet, organisationen eller sammanslutningen anser att den registrerades rättigheter enligt den här förordningen har kränkts som en följd av behandlingen.

7 Samtidigt som det för fullständighetens skull ska tilläggas att även om dom av den 28 juli 2016, Verein für Konsumenteninformation ( C‑191/15, EU:C:2016:612) gällde tolkningen av direktiv 95/46 i det avseende som var aktuellt i ett nationellt förfarande som hade väckts av en organisation, så prövade domstolen inte frågan om talerätt i det målet, helt enkelt eftersom denna fråga inte hade tagits upp i målet.

8 Som återgetts, exempelvis, i dom av den 23 maj 1985, kommissionen/Tyskland ( C‑29/84, EU:C:1985:229, punkt 22), dom av den 14 februari 2012, Flachglas Torgau ( C‑204/09, EU:C:2012:71, punkt 60), och dom av den 19 april 2018, CMR ( C‑645/16, EU:C:2018:262, punkt 19).

9 Dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 53).

10 Se, även, dom av den 16 december 2008, Huber ( C‑524/06, EU:C:2008:724, punkt 50).

11 Således utan att, som i dom av den 25 januari 2018, Schrems ( C‑498/16, EU:C:2018:37), kräva att ett anspråk överlåts till en viss person och utan att det finns en klar rättslig grund i nationell rätt för vad som verkar vara en form av representation av konsumenternas kollektiva intresse.

12 Eller, annorlunda uttryckt, så är medlemsstaterna också tvungna att reglera flera andra frågor, särskilt med avseende på den institutionella strukturen eller de institutionella förfarandena, som inte heller har uttryckts explicit i ett direktiv (exempelvis, med avseende på hur man gör en rättighet gällande i domstol, inte bara frågan om talerätt utan också exempelvis tidsfristerna för att väcka talan, eventuella domstolsavgifter, domstolsbehörighet och så vidare). Kan man då också påstå att, eftersom dessa frågor varken nämns i artikel 22 eller artikel 24 i direktiv 95/46 så är medlemsstaten förhindrad att reglera dessa frågor i nationell rätt?

13 Enligt definitionen i artikel 3 i direktiv 2009/22.

14 Se, exempelvis, dom av den 6 november 2003, Lindqvist ( C‑101/01, EU:C:2003:596, punkt 96), dom av den 16 december 2008, Huber ( C‑524/06, EU:C:2008:724, punkt 51), dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito ( C‑468/10 och C‑469/10, EU:C:2011:777, punkt 29), och dom av den 7 november 2013, IPI ( C‑473/12, EU:C:2013:715, punkt 31).

15 Dom av den 6 november 2003, Lindqvist ( C‑101/01, EU:C:2003:596, punkt 97).

16 Se mitt förslag till avgörande i målet Dzivev ( C‑310/16, EU:C:2018:623, punkterna 72 och 74).

17 Som återgetts ovan i punkt 8.

18 Se även i detta avseende exemplen i fotnot 12 ovan.

19 Vilka tillsynsmyndigheter, enligt artikel 28 i direktiv 95/46, ansvarar för att övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av nämnda direktiv.

20 Se, angående den standard som krävs enligt artikel 28.1 i direktiv 95/46, dom av den 9 mars 2010, kommissionen/Tyskland ( C‑518/07, EU:C:2010:125, punkterna 18–30), och dom av den 16 oktober 2012, kommissionen/Österrike ( C‑614/10, EU:C:2012:631, punkterna 41–66).

21 Om man drar en analogi med ett annat rättsområde, så kan man fråga sig om exempelvis privat verkställande av konkurrensrätt också utgöra ett hot mot de (nationella) konkurrensmyndigheternas oberoende? Se dom av den 20 september 2001, Courage och Crehan ( C‑453/99, EU:C:2001:465, punkterna 26–27 och 29), och dom av den 13 juli 2006, Manfredi m.fl. ( C‑295/04–C‑298/04, EU:C:2006:461, punkterna 59 och 60). Se även skäl 5 i Europaparlamentets och rådets direktiv 2014/104/EU av den 26 november 2014 om vissa regler som styr skadeståndstalan enligt nationell lagstiftning för överträdelser av medlemsstaternas och Europeiska unionens konkurrensrättsliga bestämmelser (EUT L 349, 2014, s. 1).

22 Vad innebär det i allmänhet (det vill säga, oberoende av den särskilda frågan om ändrad rättslig natur) för tolkningen av en rättsakt att lagstiftaren tog med något i denna som inte fanns i det tidigare regelverk som gällde samma ämne? Det kan mycket väl vara så att den bestämmelsen utgjorde en ingående del av den tidigare rättsakten och nu endast har klargjorts. Det kan dock också innebära att just det faktum att bestämmelsen inte tidigare ingick i rättsakten gör att den utgör en ändring. Mot bakgrund av den vanliga och tveksamma (fel-)användningen av argumentet den har alltid funnits där, nu är den bara explicit, som i praktiken innebär att en ny bestämmelses tillämpning i tiden utsträcks till en tid långt innan den har trätt i kraft, ska sådana argument tillämpas med försiktighet, om de ska tillämpas över huvud taget.

23 Med avseende på dynamiska IP-adresser, se dom av den 19 oktober 2016, Breyer ( C‑582/14, EU:C:2016:779, punkt 33 och följande punkter). Se, även, dom av den 24 november 2011, Scarlet Extended ( C‑70/10, EU:C:2011:771, punkt 51).

24 Dom av den 19 oktober 2016, Breyer ( C‑582/14, EU:C:2016:779, punkterna 41–45).

25 Ovan punkt 19.

26 Min kursivering.

27 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 29), och dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 65).

28 Se dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 34), och dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 66).

29 Dom av den 5 juni 2018,Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388).

30 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 39).

31 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 35).

32 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 36).

33 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkterna 34 och 38).

34 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkterna 39 och 41).

35 Dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkterna 68–72).

36 Såsom har anförts av generaladvokaten Bot i förslaget till avgörande i målet Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2017:796, punkterna 66–72).

37 Här verkar det inte möjligt att göra en analogi med konsumentskyddet, som innebär att den icke professionella parten, i fråga om förhandlingar, skulle ha samma verkliga inflytande i fråga om att förhandla villkoren. Det kan således diskuteras hur mycket en administratör av en fanpage faktiskt bestämmer konfigurationen (och hur mycket som bara är mekaniskt klickande och val mellan förutbestämda alternativ, som med alla andra konsumenter).

38 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 35).

39 Ett antal program och applikationer skickar numera analytisk information, som kan innefatta personuppgifter, till den som utvecklar eller säljer programvaran, ibland med uttryckligt samtycke och ibland med mindre uttryckligt samtycke från användaren.

40 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 38).

41 Även i detta fall är det mycket sannolikt att det kan debatteras på exakt vilka villkor dessa avtal skulle ingås och med vilken förhandlingsmakt (se även ovan fotnot 37).

42 Eller för att citera Sir Humphrey Appleby som uttryckte det mindre öppet i tv-programmet Javisst, herr premiärminister (och som själv tydligen stödde sig på ett äldre, citat för vilken källan ej angetts): Ansvar utan makt – ett privilegium som tillkommit eunucken genom tiderna (från Javisst, herr premiärminister, andra säsongen, avsnitt 7, The National Education Service, som sändes första gången den 21 januari 1988).

43 Även i den bemärkelse som beskrevs i korthet ovan i punkt 73 och fotnoterna 38 och 42.

44 Dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 43).

45 Se ovan, punkterna 87 och 88.

46 Se även yttrande 4/2007 om begreppet personuppgifter från Artikel 29-arbetsgruppen för uppgiftsskydd (ett rådgivande organ som inrättades enligt artikel 29 i direktiv 95/46, och nu har ersatts av Europeiska dataskyddsstyrelsen som har inrättats enligt artikel 68 i dataskyddsförordningen), 01248/07/EN WP 136, 20 juni 2007, s. 4.

47 Även mot bakgrund av det enkla faktum att behandling nästan aldrig skulle vara linjär, och gå igenom alla de åtgärder som anges i artikel 2 b var och en efter varandra, och genomföras av en enda person. Istället är det troligare att personuppgifter skulle vara cykliska och gå i en cirkel med förgreningar här och där, med uppgifter som samlas in i olika ändar och sedan används av en annan person, och därefter kopplas i hop och används och sedan kanske kombineras på nytt och översänds till olika personer och så vidare.

48 Artikel 29-arbetsgruppen antydde att [g]emensam kontroll uppkommer när olika parter fastställer antingen ändamålet för eller [de] avgörande aspekterna av medlen. Se artikel 29-arbetsgruppens yttrande 1/2010 om begreppen registeransvarig och registerförare, antaget den 16 februari 2010, dokument 00264/10/EN WP 169, s. 19.

49 Till skillnad från den situation som diskuterades i samband med fråga 1 ovan i punkterna 39–42.

50 Om man läser fråga 4 i dess ursprungliga tyska version framgår det att frågan endast avser intressen som ska beaktas vid intresseavvägningen och inte, som den engelska översättningen verkar antyda, intressen som är avgörande (i den bemärkelsen att de kanske skulle väga tyngre). Frågan verkar således mer ha att göra med vilka moment som ska ingå i avvägningen, snarare än vad den bör ge för resultatet.

51 Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37).

52 Se, även, dom av den 5 maj 2011, Deutsche Telekom ( C‑543/09, EU:C:2011:279, punkt 50). Enligt skäl 10 i e-integritetsdirektivet är [d]irektiv 95/46/EG … tillämpligt på området för elektronisk kommunikation, i synnerhet beträffande alla de frågor avseende skydd av grundläggande fri- och rättigheter som inte särskilt omfattas av bestämmelserna i det här direktivet, inbegripet den registeransvariges skyldigheter och enskilda personers rättigheter. Direktiv 95/46/EG är tillämpligt på de kommunikationstjänster som inte är offentliga.

53 Se, i detta sammanhang, artikel 5.3 i e-integritetsdirektivet som anger att [m]edlemsstaterna skall säkerställa att användningen av elektroniska kommunikationsnät för att lagra information eller för att få tillgång till information som är lagrad i en abonnents eller användares terminalutrustning endast är tillåten på villkor att abonnenten eller användaren i fråga har tillgång till klar och fullständig information, bland annat om ändamålen med behandlingen, i enlighet med direktiv 95/46/EG, och erbjuds rätten att vägra sådan behandling av den dataregisteransvarige.

54 Även i detta sammanhang har den hänskjutande domstolen hänvisat till det inledande avsnittet B 1 (punkterna 55–58 ovan) och behovet av faktisk kontroll av exakt vad som översänds och huruvida dessa uppgifter faktiskt utgör personuppgifter.

55 Se, även, Artikel 29-arbetsgruppens yttrande 2/2013 av den 2 oktober 2013 med vägledning om inhämtande av samtycke för kakor 1676/13/EN WP 208, s. 5 och 6, där det anges att eftersom lagring av uppgifter eller delfående av uppgifter som redan är lagrade på användarnas enheter med hjälp av kakor kan uppgå till behandling av personuppgifter är bestämmelserna om dataskydd uppenbart tillämpliga i detta fall.

56 Se, för ett liknande resonemang, dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 71 och där angiven rättspraxis), och dom av den 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 25).

57 Dom av den 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 28). Se, även, dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito ( C‑468/10 och C‑469/10, EU:C:2011:777, punkt 38).

58 Se mitt förslag till avgörande i målet Rīgas satiksme ( C‑13/16, EU:C:2017:43, punkterna 64 och 65). Som jag angav där har domstolen tidigare slagit fast att insyn (dom av den 9 november 2010, Volker und Markus Scheke och Eifert ( C‑92/09 och C‑93/09, EU:C:2010:662, punkt 77), samt skydd för egendom, hälsa och familjeliv (dom av den 11 december 2014, Ryneš ( C‑212/13, EU:C:2014:2428, punkt 34) är berättigade intressen. Se, även, dom av den 29 januari 2008, Promusicae, C‑275/06 ( EU:C:2008:54, punkt 53), och dom av den 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 29).

59 Se ovan, punkterna 104–105 i detta förslag till avgörande.

60 Se, även, yttrande 6/2014 från Artikel 29-arbetsgruppen för skydd av personuppgifter om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv 95/46/EG (844/14/EN WP 217), s. 25.

61 Som jag har nämnt i ett annat sammanhang ska de olika konkurrerande berättigade intressen[a] inte bara … styrkas, utan också uppväga den registrerades intressen eller fri- och rättigheter som uppkommer enligt artiklarna 7 och 8 i stadgan. Se mitt förslag till avgörande i målet Rigas satiksme ( C‑13/16, EU:C:2017:43, punkt 56 och punkterna 66–69 och där angiven rättspraxis).

62 Dom av den 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 31 och där angiven rättspraxis).

63 Det måste således finnas ett adekvat förhållande mellan ändamålen (de påstådda berättigade intressena) och de valda medlen (de personuppgifter som behandlas). Se, i detta avseende, dom av den 4 maj 2017, Rīgas satiksme ( C‑13/16, EU:C:2017:336, punkt 30 och där angiven rättspraxis).

64 Ovan punkterna 76–82 i detta förslag till avgörande.

65 Ovan, punkterna 84–88.

66 Vilket naturligtvis inte hindrar att andra/efterföljande eventuella registeransvariga har en sådan plikt i förhållande till sina uppgiftsbehandlingar.

67 Ovan punkt 132. Se Artikel 29-arbetsgruppens yttrande 2/2013 med vägledning om inhämtande av samtycke för kakor, 1676/13/EN WP 208, av den 2 oktober 2013, s. 4. Se även Artikel 29-arbetsgruppens yttrande 15/2011 om definitionen av begreppet samtycke, 1197/11/EN WP187, av den 13 juli 2011, s. 9.