Förslag till avgörande av generaladvokat Maciej Szpunar föredraget den 4 mars 2020

1 Originalspråk: engelska.

2 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

3 Artikel 6 är den enda artikeln i avdelning I i kapitel II i direktiv 95/46.

4 Artikel 7 är den enda artikeln i avdelning II i kapitel II i direktiv 95/46.

5 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

6 Monitorul Oficial al României, Partea I No 790 av den 12 december 2001.

7 I vilket fall mottagaren av tjänsten betalar i förskott för de tjänster som ska tillhandahållas.

8 I vilket fall kostnaden för de tjänster som tillhandahålls av bolaget betalas av mottagaren av tjänsten efter det att de tillhandahållits på grund av utfärdade fakturor.

9 Enligt artikel 99.2 i förordning 2016/679.

10 Se artikel 94.1 i förordning 2016/679.

11 Se dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801, punkterna 38–43) beträffande en liknande inställning i en jämförbar situation och mitt förslag till avgörande i samma mål. (C‑673/17, EU:C:2019:246, punkterna 44–49). Se också dom av den 11 december 2018, Weiss m.fl. ( C‑493/17, EU:C:2018:1000, punkt 39).

12 Se dom av den 24 september 2019, GC m.fl. (Borttagande av länkar till känsliga uppgifter) ( C‑136/17, EU:C:2019:773, punkt 33).

13 Uppenbarligen villkorat av de undantag och inskränkningar som föreskrivs i artikel 13 i direktiv 95/46 och artikel 23 i förordning 2016/679.

14 Se dom av den 16 januari 2019, Deutsche Post ( C‑496/17, EU:C:2019:26, punkt 57). Se även dom av den 13 maj 2014, Google Spain och Google ( C‑131/12, EU:C:2014:317, punkt 71 och där angiven rättspraxis samt dom av den 11 december 2019, Asociaţia de Proprietari bloc M5A-ScaraA ( C‑708/18, EU:C:2019:1064, punkt 36).

15 Se dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito ( C‑468/10 och C‑469/10, EU:C:2011:777, punkt 30), dom av den 19 oktober 2016, Breyer ( C‑582/14, EU:C:2016:779, punkt 57) och dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801, punkt 53).

16 Se även Bygrave, L.A., Tosoni, L., i Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., på s. 181.

17 Det är uppenbart att dessa villkor är kumulativa, vilket innebär att tröskeln för vad som ska anses utgöra giltigt samtycke är hög, se Bygrave, L.A., Tosoni, L., i Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., på s. 181.

18 Se mitt förslag till avgörande i målet Planet49 ( C‑673/17, EU:C:2019:246, punkt 57 och följande punkter). Se också Heckmann, D., Paschke, A., i E. Ehmann, M. Selmayr (red), Datenschutz-Grundverordnung, Kommentar, C.H. Beck, München, 2a uppl., 2018, Artikel 7, punkt 9: central hörnsten i dataskyddet.

19 Se för ett liknande resonemang Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 232, som hänvisar till rätten till självbestämmande i fråga om information i detta sammanhang (som utvecklats av den tyska författningsdomstolen sedan dom av den 15 december 1983, 1 BvR 209, 269, 362, 420, 440, 484/83, BVerfG 65,1).

20 Se också Klement, J.H., i S. Simitis, G. Hornung, I. Spieker gen. Döhmann (red), Datenschutzrecht, Nomos, Baden-Baden, 2019, Artikel 7, punkt 1, som framhåller att i en rättsordning som grundas på och som eftersträvar att främja värdighet, individens frihet och ansvar måste behandling av personuppgifter för dess lagenlighet kräva ett självständigt beslut av den registrerade.

21 Se vidare skäl 43 i förordning nr 2016/679, som avser fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige.

22 Se som exempel de spanska (manifestación de voluntad … informada), portugisiska (manifestação de vontade … informada), rumänska (manifestare de voință … informată), danska (informeret viljetilkendegivelse), svenska (informerad viljeyttring) och maltesiska (infurmata) språkversionerna.

23 Se som exempel de nederländska (op informatie berustende wilsuiting i direktivet och geïnformeerde wilsuiting i förordningen), den polska (świadome … wskazanie i direktivet och świadome … okazanie woli i förordningen) och den tyska (Willensbekundung, die … in Kenntnis der Sachlage erfolgt i direktivet och in informierter Weise … abgegebene Willensbekundung i förordningen) språkversionerna.

24 Se dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801, punkt 52).

25 Se Bygrave, L.A., Tosoni, L., i Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., på s. 182.

26 Ibidem.

27 Se analogt mitt förslag till avgörande i målet Planet49 ( C‑673/17, EU:C:2019:246, punkt 62). Se också dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801, punkt 55).

28 I slutändan bygger informerat samtycke på principen om insyn, som kommer till uttryck i artikel 5.1. a i förordning nr 2016/679, se Bygrave, L.A., Tosoni, L., i Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 4(11), C.1., på s. 184.

29 Enligt vissa författare är den informationskatalog som avses i artiklarna 10 och 11 i direktiv 95/46 inte uttömmande, så att den registeransvarige också kan förse den registrerade med annan relevant information om villkoren för personuppgiftsanvändning. Se till exempel Mednis, A., Cechy zgody na przetwarzanie danych osobowych w opinii Grupy Roboczej Art. 29 dyrektywy 95/46, Monitor Prawniczy (dodatek) 2012, nr 7, s. 27.

30 Enligt denna bestämmelse ska den personuppgiftsansvarige ansvara för och kunna visa att personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade.

31 Se för ett liknande resonemang också Stemmer, B., i St. Brink, H.A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30e uppl., per den 1 november 2019, Artikel 7 DSGVO, punkt 87, och Buchner, J., Kühling, B., i J. Buchner, B. Kühling (red), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2a uppl. 2018, Artikel 7 DS-GVO, punkt 22.

32 Se Klement, J.H., i S. Simitis, G. Hornung, I. Spieker gen. Döhmann (red), Datenschutzrecht, Nomos, Baden-Baden, 2019, Artikel 7, punkt 46.

33 I det ursprungliga kommissionsförslaget hade artikel 7.1 följande lydelse: Den registeransvarige ska bära bevisbördan när det gäller den registrerades samtycke till behandlingen av hans eller hennes personuppgifter för bestämda ändamål. Se förslag till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), COM(2012) 11 final, s. 45.

34 Parlamentet föreslog inte vid den första behandlingen någon ändring av ordalydelsen i artikel 7.1 beträffande termen bevisbörda. Det nöjde sig endast med att ange att artikel 7.1 rörde en situation i vilken behandlingen grundar sig på samtycke. Se Europaparlamentets lagstiftningsresolution av den 12 mars 2014 om förslaget till Europaparlamentets och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) COM(2012) 11, EUT C 378, 2017, s. 399, på s. 428.

35 Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter. Se rådets ståndpunkt (EU) nr 6/2016 vid första behandlingen inför antagandet av Europaparlamentets och rådets förordning om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), som antagits av rådet den 8 april 2016, EUT C 159, 2016, s. 1, på s. 36.

36 Se för ett liknande resonemang även Kosta, E., i Chr. Kuner, L.A. Bygrave, Chr. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Article 7, C.2, på ss. 349–350

37 Se i synnerhet skälen 42 och 43 som motiverar artikel 7.

38 En intressant konceptuell förklaring till varför bevisbördan ligger på den personuppgiftsansvarige framförs av Buchner, B., Informationelle Selbstbestimmung im Privatrecht, Mohr Siebeck, Tübingen, 2006, s. 243–245, som gör en analogi med situationen enligt nationell rätt avseende ansvar för praktiserande läkare där bevisbördan också ligger på dem som genomför en inskränkning i den aktuella rättigheten.

39 Detta är dessutom den till stor del rådande uppfattningen i juridisk litteratur, se Klabunde, A., i E. Ehmann, M. Selmayr (red), Datenschutz-Grundverordnung, Kommentar, 2a uppl., C.H. Beck, München, 2018, Artikel 4, punkt 52, Stemmer, B., i St. Brink, H.A. Wolff, Beck’scher Onlinekommentar Datenschutzrecht, C.H. Beck, München, 30e uppl., per den 1 november 2019, Artikel 7 DSGVO, punkt 87 och Buchner, J., Kühling, B., i J. Buchner, B. Kühling (red), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2a uppl., 2018, Artikel 7 DS-GVO, punkt 22, och Barta, P., Kawecki, M., i P. Litwiński (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, Warsaw 2018, artikel 7 I förordningen, punkt 1.

40 Se även för ett liknande resonemang Heckmann, D., Paschke, A., i E. Ehmann, M. Selmayr (red), Datenschutz-Grundverordnung, Kommentar, 2a uppl., C.H. Beck, München, 2018, Artikel 7, punkt 72.

41 Se artikel 7 a i direktiv 95/46. Min kursivering.

42 Se för ett liknande resonemang även, bland flera, Buchner, J., Kühling, B., i J. Buchner, B. Kühling (red), Datenschutz-Grundverordnung/BDSG, Kommentar, C.H. Beck, München, 2a uppl., 2018, Artikel 7 DS-GVO, punkterna 5 och 22.

43 Se dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801, punkt 54).

44 Se dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801).