Förslag till avgörande av generaladvokat LAILA MEDINA föredraget den 6 juni 2024

1 Originalspråk: engelska.

2 Förevarande mål har getts ett fiktivt namn. Detta namn är inte någon av rättegångsdeltagarnas verkliga namn.

3 Förslag till avgörande av generaladvokat Cruz Villalón i målet Bara m.fl. ( C‑201/14, EU:C:2015:461, punkt 74) (min kursivering).

4 Vrabec, U., H., Data Subject Rights under the GDPR, Oxford University Press, Oxford, 2021, s. 64.

5 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

6 Se artikel 29-arbetsgruppen för uppgiftsskydd, Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 29 november 2017, 17/SV WP260 rev. 01 (nedan kallade riktlinjerna om öppenhet), punkt 4. Denna arbetsgrupp ersattes därefter av Europeiska dataskyddsstyrelsen (EDPB). Riktlinjerna om öppenhet gäller dock fortfarande. Se även EDPB, Riktlinjer 03/2020 om behandling av uppgifter om hälsa för vetenskapliga forskningsändamål i samband med covid-19-utbrottet, antagna den 21 april 2020, punkt 5.1.2.4.

7 Dom av den 1 oktober 2015, Bara m.fl. ( C‑201/14, EU:C:2015:638, punkt 33), som hänvisar till generaladvokat Cruz Villalóns förslag till avgörande i samma mål.

8 Riktlinjerna om öppenhet, punkt 24. Se även Vrabec, U., H., Data Subject Rights under the GDPR, i det ovan i fotnot 3 citerade verket, s. 84.

9 Se, Zanfir-Fortuna, G., Article 14. Information to be provided where personal data have not been obtained from the data subject i Kuner, C., Bygrave, L.A. och Docksey, C. (red), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, s. 435–448, särskilt på s. 436.

10 Ibidem, s. 444.

11 Vrabec, U., H., Data Subject Rights under the GDPR, i det ovan i fotnot 3 citerade verket, s. 68.

12 Om behandlingen grundar sig på artikel 6.1 f i dataskyddsförordningen.

13 I egenskap av en bestämmelse som innehåller en öppningsklausul ger den medlemsstaterna möjlighet att införa ytterligare nationella regler, som är strängare eller avvikande, och som ger dem ett utrymme för skönsmässig bedömning när det gäller på vilket sätt den relevanta bestämmelsen ska genomföras (se, för ett liknande resonemang, dom av den 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punkt 51). Se Knyrim, R., IV. Ausnahme von der Informationspflicht, i Ehmann, E. och Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2:a uppl., 2018, Artikel 14, punkterna 42–48, särskilt punkt 47.

14 Nämligen den bulgariska, den danska, den tyska, den grekiska, den spanska, den italienska, den lettiska, den polska, den slovakiska och den svenska språkversionen.

15 Detta gäller särskilt den estniska (isikuandmed), den litauiska (duomenų), den ungerska (adat), den nederländska (gegevens), den portugisiska (dados), den rumänska (datelor) och den finska (tietojen) språkversionen.

16 I fransk doktrin har det påpekats att den franska språkversionen borde ha använt ordet uppgifter i stället för information, såsom var fallet i föregångaren till artikel 14.5 c i dataskyddsförordningen, nämligen artikel 11.2 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) (se de Terwangne, C. och Rosier, K., Section 1. – Droit d’être informée de l’existence de traitements la concernant, i Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bryssel, 1:a upplagan, 2018, s. 409–432, fotnot 132).

17 Se, för ett liknande resonemang, dom av den 21 mars 2024, Cobult ( C‑76/23, EU:C:2024:253, punkt 25 och där angiven rättspraxis).

18 Se, för ett liknande resonemang, dom av den 5 oktober 2023, Ministerstvo zdravotnictví (Mobilapplikation Covid-19) ( C‑659/22, EU:C:2023:745, punkt 27).

19 Ebner, K., 6. Ausschluss der Informationspflicht, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, s. 272–298, särskilt på s. 280. Denna författare påpekar vidare (på s. 281) att den personuppgiftsansvariges befrielse från skyldigheten att lämna information i den situation som avses i artikel 14.5 c i dataskyddsförordningen är ett sätt att undvika risken för informationsutmattning eller informationsöverbelastning, Dix, A., DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c), i Simitis, S., Hornung, G. och Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, punkterna 27–28, särskilt punkt 27, där den relevanta lagstiftningen beskrivs som ett tillräckligt substitut (hinreichendes Surrogat) för den information som krävs av den personuppgiftsansvarige.

20 Dix, A., i det ovan i fotnot 18 citerade verket.

21 Riktlinjerna om öppenhet, punkt 66. De personuppgiftsansvariga måste därför kunna visa på vilket sätt lagen i fråga är tillämplig för dem och att de därmed måste antingen erhålla eller utlämna personuppgifterna i fråga enligt denna.

22 Se punkt 16 i förevarande förslag till avgörande.

23 Dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958, punkt 48, samt där angiven rättspraxis).

24 Se punkt 31 ovan.

25 Se punkt 23 ovan.

26 Dix, A., i Simitis, S., Hornung, G. och Spiecker, I., i det i fotnot 18 citerade verket och Ebner, K., 6. Ausschluss der Informationspflicht, i det i fotnot 18 citerade verket, s. 281.

27 Dom av den 16 januari 2024, Österreichische Datenschutzbehörde ( C‑33/22, EU:C:2024:46, punkt 61).

28 Ibidem.

29 Se riktlinjerna om öppenhet, punkt 66.

30 Ibidem.

31 Dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 65).

32 Som antagits med stöd av artikel 25.6 i direktiv 95/46/EG.

33 Se, för ett liknande resonemang, dom av den 6 oktober 2015, Schrems ( C‑362/14, EU:C:2015:650, punkt 62).

34 Ibidem, punkt 65.

35 Detta påverkar inte möjligheten att i unionsrätten eller i en medlemsstats nationella rätt begränsa rätten till information i enlighet med de villkor som anges i artikel 23 i dataskyddsförordningen.

36 Punkt 31 i förevarande förslag till avgörande.

37 Se punkt 27 i förevarande förslag till avgörande.

38 Se, för ett liknande resonemang, Ebner, K., 6. Ausschluss der Informationspflicht, i det i fotnot 18 citerade verket, s. 281, som talar om en jämförbar skyddsnivå (vergleichbares Schutzniveau); Mester, B.-A.,DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c), i Taeger, J. och Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, punkt 26; Paal, B. och Hennemann, M., DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c), i Paal, B. och Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, punkt 42.

39 Mester, B.-A., i Taeger, J. och Gabel, D., i det i fotnot 37 citerade verket.

40 Ebner, K., 6. Ausschluss der Informationspflicht, i det i fotnot 18 citerade verket, s. 281.

41 Punkt 43 i detta förslag till avgörande.

42 Dessa särskilda bestämmelser kan innehålla de inslag som anges i artikel 6.3 i dataskyddsförordningen, bland annat: de allmänna villkor som ska gälla för laglig behandling, vilken typ av uppgifter som ska behandlas, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX i förordningen.