Förslag till avgörande av generaladvokat LAILA MEDINA föredraget den 1 augusti 2025

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35).

3 Se, för ett liknande resonemang, dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 58).

4 Vrabec, H. U., Data Subject Rights under the GDPR, Oxford University Press, Oxford, 2021, s. 64.

5 Förslag till avgörande av generaladvokat Cruz Villalón i målet Bara m.fl. ( C‑201/14, EU:C:2015:461, punkt 74).

6 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

7 Se punkt 6 i förevarande förslag till avgörande.

8 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89). Beträffande skillnaden i tillämpningsområde mellan dataskyddsförordningen och direktiv 2016/680, se dom av den 21 juni 2022, Ligue des droits humains ( C‑817/19, EU:C:2022:491, punkt 67 och följande punkter).

9 Se mitt förslag till avgörande i målet Másdi ( C‑169/23, EU:C:2024:474, punkterna 23–25). Beträffande skillnaden mellan direkt och indirekt insamling av personuppgifter, se, såvitt avser direktiv 95/46, dom av den 7 november 2013, IPI ( C‑473/12, EU:C:2013:715, punkt 24).

10 Mer specifikt ska den personuppgiftsansvarige enligt artikel 13.2 e i dataskyddsförordningen lämna den registrerade information om huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och om de möjliga följderna av att sådana uppgifter inte lämnas. Enligt artikel 14.1 d i dataskyddsförordningen ska den personuppgiftsansvarige tillhandahålla information om de kategorier av personuppgifter som behandlingen gäller. Enligt artikel 14.2 f i dataskyddsförordningen ska den personuppgiftsansvarige därutöver lämna den registrerade information om varifrån personuppgifterna kommer.

11 Enligt Artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 29 november 2017, WP260 rev. 01, punkt 28, som godkändes av Europeiska dataskyddsstyrelsen (nedan kallad EDPB) den 25 maj 2018 (nedan kallade Artikel 29-arbetsgruppens riktlinjer om öppenhet), är den längsta tidsfristen för tillhandahållande av sådan information som avses i artikel 14 till den registrerade under alla omständigheter en månad.

12 Se, för ett liknande resonemang, dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 39).

13 Dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 48).

14 Ibidem.

15 Se, för ett liknande resonemang, dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 48).

16 Se punkterna 9, 11 och 12 i förevarande förslag till avgörande.

17 Se, Roßnagel, A., Kapitel I Allgemeine Bestimmungen, Artikel 4 Nr. 2 Begriffsbestimmung Verarbeitung i Simitis, S., Hornung, G. et al., Datenschutzrecht, Datenschutzgrundrechtverordnung, Bundesdatenschutzgesetz, Nomos, Baden-Baden, 2:a uppl., 2025, art. 4 nr 2, punkt 15.

18 Så är exempelvis fallet i den franska, den tyska och den grekiska språkversionen av dataskyddsförordningen.

19 Dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 47) (min kursivering).

20 Artikel 29-arbetsgruppens riktlinjer om öppenhet, punkt 26.

21 Ibidem.

22 Se EDPB, Riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter, antagna den 29 januari 2020, punkt 113 (nedan kallade EDPB:s riktlinjer för kamerabevakning). Huruvida den registrerade faktiskt har förstått informationen är en annan sak som är avhängig att informationen har tillhandahållits i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i enlighet med artikel 12 i dataskyddsförordningen.

23 I Artikel 29-gruppens riktlinjer om öppenhet ges exemplet att det i ett anställningsavtal kan krävas att information tillhandahålls till en nuvarande eller potentiell arbetsgivare.

24 Dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 53).

25 För närmare detaljer, se EDPB:s riktlinjer för kamerabevakning, punkterna 112–119.

26 Se, allmänt, EDPB:s riktlinjer för kamerabevakning, punkt 1 och följande punkter.

27 När det gäller det praktiska genomförandet av kraven på tillhandahållande av information vid användning av kroppsburna kameror, se Data Protection Commission (Ireland), Guidance on the use of body worn cameras or action cameras, av den 10 januari 2020, s. 3, där det anges att [v]ad som utgör lämpliga åtgärder för att förmedla denna information till den registrerade beror på det specifika sammanhang och den specifika miljö i vilken uppgifterna samlas in och behandlas, och kan när det gäller kroppsburna kameror inbegripa synliga anslag med information, skyltar bredvid utrustningen som innehåller information eller länkar, offentlig skyltning eller annat som förklarar eller uppmärksammar de registrerade på den relevanta informationen. Se även Datenschutzkonferenz (DSK), Orientierungshilfe der Datenschutzausichtsbehörden zu dem Einsatz von Bodycams durch private Sicherheitsunternehmen (Dataskyddskonferensen (DSK), Tyskland, av den 22 februari 2019, (nedan kallad DSK Orientierungshilfe), s. 4. Det följer av dessa riktlinjer att det finns praktiskt genomförbara sätt att göra den registrerade uppmärksam på den aktuella behandlingen av personuppgifter. När den kroppsburna kameran aktiveras ska till exempel en optisk signal aktiveras (röd lampa (rote Lampe)) och de personer som bär de kroppsburna kamerorna på sig måste bära synliga tecken, såsom varningsvästar med kamerasymboler (beschriftete Warnwesten mit Kamerasymbolen).

28 Dom av den 3 april 2025, Ministerstvo zdravotnictví (Uppgifter om en juridisk persons företrädare) ( C‑710/23, EU:C:2025:231, punkt 29).

29 Se punkt 41 i förevarande förslag till avgörande.

30 Detta påverkar inte tillämpningen av begränsningar av den registrerades rätt att få information på de villkor som anges i artikel 23 i dataskyddsförordningen.

31 Se, för ett liknande resonemang, DSK Orientierungshilfe, citerat i fotnot 28 ovan, s. 1.

32 Kammarrätten i Stockholm grundade sitt resonemang på den domen. Även SL och den danska regeringen har i sina skriftliga yttranden hävdat att den domen är av relevans för förevarande mål.

33 Enligt artikel 11 i direktiv 95/46 var den personuppgiftsansvarige skyldig att lämna informationen till den registrerade vid tiden för registreringen av personuppgifter eller, om utlämnande till tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut.

34 Såsom kommissionen har påpekat i sitt skriftliga yttrande är formuleringen om personuppgifterna erhålls direkt från en annan källa i skäl 61 i dataskyddsförordningen ny i förhållande till direktiv 95/46. Se punkt 32 i förevarande förslag till avgörande.