CELEX: 62020CJ0175
Begäran om förhandsavgörande
Skydd för enskilda personer med avseende på behandling av personuppgifter
Förordning (EU) 2016/679
Artikel 2
Tillämpningsområde
Artikel 4
Begreppet ’behandling’
Artikel 5
Principer för behandling av personuppgifter
Ändamålsbegränsning
Uppgiftsminimering
Artikel 6
Laglig behandling av personuppgifter
Behandling som är nödvändig för att utföra en uppgift av allmänt intresse som utförs av den personuppgiftsansvarige
Behandling som är nödvändig för att uppfylla en rättslig förpliktelse som åvilar den personuppgiftsansvarige
Artikel 23
Begränsningar
Behandling av uppgifter för skatteändamål
Begäran om utlämnande av uppgifter i internetannonser för försäljning av fordon
Proportionalitet

Begäran om förhandsavgörande avser tolkningen av Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (
EUT L 119, 2016, s. 1
, och rättelse i
EUT L 127, 2018, s. 2
), särskilt dess artikel 5.1.
Begäran har framställts i ett mål mellan ”SS” SIA och Valsts ieņēmumu dienests (skattemyndigheten, Lettland) (nedan kallad den lettiska skattemyndigheten), angående en begäran om utlämnande av uppgifter som förekommer i annonser för försäljning av fordon som publicerats på SS webbplats.
Tillämpliga bestämmelser
Unionsrätt
Förordning 2016/679
Förordning 2016/679, som grundas på artikel 16 FEUF, ska enligt artikel 99.2 i denna förordning tillämpas från och med den 25 maj 2018.
Skälen 1, 4, 10, 19, 26, 31, 39, 41 och 50 i nämnda förordning har följande lydelse:
”(1)
Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
…
(4)
Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.
…
(10)
För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. …
…
(19)
Skyddet för fysiska personer när det gäller behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten och det fria flödet av sådana uppgifter, säkerställs på unionsnivå av en särskild unionsrättsakt. Därför bör denna förordning inte vara tillämplig på behandling av personuppgifter för dessa ändamål. Personuppgifter som myndigheter behandlar enligt denna förordning och som används för de ändamålen bör emellertid regleras genom en mer specifik unionsrättsakt, nämligen Europaparlamentets och rådets direktiv (EU) 2016/680 [av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (
EUT L 119, 2016, s. 89
)]. …
…
(26)
Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. … För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. …
…
(31)
Offentliga myndigheter som för sin myndighetsutövning mottar personuppgifter i enlighet med en rättslig förpliktelse, t.ex. skatte- och tullmyndigheter, finansutredningsgrupper, oberoende administrativa myndigheter eller finansmarknadsmyndigheter med ansvar för reglering och övervakning av värdepappersmarknader, bör inte betraktas som mottagare om de tar emot personuppgifter som är nödvändiga för utförandet av en särskild utredning av allmänt intresse, i enlighet med unionsrätten eller medlemsstaternas nationella rätt. Offentliga myndigheters begäranden om att uppgifter ska lämnas ut ska alltid vara skriftliga och motiverade, läggas fram i enskilda fall och inte gälla hela register eller leda till att register kopplas samman. Dessa offentliga myndigheters behandling av personuppgifter bör ske i överensstämmelse med de bestämmelser för dataskydd som är tillämpliga på behandlingens ändamål.
…
(39)
… Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen. De specifika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in. Personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Detta kräver i synnerhet att det tillses att den period under vilken personuppgifterna lagras är begränsad till ett strikt minimum. Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. …
…
(41)
När det i denna förordning hänvisas till en rättslig grund eller lagstiftningsåtgärd, innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett parlament, utan att detta påverkar krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis vid … domstolen och Europeiska domstolen för de mänskliga rättigheterna.
…
(50)
Behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten, när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra, kan unionsrätten eller medlemsstaternas nationella rätt fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör betraktas som förenlig och laglig behandling av uppgifter. Den rättsliga grund för behandling av personuppgifter som återfinns i unionsrätten eller i medlemsstaternas nationella rätt kan också utgöra en rättslig grund för ytterligare behandling. För att fastställa om ett ändamål med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen insamlades bör den personuppgiftsansvarige, efter att ha uppfyllt alla krav vad beträffar den ursprungliga behandlingens lagenlighet, bland annat beakta alla kopplingar mellan dessa ändamål och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personuppgifterna insamlats, särskilt de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige i fråga om den art, den planerade ytterligare behandlingens konsekvenser för de registrerade samt förekomsten av lämpliga skyddsåtgärder för både den ursprungliga och den planerade ytterligare behandlingen.”
I artikel 2 i förordning nr 2016/679, med rubriken ”Materiellt tillämpningsområde”, föreskrivs följande:
”1.   Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
2.   Denna förordning ska inte tillämpas på behandling av personuppgifter som
a)
utgör ett led i en verksamhet som inte omfattas av unionsrätten,
b)
medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget,
c)
en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll,
d)
behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.
…”
Artikel 4 i denna förordning, med rubriken ”Definitioner”, har följande lydelse:
”I denna förordning avses med
1.
personuppgifter
: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer, eller till en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2.
behandling
: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
6.
register
: en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,
7.
personuppgiftsansvarig
: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; …
…
9.
mottagare
: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte; offentliga myndigheter som kan komma att motta personuppgifter inom ramen för ett särskilt uppdrag i enlighet med unionsrätten eller medlemsstaternas nationella rätt ska dock inte betraktas som mottagare; offentliga myndigheters behandling av dessa uppgifter ska vara förenlig med tillämpliga bestämmelser för dataskydd beroende på behandlingens syfte,
…”
I artikel 5 i nämnda förordning, ”Principer för behandling av personuppgifter”, anges följande:
”1.   Vid behandling av personuppgifter ska följande gälla:
a)
Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).
b)
De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. … (ändamålsbegränsning).
c)
De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).
d)
De ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (korrekthet).
e)
De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. … (lagringsminimering)
f)
De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).
2.   Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”
I artikel 6 i samma förordning, med rubriken ”Laglig behandling av personuppgifter”, föreskrivs följande:
”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a)
Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
b)
Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.
c)
Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
d)
Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.
e)
Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
f)
Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.
Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.
2.   Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.
3.   Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med
a)
unionsrätten, eller
b)
en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.
4.   Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:
a)
Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.
b)
Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.
c)
Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10.
d)
Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.
e)
Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”
Artikel 13.3 i förordning nr 2016/679 har följande lydelse:
”Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.”
I artikel 14 i denna förordning föreskrivs följande:
”1.   Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:
…
c)
Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.
…
5.   Punkterna 1–4 ska inte tillämpas i följande fall och i den mån
…
c)
erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, …
…”
Artikel 23.1 e i nämnda förordning har följande lydelse:
”Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa
…
e)
andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,
…”
I artikel 25.2 i förordning nr 2016/679 föreskrivs följande:
”Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer.”
Direktiv 2016/680
I skälen 10 och 11 i direktiv 2016/680 anges följande:
”(10)
I förklaring nr 21 om skydd av personuppgifter på området för straffrättsligt samarbete och polissamarbete, fogad till slutakten från den regeringskonferens som antog Lissabonfördraget, bekräftade konferensen att det med hänsyn till dessa områdens särart kan komma att bli nödvändigt att anta särskilda regler om skydd av personuppgifter och om det fria flödet av personuppgifter på områdena för straffrättsligt samarbete och polissamarbete med stöd av artikel 16 i [FEUF].
(11)
Det är därför lämpligt att dessa områden behandlas i ett direktiv som fastställer särskilda regler om skydd för fysiska personer i samband med behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, med respekt för den särskilda karaktären hos denna verksamhet. Sådana behöriga myndigheter kan omfatta inte bara offentliga myndigheter såsom rättsliga myndigheter, polis eller andra brottsbekämpande myndigheter, utan också alla andra organ eller enheter som genom medlemsstaternas nationella rätt har anförtrotts myndighetsutövning enligt detta direktiv. Förordning [2016/679] bör tillämpas när ett sådant organ eller en sådan enhet behandlar personuppgifter för andra ändamål än de som avses i detta direktiv. Förordning [2016/679] är därför tillämplig i fall då ett organ eller en enhet samlar in personuppgifter för andra ändamål och behandlar dessa personuppgifter ytterligare för att iaktta sina rättsliga skyldigheter. …”
I artikel 3 i detta direktiv anges följande:
”I detta direktiv avses med
…
7.
behörig myndighet
a)
en offentlig myndighet som har behörighet att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga hot mot den allmänna säkerheten, eller
b)
annat organ eller annan enhet som genom medlemsstaternas nationella rätt har anförtrotts myndighetsutövning för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive skydda mot eller förebygga och förhindra hot mot den allmänna säkerheten,
…”
Lettisk rätt
Enligt artikel 15.6 i likums ”Par nodokļiem un nodevām” (lag om skatter och avgifter,
Latvijas Vēstnesis
, 1995, nr 26), i den lydelse som är tillämplig i det nationella målet (nedan kallad lagen om skatter och avgifter), är den som tillhandahåller tjänster för att publicera annonser på internet skyldig att på begäran av den lettiska skattemyndigheten tillhandahålla de uppgifter som vederbörande förfogar över om de skattskyldiga som har publicerat annonser med hjälp av dennes tjänster.
Målet vid den nationella domstolen och tolkningsfrågorna
SS är ett lettiskt företag som tillhandahåller tjänster för att publicera annonser på internet.
Den 28 augusti 2018 framställde den lettiska skattemyndigheten, med stöd av artikel 15.6 i lagen om skatter och avgifter, en begäran om utlämnande av uppgifter till SS, varigenom företaget anmodades att återskapa och ge skattemyndigheten tillgång till uppgifter om chassinumren på fordon som utannonserats på företagets webbportal och till säljarnas telefonnummer. Företaget anmodades även att senast den 3 september 2018 lämna ut uppgifter om annonser som offentliggjorts under perioden 14 juli–31 augusti 2018 under rubriken ”Personbilar” på denna webbportal.
I begäran angavs att dessa uppgifter skulle innehålla en länk till annonsen, dess text, uppgifter om märke, modell, chassinummer och pris på det aktuella fordonet, samt säljarens telefonnummer, och att dessa uppgifter skulle översändas elektroniskt i ett format som möjliggjorde filtrering eller urval av data.
För det fall att det inte var möjligt att återskapa uppgifterna i annonserna på den aktuella webbportalen, uppmanades SS att ange skälet till detta och att senast den tredje dagen varje månad lämna relevanta uppgifter om annonser som publicerats under föregående månad.
SS ansåg att den lettiska skattemyndighetens begäran om utlämnande av uppgifter inte var förenlig med de principer om proportionalitet och uppgiftsminimering som stadfästs i förordning nr 2016/679, och gav därför in ett klagomål mot denna begäran till generaldirektören för den lettiska skattemyndigheten.
Genom beslut av den 30 oktober 2018 avslog skattemyndigheten klagomålet och uppgav bland annat att behandlingen av de personuppgifter som är aktuella i det nationella målet omfattades av den lettiska skattemyndighetens lagstadgade befogenheter.
SS väckte talan om ogiltigförklaring av detta beslut vid administratīvā rajona tiesa (Distriktsförvaltningsdomstolen, Lettland). I tillägg till de argument SS anfört inom ramen för sitt klagomål gjorde företaget gällande att skattemyndigheten, i sitt beslut, inte hade uppgett något särskilt ändamål för behandlingen av de begärda uppgifterna eller specificerat mängden av uppgifter som krävdes för denna behandling, i strid med artikel 5.1 i förordning nr 2016/679.
Administratīvā rajona tiesa (Distriktsförvaltningsdomstolen) ogillade överklagandet genom dom av den 21 maj 2019 och uppgav i huvudsak att den lettiska skattemyndigheten hade rätt att begära tillgång till uppgifter om varje enskild person och i obegränsad mängd, förutsatt att uppgifterna kunde anses vara relevanta för skatteuppbörden. Nämnda domstol fann vidare att bestämmelserna i förordning nr 2016/679 inte var tillämpliga på denna myndighet.
SS överklagade denna dom till den hänskjutande domstolen och gjorde gällande dels att den lettiska skattemyndigheten omfattades av bestämmelserna i förordning nr 2016/679, dels att skattemyndigheten åsidosatte proportionalitetsprincipen genom att varje månad och utan begränsning i tiden begära tillgång till en betydande mängd personuppgifter avseende ett obegränsat antal annonser, utan att närmare ange vilka skattskyldiga personer som kunde komma att föremål för skattekontroll.
Den hänskjutande domstolen har uppgett att i det nationella målet har det inte bestridits att verkställandet av den aktuella begäran om utlämnande av uppgifter har ett nära samband med behandling av personuppgifter, och inte heller att den lettiska skattemyndigheten har rätt att erhålla uppgifter som en tillhandahållare av tjänster för internetannonsering förfogar över och som är nödvändiga för att genomföra specifika skatteuppbördsåtgärder.
Tvisten vid den nationella domstolen avser mängden och arten av uppgifter som den lettiska skattemyndigheten kan begära, huruvida begäran avseende dessa uppgifter måste begränsas eller kan vara obegränsad, samt huruvida den skyldighet att lämna ut uppgifter som SS omfattas av ska begränsas i tiden.
Den hänskjutande domstolen anser i synnerhet att den måste avgöra huruvida omständigheterna i det nationella målet är sådana att behandlingen av personuppgifter sker på ett öppet sätt i förhållande till de registrerade, huruvida de uppgifter som begärts utlämnade samlas in för särskilda, uttryckligt angivna och berättigade ändamål, och huruvida behandlingen av personuppgifter endast sker i den mån denna behandling verkligen är nödvändig för att den lettiska skattemyndigheten ska kunna utföra sina uppgifter, i den mening som avses i artikel 5.1 i förordning nr 2016/679.
Följaktligen måste kriterier fastställas för att bedöma huruvida en begäran från den lettiska skattemyndighetens sida om utlämnande av uppgifter är förenlig med andemeningen i de grundläggande rättigheterna och friheterna, och huruvida den begäran om utlämnande som är aktuell i det nationella målet kan anses vara nödvändig och proportionerlig i ett demokratiskt samhälle för att säkerställa unionens viktiga mål och lettiska allmänna intressen på budget- och skatteområdet.
Mot denna bakgrund beslutade Administratīvā apgabaltiesa (Regionala förvaltningsdomstolen, Lettland) att vilandeförklara målet och ställa följande frågor till EU-domstolen:
”1)
Ska bestämmelserna i förordning [2016/679] tolkas så, att en begäran om utlämnande av uppgifter utfärdad av skattemyndigheten, såsom den i förevarande mål, varigenom en stor mängd personuppgifter begärs utlämnade, ska uppfylla kraven i förordning 2016/679 (i synnerhet dess artikel 5.1)?
2)
Ska bestämmelserna i förordning [2016/679] tolkas så, att skattemyndigheten får avvika från bestämmelserna i artikel 5.1 i denna förordning, trots att skattemyndigheten inte har någon sådan befogenhet enligt gällande lettisk lagstiftning?
3)
Föreligger det, med hänsyn till kraven i förordning [2016/679], ett berättigat mål som kan motivera en sådan skyldighet som den nu aktuella, nämligen att på begäran tillhandahålla samtliga begärda uppgifter i obegränsad mängd och under en obegränsad tidsperiod, utan att det anges något tidpunkt för när verkställandet av denna begäran om utlämnande av uppgifter ska upphöra?
4)
Föreligger det, med hänsyn till kraven i förordning [2016/679], ett berättigat mål som kan motivera en sådan skyldighet som den nu aktuella, nämligen att tillhandahålla samtliga begärda uppgifter, trots att syftet med begäran om utlämnande av uppgifter inte framgår av denna begäran (eller inte framgår till fullo)?
5)
Föreligger det, med hänsyn till kraven i förordning [2016/679], ett berättigat mål som kan motivera en sådan skyldighet som den nu aktuella, nämligen att tillhandahålla samtliga begärda uppgifter, trots att begäran i praktiken avser varje berörd person som har annonserat under rubriken ”Personbilar” på en webbportal?
6)
Vilka kriterier ska tillämpas för att avgöra huruvida skattemyndigheten, i egenskap av personuppgiftsansvarig, i vederbörlig ordning förvissar sig om att behandlingen av personuppgifter (vilken även innefattar insamlandet av uppgifter) uppfyller kraven i förordning [2016/679]?
7)
Vilka kriterier ska tillämpas för att avgöra huruvida en sådan begäran om utlämnande av uppgifter såsom den nu aktuella är vederbörligen motiverad och av tillfällig natur?
8)
Vilka kriterier ska tillämpas för att avgöra huruvida en behandling av personuppgifter utförs i den mån det är nödvändigt och på ett sätt som är förenligt med kraven i förordning [2016/679]?
9)
Vilka kriterier ska tillämpas för att avgöra huruvida skattemyndigheten, i egenskap av personuppgiftsansvarig, förvissar sig om att behandlingen av personuppgifter uppfyller kraven i artikel 5.1 i förordning [2016/679] (ansvarsskyldighet)?”
Prövning av tolkningsfrågorna
Den första frågan
Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida bestämmelserna i förordning nr 2016/679 ska tolkas så, att när skattemyndigheten i en medlemsstat samlar in uppgifter från en ekonomisk aktör, vilka innehåller en betydande mängd personuppgifter, måste myndigheten iaktta de krav som uppställs i denna förordning, i synnerhet kraven i förordningens artikel 5.1
För att besvara denna fråga ska det först undersökas huruvida en sådan begäran omfattas av det materiella tillämpningsområdet för förordning nr 2016/679, såsom detta definieras i artikel 2.1 i förordningen, och därefter huruvida en sådan begäran utgör en behandling av personuppgifter som enligt artikel 2.2 i förordningen undantas från detta tillämpningsområde.
Det ska inledningsvis noteras att enligt artikel 2.1 i förordning 2016/679 ska denna förordning tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.
I artikel 4.1 i förordning nr 2016/679 preciseras att med ”personuppgifter” avses varje upplysning beträffande en identifierad eller identifierbar fysisk person, det vill säga en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. I skäl 26 i förordningen preciseras härvidlag att för att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel som rimligen kan komma att användas antingen av den personuppgiftsansvarige eller av en annan person för att direkt eller indirekt identifiera den fysiska personen.
I det nationella målet är det utrett att de uppgifter som den lettiska skattemyndigheten har begärt utlämnade utgör personuppgifter i den mening som avses i artikel 4.1 i förordning nr 2016/679.
Enligt artikel 4.2 i förordningen utgör insamling, läsning, utlämning genom överföring, samt tillhandahållande på annat sätt av personuppgifter ”behandling” i den mening som avses i förordningen. Det framgår av ordalydelsen i denna bestämmelse, bland annat av uttrycket ”tillhandahållande på annat sätt”, att unionslagstiftaren har haft för avsikt att ge begreppet ”behandling” en omfattande räckvidd. Denna tolkning stöds även av den omständigheten att uppräkningen av åtgärder i nämnda bestämmelse inte är uttömmande, vilket framgår av uttrycket ”såsom”.
I förevarande fall har den lettiska skattemyndigheten begärt att den berörda ekonomiska aktören ska återskapa och ge myndigheten tillgång till uppgifter om chassinumren på de fordon som utannonserats på aktörens webbportal, samt att denne ska tillhandahålla skattemyndigheten uppgifter om annonser som publicerats på denna portal.
En sådan begäran, varigenom skattemyndigheten i en medlemsstat begär att en ekonomisk aktör ska lämna ut och tillhandahålla personuppgifter som denne är skyldig att ställa till myndighetens förfogande enligt nationell rätt i denna medlemsstat, utgör ett förfarande för ”insamling” av dessa uppgifter, i den mening som avses i artikel 4.2 i förordning nr 2016/679.
Den ekonomiska aktörens utlämnande och tillhandahållande av dessa uppgifter till skattemyndigheten utgör dessutom en ”behandling” i den mening som avses i nämnda artikel 4.2.
Vidare ska det undersökas huruvida en åtgärd varigenom en medlemsstats skattemyndighet avser samla in personuppgifter beträffande vissa skattskyldiga från en ekonomisk aktör kan anses falla utanför tillämpningsområdet för förordning nr 2016/679 i enlighet med artikel 2.2 i denna förordning.
I detta avseende ska det inledningsvis erinras om att nyssnämnda bestämmelse innehåller undantag från förordningens tillämpningsområde, såsom detta definieras i artikel 2.1 i förordningen, och att dessa undantag ska tolkas restriktivt (dom av den 16 juli 2020, Facebook Ireland och Schrems,
C‑311/18
,
EU:C:2020:559
, punkt
).
I artikel 2.2 d i förordning 2016/679 föreskrivs i synnerhet att denna förordning inte är tillämplig på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder.
Såsom framgår av skäl 19 i förordningen motiveras detta undantag av den omständigheten att behandling av personuppgifter som sker för sådana ändamål och som utförs av de behöriga myndigheterna regleras av en mer specifik unionsrättsakt, nämligen direktiv 2016/680, som antogs samma dag som förordning 2016/679. I artikel 3.7 i direktiv 2016/680 anges vad som avses med ”behörig myndighet” och samma definition bör tillämpas analogt på artikel 2.2 d i förordning 2016/679 (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning),
C‑439/19
,
EU:C:2021:504
, punkt
).
Det följer av skäl 10 i direktiv 2016/680 att begreppet ”behörig myndighet” ska kopplas till skyddet av personuppgifter inom områdena straffrättsligt samarbete och polissamarbete, med beaktande av de anpassningar som kan visa sig nödvändiga i detta avseende med hänsyn till dessa områdens särart. I skäl 11 i direktivet preciseras vidare att förordning 2016/679 är tillämplig på behandling av personuppgifter som utförs av en ”behörig myndighet” i den mening som avses i artikel 3.7 i nämnda direktiv, men för andra ändamål än de som avses i direktivet (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning),
C‑439/19
,
EU:C:2021:504
, punkt
)
När skattemyndigheten i en medlemsstat begär att en ekonomisk aktör ska lämna ut personuppgifter om vissa skattskyldiga i syfte att uppbära skatt och bekämpa skatteundandragande, kan skattemyndigheten inte anses agera såsom ”behörig myndighet” i den mening som avses i artikel 3 led 7 i direktiv 2016/680, och följaktligen kan en sådan begäran om utlämnande av uppgifter inte heller anses omfattas av undantaget i artikel 2.2 d i förordning nr 2016/679.
Även om det inte är uteslutet att de personuppgifter som är aktuella i det nationella målet kan användas i samband med straffrättsliga åtgärder som, vid överträdelser på skatteområdet, kan vidtas mot vissa berörda personer, tycks dessa uppgifter inte ha samlats in i det särskilda syftet att vidta sådana straffrättsliga åtgärder eller i samband med statens verksamhet inom det straffrättsliga området (se, för ett liknande resonemang, dom av den 27 september 2017, Puškár,
C‑73/16
,
EU:C:2017:725
, punkt
).
När skattemyndigheten i en medlemsstat samlar in personuppgifter som förekommer i annonser för försäljning av fordon som publicerats på en ekonomisk aktörs webbplats omfattas denna verksamhet således av det materiella tillämpningsområdet för förordning nr 2016/679, och sådan insamling måste följaktligen vara förenlig med de principer om behandling av personuppgifter som stadfästs i artikel 5 i denna förordning.
Mot bakgrund av samtliga ovanstående överväganden ska den första frågan besvaras enligt följande. Bestämmelserna i förordning nr 2016/679 ska tolkas så, att när skattemyndigheten i en medlemsstat samlar in uppgifter från en ekonomisk aktör, vilka innehåller en betydande mängd personuppgifter, måste myndigheten iaktta de krav som uppställs i denna förordning, i synnerhet kraven i förordningens artikel 5.1.
Den andra frågan
Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida bestämmelserna i förordning nr 2016/679 ska tolkas så, att skattemyndigheten i en medlemsstat får avvika från bestämmelserna i artikel 5.1 i denna förordning, trots att den inte har någon sådan befogenhet enligt medlemsstatens nationella rätt.
Såsom framgår av skäl 10 i förordning 2016/679 ska det inledningsvis erinras om att denna förordning bland annat syftar till att säkerställa en hög skyddsnivå för fysiska personer inom unionen.
All behandling av personuppgifter ska i detta syfte vara förenlig med de principer som reglerar behandlingen av personuppgifter och de rättigheter som registrerade personer har enligt kapitel II respektive III i förordning 2016/679. All behandling av personuppgifter måste i synnerhet vara förenlig med de principer om behandling av personuppgifter som anges i artikel 5 i den förordningen (se, för ett liknande resonemang, dom av den 6 oktober 2020, La Quadrature du Net m.fl.,
C‑511/18, C‑512/18 och C‑520/18
,
EU:C:2020:791
, punkt
).
Enligt artikel 23 i förordning nr 2016/679 får unionen och medlemsstaterna emellertid införa ”lagstiftningsåtgärder” som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i bland annat artikel 5 i denna förordning, i den mån de införda bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 12–22 i förordningen, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, såsom viktiga ekonomiska eller finansiella intressen, däribland budget- eller skattefrågor.
Det framgår härvidlag av skäl 41 i förordning 2016/679 att hänvisningen i denna förordning till en ”lagstiftningsåtgärd” inte nödvändigtvis avser en lagstiftningsakt antagen av ett parlament.
Såsom anges i skäl 4 i förordning 2016/679 ska det emellertid erinras om att denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd av personuppgifter.
Enligt artikel 52.1 första meningen i stadgan ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan, däribland rätten till respekt för privatlivet som garanteras i dess artikel 7, och rätten till skydd av personuppgifter som garanteras i dess artikel 8, vara föreskriven i lag, vilket särskilt innebär att räckvidden av begränsningen i utövandet av den aktuella rättigheten ska vara definierad i själva den rättsliga grund som tillåter denna begränsning (se, för ett liknande resonemang, dom av den 6 oktober 2020, Privacy International,
C‑623/17
,
EU:C:2020:790
, punkt
och där angiven rättspraxis).
I detta avseende har domstolen dessutom slagit fast att en lagstiftningsåtgärd som tillåter en sådan begränsning måste innehålla klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt ange minimikrav, så att de personer vars personuppgifter lämnas ut har tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk (se, för ett liknande resonemang, dom av den 2 mars 2021, Prokuratuur (Villkor för att ge tillgång till uppgifter avseende elektronisk kommunikation),
C‑746/18
,
EU:C:2021:152
, punkt
och där angiven rättspraxis).
Varje åtgärd som vidtas med stöd av artikel 23 i förordning 2016/679 måste följaktligen, såsom unionslagstiftaren för övrigt har understrukit i skäl 41 i förordningen, vara tydlig och precis, och dess tillämpning ska vara förutsägbar för enskilda rättssubjekt. Dessa måste i synnerhet kunna identifiera under vilka omständigheter och på vilka villkor räckvidden av de rättigheter som de tillerkänns genom förordningen kan begränsas.
Det följer av ovanstående överväganden att skattemyndigheten i en medlemsstat inte får avvika från bestämmelserna i artikel 5 i förordning nr 2016/679 när unionsrätten eller den nationella rätten inte innehåller någon rättslig grund härför, vars tillämpning är förutsebar för enskilda rättssubjekt och som föreskriver under vilka omständigheter och på vilka villkor räckvidden av de skyldigheter och rättigheter som föreskrivs i nämnda artikel 5 kan begränsas.
Den andra frågan ska således besvaras enligt följande. Bestämmelserna i förordning nr 2016/679 ska tolkas så, att skattemyndigheten i en medlemsstat inte får avvika från bestämmelserna i artikel 5.1 i denna förordning, såvida den inte har tillerkänts en sådan befogenhet med stöd av en lagstiftningsåtgärd i den mening som avses i artikel 23.1 i samma förordning.
Den tredje till den nionde frågan
Den hänskjutande domstolen har ställt den tredje till den nionde frågan, vilka ska prövas gemensamt, för att få klarhet i huruvida bestämmelserna i förordning nr 2016/679 ska tolkas så, att de utgör hinder mot att skattemyndigheten i en medlemsstat ålägger en leverantör av tjänster för publikation av annonser på internet en skyldighet att lämna ut uppgifter om samtliga skattskyldiga som har publicerat annonser under en av rubrikerna på leverantörens webbportal, under obestämd tid och utan att syftet med begäran om utlämnande av uppgifter preciseras.
Det ska inledningsvis noteras att i en sådan situation som den som är aktuell i det nationella målet kan två typer av behandling av personuppgifter äga rum. Såsom framgår av punkterna 37 och 38 ovan rör det sig om skattemyndighetens insamling av personuppgifter från den berörda tjänsteleverantören och, i samband härmed, tjänsteleverantörens utlämnande av uppgifterna genom överföring till skattemyndigheten.
Det följer av den rättspraxis som det hänvisats till i punkt 50 ovan att var och en av dessa behandlingar– med förbehåll för de undantag som medges i artikel 23 i förordning 2016/679 – ska vara förenliga med de principer om behandling av personuppgifter som anges i artikel 5 i denna förordning samt den registrerades rättigheter enligt artiklarna 12–22 i förordningen.
I förevarande fall vill den hänskjutande domstolen särskilt få klarhet i huruvida den omständigheten att de behandlingar som avses i punkt 60 ovan rör uppgifter i obegränsad mängd och under en obestämd tidsperiod, och att syftet med dessa behandlingar inte preciseras i begäran om utlämnande av uppgifter.
I detta avseende ska det för det första framhållas att i artikel 5.1 b i förordning 2016/679 föreskrivs att personuppgifter bland annat ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål.
Såsom framgår av skäl 39 i förordningen innebär kravet på att det ska finnas ett särskilt ändamål med behandlingen att detta ändamål ska ha bestämts vid den tidpunkt då personuppgifterna samlas in.
Vidare ska ändamålet med behandlingen vara uttryckligen angivet, vilket innebär att detta måste framgå klart.
Slutligen ska detta ändamål vara berättigat. Ändamålet måste följaktligen garantera en laglig behandling av personuppgifter i den mening som avses i artikel 6.1 i denna förordning.
De behandlingar som avses i punkt 60 ovan inleds genom att den lettiska skattemyndigheten framställer en begäran om utlämnande av personuppgifter till leverantören av tjänster för internetannonsering. I detta avseende framgår det att tjänsteleverantören enligt artikel 15.6 i lagen om skatter och avgifter är skyldig att efterkomma en sådan begäran.
Mot bakgrund av övervägandena i punkterna 64 och 65 ovan måste ändamålen med de aktuella behandlingarna framgå tydligt av begäran om utlämnande av uppgifter.
Den omständigheten att det ändamål som anges i begäran är nödvändigt för att utföra en uppgift av allmänt intresse eller utgör ett led i skattemyndighetens myndighetsutövning är tillräcklig – såsom framgår av artikel 6.1 första stycket och led e i förordning nr 2016/679, jämförd med artikel 6.3 andra stycket i samma förordning – för att dessa behandlingar även ska anses uppfylla det krav på lagenlighet som det erinrats om i punkt 66 ovan.
I detta hänseende ska det erinras om att uppbörd av skatt och bekämpning av skatteundandragande ska betraktas som uppgifter av allmänt intresse i den mening som avses i artikel 6.1 första stycket e i förordning 2016/679 (se, analogt, dom av den 27 september 2017, Puškár,
C‑73/16
,
EU:C:2017:725
, punkt
).
Detta ger vid handen att i ett fall där utlämnandet av de aktuella personuppgifterna inte direkt grundar sig på den rättsliga bestämmelse som utgör stöd för utlämnandet, utan följer av en begäran från den behöriga myndigheten, måste det särskilda ändamålet med insamlingen av personuppgifterna – mot bakgrund av den aktuella uppgiften av allmänt intresse eller den aktuella myndighetsutövningen – framgå av denna begäran, så att den som begäran riktar sig till ska kunna försäkra sig om att överföringen av de aktuella personuppgifterna är laglig och för att de nationella domstolarna ska kunna kontrollera lagenligheten av personuppgiftsbehandlingen.
För det andra framgår det av artikel 5.1 c i förordning 2016/679 att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.
I detta avseende ska det erinras om att det följer av fast rättspraxis att undantag från och begränsningar av principen om skydd för personuppgifter inte får gå utöver vad som är strikt nödvändigt (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning),
C‑439/19
,
EU:C:2021:504
, punkt
och där angiven rättspraxis).
Härav följer att den personuppgiftsansvarige, även när denne agerar inom ramen för sinn uppgift av allmänt intresse, inte generellt och utan åtskillnad kan samla in personuppgifter, och måste avstå från att samla in uppgifter som inte är absolut nödvändiga med hänsyn till ändamålet med behandlingen av dessa uppgifter.
I förevarande fall ska det påpekas att den lettiska skattemyndigheten, såsom framgår av punkterna 17–19 ovan, har begärt att den berörda ekonomiska aktören ska lämna ut uppgifter om annonser för försäljning av personbilar som publicerats på dennes webbplats mellan den 14 juli och den 31 augusti 2018 och, för det fall att det inte är möjligt att återskapa dessa uppgifter, att senast den tredje dagen i varje månad lämna ut uppgifter om annonser för försäljning av personbilar som publicerats på dennes webbplats under den föregående månaden, utan någon som helst begränsning i tiden.
Mot bakgrund av de överväganden som framförts i punkt 74 ovan ankommer det på den hänskjutande domstolen att pröva huruvida ändamålet med insamlingen av dessa uppgifter kan uppnås utan att den lettiska skattemyndigheten får tillgång till uppgifter om samtliga annonser för försäljning av personbilar som publicerats på den aktuella operatörens webbplats, och särskilt huruvida det vore möjligt för myndigheten att välja ut vissa annonser med hjälp av specifika kriterier.
Det ska i detta sammanhang understrykas att i enlighet med den ansvarsprincip som stadfästs i artikel 5.2 i förordning 2016/679 måste den personuppgiftsansvarige kunna visa att punkt 1 i denna artikel efterlevs.
I enlighet med artikel 25.2 i nämnda förordning ankommer det således på den lettiska skattemyndigheten att visa att den i möjligaste mån har försökt att minimera mängden personuppgifter som ska samlas in.
Angående den omständigheten att för det fall att den berörda ekonomiska aktören inte kan återskapa uppgifterna i de annonser som omfattas av den tidsperiod som anges i den lettiska skattemyndighetens begäran om utlämnande av uppgifter ska denna begäran förstås så, att den inte uppställer någon som helst begränsning i tiden, erinrar domstolen om att i enlighet med principen om uppgiftsminimering är den personuppgiftsansvarige även är skyldig att, mot bakgrund av ändamålet med den planerade behandlingen, begränsa perioden för insamling av de aktuella personuppgifterna till vad som är absolut nödvändigt.
Den period som insamlingen avser får således inte sträcka sig längre än vad som är absolut nödvändig för att uppnå det eftersträvade målet av allmänt intresse.
Såsom framgår av punkt 77 ovan är det den lettiska skattemyndigheten som har bevisbördan i detta avseende.
Den omständigheten att uppgifterna samlas in utan att den lettiska skattemyndigheten i själva begäran om utlämnande av uppgifter har fastställt en tidsgräns för denna behandling innebär emellertid inte i sig att behandlingsperioden sträcker sig längre än vad som är absolut nödvändigt för att uppnå det eftersträvade målet.
I detta sammanhang ska det dock erinras om att för att uppfylla det proportionalitetskrav som föreskrivs i artikel 5.1 c i förordning 2016/679 (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning),
C‑439/19
,
EU:C:2021:504
, punkt
och där angiven rättspraxis), måste de föreskrifter som ligger till grund för behandlingen innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden samt ange minimikrav, så att de personer vars personuppgifter lämnas ut ges tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk. Dessa föreskrifter måste även vara rättsligt bindande enligt nationell rätt och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd för behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strikt nödvändigt (dom av den 6 oktober 2020, Privacy International,
C‑623/17
,
EU:C:2020:790
, punkt
och där angiven rättspraxis).
Härav följer att den nationella lagstiftning som reglerar en sådan begäran om utlämnande av uppgifter som den som är aktuell i det nationella målet måste vara grundad på objektiva kriterier som gör det möjligt att fastställa under vilka omständigheter och på vilka villkor en leverantör av internettjänster är skyldig att lämna ut personuppgifter om sina användare (se, för ett liknande resonemang, dom av den 6 oktober 2020, Privacy International,
C‑623/17
,
EU:C:2020:790
, punkt
och där angiven rättspraxis).
Mot bakgrund av samtliga ovanstående överväganden ska den tredje till den nionde frågan besvaras enligt följande. Bestämmelserna i förordning nr 2016/679 ska tolkas så, att de inte utgör hinder mot att skattemyndigheten i en medlemsstat ålägger en leverantör av tjänster för publikation av annonser på internet en skyldighet att lämna ut uppgifter om skattskyldiga som har publicerat annonser under en av rubrikerna på leverantörens webbportal, förutsatt att tillgången till dessa uppgifter är nödvändig med hänsyn till det specifika ändamål som eftersträvas med insamlandet och att den period som insamlandet avser inte sträcker sig längre än vad som är absolut nödvändigt för att uppnå det eftersträvade målet av allmänt intresse.
Rättegångskostnader
Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (femte avdelningen) följande:

1)
Bestämmelserna i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att när skattemyndigheten i en medlemsstat samlar in uppgifter från en ekonomisk aktör, vilka innehåller en betydande mängd personuppgifter, måste myndigheten iaktta de krav som uppställs i denna förordning, i synnerhet kraven i förordningens artikel 5.1.

2)
Bestämmelserna i förordning nr 2016/679 ska tolkas så, att skattemyndigheten i en medlemsstat inte får avvika från bestämmelserna i artikel 5.1 i denna förordning, såvida den inte har tillerkänts en sådan befogenhet med stöd av en lagstiftningsåtgärd i den mening som avses i artikel 23.1 i samma förordning.

3)
Bestämmelserna i förordning nr 2016/679 ska tolkas så, att de inte utgör hinder mot att skattemyndigheten i en medlemsstat ålägger en leverantör av tjänster för publikation av annonser på internet en skyldighet att lämna ut uppgifter om skattskyldiga som har publicerat annonser under en av rubrikerna på leverantörens webbportal, förutsatt att tillgången till dessa uppgifter är nödvändig med hänsyn till det specifika ändamål som eftersträvas med insamlandet och att den period som insamlandet avser inte sträcker sig längre än vad som är absolut nödvändigt för att uppnå det eftersträvade målet av allmänt intresse.

Underskrifter
(
*1
)	Rättegångsspråk: lettiska.