62020CJ0319_RES
Mål C‑319/20
Meta Platforms Ireland Limited, tidigare Facebook Ireland Limited,
mot
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V
(begäran om förhandsavgörande från Bundesgerichtshof)
Domstolens dom (tredje avdelningen) av den 28 april 2022
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 80 – Registrerade företräds av en sammanslutning utan vinstsyfte – Grupptalan som väcks av en konsumentskyddsförening utan mandat och oberoende av något åsidosättande av en registrerads konkreta rättigheter – Talan grundad på förbudet mot otillbörliga affärsmetoder, åsidosättande av en konsumentskyddslag eller förbudet mot ogiltiga allmänna villkor”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Företrädande av registrerade – Talerätt – Konsumentskyddsförening – Grupptalan väckt av denna förening utan mandat och oberoende av något åsidosättande av en registrerads konkreta rättigheter – Talan grundad på åsidosättande av bestämmelser om konsumentskydd eller om motverkande av otillbörliga affärsmetoder – Tillåtet – Villkor
(Europaparlamentets och rådets förordning 2016/679, artikel 80.2)
(se punkterna 57‐60, 63‐79 och 83 samt domslutet)
Resumé
Meta Platforms Ireland hanterar utbudet av online-tjänster inom det sociala nätverket Facebook och är ansvarig för behandlingen av personuppgifter avseende användare av detta sociala nätverk i unionen. Webbplattformen Facebook innehåller, på webbadressen www.facebook.de, en plats kallad App-Zentrum (Appcenter) på vilken Meta platforms Ireland gör spel som tillhandahålls av tredje man tillgängliga för användarna utan vederlag. När sidorna för vissa spel på Appcenter besöks informeras användaren om att användningen av den aktuella applikationen gör det möjligt för spelbolaget att erhålla vissa personuppgifter och ger bolaget rätt att publicera viss information för användarens räkning. Denna användning medför att användaren godtar de allmänna tillämpningsvillkoren och spelbolagets policy vad gäller dataskydd. Vad avser ett visst spel informerades användaren dessutom om att applikationen fick tillåtelse att för användarens räkning publicera foton och andra uppgifter.
Den tyska konsumentskyddsföreningen Bundesverband (
1
) ansåg att den information som tillhandahölls av de ifrågavarande spelen i Appcenter var otillbörlig. I egenskap av en organisation som har rätt att väcka talan för att begära att åsidosättanden av lagstiftningen om konsumentskydd (
2
) upphör, väckte Bundesverband talan om förbudsföreläggande mot Meta Platforms Ireland. Denna talan väcktes oberoende av något konkret åsidosättande av en registrerads rätt till skydd för personuppgifter och utan något uppdrag från en sådan person. Den dom varigenom denna talan bifölls överklagades av Meta Platforms Ireland som efter det att överklagandet avslogs väckte talan vid Bundesgerichtshof (Federala högsta domstolen, Tyskland). Eftersom den domstolen hyste tvivel om huruvida Bundesverbands talan kunde tas upp till sakprövning, särskilt vad gällde föreningens talerätt gentemot Meta Platforms Ireland, begärde den ett förhandsavgörande från EU-domstolen.
Domstolen har genom sin dom slagit fast att artikel 80.2 i den allmänna dataskyddsförordningen (
3
) inte utgör hinder för att en konsumentskyddsförening, utan mandat som anförtrotts denna förening i detta avseende och oberoende av något åsidosättande av registrerades konkreta rättigheter, tillerkänns talerätt mot den som påstås ha gjort intrång i skyddet av personuppgifter, genom att åberopa åsidosättande av förbudet mot otillbörliga affärsmetoder, av en lag gällande konsumentskydd eller av förbudet mot ogiltiga allmänna villkor. Möjligheten att väcka talan föreligger när behandlingen av de ifrågavarande uppgifterna kan påverka de rättigheter som identifierade eller identifierbara fysiska personer tillerkänns enligt dataskyddsförordningen.
Domstolens bedömning
Domstolen erinrar inledningsvis om att dataskyddsförordningen (
4
) syftar till att säkerställa en i princip fullständig harmonisering av nationell lagstiftning om skydd av personuppgifter. Artikel 80.2 i denna förordning är emellertid en av de bestämmelser enligt vilken medlemsstaterna medges ett utrymme för skönsmässig bedömning vad gäller dess genomförande. (
5
) För att en sådan grupptalan i avsaknad av uppdrag avseende skyddet av personuppgifter som föreskrivs i denna bestämmelse ska kunna genomföras, måste medlemsstaterna ha använt sig av den möjlighet som de medges genom denna bestämmelse, att i sin nationella rätt föreskriva ett sådant tillvägagångssätt för att företräda registrerade. När medlemsstaterna utnyttjar denna möjlighet ska de emellertid använda sitt utrymme för skönsmässig bedömning under de förutsättningar och begränsningar som följer av dataskyddsförordningen och ska således lagstifta på ett sådant sätt att de inte inkräktar på förordningens innehåll och syften.
Domstolen konstaterar vidare att medlemsstaterna enligt artikel 80.2 i dataskyddsförordningen medges en möjlighet att föreskriva en mekanism för grupptalan mot den som påstås göra intrång i skyddet av personuppgifter, samtidigt som det i artikeln uppställs ett antal krav som ska iakttas i detta syfte. Talerätt tillerkänns för det första ett organ, en organisation eller en sammanslutning som uppfyller de kriterier som uppställs i dataskyddsförordningen (
6
). En konsumentskyddsförening, såsom Bundesverband, kan omfattas av detta begrepp, eftersom den eftersträvar ett mål av allmänt intresse som består i att säkerställa de registrerades rättigheter och friheter i egenskap av konsumenter, i den mån förverkligandet av ett sådant mål kan ha samband med skyddet av konsumenternas personuppgifter. En sådan grupptalan förutsätter för det andra att denna enhet, oberoende av vilka mandat som den innehar, anser att de registrerades rättigheter enligt förordningen har kränkts som en följd av behandlingen av deras personuppgifter.
För att kunna väcka en sådan grupptalan (
7
) krävs det således inte att en sådan enhet i förväg identifierar de personer som specifikt berörs av en sådan behandling av uppgifter som påstås strida mot bestämmelserna i förordningen. I detta avseende kan det även vara tillräckligt att en kategori eller grupp av personer som berörs av en sådan behandling kan avgränsas. (
8
)
En grupptalan förutsätter inte heller att det föreligger ett konkret åsidosättande av de rättigheter som en person tillerkänns enligt dataskyddsförordningen. För att en enhet ska tillerkännas talerätt är det tillräckligt att den åberopar att behandlingen av uppgifter kan påverka de rättigheter som identifierade eller identifierbara fysiska personer tillerkänns enligt förordningen, utan att det är nödvändigt att styrka att en registrerad har lidit faktisk skada till följd av intrång i dennes rättigheter i en viss situation. Med hänsyn till det mål som eftersträvas med dataskyddsförordningen bidrar obestridligen det förhållandet att konsumentskyddsföreningar, såsom Bundesverband, tillerkänns behörighet att genom en mekanism för att väcka grupptalan i syfte att avbryta en sådan behandling av personuppgifter som strider mot dataskyddsförordningen ‐ oberoende av något åsidosättande av rättigheterna för en person som personligen och konkret påverkas av detta intrång ‐ till att stärka de registrerades rättigheter och att säkerställa en hög skyddsnivå för dem.
Domstolen erinrar slutligen om att ett åsidosättande av en bestämmelse om skydd av personuppgifter samtidigt kan medföra ett åsidosättande av bestämmelser om konsumentskydd eller om otillbörliga affärsmetoder. Dataskyddsförordningen (
9
) innebär således att medlemsstaterna kan använda sig av möjligheten att föreskriva att konsumentskyddsföreningar tillerkänns rätt att väcka talan mot åsidosättanden av rättigheter enligt dataskyddsförordningen med hjälp av regler som syftar till att skydda konsumenter eller motverka otillbörliga affärsmetoder.
(
1
)	Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (nedan kallad Bundesverband).
(
2
)	Enligt tysk rätt omfattar lagarna om konsumentskydd även de bestämmelser som reglerar tillåtligheten för ett företag eller en näringsidkare att samla in, behandla eller använda en konsuments personuppgifter.
(
3
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT 2016, L 119, s. 1), (nedan kallad dataskyddsförordningen). Enligt artikel 80.2 i dataskyddsförordningen får ”[m]edlemsstaterna ... föreskriva att ett organ, en organisation eller en sammanslutning enligt punkt 1 i ... artikeln, oberoende av en registrerads mandat, har rätt att i den medlemsstaten inge klagomål till den tillsynsmyndighet som är behörig enligt artikel 77 och utöva de rättigheter som avses i artiklarna 78 och 79 om organet, organisationen eller sammanslutningen anser att den registrerades rättigheter enligt ... förordningen har kränkts som en följd av behandlingen [av de ifrågavarande personuppgifterna]”.
(
4
)	Såsom framgår av artikel 1.1 i dataskyddsförordningen, jämförd med skälen 9, 10 och 13 i denna förordning.
(
5
)	Med tillämpning av ”öppningsklausuler”.
(
6
)	Bland annat i artikel 80.1 i dataskyddsförordningen. I denna artikel hänvisas till ”ett organ, en organisation eller sammanslutning utan vinstsyfte, som har inrättats på lämpligt sätt i enlighet med lagen i en medlemsstat, vars stadgeenliga mål är av allmänt intresse och som är verksam inom området skydd av registrerades rättigheter och friheter när det gäller skyddet av deras personuppgifter”.
(
7
)	Enligt artikel 80.2 i dataskyddsförordningen.
(
8
)	Bland annat med hänsyn till begreppet ”registrerad person”, i den mening som avses i artikel 4.1 i förordningen, vilket omfattar såväl en ”identifierad” fysisk person, som en ”identifierbar” fysisk person.
(
9
)	Bland annat artikel 80.2 i dataskyddsförordningen.