62023CC0416
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
J. RICHARD DE LA TOUR
fremsat den 5. september 2024 (
1
)
Sag C-416/23
Österreichische DSB
procesdeltager:
F R,
Bundesministerin für Justiz
(anmodning om præjudiciel afgørelse indgivet af Verwaltungsgerichtshof (forvaltningsdomstol, Østrig))
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 57, stk. 4 – tilsynsmyndighedens opgaver – anmodning – begreb – uforholdsmæssigt antal anmodninger – begreb – artikel 77, stk. 1 – ret til at indgive klage – betaling af et rimeligt gebyr baseret på de administrative omkostninger eller tilsynsmyndighedens afvisning af at efterkomme anmodningen – kriterier, der kan ligge til grund for kontrolmyndighedens valg«
I. Indledning
1.
Artikel 57, stk. 4, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
2
) (herefter »databeskyttelsesforordningen«) giver tilsynsmyndighederne mulighed for at opkræve et rimeligt gebyr baseret på de administrative omkostninger eller for at afvise at efterkomme anmodningen, når de modtager anmodninger, der er åbenbart grundløse eller uforholdsmæssige, især fordi de gentages.
2.
Logikken bag dette processuelle instrument er baseret på tanken om, at når de registrerede nemt skal kunne kræve, at tilsynsmyndighederne overholder de rettigheder, som de er indrømmet ved databeskyttelsesforordningen, skal disse myndigheder kunne behandle uforholdsmæssige anmodninger på en særlig måde med henblik på at sikre, at de kan fungere korrekt og bevare deres evne til fuldt ud at udføre deres opgaver.
3.
Det skal endvidere fastsættes, hvad der forstås ved uforholdsmæssigt i denne henseende. Det er den væsentligste problemstilling, som anmodningen om præjudiciel afgørelse rejser.
4.
Denne anmodning er blevet indgivet som led i en tvist mellem Österreichische Datenschutzbehörde (databeskyttelsesmyndighed, Østrig, herefter »DSB«) og F R angående denne myndigheds afslag i henhold til databeskyttelsesforordningens artikel 57, stk. 4, på en klage indgivet af F R i henhold til forordningens artikel 77, stk. 1.
II. De faktiske omstændigheder i hovedsagen og de præjudicielle spørgsmål
5.
Den 17. februar 2020 indgav F R en klage til DSB i henhold til databeskyttelsesforordningens artikel 77, stk. 1, vedrørende en tilsidesættelse af retten til indsigt som omhandlet i denne forordnings artikel 15 med den begrundelse, at den dataansvarlige ikke havde efterkommet hans anmodning om indsigt inden for en frist på en måned.
6.
Ved afgørelse af 22. april 2020 afviste DSB på grundlag af forordningens artikel 57, stk. 4, klagen, idet den betegnede denne som »uforholdsmæssig«. Den har i denne henseende bl.a. gjort gældende, at den pågældende inden for en periode på ca. 20 måneder havde indgivet i alt 77 klager til DSB med henblik på at bestride forskellige dataansvarliges manglende besvarelse af hans anmodninger om indsigt og sletning inden for en måned (
3
). Desuden har F R jævnligt kontaktet myndigheden telefonisk for at fremkomme med yderligere oplysninger og rådføre sig med den med henblik på indgivelse af eventuelle andre klager.
7.
F R indbragte denne afgørelse for Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig). Ved dom af 22. december 2022 gav Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager) F R medhold i søgsmålet og annullerede nævnte afgørelse. Den fandt i det væsentlige, at den uforholdsmæssige karakter som omhandlet i databeskyttelsesforordningens artikel 57, stk. 4, ikke blot forudsætter, at anmodningerne gentages hyppigt, men også, at de har en åbenbar chikanøs karakter eller er udtryk for misbrug. Ifølge Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager) fremgik det ikke af databeskyttelsesmyndighedens begrundelse for at afvise at behandle F R’s klager, at dennes tiltag var uforholdsmæssige. Desuden kan DSB ikke frit vælge, om den vil opkræve betaling af et rimeligt gebyr for en »uforholdsmæssig« anmodning eller afvise at behandle en sådan anmodning. Myndigheden skal begrunde et sådant valg, hvilket den ikke har gjort i den foreliggende sag.
8.
DSB har iværksat en revisionsanke af dommen ved Verwaltungsgerichtshof (forvaltningsdomstol), der er den forelæggende ret i denne sag, som for det første ønsker oplyst, om begrebet »klage« i databeskyttelsesforordningens artikel 77, stk. 1, kan sidestilles med »anmodning(er)« som omhandlet i forordningens artikel 57, stk. 4.
9.
Den forelæggende ret har i denne henseende anført, at en negativ besvarelse af dette spørgsmål ville bevirke, at en tilsynsmyndighed ikke på grundlag af denne bestemmelse kan nægte at behandle klager eller kræve betaling af et rimeligt gebyr for behandlingen af disse, uanset om de er grundløse eller uforholdsmæssige. Ifølge den forelæggende ret findes der dog vægtige argumenter for, at de i databeskyttelsesforordningens artikel 77, stk. 1, omhandlede klager medtages i anvendelsesområdet for forordningens artikel 57, stk. 4.
10.
For det andet er den forelæggende ret i tvivl om, hvilken betydning begrebet »uforholdsmæssige anmodninger« skal tillægges i den forstand, hvori udtrykket er anvendt i sidstnævnte artikel. Den forelæggende ret har navnlig anført, at selv om den omstændighed, at anmodningerne gentages, er nævnt som et eksempel på uforholdsmæssige anmodninger, skal der tages hensyn til den omstændighed, at muligheden for, at en tilsynsmyndighed kan afvise at behandle en klage, medfører en væsentlig krænkelse af den beskyttelse, som de registrerede kan påberåbe sig i medfør af databeskyttelsesforordningen. Det ville således være i strid med databeskyttelsesforordningens mål om at sikre et højt niveau af beskyttelse af personoplysninger. Eftersom der er tale om en undtagelse fra tilsynsmyndighedernes forpligtelse til at behandle de klager, der indbringes for dem, skal muligheden for at afvise en klage fortolkes snævert.
11.
Den forelæggende ret tvivler således på, at alene den omstændighed, at den registrerede benytter sig af de muligheder, som databeskyttelsesforordningen giver denne, til at indgive et stort antal klager i forhold til andre personer, bl.a. når klagerne vedrører forskellige dataansvarlige, kan være tilstrækkeligt til at betegne anmodningerne som »uforholdsmæssige«, når ingen andre omstændigheder godtgør en hensigt, der er udtryk for misbrug.
12.
Ifølge den forelæggende ret kan heller ikke den omstændighed alene, at behandlingen af visse klager udgør en arbejdsbyrde og medfører et tidsforbrug, der ligger over gennemsnittet, begrunde opkrævningen af gebyrer eller afvisning af at efterkomme en anmodning i medfør af databeskyttelsesforordningens artikel 57, stk. 4.
13.
For det tredje ønsker den forelæggende ret oplyst, om en tilsynsmyndighed, når der foreligger åbenbart grundløse eller uforholdsmæssige anmodninger, frit kan vælge, om den vil opkræve et rimeligt gebyr baseret på de administrative omkostninger eller afvise at efterkomme disse anmodninger.
14.
Under disse omstændigheder har Verwaltungsgerichtshof (forvaltningsdomstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)
Skal begrebet »anmodning« eller »anmodninger« i [databeskyttelsesforordningens] artikel 57, stk. 4, fortolkes således, at dette begreb også omfatter »klager« som omhandlet i artikel 77, stk. 1, [databeskyttelsesforordningen]?
2)
Såfremt det første spørgsmål besvares bekræftende: Skal artikel 57, stk. 4, i [databeskyttelsesforordningen] fortolkes således, at alene det forhold, at en registreret inden for en bestemt periode har indgivet et bestemt antal anmodninger (klager som omhandlet i artikel 77, stk. 1, i den generelle forordning om databeskyttelse) til en tilsynsmyndighed, i sig selv er tilstrækkeligt til, at der foreligger »uforholdsmæssige anmodninger«, uanset om der er tale om forskellige faktiske omstændigheder, og/eller anmodningerne (klagerne) vedrører forskellige dataansvarlige, eller kræves det ud over den hyppige gentagelse af anmodningerne (klagerne) også, at den registrerede har en hensigt, der er udtryk for misbrug?
3)
Skal artikel 57, stk. 4, i [databeskyttelsesforordningen] fortolkes således, at tilsynsmyndigheden, når der foreligger en »åbenbart grundløs« eller »uforholdsmæssig« anmodning (klage), frit kan vælge, om den vil kræve et rimeligt gebyr baseret på de administrative omkostninger ved behandlingen af anmodningen eller på forhånd afvise at behandle anmodningen; såfremt dette spørgsmål besvares benægtende, hvilke omstændigheder og hvilke kriterier skal tilsynsmyndigheden da tage hensyn til, og er tilsynsmyndigheden navnlig forpligtet til i første omgang som en mildere foranstaltning at kræve et rimeligt gebyr, således at den kun kan afvise at behandle anmodningen, hvis det vil være udsigtsløst at opkræve et gebyr med henblik på at forhindre åbenbart grundløse og uforholdsmæssige anmodninger?«
15.
F R, DSB, Bundesministerin für Justiz (forbundsjustitsminister, Østrig), den østrigske og den tjekkiske regering samt Europa-Kommissionen har indgivet skriftlige indlæg.
III. Bedømmelse
A.
Det første præjudicielle spørgsmål
16.
Med sit første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om begrebet »anmodning(er)« i databeskyttelsesforordningens artikel 57, stk. 4, omfatter de »klager«, der er omhandlet i forordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 1 (
4
).
17.
Ved i henhold til databeskyttelsesforordningens artikel 57, stk. 4, at afvise at behandle en klage indgivet af F R på grund af den angivelige krænkelse af hans ret til indsigt i henhold til forordningens artikel 15 har DSB truffet en afgørelse, der er baseret på den hypotese, at klager fra registrerede fremsat i henhold til forordningens artikel 77, stk. 1, skal sidestilles med »anmodninger« som omhandlet i forordningens artikel 57, stk. 4.
18.
Den forelæggende ret har ønsket Domstolens fortolkning af, om denne hypotese er korrekt, eftersom en tilsynsmyndighed, såfremt dette ikke er tilfældet, ikke vil kunne afvise at behandle klager eller opkræve et rimeligt gebyr for behandling af disse i medfør af databeskyttelsesforordningens artikel 57, stk. 4.
19.
Indledningsvis skal det anføres, dels at en EU-retlig bestemmelse, som ikke indeholder nogen udtrykkelig henvisning til medlemsstaternes ret med henblik på at fastlægge dens betydning og rækkevidde, ifølge Domstolens faste praksis sædvanligvis skal undergives en selvstændig og ensartet fortolkning i hele Den Europæiske Union (
5
). Dels skal der ved fortolkningen af en EU-retlig bestemmelse ikke blot tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den ordning, som den udgør en del af (
6
).
20.
På baggrund af en ordlyds-, sammenhængs- og formålsfortolkning af databeskyttelsesforordningens artikel 57, stk. 4, er jeg nået frem til den konklusion, at begrebet »anmodning(er)« i denne bestemmelse omfatter de »klager«, der er omhandlet i forordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 1.
21.
Hvad for det første angår ordlyden af databeskyttelsesforordningens artikel 57, stk. 4, fremgår det af denne bestemmelse, at »[h]vis anmodninger er åbenbart grundløse eller uforholdsmæssige, især fordi de gentages, kan tilsynsmyndigheden opkræve et rimeligt gebyr baseret på de administrative omkostninger eller afvise at efterkomme anmodningen. Bevisbyrden for, at anmodningen er åbenbart grundløs eller uforholdsmæssig, påhviler tilsynsmyndigheden«.
22.
Databeskyttelsesforordningens artikel 77, stk. 1, er affattet således:»Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning.«
23.
Ingen af databeskyttelsesforordningens bestemmelser definerer begrebet »anmodning(er)« som omhandlet i forordningens artikel 57, stk. 4. Den sædvanlige betydning af dette begreb i almindeligt sprog er meget bred. Det omfatter potentielt enhver henvendelse fra en person eller en enhed. Ordbogen Larousse definerer således begrebet »anmodning« som »at fremsætte ønske om at opnå noget; handlingen at anmode; skrivelse, hvori der gives udtryk herfor«, idet der blandt synonymerne nævnes »klage«. Klager, der indgives i henhold til databeskyttelsesforordningens artikel 77, stk. 1, udgør således efter min opfattelse en kategori af »anmodning(er)«, jf. forordningens artikel 57, stk. 4.
24.
Denne ordlydsfortolkning understøttes for det andet af den sammenhæng, hvori denne bestemmelse indgår. I denne henseende kan jeg konstatere, at databeskyttelsesforordningens artikel 57 beskriver tilsynsmyndighedernes opgaver og vilkårene for deres udførelse af disse opgaver. Disse opgaver omfatter:
–
Databeskyttelsesforordningens artikel 57, stk. 1, litra a), bestemmer, at hver tilsynsmyndighed skal »føre tilsyn med og håndhæve anvendelsen af denne forordning«.
–
Databeskyttelsesforordningens artikel 57, stk. 1, litra e), bestemmer, at hver tilsynsmyndighed »efter anmodning [skal] informere registrerede om udøvelse af deres rettigheder i henhold til denne forordning og med henblik herpå samarbejde med tilsynsmyndighederne i andre medlemsstater, hvis det er relevant« (
7
).
–
Databeskyttelsesforordningens artikel 57, stk. 1, litra f), bestemmer, at hver tilsynsmyndighed skal »behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 80, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig« (
8
).
25.
Det fremgår af databeskyttelsesforordningens artikel 57, stk. 2, at »[h]ver tilsynsmyndighed letter indgivelse af klager, jf. stk. 1, litra f), gennem foranstaltninger som f.eks. en klageformular, der også kan udfyldes elektronisk, uden at udelukke andre kommunikationsmidler« (
9
).
26.
Desuden opstilles der i forordningens artikel 57, stk. 3, et princip om, at »[h]ver tilsynsmyndighed varetager sine opgaver uden udgifter for den registrerede og, hvis det er relevant, for databeskyttelsesrådgiveren«.
27.
Den mulighed, som tilsynsmyndighederne i henhold til forordningens artikel 57, stk. 4, har for at opkræve et rimeligt gebyr baseret på de administrative omkostninger, eller for at afvise at efterkomme anmodningen, når de modtager åbenbart grundløse eller uforholdsmæssige anmodninger, udgør en undtagelse fra princippet i samme forordnings artikel 57, stk. 3, om, at anmodninger behandles uden udgifter, og fra den forpligtelse, der påhviler disse myndigheder, til at efterkomme de anmodninger, som de modtager.
28.
I modsætning til det, som F R har gjort gældende, kan det efter min opfattelse ikke udledes af sidestillingen af disse forskellige bestemmelser, at databeskyttelsesforordningens artikel 57, stk. 4, for så vidt som denne bestemmelse anvender begrebet »anmodning(er)«, alene finder anvendelse på de i forordningens artikel 57, stk. 1, litra e), omhandlede anmodninger. Jeg mener med andre ord ikke, at det kan udledes af konstateringen af, at begrebet »anmodning(er)« anvendes i forordningens artikel 57, stk. 4, at anvendelsesområdet for denne bestemmelse skal begrænses til tilsynsmyndighedernes opgaver i henhold til denne bestemmelse. I øvrigt betyder konstateringen af, at forordningens artikel 57, stk. 2, omfatter »klager«, ikke, at dette er den eneste bestemmelse om betingelserne for indgivelse af klager til tilsynsmyndighederne.
29.
Det skal således anføres, at databeskyttelsesforordningens artikel 57, stk. 3, der opstiller princippet om, at tilsynsmyndighederne udfører deres opgaver uden udgifter, finder anvendelse på alle deres opgaver, herunder behandling af de i forordningens artikel 57, stk. 1, litra f), omhandlede klager. Rent logisk og symmetrisk bør forordningens artikel 57, stk. 4, for så vidt som den indeholder en undtagelse fra princippet om behandling uden betaling, uden at begrænse det til nogle af disse myndigheders opgaver, også finde anvendelse på denne behandling af klager.
30.
Dette gælder så meget desto mere, som behandling af klager, der er omhandlet i databeskyttelsesforordningens artikel 57, stk. 1, litra f), er en af tilsynsmyndighedernes væsentligste opgaver (
10
). Princippet om behandling uden udgifter og princippet om, at indgivelse af klager skal lettes, der er opstillet i forordningens artikel 57, stk. 2 og 3, skal i øvrigt gøre det muligt for enhver registreret over for tilsynsmyndigheden at kræve, at de rettigheder, som vedkommende har i henhold til forordningen, overholdes.
31.
Den fortolkning, hvorefter begrebet »anmodning(er)«, der er omhandlet i databeskyttelsesforordningens artikel 57, stk. 4, kun omfatter anmodninger i henhold til forordningens artikel 57, stk. 1, litra e), og ikke de klager, der er omhandlet i forordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 1, ville dermed fratage den første af disse bestemmelser en stor del af dens effektive virkning.
32.
Desuden kan de i databeskyttelsesforordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 1, omhandlede klager efter min opfattelse i givet fald i højere grad betegnes som »åbenbart ugrundede« end anmodninger fremsat på grundlag af forordningens artikel 57, stk. 1, litra e), hvormed de registrerede søger oplysninger fra tilsynsmyndighederne om udøvelsen af de rettigheder, som de har i henhold til forordningen.
33.
Det skal tilføjes, at Det Europæiske Databeskyttelsesråd har anlagt den fortolkning, hvorefter databeskyttelsesforordningens artikel 57, stk. 4, også omfatter behandling af klager, der indgives i medfør af forordningens artikel 77, stk. 1, idet det har henvist til den første af disse bestemmelser vedrørende betingelserne for antagelse af klagerne (
11
).
34.
Selv om forordningens artikel 57, stk. 4, ganske vist fastsætter en undtagelse fra princippet om behandling uden udgifter og fra den forpligtelse, der påhviler tilsynsmyndighederne til at efterkomme de anmodninger, de modtager, følgelig skal fortolkes strengt (
12
), kan det dog efter min opfattelse ikke bevirke, at anvendelsen af denne bestemmelse på klager, der indgives i henhold til forordningen, udelukkes.
35.
For det tredje gør den fortolkning, som jeg foreslår Domstolen, det efter min opfattelse muligt at nå de mål, der forfølges med databeskyttelsesforordningen. Det skal i denne henseende anføres, at forordningen, således som det fremgår af 10. og 11. betragtning hertil, har til formål at sikre et ensartet og højt niveau for beskyttelse af fysiske personer i Unionen og at styrke og præcisere de registreredes rettigheder (
13
).
36.
Som den forelæggende ret har påpeget, kan den fortolkning, hvorefter klager indgår i anvendelsesområdet for databeskyttelsesforordningens artikel 57, stk. 4, ved første øjekast se ud til at være i strid med disse mål og med de forpligtelser, der påhviler tilsynsmyndighederne.
37.
Som allerede anført ovenfor er hver tilsynsmyndighed i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), forpligtet til på sit område at behandle de klager, som enhver registreret i henhold til denne forordnings artikel 77, stk. 1, har ret til at indgive, når den pågældende finder, at en behandling af personoplysninger vedrørende vedkommende overtræder den nævnte forordning, og, for så vidt det er nødvendigt, til at undersøge genstanden for klagen. Tilsynsmyndigheden skal behandle sådanne klager med den fornødne omhu (
14
).
38.
Klageproceduren er således tænkt som en mekanisme, der er egnet til effektivt at beskytte de registreredes rettigheder og interesser (
15
).
39.
Medtagelse af klager i anvendelsesområdet for databeskyttelsesforordningens artikel 57, stk. 4, bevirker dermed, at tilsynsmyndighederne får mulighed for at begrænse den forpligtelse, der påhviler dem til at behandle disse klager og til at anvende princippet om vederlagsfri behandling på dem.
40.
Når en tilsynsmyndighed modtager åbenbart ugrundede eller uforholdsmæssige anmodninger, skal muligheden for at opkræve et rimeligt gebyr eller for at afvise at efterkomme en anmodning imidlertid efter min opfattelse sikre et højt niveau af beskyttelse af personoplysninger.
41.
Opfyldelsen af dette mål kræver imidlertid, at det sikres, at tilsynsmyndighederne fungerer korrekt, idet det undgås, at deres funktion hindres som følge af indgivelsen af åbenbart grundløse eller uforholdsmæssige klager, jf. databeskyttelsesforordningens artikel 57, stk. 4. Denne bestemmelse giver således tilsynsmyndighederne mulighed for at behandle disse klager på en bestemt måde og dermed lette den byrde, som klagerne kan pålægge dem. Tilsynsmyndighederne kan dermed beslutte ikke at behandle åbenbart grundløse eller uforholdsmæssige klager efter den normale procedure, der ved uden lovlig grund at mobilisere de ressourcer, som disse myndigheder råder over, kunne have negative virkninger på varigheden og kvaliteten af behandlingen af anmodninger, der er indgivet samtidigt af andre registrerede, og dermed på det beskyttelsesniveau, som de skal sikres.
42.
Henset til den betydning, som retten til at indgive klager har i forhold til målet om at sikre et højt niveau af beskyttelse af personoplysninger, og den vigtige rolle, som behandlingen af disse klager spiller i de opgaver, som tilsynsmyndighederne har, er det således vigtigt at undgå en åbenbart ugrundet eller uforholdsmæssig udnyttelse af denne ret, der vil kunne bevirke, at tilsynsmyndighederne, hvis der ikke findes mulighed for at anvende de processuelle instrumenter, der er fastsat i databeskyttelsesforordningens artikel 57, stk. 4, forhindrer tilsynsmyndighederne i at udføre deres opgaver. Det fremgår heraf, at en fortolkning, der udelukker klager fra denne bestemmelses anvendelsesområde, vil kunne bringe tilsynsmyndighedernes funktion i fare og dermed det mål, der består i at sikre et højt beskyttelsesniveau for de rettigheder, som de registrerede har i henhold til forordningen.
43.
Desuden skal det anføres, at nævnte bestemmelse indeholder processuelle garantier, der fastsætter snævre rammer for tilsynsmyndighedernes gennemførelse af den. Bevisbyrden med hensyn til at godtgøre, at anmodningerne er åbenbart ugrundede eller uforholdsmæssige, påhviler tilsynsmyndigheden. Desuden kan denne myndigheds beslutning om at opkræve et rimeligt gebyr eller om at afvise at efterkomme anmodninger gøres til genstand for effektive retsmidler i medfør af databeskyttelsesforordningens artikel 78, stk. 1. Når en tilsynsmyndighed ikke behandler en klage og ikke træffer en afgørelse i denne henseende, har den registrerede ligeledes adgang til effektive retsmidler i overensstemmelse med forordningens artikel 78, stk. 2.
44.
Desuden har den enkelte registrerede i henhold til databeskyttelsesforordningens artikel 79, stk. 1, adgang til effektive retsmidler, hvis vedkommende finder, at dennes rettigheder i henhold til denne forordning er blevet krænket som følge af en behandling af vedkommendes personoplysninger i strid med denne forordning.
45.
Som Domstolen fastslog i sin dom af 12. januar 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (
16
), skal databeskyttelsesforordningens artikel 77, stk. 1, artikel 78, stk. 1, og artikel 79, stk. 1, sammenholdt med artikel 47 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), fortolkes således, at disse bestemmelser tillader en samtidig og uafhængig udøvelse af de retsmidler, der er fastsat dels i denne artikel 77, stk. 1, og denne artikel 78, stk. 1, dels i denne artikel 79, stk. 1 (
17
).
46.
På baggrund af disse elementer foreslår jeg Domstolen, at den besvarer det første præjudicielle spørgsmål således, at begrebet »anmodning(er)« i databeskyttelsesforordningens artikel 57, stk. 4, omfatter de »klager« der er omhandlet i forordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 1.
B.
Det andet præjudicielle spørgsmål
47.
Med sit andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om »anmodninger« kan betegnes som uforholdsmæssige som omhandlet i databeskyttelsesforordningens artikel 57, stk. 4, alene med begrundelse i det antal, der er indgivet i en bestemt periode, eller om det også skal godtgøres, at den person, der indgiver sådanne anmodninger til en tilsynsmyndighed, har en hensigt, der er udtryk for misbrug.
48.
Jeg vil indlede besvarelsen af dette spørgsmål med at undersøge denne bestemmelses ordlyd, på grundlag af hvilken jeg kan udlede følgende konstateringer.
49.
For det første er begrebet »uforholdsmæssige anmodninger« ikke defineret i databeskyttelsesforordningen, og derfor bør der ses på betydningen af dette begreb i sædvanlig sprogbrug. Adjektivet »uforholdsmæssig« betegner således noget, der går ud over det sædvanlige eller rimelige (ordbogen Larousse), eller som går videre end det ønskelige eller tilladte omfang (ordbogen Le Robert). At gøre noget uforholdsmæssigt betyder at gøre noget uden mådehold.
50.
For det andet skal det påpeges, at affattelsen af databeskyttelsesforordningens artikel 57, stk. 4, dog indeholder visse indikationer, idet det er anført, at »anmodninger er [...] uforholdsmæssige, især fordi de gentages«, og det fremgår af denne bestemmelse, at karakteren af gentagelse gør det muligt at fastslå, at der er tale om uforholdsmæssige anmodninger.
51.
For det tredje og i tilknytning til det ovenstående fremgår det, at for så vidt som adverbiet »især« indikerer, at den omstændighed, at anmodningerne gentages, kun er et eksempel på uforholdsmæssige anmodninger, hvilket betyder, at uforholdsmæssige anmodninger omfatter andre faktorer end antallet af anmodninger.
52.
Når dette er sagt, er det efter min opfattelse ikke nødvendigt her at opstille en udtømmende liste over de tilfælde, hvor anmodninger vil kunne betegnes som »uforholdsmæssige«. Jeg vil i min bedømmelse snarere fokusere på de specifikke spørgsmål, som den forelæggende ret har forelagt Domstolen, hvormed den ønsker en præcisering af rækkevidden af denne angivelse af, at anmodningerne gentages som et eksempel på uforholdsmæssige anmodninger. Det skal således afgøres, om et højt antal klager i sig selv er tilstrækkeligt til at betegne anmodninger som »uforholdsmæssige«, fordi de gentages.
53.
Det fremgår således af de oplysninger, som Domstolen er i besiddelse af, at DSB ganske rigtigt har afvist at behandle en klage på grundlag af det antal klager, som F R har indgivet i løbet af en bestemt periode, idet denne myndighed fandt antallet for højt og derfor betegnede klagen som »uforholdsmæssig«. Alt i alt havde denne myndighed skønnet, at en acceptabel grænse for klager var nået, således at klager indgivet af F R ikke længere skulle behandles. DSB begrundede ligeledes sin beslutning med frygten for, at F R vil fortsætte med at indgive et stor antal klager i fremtiden. Den har dog på ingen måde sået tvivl om det velbegrundede i de klager, som F R indtil da havde indgivet.
54.
Ligesom F R, forbundsjustitsministeriet, den østrigske regering og Kommissionen er jeg er den opfattelse, at antallet af anmodninger, som en registreret indgiver til en tilsynsmyndighed, uanset hvor højt det er, ikke i sig selv og i modsætning til det, der umiddelbart kan udledes af databeskyttelsesforordningens artikel 57, stk. 4, kan udgøre et tilstrækkeligt kriterium for at fastslå, at der er tale om »uforholdsmæssige anmodninger« som anført i denne bestemmelse. Jeg baserer denne holdning på en undersøgelse af den kontekst, i hvilken denne bestemmelse indgår, og på de mål, der forfølges med forordningen.
55.
Hvad angår den kontekst, i hvilken databeskyttelsesforordningens artikel 57, stk. 4, indgår, skal det anføres, at denne forordnings artikel 12 fastsætter en række generelle forpligtelser, der påhviler den dataansvarlige for så vidt angår gennemsigtighed i oplysninger og meddelelser, samt de nærmere regler for udøvelsen af den registreredes rettigheder.
56.
Databeskyttelsesforordningens artikel 15, der indgår i kapitel III, afdeling 2, om oplysning og indsigt i personoplysninger, supplerer forordningens ramme for gennemsigtighed ved at give den registrerede en ret til indsigt i sine personoplysninger og en ret til at blive informeret om behandlingen af disse oplysninger.
57.
Forordningens artikel 15, stk. 1, bestemmer navnlig, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og information om bl.a. formålene med behandlingen og de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til.
58.
Denne ret til indsigt skal således gøre det muligt for den registrerede at sikre sig, at personoplysningerne om vedkommende er korrekte, og at de behandles lovligt (
18
).
59.
Som Domstolen har præciseret, er den i databeskyttelsesforordningens artikel 15 omhandlede ret til indsigt nødvendig for, at den registrerede i givet fald kan udøve sin ret til berigtigelse, retten til sletning (»ret til at blive glemt«) og retten til begrænsning af behandling, der er indrømmet den registrerede ved forordningens artikel 16-18, og retten til i henhold til forordningens artikel 21 at gøre indsigelse mod behandling af sine personoplysninger, samt, jf. databeskyttelsesforordningens artikel 79 og 82, adgangen til at iværksætte retsmidler, såfremt denne har lidt skade (
19
).
60.
Databeskyttelsesforordningens artikel 15 udgør derfor en del af de bestemmelser, der skal sikre denne ret til indsigt samt gennemsigtigheden af fremgangsmåden for behandling af personoplysninger i forhold til den registrerede, uden hvilken den registrerede ikke ville være i stand til at vurdere lovligheden af behandlingen af sine oplysninger og udøve de beføjelser, der bl.a. er fastsat i denne forordnings artikel 16-18, 21, 79 og 82 (
20
).
61.
På denne baggrund har Domstolen allerede fastslået, at princippet om, at den første kopi af oplysningerne skal være vederlagsfri, og den omstændighed, at det ikke er nødvendigt at påberåbe sig en specifik begrundelse for anmodningen om indsigt, nødvendigvis bidrager til at gøre det lettere for den registrerede at udøve de rettigheder, som databeskyttelsesforordningen tillægger vedkommende (
21
).
62.
I lyset af den betydning, som denne forordning tillægger retten til indsigt i de personoplysninger, der behandles, som er sikret ved forordningens artikel 15, stk. 1, for at nå de mål, der forfølges med denne forordning, kan udøvelsen af denne ret ikke underlægges for strenge betingelser.
63.
Efter min opfattelse bør det samme gælde de registreredes ret til at indgive klager i medfør af databeskyttelsesforordningens artikel 77, stk. 1.
64.
Det fremgår således af forordningens artikel 12, stk. 3, at den dataansvarlige uden unødig forsinkelse og i alle tilfælde senest en måned efter modtagelsen af anmodningen oplyser den registrerede om foranstaltninger, der træffes på baggrund af en anmodning i henhold til nævnte forordnings artikel 15-22. Såfremt den dataansvarlige ikke overholder denne forpligtelse, skal den person, der har indgivet anmodningen til denne, kunne indgive en klage til tilsynsmyndigheden, således at denne i givet fald i henhold til forordningens artikel 58, stk. 2, litra c), kan give den dataansvarlige påbud om at imødekomme den registreredes anmodninger om at kunne udøve sine rettigheder i henhold til denne forordning.
65.
Når en person har sendt en anmodning om indsigt eller sletning til flere dataansvarlige, som det ser ud til at være tilfældet i den foreliggende sag, skal antallet af klager, der indgives til en tilsynsmyndighed, potentielt kunne svare til det antal afslag, som disse dataansvarlige har givet den pågældende. I modsat fald vil fastsættelse af en grænse, over hvilken disse klager alene på grund af deres antal af en tilsynsmyndighed vil kunne betegnes som »uforholdsmæssige«, skade de allerede nævnte rettigheder, der sikres ved databeskyttelsesforordningen.
66.
Det skal i øvrigt anføres, at databeskyttelsesforordningen, som det fremgår af 63. betragtning hertil, udtrykkeligt giver de registrerede ret til indsigt i de personoplysninger, der er indsamlet om vedkommende, og til let og med rimelige mellemrum at udøve denne ret. Det betyder efter min opfattelse, at disse personer gentagne gange kan udøve denne ret over for den samme dataansvarlige, uden at den omstændighed, at anmodningen gentages, som sådan kan betegnes som »uforholdsmæssig«. Såfremt denne ret tilsidesættes af den eller de dataansvarlige, som der gentagne gange indgives anmodninger til, skal personerne efter min opfattelse kunne indgive flere klager til en tilsynsmyndighed angående denne eller disse dataansvarlige i medfør af databeskyttelsesforordningens artikel 77, stk. 1.
67.
Det skal i øvrigt anføres, at en bestemmelse svarende til forordningens artikel 57, stk. 4, findes i samme forordnings artikel 12, stk. 5, der på tilsvarende vis giver den dataansvarlige muligheden for, når denne modtager åbenbart grundløse eller uforholdsmæssige anmodninger, enten at opkræve et rimeligt gebyr baseret på de administrative omkostninger ved at give oplysninger eller meddelelser eller træffe den ønskede foranstaltning eller at afvise at efterkomme anmodningerne (
22
).
68.
I sin dom af 26. oktober 2023 FT (Kopier af patientjournal) (
23
) anførte Domstolen, at databeskyttelsesforordningens artikel 12, stk. 5, opstiller det princip, hvorefter den registreredes udøvelse af retten til indsigt i de oplysninger om den registrerede, der behandles, og i de hermed forbundne oplysninger ikke medfører nogen udgifter for den registrerede. I denne bestemmelse nævnes desuden to grunde til, at en dataansvarlig enten kan opkræve et rimeligt gebyr under hensyntagen til de administrative omkostninger eller afvise at efterkomme en anmodning. Ifølge Domstolen vedrører disse grunde retsmisbrug (
24
). På grundlag af denne konstatering har Domstolen anført, at den registreredes anmodning ifølge den forelæggende ret ikke havde karakter af misbrug (
25
).
69.
For så vidt som databeskyttelsesforordningens artikel 12, stk. 5, og artikel 57, stk. 4, er affattet ensartet og er baseret på den samme logik, der består i at undgå, at den dataansvarlige eller tilsynsmyndigheden pålægges en uforholdsmæssig arbejdsbyrde, der vil kunne hindre deres korrekte funktion, er jeg af den opfattelse, at disse to bestemmelser skal fortolkes ens.
70.
Jeg udleder heraf, at tilsynsmyndigheden for at kunne benytte den mulighed, som den har i henhold til forordningens artikel 57, stk. 4, på grundlag af alle de relevante oplysninger i hvert enkelt tilfælde skal godtgøre, at der er tale om misbrug fra den registreredes side (
26
), idet det antal klager, som denne har indgivet, ikke i sig selv er tilstrækkeligt.
71.
Ud fra dette synspunkt afspejler både databeskyttelsesforordningens artikel 12, stk. 5, og dens artikel 57, stk. 4, Domstolens faste praksis, hvorefter der i EU-retten findes et almindeligt retsprincip om, at borgerne ikke må kunne påberåbe sig EU-retlige bestemmelser med henblik på at muliggøre svig eller misbrug (
27
). I forbindelse med denne sidstnævnte bestemmelse kan misbrug konstateres, når en person indgiver klager, uden at det rent objektivt set er nødvendigt for beskyttelsen af de rettigheder, som vedkommende har i henhold til forordningen.
72.
Databeskyttelsesforordningens artikel 57, stk. 4, er således et udtryk for proportionalitetsprincippet: Selv om tilsynsmyndighederne principielt er forpligtede til at behandle alle klager med den krævede omhu, kan der ikke pålægges dem en større byrde end det, der er nødvendigt for at beskytte de registreredes rettigheder i henhold til forordningen. Denne bestemmelse giver dermed tilsynsmyndighederne mulighed for at forene ansøgerens interesser med behovet for en god forvaltning.
73.
Jeg kan tilføje, at databeskyttelsesforordningens artikel 57, stk. 4, som tidligere anført skal fortolkes strengt, hvilket betyder, at gennemførelsen af den begrænses til det strengt nødvendige for at undgå at hindre tilsynsmyndighedernes korrekte funktion, der er det mål, der tilsigtes med denne bestemmelse. Efter min opfattelse betyder en sådan streng fortolkning dog ikke, at hensyntagen alene til antallet af klager, selv om det er vigtigt, er tilstrækkelig til at begrunde en tilsynsmyndigheds anvendelse af nævnte bestemmelse.
74.
I henhold til chartrets artikel 8, stk. 3, er overholdelsen af reglerne om beskyttelse af personoplysninger underlagt en uafhængig myndigheds kontrol. I henhold til databeskyttelsesforordningens artikel 52, stk. 4, sikrer medlemsstaterne i denne forbindelse, at den enkelte tilsynsmyndighed råder over de nødvendige menneskelige, tekniske og finansielle ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver og udøve sine beføjelser. Det følger heraf, at disse ressourcer skal tilpasses de registreredes brug af deres ret til at indgive klager til tilsynsmyndighederne. Det ville være paradoksalt, hvis EU-lovgiver, der, som det fremgår af forordningens artikel 57, stk. 2, har ønsket at lette indgivelsen af disse klager, hvilket svarer til at fremme dem, samtidig har givet disse myndigheder mulighed for at afvise at behandle klagerne, når de mener, at der er indgivet for mange.
75.
Med henblik på at godtgøre, at der er tale om uforholdsmæssige anmodninger, fordi de gentages, er det således ikke tilstrækkeligt, at en tilsynsmyndighed modtager et antal klager, der er højere end gennemsnittet for den enkelte registrerede, hvilket således medfører en tung behandlingsbyrde for denne myndighed, der er større end gennemsnittet. Det påhviler således medlemsstaterne at tildele tilsynsmyndighederne midler tilpasset behandlingen af alle de klager, de modtager, i givet fald ved at øge disse midler med henblik på at tilpasse dem til den brug, som de registrerede gør af deres ret til at indgive klager i medfør af databeskyttelsesforordningens artikel 77, stk. 1. En tilsynsmyndighed kan dermed ikke som argument for at afvise at behandle en klage i medfør af forordningens artikel 57, stk. 4, anføre, at en registreret, der har indgivet et stort antal klager, lægger beslag på en stor del af denne myndigheds ressourcer på bekostning af behandlingen af andre klager indgivet af andre personer.
76.
Endvidere spiller klager indgivet i medfør af databeskyttelsesforordningens artikel 77, stk. 1, en vigtig rolle med hensyn til at gøre tilsynsmyndighederne opmærksomme på krænkelser af de rettigheder, der er beskyttet ved denne forordning (
28
). De er dermed vigtige for, at de kan udføre deres opgaver korrekt, idet disse består i at sikre en korrekt anvendelse af forordningen. Disse klager bidrager dermed i væsentlig grad til at sikre et sammenhængende og højt beskyttelsesniveau for personer i Unionen og til at styrke og præcisere disse personers rettigheder.
77.
At tillade tilsynsmyndighederne at fastslå, at klagerne er uforholdsmæssige, alene på grund af det høje antal, vil efter min opfattelse skade realiseringen af dette mål. Som anført ovenfor kan et stort antal klager således være det direkte resultat af et stort antal manglende svar eller afslag fra en eller flere dataansvarlige på anmodninger om indsigt, der er indgivet af en registreret med henblik på at beskytte sine rettigheder. Desuden er det vanskeligt at fastsætte en grænse, over hvilken klagerne kan betegnes som »uforholdsmæssige« på grund af deres antal. I denne henseende kan en isoleret hensyntagen til antallet af klager føre til en vilkårlig skade på den retsbeskyttelse, som en registreret er indrømmet ved databeskyttelsesforordningen. Derfor skal konstateringen af, at der foreligger uforholdsmæssige anmodninger, efter min opfattelse gøres betinget af, at det godtgøres, at den person, der indgiver disse klager, har en hensigt, der er udtryk for misbrug.
78.
Det fremgår af det ovenstående, at for så vidt som tilsynsmyndighedernes behandling af de klager, der indgives til dem, med al den krævede omhu er reglen, skal disse myndigheder efter min opfattelse kun have bemyndigelse til at anvende databeskyttelsesforordningens artikel 57, stk. 4, undtagelsesvist, navnlig i betragtning af den omstændighed, at hensynet til den arbejdsbyrde, der er forbundet med udøvelsen af retten til at indgive klager i henhold til forordningens artikel 77, stk. 1, og den registreredes interesse i princippet ikke er relevant med henblik på at tilpasse udøvelsen af denne ret (
29
). Undtagelserne fra tilsynsmyndighedernes behandling af klagerne skal følgelig fortolkes strengt, således at der sker en afvejning af den offentlige interesse, som behandlingen af klagerne tjener, og den interesse, som afvisning af at behandle disse tjener (
30
).
79.
På grundlag af de omstændigheder, der gør sig gældende i hvert enkelt tilfælde, påhviler det således en tilsynsmyndighed, til hvilken der indgives et stort antal klager, at godtgøre, at dette antal er begrundet ikke i den registreredes ønske om at opnå beskyttelse af sine rettigheder i henhold til databeskyttelsesforordningen, men i et andet mål, der ikke har noget med denne beskyttelse at gøre. Dette gælder især, når disse omstændigheder afslører, at det høje antal klager har til formål at hindre denne myndigheds korrekte funktion ved at mobilisere dennes ressourcer uden lovlig grund.
80.
I denne henseende kan de mange klager være et udtryk for uforholdsmæssige anmodninger fra en registreret, når det ser ud til, at disse klager ikke er objektivt begrundet i hensynet til beskyttelse af de rettigheder, som denne person er indrømmet ved databeskyttelsesforordningen. Dette kan f.eks. være tilfældet, hvis klagerne vedrører den samme dataansvarlige, alle har det samme indhold, vedrører de samme forpligtelser i henhold til denne forordning, eller er indgivet med meget korte intervaller, uden at en ændring i de faktiske omstændigheder begrunder det, hvilket viser, at den registrerede har til hensigt at skade tilsynsmyndighedens korrekte funktion snarere end at søge beskyttelse af de rettigheder, som denne har i henhold til forordningen. Et andet tilfælde af uforholdsmæssige anmodninger, fordi de gentages, kunne være en situation, i hvilken en person indgiver et så højt antal klager til en tilsynsmyndighed over en lang række dataansvarlige, som personen ikke nødvendigvis har tilknytning til, at denne uforholdsmæssige brug af retten til at indgive klager sammen med andre elementer, såsom indholdet af disse klager, dokumenterer personens hensigt om at lamme denne myndigheds funktion ved at oversvømme den med anmodninger.
81.
På grundlag af disse oplysninger påhviler det den forelæggende ret at efterprøve, om DSB med rette har kunnet konstatere, at der er tale om »uforholdsmæssige anmodninger«, jf. databeskyttelsesforordningens artikel 57, stk. 4.
82.
Det skal i denne henseende påpeges, at de i alt 77 klager, som F R har indgivet, ligger i forlængelse af anmodninger om indsigt eller sletning, som denne har indgivet til forskellige dataansvarlige, og som for størstedelens vedkommende ikke er blevet besvaret inden for en frist på en måned. Hertil kommer, at F R jævnligt har været i telefonisk kontakt med DSB for at spørge, om visse faktiske omstændigheder kunne give anledning til klager.
83.
Ifølge DSB tilegnede den pågældende sig ved konstant at indgive et ifølge denne myndighed betydeligt antal nye klager til egen fordel i et uforholdsmæssigt omfang i forhold til ansøgere, der indgiver færre klager, denne myndigheds begrænsede personaleressourcer over en periode på ca. halvandet år. Desuden lader det voksende antal klager og telefonsamtaler mellem F R og DSB formode, at myndigheden vil modtage adskillige klager fremover. De 77 klager, der er indgivet, bør derfor betegnes som »uforholdsmæssige anmodninger«, jf. databeskyttelsesforordningens artikel 57, stk. 4.
84.
Jeg tvivler på, at denne begrundelse er tilstrækkelig til at berettige en sådan betegnelse, for så vidt som det ikke fremgår heraf, at F R har foretaget et uforholdsmæssigt tiltag, dvs. et tiltag, der ikke har til formål at opnå beskyttelse af de rettigheder, som denne er indrømmet ved databeskyttelsesforordningen, men et andet mål, der består i at forstyrre tilsynsmyndighedens korrekte funktion. Denne myndigheds forventninger til det store antal klager, som F R vil kunne indgive i fremtiden, og konstateringen af dens begrænsede personaleressourcer er efter min opfattelse ikke relevante.
85.
Det følger af det ovenstående, at databeskyttelsesforordningens artikel 57, stk. 4, efter min opfattelse skal fortolkes således, at anmodninger ikke kan betegnes som »uforholdsmæssige« i den forstand, hvori udtrykket er anvendt i denne bestemmelse, alene på grund af antallet af anmodninger over en bestemt periode, for så vidt som det også tilkommer tilsynsmyndigheden at godtgøre, at den person, der har indgivet disse anmodninger, har en hensigt, der er udtryk for misbrug.
C.
Det tredje præjudicielle spørgsmål
86.
Med sit tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 57, stk. 4, skal fortolkes således, at tilsynsmyndigheden, når der foreligger uforholdsmæssige anmodninger, frit kan vælge, om den vil kræve et rimeligt gebyr baseret på de administrative omkostninger ved behandlingen af anmodningen eller på forhånd afvise at efterkomme anmodningen. Såfremt dette spørgsmål besvares benægtende, ønsker den forelæggende ret oplyst, hvilke kriterier tilsynsmyndigheden skal tage hensyn til, og navnlig om tilsynsmyndigheden er forpligtet til i første omgang at kræve et rimeligt gebyr, inden den afviser at efterkomme en sådan anmodning.
87.
På grundlag af en ordlydsfortolkning af denne bestemmelse kan jeg konstatere, at de muligheder, der udgøres dels af opkrævning af et rimeligt gebyr baseret på de administrative omkostninger ved behandlingen, dels af afvisning af at efterkomme uforholdsmæssige anmodninger, er opremset udtømmende og adskilt af konjunktionen »eller«, uden at det er muligt af affattelsen at udlede en rangorden mellem den ene eller den anden af disse muligheder (
31
).
88.
Denne ordlyd, der sidestiller de to muligheder, som tilsynsmyndigheden har, synes at tale til fordel for en fortolkning, hvorefter denne myndighed, når den har godtgjort, at de anmodninger, der er indgivet til den, er uforholdsmæssige, frit kan vælge mellem at opkræve et rimeligt gebyr og at afvise at efterkomme sådanne anmodninger.
89.
Når dette er sagt, kan en tilsynsmyndighed ikke, henset til den kontekst, i hvilken databeskyttelsesforordningens artikel 57, stk. 4, indgår, og til de mål, der forfølges med denne forordning, foretage dette valg efter eget skøn og uden begrundelse. Henset til den betydning, som retten til at indgive klager har i lyset af målet om at sikre et højt niveau af beskyttelse af personoplysninger, til den vigtige plads, som behandlingen af disse klager indtager i de opgaver, som tilsynsmyndighederne er pålagt, og til den forpligtelse, der påhviler disse myndigheder til at behandle disse klager med den fornødne omhu, påhviler det disse myndigheder at tage hensyn til alle de relevante omstændigheder og sikre sig, at den valgte mulighed er passende og proportional. Denne vurdering skal fremgå af begrundelsen for tilsynsmyndighedens afgørelse.
90.
I denne henseende kan en tilsynsmyndighed i lyset af de relevante omstændigheder og for at sætte en stopper for et misbrug, der vil kunne skade dens korrekte funktion, finde det hensigtsmæssigt at opkræve et rimeligt gebyr baseret på de administrative omkostninger, der er forbundet med den ekstra arbejdsbyrde, som de uforholdsmæssige klager har medført. Denne muligheds afskrækkende funktion vil kunne foranledige denne myndighed til at foretrække denne frem for umiddelbart at afvise at behandle disse klager.
91.
Det skal tilføjes, at proportionalitetsprincippet og målet om at sikre et højt niveau af beskyttelse af personoplysninger også bør tilskynde tilsynsmyndighederne til at overveje at opkræve et rimeligt gebyr baseret på de administrative omkostninger, inden den afviser at behandle klager, eftersom der er tale om en foranstaltning, der går mindre ud over de rettigheder, som de registrerede er indrømmet ved databeskyttelsesforordningen.
92.
Databeskyttelsesforordningens artikel 57, stk. 4, kan imidlertid ikke efter min opfattelse fortolkes således, at den i alle tilfælde forpligter en tilsynsmyndighed til først og fremmest at anvende den løsning, der består i at opkræve et rimeligt gebyr.
93.
Følgelig bør databeskyttelsesforordningens artikel 57, stk. 4, fortolkes således, at en tilsynsmyndighed, når den modtager et uforholdsmæssigt antal anmodninger, på grundlag af en begrundet afgørelse kan vælge mellem at opkræve et rimeligt gebyr baseret på de administrative omkostninger eller at afvise at behandle dem under hensyntagen til alle de relevante omstændigheder, og idet den sikrer sig, at den valgte løsning er hensigtsmæssig og proportional, uden at der findes en rangorden mellem disse to løsninger.
IV. Forslag til afgørelse
94.
På baggrund af alle de ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Verwaltungsgerichtshof (forvaltningsdomstol, Østrig) forelagte præjudicielle spørgsmål således:
»Artikel 57, stk. 4, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
–
begrebet »anmodning(er)« i denne bestemmelse omfatter de »klager«, der er omhandlet i forordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 1
–
anmodninger ikke kan betegnes som »uforholdsmæssige« som omhandlet i forordningens artikel 57, stk. 4, alene med den begrundelse, at der er indgivet et højt antal i en given periode, eftersom det ligeledes tilkommer en tilsynsmyndighed at godtgøre, at den person, der har indgivet disse klager, har en hensigt, der er udtryk for misbrug
–
en tilsynsmyndighed, når den modtager et uforholdsmæssigt antal anmodninger, på grundlag af en begrundet afgørelse kan vælge mellem at opkræve et rimeligt gebyr baseret på de administrative omkostninger eller at afvise at efterkomme dem under hensyntagen til alle de relevante omstændigheder, idet den sikrer sig, at den valgte løsning er hensigtsmæssig og proportional, uden at der findes en rangorden mellem disse to løsninger.«
(
1
) – Originalsprog: fransk.
(
2
) – EUT 2016, L 119, s. 1.
(
3
) – Det fremgår af oplysningerne i forelæggelsesafgørelsen, at der blev indgivet 4 klager i 2018, 53 i 2019 og yderligere 20 i første kvartal af 2020. F R har gjort retten til sletning gældende i 46 tilfælde og retten til indsigt i 29 tilfælde.
(
4
) – For så vidt som databeskyttelsesforordningens artikel 57, stk. 1, litra f), på sin vis afspejler forordningens artikel 77, stk. 1, finder jeg det hensigtsmæssigt at medtage denne bestemmelse i de bestemmelser, som den forelæggende ret ønsker en fortolkning af.
(
5
) – Jf. navnlig dom af 4.5.2023, Österreichische Post (Immateriel skade i forbindelse med behandling af personoplysninger) (C-300/21, EU:C:2023:370, præmis 29 og den deri nævnte retspraksis).
(
6
) – Jf. navnlig dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF (C-487/21, EU:C:2023:369, præmis 19 og den deri nævnte retspraksis), af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958, præmis 48 og den deri nævnte retspraksis), og af 30.4.2024, Trade Express-L og DEVNIA TSIMENT (C-395/22 og C-428/22, EU:C:2024:374, præmis 65 og den deri nævnte retspraksis).
(
7
) – Min fremhævelse.
(
8
) – Min fremhævelse.
(
9
) – Min fremhævelse.
(
10
) – Den østrigske regering har oplyst, at behandling af klager kvantitativt udgør størstedelen af tilsynsmyndighedernes arbejde.
(
11
) – Jf. Internal EDPB Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, vedtaget den 15.12.2020, punkt 15.
(
12
) – Jf. navnlig vedrørende en streng fortolkning af de undtagelser, der er fastsat i databeskyttelsesforordningen, dom af 16.1.2024, Österreichische Datenschutzbehörde (C-33/22, EU:C:2024:46, præmis 37 og den deri nævnte retspraksis).
(
13
) – Jf. dom af 26.10.2023, FT (Kopier af patientjournal) (C-307/22, EU:C:2023:811, præmis 47).
(
14
) – Jf. navnlig dom af 6.10.2015, Schrems (C-362/14, EU:C:2015:650, præmis 63), og af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958, præmis 56 og den deri nævnte retspraksis).
(
15
) – Jf. navnlig dom af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958, præmis 58 og den deri nævnte retspraksis).
(
16
) – C-132/21 (EU:C:2023:2).
(
17
) – Jf. dom af 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2023:2, præmis 57).
(
18
) – Jf. navnlig dom af 26.10.2023, FT (Kopier af patientjournal) (C-307/22, EU:C:2023:811, præmis 73 og den deri nævnte retspraksis).
(
19
) – Jf. navnlig dom af 22.6.2023, Pankki S (C-579/21, EU:C:2023:501, præmis 58 og den deri nævnte retspraksis).
(
20
) – Jf. navnlig dom af 22.6.2023, Pankki S (C-579/21, EU:C:2023:501, præmis 59 og den deri nævnte retspraksis).
(
21
) – Jf. navnlig dom af 26.10.2023, FT (Kopier af patientjournal) (C-307/22, EU:C:2023:811, præmis 50).
(
22
) – Jf. vedrørende databeskyttelsesforordningens artikel 12, stk. 5, EDPB, Lignes directrices 01/2022 sur les droits des personnes concernées – Droit d’accès, vedtaget den 28.3.2023, punkt 175-195.
(
23
) – C-307/22 (EU:C:2023:811).
(
24
) – Jf. dom af 26.10.2023, FT (Kopier af patientjournal) (C-307/22, EU:C:2023:811, præmis 31).
(
25
) – Jf. dom af 26.10.2023, FT (Kopier af patientjournal) (C-307/22, EU:C:2023:811, præmis 32).
(
26
) – Jf. vedrørende begrebet »retsmisbrug«, generaladvokat Szpunars forslag til afgørelse McCarthy m.fl. (C-202/13, EU:C:2014:345, punkt 108-114) samt vedrørende misbrug af de rettigheder, der er indrømmet ved lovgivningen om beskyttelse af personoplysninger, generaladvokat Kokotts forslag til afgørelse Nowak (C-434/16, EU:C:2017:582, punkt 42-50).
(
27
) – Jf. navnlig dom af 21.12.2023, BMW Bank m.fl. (C-38/21, C-47/21 og C-232/21, EU:C:2023:1014, præmis 281 og den deri nævnte retspraksis).
(
28
) – Jf. H. Hijmans, »Article 57. Tasks«, i C. Kuner, L.A. Bygrave, C. Docksey og L. Drechsler, The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press USA, New York, 2020, s. 927-938, på s. 935.
(
29
) – Jf. analogt vedrørende aktindsigt dom af 26.10.2011, Dufour mod ECB (T-436/09, EU:T:2011:634, præmis 122).
(
30
) – Jf. analogt vedrørende offentlig adgang til miljøoplysninger, dom af 20.1.2021, Land Baden-Württemberg (Interne meddelelser) (C-619/19, EU:C:2021:35, præmis 33 og den deri nævnte retspraksis).
(
31
) – Jf. analogt dom af 12.1.2023, Österreichische Post (Oplysninger om modtagerne af personoplysningerne) (C-154/21, EU:C:2023:3, præmis 31).