Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
R. NORKUS
fremsat den 16. april 2026 (1)
Sag C-205/25
Joachim Lindenberg
mod
Bayerisches Landesamt für Datenschutzaufsicht
(anmodning om præjudiciel afgørelse indgivet af Bayerisches Verwaltungsgericht Ansbach (forvaltningsdomstolen for Bayern i Ansbach, Tyskland))
» Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 15 – den registreredes anmodning om indsigt i sine personoplysninger – artikel 77 – oplysninger i sagsmappen hos en tilsynsmyndighed, som handler inden for rammerne af en klageprocedure – artikel 4, nr. 7) – begrebet »dataansvarlig« – artikel 23 – begrænsninger i retten til indsigt – national lovgivning, der udelukker enhver indsigt i sagsmappen «
I.      Indledning
1.        Den foreliggende anmodning om præjudiciel afgørelse fra Bayerisches Verwaltungsgericht Ansbach (forvaltningsdomstolen for Bayern i Ansbach, Tyskland), som er forelagt i henhold til artikel 267 TEUF, vedrører fortolkningen af artikel 4, nr. 7) og 21), og artikel 15, 23 og 77 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (2) (herefter »databeskyttelsesforordningen«).
2.        Anmodningen om præjudiciel afgørelse er indgivet i forbindelse med en tvist mellem Joachim Lindenberg, der er journalist med speciale i databeskyttelse, og Bayerisches Landesamt für Datenschutzaufsicht (den tilsynsførende delstatsmyndighed for databeskyttelse i Bayern, Tyskland) (herefter »Landesamt«) vedrørende denne myndigheds afslag på at give ham fuld indsigt i hans sagsmappe i forbindelse med en procedure, der blev indledt efter en klage, som han havde indgivet mod en tredjemand, på grundlag af databeskyttelsesforordningens artikel 15. Landesamt begrundede afslaget med en bestemmelse i Bayern, der udelukker indsigt i tilsynsmyndighedernes sagsakter. Efter at Joachim Lindenberg havde anlagt sag, gav myndigheden til sidst elektronisk adgang til sagsmappen uden dog at anerkende en retlig fejl, mens sagsøgeren har opretholdt sin påstand om, at det fastslås, at det oprindelige afslag var ulovligt. Da den forelæggende ret finder, at afgørelsen af tvisten vil indebære en fortolkning af de relevante bestemmelser i databeskyttelsesforordningen samt en undersøgelse af, hvorvidt Bayerns lovgivning er i overensstemmelse med EU-retten, har den besluttet at udsætte sagen og forelægge Domstolen to præjudicielle spørgsmål.
3.        Domstolen skal tage stilling til spørgsmålet om, hvorvidt en tilsynsmyndighed for databeskyttelse inden for rammerne af en klageprocedure, der er iværksat i henhold til databeskyttelsesforordningens artikel
77, kan kvalificeres som »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel
4, nr. 7), og i hvilket omfang den er forpligtet til at overholde de forpligtelser vedrørende indsigt, der er fastsat i databeskyttelsesforordningens artikel
15. Domstolen anmodes bl.a. om at undersøge, om EU-retten er til hinder for en national lovgivning, der udelukker enhver ret for de registrerede til indsigt i sagsmappen. Denne vurdering skal foretages i lyset af databeskyttelsesforordningens artikel 23, som ud fra visse almene hensyn tillader en begrænsning af de i denne forordning fastsatte forpligtelser vedrørende indsigt, samt artikel 8, stk. 2, i Den Europæiske Unions charter
om grundlæggende rettigheder (herefter »chartret«), som sikrer enhver adgang til indsamlede oplysninger, der vedrører den pågældende. I denne henseende skal Domstolen foretage en afvejning mellem på den ene side kravet om gennemsigtighed i forvaltningen og på den anden side nødvendigheden af at sikre effektiviteten af undersøgelser på området for databeskyttelse.
II.    Relevante retsforskrifter
A.      EU-retten
4.        Chartrets artikel 8 og 52, artikel 16 TEUF samt databeskyttelsesforordningens artikel 4, nr. 1), 2), 7) og 9), er relevante for den foreliggende sag.
B.      Tysk ret
5.        I henhold til artikel 18 i Bayerisches Datenschutzgesetz (delstaten Bayerns lov om databeskyttelse, herefter »BayDSG«) er Landesamt tilsynsmyndighed for ikke-offentlige organer.
6.        BayDSG’s artikel 20 bestemmer:
»(1)      Enhver kan rette henvendelse til tilsynsmyndighederne og gøre gældende, at vedkommendes rettigheder er blevet krænket i forbindelse med behandlingen af vedkommendes personoplysninger. Indbringelse af en sag for tilsynsmyndighederne må ikke være til skade for den registrerede.
(2)      Der er ingen ret til indsigt i eller adgang til tilsynsmyndighedernes sagsmapper og registre.«
7.        I forarbejderne til loven anføres det vedrørende BayDSG’s artikel 20, stk. 2, at denne bestemmelse finder anvendelse på og udelukker enhver ret til indsigt i henhold til databeskyttelsesforordningens artikel 15, når en sådan ret gøres gældende over for Landesamt for så vidt angår denne myndigheds sagsmapper og registre.
III. De faktiske omstændigheder, der ligger til grund for tvisten i hovedsagen, hovedsagen og de præjudicielle spørgsmål
8.        Joachim Lindenberg er journalist og har en blog, der bl.a. beskæftiger sig med databeskyttelse. Siden 2021 har han iværksat flere klageprocedurer ved Landesamt.
9.        Efter at Joachim Lindenberg den 13. maj 2022 havde indgivet en klage til Landesamt vedrørende databeskyttelse, iværksatte denne myndighed en tilsynsmæssig klageprocedure mod tredjemand. Ved e-mail af 11. oktober 2022 meddelte Landesamt Joachim Lindenberg, at Landesamt i denne forbindelse havde konstateret, at indklagede havde overtrådt databeskyttelsesreglerne. Landesamt tilføjede, at der efter udløbet af fristen for at bringe overtrædelsen til ophør ville blive udstedt en bødebelagt advarsel, hvis indklagede på ny overtrådte reglerne. Ved e-mail af samme dato anmodede Joachim Lindenberg om yderligere oplysninger vedrørende de foranstaltninger, som Landesamt havde truffet. Da Landesamt ikke efterkom denne anmodning, anmodede Joachim Lindenberg ved e-mail af 11. oktober 2022 om fuld indsigt i henhold til databeskyttelsesforordningens artikel 15, stk. 1 og 3.
10.      Ved e-mail og afgørelse af 20. oktober 2022 besluttede Landesamt at afslå anmodningen om indsigt i henhold til databeskyttelsesforordningens artikel 15, stk. 1 og 3. Landesamt begrundede afslaget med, at der i overensstemmelse med den udtrykkelige bestemmelse i BayDSG’s artikel 20, stk. 2, ikke forelå nogen ret til indsigt i eller adgang til tilsynsmyndighedernes sagsmapper og registre.
11.      Joachim Lindenberg anlagde sag til prøvelse af denne afgørelse ved Bayerisches Verwaltungsgericht Ansbach (forvaltningsdomstolen for Bayern i Ansbach) og nedlagde påstand om, at Landesamt tilpligtedes at udlevere en kopi af alle oplysninger i sagsmappen i den klageprocedure, der var iværksat den 13. maj 2022.
12.      Den 23. februar 2024 gav Landesamt – uden dog at anerkende en retlig forpligtelse i denne henseende – elektronisk adgang til sagsmappen i den klageprocedure, som Joachim Lindenberg havde indledt behandling af.
13.      Joachim Lindenberg har nu alene nedlagt påstand om, at det fastslås, at afgørelsen af 20. oktober 2022, hvorved Landesamt afslog hans anmodning om indsigt, var ulovlig.
14.      Den forelæggende ret har anført, at når en klager, såsom Joachim Lindenberg, iværksætter en klageprocedure ved en tilsynsmyndighed for databeskyttelse, såsom Landesamt, i henhold til databeskyttelsesforordningens artikel 77, optræder denne myndighed over for klageren som tilsynsmyndighed som omhandlet i databeskyttelsesforordningens artikel 4, nr. 21). Det antages til dels, bl.a. af Landesamt, at dette udelukker, at tilsynsmyndigheden for databeskyttelse i forhold til klageren er »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 15, sammenholdt med databeskyttelsesforordningens artikel 4, nr. 7), og at dette derfor på forhånd er til hinder for en ret til indsigt fra klagerens side over for tilsynsmyndigheden for databeskyttelse vedrørende personoplysninger fra klageproceduren.
15.      Den forelæggende ret har derimod lagt til grund, at en tilsynsmyndighed for databeskyttelse både kan være tilsynsmyndighed som omhandlet i databeskyttelsesforordningens artikel 4, nr. 21), og dataansvarlig og modpart som omhandlet i databeskyttelsesforordningens artikel 15, sammenholdt med databeskyttelsesforordningens artikel 4, nr. 7).
16.      Den forelæggende ret er af den opfattelse, at såfremt dette faktisk er tilfældet, er det et spørgsmål, om en så generel udelukkelse af retten til indsigt i tilsynsmyndighedens sagsmapper og registre, således som fastsat i BayDSG’s artikel 20, stk. 2, opfylder betingelserne for udøvelsen af muligheden for at fastsætte begrænsninger, der er fastsat i databeskyttelsesforordningens artikel 23, stk. 1.
17.      På denne baggrund har Bayerisches Verwaltungsgericht Ansbach (forvaltningsdomstolen for Bayern i Ansbach) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:
»1)      Skal artikel 15 […], sammenholdt med artikel 4, nr. 7), i [databeskyttelsesforordningen], fortolkes således, at en tilsynsmyndighed som omhandlet i artikel 4, nr. 21), i [denne] forordning […], som handler inden for rammerne af en klageprocedure, der er iværksat af en registreret i henhold til [forordningens] artikel 77, samtidig er »dataansvarlig« som omhandlet i [denne forordnings] artikel 15, sammenholdt med artikel 4, nr. 7), [heri], og dermed er forpligtet til at give den registrerede indsigt i oplysninger [vedrørende den pågældende og information] på grundlag af [forordningens] artikel 15 […]?
2)      Såfremt det første spørgsmål besvares bekræftende: Skal EU-retten, navnlig artikel 23 i [databeskyttelsesforordningen], fortolkes således, at den er til hinder for en national bestemmelse – som den i hovedsagen omtvistede artikel 20, stk. 2, i [BayDSG]
– hvorefter rettigheder vedrørende indsigt i eller adgang til sagsmapper og registre hos tilsynsmyndighederne som omhandlet i [databeskyttelsesforordningens] artikel 4, nr. 21), […] generelt udelukkes?«
IV.    Retsforhandlingerne for Domstolen
18.      Forelæggelsesafgørelsen af 19. februar 2025 indgik til Domstolens Justitskontor den 17. marts 2025.
19.      Landesamt, den bulgarske og den lettiske regering samt Europa-Kommissionen har indgivet skriftlige indlæg inden for den frist, der er fastsat i artikel 23 i statutten for Den Europæiske Unions Domstol.
20.      I retsmødet den 22. januar 2026 har de befuldmægtigede for Joachim Lindenberg, Landesamt, den bulgarske regering og for Kommissionen afgivet mundtlige indlæg.
V.      Retlig bedømmelse
A.      Indledende bemærkninger
21.      Den foreliggende sag rejser et principielt spørgsmål om tilsynsmyndighedernes retlige status, henset til de rettigheder, der anerkendes i databeskyttelsesforordningen, og navnlig til den ret til indsigt, der er sikret ved databeskyttelsesforordningens artikel 15. Det skal afgøres, om en tilsynsmyndighed ved behandlingen af en klage, der er indgivet i henhold til databeskyttelsesforordningens artikel
77, kan kvalificeres som »dataansvarlig« i forhold til de oplysninger, der behandles i denne forbindelse, som omhandlet i samme forordnings artikel
4, nr. 7). Denne kvalificering er afgørende, eftersom den er en betingelse for, at de forpligtelser vedrørende indsigt, der kan gøres gældende over for den dataansvarlige, finder anvendelse, og den sætter
mere generelt spørgsmålstegn ved balancen mellem beskyttelsen af individuelle rettigheder og de særlige kendetegn ved udøvelsen af tilsynsopgaver, som er baseret på den beslutningsmæssig uafhængighed, fortroligheden i undersøgelsen og effektiviteten af undersøgelsesbeføjelserne.
22.      Såfremt Domstolen fastslår, at tilsynsmyndigheden principielt kan være forpligtet til at overholde databeskyttelsesforordningens artikel
15, rejser dette et andet normativt spørgsmål om, hvorvidt en generel og absolut udelukkelse af retten til indsigt i administrative sagsakter er forenelig med de EU-retlige forskrifter. En sådan national lovgivning skal undersøges i lyset af de krav, der er fastsat i databeskyttelsesforordningens artikel
23, som opstiller strenge rammer for de begrænsninger, der kan indføres for de ved denne forordning sikrede rettigheder, idet de underlægges kumulative betingelser med hensyn til retsgrundlag, nødvendighed, proportionalitet og beskyttelse af formål af almen interesse, der er anerkendt af Unionen. Denne bedømmelse kræver ligeledes inddragelse af de garantier, der følger af den primære ret, navnlig dem, der vedrører overholdelsen af de grundlæggende rettigheder og effektiviteten af retsmidlerne.
23.      Den retlige bedømmelse vil derfor blive opdelt i to på hinanden følgende trin. Det skal for det første afgøres, om og i hvilket omfang en tilsynsmyndighed kan sidestilles med en »dataansvarlig« inden for rammerne af en klageprocedure, således at den er bundet af de forpligtelser vedrørende indsigt, der er fastsat i databeskyttelsesforordningen (3). For det andet, og kun i bekræftende fald, skal det vurderes, om en generel, udifferentieret og præventiv udelukkelse af retten til indsigt i tilsynsmyndighedernes sagsakter er forenelig med den harmoniserede ordning i databeskyttelsesforordningen, henset til kravene om administrativ gennemsigtighed, databeskyttelse, institutionel uafhængighed og effektive tilsynsmekanismer, som skal afvejes, uden at nogen af disse krav gøres indholdsløse (4).
B.      Det første spørgsmål
1.      Kvalificeringen af en tilsynsmyndighed som »dataansvarlig« i henhold til databeskyttelsesforordningens artikel 4, nr. 7)
24.      Hvad angår den eventuelle kvalificering af en tilsynsmyndighed som »dataansvarlig«, som er genstand for det første præjudicielle spørgsmål, skal der indledningsvis henvises til den retlige definition af dette begreb som fastsat i databeskyttelsesforordningens artikel
4, nr. 7). I henhold til denne bestemmelse forstås ved »den registeransvarlige« enhver »fysisk[...] eller juridisk[...] person, offentlig[...] myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger«. Det skal i denne forbindelse erindres, at dette begreb ifølge Domstolens faste praksis defineres bredt (5).
25.      Det skal i første række fastslås, at denne lovbestemte definition udtrykkeligt nævner »offentlige myndigheder«. Selve ordlyden af databeskyttelsesforordningens artikel
4, nr. 7), udelukker derfor på ingen måde muligheden for at kvalificere en tilsynsmyndighed som »dataansvarlig«. EU-lovgiver har bevidst undladt at sondre mellem private og offentlige enheder, hvilket fremgår af flere betragtninger, der udtrykkeligt henviser til offentlige myndigheders behandling af personoplysninger. I øvrigt kan den omstændighed, at en tilsynsmyndighed i databeskyttelsesforordningens artikel 4, nr. 21), defineres som en uafhængig offentlig myndighed, der er oprettet af en medlemsstat i henhold til artikel 51, henset til den brede og funktionelle rækkevidde, som forordningen tillægger begrebet »dataansvarlig« (6), ikke fortolkes således, at den er til hinder for en eventuel kvalificering som sådan.
26.      I anden række skal det nævnes, at når en sådan tilsynsmyndighed udfører de opgaver, som den er tillagt i henhold til databeskyttelsesforordningens artikel
77 – navnlig behandlingen af klager vedrørende mulige overtrædelser af databeskyttelsesreglerne – skal den selv behandle personoplysninger. Myndigheden modtager ikke blot disse oplysninger; den strukturerer, analyserer, opbevarer og anvender dem inden for rammerne af den selvstændige udøvelse af de undersøgelses- og håndhævelsesbeføjelser, som forordningen tillægger den. Sådanne aktiviteter henhører efter min opfattelse under anvendelsesområdet for databeskyttelsesforordningens artikel 4, nr. 2), hvori begrebet »behandling« defineres bredt og løsrevet fra enhver specifik sammenhæng, idet det omfatter alle aktiviteter, som oplysningerne gøres til genstand for.
27.      Til støtte for denne analyse vil jeg i det følgende dels redegøre for de væsentlige kendetegn ved den klageprocedure, der er fastsat i databeskyttelsesforordningens artikel
77, dels for de kategorier af personoplysninger, som tilsynsmyndighederne regelmæssigt og konkret skal behandle i denne forbindelse. Denne fremstilling vil gøre det lettere at forstå karakteren og omfanget af de opgaver, som tilsynsmyndighederne udfører, når de varetager en sådan procedure.
a)      De væsentlige kendetegn ved den »klageprocedure«, der er fastsat i databeskyttelsesforordningens artikel 77
28.      Den klageprocedure (7), der er indført ved databeskyttelsesforordningens artikel 77, udgør en central mekanisme i den EU-ordning, der skal sikre beskyttelsen af fysiske personer i forbindelse med behandling af deres personoplysninger. Den bidrager til den operationelle gennemførelse af det princip, der er fastsat i chartrets artikel 8, stk. 3, hvorefter overholdelsen af databeskyttelsesreglerne skal være underlagt en uafhængig myndigheds kontrol. Domstolen har gentagne gange fremhævet, at denne kontrolmekanisme ikke er af rent formel karakter, men har til formål at sikre en effektiv og reel beskyttelse af de grundlæggende rettigheder (8).
29.      Databeskyttelsesforordningens artikel
77, stk. 1, giver enhver registreret ret til uden særlige formelle krav og uden risiko for omkostninger at indgive en klage, navnlig til tilsynsmyndigheden i den medlemsstat, hvor den pågældende har sit sædvanlige opholdssted, sit arbejdssted eller det sted, hvor den påståede overtrædelse har fundet sted. For så vidt som denne ret udgør et væsentligt element i den beskyttelsesordning, der er indført ved forordningen, kan den hverken fortolkes eller anvendes på en måde, der gør det praktisk umuligt eller uforholdsmæssigt vanskeligt at udøve den (9).
30.      Det skal fremhæves, at indgivelsen af en klage ikke blot giver tilsynsmyndigheden en generel undersøgelsesmulighed, men pålægger den en konkret forpligtelse til at undersøge sagen på en fuldstændig, omhyggelig og upartisk måde. Det fremgår nemlig af Domstolens praksis, at i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), skal hver tilsynsmyndighed behandle de klager, der indgives på dens område, undersøge deres karakter i det omfang, det er nødvendigt, og behandle dem med den fornødne omhu (10).
31.      Det følger heraf, at tilsynsmyndigheden ikke kan afholde sig fra at behandle en klage alene af administrative grunde eller ud fra hensigtsmæssighedsbetragtninger. Den må heller ikke begrænse sin medvirken til en uformel mægling eller en rent formidlende rolle. Den er derimod forpligtet til at undersøge den påståede tilsidesættelse i faktisk og retlig henseende og i givet fald til effektivt at udøve de korrigerende beføjelser, som den er tillagt i henhold til EU-retten (11).
32.      De beføjelser, der er opregnet i databeskyttelsesforordningens artikel
58, skal ifølge retspraksis fortolkes i lyset af deres formål, nemlig at sikre forordningens fulde virkning. Domstolen har fremhævet tilsynsmyndighedernes forpligtelse til at træffe »passende og nødvendige« korrigerende foranstaltninger i tilfælde af konstaterede overtrædelser og til at anvende alle de instrumenter, de har til rådighed. Dette krav omfatter også håndhævelsesforanstaltninger, da undladelse af at handle kan bringe forordningens effektive virkning i fare (12).
33.      Databeskyttelsesforordningens artikel
77, stk. 2, kræver endvidere, at klageren underrettes om forløbet og resultatet af proceduren. Denne forpligtelse er kun opfyldt, hvis der gives et svar, som gør det muligt at fastslå, at klagen faktisk har været genstand for en faktisk og retlig undersøgelse, og hvis det indeholder de oplysninger, der er nødvendige for udøvelsen af en effektiv domstolsprøvelse. Proceduren kan således ikke begrænses til en rent formel afgørelse, men skal føre til en udførlig vurdering, der er behørigt begrundet, og som kan efterprøves af den ret, ved hvilken sagen er anlagt i henhold til databeskyttelsesforordningens artikel
78, stk. 1. Enhver klageafgørelse, der er vedtaget af en tilsynsmyndighed, er nemlig underlagt en fuldstændig domstolsprøvelse (13).
34.      Set i sin helhed udgør den procedure, der er fastsat i databeskyttelsesforordningens artikel 77, ikke blot en forvaltningsakt, men et selvstændigt retsmiddel, der er indført ved EU-retten, og som både bidrager til beskyttelsen af individuelle rettigheder og den objektive beskyttelse af retsordenen på databeskyttelsesområdet. Domstolen anerkender, at tilsynsmyndighederne er institutionelle garanter for et system til strukturel beskyttelse af grundlæggende rettigheder, hvis opgave ikke er begrænset til passiv modtagelse af klager, men indebærer en aktiv anvendelse af databeskyttelsesreglerne.
b)      En tilsynsmyndigheds »behandling« af personoplysninger inden for rammerne af en klageprocedure
35.      Efter at have redegjort for de væsentlige kendetegn ved klageproceduren skal det undersøges, i hvilket omfang en tilsynsmyndigheds aktivitet udgør en »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2). Dette begreb defineres som »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse«.
36.      I denne henseende skal det fremhæves, at en tilsynsmyndighed inden for rammerne af en procedure efter databeskyttelsesforordningens artikel
77 ikke blot modtager oplysninger. Den foretager derimod en række selvstændige og strukturerede operationer, der gennemføres med henblik på varetagelsen af dens lovbestemte undersøgelses- og kontrolopgaver. Behandlingen indledes nemlig lige fra indgivelsen af den klage, som indeholder oplysninger om klageren og i givet fald den omhandlede dataansvarlige eller identificerbare tredjemænd. Disse oplysninger – som er omfattet af begrebet »personoplysninger« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1) – registreres, lagres i en sagsmappe og opbevares i tilsynsmyndighedens interne systemer, hvilket allerede indebærer materielle og organisatoriske operationer, der udgør »behandling« (14).
37.      Disse aktiviteter indgår i de opgaver, som databeskyttelsesforordningens artikel
57, stk. 1, pålægger tilsynsmyndighederne, således som de er beskrevet i dette forslag til afgørelse. Disse opgaver omfatter bl.a. undersøgelse af klager [litra f)] samt udøvelse af undersøgelses- og beslutningsbeføjelser [litra h)]. Ved udførelsen af disse opgaver handler myndighederne inden for rammerne af deres funktionelle autonomi og beslutningsautonomi, som er sikret ved EU-retten, og som konkret kommer til udtryk i den måde, hvorpå klager behandles, og de heraf følgende kontrolbeføjelser udøves.
38.      Under proceduren foretager tilsynsmyndigheden en faktisk og retlig undersøgelse af de oplysninger, den har fået forelagt. Den indsamler, organiserer, analyserer og vurderer oplysningerne på grundlag af de gældende retlige rammer. Der er ligeledes tale om andre behandlingsaktiviteter, når tilsynsmyndigheden anmoder om yderligere oplysninger fra den dataansvarlige – som en klage er rettet mod, og som er genstand for en undersøgelse – eller når den konsulterer supplerende dokumenter, der selv kan indeholde personoplysninger. Disse oplysninger modtages, registreres, analyseres og opbevares af tilsynsmyndigheden. Tilsvarende kan sammenkædningen af disse elementer med eventuelle allerede eksisterende sagsmapper eller oplysninger betragtes som en aktivitet, der udgør »behandling«.
39.      De således behandlede oplysninger anvendes med henblik på tilsynsmyndighedens selvstændige udøvelse af sine undersøgelses- og beslutningsbeføjelser (15). De tjener til at fastslå de faktiske omstændigheder, den retlige kvalificering heraf, vurderingen af mulige korrigerende foranstaltninger og i givet fald vedtagelsen af bindende afgørelser eller af påbud. Oplysningerne anvendes ligeledes i forbindelse med de proceduremæssige meddelelser til parterne, navnlig i forbindelse med underretningen af klageren eller den dataansvarlige om resultatet af proceduren.
40.      Det følger af samtlige disse forhold, at tilsynsmyndigheden ikke kan anses for blot at være »modtager« af oplysninger som omhandlet i databeskyttelsesforordningens artikel
4, nr. 9). Eftersom den selvstændigt træffer afgørelse om fremgangsmåden for indsamling, analyse, organisering og anvendelse af disse oplysninger med henblik på udførelsen af de opgaver, som den er tillagt ved lov, handler den som en operatør, der gennemfører en »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2). Dette aspekt bør undersøges nærmere i det følgende afsnit.
2.      Tilsynsmyndighedens mulighed for at »afgøre, til hvilke formål og med hvilke hjælpemidler der må foretages behandling«
41.      For at en tilsynsmyndighed kan kvalificeres som »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel
4, nr. 7), skal den desuden have beføjelse til at afgøre, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger.
42.      Som nævnt ovenfor er tilsynsmyndighedens rolle inden for rammerne af en klageprocedure i medfør af databeskyttelsesforordningens artikel 77 ikke begrænset den blotte passive modtagelse af oplysninger. Tilsynsmyndigheden fastlægger i realiteten formålet med behandlingen, idet den beslutter, at oplysningerne skal anvendes til at undersøge en eventuel overtrædelse af databeskyttelsesreglerne, til at fastslå de faktiske omstændigheder og i givet fald til at forberede og vedtage kontrolforanstaltninger. Denne fastlæggelse af formålet er ikke kun fastsat på forhånd ved lov, men kræver også en selvstændig konkretisering fra myndighedens side fra sag til sag, navnlig hvad angår kontrollens omfang, undersøgelsens præcise genstand og den retlige kvalificering af de rejste klagepunkter (16).
43.      Tilsynsmyndigheden træffer også på væsentlige punkter selvstændigt afgørelse om hjælpemidlerne til behandlingen. Den fastlægger, hvilke personoplysninger der indsamles, i hvilken form de registreres, struktureres og opbevares, efter hvilke kriterier sagsmapperne oprettes, de digitale arkiver organiseres eller bevismateriale identificeres, samt de tekniske eller organisatoriske processer, der anvendes til analyse, videre behandling eller intern tilrådighedsstillelse af oplysninger. Den beslutter ligeledes, om der skal rettes anmodninger om oplysninger til den undersøgte person, hvilke yderligere oplysninger der skal anmodes om, efter hvilke metoder de sammenkædes, og hvor længe de opbevares. Denne udvælgelses- og organisationsbeføjelse går klart ud over den blotte udførelse af en støtteopgave eller en underordnet opgave.
44.      De behandlingsaktiviteter, der rent faktisk gennemføres, bekræfter denne beslutningsfrihed. Myndigheden registrerer klagen, åbner sine egne sagsmapper, opbevarer og organiserer de modtagne oplysninger og de oplysninger, den indsamler, foretager en faktuel og retlig vurdering heraf, anmoder om yderligere dokumenter, samler undersøgelsesdokumenter og træffer på grundlag af sin egen analyse proceduremæssige og materielle afgørelser. Behandlingen sker således ikke kun med henblik på den tekniske håndtering af en administrativ sagsmappe, men udgør ligeledes grundlaget for en selvstændig undersøgelses-, vurderings- og beslutningsaktivitet, som ifølge EU-retten udelukkende er tillagt tilsynsmyndigheden.
45.      Den omstændighed, at denne aktivitet er et led i udøvelsen af en lovbestemt opgave, indebærer ikke, at egenskaben som »dataansvarlig« bortfalder. Domstolen har gentagne gange fastslået, at offentlige myndigheder kan kvalificeres som »dataansvarlige«, når de råder over et skøn med hensyn til den konkrete fremgangsmåde ved behandlingen (17). I denne henseende skal nævnes, at Landesamt i retsmødet selv har anerkendt, at det råder over en skønsmargen ved fastlæggelsen af sine opgaver, herunder i forbindelse med behandlingen af klager (18), hvorved denne skønsmargen er udtryk for myndighedens selvstændighed.
46.      En kvalificering som »databehandler« må ligeledes afvises, eftersom der ikke foreligger nogen form for underordnelsesforhold med hensyn til fastlæggelsen af formål og hjælpemidler, idet myndigheden ikke handler efter instruks fra tredjemand, men under udøvelse af sine egne beføjelser. Tilsynsmyndigheden handler navnlig på ingen måde på vegne af den dataansvarlige, der er genstand for klagen, men udøver en offentlig myndighed, som den er tillagt med henblik på at sikre overholdelsen af EU-retten.
47.      Selv om den omhandlede behandling som hovedregel er baseret på databeskyttelsesforordningens artikel
6, stk. 1, litra
e), sammenholdt med denne forordnings artikel
57, stk. 1, litra f) og h), sikrer eksistensen af et retsgrundlag kun behandlingens lovlighed uden at udelukke, at der er tale om en status som »dataansvarlig«. Tværtimod bekræfter den omstændighed, at loven overlader det til myndigheden at udføre tilsynsopgaver, at den behandler oplysningerne for at opfylde sine egne retlige forpligtelser og på en måde, som den selv fastsætter. Som »ansvarlig« er den således principielt fortsat underlagt databeskyttelsesforordningens generelle forpligtelser, navnlig de principper, der er fastsat i forordningens artikel
5, og de personers rettigheder, der er opregnet i kapitel III, for så vidt som disse ikke er blevet behørigt begrænset ved en tilstrækkeligt klar og forholdsmæssig lovbestemmelse i overensstemmelse med databeskyttelsesforordningens artikel
23.
48.      Tilsynsmyndighedernes uafhængighed, der er fastsat i databeskyttelsesforordningens artikel
52 og bekræftet i 117. betragtning, kræver, at de kvalificeres som »dataansvarlige« for så vidt angår de aktiviteter vedrørende personoplysninger, som de udfører under varetagelsen af deres lovbestemte opgaver. Kun en selvstændig fastlæggelse af formålene med og hjælpemidlerne til den pågældende behandling med det heraf følgende ansvar gør det muligt for dem at udøve deres kontrol- og håndhævelsesbeføjelser i fuld uafhængighed i forhold til de enheder, som de fører tilsyn med. Hvis de i forbindelse med behandlingen af klager blev anset for blot at gennemføre formål, der er fastsat af tredjemand, ville det bringe deres institutionelle autonomi i fare, placere dem i et afhængighedsforhold til de ansvarlige, der undersøges, og gøre det EU-retlige krav om ansvarlighed indholdsløst. Tilsynsmyndigheden skal derfor selv påtage sig ansvaret for den behandling af personoplysninger, der gennemføres i forbindelse med klageproceduren, idet de registreredes rettigheder i henhold til databeskyttelsesforordningen finder fuld anvendelse over for tilsynsmyndigheden (19).
49.      Hvis tilsynsmyndigheden ikke blev kvalificeret som »dataansvarlig« i forbindelse med behandlingen af klager, ville den registrerede endelig i vidt omfang være uden beskyttelse i forhold til et centralt element i behandlingen af vedkommendes oplysninger. De registreredes rettigheder i henhold til databeskyttelsesforordningens artikel
12-22, navnlig indsigtsretten i artikel 15, kan nemlig kun udøves over for den dataansvarlige. Uden denne kvalificering ville den registrerede ikke være i stand til at få at vide, hvilke oplysninger myndigheden indsamler og behandler i forbindelse med klagen, eller til at anmode om berigtigelse, sletning eller begrænsning heraf. Myndighedens behandling af oplysninger ville således undgå at blive omfattet af ethvert krav om gennemsigtighed og ansvarlighed, selv om denne myndighed netop har til opgave at sikre beskyttelsen af de registreredes rettigheder. En manglende kvalificering som »dataansvarlig« ville derfor skabe en strukturel brist i beskyttelsen og berøve den registrerede de i databeskyttelsesforordningen fastsatte grundlæggende garantier i dennes forhold til tilsynsmyndigheden (20).
50.      Det følger heraf, at en tilsynsmyndighed i forbindelse med behandlingen af klager, der indgives i henhold til databeskyttelsesforordningens artikel
77, træffer afgørelse om formålene med og hjælpemidlerne til behandlingen og ikke blot modtager eller administrerer oplysninger, der er fastlagt af tredjemand. Myndigheden handler som selvstændig aktør, der indsamler, organiserer, analyserer og anvender personoplysninger som grundlag for beslutninger, der henhører under udøvelsen af offentlig myndighed. Den skal derfor kvalificeres som »dataansvarlig« som omhandlet i den brede definition i databeskyttelsesforordningens artikel 4, nr. 7) (21).
51.      For fuldstændighedens skyld skal nævnes, at den omstændighed, at EU-lovgiver ikke udtrykkeligt har fastsat regler for den situation, hvor en tilsynsmyndighed inden for rammerne af en klageprocedure samtidig handler som »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel
4, nr. 7), ikke udgør et relevant argument, der kan være til hinder for en sådan kvalificering. Det afgørende er derimod, om denne myndighed opfylder de materielle betingelser, der er fastsat i den nævnte bestemmelse. Som det fremgår af ovenstående analyse, er dette klart tilfældet i den foreliggende sag.
52.      I denne sammenhæng kan Landesamts argument om, at visse bestemmelser i databeskyttelsesforordningen nødvendigvis kræver en streng sondring mellem tilsynsmyndigheden på den ene side og den »dataansvarlige« på den anden side, heller ikke tiltrædes. Disse bestemmelser vedrører udelukkende den principielle situation, som EU-lovgiver har taget udgangspunkt i, hvor disse to roller ikke er sammenfaldende. De udelukker imidlertid ikke, at en tilsynsmyndighed under visse omstændigheder – som de i hovedsagen omhandlede – samtidig kan opfylde betingelserne for at blive kvalificeret som »dataansvarlig«.
53.      For så vidt som visse bestemmelser i databeskyttelsesforordningen omhandler et »samarbejde« eller en »høring« mellem den »dataansvarlige« og tilsynsmyndigheden, navnlig artikel 31 og 36, kan den konflikt, der eventuelt kan opstå som følge af overlappende roller, løses ved hjælp af en formålsfortolkning af denne forordning. En sådan fortolkning indebærer, at tilsynsmyndighedens interne procedurer tilrettelægges og koordineres på en sådan måde, at det sikres, at de formål, der forfølges med de pågældende bestemmelser, faktisk opfyldes.
3.      Spørgsmålet om, hvorvidt en klager har ret til indsigt på grundlag af databeskyttelsesforordningens artikel 15
54.      Som anført i dette forslag til afgørelse indebærer kvalificeringen af tilsynsmyndigheden som »dataansvarlig« en forpligtelse for denne til at sikre overholdelsen af de rettigheder, som de registrerede har i henhold til databeskyttelsesforordningens kapitel III. Blandt disse rettigheder er navnlig den ret til indsigt, der er fastsat i denne forordnings artikel
15.
55.      Inden for rammerne af en procedure, der er iværksat i henhold til databeskyttelsesforordningens artikel
77, har klageren i princippet også status som »registreret« i denne forordnings forstand. Den pågældende kan i denne forbindelse kræve, at tilsynsmyndigheden bekræfter, om der behandles personoplysninger om den pågældende. I tilfælde af et bekræftende svar omfatter retten til indsigt ligeledes alle de oplysninger, der er opregnet udtømmende i databeskyttelsesforordningens artikel
15, stk. 1, litra a)-h), herunder bl.a. formålene med behandlingen, typen af oplysninger, modtagerne eller kategorierne af modtagere, opbevaringsperioden samt oplysninger om den registreredes rettigheder.
a)      Retten til at få udleveret en »kopi« i henhold til databeskyttelsesforordningens artikel 15, stk. 3
56.      Retten til indsigt omfatter bl.a. den registreredes ret til at få udleveret en kopi af oplysningerne i henhold til databeskyttelsesforordningens artikel
15, stk. 3. Denne bestemmelse pålægger den dataansvarlige at meddele den pågældende en gengivelse af vedkommendes personoplysninger i en forståelig form, der gør det muligt præcist at forstå omfanget af og fremgangsmåden ved behandlingen af disse oplysninger. Formålet med denne ret er at sætte den registrerede i stand til at kontrollere, hvilke oplysninger om vedkommende der behandles, at identificere kilden til oplysningerne, at forstå formålet hermed og at få kendskab til eventuelle modtagere (22).
57.      Domstolen har fastslået, at kopien skal fremlægges på betingelser, der muliggør en effektiv kontrol af behandlingens lovlighed og en effektiv udøvelse af de øvrige rettigheder, der er fastsat i databeskyttelsesforordningen (23). Udtrykket »kopi« henviser ikke til et dokument som sådant, men til de personoplysninger, som det indeholder; det afgørende er, at disse oplysninger meddeles på en måde, der er fuldstændig, klar og egnet til at gengive betydningen. Med henblik på at sikre effektiviteten af denne ret kan det være nødvendigt at gengive uddrag af dokumenter såvel som hele dokumenter eller uddrag fra databaser, der navnlig indeholder de personoplysninger, der er genstand for behandling (24).
58.      Rækkevidden af denne ret er imidlertid nøje afgrænset ud fra dens funktion. Den omfatter kun den registreredes »personoplysninger« og gælder for enhver oplysning, der vedrører eller gør det muligt at identificere den registrerede som omhandlet i databeskyttelsesforordningens artikel
4, nr. 1). Hvis den sammenhæng, hvori disse oplysninger forekommer, er nødvendig for at forstå dem fuldt ud, kan oplysningspligten omfatte fremsendelse af et passende uddrag eller en fremstilling med kontekst i det omfang, det er nødvendigt for at opfylde kravene til gennemsigtighed. Retten til at få udleveret en kopi udgør således et centralt element i mekanismen for selvbestemmelse over oplysninger, der er indført ved databeskyttelsesforordningen, for så vidt som denne ret sikrer den registrerede en væsentlig kontrol over behandlingen af vedkommendes oplysninger og gør det muligt for vedkommende at kontrollere, om den er i overensstemmelse med kravene i EU-retten.
b)      Databeskyttelsesforordningens artikel 15 fastsætter ikke en »generel ret til indsigt i administrative sagsakter«
59.      Denne indsigtsret, der er fastsat i databeskyttelsesforordningens artikel 15, og som er særegen for databeskyttelsesordningen, kan imidlertid hverken sidestilles med en generel ret til indsigt i de administrative sagsakter eller med et generelt krav om administrativ gennemsigtighed. Denne bestemmelse har udelukkende til formål at sikre gennemsigtighed i behandlingen, således at den registrerede kan kontrollere behandlingens lovlighed og effektivt udøve de rettigheder, der følger heraf, herunder retten til berigtigelse, sletning (»retten til at blive glemt«), begrænsning af behandling eller indsigelse (25). Den fastsætter derimod hverken en generel ret til indsigt i de oplysninger, som administrationen er i besiddelse af, eller en ret til indsigt i interne dokumenter og endnu mindre en ret til indsigt i forhold, der henhører under den offentlige myndigheds interne forhandlings- eller beslutningsproces. Dette bliver klart, når retten til indsigt i henhold til databeskyttelsesforordningens artikel
15 sammenholdes med andre indsigtsrettigheder, der er fastsat i EU-retten og i de nationale lovgivninger.
60.      For det første opfylder databeskyttelsesforordningens artikel 15 og artikel 77, stk. 2, forskellige formål og skal derfor holdes strengt adskilt. Artikel
77, stk. 2, indfører en proceduremæssig ret til at blive underrettet om forløbet og resultatet af behandlingen af klagen, men giver ikke ret til indsigt i oplysninger eller dokumenter på grundlag af databeskyttelsesreglerne. Mens artikel
15 således har til formål at sikre den enkeltes kontrol med sine egne personoplysninger, knytter artikel
77, stk. 2, sig til kravet om proceduremæssig gennemsigtighed i den administrative behandling af klager. Disse bestemmelser, der med hensyn til deres genstand og rækkevidde er selvstændige, må hverken forveksles eller erstattes indbyrdes. Der er tale om selvstændige retlige ordninger, der følger forskellige normative logikker, er underlagt egne betingelser for udøvelsen og hverken skal overlappe hinanden eller træde i stedet for hinanden.
61.      For det andet hjemler databeskyttelsesforordningens artikel 15 udelukkende en ret til indsigt i personoplysninger og fastsætter hverken en ret til indsigt i de administrative sagsakter eller en ret til indsigt i dokumenter, som myndigheden er i besiddelse af (26). Bestemmelsens materielle anvendelsesområde er begrænset til underretning om de personoplysninger, der behandles, og tager hverken sigte på administrativ gennemsigtighed eller indsigt i interne beslutningsprocesser. Retten til indsigt i sagsakter forbliver således – medmindre der er fastsat sektorspecifikke bestemmelser i EU-retten – medlemsstaternes lovgivningskompetence, hvor den generelt reguleres af lovgivningen om den almindelige administrative procedure, af særlige proceduremæssige ordninger, af lovene om informationsfrihed og gennemsigtighed eller af særlige faglige eller sektorspecifikke regler (27).
62.      Det følger heraf, at databeskyttelsesforordningens artikel
15 ikke giver nogen ret til at få fremsendt eller få adgang til de administrative sagsakter som sådan. Navnlig omfatter retten til indsigt ikke interne juridiske analyser, udtalelser, kommentarer, notater, forberedende dokumenter eller mere generelt elementer, der henhører under den interne proces for udarbejdelse eller begrundelse af den administrative afgørelse. Når et dokument, som myndigheden er i besiddelse af, indeholder personoplysninger om klageren, er adgangsforpligtelsen begrænset til fremsendelse af disse oplysninger som sådan og ikke til udlevering eller fuldstændig gengivelse af den dokumentation, hvori de er indeholdt. Endelig falder oplysninger, der ikke har nogen direkte eller indirekte identifikationsforbindelse til den registrerede, i sagens natur uden for det materielle anvendelsesområde for databeskyttelsesforordningens artikel
15.
63.      Det skal desuden erindres, at den ret til indsigt, der er fastsat i databeskyttelsesforordningens artikel
15, kan være genstand for visse begrænsninger i medfør af samme forordnings artikel
23, stk. 1, forudsat at de heri fastsatte betingelser er opfyldt. Dette aspekt er genstand for det andet præjudicielle spørgsmål, som jeg vil behandle i det følgende afsnit.
4.      Foreløbig konklusion
64.      Henset til ovenstående betragtninger er jeg af den opfattelse, at det første spørgsmål skal besvares med, at databeskyttelsesforordningens artikel 15, sammenholdt med dens artikel 4, nr. 7), heri skal fortolkes således, at en tilsynsmyndighed som omhandlet i nævnte forordnings artikel 4, nr. 21), når den handler inden for rammerne af en klageprocedure på grundlag af forordningens artikel 77, ligeledes har egenskab af »dataansvarlig« som omhandlet i samme forordning og dermed er forpligtet til at sikre den registrerede den i databeskyttelsesforordningens
artikel 15 fastsatte ret til indsigt.
C.      Det andet spørgsmål
1.      Begrænsningerne af retten til indsigt i personoplysninger i databeskyttelsesforordningens artikel 23
65.      Med det andet spørgsmål ønsker den forelæggende ret en afklaring af forholdet mellem databeskyttelsesforordningens artikel
23 og en national bestemmelse, der som BayDSG’s artikel 20, stk. 2, generelt udelukker enhver indsigts- eller adgangsret over for tilsynsmyndigheden for databeskyttelse. Besvarelsen af dette spørgsmål kræver en grundig analyse af forordningens opbygning, således som den fremgår af dens ordlyd, dens formål og de relevante betragtninger, samt af gennemførelsen af de principper, som Domstolen har udledt vedrørende de begrænsninger, der kan pålægges de registreredes rettigheder.
66.      Databeskyttelsesforordningens artikel
23 bestemmer, at lovgivningsmæssige foranstaltninger på EU-plan eller i medlemsstaterne, som den dataansvarlige er underlagt, bl.a. kan begrænse den ret til indsigt, der er sikret ved denne forordnings artikel
15, forudsat at en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og i et demokratisk samfund udgør en nødvendig og forholdsmæssig foranstaltning, der har til formål at sikre opfyldelsen af et af de legitime formål, der er opregnet i denne bestemmelses litra a)-j). Databeskyttelsesforordningens artikel
23, stk. 1, kan imidlertid ikke fortolkes således, at den bemyndiger den nationale lovgiver til frit at erstatte bestemmelserne i forordningens artikel 12-22 med sin egen ordning. Denne bestemmelse fastsætter derimod en udtømmende liste over åbningsbestemmelser, der giver den nationale lovgiver mulighed for af de nøje opregnede grunde at fastsætte begrænsninger af de registreredes rettigheder og af de forpligtelser, der påhviler den dataansvarlige i henhold til disse artikler (28).
67.      Databeskyttelsesforordningens artikel
23 indfører således en undtagelsesordning for de områder, som den omhandler, og som i det væsentlige vedrører varetagelsen af offentlige opgaver og forfølgelsen af tvingende almene hensyn, der kan begrunde en forringelse af de registreredes rettigheder i forhold til andre aktivitetssektorer. I denne henseende skal der tages hensyn til fjerde betragtning, første og andet punktum, til databeskyttelsesforordningen, som kræver, at der foretages en afvejning af de omhandlede grundlæggende rettigheder, og at det sikres, at de påtænkte begrænsninger er berettigede, nødvendige og forholdsmæssige i forhold til modstridende rettigheder og interesser.
68.      Det fremgår af forelæggelsesafgørelsen, at selv om bemærkningerne til Bayerns lov ganske vist udtrykkeligt nævner databeskyttelsesforordningens artikel 23 som retsgrundlag for BayDSG’s artikel 20, stk. 2, henviser den ikke til en deri anført målsætning. I bemærkningerne angives blot, at denne bestemmelse afspejler det særlige krav til formål, som er knyttet til oplysninger, der indhentes i forbindelse med kontrolaktiviteter vedrørende databeskyttelse. Den forelæggende ret har imidlertid anført, at denne bestemmelse ifølge Landesamts indlæg i hovedsagen reelt forfølger to hovedformål: på den ene side beskyttelse af fortroligheden af tredjemands personoplysninger og på den anden side sikring af tilsynsmyndighedens funktionsevne og uafhængighed.
69.      I overensstemmelse med de principper, der gælder for den ved artikel 267 TEUF indførte mekanisme for samarbejde mellem Unionens retsinstanser og de nationale retter – hvorefter fortolkningen af national ret udelukkende henhører under de forelæggende retters kompetence (29), og Domstolen er forpligtet til at henholde sig til de præciseringer, som disse retter har foretaget med hensyn til indholdet og rækkevidden af denne ret (30) – vil jeg anvende disse elementer som grundlag for min analyse.
2.      Foreneligheden af en generel udelukkelse af retten til indsigt i henhold til databeskyttelsesforordningens artikel 15 med forordningens artikel 23
70.      I det følgende vil jeg undersøge, om en generel udelukkelse af retten til indsigt i henhold til databeskyttelsesforordningens artikel
15 kan begrundes i lyset af de ovennævnte lovgivningsmæssige formål. Jeg vil ligeledes undersøge, om en sådan lovgivning opfylder de yderligere krav, som databeskyttelsesforordningens artikel
23 pålægger enhver begrænsning af denne ret.
a)      Spørgsmålet om, hvorvidt der foreligger et legitimt formål
1)      Beskyttelse af fortroligheden af tredjemands personoplysninger
71.      Beskyttelsen af fortroligheden af tredjemands personoplysninger udgør et legitimt formål som omhandlet i databeskyttelsesforordningen, der principielt kan begrunde begrænsninger af de rettigheder, som de registrerede er tillagt. Det skal i denne henseende anføres, at hvad angår retten til indsigt i henhold til databeskyttelsesforordningens artikel 15 præciseres det i 63. betragtning til denne forordning, at »[d]enne ret [ikke] må […] krænke andres rettigheder eller frihedsrettigheder«. Der er således taget hensyn til den omstændighed, at retten til beskyttelse af personoplysninger, som det fremgår af 4. betragtning til nævnte forordning, ikke er en absolut ret, men skal ses i sammenhæng med sin funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder (31).
72.      Databeskyttelsesforordningens artikel
23, stk. 1, litra i), henviser udtrykkeligt til beskyttelsen af »andres rettigheder og frihedsrettigheder«, hvilket bekræftes af 73. betragtning til forordningen. Når der er tale om personoplysninger om ansatte i administrationen eller privatpersoner, kan den nationale lovgiver følgelig med føje støtte sig på den omstændighed, at videregivelse heraf ville være til skade for personlige rettigheder, og at der foreligger et behov for beskyttelse, der skal afvejes i forhold til klagerens ret til indsigt.
2)      Beskyttelse af tilsynsmyndighedernes funktionsevne og uafhængighed
73.      Opretholdelsen af tilsynsmyndighedernes funktionsevne og beslutningsmæssige uafhængighed udgør også et legitimt formål som omhandlet i databeskyttelsesforordningens artikel
23, stk. 1. EU-lovgiver har nemlig tillagt disse myndigheder en central rolle i det europæiske databeskyttelsessystem, hvilket dels fremgår af forordningens artikel 52, som sikrer deres fulde uafhængighed, dels af omfanget af de undersøgelsesbeføjelser og korrigerende beføjelser, der er fastsat i forordningens artikel 57 og 58 (32). I denne henseende har Domstolen i sin praksis fremhævet, at disse myndigheders funktion skal sikres, bl.a. ved at sikre, at den ikke hindres af åbenbart grundløse eller uforholdsmæssige klager som omhandlet i databeskyttelsesforordningens artikel 57, stk. 4 (33).
74.      Henset til databeskyttelsesforordningens artikel
23, stk. 1, litra h), som gør det muligt at vedtage begrænsninger, når disse er nødvendige for varetagelsen af opgaver vedrørende »tilsyn« og »inspektion« i forbindelse med offentlig myndighedsudøvelse, kan en begrænsning af retten til indsigt derfor principielt være begrundet. Henset til de eksisterende paralleller skal der i øvrigt ligeledes tages hensyn til det formål, der er fastsat i databeskyttelsesforordningens artikel
23, stk. 1, litra f), som præciseret i 73. betragtning til forordningen, om at sikre retsvæsenets uafhængighed og beskytte afviklingen af retssager. Tilsynsmyndighederne er ganske vist ikke en del af retsvæsenet, men spiller ikke desto mindre i lighed med statslige håndhævelsesorganer en væsentlig rolle med hensyn til at opdage og straffe overtrædelser af lovgivningen om beskyttelse af personoplysninger. Som følge heraf kan en analog anvendelse af denne bestemmelse under alle omstændigheder komme i betragtning.
3)      Beskyttelse af den offentlige sikkerhed
75.      For fuldstændighedens skyld skal det nævnes, at forelæggelsesafgørelsen ligeledes henviser til beskyttelsen af den offentlige sikkerhed som omhandlet i databeskyttelsesforordningens artikel
23, stk. 1, litra c), som en mulig begrundelse, dog uden at give mere præcise oplysninger. Den forelæggende rets og Kommissionens vurdering, hvorefter påberåbelsen af dette hensyn ikke forekommer begrundet, må imidlertid tiltrædes. Henset til de faktiske omstændigheder i hovedsagen, således som de er fremlagt af den forelæggende ret, synes en sådan begrænsning nemlig åbenbart ikke at være relevant. Denne begrundelse vil derfor blive udelukket fra nedenstående analyse.
b)      Krav, der følger af databeskyttelsesforordningens lovgivningsmæssige ramme
76.      På den ene side må det konstateres, at der tages behørigt hensyn til fortroligheden af tredjemands personoplysninger i en national lovgivning som BayDSG’s artikel
20, stk. 2, for så vidt som bestemmelsen kategorisk forbyder videregivelse af sådanne oplysninger. Det kan desuden ikke udelukkes, at tilsynsmyndighedernes manglende samarbejde i forbindelse med behandlingen af anmodninger om indsigt kan føre til en omfordeling af menneskelige og materielle ressourcer til andre aktivitetsområder, der i givet fald kan medføre visse effektivitetsgevinster.
77.      På den anden side giver sådanne omstændigheder anledning til tvivl om, hvorvidt de er i overensstemmelse med den retlige ramme, som EU-lovgiver har indført ved vedtagelsen af databeskyttelsesforordningen, og navnlig med denne forordnings generelle opbygning, som er baseret på en afvejning af flere interesser: gennemsigtighed i behandlingen af oplysninger, opretholdelse af fortrolighed, når det er nødvendigt, og effektiv beskyttelse af disse interesser fra tilsynsmyndighedernes side. En national lovgivning, der ikke i tilstrækkelig grad afspejler afvejningen af disse interesser, kan derfor ikke opfylde kravene i databeskyttelsesforordningens artikel
23, stk. 1. Det samme gælder, når det viser sig, at foranstaltninger, der er mindre indgribende i de grundlæggende rettigheder, men lige så effektive med hensyn til at nå de forfulgte mål, kan overvejes (34).
78.      I denne henseende skal erindres, at den ret til indsigt, der er fastsat i databeskyttelsesforordningens artikel
15, er udformet som et væsentligt element i gennemsigtighedsprincippet. Denne kvalificering fremgår klart af 63. betragtning, til forordningen hvorefter den registrerede skal kunne »forvisse sig om behandlingen[s lovlighed]« for at sikre effektiviteten af de rettigheder, som forordningen giver vedkommende. Domstolen har gentagne gange bekræftet denne opfattelse, idet den har fastslået, at retten til indsigt spiller en central rolle i den generelle opbygning af den ordning, der er indført ved forordningen. En national bestemmelse, der generelt og udifferentieret fratager den registrerede denne ret, skader derfor selve kernen i den beskyttelsesordning, som EU-lovgiver har indført.
79.      Selv om det er korrekt, at databeskyttelsesforordningens artikel
23 tillader begrænsninger af registreredes rettigheder, herunder indsigtsretten, af hensyn til samfundsinteresser, kræver den samtidig, at sådanne begrænsninger skal hvile på et retsgrundlag, der er tilstrækkeligt præcist. Dette grundlag skal klart definere begrænsningens art, omfang og grænser samt de nødvendige garantier for at forebygge risikoen for misbrug. Det præciseres i 41. betragtning til forordningen, at enhver begrænsning af en rettighed, der er sikret ved forordningen, skal være »klar og præcis« og »forudsigelig« for den registrerede, som skal være i stand til at fastslå omfanget af de begrænsninger i vedkommendes rettigheder, der kan indføres (35). En national bestemmelse, der fastsætter en absolut udelukkelse af retten til indsigt uden at fastlægge sit materielle eller personelle anvendelsesområde eller fastsætte beskyttelsesforanstaltninger, kan ikke opfylde de således opstillede krav.
80.      Desuden anføres det i 60. betragtning, at gennemsigtighed er et grundlæggende princip i behandlingen af personoplysninger, som også finder anvendelse på offentlige myndigheders handlinger. Selv om visse oplysninger midlertidigt kan undtages fra videregivelse inden for rammerne af en klageprocedure, navnlig for ikke at bringe forebyggelsen, afsløringen eller undersøgelsen af lovovertrædelser i fare (36), skal et sådant forbehold fortsat være strengt nødvendigt og forholdsmæssigt og må ikke føre til en fuldstændig neutralisering af gennemsigtigheden over for den registrerede. En national bestemmelse, der udelukker enhver form for aktindsigt uden at sondre mellem personoplysninger og interne dokumenter, er derfor i strid med databeskyttelsesforordningens opbygning.
81.      Domstolen har ligeledes, henset til chartrets artikel 52, stk. 1, fastslået, at de begrænsninger, der kan pålægges en grundlæggende rettighed, ikke blot skal være i overensstemmelse med legalitetsprincippet og proportionalitetsprincippet, men også med princippet om iagttagelse af den pågældende rettigheds »væsentligste indhold« (37). I fjerde betragtning til databeskyttelsesforordningen bekræftes det, at beskyttelsen af personoplysninger er en grundlæggende rettighed, der er forankret i chartrets artikel
8, og at begrænsninger heraf kun kan ske i overensstemmelse med proportionalitetsprincippet. En fuldstændig udelukkelse af retten til indsigt medfører imidlertid, at den registrerede fratages selve kernen i denne ret, idet vedkommende forhindres i at kontrollere den behandling, som vedkommende er genstand for, selv i minimalt omfang.
82.      I 75. betragtning til databeskyttelsesforordningen fremhæves det yderligere, at manglende eller utilstrækkelig gennemsigtighed i sig selv udgør en risiko, der i alvorlig grad kan påvirke de registreredes rettigheder og frihedsrettigheder. En lovgivning, der fuldstændig fratager den registrerede muligheden for at få kendskab til den behandling, der er foretaget vedrørende vedkommende, skaber netop den risikosituation, som lovgiver har ønsket at forebygge.
83.      Det skal tilføjes, at tilsynsmyndigheder i 129. betragtning til databeskyttelsesforordningen defineres som uafhængige organer, der er ansvarlige for håndhævelsen af forordningen og for beskyttelsen af de registreredes rettigheder. Denne opgave og den plads, som tilsynsmyndighederne indtager i den ved databeskyttelsesforordningen indførte kontrolmekanisme, indebærer imidlertid ikke, at de er fritaget for alle de deraf følgende forpligtelser. Databeskyttelsesforordningen skaber derimod en sammenhængende retlig ramme, inden for hvilken tilsynsmyndighederne, samtidig med at de udøver deres beføjelser, fortsat fuldt ud er underlagt de heri fastsatte regler, herunder reglerne om registreredes rettigheder. En national bestemmelse, der helt udelukker enhver videregivelse af oplysninger om den registrerede, bringer denne balance i fare og udhuler kravet om tilsynsmyndighedernes ansvar.
84.      En absolut udelukkelse af retten til indsigt synes desuden at være uforenelig med det formål, der forfølges med databeskyttelsesforordningen, om at sikre et højt databeskyttelsesniveau for fysiske personer, således som det fremgår af tiende betragtning
til forordningen (38). Det således tilsigtede beskyttelsesniveau er i væsentlig grad baseret på gennemsigtighed og på den registreredes mulighed for at kontrollere de behandlingsaktiviteter, der vedrører den pågældende. Indsigtsretten i henhold til forordningens
artikel 15 er i denne forbindelse et uundværligt element, da den danner grundlag for en effektiv udøvelse af alle de registreredes øvrige rettigheder (39). En generel udelukkelse af denne ret ville svare til at unddrage visse behandlinger enhver individuel kontrol og ville således bringe effektiviteten af det høje beskyttelsesniveau, som EU-lovgiver har tilsigtet, i fare.
85.      Hvad angår formålet om at beskytte tredjemands rettigheder og friheder, der er blevet påberåbt for at begrunde en begrænsning af indsigtsretten, skal det erindres, at Domstolen har fastslået, at myndighederne i tilfælde af konflikt mellem retten til indsigt og andre personers rettigheder eller friheder skal foretage en afvejning af de foreliggende interesser. Det fremgår udtrykkeligt af 63. betragtning til databeskyttelsesforordningen, at denne afvejning under ingen omstændigheder kan begrunde fuldstændig fratagelse af indsigt (40). Tilpassede ordninger såsom delvis videregivelse, overstregning eller anonymisering af oplysninger, beskyttelse af indberettende personers identitet, differentieret behandling efter dokumentkategori eller videregivelse af strukturerede oplysninger, der ikke er individualiserede, gør det muligt at forene de involverede interesser uden helt at ophæve retten til indsigt.
86.      Hvad angår det påberåbte behov for at sikre, at tilsynsmyndighederne udfører deres opgaver uafhængigt og effektivt, fremgår det ikke, hvorledes udøvelsen af retten til indsigt i henhold til databeskyttelsesforordningens artikel
15 kan bringe dette formål i fare. Jeg er enig med den forelæggende ret i, at tilsynsmyndighedernes uafhængighed på ingen måde indebærer, at lovligheden af den behandling af personoplysninger, som de foretager, skal unddrages den registreredes kontrol. En risiko for en eventuel »påvirkning«, der kan fremmes som følge af adgang til oplysninger, således som Landesamt har gjort gældende, skal derfor afvises.
87.      Som anført i dette forslag til afgørelse hjemler databeskyttelsesforordningens artikel 15 i øvrigt ikke en generel ret til indsigt i sagsakterne (41), hvorfor den deraf følgende administrative byrde bør forblive begrænset. Uafhængigt heraf skal det anføres, at forordningen i artikel 12, stk. 5, stiller et passende instrument til rådighed for tilsynsmyndighederne til at håndtere urimelige eller overdrevne anmodninger (42). Disse myndigheder har også beføjelse til at vedtage forskellige forvaltningsforanstaltninger, såsom midlertidigt at afholde sig fra at fremlægge oplysninger under proceduren, at udelukke visse interne dokumenter fra videregivelse, at sondre mellem forskellige typer procedurer, kun at meddele oplysninger om allerede afsluttede faser eller at anvende organisatoriske mekanismer, der sikrer, at interne processer ikke forstyrres af anmodninger om indsigt. Sådanne foranstaltninger gør det muligt at sikre, at tilsynsmyndighederne fungerer korrekt, uden dog helt at udelukke den ret til indsigt, der er fastsat i databeskyttelsesforordningens artikel
15.
88.      Det skal ligeledes nævnes, at tilsynsmyndighedernes effektivitet på afgørende vis afhænger af, at de råder over de nødvendige midler, dvs. de menneskelige, tekniske og finansielle ressourcer samt de lokaler og infrastrukturer, der er nødvendige for, at de effektivt kan udføre deres opgaver og udøve deres beføjelser (43). Databeskyttelsesforordningens artikel
52, stk. 4, pålægger udtrykkeligt medlemsstaterne at sikre tildelingen af sådanne midler. Ud fra dette perspektiv kan spørgsmålet om tilsynsmyndighedernes funktionalitet ikke begrænses til kun at omfatte antallet af anmodninger om indsigt på grundlag af databeskyttelsesforordningens artikel
15. Utilstrækkelige bevillinger til myndighederne må under ingen omstændigheder føre til en forringelse af beskyttelsesniveauet for personoplysninger.
89.      Det fremgår af forelæggelsesafgørelsen, at BayDSG’s artikel
20, stk. 2, udgør et enkeltstående fænomen i den tyske retsorden, idet ingen anden delstat har fastsat en tilsvarende udelukkelse af retten til indsigt. En sådan isolation på det normative plan udgør et stærkt indicium for, at en begrænsning af denne rækkevidde hverken kan anses for nødvendig eller forholdsmæssig som omhandlet i databeskyttelsesforordningens artikel
23, stk. 1. Eftersom alle andre tilsynsmyndigheder udfører deres opgaver uden en generel ophævelse af de registreredes rettigheder, forekommer det vanskeligt at hævde, at en sådan foranstaltning er nødvendig for, at myndigheden kan fungere korrekt, eller for at beskytte tredjemands rettigheder. En lovgivning i en enkelt delstat, som begrænser de rettigheder, der er sikret ved databeskyttelsesforordningen, væsentligt mere end de rettigheder, der er fastsat i andre dele af det nationale område, synes ikke at opfylde de krav om sammenhæng, nødvendighed og proportionalitet, der følger af EU-retten.
90.      Det må derfor fastslås, at for så vidt angår de to påberåbte formål – beskyttelsen af tredjemands rettigheder og opretholdelsen af den korrekte udførelse af tilsynsmyndighedernes opgaver – gør mindre restriktive og differentierede foranstaltninger, der er i overensstemmelse med EU-retten, det muligt at nå de ønskede resultater uden at ophæve kernen i retten til indsigt, uden at fjerne den krævede gennemsigtighed i forhold til den registrerede og uden at hindre muligheden for at kontrollere lovligheden af den foretagne behandling.
91.      Et andet kritisk aspekt er, at BayDSG’s artikel
20, stk. 2, ikke gør det muligt at identificere det formål, som den nationale lovgiver forfølger. Som det fremgår af den forelæggende rets oplysninger, er databeskyttelsesforordningens artikel
23 i forarbejderne blot nævnt som retsgrundlag, men uden at der henvises til et af de formål, der er opregnet i denne bestemmelse. Artikel
23 kræver imidlertid, at formålet med begrænsningen klart fremgår af selve bestemmelsen, hvilket er en nødvendig betingelse for en effektiv kontrol af overholdelsen af nødvendighedsprincippet og proportionalitetsprincippet.
92.      Dette krav om klarhed kan ikke afhjælpes med begrundelser, der efterfølgende er fremført af en part i den præjudicielle procedure i henhold til artikel
267 TEUF, navnlig når denne part er den part, der drager fordel af den omhandlede begrænsning. Hvis en sådan mulighed blev anerkendt, ville det svare til at erstatte den demokratisk ansvarlige lovgivers vilje med en argumentationskonstruktion, der er udviklet inden for rammerne af en retssag, hvilket ville være uforeneligt med de krav om forudsigelighed, normativ gennemsigtighed og retssikkerhed, der følger af databeskyttelsesforordningens artikel
23, stk. 1 og 2.
93.      Under disse omstændigheder må det konkluderes, at en generel og udifferentieret udelukkelse af retten til indsigt som den, der er fastsat i BayDSG’s artikel
20, stk. 2, ikke er i overensstemmelse med kravene i databeskyttelsesforordningens artikel
23, eftersom den ikke indeholder nogen af de elementer, der udtrykkeligt kræves i henhold til artiklens stk. 2, og hverken overholder forordningens opbygning eller formål, således som de fremgår af de relevante betragtninger. En sådan bestemmelse forekommer uforholdsmæssig, ikke tilstrækkeligt præcis og af en sådan karakter, at den kan berøve retten til indsigt dens væsentligste indhold.
3.      Foreløbig konklusion
94.      Af de ovenfor anførte grunde er jeg af den opfattelse, at databeskyttelsesforordningens artikel
23 skal fortolkes således, at den er til hinder for en national lovgivning som BayDSG’s artikel
20, stk. 2, for så vidt som denne bestemmelse som sådan udelukker, at der foreligger en ret til indsigt i forhold til tilsynsmyndigheden på grundlag af denne forordnings artikel
15.
VI.    Forslag til afgørelse
95.      På baggrund af samtlige ovenstående betragtninger foreslår jeg Domstolen at besvare de
af Bayerisches Verwaltungsgericht Ansbach (forvaltningsdomstolen for Bayern i Ansbach, Tyskland) forelagte præjudicielle spørgsmål således:
»1)      Artikel 15, sammenholdt med artikel 4, nr. 7), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
en tilsynsmyndighed som omhandlet i denne forordnings artikel 4, nr. 21), når den handler inden for rammerne af en klageprocedure på grundlag af samme forordnings artikel 77, ligeledes har egenskab af »dataansvarlig« som omhandlet i denne forordning og dermed er forpligtet til at sikre den registrerede den i artikel 15 i forordning
2016/679
fastsatte ret til indsigt.
2)      Artikel
23 i forordning 2016/679
skal fortolkes således, at
den er til hinder for en national lovgivning som den i artikel
20, stk. 2, i delstaten Bayerns lov om databeskyttelse, der som sådan udelukker, at der foreligger en ret til indsigt i forhold til Bayerns databeskyttelsesmyndighed på grundlag af denne forordnings artikel
15.«
1 –      Originalsprog: fransk.
2 –      EUT 2016, L 119, s. 1.
3 –      Jf. punkt 24 ff. i dette forslag til afgørelse.
4 –      Jf. punkt 65 ff. i dette forslag til afgørelse.
5 –      Jf. dom af 29.7.2019, Fashion ID (C-40/17, EU:C:2019:629, præmis 65 og 66).
6 –      Domstolen har endog fastslået, at en fysisk eller juridisk person, der til eget formål udøver indflydelse på behandlingen af personoplysninger og grundet den omstændighed deltager i fastlæggelsen af formålene med og hjælpemidlerne ved denne behandling, kan kvalificeres som »registeransvarlig« (jf. dom af 10.7.2018, Jehovan todistajat, C-25/17, EU:C:2018:551, præmis 68, og af 29.7.2019, Fashion ID, C-40/17, EU:C:2019:629, præmis 68).
7 –      Det defineres ikke udtrykkeligt i databeskyttelsesforordningen, hvad der forstås ved en »klage«, men ordlyden af artikel 77 giver et første fingerpeg herom. Ifølge retningslinjerne fra Det Europæiske Databeskyttelsesråd (EDPS) er en klage en indgivelse til en tilsynsmyndighed fra en identificeret fysisk person – eller et organ, der opfylder betingelserne i artikel 80 – som anser behandlingen af vedkommendes oplysninger for at være i strid med databeskyttelsesforordningen. Det Europæiske Databeskyttelsesråd har præciseret, at dette begreb ikke er begrænset til krænkelser af rettighederne i kapitel III, men mere generelt omfatter enhver overtrædelse af forordningen som følge af behandlingen af klagerens personoplysninger (EDPS, Internal Document 6/2020 on preliminary steps to handle a complaint:  : admissibility and vetting of complaints, 15.12.2020, s. 3).
8 –      Jf. dom af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958, præmis 58), af 26.9.2024, Land Hessen (Databeskyttelsesmyndighedens handlepligt) (C-768/21, EU:C:2024:785, præmis 35), og af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger) (C-416/23, EU:C:2025:3, præmis 39).
9 –      Jf. EFTA-Domstolens dom af 10.12.2020, Adpublisher AG
mod J & K (E-11/19 og E-12/19, præmis 45).
10 –      Jf. dom af 6.10.2015, Schrems (C-362/14, EU:C:2015:650, præmis 63), af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559, præmis 107), af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958, præmis 56), og af 26.9.2024, Land Hessen (Databeskyttelsesmyndighedens handlepligt) (C-768/21, EU:C:2024:785, præmis 32).
11 –      I denne sammenhæng skal der henvises til generaladvokat Pikamäes forslag til afgørelse SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:222, punkt 42), hvori han fremhævede, at EU-lovgiver ikke havde til hensigt at gøre klageproceduren til en mekanisme, der kan sidestilles med et rent »andragende«. Tværtimod er det formål, der forfølges, at skabe en mekanisme, der effektivt kan beskytte rettigheder og interesser for de personer, der indgiver klager. Navnlig viser de forpligtelser, der er fastsat i databeskyttelsesforordningens artikel 57, stk. 1, litra f), som påhviler tilsynsmyndigheden i forbindelse med behandlingen af disse klager, og som henhører under princippet om »god forvaltning«, at lovgiver har ønsket at tillægge denne procedure vægt som »en veritabel administrativ klage«.
12 –      Jf. dom af 26.9.2024, Land Hessen (Databeskyttelsesmyndighedens handlepligt) (C-768/21, EU:C:2024:785, præmis 42).
13 –      Jf. dom af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:958, præmis 70), og af 26.9.2024, Land Hessen (Databeskyttelsesmyndighedens handlepligt) (C-768/21, EU:C:2024:785, præmis 49).
14 –      Der findes ingen ensartede EU-retlige forskrifter vedrørende tilsynsmyndighedernes konkrete behandling af klager. Der er derfor visse forskelle mellem medlemsstaterne i den administrative praksis. Ikke desto mindre bestræber Det Europæiske Databeskyttelsesråd sig på at sikre en vis grad af harmonisering af tilsynsaktiviteten og de proceduremæssige ordninger, navnlig med hensyn til godkendelse og arkivering af klager, konstatering af forlig osv., ved hjælp af retningslinjer og udvikling af »bedste praksis« (jf. i denne henseende EDPS, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, vedtaget den 15.12.2020).
15 –      Som EFTA-Domstolen bemærkede i sin dom af 10.12.2020, Adpublisher AG mod J & K (E-11/19 og E-12/19, præmis 60), har tilsynsmyndigheden i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra h), beføjelse til at indlede undersøgelser på eget initiativ. I forbindelse med behandlingen af en klage kan den derfor tage stilling til andre krav eller en anden genstand for tvisten end dem, som klageren har påberåbt sig. Klageprocedurens effektivitet kræver, at tilsynsmyndigheden i udøvelsen af sine undersøgelsesbeføjelser ikke begrænses af den måde, hvorpå klageren har formuleret de relevante retlige spørgsmål i sin klage.
16 –      Det ser ud til, at tilsynsmyndighederne behandler klagerne på grundlag af bestemmelserne i national ret eller deres egen skønsbeføjelse. Der synes ligeledes at være forskelle i behandlingen af klager ud fra pragmatiske kriterier eller inden for rammerne af en forenklet procedure (jf. i denne henseende G. González Fuster m.fl., »The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR«, Access Now, Open Universiteit, 2022, s. 30).
17 –      Jf. dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende) (C-231/22, EU:C:2024:7, præmis 39), og af 27.2.2025, Amt der Tiroler Landesregierung (C-638/23, EU:C:2025:127, præmis 49).
18 –      På Domstolens anmodning har Landesamt redegjort for sin administrative praksis på området for klagebehandling. Myndigheden har i denne forbindelse præciseret, at klagerne kan indgive anmodninger, herunder elektronisk, til de kompetente embedsmænd ved Landesamt og anmode om aktindsigt. Det fremgår klart af denne redegørelse, at den måde, hvorpå Landesamt behandler klagerne, navnlig for så vidt angår de indsamlede oplysninger, de organisatoriske foranstaltninger, der træffes, og de undersøgelser, der foretages, henhører under den autonomi, som Landesamt er tillagt ved databeskyttelsesforordningen i forbindelse med udførelsen af sine opgaver.
19 –      J.-P. Möhle, »Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht«, Die Öffentliche Verwaltung, 2023, nr. 3, s. 108, forklarer, at kun personer, der faktisk er i stand til at øve indflydelse, kan være bundet af databeskyttelsesretlige forpligtelser (såsom oplysnings-, ansvars- eller samarbejdsforpligtelser), dvs. forpligtelser, der kan forhindre fremtidige overtrædelser af databeskyttelsesreglerne. Efter min opfattelse er der ingen tvivl om, at det inden for rammerne af en klageprocedure kun er tilsynsmyndigheden, der kan opfylde denne definition.
20 –      Som Domstolen har fastslået, er formålet med den brede definition af begrebet »den registeransvarlige« imidlertid at sikre en effektiv og fuldstændig beskyttelse af de berørte personer (dom af 13.5.2014, Google Spain og Google, C-131/12, EU:C:2014:317, præmis 34, af 29.7.2019, Fashion ID, C-40/17, EU:C:2019:629, præmis 66, og af 5.6.2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, EU:C:2018:388, præmis 28).
21 –      Jf. i denne retning J. Kunert, »Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG«, GRUR-Prax, 2025, nr. 9, s. 324.
22 –      Jf. dom af 22.6.2023, Pankki S (C-579/21, EU:C:2023:501, præmis 50).
23 –      Jf. dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF (C-487/21, EU:C:2023:369, præmis 33 og 34).
24 –      Jf. dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF (C-487/21, EU:C:2023:369, præmis 41).
25 –      Jf. dom af 20.12.2017, Nowak (C-434/16, EU:C:2017:994, præmis 57), af 12.1.2023, Österreichische Post (Oplysninger om modtagere af personoplysninger) (C-154/21, EU:C:2023:3, præmis 38), og af 4.5.2023, Österreichische Datenschutzbehörde og CRIF (C-487/21, EU:C:2023:369, præmis 35).
26 –      G. Zanfir-Fortuna, »Article 15. Right of access by the data subject«, C. Kuner, L.A. Bygrave & C. Docksey (red.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, s. 452, fremhæver, at det er vigtigt at sondre mellem retten til indsigt i sine egne personoplysninger, der er fastsat i databeskyttelsesforordningens artikel 15, og retten til indsigt i offentlige oplysninger. Disse to rettigheder er baseret på forskellige normative formål: Den første har til formål at sikre gennemsigtighed i forhold til den person, hvis oplysninger indsamles og behandles af en dataansvarlig (gennemsigtighed inter partes), mens den anden har til formål at sikre gennemsigtighed over for offentligheden vedrørende oplysninger af offentlig værdi eller interesse (gennemsigtighed erga omnes).
27 –      N. Gumzej, »DPA powers toward effective and transparent GDPR enforcement: the case of Croatia«, Juridical Tribune – Review of Comparative and International Law, bind 13, nr. 2 (2023), s. 210, henviser til de gældende love om fri adgang til oplysninger.
28 –      F. Schemmer, »Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen«, Zeitschrift für das gesamte Informationsrecht, 2024, nr. 5, s. 210.
29 –      Jf. dom af 6.3.2007, Placanica m.fl. (C-338/04, C-359/04 og C-360/04, EU:C:2007:133, præmis 34), og af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 240).
30 –      Jf. dom af 25.10.2001, Ambulanz Glöckner (C-475/99, EU:C:2001:577, præmis 10), og af 14.11.2024, S. (Ændring af dommerkollegiet) (C-197/23, EU:C:2024:956, præmis 43).
31 –      Jf. dom af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559, præmis 172), af 12.1.2023, Österreichische Post (Oplysninger om modtagerne af personoplysningerne) (C-154/21, EU:C:2023:3, præmis 47), og af 21.3.2024, Landeshauptstadt Wiesbaden (C-61/22, EU:C:2024:251, præmis 75).
32 –      A. Giurgiu og T. Larsen, »Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAS as guardians of Consistency?«, European Data Protection Law Review, nr. 3 (2016), s. 352, anser tilsynsmyndighederne for de vigtigste garanter for enkeltpersoners rettigheder på grund af deres centrale rolle i tilsynet med og håndhævelsen af databeskyttelsesreglerne i forordningen. De fremhæver betydningen af at tildele disse myndigheder tilstrækkelige ressourcer, både med hensyn til personale og finansielle midler, således at de kan varetage deres opgaver effektivt.
33 –      Jf. dom af 9.1.2025, Österreichische Datenschutzbehörde (Uforholdsmæssige anmodninger) (C-416/23, EU:C:2025:3, præmis 40).
34 –      Jf. dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 85).
35 –      Jf. dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (C-175/20, EU:C:2022:124, præmis 56).
36 –      Jf. i denne forbindelse EDPS, Guidelines 10/2020 on limits under artikel 23 GDPR (version 2.1), der blev vedtaget den 13.10.2021, punkt 65-67 og 82, som anbefaler midlertidige begrænsninger i udøvelsen af visse af den registreredes rettigheder for ikke at bringe administrative undersøgelser i fare.
37 –      Jf. dom af 8.4.2014, Digital Rights Ireland m.fl. (C-293/12 og C-594/12, EU:C:2014:238, præmis 38), af 6.10.2015, Schrems (C-362/14, EU:C:2015:650, præmis 94), af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559, præmis 174), og af 6.10.2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 121).
38 –      Domstolen har i sin faste praksis henvist til dette formål og fremhævet, at beskyttelsen af personoplysninger er sikret ved såvel artikel 16 TEUF som chartrets artikel 8, hvorved denne ret er forankret i to bestemmelser i den primære EU-ret (jf. dom af 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, præmis 43).
39 –      Jf. dom af 22.6.2023, Pankki S (C-579/21, EU:C:2023:501, præmis 53 ff.).
40 –      Jf. dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF (C-487/21, EU:C:2023:369, præmis 44).
41 –      Jf. punkt 59 ff. i dette forslag til afgørelse.
42 –      Jf. dom af 12.1.2023, Österreichische Post (Oplysninger om modtagerne af personoplysningerne) (C-154/21, EU:C:2023:3, præmis 49). Som Domstolen har fremhævet, påhviler det den dataansvarlige at godtgøre, at en anmodning om aktindsigt som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, er åbenbart grundløs eller overdreven.
43 –      Jf. i denne forbindelse Den Europæiske Unions Agentur for Grundlæggende Rettigheder (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxembourg, 11.6.2024, s. 21, der beskriver de ressourcer, som tilsynsmyndighederne har rådet over i årenes løb, som »generelt utilstrækkelige«. Efter Kommissionens første evaluering af anvendelsen af databeskyttelsesforordningen vedtog Europa-Parlamentet en beslutning, hvori medlemsstaterne opfordres til at opfylde deres forpligtelse i henhold til databeskyttelsesforordningens
artikel 52, stk. 4, til at udstyre deres tilsynsmyndigheder med tilstrækkelige ressourcer til at udføre deres opgaver på den bedst mulige måde og sikre lige vilkår for anvendelsen af databeskyttelsesforordningen
på EU-plan.