Preliminär utgåva
FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
JEAN RICHARD DE LA TOUR
föredraget den 4 september 2025(1)
Mål C‑414/24
Datenschutzbehörde,
Dr G S
ytterligare deltagare i rättegången:
Bundesministerin für Justiz,
D GmbH
(begäran om förhandsavgörande från Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike))
” Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artiklarna 77 och 79 – Rättsmedel – Parallell användning – Inbördes förhållande mellan klagomål till myndighet och talan i domstol – Medlemsstaternas processuella autonomi – Effektivitetsprincipen ”
I.      Inledning
1.        Förevarande begäran om förhandsavgörande rör tolkningen av artiklarna 77.1 och 79.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).(2)
2.        Begäran har framställts inom ramen för en tvist mellan läkaren GS (nedan kallad GS) och Österreichische Datenschutzbehörde (Dataskyddsmyndigheten, Österrike) (nedan kallad DSB) som rör att DSB avvisade ett klagomål från GS med motiveringen att hon
tidigare hade väckt talan i domstol rörande samma sakfråga.
3.        Det finns en koppling mellan denna begäran om förhandsavgörande och EU-domstolens dom av den 12 januari 2023 i målet Nemzeti Adatvédelmi és Információszabadság Hatóság,(3) där EU-domstolen fann att de rättsmedel som föreskrivs i artiklarna 77.1 och 78.1 respektive artikel 79.1 i dataskyddsförordningen kan användas parallellt och oberoende av varandra. Artikel 77.1 rör rätten att lämna in klagomål till en tillsynsmyndighet(4) och artikel 78.1 rör rätten att överklaga den myndighetens beslut i domstol, medan artikel 79.1 rör rätten att väcka talan i domstol mot en personuppgiftsansvarig eller ett personuppgiftsbiträde.
4.        Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike), som är hänskjutande domstol, önskar att EU-domstolen ska klargöra hur det inbördes förhållandet mellan dessa båda rättsmedel ser ut och i synnerhet slå fast huruvida en tillsynsmyndighet kan avvisa ett klagomål i ett fall där en talan som rör samma sakfråga tidigare har väckts i en domstol och där förfarandet vid den domstolen pågår eller det avgörande som den domstolen har meddelat i samband med det förfarandet ännu inte har vunnit laga kraft.
5.        Detta är en betydelsefull fråga med tanke på att unionslagstiftaren dels har velat ålägga tillsynsmyndigheterna en särskild omsorgsskyldighet, dels har velat stärka den rätt till ett effektivt domstolsskydd som har stadfästs i artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna.(5)
6.        I detta förslag till avgörande kommer jag att föreslå att EU-domstolen ska slå fast att artiklarna 77.1 och 79.1 i dataskyddsförordningen ska tolkas så, att de utgör hinder för att en tillsynsmyndighet som mottar ett klagomål i enlighet med artikel 77.1 får avvisa det klagomålet med motiveringen att det vid en tidigare tidpunkt med stöd av artikel 79.1 har väckts en talan i en domstol som rör samma sakfråga, om det avgörande som den domstolen har meddelat avseende den talan ännu inte har vunnit laga kraft.
7.        Jag kommer att inleda min bedömning med att erinra om att de rättsmedel som föreskrivs i artiklarna 77.1 och 78.1 respektive artikel 79.1 i dataskyddsförordningen är parallella och oberoende av varandra. Dessutom kommer jag att erinra om att medlemsstaterna är skyldiga att samordna dessa rättsmedel för att undvika motstridiga beslut. Jag kommer därefter att visa att denna samordningsskyldighet inte kan få påverka den parallella och oberoende beskaffenheten hos dataskyddsförordningens rättsmedel på så sätt att en tillsynsmyndighet ges möjlighet att avvisa ett klagomål som den har mottagit i stället för att vilandeförklara ärendet till följd av klagomålet till dess att det domstolsförfarande som har inletts i enlighet med artikel 79.1 i dataskyddsförordningen slutgiltigt har avslutats.
II.    Tillämpliga bestämmelser
A.      Unionsrätt
8.        Artikel 17 i dataskyddsförordningen har rubriken ”Rätt till radering (’rätten att bli bortglömd’)”. I punkt 1 d i den artikeln föreskrivs följande:
”Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:
…
d)      Personuppgifterna har behandlats på olagligt sätt.”
9.        Kapitel VI i dataskyddsförordningen har rubriken ”Oberoende tillsynsmyndigheter”. Avsnitt 1 i det kapitlet, som rör de aktuella myndigheternas ”[o]beroende ställning”, omfattar artiklarna 51–54. I artikel 51.1 stadgas följande:
”Varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling samt att underlätta det fria flödet av sådana uppgifter inom unionen …”
10.      Artikel 52.1 i dataskyddsförordningen har följande lydelse:
”Varje tillsynsmyndighet ska vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning.”
11.      Avsnitt 2 i kapitel VI i dataskyddsförordningen har rubriken ”Behörighet, uppgifter och befogenheter” och omfattar artiklarna 55–59. I artikel 57.1 a och f stadgas följande:
”Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:
a)      Övervaka och verkställa tillämpningen av denna förordning.
…
f)      Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet.”
12.      I artikel 58.4 i dataskyddsförordningen föreskrivs följande:
”Utövandet av de befogenheter som tillsynsmyndigheten tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med stadgan.”
13.      I artikel 77 i dataskyddsförordningen, vars rubrik lyder ”Rätt att lämna in klagomål till en tillsynsmyndighet”, stadgas följande:
”1.      Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.
2.      Den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78.”
14.      Artikel 78 i dataskyddsförordningen har rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut”. Punkt 1 i den artikeln har följande lydelse:
”Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.”
15.      Artikel 79 i dataskyddsförordningen har rubriken ”Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde”. I punkt 1 i den artikeln föreskrivs följande:
”Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.”
16.      Artikel 81 i dataskyddsförordningen har rubriken ”Vilandeförklaring av förfaranden”. I punkterna 2 och 3 i den artikeln stadgas följande:
”2.      Om förfaranden som rör samma sakfråga vad gäller behandling av samma personuppgiftsansvarige eller personuppgiftsbiträde pågår i en domstol i en annan medlemsstat får alla andra behöriga domstolar än den där förfarandena först inleddes vilandeförklara sina förfaranden.
3.      Om dessa förfaranden prövas i första instans får varje domstol, utom den vid vilken förfarandena först inleddes, också förklara sig obehörig på begäran av en av parterna, om den domstol vid vilken förfarandena först inleddes är behörig att pröva de berörda förfarandena och dess lagstiftning tillåter förening av dessa.”
B.      Österrikisk rätt
17.      Artikel 94.1 i Bundes-Verfassungsgesetz (den federala grundlagen) har följande lydelse:
”Rättsväsendet är i alla instanser skilt från förvaltningen.”
18.      I 24 § (”Klagomål till dataskyddsmyndigheten”) Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (förbundslag om skydd för enskilda personer med avseende på behandling av personuppgifter)(6) av den 17 augusti 1999, i den lydelse som är tillämplig på omständigheterna i det nationella målet, föreskrivs följande i punkterna 1 och 4:
”1)      Varje registrerad ska ha rätt att lämna in ett klagomål till dataskyddsmyndigheten om han eller hon anser att behandlingen av personuppgifter som rör honom eller henne utgör en överträdelse av dataskyddsförordningen …
…
4)      Rätten att få ett klagomål prövat upphör om den klagande inte lämnar in klagomålet inom ett år från den dag då han eller hon fick kännedom om den händelse som klagomålet gäller, och under alla omständigheter senast tre år efter den dag då den påstådda händelsen ska ha ägt rum. Klagomål som inges för sent ska avvisas.”
III. Bakgrund till det nationella målet och tolkningsfrågor
19.      Den 3 juli 2017, innan dataskyddsförordningen hade trätt i kraft, begärde(7) GS att D GmbH, ett bolag som driver en online-plattform för sökning av läkare där tredje man kan lägga in omdömen och berättelser om läkare, skulle radera vissa personuppgifter. Begäran om radering av uppgifter avslogs genom skrivelse av den 10 juli 2017.
20.      I november 2017 väckte GS talan mot D i civilrättslig domstol, varvid hon bland annat gjorde gällande att rätten till dataskydd hade åsidosatts och yrkade att de personuppgifter om henne som D hade offentliggjort skulle raderas samt att D skulle förbjudas att på nytt behandla dessa uppgifter.
21.      Den 22 juni 2018, då dataskyddsförordningen hade trätt i kraft, vände sig GS på nytt till D för att få sina personuppgifter på D:s plattform raderade. Även denna begäran avslogs, genom skrivelse av den 6 juli 2018.
22.      Då lämnade GS den 26 juli 2018 in ett klagomål till DSB med stöd av artikel 77 i dataskyddsförordningen och hänvisade bland annat till artikel 17 i den förordningen, där rätten till radering stadfästs. I sitt klagomål yrkade GS att DSB skulle fastställa att hennes rättigheter hade kränkts och förelägga D att ta bort alla uppgifterna från sin plattform samt avstå från att behandla dem på nytt.
23.      Genom beslut av den 4 januari 2019 avvisade DSB denna begäran med motiveringen att klagomålet och den civilrättsliga talan som hade väckts i november 2017 rörde samma sakfråga, det vill säga radering av personuppgifter om GS från D:s plattform. Enligt DSB var det ur ett systemperspektiv oförenligt med dataskyddsförordningens rättsskyddsmekanism att med avseende på en och samma sakfråga samtidigt eller i tur och ordning lämna in ett klagomål till en tillsynsmyndighet och väcka talan i domstol.
24.      Genom dom av den 4 december 2020 ogillade Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) den talan som GS hade väckt mot DSB:s beslut. Innan dess hade den talan som GS i november 2017 hade väckt i civilrättslig domstol ogillats, genom dom av den 23 juli 2020. Den domen hade den 4 december 2020 ännu inte vunnit laga kraft.
25.      I sin dom påpekade Bundesverwaltungsgericht att det genom dataskyddsförordningen avsiktligt hade införts ett dubbelt rättsligt skydd, varför DSB principiellt måste anses ha behörighet att pröva det aktuella klagomålet. Däremot gjorde Bundesverwaltungsgericht bedömningen att den ettåriga preklusionsfristen enligt 24 § fjärde stycket dataskyddslagen hade löpt ut. Eftersom GS den 3 juli 2017 hade haft kännedom om att D hade offentliggjort personuppgifter om henne och eftersom det inte hade hävdats att någon väsentlig ytterligare sakomständighet skulle ha tillkommit under förfarandets gång, hade GS redan förlorat sin rätt att få klagomålet enligt artikel 77 i dataskyddsförordningen prövat när hon lämnade in detta klagomål den 26 juli 2018. Det förändrade rättsläget, alltså dataskyddsförordningens ikraftträdande, hade inte avbrutit preklusionsfristen Eftersom ett klagomål enligt artikel 77 i dataskyddsförordningen som lämnas in för sent ska avvisas, fann Bundesverwaltungsgericht därför att GS:s klagomål hade avvisats på goda grunder.
26.      Både GS och DSB överklagade domen till Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike).
27.      Verwaltungsgerichtshof delar inte Bundesverwaltungsgerichts uppfattning att GS:s klagomålsrätt skulle ha varit prekluderad. Att GS för första gången utnyttjade rätten till radering enligt artikel 17.1 i dataskyddsförordningen den 22 juni 2018, efter den förordningens ikraftträdande, medför nämligen enligt den hänskjutande domstolen att fristen enligt 24 § fjärde stycket dataskyddslagen inte började löpa förrän GS fick kännedom om D:s e‑postmeddelande av den 6 juli 2018 där bolaget meddelade att det inte hade för avsikt att efterkomma hennes begäran om radering. Således anser den hänskjutande domstolen att Bundesverwaltungsgerichts domskäl inte kan motivera DSB:s avvisning av det klagomål som GS hade lämnat in med stöd av artikel 77.1 i dataskyddsförordningen.
28.      Däremot tar Verwaltungsgerichtshof upp frågan huruvida det kan ha funnits andra lagliga grunder för att avvisa det klagomålet. Efter att ha erinrat om vad EU-domstolen uttalade i domen Nemzeti Adatvédelmi és Információszabadság Hatóság och i sin dom av den 7 december 2023 i målet SCHUFA Holding (Skuldsanering),(8) diskuterar den hänskjutande domstolen bland annat den grund som DSB har gjort gällande, nämligen förekomsten av ett pågående domstolsförfarande som rör samma sakfråga. I artikel 94.1 i den österrikiska federala grundlagen stadgas att rättsväsendet i alla instanser ska vara skilt från förvaltningen. Den hänskjutande domstolen har förklarat att den artikeln stadfäster en princip om åtskillnad mellan rättsväsendet och förvaltningen som innebär att ett visst ärende i sin helhet ska hanteras antingen av domstolarna eller av förvaltningsmyndigheterna. Den artikeln utgör således hinder för att domstolar och förvaltningsmyndigheter samtidigt eller i tur och ordning meddelar avgöranden i en och samma sakfråga.(9)
29.      Till att börja med undrar den hänskjutande domstolen huruvida ett klagomål som i enlighet med artikel 77 i dataskyddsförordningen har lämnats till den nationella tillsynsmyndigheten får avvisas med hänvisning till att det såvitt avser samma sakfråga redan har utnyttjats ett effektivt rättsmedel i den mening som avses i artikel 79 i samma förordning genom att talan har väckts i en domstol, varvid det aktuella målet fortfarande pågår i den domstolen.
30.      Den hänskjutande domstolen erinrar om att EU-domstolen i domen Nemzeti Adatvédelmi és Információszabadság Hatóság fann att artiklarna 77–79 i dataskyddsförordningen tillåter att de rättsmedel som föreskrivs i å ena sidan artiklarna 77.1 och 78.1 och å andra sidan artikel 79.1 används parallellt och oberoende av varandra, varvid det i överensstämmelse med principen om processuell autonomi ankommer på medlemsstaterna att fastställa närmare regler för det inbördes förhållandet mellan dessa rättsmedel för att säkerställa ett effektivt skydd av de rättigheter som garanteras genom förordningen, en konsekvent och enhetlig tillämpning av bestämmelserna i förordningen och rätten till ett effektivt rättsmedel inför en domstol i den mening som avses i artikel 47 i stadgan.
31.      Enligt den hänskjutande domstolen vore det, för att undvika förekomsten av motstridiga beslut, vilket skulle ”äventyra syftet att säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd för fysiska personers grundläggande fri- och rättigheter med avseende på behandling av personuppgifter i hela unionen”,(10) tänkbart att i linje med artikel 81.2 och 81.3 i dataskyddsförordningen låta situationer där en och samma tvist prövas både av en civilrättslig domstol och av en förvaltningsmyndighet lösas genom en skyldighet för det organ där förfarandet inleddes sist att avvisa ansökan.
32.      Den hänskjutande domstolen anser att den aktuella nationella ordningen visserligen inte helt sammanfaller med de mekanismer som föreskrivs i dataskyddsförordningen för situationer där flera medlemsstater berörs men att det ändå förefaller rimligt att anse nämnda ordning som tillåten mot bakgrund av det ovannämnda syftet.
33.      Därutöver påpekar den hänskjutande domstolen att den princip om ett effektivt domstolsskydd som EU-domstolen har hänvisat till visserligen i första hand avser situationen för registrerade som berörs av en personuppgiftsbehandling och utnyttjar ett rättsmedel, men att det är rimligt att även den personuppgiftsansvarige i egenskap av svarande tillerkänns en rätt till ett effektivt förfarande, och den rätten kan påverkas av att två parallella förfaranden kan föranleda en icke försumbar börda, bland annat i form av kostnaderna för rättsliga ombud i båda förfarandena.
34.      Den omständigheten att ett mål pågår i en domstol, vid vilken talan har väckts i enlighet med artikel 79 i dataskyddsförordningen, utgör alltså enligt den hänskjutande domstolen i sig hinder för att samma sakfråga ska kunna prövas på ett giltigt sätt av tillsynsmyndigheten, när denna utför sina uppgifter enligt artikel 77 i förordningen, om klagomålet inkom till den efter det att talan hade väckts i den berörda domstolen.
35.      Den hänskjutande domstolen noterar emellertid också att om ett klagomål ingivet med stöd av artikel 77 i dataskyddsförordningen avvisas enbart av det skälet att ett mål pågår i domstol, föreligger det vid den tidpunkt då klagomålet avvisas ännu inte något avgörande i sakfrågan rörande det påstådda åsidosättandet av personuppgiftsskyddet, varför det således ännu inte föreligger någon risk för motstridiga beslut.
36.      Vidare önskar den hänskjutande domstolen, för den händelse att dess första fråga besvaras nekande, få klarhet i huruvida ett klagomål som med stöd av artikel 77 i dataskyddsförordningen har lämnats till tillsynsmyndigheten får avvisas med hänvisning till att det redan har meddelats ett domstolsavgörande i sak i ett mål där talan har väckts med stöd av artikel 79 i dataskyddsförordningen.
37.      Enligt den hänskjutande domstolen beaktas syftet att undvika motstridiga beslut om ett klagomål som inkommer till tillsynsmyndigheten efter det att ett avgörande i sak har meddelats i domstolsförfarandet ska avvisas med hänvisning till prioritetsprincipen. Om det avgörande som hänvisas till inte har vunnit laga kraft, är det emellertid möjligt att anse att den registrerade ännu inte kan vara säker på det avgörandets existens.
38.      Mot bakgrund av ovanstående har Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike) beslutat att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:
”1)      Ska artiklarna 77 och 79 i [dataskyddsförordningen], mot bakgrund av EU-domstolens resonemang i [domen Nemzeti Adatvédelmi és Információszabadság Hatóság] och [domen SCHUFA Holding], tolkas så, att den möjlighet som föreskrivs i nationell rätt att avvisa ett klagomål som ingetts till en tillsynsmyndighet med stöd av artikel 77 i dataskyddsförordningen, på grund av att talan rörande samma sakfråga redan har väckts i enlighet med artikel 79 i dataskyddsförordningen och är anhängig vid domstol, utgör en tillåten reglering av det inbördes förhållandet mellan dessa rättsmedel (i överensstämmelse med nämnda praxis från EU-domstolen)?
2)      Om den första frågan besvaras nekande: Ska artiklarna 77 och 79 i [dataskyddsförordningen], mot bakgrund av EU-domstolens resonemang i [domen Nemzeti Adatvédelmi és Információszabadság Hatóság] och [domen SCHUFA Holding], tolkas så, att den möjlighet som föreskrivs i nationell rätt att avvisa ett klagomål som ingetts till en tillsynsmyndighet med stöd av artikel 77 i dataskyddsförordningen, på grund av att ett avgörande i sak rörande samma sakfråga redan har meddelats (även om detta ännu inte har vunnit laga kraft) i ett anhängigt förfarande avseende det rättsmedel som föreskrivs i artikel 79 i dataskyddsförordningen, utgör en tillåten reglering av det inbördes förhållandet mellan dessa rättsmedel (i överensstämmelse med nämnda praxis från EU-domstolen)?”
39.      GS, D, DSB, den österrikiska, den italienska och den ungerska regeringen och Europeiska kommissionen har ingett skriftliga yttranden.
IV.    Bedömning
40.      Den hänskjutande domstolen vill, för att kunna avgöra det mål som den har att pröva, få klarlägganden från EU-domstolen om det inbördes förhållandet mellan å ena sidan ett klagomål inlämnat till en tillsynsmyndighet med stöd av artikel 77.1 i dataskyddsförordningen och å andra sidan en talan väckt i domstol med stöd av artikel 79.1 i den förordningen.
41.      Närmare bestämt har den hänskjutande domstolen genom sina tolkningsfrågor – som jag avser att pröva tillsammans – i allt väsentligt uppmanat EU-domstolen att slå fast huruvida en tillsynsmyndighet som mottar ett klagomål ingivet med stöd av artikel 77.1 i dataskyddsförordningen får avvisa det klagomålet med motiveringen att det vid en tidigare tidpunkt med stöd av artikel 79.1 i den förordningen har väckts en talan i en domstol som rör samma sakfråga (första tolkningsfrågan), om det avgörande som den domstolen har meddelat avseende den talan ännu inte har vunnit laga kraft (andra tolkningsfrågan).
42.      Jag anser att båda tolkningsfrågorna ska besvaras nekande. För övrigt noterar jag att både den österrikiska regeringen och tillsynsmyndigheten DSB delar den åsikten, trots att DSB alltså avvisade klagomålet från GS.
43.      Inledningsvis finner jag för gott att erinra om att kapitel VIII i dataskyddsförordningen bland annat reglerar de rättsmedel som ska göra det möjligt att skydda registrerades rättigheter när personuppgifter avseende dem påstås ha behandlats på ett sätt som strider mot den förordningens bestämmelser. Skyddet av dessa rättigheter kan göras gällande antingen direkt av den registrerade (enligt artiklarna 77–79 i förordningen) eller av ett bemyndigat organ, med eller utan uppdrag från den registrerade (enligt artikel 80 i förordningen).(11)
44.      Vid tolkningen av en unionsbestämmelse ska inte endast lydelsen beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelsen ingår i.(12) Detta är väsentligt för att den hänskjutande domstolen ska kunna ges klarhet i huruvida det är att betrakta som en tillåten reglering av det inbördes förhållandet mellan klagomål enligt artikel 77.1 i dataskyddsförordningen och talan i domstol enligt artikel 79.1 i samma förordning att tillsynsmyndigheten får avvisa ett sådant klagomål med motiveringen att en sådan talan avseende samma sakfråga redan har väckts i en domstol, trots att det avgörande som den domstolen har meddelat avseende den talan ännu inte har vunnit laga kraft.
45.      Såvitt avser lydelsen av de relevanta bestämmelserna i dataskyddsförordningen stadgas till att börja med i artikel 77.1 att en registrerad har rätt att lämna in ett klagomål till en tillsynsmyndighet ”[u]tan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel”. Enligt artikel 78.1 har vidare varje fysisk eller juridisk person rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande personen som har meddelats av en tillsynsmyndighet ”[u]tan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol”. Slutligen garanterar artikel 79.1 varje registrerad rätten till ett effektivt rättsmedel ”[u]tan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77”.
46.      Enligt EU-domstolen erbjuder dessa bestämmelser i dataskyddsförordningen olika rättsmedel för personer som gör gällande att den förordningen har åsidosatts, varvid vart och ett av dessa rättsmedel ska kunna användas ”utan att det påverkar” övriga rättsmedel.(13) Detta betyder att det i dataskyddsförordningen inte föreskrivs någon prioriterad eller exklusiv behörighet eller någon regel om företräde för den bedömning som har gjorts av den myndighet eller de domstolar som avses i förordningen av huruvida de rättigheter som följer av nämnda förordning har åsidosatts.(14) Annorlunda uttryckt har unionslagstiftaren önskat ge de registrerade tillgång till ett fullständigt system av rättsmedel där rätten att väcka talan i domstol och möjligheten att få till stånd ett administrativt prövningsförfarande eller ett prövningsförfarande utanför domstol samexisterar oberoende av varandra och där ingendera är underordnad den andra.
47.      Det rättsmedel som avses i artikel 78.1 i dataskyddsförordningen, vars syfte är att pröva lagenligheten av ett beslut som har fattats av en tillsynsmyndighet med stöd av artikel 77 i den förordningen, och det rättsmedel som föreskrivs i artikel 79.1 i förordningen kan således utövas parallellt och oberoende av varandra.(15) Detsamma gäller för klagomål som lämnas till tillsynsmyndigheter i enlighet med artikel 77.1 i förordningen.
48.      Den bedömningen får stöd i sammanhanget för de relevanta bestämmelserna i dataskyddsförordningen(16) liksom i de mål som eftersträvas med den förordningen. Bland annat framgår det av skäl 10 i förordningen att denna syftar till att säkerställa en hög skyddsnivå för enskilda personer med avseende på behandling av personuppgifter inom unionen. I skäl 11 i samma förordning anges dessutom att ett effektivt skydd av personuppgifter förutsätter att de registrerades rättigheter förstärks. Unionslagstiftarens val att ge de registrerade en möjlighet att parallellt utnyttja, oberoende av varandra, de rättsmedel som föreskrivs dels i artikel 77.1 och artikel 78.1, dels i artikel 79.1 ligger således i linje med förordningens syfte.(17) Utöver detta har EU-domstolen även framhållit att tillgången till flera olika rättsmedel också stärker det syfte som anges i skäl 141 i dataskyddsförordningen, nämligen att garantera varje registrerad som anser att hans eller hennes rättigheter enligt den förordningen har kränkts rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan.(18) Jag vill tillägga att denna tolkning även får stöd i den lagstiftningsprocess som ledde fram till antagandet av dataskyddsförordningen. Vid ett möte i Europeiska unionens råd förklarade nämligen Republiken Österrike sin vägran att rösta för förordningen bland annat med att det föreskrevs parallella rättsmedel i denna.(19) Trots detta behölls alltså de parallella rättsmedlen i den slutliga versionen av förordningen.
49.      Mot bakgrund av vad EU-domstolen enligt ovan fann i domen Nemzeti Adatvédelmi és Információszabadság Hatóság anser jag att möjligheten enligt dataskyddsförordningen för registrerade att med användning av olika rättsmedel inleda parallella processer rörande en och samma behandling av personuppgifter skulle undergrävas om en tillsynsmyndighet som mottog ett klagomål ingivet med stöd av artikel 77.1 i den förordningen fick avvisa det klagomålet med motiveringen att det vid en tidigare tidpunkt med stöd av artikel 79.1 i den förordningen hade väckts en talan i en domstol som rörde samma sakfråga, om det avgörande som den domstolen hade meddelat avseende den talan ännu inte hade vunnit laga kraft.
50.      Jag påpekade visserligen i mitt förslag till avgörande i målet Nemzeti Adatvédelmi és Információszabadság Hatóság att den ovannämnda möjligheten kan ha en nackdel, nämligen den rättsosäkerhet som uppkomsten av motstridiga beslut inom en och samma medlemsstat kan ge upphov till. Unionslagstiftaren har i dataskyddsförordningen beaktat risken för att tillsynsmyndigheter eller domstolar i olika medlemsstater ska fatta inbördes motstridiga beslut men har däremot inte tagit hänsyn till fallet där motstridiga beslut antas i en och samma medlemsstat.(20) Under dessa omständigheter ankommer det på varje medlemsstat att införa processuella verktyg för att undvika att motstridiga beslut antas avseende en och samma personuppgiftsbehandling.(21)
51.      I det mål som avgjordes genom domen Nemzeti Adatvédelmi és Információszabadság Hatóság hade EU-domstolen att uttala sig om en situation där en domstol som skulle pröva ett överklagande ingivet med stöd av artikel 78.1 i dataskyddsförordningen kunde tänkas komma att meddela ett avgörande som var oförenligt med ett lagakraftvunnet avgörande som tidigare hade meddelats av en domstol som hade prövat en talan väckt med stöd av artikel 79.1 i samma förordning.
52.      EU-domstolen framhöll till att börja med att förekomsten av två motstridiga beslut i ett sådant fall skulle äventyra det i skäl 10 i dataskyddsförordningen angivna syftet att säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd för fysiska personers grundläggande fri- och rättigheter med avseende på behandling av personuppgifter i hela unionen.(22) Det skydd som ges enligt ett avgörande som har meddelats med anledning av en talan enligt artikel 79.1 i förordningen, i vilket det fastställs att bestämmelserna i förordningen har åsidosatts, skulle nämligen enligt EU-domstolen inte vara i överensstämmelse med ett andra domstolsavgörande som följde av en talan väckt med stöd av artikel 78.1 i samma förordning där den motsatta bedömningen gjordes.(23) Vidare underströk EU-domstolen att skyddet för enskilda personer med avseende på behandling av personuppgifter som rör dem skulle försvagas, eftersom en sådan inkonsekvens skulle skapa rättsosäkerhet.(24)
53.      Det är således viktigt att medlemsstaterna ser till att förekomsten av rättsmedel som de registrerade kan utnyttja parallellt inte undergräver det verkningsfulla i skyddet för de rättigheter som dataskyddsförordningen ger de registrerade. Det ankommer på medlemsstaterna att välja de processuella mekanismer som de anser vara bäst lämpade för att få till stånd ett harmoniskt inbördes förhållande mellan de rättsmedel som föreskrivs i artiklarna 77–79 i den förordningen.
54.      I detta hänseende har EU-domstolen funnit att det i avsaknad av unionsbestämmelser på området ankommer, i enlighet med principen om medlemsstaternas processuella autonomi, på varje medlemsstat att fastställa de regler för det administrativa förfarandet och domstolsförfarandet som syftar till att säkerställa en hög skyddsnivå för de rättigheter som enskilda har till följd av unionsrätten.(25) Reglerna för användningen av de parallella och av varandra oberoende rättsmedlen får emellertid inte äventyra den ändamålsenliga verkan av de rättigheter som garanteras genom dataskyddsförordningen eller det effektiva skyddet av dessa rättigheter.(26) Därför får dessa regler inte vara mindre förmånliga än reglerna för liknande fall av talan som syftar till att skydda rättigheter som följer av den nationella rättsordningen (likvärdighetsprincipen), och de får inte heller medföra att det i praktiken blir omöjligt eller orimligt svårt att utöva rättigheter som följer av unionens rättsordning (effektivitetsprincipen).(27) Utöver detta har EU-domstolen också framhållit att medlemsstaterna måste försäkra sig om att de konkreta formerna för användningen av de rättsmedel som föreskrivs i artiklarna 77.1, 78.1 och 79.1 i dataskyddsförordningen faktiskt uppfyller de krav som följer av den i artikel 47 i stadgan stadfästa rätten till ett effektivt rättsmedel.(28)
55.      I mitt förslag till avgörande i målet Nemzeti Adatvédelmi és Információszabadság Hatóság(29) angav jag bland annat att medlemsstaterna skulle kunna föreskriva att om det väcks en talan med stöd av artikel 79.1 i dataskyddsförordningen medan ett klagomålsförfarande enligt artikel 77.1 i den förordningen eller en domstolsprövning enligt artikel 78.1 i den förordningen pågår, ska den domstol där denna talan väcks ha möjlighet eller skyldighet att vilandeförklara målet avseende denna talan till dess att ett avgörande har meddelats i det pågående ärendet eller målet.(30) Jag påpekade också att vilandeförklaring av ett mål enligt min åsikt kan utgöra en lösning för att förhindra att motstridiga beslut antas i strid med rättssäkerhetsprincipen.(31)
56.      Den lösningen förefaller mig synnerligen lämplig i det nu aktuella sammanhanget. En tillsynsmyndighet som mottar ett klagomål enligt artikel 77.1 i dataskyddsförordningen borde alltså få vilandeförklara ärendet till följd av det klagomålet om det vid en tidigare tidpunkt med stöd av artikel 79.1 i den förordningen har väckts en talan i en domstol som rör samma sakfråga och det avgörande som den domstolen har meddelat avseende den talan ännu inte har vunnit laga kraft.
57.      Att i ett sådant sammanhang avvisa klagomålet förefaller mig däremot strida mot effektivitetsprincipen, eftersom detta avspeglar ett inbördes förhållande mellan de aktuella rättsmedlen som kan äventyra det effektiva skyddet av de rättigheter som garanteras genom dataskyddsförordningen. En sådan avvisning förefaller mig i själva verket strida mot själva principen om ett fullständigt system av rättsmedel som kan utnyttjas parallellt och oberoende av varandra. Till yttermera visso är avvisning av ett klagomål inte nödvändigtvis en lämplig åtgärd för att undvika att det fattas inbördes motstridiga beslut.
58.      Därvidlag ska det framhållas att om en tillsynsmyndighet avvisar ett klagomål med motiveringen att en talan väckt med stöd av artikel 79.1 i dataskyddsförordningen fortfarande är under prövning, kan myndigheten ännu inte vara säker på att det kommer att meddelas ett avgörande i sak rörande den aktuella talan. Det är nämligen tänkbart att talan kan komma att avvisas av processuella skäl, exempelvis med hänvisning till ett rättegångshinder, utan att prövas i sak.
59.      Även när en sådan talan faktiskt har föranlett ett avgörande i sak, såsom i det nu aktuella fallet, kan det avgörandet komma att angripas med användning av nationella rättsmedel. Därför anser jag – i motsats till den åsikt som kommissionen förefaller ge uttryck för i sitt yttrande(32) – att det är väsentligt huruvida domstolsavgörandet har vunnit laga kraft. Enligt min uppfattning kan en tillsynsmyndighet inte avvisa ett klagomål med motiveringen att en talan väckt med stöd av artikel 79.1 i dataskyddsförordningen har utmynnat i ett avgörande, så länge det avgörandet inte har vunnit laga kraft och således inte längre kan angripas.
60.      Sammanfattningsvis anser jag att så länge motstridigheten mellan det beslut som kan komma att fattas av en tillsynsmyndighet som har mottagit ett klagomål med stöd av artikel 77.1 i dataskyddsförordningen och det ännu inte lagakraftvunna avgörande som har meddelats av en domstol vid vilken talan har väckts med stöd av artikel 79.1 i den förordningen är en motstridighet av rent hypotetisk beskaffenhet, kan myndigheten inte avvisa klagomålet med hänvisning till risken för motstridighet.
61.      Till stöd för den tolkningen finner jag det lämpligt att framhålla att den i artikel 77.1 i dataskyddsförordningen föreskrivna rätten att lämna klagomål till en tillsynsmyndighet är mycket betydelsefull för möjligheterna att garantera ett verkningsfullt skydd för rättigheterna enligt den förordningen. Till grund för detta skydd ligger nämligen i synnerhet de vidsträckta befogenheter som förordningen ger tillsynsmyndigheterna när det gäller att pröva huruvida det föreligger en rättsstridig behandling av en registrerads personuppgifter och att vidta lämpliga åtgärder för att avhjälpa en sådan omständighet.
62.      I detta sammanhang vill jag påpeka att artikel 51.1 i dataskyddsförordningen ålägger medlemsstaterna att ge en eller flera oberoende offentliga myndigheter ansvar för att övervaka tillämpningen av den förordningen. Inrättandet av sådana myndigheter, vilket även föreskrivs i unionens primärrätt, närmare bestämt i artikel 8.3 i stadgan och artikel 16.2 FEUF, utgör en väsentlig del av iakttagandet av skyddet för enskilda personer med avseende på behandling av personuppgifter.(33) Dessa myndigheter har enligt artikel 51.1 och 51.2 samt artikel 57.1 a och g i dataskyddsförordningen till huvuduppgift att övervaka tillämpningen av den förordningen och se till att den efterlevs, samtidigt som de ska bidra till en enhetlig tillämpning av förordningen i unionen, i syfte dels att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av deras personuppgifter, dels att underlätta det fria flödet av sådana uppgifter inom unionen.(34)
63.      I synnerhet är varje tillsynsmyndighet enligt artikel 57.1 f i dataskyddsförordningen skyldig att inom sitt territorium behandla klagomål som var och en enligt artikel 77.1 i förordningen har rätt att inge när vederbörande anser att en behandling av personuppgifter som rör honom eller henne utgör ett åsidosättande av den förordningen samt att där så är lämpligt undersöka den sakfråga som klagomålet gäller. Tillsynsmyndigheten ska utreda sådana klagomål med vederbörlig omsorg.(35) I detta hänseende har EU-domstolen framhållit att det visserligen ankommer på tillsynsmyndigheten att välja en lämplig och nödvändig åtgärd, och att myndigheten ska göra detta val med beaktande av samtliga omständigheter i samband med den aktuella behandlingen av personuppgifter, men att myndigheten icke desto mindre är skyldig att med erforderlig omsorg fullgöra sitt uppdrag att tillse att dataskyddsförordningen iakttas fullt ut.(36)
64.      För att kunna övervaka tillämpningen av dataskyddsförordningen och se till att den efterlevs har tillsynsmyndigheterna olika befogenheter, vilka de tilldelas genom artikel 58 i förordningen. I kraft av artikel 58.1 har de exempelvis betydande utredningsbefogenheter. När en tillsynsmyndighet efter att ha avslutat sin utredning konstaterar att bestämmelserna i förordningen har åsidosatts, är den skyldig att vidta lämpliga åtgärder för att avhjälpa den konstaterade bristen. De olika korrigerande åtgärder som en tillsynsmyndighet kan vidta i detta sammanhang räknas upp i artikel 58.2 i förordningen.(37)
65.      Utifrån detta har EU-domstolen dragit slutsatsen att klagomålsförfarandet, som inte liknar ett förfarande för ingivande av framställningar, är tänkt att vara en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen.(38) Mot bakgrund av detta är en tillsynsmyndighet skyldig att agera när antagandet av en eller flera av de korrigerande åtgärder som föreskrivs i artikel 58.2 i dataskyddsförordningen, med beaktande av alla omständigheter i det enskilda fallet, är lämpligt, nödvändigt och proportionellt för att avhjälpa den konstaterade bristen och säkerställa full efterlevnad av den förordningen.(39)
66.      Som jag ser saken, vore det oförenligt både med det syftet och med tillsynsmyndigheternas omsorgsskyldighet att redan inledningsvis frånta registrerade möjligheten att utnyttja den mekanismen genom att tillåta en tillsynsmyndighet att avvisa ett klagomål från en registrerad med motiveringen att det vid en tidigare tidpunkt med stöd av artikel 79.1 i dataskyddsförordningen har väckts en talan i en domstol som rör samma sakfråga, om det avgörande som den domstolen har meddelat avseende den talan ännu inte har vunnit laga kraft. Att vilandeförklara ärendet till följd av ett sådant klagomål i väntan på ett lagakraftvunnet domstolsavgörande förefaller mig däremot vara förenligt både med kravet på att säkerställa ett effektivt skydd av de rättigheter som garanteras genom dataskyddsförordningen och med kravet på att undvika inbördes motstridiga beslut i en och samma medlemsstat.
67.      Att ett klagomål som en registrerad med stöd av artikel 77.1 i dataskyddsförordningen har lämnat till tillsynsmyndigheten blir avvisat på den ovannämnda grunden hindrar visserligen inte nödvändigtvis den registrerade från att lämna ett nytt klagomål till myndigheten efter det att det aktuella domstolsförfarandet slutgiltigt har avslutats av processuella skäl eller om han eller hon frånfaller sin talan.
68.      Att inge ett nytt klagomål kan emellertid visa sig vara omöjligt om det, som i Österrike, i nationell rätt finns en frist för när klagomål kan upptas till sakprövning och den fristen har löpt ut. Då kan det tänkas att en registrerad står helt utan effektivt skydd om den berörda domstolen avvisar hans eller hennes talan av processuella skäl utan att meddela något avgörande i sakfrågan eller om han eller hon önskar frånfalla sin talan.
69.      Mer generellt är dessutom en sådan lösning, som innebär att det är den registrerades ansvar att på nytt hänvända sig till tillsynsmyndigheten efter att inledningsvis ha fått sitt klagomål avvisat, enligt min åsikt oförenlig med den myndighetens omsorgsskyldighet. Den skyldigheten innebär ju, som jag har framhållit tidigare, att myndigheten ska utreda de klagomål som den mottar med vederbörlig omsorg. I synnerhet medför denna skyldighet att om en tillsynsmyndighet mottar ett klagomål och får kännedom om att det pågår ett domstolsförfarande som har inletts i enlighet med artikel 79.1 i dataskyddsförordningen och rör samma sakfråga, ska myndigheten vid sin prövning av det klagomålet vara uppmärksam på det avgörande varigenom det domstolsförfarandet slutgiltigt avslutas. I avvaktan på detta bör ärendet till följd av klagomålet vilandeförklaras.
V.      Förslag till avgörande
70.      Mot bakgrund av det ovan anförda sammantaget föreslår jag att EU-domstolen ska besvara tolkningsfrågorna från Verwaltungsgerichtshof (Högsta förvaltningsdomstolen, Österrike) enligt följande:
Artiklarna 77.1 och 79.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)
ska tolkas så,
att de utgör hinder för att en tillsynsmyndighet som mottar ett klagomål i enlighet med artikel 77.1 får avvisa det klagomålet med motiveringen att det vid en tidigare tidpunkt med stöd av artikel 79.1 har väckts en talan i en domstol som rör samma sakfråga, om det avgörande som den domstolen har meddelat avseende den talan ännu inte har vunnit laga kraft.
1      Originalspråk: franska.
2      EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2 (nedan kallad dataskyddsförordningen).
3      C‑132/21, EU:C:2023:2 (nedan kallad domen Nemzeti Adatvédelmi és Információszabadság Hatóság).
4      En tillsynsmyndighet är enligt artikel 4 led 21 i dataskyddsförordningen ”en oberoende offentlig myndighet som är utsedd av en medlemsstat i enlighet med artikel 51 [i den förordningen]”.
5      Nedan kallad stadgan.
6      BGBl. I, 165/1999 (nedan kallad dataskyddslagen).
7      Begäran grundades på Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).
8      C‑26/22 och C‑64/22, EU:C:2023:958 (nedan kallad domen SCHUFA Holding).
9      Den hänskjutande domstolen hänvisar härvidlag till dom av den 14 oktober 1970 meddelad av Verfassungsgerichtshof (Författningsdomstolen, Österrike) i mål G 20/70.
10      Den hänskjutande domstolen citerar här ur domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 54).
11      Se, bland annat, dom av den 4 oktober 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punkt 47 och där angiven rättspraxis).
12      Se, bland annat, dom av den 4 oktober 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punkt 52 och där angiven rättspraxis).
13      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 34). Se även, såvitt avser möjligheten för en konkurrent till ett företag att väcka talan i allmän domstol mot det företaget med stöd av förbudet mot otillbörliga affärsmetoder på grund av företagets påstådda åsidosättande av skyldigheter enligt dataskyddsförordningen, dom av den 4 oktober 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punkt 53).
14      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 35).
15      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 35 och domslutet), domen SCHUFA Holding (punkt 66) och dom av den 30 april 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 och C‑332/23, EU:C:2025:303, punkt 128).
16      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkterna 36–41).
17      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 42).
18      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 44) och domen SCHUFA Holding (punkt 66). I den sistnämnda domen drog EU-domstolen med ledning av detta slutsatsen att den rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde som föreskrivs i artikel 79.1 i dataskyddsförordningen saknar betydelse för omfattningen av den domstolsprövning som inom ramen för en talan enligt artikel 78.1 i den förordningen ska göras av en tillsynsmyndighets beslut om ett klagomål (punkt 67).
19      Se resultatet av omröstningen om dataskyddsförordningens antagande i rådets dokument 7920/16 av den 14 april 2016, som återfinns på följande internetadress: https://data.consilium.europa.eu/doc/document/ST‑7920–2016-INIT/sv/pdf (s. 7). Samma tolkning har gjorts av Oberster Gerichtshof (Högsta domstolen, Österrike), såsom framgår av dess dom av den 23 maj 2019, 6Ob91/19d (punkt 4.5).
20      Se mitt förslag till avgörande i målet Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punkt 57).
21      Se mitt förslag till avgörande i målet Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punkt 58).
22      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 54).
23      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 55).
24      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 56).
25      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 45).
26      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 47).
27      Se domen Nemzeti Adatvédelmi és Információszabadság Hatóság (punkt 48).
28      Se, bland annat, dom av den 30 april 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 och C‑332/23, EU:C:2025:303, punkt 136 och där angiven rättspraxis).
29      C‑132/21, EU:C:2022:661.
30      Se mitt förslag till avgörande i målet Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punkt 69).
31      Se mitt förslag till avgörande i målet Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punkt 70).
32      Se kommissionens yttrande (punkt 49).
33      Se, bland annat, dom av den 30 april 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 och C‑332/23, EU:C:2025:303, punkt 119 och där angiven rättspraxis).
34      Se, bland annat, dom av den 30 april 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 och C‑332/23, EU:C:2025:303, punkt 120 och där angiven rättspraxis).
35      Se, bland annat, domen SCHUFA Holding (punkt 56 och där angiven rättspraxis) och dom av den 26 september 2024, Land Hessen (Skyldighet för dataskyddsmyndigheten att agera) (C‑768/21, EU:C:2024:785, punkt 32).
36      Se dom av den 16 juli 2020, Facebook Ireland och Schrems (C‑311/18, EU:C:2020:559, punkt 112), och dom av den 26 september 2024, Land Hessen (Skyldighet för dataskyddsmyndigheten att agera) (C‑768/21, EU:C:2024:785, punkt 37). I den sistnämnda domen uttalade EU-domstolen också att tillsynsmyndigheternas utrymme för skönsmässig bedömning begränsas av behovet av att säkerställa en enhetlig och hög skyddsnivå för personuppgifter genom en strikt tillämpning av reglerna, såsom framgår av skälen 7 och 10 i dataskyddsförordningen (punkt 38).
37      Se, bland annat, domen SCHUFA Holding (punkt 57 och där angiven rättspraxis).
38      Se domen SCHUFA Holding (punkt 58).
39      Se dom av den 26 september 2024, Land Hessen (Skyldighet för dataskyddsmyndigheten att agera) (C‑768/21, EU:C:2024:785, punkt 42), och dom av den 30 april 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 och C‑332/23, EU:C:2025:303, punkt 132).