CELEX: 62021CN0683
Language: sv
Date: 2021-11-12 00:00:00
Title: Mål C-683/21: Begäran om förhandsavgörande framställd av Vilniaus apygardos administracinis teismas (Litauen) den 12 november 2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos mot Valstybinė duomenų apsaugos inspekcija

21.2.2022   
            
            
               SV
            
            
               Europeiska unionens officiella tidning
            
            
               C 84/26
            
         
      Begäran om förhandsavgörande framställd av Vilniaus apygardos administracinis teismas (Litauen) den 12 november 2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos mot Valstybinė duomenų apsaugos inspekcija
      (Mål C-683/21)
      (2022/C 84/34)
      Rättegångsspråk: litauiska
      
         Hänskjutande domstol
      
      Vilniaus apygardos administracinis teismas
      
         Parter i det nationella målet
      
      
         Klagande: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
      
         Motpart: Valstybinė duomenų apsaugos inspekcija
      
         Tolkningsfrågor
      
      
                  1.
               
               
                  Kan begreppet ”personuppgiftsansvarig” i artikel 4 led 7 i dataskyddsförordningen (1) tolkas så, att en person som planerar att anskaffa ett verktyg för insamling av uppgifter (mobilapplikation) genom offentlig upphandling även ska anses vara personuppgiftsansvarig, oberoende av att ett offentligt kontrakt inte har ingåtts och att den skapade produkten (mobilapplikation), för vars anskaffning ett offentligt upphandlingsförfarande användes, inte har överlåtits?
               
            
                  2.
               
               
                  Kan begreppet ”personuppgiftsansvarig” i artikel 4 led 7 i dataskyddsförordningen tolkas så, att en upphandlande myndighet, som inte har förvärvat äganderätten till den skapade IT-produkten och inte har tagit den i besittning, även ska anses vara personuppgiftsansvarig när den slutliga versionen av den skapade IT-produkten tillhandahåller länkar eller gränssnitt till denna offentliga enhet och/eller till sekretesspolicyn, vilka inte har godkänts eller erkänts officiellt av den ifrågavarande offentliga enheten, som betecknar den offentliga enheten själv som personuppgiftsansvarig?
               
            
                  3.
               
               
                  Kan begreppet ”personuppgiftsansvarig” i artikel 4 led 7 i dataskyddsförordningen tolkas så, att en person som inte har utfört någon faktisk behandling av personuppgifter i den mening som avses i artikel 4 led 2 i dataskyddsförordningen, och/eller som inte har lämnat något tydligt tillstånd/samtycke till sådana åtgärder, även ska anses vara personuppgiftsansvarig? Är det av betydelse för tolkningen av begreppet ”personuppgiftsansvarig” att den IT-produkt som användes för behandlingen av personuppgifter skapades i enlighet med det av den upphandlande myndigheten formulerade uppdraget?
               
            
                  4.
               
               
                  Om det är relevant för tolkningen av begreppet ”personuppgiftsansvarig” att faktisk behandling av personuppgifter fastställs, ska då definitionen av ”behandling” av personuppgifter i den mening som avses i artikel 4 led 2 i dataskyddsförordningen tolkas så, att den även omfattar situationer där kopior av personuppgifter har använts för att prova IT-systemen i samband med förfarandet för anskaffning av en mobilapplikation?
               
            
                  5.
               
               
                  Kan gemensamt personuppgiftsansvar enligt artikel 4 led 7 och artikel 26.1 i dataskyddsförordningen tolkas så, att det uteslutande innefattar avsiktligt samordnade åtgärder för att bestämma ändamålen och medlen för behandlingen av personuppgifter, eller kan detta begrepp även tolkas så, att gemensamt personuppgiftsansvar även omfattar situationer där det inte finns något tydligt ”arrangemang” beträffande ändamålen och medlen för behandlingen av personuppgifter och/eller åtgärderna inte har samordnats mellan enheterna? Är omständigheter som hänför sig till utvecklingsstadiet för det medel för behandling av personuppgifter (IT-applikation) i vilket personuppgifter behandlades och syftet med att skapa en sådan applikation av rättslig betydelse för tolkningen av begreppet gemensamt personuppgiftsansvar? Kan ett ”arrangemang” mellan gemensamt personuppgiftsansvariga enbart förstås som ett klart och definierat fastställande av villkoren för det gemensamma personuppgiftsansvaret?
               
            
                  6.
               
               
                  Ska artikel 83.1 i dataskyddsförordningen, enligt vilken påförandet av ”administrativa sanktionsavgifter … [ska vara] effektivt, proportionellt och avskräckande”, tolkas så, att den även omfattar fall där den ”personuppgiftsansvarige” påförs ansvar när utvecklaren, i samband med skapandet av en IT-produkt, även utför åtgärder för behandling av personuppgifter, och medför otillbörliga åtgärder för behandling av personuppgifter som utförs av personuppgiftsbiträdet alltid automatiskt ett rättsligt ansvar för den personuppgiftsansvarige? Ska denna bestämmelse tolkas så, att den även innefattar strikt ansvar för den personuppgiftsansvarige?
               
            
         (1)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).