CELEX: 62021CC0154
Language: sv
Date: 2022-06-09
Title: Förslag till avgörande av generaladvokat G. Pitruzzella föredraget den 9 juni 2022.###

Preliminär utgåva
FÖRSLAG  TILL  AVGÖRANDE  AV  GENERALADVOKAT
GIOVANNI  PITRUZZELLA
föredraget  den  9 juni 2022 (1)

Mål C‑154/21

RW

mot

Österreichische  Post  AG

(begäran om  förhandsavgörande  från  Oberster  Gerichtshof  (Högsta domstolen, Österrike))
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 15.1 c – Den registrerades rätt till tillgång – Information om den faktiska mottagaren eller kategorier av mottagare till vilka uppgifterna har lämnats”

1.        När  en  person,  vars  personuppgifter  är  föremål  för  behandling,  vill  få  information  från  den  personuppgiftsansvarige  om  tredje  parter  till  vilka  uppgifterna  lämnas  ut,  måste  personens  rätt  till  tillgång  nödvändigtvis  innebära  att  personen  ska  informeras  om  de  faktiska  mottagarna  av  hans  eller  hennes  personuppgifter,  eller  får  den  personuppgiftsansvarige  begränsa  sig  till  att  lämna  information  om  enbart  de  kategorier  av  mottagare  som  tar  del  av  de  uppgifterna?

2.        Detta  är  i  huvudsak  den  fråga  som  har  ställts  till  EU-domstolen  i  förevarande  begäran  om  förhandsavgörande  från  Oberster  Gerichtshof  (Högsta  domstolen,  Österrike),  som  är  den  hänskjutande  domstolen,  rörande  tolkningen  av  artikel 15.1 c  i  Europaparlamentets  och  rådets  förordning  (EU)  2016/679  av  den  27 april 2016  om  skydd  för  fysiska  personer  med  avseende  på  behandling  av  personuppgifter  och  om  det  fria  flödet  av  sådana  uppgifter  och  om  upphävande  av  direktiv 95/46/EG  (allmän  dataskyddsförordning)(2) (nedan  kallad  dataskyddsförordningen).

3.        Den  hänskjutande  domstolens  fråga  har  uppkommit  inom  ramen  för  en  tvist  mellan  RW,  som  är  en  fysisk  person,  och  Österreichische  Post,  som  är  den  största  operatören  av  post-  och  logistiktjänster  i  Österrike.  Tvisten  handlar  om  att  Österreichische  Post,  till  följd  av  en  begäran  från  RW  om  att  få  tillgång  till  sina  personuppgifter,  inte  har  tillhandahållit  någon  information  om  de  specifika  mottagarna  av  RW:s  personuppgifter.
I.      Tillämpliga bestämmelser

4.        I  artikel 15  i  dataskyddsförordningen,  med  rubriken  ”Den  registrerades  rätt  till  tillgång”,  föreskrivs  följande  i punkt 1  c:
”1.  Den  registrerade  ska  ha  rätt  att  av  den  personuppgiftsansvarige  få  bekräftelse  på  huruvida  personuppgifter  som  rör  honom  eller  henne  håller  på  att  behandlas  och  i  så  fall  få  tillgång  till  personuppgifterna  och  följande  information:
…
c)      De  mottagare  eller  kategorier  av  mottagare  till  vilka  personuppgifterna  har  lämnats  eller  ska  lämnas  ut,  särskilt  mottagare  i  tredjeländer  eller  internationella  organisationer.
…”
II.    Bakgrund, målet vid den nationella domstolen och tolkningsfrågan

5.        RW,  som  är  klagande  vid  den  hänskjutande  domstolen,  kontaktade  Österreichische  Post  den  15 januari 2019  för  att,  i  enlighet  med  artikel 15  i  dataskyddsförordningen,  få  tillgång  till  bland  annat  de  personuppgifter  rörande  honom  som  Österreichische  Post  lagrade  eller  tidigare  hade  lagrat  samt  information  om  vilka  mottagarna  av  personuppgifterna  var,  för  det  fall  att  de  lämnats  ut  till  tredje  part.

6.        Österreichische  Post  uppgav  i  sitt  svar  att  den  använder  personuppgifter  i  den  mån  det  är  rättsligt  tillåtet  i  sitt  uppdrag  som  telefonkatalogutgivare  och  att  den  tillhandahåller  personuppgifter  till  företagskunder  för  marknadsföringsändamål.  Österreichische  Post  hänvisade  sedan  till  en  webbplats  där  det  lämnades  allmän  information  om  syftena  med  behandlingen  av  RW:s  personuppgifter  och  där  det  fanns  en  länk  till  ytterligare  en  webbplats.  På  den  andra  webbplatsen  fanns  i  sin  tur  allmän  dataskyddsinformation  och  information  utifrån  vilken  det  generellt  kunde  fastställas  vissa  kategorier  av  mottagare  som  Österreichische  Post  lämnade  ut  personuppgifterna  till.  Österreichische  Post  informerade  dock  inte  RW  vid  något  tillfälle  om  vilka  de  specifika  mottagarna  av  hans  personuppgifter  var.

7.        RW  väckte  talan  och  yrkade  att  Österreichische  Post  ska  förpliktas  att  i  enlighet  med  artikel 15  i  dataskyddsförordningen  förse  honom  med  utförligare  upplysningar  om  huruvida  hans  personuppgifter  har  överförts  till  tredje  part  samt,  om  sådana  överföringar  faktiskt  har  skett,  information  om  vilka  den  eller  de  specifika  mottagarna  är  som  har  fått  eller  får  ta  del  av  hans  personuppgifter.  RW  har  gjort  gällande  att  de  upplysningar  som  Österreichische  Post  har  tillhandahållit  inte  uppfyller  de  rättsliga  kraven  i  artikel 15  i  dataskyddsförordningen,  eftersom  det  inte  framgår  huruvida  Österreichische  Post  har  överfört  hans  personuppgifter  till  tredje  part  och,  för  det  fall  att  personuppgifterna  faktiskt  har  överförts,  vilka  som  är  de  faktiska  mottagarna  av  de  uppgifterna.

8.        Domstolarna  i  första  och  andra  instans  ogillade  RW:s  talan.  De  ansåg  i  huvudsak  att  eftersom  det  i  artikel 15.1 c  i  dataskyddsförordningen  hänvisas  till  mottagare  eller  kategorier  av  mottagare  kan  den  personuppgiftsansvarige  enligt  den  bestämmelsen  välja  att  enbart  informera  den  registrerade  om  kategorierna  av  mottagare,  utan  att  behöva  ange  namnen  på  de  specifika  mottagarna  av  den  registrerades  personuppgifter.

9.        RW  vidhöll  sina  argument  inom  ramen  för  överklagandet  till  den  hänskjutande  domstolen.

10.      Under  förfarandet  vid  den  hänskjutande  domstolen  informerade  Österreichische  Post  RW  om  att  hans  personuppgifter  hade  behandlats  för  marknadsföringsändamål  i  samband  med  utgivningen  av  telefonkataloger  och  att  de  hade  överförts  till  företagskunder,  exempelvis  till  reklamföretag  inom  postorder  och  traditionell  handel,  it‑företag,  telefonkatalogföretag  och  sammanslutningar  som  välgörenhetsorganisationer,  icke-statliga  organisationer  eller  politiska  partier.  Österreichische  Post  har  emellertid  inte  angett  vilka  de  specifika  mottagarna  är  av  de  uppgifter  som  lämnats  ut  om  RW.

11.      Den  hänskjutande  domstolen  hyser  i  detta  sammanhang  tvivel  kring  den  tolkning  som  domstolarna  i  lägre  instans  har  gjort  av  artikel 15  i  dataskyddsförordningen  och  har  således  beslutat  att  vilandeförklara  målet  och  att  ställa  följande  tolkningsfråga  till  EU‑domstolen:
”Ska  artikel 15.1 c  i  [dataskyddsförordningen]  tolkas  på  så  vis  att  den  registrerades  rätt  till  tillgång  till  information  är  begränsad  till  mottagarkategorier  när  några  specifika  mottagare  ännu  inte  fått  del  av  personuppgifterna,  men  att  [den  registrerades]  rätt  till  tillgång  till  information  tvunget  måste  omfatta  även  mottagarna  av  personuppgifterna  när  personuppgifterna  redan  har  lämnats  ut?”
III. Rättslig bedömning

12.      Genom  sin  fråga  som  har  hänskjutits  för  förhandsavgörande  har  den  hänskjutande  domstolen  ställt  en  fråga  till  EU-domstolen  rörande  tolkningen  av  artikel 15.1 c  i  dataskyddsförordningen,  när  det  gäller  omfattningen  av  den  registrerades  rätt,  som  föreskrivs  däri,  att  få  information  från  den  personuppgiftsansvarige  om  de  mottagare  eller  kategorier  av  mottagare  till  vilka  hans  eller  hennes  personuppgifter  har  lämnats  eller  ska  lämnas  ut.

13.      Den  hänskjutande  domstolen  vill  få  klarhet  i  huruvida  den  bestämmelsen  ska  tolkas  så,  att  omfattningen  av  den  registrerades  ovannämnda  rätt  till  tillgång  ska  variera  beroende  på  om  uppgifterna  redan  har  lämnats  ut  –  i  vilket  fall  rättigheten  även  ska  omfatta  de  faktiska  mottagarna  av  informationen  –  eller  om  några  konkreta  mottagare  av  framtida  utlämnanden  av  uppgifterna  ännu  inte  är  kända  –  i  vilket  fall  rättigheten  ska  anses  vara  begränsad  till  information  om  kategorier  av  mottagare.

14.      Det  ska  framför  allt  påpekas  i  detta  avseende  att  artikel 15  i  dataskyddsförordningen  reglerar  den  registrerades  rätt,  gentemot  den  personuppgiftsansvarige,  att  få  tillgång  till  personuppgifter  som  rör  honom  eller  henne  och  som  är  under  behandling,  samt  till  en  hel  rad  uppgifter  som  särskilt  rör  själva  behandlingen.  Den  bestämmelsen  ger  uttryck  för  och  specificerar  var  och  ens  rätt  att  få  tillgång  till  uppgifter  som  rör  honom  eller  henne,  vilken  slås  fast  i  artikel 8.2  andra  meningen  i  Europeiska  unionens  stadga  om  de  grundläggande  rättigheterna  (nedan  kallad  stadgan).(3)

15.      Enligt  artikel 15.1  i  dataskyddsförordningen  har  den  registrerade  närmare  bestämt  framför  allt  rätt  att  av  den  personuppgiftsansvarige  få  bekräftelse  på  huruvida  personuppgifter  som  rör  honom  eller  henne  håller  på  att  behandlas.  Om  en  sådan  behandling  pågår  har  den  registrerade  rätt  att  få  tillgång  till  de  personuppgifter  som  behandlingen  gäller  och  till  en  rad  andra  uppgifter,  som  alla  förtecknas  i  leden  a–h  i  den  bestämmelsen.  I  detta  avseende  har  den  registrerade  rätt  enligt  artikel 15.1 c  i  dataskyddsförordningen  att  få  tillgång  information  om  de  ”mottagare  eller  kategorier  av  mottagare  till  vilka  personuppgifterna  har  lämnats  eller  ska  lämnas  ut,  särskilt  mottagare  i  tredjeländer  eller  internationella  organisationer”.

16.      Den  hänskjutande  domstolens  fråga  i  begäran  om  förhandsavgörande  kräver  en  tolkning  av  artikel 15.1 c  i  dataskyddsförordningen  för  att  fastställa  den  exakta  räckvidden  av  den  registrerades  rätt,  som  föreskrivs  däri,  att  få  information  om  mottagarna  av  hans  eller  hennes  personuppgifter.

17.      I  detta  avseende ska det erinras om  att  enligt  fast  rättspraxis  kräver  tolkningen  av  en  unionsbestämmelse  att  inte  bara  dess  lydelse  beaktas,  utan  också  dess  sammanhang  samt  de  mål och  syften  som  eftersträvas  med  den  rättsakt  som  bestämmelsen  ingår  i.(4)

18.      Eftersom  bestämmelserna  i  dataskyddsförordningen  reglerar  behandling  av  personuppgifter  som  kan  innebära  intrång  i  de  grundläggande  friheterna  och  då  särskilt  i  rätten  till  privatliv,  måste  bestämmelserna  i  fråga  med  nödvändighet  tolkas  mot  bakgrund  av  de  grundläggande  rättigheter  som  är  stadfästa  i  stadgan.(5)

19.      Vidare  följer  det  av  fast  rättspraxis  att  när  en  unionsbestämmelse  kan  bli  föremål  för  flera  tolkningar,  ska  företräde  ges  för  den  tolkning  som  är  ägnad  att  säkerställa  bestämmelsens  ändamålsenliga  verkan.(6)

20.      Vad  framför  allt  gäller  den  aktuella  bestämmelsens  ordalydelse  är  det  omöjligt,  såsom  har  påpekats  av  den  hänskjutande  domstolen  och  av  flera  andra  parter  som  har  intervenerat  vid  EU-domstolen,  att  utifrån  ordalydelsen  i  artikel 15.1 c  i  dataskyddsförordningen  ge  ett  definitivt  svar  på  frågan  huruvida  den  registrerades  rättighet  nödvändigtvis  måste  anses  omfatta  tillgång  till  information  om  de  exakta  mottagarna  av  den  registrerades  personuppgifter  eller  om  den  kan  begränsas  till  att  enbart  omfatta  tillgång  till  information  om  mottagarkategorierna.  I  den  bestämmelsen  används  i  själva  verket  begreppen  ”mottagare”  och  ”kategorier  av  mottagare”  efter  varandra,  på  ett  neutralt  sätt,  utan  att  det  går  att  härleda  någon  prioriteringsordning  dem  emellan.  Av  bestämmelsen  framgår  det  heller  inte  uttryckligen  huruvida  det  går  att  välja  mellan  de  möjliga  kategorierna  av  information  (det  vill  säga  om  ”mottagare”  eller  ”kategorier  av  mottagare”)  eller  vem  som  eventuellt  har  att  välja  vilken  typ  av  information  som  det  ska  garanteras  tillgång  till  (det  vill  säga  den  registrerade  eller  den  personuppgiftsansvarige).

21.      Såsom  den  hänskjutande  domstolen  har  påpekat  tycks  dock  själva  uppbyggnaden  av  artikel 15.1  i  dataskyddsförordningen,  enligt  min  mening,  ge  företräde  åt  en  tolkning  av  den  aktuella  bestämmelsen  som  innebär  att  det  ankommer  på  den  registrerade  (och  således  inte  på  den  personuppgiftsansvarige,  vilket  de  två  nationella  domstolarna  i  lägre  instans  ansåg  i  förevarande  fall)  att  välja  mellan  de  båda  alternativ  som  föreskrivs  däri.  I  den  aktuella  bestämmelsen  föreskrivs  en  verklig  rätt  till  tillgång  för  den  registrerade,  till  skillnad  från  i  andra  bestämmelser  i  dataskyddsförordningen,  exempelvis  artiklarna 13  och  14,(7) som  är  utformade  på  ett  sådant  sätt  att  de  föreskriver  en  informationsskyldighet  för  den  personuppgiftsansvarige.  Den  registrerades  utövande  av  denna  rätt  till  tillgång  förutsätter  rent  logiskt  att  rättighetsinnehavaren  ges  möjlighet  att  välja  om  han  eller  hon,  där  så  är  möjligt,  ska  få  tillgång  till  information  om  de  specifika  mottagare  till  vilka  personuppgifterna  har  lämnats  eller  ska  lämnas  ut  eller  om  han  eller  hon  enbart  ska  begära  information  om  mottagarkategorierna.

22.      En  tolkning  av  artikel 15.1 c  i  dataskyddsförordningen  som  innebär  att  den  registrerade  har  rätt  att,  om  möjligt,  begära  tillgång  till  information  om  de  specifika  mottagarna  av  hans  eller  hennes  personuppgifter  bekräftas  dessutom  av  en  analys  av  såväl  bestämmelsens  sammanhang  som  dess  syften  mot  bakgrund  av  dataskyddsförordningens  mål och  systematik.

23.      Jag  vill  i  detta  avseende  framför  allt  påpeka  att  det  uttryckligen  anges  i skäl 63  i  dataskyddsförordningen  att  den  registrerade  bör  ”ha  …  rätt  att  få  kännedom  och  underrättelse  om  …  vilka  som  mottar  personuppgifterna”.  Detta  skäl,  mot  bakgrund  av  vilket  den  aktuella  bestämmelsen  ska  tolkas,  avser  den  registrerades  rätt  att  få  tillgång  till  information  om  de  specifika  mottagarna  av  hans  eller  hennes  personuppgifter,  och  det  nämns  inte  något  om  att  den  rätten  kan  begränsas,  efter  den  personuppgiftsansvariges  gottfinnande,  till  enbart  kategorier  av  mottagare.

24.      Vidare  framgår  det  uttryckligen  av  rättspraxis  att  dataskyddsförordningen  bland  annat  syftar  till,  såsom  framgår  av skäl 10  i  denna,  att  säkerställa  en  hög  skyddsnivå  för  fysiska  personer  inom  unionen  och  för  att  uppnå  detta  ändamål  säkerställa  en  konsekvent  och  enhetlig  tillämpning  av  bestämmelserna  om  skydd  av  fysiska  personers  grundläggande  rättigheter  och  friheter  vid  behandling  av  personuppgifter  i  hela  unionen.(8)

25.      All  behandling  av  personuppgifter  ska  för  detta  ändamål  vara  förenlig  med  de  principer  som  anges  i  artikel 5  i  förordningen.(9) Av  artikel 5.1 a  i  dataskyddsförordningen  följer  framför  allt  att  personuppgifterna  ska  behandlas  på  ett  lagligt,  korrekt  och  öppet  sätt  i  förhållande  till  den  registrerade.(10) Artikel 15  i  dataskyddsförordningen,  som  reglerar  den  registrerades  rätt  till  tillgång,  utgör  en  grundläggande  bestämmelse  i  detta  avseende  för  att  säkerställa  att  uppgifterna  behandlas  på  ett  öppet  sätt  gentemot  de  registrerade.

26.      Såsom  följer  av skäl 63  i  dataskyddsförordningen(11) syftar  denna  rätt  att  få  tillgång  framför  allt  till  att  möjliggöra  för  den  registrerade  att  vara  medveten  om  behandlingen  av  sina  egna  uppgifter  och  kontrollera  att  den  är  laglig.(12) Utövandet  av  denna  rätt  till  tillgång  ska  framför  allt  innebära  att  den  registrerade  kan  kontrollera  inte  bara  att  de  uppgifter  som  rör  honom  eller  henne  är  korrekta,  utan  även  att  de  har  lämnats  ut  till  behöriga  mottagare.(13) Detta  förutsätter  i  princip  att  det  ges  så  exakt  information  som  möjligt.

27.      Jag  delar  kommissionens  uppfattning  i  detta  avseende  att  det  skulle  vara  liktydigt  med  att  hindra  den  registrerade  från  att  fullständigt  kunna  kontrollera  att  den  personuppgiftsansvariges  behandling  är  laglig  och  framför  allt  att  utlämnande  av  information  som  redan  har  gjorts  är  laglig,  om  det  ansågs  att  den  registrerades  rätt  till  tillgång  enligt  artikel 15.1 c  i  dataskyddsförordningen  inte  innefattade  de  specifika  mottagarna  och  denna  rättighet  sålunda  begränsades  till  enbart  kategorier  av  mottagare.  Med  en  sådan  tolkning  av  den  aktuella  bestämmelsen  skulle  den  registrerade  inte  kunna  kontrollera  att  hans  eller  hennes  personuppgifter  endast  har  lämnats  ut  till  behöriga  mottagare,  vilket  strider  mot  de  krav  som  har  angetts  i  föregående  punkt.

28.      Dessutom  och  med  avseende  på  det  första  målet  är  denna  rätt  att  få  tillgång  nödvändig,  såsom  EU-domstolen  för  övrigt  redan  har  funnit,  för  att  möjliggöra  för  den  registrerade  att  utöva  den  rätt  till  rättelse,  rätt  till  radering  (”rätten  att  bli  bortglömd”)  och  rätt  till  begränsning  av  behandling  som  den  registrerade  ges  i  artiklarna 16,  17  respektive  18  i  dataskyddsförordningen.(14) EU-domstolen  har  även  slagit  fast  att  rätten  att  få  tillgång  dessutom  är  nödvändig  för  att  möjliggöra  för  den  registrerade  att  utöva  den  rätt  att  göra  invändningar  mot  behandlingen  av  dennes  personuppgifter  som  avses  i  artikel 21  i  dataskyddsförordningen  eller  rätten  att  föra  talan  till  följd  av  skada,  i  enlighet  med  artiklarna 79  och  82  i  den  förordningen.(15)

29.      Om  den  aktuella  bestämmelsen  tolkas  så,  att  den  registrerade  inte  har  möjlighet  att  få  information  om  de  specifika  mottagarna  av  hans  eller  hennes  personuppgifter,  skulle  detta  få  till  följd  att  den  registrerade,  utan  kännedom  om  mottagarnas  identitet,  inte  kunde  utöva  de  rättigheter  som  han  eller  hon  har  enligt  ovannämnda  bestämmelser  i  dataskyddsförordningen  eller  enbart  kunde  utöva  dessa  med  en  oproportionerligt  stor  ansträngning.(16) En  sådan  tolkning  skulle  därför  innebära  att  dessa  bestämmelser  och  de  rättigheter  som  ges  i  dem  förlorade  sin  ändamålsenliga  verkan  i  sådana  situationer.

30.      Ur  en  kontextuell  synvinkel  bekräftas  ovannämnda  tolkning  av  artikel 15.1 c  i  dataskyddsförordningen  för  övrigt  även  av  artikel 19  i  den  förordningen.  I  den  bestämmelsen  föreskrivs  att  den  ”personuppgiftsansvarige  ska  underrätta  varje  mottagare  till  vilken  personuppgifterna  har  lämnats  ut  om  eventuella  rättelser  eller  radering  av  personuppgifter  eller  begränsningar  av  behandling  som  skett  i  enlighet  med  artiklarna 16,  17.1  och  18,  om  inte  detta  visar  sig  vara  omöjligt  eller  medföra  en  oproportionell  ansträngning”.

31.      Enligt  artikel 19  i  dataskyddsförordningen  är  den  registeransvarige  således  skyldig  att  informera  alla  mottagare  till  vilka  personuppgifterna  har  överförts  om  varje  begäran  om  rättelse,  radering  eller  begränsning  av  behandling  av  dessa  uppgifter  som  den  personuppgiftsansvarige  måste  tillmötesgå.  Informerade  mottagare  är  således  skyldiga  att  omedelbart  rätta,  radera  eller  begränsa  behandlingen  av  uppgifterna,  i  den  mån  de  fortfarande  behandlar  dessa.  Inom  ramen  för  uppnåendet  av  målet  att  säkerställa  en  hög  skyddsnivå,  vilket  nämns  i punkt 24  ovan,  syftar  artikel 19  i  dataskyddsförordningen  i  detta  avseende  till  att  den  registrerade  –  efter  att  ha  begärt  information  i  den  mening  som  avses  i  artikel 15.1 c  i  dataskyddsförordningen  –  inte  ännu  en  gång  ska  behöva  rikta  samma  begäranden  om  rättelse,  radering  eller  begränsning  av  behandling  till  de  berörda  mottagarna.  Den  registrerade  måste  dock  ges  möjlighet  att  kontrollera  att  rättelsen,  raderingen  eller  begränsningen  av  behandlingen  faktiskt  har  skett  efter  den  personuppgiftsansvariges  anmälan.  Mot  denna  bakgrund  föreskrivs  det  därför  i  artikel 19  i  dataskyddsförordningen  att  den  personuppgiftsansvarige  ska  informera  den  registrerade  om  mottagarna  på  den  registrerades  begäran.

32.      Artikel 19  i  dataskyddsförordningen  bekräftar  att  den  registrerade  i  princip  ska  ha  rätt  att  få  information  om  de  specifika  mottagarnas  identitet,  om  hans  eller  hennes  personuppgifter  redan  har  lämnats  ut,  för  att  säkerställa  den  ändamålsenliga  verkan  hos  den  registrerades  rätt  till  radering,  rättelse  eller  begränsning  av  behandling,  som  föreskrivs  i  artiklarna 16,  17  och  18  i  dataskyddsförordningen.  Det  är  nämligen  endast  på  detta  sätt  som  den  registrerade  kan  hävda  sina  rättigheter  gentemot  dem.

33.      Av  ovanstående  överväganden  följer  att  rätten  till  tillgång  enligt  artikel 15.1 c  i  dataskyddsförordningen  har  en  praktisk  och  avgörande  betydelse  för  utövandet  av  andra  rättigheter  som  den  registrerade  har  enligt  dataskyddsförordningen.  Härav  följer  att  för  att  säkerställa  den  ändamålsenliga  verkan  hos  alla  ovannämnda  bestämmelser  i  dataskyddsförordningen  måste  den  bestämmelsen  tolkas  så,  att  den  rätt  till  tillgång  som  föreskrivs  i  den  bestämmelsen,  i  princip,  måste  avse  möjligheten  att  få  information  från  den  personuppgiftsansvarige  om  de  specifika  mottagarna  av  den  registrerades  personuppgifter.

34.      Utvidgningen  av  rätten  till  tillgång  enligt  artikel 15.1 c  i  dataskyddsförordningen  till  specifika  mottagare  av  nämnda  uppgifter  är  dock,  enligt  min  mening,  begränsad  i  åtminstone  två  fall.

35.      Det  första  fallet  är  när  det  i  praktiken  är  omöjligt  att  tillhandahålla  information  om  de  specifika  mottagarna.  Det  kan  till  exempel  inte  förväntas  att  den  personuppgiftsansvarige  lämnar  ut  information  som  ännu  inte  finns,  vilket  är  fallet  om  de  specifika  mottagarna  i  själva  verket  inte  har  identifierats  vid  den  tidpunkten.  Enligt  denna  hypotes,  som  uttryckligen  avses  i  tolkningsfrågan,  kan  den  registrerades  rätt  till  tillgång  därför  enbart  omfatta  kategorier  av  mottagare.

36.      Det  andra  fallet  är,  såsom  den  italienska  regeringen  har  påpekat,  när  utövandet  av  den  registrerades  rätt  till  tillgång  och  fullgörandet  av  den  registeransvariges  motsvarande  skyldighet  ska  ses  mot  bakgrund  av  principerna  om  korrekthet  och  proportionalitet.

37.      Det  ska  i  detta  avseende  erinras  om  att  såsom  framgår  av  EU-domstolens  praxis  är  de  rättigheter  som  slås  fast  i  artiklarna 7  och  8  i  stadgan  emellertid  inte  några  absoluta  rättigheter,  utan  måste  bedömas  utifrån  deras  funktion  i  samhället.(17)

38.      Dels  följer  det  i  detta  avseende  uttryckligen  av  artikel 12.5,  som  även  uttryckligen  är  tillämplig  på  den  bestämmelse  som  tolkningsfrågan  avser,  att  den  registrerades  begäranden  inte  får  vara  uppenbart  ogrundade  eller  orimliga  och  att  den  personuppgiftsansvarige  även  får  vägra  att  tillmötesgå  begäran  om  så  är  fallet.  Av  samma  bestämmelse  följer  dessutom  att  det  åligger  den  sistnämnde  att  ”visa  att  begäran  är  uppenbart  ogrundad  eller  orimlig”.

39.      Dels  har  EU-domstolen  redan  haft  tillfälle  att  klargöra  att  det  måste  göras  en  lämplig  avvägning  mellan  den  registrerades  intresse  av  att  skydda  sitt  privatliv,  bland  annat  genom  den  rätt  att  göra  invändningar  och  att  föra  talan  som  föreskrivs  i  dataskyddsförordningen,  och  de  skyldigheter  som  åvilar  den  registeransvarige.(18) Denna  lämpliga  avvägning  förefaller  främja  en  ökad  uppmärksamhet  på  skyddet  av  den  registrerades  personuppgifter  och  privatliv,  vilket  framgår  av  kravet  att  det  måste  visas  att  det är uppenbart  att den  registrerades  begäran  är  ogrundad  eller  orimlig  för  att  den  inte  ska  tillmötesgås.
IV.    Förslag till avgörande

40.      Mot  bakgrund  av  det  ovan  anförda  föreslår  jag  att  EU-domstolen  besvarar  tolkningsfrågan  från  Oberster  Gerichtshof  (Högsta  domstolen,  Österrike)  på  följande  sätt:
”Artikel 15.1 c  i  Europaparlamentets  och  rådets  förordning  (EU)  2016/679  av  den  27 april 2016  om  skydd  för  fysiska  personer  med  avseende  på  behandling  av  personuppgifter  och  om  det  fria  flödet  av  sådana  uppgifter  och  om  upphävande  av  direktiv 95/46/EG  (allmän  dataskyddsförordning)  ska  tolkas  så,  att  den  registrerades  rätt  till  tillgång  som  föreskrivs  däri  nödvändigtvis  måste  omfatta  även  angivelse  av  de  specifika  mottagarna  av  den  registrerades  personuppgifter,  om  han  eller  hon  begär  detta.  Denna  rätt  till  tillgång  får  begränsas  till  angivelse  av  endast  kategorier  av  mottagare  när  det  i  praktiken  är  omöjligt  att  identifiera  de  specifika  mottagarna  av  de  personuppgifter  som  rör  den  registrerade  eller  när  den  personuppgiftsansvarige  visar  att  det är uppenbart att den  registrerades  begäranden  är  ogrundade  eller  orimliga  i  den  mening  som  avses  i  artikel 12.5  i  förordning  (EU)  2016/679.”

1      Originalspråk:  italienska.

2      EUT L 119,  2016, s. 1  och  rättelser  i  EUT L 127,  2018,  s,  2  och  i EUT L 74,  2021, s. 35.

3      Såsom  jag  redan  har  haft  tillfälle  att  påpeka  genomför  dataskyddsförordningen  de  krav  som  följer  av  den  grundläggande  rätt  till  skydd  av  personuppgifter  som  skyddas  av  artikel 8  i  stadgan  och  särskilt  de  krav  som  uttryckligen  föreskrivs  i punkt 2  i  den  artikeln  (se  mitt  förslag  till  avgörande  i  de  förenade  målen  WM  och  Sovim, C‑37/20  och  C‑601/20,  EU:C:2022:43, punkt 70  och  där  angiven  rättspraxis).  Vad  särskilt  gäller  en  persons  rätt  att  få  tillgång  till  uppgifter  som  rör  honom  eller  henne,  med  hänvisning  till  Europaparlamentets  och  rådets  direktiv 95/46/EG  av  den  24 oktober 1995  om  skydd  för  enskilda  personer  med  avseende  på  behandling  av  personuppgifter  och  om  det  fria  flödet  av  sådana  uppgifter  (EGT L 281, s. 31),  som  upphävts  genom  dataskyddsförordningen,  se  dom  av  den  17 juli 2014,  YS/Minister  voor  Immigratie,  Integratie  en  Asiel  (C‑141/12  och  C‑372/12,  EU:C:2014:2081, punkt 55  och  där  angiven  rättspraxis).

4      Se  dom  av  den  15 mars 2022,  A  (C‑302/20,  EU:C:2022:190, punkt 63).  Se  även,  för  ett  liknande  resonemang,  dom  av  den  24 mars 2022,  Autoriteit  Persoonsgegevens  (C‑245/20,  EU:C:2022:216, punkt 28).

5      Se,  med  hänvisning  till  direktiv 95/46,  dom  av  den  9 mars 2017,  Manni  (C‑398/15,  EU:C:2017:197, punkt 39  och  där  angiven  rättspraxis).

6      Se  dom  av  den  7 mars 2018,  Sucrerie  de  Toury  (C‑31/17,  EU:C:2018:168, punkt 41  och  där  angiven  rättspraxis).

7      Artikel 13  i  dataskyddsförordningen  rör  information  som  den  personuppgiftsansvarige  är  skyldig  att  lämna  om  personuppgifter  samlas  in  från  den  registrerade.  Artikel 14  i  dataskyddsförordningen  rör  däremot  information  som  den  personuppgiftsansvarige  ska  tillhandahålla  om  personuppgifter  inte  har  erhållits  från  den  registrerade.

8      Dom  av  den  6 oktober 2020,  La  Quadrature  du  Net  m.fl.  (C‑511/18,  C‑512/18  och  C‑520/18,  EU:C:2020:791, punkt 207),  dom  av  den  24 februari 2022,  Valsts  ieņēmumu  dienests  (C‑175/20,  EU:C:2022:124, punkt 49),  och  dom  av  den  28 april 2022,  Meta  Platforms  Ireland  (C‑319/20,  EU:C:2022:322, punkt 52).

9      Dom  av  den  6 oktober 2020,  La  Quadrature  du  Net  m.fl.  (C‑511/18,  C‑512/18  och  C‑520/18,  EU:C:2020:791, punkt 208),  och  dom  av  den  22 juni 2021,  Latvijas  Republikas  Saeima  (C‑439/19,  EU:C:2021:504, punkt 96).

10      När  det  gäller  öppenhetsprincipen,  se  även skäl 39  i  dataskyddsförordningen.

11      I  första  meningen  i  det  skälet  anges  att  ”[d]en  registrerade  bör  ha  rätt  att  få  tillgång  till  personuppgifter  som  insamlats  om  denne  …  för  att  vara  medveten  om  att  behandling  sker  och  kunna  kontrollera  att  den  är  laglig”.

12      Se,  med  hänvisning  till  direktiv 95/46,  dom  av  den  17 juli 2014,  YS/Minister  voor  Immigratie,  Integratie  en  Asiel  (C‑141/12  e  C‑372/12,  EU:C:2014:2081, punkt 44),  och  dom  av  den  20 december 2017,  Nowak  (C‑434/16,  EU:C:2017:994, punkt 57).

13      Se,  med  hänvisning  till  direktiv 95/46,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 49).

14      Se,  med  hänvisning  till  motsvarande  bestämmelser  i  direktiv 95/46,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkterna 51  och  52),  dom  av  den  17 juli 2014,  YS/Minister  voor  Immigratie,  Integratie  en  Asiel  (C‑141/12  och  C‑372/12,  EU:C:2014:2081, punkt 44),  och  dom  av  den  20 december 2017,  Nowak  (C‑434/16,  EU:C:2017:994, punkt 57).

15      Se,  för  ett  liknande  resonemang,  med  hänvisning  till  motsvarande  bestämmelser  i  direktiv 95/46,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 52).

16      Se,  för  ett  liknande  resonemang,  med  hänvisning  till  direktiv 95/46,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 51).

17      Se,  bland  annat,  dom  av  den  16 juli 2020,  Facebook  Ireland  och  Schrems  (C‑311/18,  EU:C:2020:559, punkt 172  och  där  angiven  rättspraxis).

18      Se,  för  ett  liknande  resonemang,  med  hänvisning  till  direktiv 95/46,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 64).