CELEX: 62021CC0077
Language: sv
Date: 2022-03-31
Title: Förslag till avgörande av generaladvokat P. Pikamäe föredraget den 31 mars 2022.###

Preliminär utgåva
FÖRSLAG  TILL  AVGÖRANDE  AV  GENERALADVOKAT
PRIIT  PIKAMÄE
föredraget  den  31 mars 2022(1)

Mål C‑77/21

Digi Távközlési és Szolgáltató Kft.

mot

Nemzeti Adatvédelmi és Információszabadság Hatóság

(begäran om  förhandsavgörande  från  Fővárosi  Törvényszék  (Överdomstolen  för  Budapests  stad,  Ungern))
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5.1 b och e – Principen om ändamålsbegränsning – Principen om lagringsminimering – Kunders personuppgifter som samlas in och lagras lagligt – Skapande av ytterligare en särskild intern databas till följd av ett tekniskt fel – Kontroll i efterhand av ändamålen med behandlingen – Dubbelt ändamål – Behandlingen har inte samma ändamål som uppgiftsinsamlingen – Behandlingens förenlighet med insamlingens ändamål – Artikel 6.4 – Databasen raderas inte efter att det tekniska felet åtgärdats – Uppnående av ändamålen med behandlingen”

1.        Under  vilka  omständigheter  får  en  leverantör  av  internet-  och  televisionstjänster  som  lagligt  har  samlat  in  och  lagrat  sina  kunders  personuppgifter  lagra  dessa  uppgifter  på  ytterligare  ett  internt  lagringsmedium  utan  kundernas  uttryckliga  samtycke  i  syfte  att  åtgärda  ett  tekniskt  fel?

2.        Detta  är  en  av  de  frågor  som  har  ställts  i  förevarande  mål,  vilket  ger  domstolen  möjlighet  att  komplettera  sin  allt  mer  omfattande  praxis  avseende  förordning  (EU)  2016/679,(2) särskilt  när  det  gäller  principerna  om  ändamålsbegränsning  och  lagringsminimering,  vilka  fastställs  i  artikel 5.1 b  och e  i  denna  förordning.
I.      Tillämpliga bestämmelser

3.        De  relevanta  bestämmelserna  i  förevarande  mål utgörs  av  artiklarna 4–6,  13  och  32  i  dataskyddsförordningen.
II.    Målet vid den nationella domstolen och tolkningsfrågorna

4.        Digi  Távközlési  és  Szolgáltató  Kft.  (nedan  kallat  Digi)  är  en  av  de  huvudsakliga  leverantörerna  av  internet-  och  televisionstjänster  i  Ungern.

5.        I april 2018  skapade  Digi,  till  följd  av  ett  tekniskt  fel  som  påverkade  en  servers  funktion,  en  databas  kallad  ”test”  och  kopierade  över  personuppgifterna  för  omkring  en  tredjedel  av  sina  privatkunder  till  den.

6.        Den  23 september 2019  fick  Digi  vetskap  om  att  en  hackare  hade  kommit  åt  personuppgifterna  för  omkring  322 000 personer.  Det  var  hackaren  själv  som  skriftligen  underrättade  företaget  om  attacken  genom  ett  e‑postmeddelande  av  den  21 september 2019.  Som  bevis  bifogades  en  rad  som  hade  extraherats  ur  testdatabasen.  Digi  åtgärdade  säkerhetshålet  och  ingick  ett  sekretessavtal  med  vederbörande  och  erbjöd  denne  en  belöning.

7.        Efter  att  ha  raderat  testdatabasen  anmälde  Digi  den  25 september 2019  personuppgiftsincidenten  till  Nemzeti  Adatvédelmi  és  Információszabadság  Hatóság  (nationell  myndighet  med  ansvar  för  uppgiftsskydd  och  informationsfrihet)  (nedan  kallad  tillsynsmyndigheten),  som  inledde  en  utredning.

8.        I  ett  beslut  av  den  18 maj 2020  konstaterade  tillsynsmyndigheten  att  Digi  hade  brutit  mot  artikel 5.1 b  och e  i  dataskyddsförordningen,  eftersom  företaget  inte  hade  raderat  testdatabasen  när  nödvändiga  tester  hade  utförts  och  problemen  hade  åtgärdats,  vilket  innebar  att  ett  stort  antal  personuppgifter  lagrades  i  testdatabasen  under  närmare  18 månader  utan  något  ändamål,  i  ett  register  som  kunde  möjliggöra  identifiering  av  de  registrerade,  och  att  underlåtenheten  att  radera  denna  databas  hade  gett  upphov  till  ett  åsidosättande  av  personuppgiftsbestämmelser.  Tillsynsmyndigheten  konstaterade  vidare  att  Digi  hade  brutit  mot  artikel 32.1  och  32.2  i  dataskyddsförordningen.  Under  dessa  omständigheter  påförde  tillsynsmyndigheten  Digi  en  sanktionsavgift  om  100 000 000  ungerska  forinter  (HUF)  (cirka  270  000 euro).

9.        Digi  bestred  beslutets  rättsenlighet  vid  den  hänskjutande  domstolen.

10.      Den  hänskjutande  domstolen  har  påpekat  att  de  personuppgifter  som  Digi  kopierade  över  till  testdatabasen  hade  samlats  in  i  syfte  att  ingå  abonnemangsavtal  och  att  tillsynsmyndigheten  inte  ifrågasatte  huruvida  insamlingen  av  uppgifterna  var  laglig.  Den  hänskjutande  domstolen  vill  emellertid  få  klarhet  i  huruvida  ändamålet  med  insamlingen  och  behandlingen  av  uppgifterna  ändras  på  grund  av  den  omständigheten  att  uppgifterna,  som  samlats  in  för  ett  bestämt  ändamål,  kopieras  över  till  en  annan  databas.  Den  har  tillagt  att  den  också  måste  avgöra  huruvida  skapandet  av  en  testdatabas  och  den  fortsatta  behandlingen  av  kundernas  uppgifter  på  detta  sätt  är  förenligt  med  ändamålet  med  insamlingen  av  dessa  uppgifter.  Principen  om  ändamålsbegränsning  ger  inga  tydliga  anvisningar  om  i  vilka  interna  system  den  personuppgiftsansvarige  har  rätt  att  behandla  de  lagligt  insamlade  uppgifterna  eller  om  denne  kan  kopiera  över  uppgifterna  till  en  testdatabas  utan  att  ändamålet  med  insamlingen  av  uppgifterna  ändras.

11.      För  det  fallet  att  skapandet  av  testdatabasen  är  oförenligt  med  insamlingens  ändamål  vill  den  hänskjutande  domstolen  även  få  klarhet  i  huruvida  den  nödvändiga  lagringstiden  –  då  ändamålet  med  behandlingen  av  kunduppgifterna  i  en  annan  databas  inte  är  att  åtgärda  fel,  utan  att  ingå  avtal  –  ska  anpassas  efter  den  tid  som  är  nödvändig  för  att  åtgärda  felen  eller  i  stället  efter  den  tid  som  är  nödvändig  för  att  fullgöra  avtalsskyldigheterna.

12.      Mot  denna  bakgrund  beslutade  Fővárosi  Törvényszék  (Överdomstolen  för  Budapests  stad,  Ungern)  att  vilandeförklara  målet  och  ställa  följande  frågor  till  domstolen:
”1)      Ska  begreppet  ’ändamålsbegränsning’  som  definieras  i  artikel 5.1 b  i  [dataskyddsförordningen]  tolkas  så,  att  den  omständigheten  att  den  personuppgiftsansvarige  parallellt  i  en  annan  databas  lagrar  vissa  personuppgifter  som  för  övrigt  har  inhämtats  och  lagrats  för  ett  begränsat  berättigat  ändamål  är  förenlig  med  det  begreppet,  eller  är  det  begränsade  berättigade  ändamålet  med  inhämtandet  av  uppgifterna  inte  längre  giltigt  när  det  gäller  den  parallella  databasen?
2)      För  det  fallet  att  den  första  tolkningsfrågan  besvaras  så  att  den  parallella  lagringen  av  uppgifterna  i  sig  är  oförenlig  med  principen  om  ’ändamålsbegränsning’,  är  då  den  omständigheten  att  den  personuppgiftsansvarige  parallellt  i  en  annan  databas  lagrar  vissa  personuppgifter  som  för  övrigt  har  inhämtats  och  sparats  för  ett  begränsat  berättigat  ändamål,  förenlig  med  principen  om  ’lagringsminimering’  som  föreskrivs  i  artikel 5.1 e  i  dataskyddsförordningen?”
III. Förfarandet vid domstolen

13.      Klaganden  och  motparten  i  det  nationella  målet,  den  ungerska,  den  tjeckiska  och  den  portugisiska  regeringen  samt  Europeiska  kommissionen  har  inkommit  med  skriftliga  yttranden.  Vid  förhandlingen  den  17 januari 2022  utvecklade  klaganden  och  motparten  i  det  nationella  målet  sin  talan,  liksom  den  ungerska  regeringen  och  kommissionen.
IV.    Bedömning

A.      Upptagande till prövning 

14.      Tillsynsmyndigheten  och  den  ungerska  regeringen  har  uttryckt  tvivel  avseende  huruvida  begäran  om  förhandsavgörande  kan  tas  upp  till  prövning,  eftersom  de  ställda  frågorna  inte  speglar  de  faktiska  omständigheterna  i  det  nationella  målet  och  inte  är  direkt  relevanta  för  att  det  ska  kunna  avgöras.

15.      Enligt  domstolens  fasta  praxis  ankommer det uteslutande på den nationella domstolen,  vid  vilken  målet  anhängiggjorts  och  vilken  har  ansvaret  för  det  rättsliga  avgörandet,  att  mot  bakgrund  av  de  särskilda  omständigheterna  i  målet  bedöma  såväl  om  ett  förhandsavgörande  är  nödvändigt  för  att  döma  i  saken  som  relevansen  av  de  frågor  som  ställs  till  EU-domstolen.  EU-domstolen  är  följaktligen  skyldig  att  meddela  ett  förhandsavgörande  när  de  frågor  som  ställts  avser  tolkningen  eller  giltigheten  av  en  unionsbestämmelse.  Av  detta  följer  att  de  frågor  som  ställs  av  nationella  domstolar  presumeras  vara  relevanta.  En  tolkningsfråga  som  har  hänskjutits  av  en  nationell  domstol  kan  bara  avvisas  då  det  är  uppenbart  att  den  begärda  tolkningen  av  unionsrätten  inte  har  något  samband  med  de  verkliga  omständigheterna  eller  saken  i  det  nationella  målet  eller  då  frågeställningen  är  hypotetisk  eller  EU-domstolen  inte  har  tillgång  till  sådana  uppgifter  om  de  faktiska  eller  rättsliga  omständigheterna  som  är  nödvändiga  för  att  kunna  ge  ett  användbart  svar  på  de  frågor  som  ställts  till  den.  I  förevarande  fall  innehåller  begäran  om  förhandsavgörande  tillräckliga  uppgifter  om  de  faktiska  och  rättsliga  omständigheterna  för  att  det  ska  gå  att  förstå  tolknings-  och  giltighetsfrågornas  räckvidd.  Framför  allt  finns  det  inget  i  handlingarna  i  målet  som  tyder  på  att  den  begärda  tolkningen  av  unionsrätten  inte  har  något  samband  med  de  verkliga  omständigheterna  eller  saken  i  det  nationella  målet  eller  att  den  är  hypotetisk.(3)

16.      Det  ska  påpekas  att  den  talan  om  ogiltigförklaring  som  har  väckts  vid  den  hänskjutande  domstolen  avser  ett  beslut  om  att  påföra  Digi,  i  egenskap  av  personuppgiftsansvarig,  en  sanktionsavgift  på  grund  av  ett  påstått  åsidosättande  av  principerna  om  ändamålsbegränsning  och  lagringsminimering,  vilka  fastställs  i  artikel 5.1 b  och e  i  dataskyddsförordningen,  som  avses  i  den  hänskjutande  domstolens  begäran  om  tolkning.  Det  måste  därför  anses  att  begäran  om  förhandsavgörande  kan  tas  upp  till  prövning.
B.      Tillämpliga bestämmelser vid bedömningen

17.      Det  måste  konstateras  att  begäran  om  förhandsavgörande  uteslutande  avser  tolkningen  av  artikel 5  i  dataskyddsförordningen  inom  ramen  för  ett  nationellt  mål som  avser  huruvida  en  behandling  av  personuppgifter  som  Digi  har  utfört  är  laglig.  Digi  är  en  av  de  huvudsakliga  leverantörerna  av  internet-  och  televisionstjänster  i  Ungern  och  är  således  en  operatör  som  erbjuder  allmänt  tillgängliga  kommunikationstjänster  online.

18.      Det  ska  emellertid  påpekas  att  i  artikel 1.1  i  direktiv 2002/58/EG(4) föreskrivs  att  genom  detta  direktiv möjliggörs  en  harmonisering  av  nationella  bestämmelser  för  att  bland  annat  säkerställa  ett  likvärdigt  skydd  av  de  grundläggande  fri-  och  rättigheterna,  särskilt  rätten  till  integritet  och  konfidentialitet,  när  det  gäller  behandling  av  personuppgifter  inom  sektorn  för  elektronisk  kommunikation.  I  artikel 3  i  direktiv 2002/58  föreskrivs  dessutom  att  detta  direktiv ska  tillämpas  på  behandling  av  personuppgifter  i  samband  med  att  allmänt  tillgängliga  elektroniska  kommunikationstjänster  tillhandahålls  i  allmänna  kommunikationsnät  inom  unionen,  inbegripet  allmänna  kommunikationsnät  som  stöder  datainsamling  och  identifieringsutrustning.  Detta  direktiv ska  följaktligen  anses  reglera  verksamheten  för  leverantörer  av  sådana  tjänster.(5)

19.      Enligt  artikel 1.2  i  direktiv 2002/58  ska  bestämmelserna  i  detta  direktiv precisera  och  komplettera  direktiv 95/46/EG(6) för  de  ändamål  som  avses  i punkt 1  i  samma  artikel,  varvid  det  ska  påpekas  att  enligt  artikel 94.2  i  dataskyddsförordningen  ska  hänvisningarna  i  direktiv 2002/58  till  direktiv 95/46  anses  som  hänvisningar  till  dataskyddsförordningen.(7) Enligt skäl 10  i  direktiv 2002/58  är  direktiv 95/46  tillämpligt  på  området  för  elektronisk  kommunikation,  i  synnerhet  beträffande  alla  de  frågor  avseende  skydd  av  grundläggande  fri-  och  rättigheter  som  inte  särskilt  omfattas  av  bestämmelserna  i  direktiv 2002/58,  inbegripet  den  registeransvariges  skyldigheter  och  enskilda  personers  rättigheter.(8)

20.      Av  begäran  om  förhandsavgörande  framgår  att  det  nationella  målet  inte  rör  Digi-abonnenternas  användning  av  elektroniska  kommunikationstjänster  och  således  skyddet  av  deras  kommunikationer  och  tillhörande  trafikuppgifter,  vilket  regleras  genom  direktiv 2002/58,  utan  rör  företagets  interna  funktion.  Det  framgår  att  Digi  under  2018,  till  följd  av  ett  tekniskt  fel  hos  en  server  som  gjorde  att  det  inte  gick  att  komma  åt  den  ursprungliga  databasen  över  abonnenter,  skapade  ett  register  kallat  ”test”,  till  vilket  företaget  kopierade  över  personuppgifterna  för  en  del  av  företagets  kunder.(9) När  Digi  väl  hade  åtgärdat  felet  lagrades  uppgifterna  fortsatt  i  denna  ytterligare  databas  ända  till september 2019,  då  den  utsattes  för  en  hackerattack.  Den  verksamhet  som  Digi  på  detta  sätt  utvecklade  har  karaktären  av  en  ”behandling  av  personuppgifter”,  för  vilken  detta  företag  är  ”personuppgiftsansvarig”  i  den  mening  som  avses  i  definitionerna  i  artikel 4.2  och  4.7  i  dataskyddsförordningen.  Det  är  i  denna  egenskap  som  Digi  påfördes  sanktionsavgifter  av  tillsynsmyndigheten  för  att  i  detta  sammanhang  ha  åsidosatt  de  skyldigheter  som  följer  av  bland  annat  artikel 5.1 b  och e  i  dataskyddsförordningen.

21.      Det  ska  erinras  om  att  med  förbehåll  för  de  undantag  som  medges  i  artikel 23  i  dataskyddsförordningen  ska  all  behandling  av  personuppgifter  vara  förenlig  med  de  principer  som  reglerar  behandlingen  och  de  rättigheter  som  registrerade  personer  har  enligt  kapitel II  respektive  kapitel III  i  förordningen.  All  behandling  av  personuppgifter  ska  i  synnerhet  dels  stå  i  överensstämmelse  med  de  principer  som  anges  i  artikel 5  i  förordningen,  dels  uppfylla  de  laglighetsvillkor  som  anges  i  artikel 6  i  samma  förordning.(10)

22.      Enligt  artikel 5  i  dataskyddsförordningen  ankommer  det  på  den  personuppgiftsansvarige  att  säkerställa  att  personuppgifterna  ”behandlas  på  ett  lagligt,  korrekt  och  öppet  sätt”  (led a),  att  de  ”samlas  in  för  särskilda,  uttryckligt  angivna  och  berättigade  ändamål  och  inte  senare  behandlas  på  ett  sätt  som  är  oförenligt  med  dessa  ändamål”  (led b),  att  de  är  ”adekvata,  relevanta  och  inte  för  omfattande  i  förhållande  till  de  ändamål  för  vilka  de  [har  samlats  in  och  för  vilka  de  senare  behandlas]”  (led c),  att  de  är  ”riktiga  och  om  nödvändigt  uppdaterade”  (led d)  och  slutligen  att  de  ”inte  förvaras  i  en  form  som  möjliggör  identifiering  av  den  registrerade  under  en  längre  tid  än  vad  som  är  nödvändigt  för  de  ändamål  för  vilka  personuppgifterna  [har  samlats  in  och  för  vilka  de  senare  behandlas]”  (led e),  medan  behandling  av  personuppgifter  för  historiska,  statistiska  eller  vetenskapliga  ändamål  omfattas  av  särskilda  bestämmelser.  Den  personuppgiftsansvarige  ska  i  detta  sammanhang  vidta  alla  rimliga  åtgärder  för  att  säkerställa  att  uppgifter  som  inte  uppfyller  kraven  i  denna  bestämmelse  raderas  eller  rättas.(11)
C.      Räckvidden av begäran om förhandsavgörande

23.      Den  hänskjutande  domstolen  vill, såsom  framgår  av  de  båda  tolkningsfrågor  som  den har  ställt  rörande  bestämmelserna  i  artikel 5.1 b  och  5.1 e  i  dataskyddsförordningen,  få  klarhet  i  tolkningen  av  principerna  om  ändamålsbegränsning  och  lagringsminimering,  vilka  fastställs  i  respektive  bestämmelse.  Den  andra  frågan,  som  avser  principen  om  lagringsminimering,  är  dock  villkorad  och  behöver  endast  besvaras  för  det  fallet  att  behandlingen  i  fråga  är  oförenlig  med  principen  om  ändamålsbegränsning.

24.      Det  är  viktigt  att  betona  att  de  krav  avseende  behandlingen  av  personuppgifter  som  fastställs  i  artikel 5  i  dataskyddsförordningen  uppenbart  är  kumulativa  och  fristående  i  förhållande  till  varandra.(12) Problematiken  avseende  iakttagandet  av  principen  om  lagringsminimering  är  juridiskt  oberoende  av  problematiken  avseende  principen  om  ändamålsbegränsning.  I  det  beslut  som  är  föremål  för  det  nationella  målet  ansåg  tillsynsmyndigheten  att  den  omständigheten  att  uppgifterna  hade  lagrats  på  ytterligare  ett  internt  lagringsmedium  innebar  ett  åsidosättande  av  båda  dessa  olika  principer.

25.      Även  om  den  hänskjutande  domstolen  formellt  sett  har  begränsat  sin  andra  fråga  genom  att  göra  den  villkorad,  utgör  denna  omständighet  inte  hinder  för  att  EU-domstolen  tillhandahåller  den  hänskjutande  domstolen  alla  uppgifter  om  unionsrättens  tolkning  som  kan  vara  användbara  vid  avgörandet  av  det  nationella  målet,  genom  att  från  samtliga  uppgifter  som  den  hänskjutande  domstolen  har  lämnat,  och  i  synnerhet  utifrån skälen i  beslutet  om  hänskjutande,  identifiera  de  delar  av  unionsrätten  som  behöver  tolkas  med  hänsyn  till  saken  i  målet.(13)
D.      Huruvida behandlingen är laglig med hänsyn till principerna om ändamålsbegränsning och lagringsminimering

1.      Inledande anmärkningar

26.      Det  tycks  mig  nödvändigt  att  inledningsvis  analysera  räckvidden  av  respektive  princip  som  fastställs  i  artikel 5.1 b  och e  i  dataskyddsförordningen  och  detta  i  samband  med  begreppet  lagring,  vilket  i  begäran  om  förhandsavgörande  och  de  berördas  inlagor  har  använts  för  att  beskriva  den  ifrågasatta  behandlingen  ur  två  aspekter.  Den  första  aspekten  rör  själva  lagringen  eller  säkrandet  av  uppgifterna,  i  förevarande  fall  lagringen  av  en  kopia  av  uppgifterna  för  en  del  av  Digis  abonnenter  i  ytterligare  en  inter  databas.  Den  andra  rör  lagringen  i  meningen  av  ett  upprätthållande  av  denna  databas  över  tiden.  Den  fråga  som  har  ställts  är  då  hur  länge  uppgifterna  får  lagras.  Denna  tidsproblematik  omfattas  enligt  min  mening  inte  av  principen  om  ändamålsbegränsning  utan  endast  av  principen  om  lagringsminimering.

27.      Principen  om  ändamålsbegränsning,  vilken  föreskrivs  i  artikel 5.1 b  i  dataskyddsförordningen,  består  av  två  delar:  dels  ska  personuppgifterna  samlas  in  för  ”särskilda,  uttryckligt  angivna  och  berättigade”  ändamål,  dels  ska  de  inte  ”senare  behandlas  på  ett  sätt  som  är  oförenligt”  med  dessa  ändamål.  Denna  princip  är  avsedd  att  tydligast  möjligt  avgränsa  användningen  av  personuppgifterna  genom  att  säkerställa  en  balans  mellan  iakttagandet  av  de  registrerades  grundläggande  rättigheter  vad  gäller  integritet  och  uppgiftsskydd  och  medgivandet  av  en  viss  flexibilitet  till  förmån  för  den  personuppgiftsansvarige  vid  hanteringen  av  uppgifterna,  vilket  är  nödvändigt  med  hänsyn  till  det  digitala  livet  och  dess  risker.

28.      Den  andra  delen  av  denna  princip,  som  intresserar  oss  särskilt  i  förevarande  fall,  syftar  till  att  definiera  de  gränser  inom  vilka  personuppgifter  som  har  samlats  in  för  ett  givet  ändamål  kan  användas  på  nytt.  Enligt  artikel 5.1 b  i  dataskyddsförordningen  ska  all  behandling  efter  insamlingen  betraktas  som  en  ”ytterligare  behandling”  och  ska  alltså  utan  undantag  uppfylla  kravet  på  förenlighet.(14) Kravet  på  förenlighet  innebär  att  det  måste  finnas  en  konkret,  logisk  och  tillräckligt  nära  koppling  mellan  ändamålet  med  insamlingen  av  uppgifterna  och  den  ytterligare  behandlingen  av  dem.  Denna  behandling  får  med  andra  ord  inte  vara  frikopplad  från  det  ursprungliga  ändamålet  med  insamlingen  av  uppgifterna  eller  strida  mot  det,  och  dess  innehåll  måste  vara  förenligt  med  insamlingens  existensberättigande,  oberoende  av  eventuell  tidsproblematik.

29.      Principen  om  ändamålsbegränsning  utgör  inte  i  egentlig  mening  ett  uttryck  för  proportionalitetsprincipen,  till  skillnad  från  principen  om  lagringsminimering  som  fastställs  i  artikel 5.1 e  i  dataskyddsförordningen.  Som  domstolen  har  preciserat  följer  det  av  de  krav  som  uppställs  i  denna  artikel att  även  en  behandling  av  uppgifter  som  inledningsvis  är  laglig  med  tiden  kan  bli  oförenlig  med  denna  förordning  när  uppgifterna  inte  längre  är  nödvändiga  med  hänsyn  till  de  ändamål  för  vilka  de  samlats  in  eller  behandlats.  Så  är  bland  annat  fallet  när  de  inte  är  adekvata,  inte  eller  inte  längre  är  relevanta  eller  är  för  omfattande  med  hänsyn  till  dessa  ändamål  och  den  tid  som  gått.(15)

30.      Inom  ramen  för  principen  om  lagringsminimering  handlar  det  således  om  att  bedöma  huruvida  behandlingen  är  proportionerlig  i  förhållande  till  dess  ändamål  med  hänsyn  till  den  tid  som  gått.  Att  lagra  uppgifterna  under  en  längre  tid  än  vad  som  är  nödvändigt,  det  vill  säga  längre  än  vad  som  är  nödvändigt  för  att  uppnå  de  ändamål  för  vilka  uppgifterna  lagrats,  strider  mot  denna  princip.(16) När  lagringens  ändamål  har  uppnåtts  ska  uppgifterna  raderas.(17) Principen  om  lagringsminimering  svarar  således  på  frågan  om  när  Digis  lagring  av  uppgifterna  på  ytterligare  ett  internt  lagringsmedium  inte  längre  var  motiverad.

31.      Mot  bakgrund  av  det  ovan  anförda  kommer  jag  nu  att  undersöka  huruvida  behandlingen  i  fråga  var  laglig  med  hänsyn  till  dessa  båda  ovannämnda  principer.
2.      Principen om ändamålsbegränsning

32.      För  att  kontrollera  huruvida  den  andra  delen  av  denna  princip  har  iakttagits  måste  ändamålet  eller  ändamålen  med  insamlingen  av  uppgifterna  i  fråga  först  fastställas. Av de handlingar som domstolen innehar framgår att Digi i  egenskap  av  leverantör  av  internet-  och  televisionstjänster  samlade in uppgifterna i syfte att ingå och fullgöra abonnemangsavtal  och  att  lagligheten  av  denna  första  behandling  inte  är  föremål  för  någon  diskussion  mellan  parterna  i  det  nationella  målet.  Det  samma  gäller  den  efterföljande  ofrånkomliga  behandling  som  består  i  att  lagra  nämnda  uppgifter  på  ett  särskilt  lagringsmedium,  betecknat  den  ursprungliga  databasen.(18) Den  hänskjutande  domstolen  vill  i  detta  sammanhang  framför  allt  få  svar  på  frågan  huruvida  det  särskilda,  uttryckligt  angivna  och  berättigade  ändamålet  med  insamlingen  av  uppgifterna  ”ändrades”  av  den  omständigheten  att  uppgifterna  kopierades  över  till  ytterligare  en  databas,  utöver  den  första  lagringen  som  inte  är  föremål  för  någon  diskussion  mellan  parterna.

33.      Enligt  domstolens  praxis  ska  dataskyddsförordningens  regler  om  skydd  för  personuppgifter  iakttas  vid  all  sådan  behandling  av  personuppgifter  som  avses  i  artikel 2  i  denna  förordning.(19) Den  ovannämnda  frågan  tycks  mig  tyda  på  en  okunnighet  om  kravet  att  det  ska  göras  en  individuell  bedömning  av  all  behandling  av  uppgifter  som  vidtas  efter  det  att  de  har  samlats  in,  såsom  det  följer  av  artikel 5.1 b  i  dataskyddsförordningen.

34.      Varje  fall  av  ytterligare  användning  av  uppgifterna  ska  med  andra  ord  granskas  i  syfte  att  kontrollera  det  särskilda  ändamålet  och  vid  behov  dess  förenlighet  med  insamlingens  ändamål.  Att  insamlingen  och  den  första  lagringen  av  uppgifterna  är  laglig  innebär  inte  automatiskt,  genom  en  sorts  smittoeffekt,  att  principen  om  ändamålsbegränsning  iakttas  vid  en  ytterligare  behandling,  även  om  sistnämnda  behandling  avser  samma  uppgifter.  Som  den  ungerska  regeringen  har  gjort  gällande  kan  det  inte  anses  att  den  personuppgiftsansvarige  har  möjlighet  att  lagra  personuppgifterna  i  flera  register  och  utan  begränsningar  under  förutsättning  att  uppgifterna  initialt  har  samlats  in  och  behandlats  lagligt.

35.      Det  ska  således  undersökas huruvida  den  ytterligare  behandlingen  av  uppgifterna  var  förenlig  med  ändamålen  med  insamlingen  av  dem,  såsom  det  krävs  enligt  artikel 5.1 b  i  dataskyddsförordningen.  Logiskt  sett  uppkommer  denna  fråga  emellertid  endast  i  det  fallet  att  behandlingen  utfördes  för  andra  ändamål  än  de  ursprungligen  angivna.

36.      Enligt skäl 50  i  dataskyddsförordningen  bör  behandling  av  personuppgifter  ”för  andra  ändamål”  än  de  för  vilka  de  ursprungligen  samlades  in  endast  vara  tillåten  när  detta  är  förenligt  med  insamlingens  ändamål.  Även  ordalydelsen  i  artikel 6.4  i  förordningen  styrker  ovannämnda  slutsats.  I  denna  bestämmelse  uppräknas  på  ett  icke  uttömmande  sätt  de  kriterier  som  i  en  given  konfiguration  gör  det  möjligt  att  bedöma  om  behandling  ”för  andra  ändamål”  är  förenlig  med  det  ändamål  för  vilket  personuppgifterna  ursprungligen  samlades  in.  Ett  konstaterande  av  att  insamlingen  av  uppgifter  och  den  ytterligare  behandlingen  av  dem  har  samma  ändamål,  såsom  Digi  har  gjort  gällande,  gör  således  att  frågan  rörande  förenligheten  saknar  föremål  och  att  slutsatsen  kan  dras  att  denna  behandling  är  laglig  med  hänsyn  till  principen  om  ändamålsbegränsning.(20)
a)      Behandlingens ändamål

37.      Av  de  handlingar  som  lämnats  in  till  domstolen  och  särskilt  av  Digis  uttalanden  framgår  att  detta  företag,  till  följd  av  ett  tekniskt  fel  i  servern  som  omöjliggjorde  åtkomst  till  den  ursprungliga  databasen,  lagrade  en  kopia  av  uppgifterna  för  en  del  av  abonnenterna  i  ytterligare  en  intern  databas,  som  kallades  ”test”,  i  syfte  att  åtgärda  det  tekniska  felet  och  säkerställa  åtkomsten  till  uppgifterna  i  enlighet  med  den  skyldighet  som  den  personuppgiftsansvarige  är  ålagd  enligt  artikel 5.1 f  och  som  fastställs  närmare  i  artikel 32  i  dataskyddsförordningen.(21) Digi  har  gjort  gällande  att  denna  behandling  således  också  bidrog  till  uppnåendet  av  ändamålet  med  insamlingen  av  uppgifter,  det  vill  säga  att  tillhandahålla  den  avtalade  tjänsten.  Under  dessa  omständigheter  var  den  ifrågasatta  lagringen  inte  kopplad  till  ett  annat  ändamål,  vilket  utesluter  en  överträdelse  av  artikel 5.1 b  i  dataskyddsförordningen.

38.      Även  om  det  naturligtvis  ankommer  på  den  hänskjutande  domstolen  att  kontrollera  huruvida  den  ovannämnda  behandlingen  var  laglig  med  hänsyn  till  bland  annat  de  krav  som  anges  i  artikel 5  i  dataskyddsförordningen  och  samtliga  omständigheter  i  förevarande  fall,  kan  flera  påpekanden  göras  i  detta  sammanhang.

39.      För  det  första  ska  det  påpekas  att  Digi  har  hävdat  att  den  ifrågasatta  behandlingen  hade  ett  dubbelt  ändamål,  i  den  meningen  att  det  primära  och  specifika  syftet,  att  åtgärda  felet  i  servern  och  säkerställa  åtkomsten  till  abonnenternas  uppgifter,  i  sig  omfattades  av  det  sekundära  och  allmänna  syftet,  som  var  att  fullgöra  abonnemangsavtalen,  vilket  sammanföll  med  den  ursprungliga  uppgiftsinsamlingens  syfte.

40.      Det  är  i  praktiken  fullständigt  tänkbart  att  personuppgifter  kan  samlas  in  eller  behandlas  ytterligare  för  flera  ändamål,  vilket  förutses  och  tydligt  medges  i  dataskyddsförordningen,  såsom  det  framgår  av  ordalydelsen  i  artiklarna 5.1 b  och  6.1 a,  samt skälen 32  och  50.  Detta  synsätt  svarar  mot  behovet  av  pragmatism  och  flexibilitet  vid  komplexa  och  föga  linjära  behandlingar  av  personuppgifter  i  den  digitala  eran.  Kravet  på  precisering  av  ändamålet,  som  är  ett  väsentligt  element  i  genomförandet  av  det  europiska  systemet  för  skydd  för  personuppgifter,  måste  emellertid  beaktas.

41.      Ett  tillräckligt  preciserat  ändamål  utgör  således  en  grundläggande  garanti  för  förutsebarhet  och  rättssäkerhet,  i  den  meningen  att  det  bidrar  till  att  ge  den  registrerade  en  god  uppfattning  om  hur  uppgifterna  kan  användas  och  ger  vederbörande  möjlighet  att  bestämma  sig  med  full  kännedom  om  saken.  Denna  förutsebarhet  är  väsentlig  vid  bedömningen  av  förenligheten  mellan  ändamålet  med  uppgiftsinsamlingen  och  den  ytterligare  behandlingen  av  uppgifterna,  vilket  således  minskar  risken  för  en  obalans  mellan  de  registrerades  skäliga  förväntningar  på  hur  deras  uppgifter  kan  användas  i  framtiden  och  de  åtgärder  som  den  personuppgiftsansvarige  vidtar.  Ändamålet  behöver  också  specificeras  för  tillämpningen  av  andra  krav  som  ställs  på  de  insamlade  uppgifternas  kvalitet,  bland  annat  att  de  ska  vara  adekvata,  relevanta,  proportionerliga  och  korrekta,  och  kraven  avseende  lagringstiden,  i  enlighet  med  artikel 5.1 c,  d  och  e  i  dataskyddsförordningen.

42.      Som  det  underströks  i  yttrande  3/2013  från  ”artikel 29-gruppen”(22) gäller  kravet  på  precisering  således  all  behandling  och  inte  endast  i  det  inledande  skedet  för  insamling  av  uppgifter.  Det  är  intressant  att  notera  att  i  fall  av  behandling  av  uppgifter  som  grundas  på  den  registrerades  samtycke  är  denna,  enligt  lydelsen  i  artikel 6.1 a  i  dataskyddsförordningen,  laglig  endast  om  personen  i  fråga  har  lämnat  sitt  samtycke  till  behandlingen  för  ett  eller  flera  ”specifika”  ändamål.

43.      Även  om  en  given  behandling  kan  syfta  till  att  uppnå  två  ändamål,  måste  under  dessa  omständigheter  vart  och  ett  av  ändamålen  ha  en  precis  karaktär  samt  en  objektiv  och  tillräckligt  nära  koppling  till  behandlingen  i  fråga.

44.      För  det  andra  ska  det  erinras  om  det  särskilda  sammanhang  i  vilket  bedömningen  av  ändamålet  eller  ändamålen  med  den  ytterligare  behandlingen  i  fråga  ska  göras.

45.      Enligt skälen 60  och  61  i  dataskyddsförordningen  fordrar  principerna  om  rättvis  och  öppen  behandling  att  den  registrerade  informeras  om  att  behandling  sker  och  syftet  med  denna,  samt  att  information  om  behandlingen  av  dennes  personuppgifter  lämnas  till  honom  eller  henne  vid  den  tidpunkt  då  personuppgifterna  samlas  in  från  den  registrerade.  I  artikel 13.1 c  i  dataskyddsförordningen  föreskrivs  att  om  personuppgifter  som  rör  en  registrerad  person  samlas  in  från  den  registrerade,  ska  den  personuppgiftsansvarige,  när  personuppgifterna  erhålls,  till  den  registrerade  lämna  information  om  ändamålen  med  den  behandling  för  vilken  personuppgifterna  är  avsedda  samt  den  rättsliga  grunden  för  behandlingen.

46.      Dock  kvarstår  att  oavsett  hur  förutseende  och  grundlig  en  personuppgiftsansvarig  än  är,  kan  det  hända  att  han  eller  hon  inte  redan  när  behandlingen  utformas  kan  förutse  och  fastställa  arten  och  den  exakta  omfattningen  av  alla  åtgärder  i  kedjan  för  behandling  av  uppgifterna.  Förevarande  mål är en  perfekt  illustration  av  problematiken  i  samband  med  hanteringen  av  ett  tekniskt  fel,  vilket  per  definition  är  en  oförutsedd  händelse,  och  det  efterföljande  utförandet  av  en  viss  typ  av  behandling  av  uppgifter  för  ett  ändamål  som  inte  ursprungligen  hade  specificerats.

47.      Inom  ramen  för  den  bedömning  av  den  ifrågavarande  behandlingens  laglighet  som  i  förevarande  fall  har  gjorts  av  tillsynsmyndigheten  och  därefter  av  den  domstol  vid  vilken  tillsynsmyndighetens  beslut  överklagades  har  ändamålet  i  fråga  varit  föremål  för  en  efterhandskontroll,  med  beaktande  av  de  uppgifter  som  lämnades  av  den  personuppgiftsansvarige  under  det  administrativa  förfarandet.  Och  det  är  på  den  sistnämnde,  som  har  utformat  behandlingen  i  fråga,  som  det  enligt  den  princip  om  ansvar  som  föreskrivs  i  artikel 5.2  i  dataskyddsförordningen  ankommer  att  visa  att  det  påstådda  ändamålet  var  verkligt  och  vid  behov  att  behandlingen  var  förenlig  med  uppgiftsinsamlingens  syfte.(23)

48.      Två  konkreta  och  objektiva  faktorer  kan  beaktas  vid  kontrollen  av  detta  ändamål.  För  det  första  föreskrivs  i  artikel 13.3  i  dataskyddsförordningen  att  om  personuppgifter  som  rör  en  registrerad  person  samlas  in  från  den  registrerade  och  den  personuppgiftsansvarige  avser  att  ytterligare  behandla  personuppgifterna  för  ett  annat  syfte  än  det  ändamål  för  vilket  de  insamlades,  ska  den  personuppgiftsansvarige  före  denna  ytterligare  behandling  ge  den  registrerade  information  om  detta  andra  syfte(24) samt  ytterligare  relevant  information  enligt punkt 2  i  denna  bestämmelse.  För  det  andra  föreskrivs  i  artikel 30.1  i  dataskyddsförordningen  att  varje  personuppgiftsansvarig  ska  föra  ett  register,  som  ska  upprättas  skriftligen,  inbegripet  i  elektronisk  form,  över  behandling  som  utförts  under  dess  ansvar  samt  på  begäran  ska  göra  registret  tillgängligt  för  tillsynsmyndigheten.  Detta  register  ska  innehålla  olika  uppgifter,  bland  annat  uppgifter  om  ändamålen  med  behandlingen.

49.      I  förevarande  fall  tycks  det  fastställt  att  Digi  inte  informerade  någon  av  de  registrerade  abonnenterna  om  sin  avsikt  att  kopiera  deras  uppgifter  och  lagra  dem  på  ett  internt  lagringsmedium  som  var  avsett  för  genomförande  av  tester  och  åtgärdande  av  fel,  eftersom  nämnda  operatör  ansåg  att  denna  behandling  inte  hade  ett  annat  ändamål  än  det  ändamål  för  vilket  uppgifterna  hade  samlats  in  och  således  inte  omfattades  av  tillämpningsområdet  för  artikel 13.3  i  dataskyddsförordningen.(25) Vidare  kan  det  inte  utifrån  de  handlingar  som  har  lämnats  in  till  domstolen  avgöras  huruvida  Digi  omfattas  av  det  undantag  från  skyldigheten  att  föra  register  som  föreskrivs  i  artikel 30.5  i  dataskyddsförordningen.(26)

50.      Det  ska  i  varje  fall  påpekas  att  Digi  vid  förhandlingen  tydligt  angav  att  det  tekniska  fel  som  uppstod  2018  inte  föranledde  ett  avbrott  i  den  avtalade  tjänsten,  eftersom  den  ifrågasatta  lagringen  genomfördes  enbart  med  hänsyn  till  risken  för  ett  sådant  avbrott.  Detta  uttalande  måste  ses  mot  bakgrund  av  de  objektiva  konstaterandena  avseende  sakförhållandena  vad  gäller  valet  att  kalla  nämnda  databas  för  ”test”,  den  omständigheten  att  testdatabasen  inte  innehöll  uppgifter  om  samtliga  abonnenter  utan  endast  om  en  tredjedel  av  dem,  och  att  Digi,  efter  att  ha  glömt  bort  denna  databas  under  18 månader  när  det  ursprungliga  tekniska  felet  hade  åtgärdats,  omedelbart  raderade  den  efter  hackerattacken  i september 2019  som  påverkade  uppgifternas  säkerhet.

51.      Under  dessa  omständigheter  tycks  det  möjligt  att  fastställa  att  den  ifrågasatta  behandlingen  hade  ett  enda  konkret  och  specifikt  syfte,  det  vill  säga  att  tillfälligt  säkra  en  del  av  abonnenternas  uppgifter  i  samband  med  att  man  åtgärdade  ett  tekniskt  fel  som  påverkade  serverns  funktion,  vilket  enligt  min  mening  är  ett  annat  syfte  än  det  för  vilket  uppgifterna  samlades  in.

52.      Kommissionen  och  Digi  har  däremot  hävdat  att  en  sådan  behandling,  som  syftar  till  att  iaktta  den  personuppgiftsansvariges  skyldighet  att  säkerställa  säkerheten,  vilken  föreskrivs  i  artikel 5.1 f  i  dataskyddsförordningen  och  fastställs  närmare  i  artikel 32,  inte  kan  anses  ha  ett  nytt  eller  annat  ändamål,  eftersom  det  skulle  motverka  denna  rättsakts  ändamålsenliga  verkan  och  resultera  i  information  till  de  registrerade  som  saknar  praktiskt  intresse.

53.      Det  tycks  mig  som  om  detta  abstrakta  och  systematiska  synsätt  strider  mot  kravet  att  varje  behandlings  laglighet  ska  bedömas  med  beaktande  av  alla  relevanta  omständigheter  i  det  enskilda  fallet.  Genom  detta  synsätt  fråntas  de facto  den  skyldighet  att  lämna  information  till  de  registrerade  som  föreskrivs  i  artikel 13.3  i  dataskyddsförordningen  sin  ändamålsenliga  verkan  –  information  som  den  personuppgiftsansvarige  ska  lämna  till  dessa  personer  för  att  tillförsäkra  dem  en  korrekt  behandling  av  uppgifterna.(27) Denna  skyldighet  är  av  tvingande  karaktär  i  det  fallet  att  behandlingen,  såsom  i  förevarande  fall,  utförs  inom  ramen  för  ett  avtalsförhållande  och  grundas  på  artikel 6.1 b  i  dataskyddsförordningen  som  avser  nödvändigheten  att  fullgöra  ett  avtal  utan  att  samtycke  av  avtalsparterna  krävs.  Nämnda  synsätt  innebär  slutligen  att  man  bortser  från  existensberättigandet  för  artikel 5.1 b  i  dataskyddsförordningen,  det  vill  säga  att  en  ytterligare  behandling  som  har  ett  annat  ändamål  än  det  ändamål  för  vilket  uppgifterna  samlades  in  inte  nödvändigtvis  är  olaglig,  eftersom  det  räcker  att  den  är  förenlig  med  sistnämnda  ändamål  för  att  uppfylla  kraven  i  ovannämnda  bestämmelse.
b)      Behandlingens förenlighet

54.      Artikel 5.1 b  i  dataskyddsförordningen  innehåller  inga  uppgifter  om  under  vilka  villkor  en  ytterligare  behandling  som  har  ett  annat  ändamål  än  det  ändamål  för  vilket  uppgifterna  ursprungligen  samlades  in  kan  anses  vara  förenlig  med  sistnämnda  ändamål.  Stöd  kan  sökas  i  artikel 6.4  i  dataskyddsförordningen,  jämförd  med skäl 50,  av  vilken  det  framgår  en  koppling  mellan  principen  om  ändamålsbegränsning  och  den  rättsliga  grunden  för  behandlingen  i  fråga.

55.      Vad  gäller  kravet  på  förenlighet  görs  i  denna  bestämmelse  således  åtskillnad  beroende  på  om  en  behandling  för  andra  ändamål  än  det  ändamål  för  vilket  uppgifterna  samlades  in  grundar  sig  på,  eller  inte  grundar  sig  på,  den  registrerades  samtycke  eller  på  unionsrätten  eller  medlemsstaternas  nationella  rätt  som  utgör  en  nödvändig  och  proportionell  åtgärd  i  ett  demokratiskt  samhälle  för  att  skydda  de  mål som  avses  i  artikel 23.1  i  dataskyddsförordningen.

56.      Om  behandlingen  i  fråga  grundar  sig  på  något  av  det  ovannämnda,  tillåts  den  personuppgiftsansvarige  enligt  ordalydelsen  i skäl 50  andra  stycket  i  dataskyddsförordningen  behandla  personuppgifterna  ytterligare,  oavsett  om  detta  är  förenligt  med  ändamålen  eller  inte.(28) Detta  undantag  från  kravet  på  förenlighet  motiveras  i  huvudsak  av  förekomsten  av  andra  regler  som  skyddar  de  registrerade,  särskilt  reglerna  om  att  de  ska  informeras  om  användningen  för  andra  ändamål  och  rätten  att  invända  mot  behandling.(29)

57.      Om  behandlingen  i  fråga  däremot  inte  grundar  sig  på  något  av  det  ovannämnda,  vilket  är  fallet  i  det  nationella  målet,  föreskrivs  följande  i  artikel 6.4  i  dataskyddsförordningen:
”…  ska  den  personuppgiftsansvarige  för  att  fastställa  huruvida  behandling  för  andra  ändamål  är  förenlig  med  det  ändamål  för  vilket  personuppgifterna  ursprungligen  samlades  in  bland  annat  beakta  följande:
a)      Kopplingar  mellan  de  ändamål  för  vilka  personuppgifterna  har  samlats  in  och  ändamålen  med  den  avsedda  ytterligare  behandlingen.  
b)      Det  sammanhang  inom  vilket  personuppgifterna  har  samlats  in,  särskilt  förhållandet  mellan  de  registrerade  och  den  personuppgiftsansvarige.  
c)      Personuppgifternas  art,  särskilt  huruvida  särskilda  kategorier  av  personuppgifter  behandlas  i  enlighet  med  artikel 9  eller  huruvida  personuppgifter  om  fällande  domar  i  brottmål  och  lagöverträdelser  som  innefattar  brott  behandlas  i  enlighet  med  artikel 10.
d)      Eventuella  konsekvenser  för  registrerade  av  den  planerade  fortsatta  behandlingen.
e)      Förekomsten  av  lämpliga  skyddsåtgärder,  vilket  kan  inbegripa  kryptering  eller  pseudonymisering.”

58.      Eftersom  Digi  när  uppgifterna  samlades  in  inte  lämnade  någon  formell  information  om  den  ytterligare  behandling  som  planerades  och  dess  ändamål,  måste  ett  materiellt  synsätt  väljas  som  enligt  min  mening  tycks  resultera  i  ett  konstaterande  av  att  denna  behandling  var  förenlig  med  det  ursprungliga  ändamålet.

59.      Det  finns  onekligen  en  koppling  mellan  ändamålet  med  den  ursprungliga  insamlingen  av  uppgifterna,  det  vill  säga  att  fullgöra  internet-  och  tv-abonnemangsavtal,  och  en  behandling  som  syftar  till  att  säkra  dessa  uppgifter  i  ytterligare  en  intern  databas  och  att  i  största  säkerhet  genomföra  tester  i  avsikt  att  åtgärda  ett  tekniskt  fel  som  potentiellt  kunde  ha  skadat  tillhandahållandet  av  den  avtalade  tjänsten.  Även  om  dessa  ändamål,  såsom  det  angetts  ovan,  inte  sammanfaller  med  varandra  finns  det  en  logisk  koppling  mellan  dem.

60.      Det  ska  betonas  att  denna  behandling  inte  avviker  från  abonnenternas  berättigade  förväntningar  på  hur  deras  uppgifter  senare  kunde  komma  att  användas.  En  ytterligare  lagring  av  uppgifter  på  ett  internt  lagringsmedium  som  motiverades  av  behovet  att  åtgärda  ett  tekniskt  fel  som  påverkade  åtkomsten  till  uppgifterna  i  den  ursprungliga  databasen  kan  nämligen  inte  anses  vara  överraskande  eller  osannolik.  Uppgifterna  i  fråga  behandlades  dessutom  fortsatt  av  samma  personuppgiftsansvarige  och  spreds  inte  till  tredje  man,  vilket  i  princip  visar  att  det  inte  förelåg  någon  negativ  inverkan.  Den  omständigheten  att  upphovsmannen  bakom  den  hackerattack  som  riktades  mot  Digi  kunde  komma  åt  uppgifterna  på  detta  lagringsmedium  kan  enligt  min  mening  inte  retroaktivt  leda  till  slutsatsen  att  behandlingen  i fråga  var  oförenlig  med  det  ursprungliga  ändamålet.
3.      Principen om lagringsminimering 

61.      Enligt  artikel 5.1 e  i  dataskyddsförordningen  får  uppgifterna  inte  förvaras  i  en  form  som  möjliggör  identifiering  av  den  registrerade(30) under  en  längre  tid  än  vad  som  är  nödvändigt  för  de  ändamål  för  vilka  personuppgifterna  behandlas.  Personuppgifter  får  lagras  under  längre  perioder  i  den  mån  som  personuppgifterna  enbart  behandlas  för  arkivändamål  av  allmänt  intresse,  vetenskapliga  eller  historiska  forskningsändamål,  eller  statistiska  ändamål  i  enlighet  med  artikel 89.1  i  nämnda  förordning,  under  förutsättning  att  de  lämpliga  tekniska  och  organisatoriska  åtgärder  som  krävs  enligt  denna  förordning  genomförs  för  att  säkerställa  den  registrerades  rättigheter  och  friheter.

62.      Principen  om  lagringsminimering  utgör,  som  det  har  nämnts  ovan,  ett  uttryck  för  proportionalitetsprincipen,  liksom  för  principen  om  ”uppgiftsminimering”,  enligt  vilken  personuppgifter  ska  vara  adekvata,  relevanta  och  inte  för  omfattande  i  förhållande  till  de  ändamål  för  vilka  de  behandlas.(31) Inom  ramen  för  principen  om  lagringsminimering  ska  frågan  om  huruvida  behandlingen  är  nödvändig  sett  ur  en  tidsmässig  aspekt  sättas  i  relation  till  frågan  om  huruvida  ändamålet  fortfarande  föreligger.  

63.      Det  ska  även  erinras  om  att  iakttagande  av  kravet  på  proportionalitet  innebär  att  undantag  från  och  begränsningar  av  skyddet  för  personuppgifter  ska  inskränkas  till  vad  som  är  strängt  nödvändigt.(32) Domstolen  har  tydligt  angett  att  artikel 5.1 e  i  dataskyddsförordningen  syftar  till  att  skydda  de  registrerade.(33)

64.      Lika  uttryckligt  anges  i skäl 39  i  dataskyddsförordningen  att  den  period  under  vilken  uppgifterna  lagras  ska  vara  ”begränsad  till  ett  strikt  minimum”  och  att  den  personuppgiftsansvarige  för  detta  ändamål  bör  införa  tidsfrister  för  radering  eller  för  regelbunden  kontroll.  I  artikel 13.2 a  i  dataskyddsförordningen  föreskrivs  att  utöver  den  information  som  avses  i punkt 1  i  denna  artikel ska  den  personuppgiftsansvarige  vid  insamlingen  av  personuppgifterna  lämna  den  registrerade  ytterligare  information,  vilken  krävs  för  att  säkerställa  rättvis  och  öppen  behandling,  bland  annat  information  om  den  period  under  vilken  personuppgifterna  kommer  att  lagras  eller,  om  detta  inte  är  möjligt,  de  kriterier  som  används  för  att  fastställa  denna  period.(34)

65.      I  detta  sammanhang  ska  det  mot  bakgrund  av  samtliga  omständigheter  i  förevarande  fall(35) fastställas  vid  vilken  tidpunkt  ändamålen  med  lagringen  av  en  kopia  av  uppgifterna  för  en  del  av  abonnenterna  i  ytterligare  en  intern  databas  eventuellt  kunde  anses  ha  uppnåtts,  så  att  denna  behandling  inte  längre  hade  något  existensberättigande  och  Digi  var  skyldigt  att  radera  uppgifterna.  Det  är  uppenbart  att  enligt  principen  om  ansvarsskyldighet,  som  föreskrivs  i  artikel 5.2  i  dataskyddsförordningen,  ankommer  det  på  den  personuppgiftsansvarige  att  bevisa  att  behandlingen  var  laglig  med  hänsyn  till  principen  om  lagringsminimering,  liksom  med  hänsyn  till  principen  om  ändamålsbegränsning.

66.      Eftersom  den  ifrågasatta  lagringen  syftade  till  att  säkra  uppgifterna  och  därigenom  bidrog  till  uppnåendet  av  målet  att  fullgöra  abonnemangsavtalen,  har  Digi  hävdat  att  den  period  under  vilken  uppgifterna  lagrades  i  testdatabasen  anpassades  efter  perioden  för  fullgörande  av  företagets  avtalsskyldigheter,  vilket  utesluter  en  eventuell  överträdelse  av  artikel 5.1 e  i  dataskyddsförordningen.

67.      När  det  gäller  att  fastställa  ändamålet  eller  ändamålen  hänvisar  jag  till  samtliga  de  konstateranden  och  bedömningar  som  gjorts  ovan  inom  ramen  för  svaret  på  frågan  huruvida  principen  om  ändamålsbegränsning  har  iakttagits,  av  vilka  det  framgår  att  behandlingen  i  fråga  inte  kan  anses  ha  haft  ett  dubbelt  ändamål  som  inbegrep  att  fullgöra  abonnemangsavtalen.(36)

68.      Oavsett  de  fastställda  ändamålens  art  måste  behandlingen  av  uppgifterna  i  form  av  lagring  i  ytterligare  ett  internt  register  i  varje  fall  ändå  begränsas  i  tiden  till  vad  som  var  strikt  nödvändigt.  När  det  ursprungliga  felet  väl  hade  åtgärdats  förelåg  med  andra  ord  inte  längre  den  omständighet  som  motiverade  lagringen  och  upprätthållandet  av  den.  Under  dessa  omständigheter  kunde  det  direkta  och  primära  syftet  att  säkra  uppgifterna  i  samband  med  att  det  tekniska  felet  åtgärdades,  taget  för  sig  eller  i  kombination  med  det  indirekta  och  sekundära  syftet  att  fullgöra  abonnemangsavtalen,  inte  längre  motivera  en  fortsatt  behandling.

69.      Det  måste  konstateras  att  Digi  entydigt  har  angett  att  testdatabasen  var  avsedd  att  garantera  åtkomsten  till  abonnenternas  uppgifter  ”till  dess  att  felet  hade  åtgärdats”  och  att  det  var  av  misstag  som  företaget  inte  raderade  den  när  felen  hade  åtgärdats  och  det  inte  längre  var  motiverat  att  upprätthålla  den,(37) vilket  innebär  att  det  inte  längre  fanns  någon  nytta  med  den  ifrågasatta  behandlingen  och  att  den  således  inte  hade  något  ändamål.  Kan  det  anses  att  en  intern  databas  som,  enligt  vad  den  personuppgiftsansvarige  själv  har  erkänt,  glömdes  bort  under  ett  och  ett  halvt  år ändå  hade  ett  effektivt  ändamål?  Svaret  på  detta  måste  enligt  min  mening  vara  nekande.
V.      Förslag till avgörande

70.      Mot  bakgrund  av  det  ovan  anförda  föreslår  jag  att  domstolen  besvarar  de  frågor  som  ställts  av  Fővárosi  Törvényszék  (Överdomstolen  för  Budapests  stad,  Ungern)  på  följande  sätt:
1)      Artikel 5.1 b  i  Europaparlamentets  och  rådets  förordning  (EU)  2016/679  av  den  27 april 2016  om  skydd  för  fysiska  personer  med  avseende  på  behandling  av  personuppgifter  och  om  det  fria  flödet  av  sådana  uppgifter  och  om  upphävande  av  direktiv 95/46/EG  (allmän  dataskyddsförordning)  ska  tolkas  så,  att  den  princip  som  fastställs  däri  inte  utgör  hinder  för  att  personuppgifter  som  har  samlats  in  och  lagrats  på  ett  lagligt  sätt  lagras  i  ytterligare  en  intern  databas,  förutsatt  att  denna  behandling  har  samma  ändamål  som  ändamålen  med  insamlingen  eller,  om  så  inte  är  fallet,  att  den  är  förenlig  med  sistnämnda  ändamål,  vilket  det  ankommer  på  den  personuppgiftsansvarige  att  visa,  inbegripet  i  det  fallet  att  behandlingen  svarar  mot  dennes  skyldighet  att  säkerställa  lämplig  säkerhet  för  personuppgifterna  i  enlighet  med  artikel 5.1 f  i  nämnda  förordning.
Om  nämnda  behandling  för  ett  annat  ändamål  än  det  ändamål  för  vilket  uppgifterna  samlades  in  inte  grundar  sig  på  den  registrerades  samtycke  eller  på  unionsrätten  eller  medlemsstaternas  nationella  rätt  i  enlighet  med  artikel 23.1  i  förordning  2016/679,  ska  dess  förenlighet  fastställas  med  beaktande  av  bland  annat  de  kriterier  som  anges  i  artikel 6.4  i  denna  förordning.
2)      Artikel 5.1 e  i  förordning  2016/679  ska  tolkas  så,  att  den  princip  som  fastställs  däri  utgör  hinder  för  att  uppgifter  som  har  samlats  in  och  lagrats  på  ett  lagligt  sätt  lagras  i  ytterligare  en  intern  databas,  i  en  form  som  möjliggör  identifiering  av  de  registrerade,  i  syfte  att  åtgärda  ett  tekniskt  fel  och  tillfälligt  säkra  dessa  uppgifter,  under  en  längre  tid  än  vad  som  är  nödvändigt  för  att  uppnå  detta  syfte  och  således  efter  det  att  felet  åtgärdats,  inbegripet  om  detta  direkta  och  primära  syfte  kan  kombineras  med  det  indirekta  och  sekundära  syftet  att  tillhandahålla  den  avtalade  tjänsten.

1      Originalspråk:  franska.

2      Europaparlamentets  och  rådets  förordning  av  den  27 april 2016  om  skydd  för  fysiska  personer  med  avseende  på  behandling  av  personuppgifter  och  om  det  fria  flödet  av  sådana  uppgifter  och  om  upphävande  av  direktiv 95/46/EG  (allmän  dataskyddsförordning)  (EUT L 119,  2016, s. 1)  (nedan  kallad  dataskyddsförordningen).

3      Dom  av  den  16 juli 2020,  Facebook  Ireland  och  Schrems  (C‑311/18,  EU:C:2020:559, punkterna 73  och  74).

4      Europaparlamentets  och  rådets  direktiv av  den  12 juli 2002  om  behandling  av  personuppgifter  och  integritetsskydd  inom  sektorn  för  elektronisk  kommunikation  (direktiv om  integritet  och  elektronisk  kommunikation)  (EGT L 201,  2002, s. 37).

5      Dom  av  den  6 oktober 2020,  Privacy  International  (C‑623/17,  EU:C:2020:790, punkterna 34  och  36).

6      Europaparlamentets  och  rådets  direktiv av  den  24 oktober 1995  om  skydd  för  enskilda  personer  med  avseende  på  behandling  av  personuppgifter  och  om  det  fria  flödet  av  sådana  uppgifter  (EGT L 281,  1995, s. 31).

7      Det  ska  erinras  om  att  eftersom  dataskyddsförordningen  har  upphävt  och  ersatt  direktiv 95/46  och  de  relevanta  bestämmelserna  i  dataskyddsförordningen  i  allt  väsentligt  har  samma  räckvidd  som  de  relevanta  bestämmelserna  i  direktivet,  är  domstolens  praxis  avseende  nämnda  direktiv i  princip  även  tillämplig  med  avseende  på  dataskyddsförordningen  (dom  av  den  17 juni 2021,  M.I.C.M.  (C‑597/19,  EU:C:2021:492, punkt 107)).

8      Se  dom  av  den  11 november 2020,  Orange  Romania  (C‑61/19,  EU:C:2020:901),  avseende  genomförande  av  bestämmelserna  i  direktiv 95/46  och  dataskyddsförordningen  i  ett  mål  som  avsåg  bolaget  Orange  România,  tillhandahållare  av  mobila  telekommunikationstjänster  på  den  rumänska  marknaden,  och  dess  kunders  samtycke  till  insamling  och  lagring  av  kopior  av  deras  identitetshandlingar.

9      Av punkt 2  i  kommissionens  yttranden  framgår  att  dessa  uppgifter  utgjordes  av  följande:  de  registrerade  personernas  namn,  födelseort  och  födelsedatum,  adress,  ID-kortnummer,  i  vissa  fall  personnummer,  e‑postadress,  fasta  telefonnummer  och  mobiltelefonnummer.

10      Dom  av  den  6 oktober 2020,  La  Quadrature  du  Net  m.fl.  (C‑511/18,  C‑512/18  och  C‑520/18,  EU:C:2020:791, punkt 208).

11      Se,  analogt,  dom  av  den  13 maj 2014,  Google  Spain  och  Google  (C‑131/12,  EU:C:2014:317, punkt 72).

12      Att  de  skyldigheter  som  åligger  den  personuppgiftsansvarige  enligt  artikel 5  i  dataskyddsförordningen  är  fristående  hindrar  inte  att  det  finns  en  koppling  mellan  dem,  vilken  i  föreliggande  fall  utgörs  av  begreppet  ändamål.  Kontrollen  av  en  behandlings  art  och  ändamål  är  väsentlig  för  att  bedöma  huruvida  de  principer  som  anges  i  denna  bestämmelse  har  iakttagits,  bland  annat  principerna  om  ändamålsbegränsning  och  lagringsminimering,  vilka  avses  i  det  nationella  målet.

13      Dom  av  den  22 april 2021,  Profi  Credit  Slovakia  (C‑485/19,  EU:C:2021:313, punkt 50).

14      Enligt  ordalydelsen  i  artikel 5.1 b  i  dataskyddsförordningen  ska  ytterligare  behandling  för  arkivändamål  av  allmänt  intresse,  vetenskapliga  eller  historiska  forskningsändamål  eller  statistiska  ändamål  anses  som  laglig  behandling  som  är  förenlig  med  de  ursprungliga  ändamålen,  men  detta  motsvarar  inte  omständigheterna  i  det  nationella  målet.

15      Se,  analogt,  dom  av  den  13 maj 2014,  Google  Spain  och  Google  (C‑131/12,  EU:C:2014:317, punkt 93).

16      Se,  för  ett  liknande  resonemang,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 33),  och  dom  av  den  13 maj 2014,  Google  Spain  och  Google  (C‑131/12,  EU:C:2014:317, punkt 92).

17      Se,  för  ett  liknande  resonemang,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 33).

18      Med  hänsyn  till  dessa  behandlingars  karaktär  förefaller  den  lämpliga  rättsliga  grunden  för  dem  att  utgöras  av  artikel 6.1 a  och b  i  dataskyddsförordningen,  vilket  för  övrigt  inte  är  föremål  för  någon  diskussion  i  förevarande  fall.

19      Se,  analogt,  dom  av  den  20 maj 2003,  Österreichischer  Rundfunk  m.fl.  (C‑465/00,  C‑138/01  och  C‑139/01,  EU:C:2003:294, punkt 40).

20      Insamlingen  av  kundernas  personuppgifter  och  lagringen  av  dem  i  den  ursprungliga  databasen  svarar  simultant  mot  samma  ändamål,  det  vill  säga  att  tillhandahålla  den  avtalade  tjänsten.

21      Se punkt 13  i  Digis  yttranden.

22      Oberoende  rådgivande  organ  som  inrättades  i  enlighet  med  artikel 29  i  direktiv 95/46  och  som  efter  antagandet  av  dataskyddsförordningen  har  ersatts  med  Europeiska  dataskyddsstyrelsen.

23      Se,  analogt,  dom  av  den  11 november 2020,  Orange  Romania  (C‑61/19,  EU:C:2020:901, punkterna 51  och  52).

24      Innehållet  i  artikel 13.3  i  dataskyddsförordningen  styrker  synsättet  att  kravet  på  precisering  av  ändamålet  inte  endast  är  tillämpligt  i  skedet  för  insamling  av  uppgifterna,  utan  gäller  all  behandling.

25      Denna  bestämmelse  speglar  den  flexibla  hantering  som  tillåts  till  förmån  för  den  personuppgiftsansvarige,  som  ensam  bedömer  huruvida  det  föreligger  en  skyldighet  att  lämna  information  till  de  registrerade.  Denna  möjlighet  kräver  på  motsvarande  sätt  att  tillsynsmyndigheten  vidtar  en  strikt  kontroll  av  ändamålen  med  behandlingen,  vilket  är  väsentligt  för  att  försäkra  sig  om  att  den  ytterligare  behandlingen  är  laglig  och  framför  allt  att  kravet  på  förenlighet  är  uppfyllt.  

26      Denna  skyldighet  gäller  inte  företag  eller  organisationer  som  sysselsätter  färre  än  250 personer  såvida  inte  den  behandling  som  utförs  sannolikt  kommer  att  medföra  en  risk  för  registrerades  rättigheter  och  friheter,  behandlingen  inte  är  tillfällig  eller  behandlingen  omfattar  särskilda  kategorier  av  uppgifter  som  avses  i artikel 9.1  i  dataskyddsförordningen  eller  personuppgifter  om  fällande  domar  i  brottmål  samt  lagöverträdelser  som  innefattar  brott,  som  avses  i  artikel 10  i  dataskyddsförordningen.  

27      Dom  av  den  11 november 2020,  Orange  Romania  (C‑61/19,  EU:C:2020:901, punkt 48).  Det  är  intressant  att  notera  att  det  undantag  från  den  personuppgiftsansvariges  informationsskyldighet  när  personuppgifterna  inte  har  samlats  in  från  den  registrerade  som  föreskrivs  i  artikel 14.5 b  i  dataskyddsförordningen,  för  det  fall  att  tillhandahållandet  av  information  visar  sig  vara  omöjligt  eller  skulle  medföra  en  oproportionell  ansträngning,  inte  har  gjorts  tillämpligt  på  de  situationer  som  regleras  av  artikel 13  i  dataskyddsförordningen.

28      Det  ska  påpekas  att  bland  de  behandlingar  som  är  undantagna  från  kravet  på  förenlighet  ingår  inte  de  som  grundar  sig  på  artikel 6.1 c  i  dataskyddsförordningen  avseende  behandling  som  är  nödvändig  för  att  fullgöra  en  rättslig  förpliktelse  som  åvilar  den  personuppgiftsansvarige  och  bland  annat  den  förpliktelse  som  föreskrivs  i  artikel 5.1 f  i  dataskyddsförordningen  avseende  säkerställandet  av  lämplig  säkerhet  för  uppgifterna.  

29      Det  ska  erinras  om  att  enligt  artikel 6.1 a  i  dataskyddsförordningen  är  en  behandling  laglig,  om  och  i  den  mån  som  den  registrerade  har  lämnat  sitt  samtycke  till  att  dennes  personuppgifter  behandlas  ”för  ett  eller  flera  specifika  ändamål”.

30      Detta  villkor  är  inte  föremål  för  någon  diskussion  i  förevarande  fall.

31      Se,  för  ett  liknande  resonemang,  dom  av  den  22 juni 2021,  Latvijas  Republikas  Saeima  (Prickning)  (C‑439/19,  EU:C:2021:504, punkt 98).

32      Dom  av  den  6 oktober 2020,  La  Quadrature  du  Net  m.fl.  (C‑511/18,  C‑512/18  och  C‑520/18,  EU:C:2020:791, punkt 210).

33      Se,  analogt,  dom  av  den  7 maj 2009,  Rijkeboer  (C‑553/07,  EU:C:2009:293, punkt 35).

34      Med  beaktande  av  de  omständigheter  under  vilka  den  ifrågasatta  behandlingen  genomfördes  är  denna  bestämmelse  inte  tillämplig  i  förevarande  fall.

35      Dom  av  den  13 maj 2014,  Google  Spain  och  Google  (C‑131/12,  EU:C:2014:317, punkt 94).

36      Det  ska  endast  erinras  om  att  konstaterandet  att  testdatabasen  omedelbart  raderades  efter  den  hackerattack  som  riktades  mot  Digi,  oberoende  av  att  avtalsförhållandena  med  abonnenterna  i  fråga  fortsatte,  radikalt  motsäger  påståendet  att  upprätthållandet  av  denna  databas  syftade  till  att  fullgöra  abonnemangsavtalen.

37      Se,  bland  annat, punkt 22  i  Digis  yttranden.