1.

När en person, vars personuppgifter är föremål för behandling, vill få information från den personuppgiftsansvarige om tredje parter till vilka uppgifterna lämnas ut, måste personens rätt till tillgång nödvändigtvis innebära att personen ska informeras om de faktiska mottagarna av hans eller hennes personuppgifter, eller får den personuppgiftsansvarige begränsa sig till att lämna information om enbart de kategorier av mottagare som tar del av de uppgifterna?

2.

Detta är i huvudsak den fråga som har ställts till EU-domstolen i förevarande begäran om förhandsavgörande från Oberster Gerichtshof (Högsta domstolen, Österrike), som är den hänskjutande domstolen, rörande tolkningen av artikel 15.1 c i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ( 2 ) (nedan kallad dataskyddsförordningen).

3.

Den hänskjutande domstolens fråga har uppkommit inom ramen för en tvist mellan RW, som är en fysisk person, och Österreichische Post, som är den största operatören av post- och logistiktjänster i Österrike. Tvisten handlar om att Österreichische Post, till följd av en begäran från RW om att få tillgång till sina personuppgifter, inte har tillhandahållit någon information om de specifika mottagarna av RW:s personuppgifter.

4.

I artikel 15 i dataskyddsförordningen, med rubriken ”Den registrerades rätt till tillgång”, föreskrivs följande i punkt 1 c:

”1.   Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

…

…”

5.

RW, som är klagande vid den hänskjutande domstolen, kontaktade Österreichische Post den 15 januari 2019 för att, i enlighet med artikel 15 i dataskyddsförordningen, få tillgång till bland annat de personuppgifter rörande honom som Österreichische Post lagrade eller tidigare hade lagrat samt information om vilka mottagarna av personuppgifterna var, för det fall att de lämnats ut till tredje part.

6.

Österreichische Post uppgav i sitt svar att den använder personuppgifter i den mån det är rättsligt tillåtet i sitt uppdrag som telefonkatalogutgivare och att den tillhandahåller personuppgifter till företagskunder för marknadsföringsändamål. Österreichische Post hänvisade sedan till en webbplats där det lämnades allmän information om syftena med behandlingen av RW:s personuppgifter och där det fanns en länk till ytterligare en webbplats. På den andra webbplatsen fanns i sin tur allmän dataskyddsinformation och information utifrån vilken det generellt kunde fastställas vissa kategorier av mottagare som Österreichische Post lämnade ut personuppgifterna till. Österreichische Post informerade dock inte RW vid något tillfälle om vilka de specifika mottagarna av hans personuppgifter var.

7.

RW väckte talan och yrkade att Österreichische Post ska förpliktas att i enlighet med artikel 15 i dataskyddsförordningen förse honom med utförligare upplysningar om huruvida hans personuppgifter har överförts till tredje part samt, om sådana överföringar faktiskt har skett, information om vilka den eller de specifika mottagarna är som har fått eller får ta del av hans personuppgifter. RW har gjort gällande att de upplysningar som Österreichische Post har tillhandahållit inte uppfyller de rättsliga kraven i artikel 15 i dataskyddsförordningen, eftersom det inte framgår huruvida Österreichische Post har överfört hans personuppgifter till tredje part och, för det fall att personuppgifterna faktiskt har överförts, vilka som är de faktiska mottagarna av de uppgifterna.

8.

Domstolarna i första och andra instans ogillade RW:s talan. De ansåg i huvudsak att eftersom det i artikel 15.1 c i dataskyddsförordningen hänvisas till mottagare eller kategorier av mottagare kan den personuppgiftsansvarige enligt den bestämmelsen välja att enbart informera den registrerade om kategorierna av mottagare, utan att behöva ange namnen på de specifika mottagarna av den registrerades personuppgifter.

9.

RW vidhöll sina argument inom ramen för överklagandet till den hänskjutande domstolen.

10.

Under förfarandet vid den hänskjutande domstolen informerade Österreichische Post RW om att hans personuppgifter hade behandlats för marknadsföringsändamål i samband med utgivningen av telefonkataloger och att de hade överförts till företagskunder, exempelvis till reklamföretag inom postorder och traditionell handel, it‑företag, telefonkatalogföretag och sammanslutningar som välgörenhetsorganisationer, icke-statliga organisationer eller politiska partier. Österreichische Post har emellertid inte angett vilka de specifika mottagarna är av de uppgifter som lämnats ut om RW.

11.

Den hänskjutande domstolen hyser i detta sammanhang tvivel kring den tolkning som domstolarna i lägre instans har gjort av artikel 15 i dataskyddsförordningen och har således beslutat att vilandeförklara målet och att ställa följande tolkningsfråga till EU‑domstolen:

”Ska artikel 15.1 c i [dataskyddsförordningen] tolkas på så vis att den registrerades rätt till tillgång till information är begränsad till mottagarkategorier när några specifika mottagare ännu inte fått del av personuppgifterna, men att [den registrerades] rätt till tillgång till information tvunget måste omfatta även mottagarna av personuppgifterna när personuppgifterna redan har lämnats ut?”

12.

Genom sin fråga som har hänskjutits för förhandsavgörande har den hänskjutande domstolen ställt en fråga till EU-domstolen rörande tolkningen av artikel 15.1 c i dataskyddsförordningen, när det gäller omfattningen av den registrerades rätt, som föreskrivs däri, att få information från den personuppgiftsansvarige om de mottagare eller kategorier av mottagare till vilka hans eller hennes personuppgifter har lämnats eller ska lämnas ut.

13.

Den hänskjutande domstolen vill få klarhet i huruvida den bestämmelsen ska tolkas så, att omfattningen av den registrerades ovannämnda rätt till tillgång ska variera beroende på om uppgifterna redan har lämnats ut – i vilket fall rättigheten även ska omfatta de faktiska mottagarna av informationen – eller om några konkreta mottagare av framtida utlämnanden av uppgifterna ännu inte är kända – i vilket fall rättigheten ska anses vara begränsad till information om kategorier av mottagare.

14.

Det ska framför allt påpekas i detta avseende att artikel 15 i dataskyddsförordningen reglerar den registrerades rätt, gentemot den personuppgiftsansvarige, att få tillgång till personuppgifter som rör honom eller henne och som är under behandling, samt till en hel rad uppgifter som särskilt rör själva behandlingen. Den bestämmelsen ger uttryck för och specificerar var och ens rätt att få tillgång till uppgifter som rör honom eller henne, vilken slås fast i artikel 8.2 andra meningen i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan). ( 3 )

15.

Enligt artikel 15.1 i dataskyddsförordningen har den registrerade närmare bestämt framför allt rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas. Om en sådan behandling pågår har den registrerade rätt att få tillgång till de personuppgifter som behandlingen gäller och till en rad andra uppgifter, som alla förtecknas i leden a–h i den bestämmelsen. I detta avseende har den registrerade rätt enligt artikel 15.1 c i dataskyddsförordningen att få tillgång information om de ”mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer”.

16.

Den hänskjutande domstolens fråga i begäran om förhandsavgörande kräver en tolkning av artikel 15.1 c i dataskyddsförordningen för att fastställa den exakta räckvidden av den registrerades rätt, som föreskrivs däri, att få information om mottagarna av hans eller hennes personuppgifter.

17.

I detta avseende ska det erinras om att enligt fast rättspraxis kräver tolkningen av en unionsbestämmelse att inte bara dess lydelse beaktas, utan också dess sammanhang samt de mål och syften som eftersträvas med den rättsakt som bestämmelsen ingår i. ( 4 )

18.

Eftersom bestämmelserna i dataskyddsförordningen reglerar behandling av personuppgifter som kan innebära intrång i de grundläggande friheterna och då särskilt i rätten till privatliv, måste bestämmelserna i fråga med nödvändighet tolkas mot bakgrund av de grundläggande rättigheter som är stadfästa i stadgan. ( 5 )

19.

Vidare följer det av fast rättspraxis att när en unionsbestämmelse kan bli föremål för flera tolkningar, ska företräde ges för den tolkning som är ägnad att säkerställa bestämmelsens ändamålsenliga verkan. ( 6 )

20.

Vad framför allt gäller den aktuella bestämmelsens ordalydelse är det omöjligt, såsom har påpekats av den hänskjutande domstolen och av flera andra parter som har intervenerat vid EU-domstolen, att utifrån ordalydelsen i artikel 15.1 c i dataskyddsförordningen ge ett definitivt svar på frågan huruvida den registrerades rättighet nödvändigtvis måste anses omfatta tillgång till information om de exakta mottagarna av den registrerades personuppgifter eller om den kan begränsas till att enbart omfatta tillgång till information om mottagarkategorierna. I den bestämmelsen används i själva verket begreppen ”mottagare” och ”kategorier av mottagare” efter varandra, på ett neutralt sätt, utan att det går att härleda någon prioriteringsordning dem emellan. Av bestämmelsen framgår det heller inte uttryckligen huruvida det går att välja mellan de möjliga kategorierna av information (det vill säga om ”mottagare” eller ”kategorier av mottagare”) eller vem som eventuellt har att välja vilken typ av information som det ska garanteras tillgång till (det vill säga den registrerade eller den personuppgiftsansvarige).

21.

Såsom den hänskjutande domstolen har påpekat tycks dock själva uppbyggnaden av artikel 15.1 i dataskyddsförordningen, enligt min mening, ge företräde åt en tolkning av den aktuella bestämmelsen som innebär att det ankommer på den registrerade (och således inte på den personuppgiftsansvarige, vilket de två nationella domstolarna i lägre instans ansåg i förevarande fall) att välja mellan de båda alternativ som föreskrivs däri. I den aktuella bestämmelsen föreskrivs en verklig rätt till tillgång för den registrerade, till skillnad från i andra bestämmelser i dataskyddsförordningen, exempelvis artiklarna 13 och 14, ( 7 ) som är utformade på ett sådant sätt att de föreskriver en informationsskyldighet för den personuppgiftsansvarige. Den registrerades utövande av denna rätt till tillgång förutsätter rent logiskt att rättighetsinnehavaren ges möjlighet att välja om han eller hon, där så är möjligt, ska få tillgång till information om de specifika mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut eller om han eller hon enbart ska begära information om mottagarkategorierna.

22.

En tolkning av artikel 15.1 c i dataskyddsförordningen som innebär att den registrerade har rätt att, om möjligt, begära tillgång till information om de specifika mottagarna av hans eller hennes personuppgifter bekräftas dessutom av en analys av såväl bestämmelsens sammanhang som dess syften mot bakgrund av dataskyddsförordningens mål och systematik.

23.

Jag vill i detta avseende framför allt påpeka att det uttryckligen anges i skäl 63 i dataskyddsförordningen att den registrerade bör ”ha … rätt att få kännedom och underrättelse om … vilka som mottar personuppgifterna”. Detta skäl, mot bakgrund av vilket den aktuella bestämmelsen ska tolkas, avser den registrerades rätt att få tillgång till information om de specifika mottagarna av hans eller hennes personuppgifter, och det nämns inte något om att den rätten kan begränsas, efter den personuppgiftsansvariges gottfinnande, till enbart kategorier av mottagare.

24.

Vidare framgår det uttryckligen av rättspraxis att dataskyddsförordningen bland annat syftar till, såsom framgår av skäl 10 i denna, att säkerställa en hög skyddsnivå för fysiska personer inom unionen och för att uppnå detta ändamål säkerställa en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter i hela unionen. ( 8 )

25.

All behandling av personuppgifter ska för detta ändamål vara förenlig med de principer som anges i artikel 5 i förordningen. ( 9 ) Av artikel 5.1 a i dataskyddsförordningen följer framför allt att personuppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. ( 10 ) Artikel 15 i dataskyddsförordningen, som reglerar den registrerades rätt till tillgång, utgör en grundläggande bestämmelse i detta avseende för att säkerställa att uppgifterna behandlas på ett öppet sätt gentemot de registrerade.

26.

Såsom följer av skäl 63 i dataskyddsförordningen ( 11 ) syftar denna rätt att få tillgång framför allt till att möjliggöra för den registrerade att vara medveten om behandlingen av sina egna uppgifter och kontrollera att den är laglig. ( 12 ) Utövandet av denna rätt till tillgång ska framför allt innebära att den registrerade kan kontrollera inte bara att de uppgifter som rör honom eller henne är korrekta, utan även att de har lämnats ut till behöriga mottagare. ( 13 ) Detta förutsätter i princip att det ges så exakt information som möjligt.

27.

Jag delar kommissionens uppfattning i detta avseende att det skulle vara liktydigt med att hindra den registrerade från att fullständigt kunna kontrollera att den personuppgiftsansvariges behandling är laglig och framför allt att utlämnande av information som redan har gjorts är laglig, om det ansågs att den registrerades rätt till tillgång enligt artikel 15.1 c i dataskyddsförordningen inte innefattade de specifika mottagarna och denna rättighet sålunda begränsades till enbart kategorier av mottagare. Med en sådan tolkning av den aktuella bestämmelsen skulle den registrerade inte kunna kontrollera att hans eller hennes personuppgifter endast har lämnats ut till behöriga mottagare, vilket strider mot de krav som har angetts i föregående punkt.

28.

Dessutom och med avseende på det första målet är denna rätt att få tillgång nödvändig, såsom EU-domstolen för övrigt redan har funnit, för att möjliggöra för den registrerade att utöva den rätt till rättelse, rätt till radering (”rätten att bli bortglömd”) och rätt till begränsning av behandling som den registrerade ges i artiklarna 16, 17 respektive 18 i dataskyddsförordningen. ( 14 ) EU-domstolen har även slagit fast att rätten att få tillgång dessutom är nödvändig för att möjliggöra för den registrerade att utöva den rätt att göra invändningar mot behandlingen av dennes personuppgifter som avses i artikel 21 i dataskyddsförordningen eller rätten att föra talan till följd av skada, i enlighet med artiklarna 79 och 82 i den förordningen. ( 15 )

29.

Om den aktuella bestämmelsen tolkas så, att den registrerade inte har möjlighet att få information om de specifika mottagarna av hans eller hennes personuppgifter, skulle detta få till följd att den registrerade, utan kännedom om mottagarnas identitet, inte kunde utöva de rättigheter som han eller hon har enligt ovannämnda bestämmelser i dataskyddsförordningen eller enbart kunde utöva dessa med en oproportionerligt stor ansträngning. ( 16 ) En sådan tolkning skulle därför innebära att dessa bestämmelser och de rättigheter som ges i dem förlorade sin ändamålsenliga verkan i sådana situationer.

30.

Ur en kontextuell synvinkel bekräftas ovannämnda tolkning av artikel 15.1 c i dataskyddsförordningen för övrigt även av artikel 19 i den förordningen. I den bestämmelsen föreskrivs att den ”personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning”.

31.

Enligt artikel 19 i dataskyddsförordningen är den registeransvarige således skyldig att informera alla mottagare till vilka personuppgifterna har överförts om varje begäran om rättelse, radering eller begränsning av behandling av dessa uppgifter som den personuppgiftsansvarige måste tillmötesgå. Informerade mottagare är således skyldiga att omedelbart rätta, radera eller begränsa behandlingen av uppgifterna, i den mån de fortfarande behandlar dessa. Inom ramen för uppnåendet av målet att säkerställa en hög skyddsnivå, vilket nämns i punkt 24 ovan, syftar artikel 19 i dataskyddsförordningen i detta avseende till att den registrerade – efter att ha begärt information i den mening som avses i artikel 15.1 c i dataskyddsförordningen – inte ännu en gång ska behöva rikta samma begäranden om rättelse, radering eller begränsning av behandling till de berörda mottagarna. Den registrerade måste dock ges möjlighet att kontrollera att rättelsen, raderingen eller begränsningen av behandlingen faktiskt har skett efter den personuppgiftsansvariges anmälan. Mot denna bakgrund föreskrivs det därför i artikel 19 i dataskyddsförordningen att den personuppgiftsansvarige ska informera den registrerade om mottagarna på den registrerades begäran.

32.

Artikel 19 i dataskyddsförordningen bekräftar att den registrerade i princip ska ha rätt att få information om de specifika mottagarnas identitet, om hans eller hennes personuppgifter redan har lämnats ut, för att säkerställa den ändamålsenliga verkan hos den registrerades rätt till radering, rättelse eller begränsning av behandling, som föreskrivs i artiklarna 16, 17 och 18 i dataskyddsförordningen. Det är nämligen endast på detta sätt som den registrerade kan hävda sina rättigheter gentemot dem.

33.

Av ovanstående överväganden följer att rätten till tillgång enligt artikel 15.1 c i dataskyddsförordningen har en praktisk och avgörande betydelse för utövandet av andra rättigheter som den registrerade har enligt dataskyddsförordningen. Härav följer att för att säkerställa den ändamålsenliga verkan hos alla ovannämnda bestämmelser i dataskyddsförordningen måste den bestämmelsen tolkas så, att den rätt till tillgång som föreskrivs i den bestämmelsen, i princip, måste avse möjligheten att få information från den personuppgiftsansvarige om de specifika mottagarna av den registrerades personuppgifter.

34.

Utvidgningen av rätten till tillgång enligt artikel 15.1 c i dataskyddsförordningen till specifika mottagare av nämnda uppgifter är dock, enligt min mening, begränsad i åtminstone två fall.

35.

Det första fallet är när det i praktiken är omöjligt att tillhandahålla information om de specifika mottagarna. Det kan till exempel inte förväntas att den personuppgiftsansvarige lämnar ut information som ännu inte finns, vilket är fallet om de specifika mottagarna i själva verket inte har identifierats vid den tidpunkten. Enligt denna hypotes, som uttryckligen avses i tolkningsfrågan, kan den registrerades rätt till tillgång därför enbart omfatta kategorier av mottagare.

36.

Det andra fallet är, såsom den italienska regeringen har påpekat, när utövandet av den registrerades rätt till tillgång och fullgörandet av den registeransvariges motsvarande skyldighet ska ses mot bakgrund av principerna om korrekthet och proportionalitet.

37.

Det ska i detta avseende erinras om att såsom framgår av EU-domstolens praxis är de rättigheter som slås fast i artiklarna 7 och 8 i stadgan emellertid inte några absoluta rättigheter, utan måste bedömas utifrån deras funktion i samhället. ( 17 )

38.

Dels följer det i detta avseende uttryckligen av artikel 12.5, som även uttryckligen är tillämplig på den bestämmelse som tolkningsfrågan avser, att den registrerades begäranden inte får vara uppenbart ogrundade eller orimliga och att den personuppgiftsansvarige även får vägra att tillmötesgå begäran om så är fallet. Av samma bestämmelse följer dessutom att det åligger den sistnämnde att ”visa att begäran är uppenbart ogrundad eller orimlig”.

39.

Dels har EU-domstolen redan haft tillfälle att klargöra att det måste göras en lämplig avvägning mellan den registrerades intresse av att skydda sitt privatliv, bland annat genom den rätt att göra invändningar och att föra talan som föreskrivs i kapitel III i dataskyddsförordningen, och de skyldigheter som åvilar den registeransvarige. ( 18 ) Denna lämpliga avvägning förefaller främja en ökad uppmärksamhet på skyddet av den registrerades personuppgifter och privatliv, vilket framgår av kravet att det måste visas att det är uppenbart att den registrerades begäran är ogrundad eller orimlig för att den inte ska tillmötesgås.

40.

Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen besvarar tolkningsfrågan från Oberster Gerichtshof (Högsta domstolen, Österrike) på följande sätt:

Artikel 15.1 c i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att den registrerades rätt till tillgång som föreskrivs däri nödvändigtvis måste omfatta även angivelse av de specifika mottagarna av den registrerades personuppgifter, om han eller hon begär detta. Denna rätt till tillgång får begränsas till angivelse av endast kategorier av mottagare när det i praktiken är omöjligt att identifiera de specifika mottagarna av de personuppgifter som rör den registrerade eller när den personuppgiftsansvarige visar att det är uppenbart att den registrerades begäranden är ogrundade eller orimliga i den mening som avses i artikel 12.5 i förordning (EU) 2016/679.