–

RW ved Rechtsanwalt R. Haupt,

–

Österreichische Post AG ved Rechtsanwalt R. Marko,

–

den østrigske regering ved G. Kunnert, A. Posch og J. Schmoll, som befuldmægtigede,

–

den tjekkiske regering ved M. Smolek og J. Vláčil, som befuldmægtigede,

–

den italienske regering ved G. Palmieri, som befuldmægtiget, bistået af avvocato dello Stato M. Russo,

–

den lettiske regering ved J. Davidoviča, I. Hūna og K. Pommere, som befuldmægtigede,

–

den rumænske regering ved L.-E. Baţagoi, E. Gane og A. Wellman, som befuldmægtigede,

–

den svenske regering ved H. Eklinder, J. Lundberg, C. Meyer-Seitz, A.M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev og O. Simonsson, som befuldmægtigede,

–

Europa-Kommissionen ved F. Erlbacher og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 15, stk. 1, litra c), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) (herefter »databeskyttelsesforordningen«).

2

Denne anmodning er blevet fremsat i forbindelse med en tvist mellem RW og Österreichische Post AG (herefter »Österreichische Post«) vedrørende en anmodning om indsigt i personoplysninger i henhold til databeskyttelsesforordningens artikel 15, stk. 1, litra c).

3

4., 9., 10., 39., 63. og 74. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[…]

[…]

[…]

[…]

4

Databeskyttelsesforordningens artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

5

Databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter:

»1.   Personoplysninger skal:

[…]

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

6

Databeskyttelsesforordningens artikel 12 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« bestemmer:

»1.   Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet godtgøres med andre midler.

2.   Den dataansvarlige letter udøvelsen af den registreredes rettigheder i henhold til artikel 15-22. I de tilfælde, der er omhandlet i artikel 11, stk. 2, må den dataansvarlige ikke afvise at efterkomme den registreredes anmodning om at udøve sine rettigheder i henhold til artikel 15-22, medmindre den dataansvarlige påviser, at vedkommende ikke er i stand til at identificere den registrerede.

[…]

5.   Oplysninger, der gives i henhold til artikel 13 og 14, og enhver meddelelse og enhver foranstaltning, der træffes i henhold til artikel 15-22 og 34, er gratis. Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige enten:

Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.

[…]«

7

Databeskyttelsesforordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« bestemmer i stk. 1:

»Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[…]

[…]«

8

Databeskyttelsesforordningens artikel 14 med overskriften »Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede«, bestemmer i stk. 1:

»Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:

[…]

[…]«

9

Databeskyttelsesforordningens artikel 15 med overskriften »Den registreredes indsigtsret« bestemmer:

»1.   Den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information:

2.   Hvis personoplysningerne overføres til et tredjeland eller en international organisation, har den registrerede ret til at blive underrettet om de fornødne garantier i medfør af artikel 46 i forbindelse med overførslen.

3.   Den dataansvarlige udleverer en kopi af de personoplysninger, der behandles. For yderligere kopier, som den registrerede anmoder om, kan den dataansvarlige opkræve et rimeligt gebyr baseret på de administrative omkostninger. Hvis den registrerede indgiver anmodningen elektronisk, og medmindre den registrerede anmoder om andet, udleveres oplysningerne i en almindeligt anvendt elektronisk form.

4.   Retten til at modtage en kopi som omhandlet i stk. 3 må ikke krænke andres rettigheder og frihedsrettigheder.«

10

Databeskyttelsesforordningens artikel 16 med overskriften »Ret til berigtigelse« fastsætter:

»Den registrerede har ret til at få urigtige personoplysninger om sig selv berigtiget af den dataansvarlige uden unødig forsinkelse. Den registrerede har under hensyntagen til formålene med behandlingen ret til få fuldstændiggjort ufuldstændige personoplysninger, bl.a. ved at fremlægge en supplerende erklæring.«

11

Databeskyttelsesforordningens artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« bestemmer:

»1.   Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:

2.   Hvis den dataansvarlige har offentliggjort personoplysningerne og i henhold til stk. 1 er forpligtet til at slette personoplysningerne, træffer den dataansvarlige under hensyntagen til den teknologi, der er tilgængelig, og omkostningerne ved implementeringen, rimelige foranstaltninger, herunder tekniske foranstaltninger, for at underrette de dataansvarlige, som behandler personoplysningerne, om, at den registrerede har anmodet disse dataansvarlige om at slette alle link til eller kopier eller gengivelser af de pågældende personoplysninger.

[…]«

12

Databeskyttelsesforordningens artikel 18 med overskriften »Ret til begrænsning af behandling« bestemmer i stk. 1:

»Den registrerede har ret til fra den dataansvarlige at opnå begrænsning af behandling, hvis et af følgende forhold gør sig gældende:

[…]«

13

Databeskyttelsesforordningens artikel 19 har følgende ordlyd:

»Den dataansvarlige underretter hver modtager, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysningerne eller begrænsning af behandling, der er udført i henhold til artikel 16, artikel 17, stk. 1, og artikel 18, medmindre dette viser sig umuligt eller er uforholdsmæssigt vanskeligt. Den dataansvarlige oplyser den registrerede om disse modtagere, hvis den registrerede anmoder herom.«

14

Databeskyttelsesforordningens artikel 21 med overskriften »Ret til indsigelse« fastlægger:

»1.   Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

2.   Hvis personoplysninger behandles med henblik på direkte markedsføring, har den registrerede til enhver tid ret til at gøre indsigelse mod behandling af sine personoplysninger til sådan markedsføring, herunder at gøre indsigelse mod profilering, i det omfang den vedrører direkte markedsføring.

3.   Hvis den registrerede gør indsigelse mod behandling med henblik på direkte markedsføring, må personoplysningerne ikke længere behandles til dette formål.

4.   Senest på tidspunktet for den første kommunikation med den registrerede skal denne udtrykkeligt gøres opmærksom på den ret, der er omhandlet i stk. 1 og 2, og oplysninger herom skal meddeles klart og adskilt fra alle andre oplysninger.

5.   I forbindelse med anvendelse af informationssamfundstjenester og uanset [Europa-Parlamentets og Rådets] direktiv 2002/58/EF [af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37)] kan den registrerede udøve sin ret til indsigelse gennem automatiske midler ved brug af tekniske specifikationer.

6.   Hvis personoplysninger behandles med henblik på videnskabelige eller historiske forskningsformål eller statistiske formål i henhold til artikel 89, stk. 1, har den registrerede ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af personoplysninger vedrørende den pågældende, medmindre behandlingen er nødvendig for at udføre en opgave i samfundets interesse.«

15

Databeskyttelsesforordningens artikel 79 med overskriften »Adgang til effektive retsmidler over for en dataansvarlig eller databehandler« bestemmer i stk. 1:

»Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.«

16

Databeskyttelsesforordningens artikel 82 med overskriften »Ret til erstatning og erstatningsansvar« bestemmer i stk. 1:

»Enhver, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning for den forvoldte skade fra den dataansvarlige eller databehandleren.«

17

Den 15. januar 2019 henvendte RW sig til Österreichische Post med henblik på i medfør af databeskyttelsesforordningens artikel 15 at få indsigt i de personoplysninger vedrørende den pågældende, som Österreichische Post opbevarede eller forinden havde opbevaret, og få oplyst identiteten på modtagerne af de pågældende personoplysninger, såfremt de var blevet videregivet til tredjemand.

18

Som svar på denne anmodning begrænsede Österreichische Post sig til at anføre, at selskabet i det omfang, det var tilladt i henhold til lovgivningen, i sin egenskab af udgiver af telefonbøger anvendte oplysningerne i forbindelse med sin virksomhed, og at det tilbød disse personoplysninger til handelspartnere med henblik på marketing. Selskabet henviste endvidere til et websted med mere detaljerede oplysninger og med oplysninger om yderligere formål med behandlingen af oplysningerne. Det meddelte ikke RW identiteten på de konkrete modtagere af oplysningerne.

19

RW anlagde sag mod Österreichische Post ved de østrigske retsinstanser med påstand om, at det blev pålagt sidstnævnte at oplyse RW om bl.a. identiteten på modtageren eller modtagerne af RW’s personoplysninger.

20

Under den således indledte sag oplyste Österreichische Post RW om, at RW’s oplysninger var blevet behandlet med henblik på markedsføring og videregivet til selskabets kunder, hvilket skulle forstås som annoncerende postordrehandelsvirksomheder og fysiske forretninger, IT-virksomheder, adresseformidlere og foreninger, såsom foreninger med velgørende formål, ikke-statslige organisationer (NGO’er) eller politiske partier.

21

Retten i første instans og appelretten gav ikke RW medhold i søgsmålet med den begrundelse, at for så vidt som databeskyttelsesforordningens artikel 15, stk. 1, litra c), henviser til »modtagere eller kategorier af modtagere«, giver denne bestemmelse alene de dataansvarlige mulighed for at oplyse den registrerede om kategorier af modtagere, uden at skulle angive de konkrete modtagere af personoplysningerne.

22

RW iværksatte revisionsanke ved Oberster Gerichtshof (øverste domstol, Østrig), som er den forelæggende ret.

23

Den forelæggende ret er i tvivl om fortolkningen af databeskyttelsesforordningens artikel 15, stk. 1, litra c), for så vidt som ordlyden af denne bestemmelse ikke klart gør det muligt at vide, om bestemmelsen giver den registrerede ret til at få indsigt i oplysninger om de konkrete modtagere af de videregivne oplysningerne, eller om den datavarlige råder over et skøn med hensyn til, hvorledes vedkommende skal forholde sig til en anmodning om indsigt i oplysninger vedrørende modtagere.

24

Den forelæggende ret har bemærket, at formålet med den nævnte bestemmelse snarere taler for en fortolkning, hvorefter det er den registrerede, der har valget mellem at anmode om oplysninger vedrørende kategorier af modtagere eller vedrørende de konkrete modtagere af den pågældendes personoplysninger. Ifølge den forelæggende ret vil enhver anden fortolkning være til alvorlig skade for effektiviteten af de retsmidler, som den registrerede råder over med henblik på at beskytte sine personoplysninger. Hvis de dataansvarlige kan vælge mellem, om de vil give de registrerede oplysninger om de konkrete modtagere eller alene om kategorier af modtagere, kan det nemlig frygtes, at næsten ingen af dem i praksis vil formidle oplysninger om de konkrete modtagere.

25

I modsætning til databeskyttelsesforordningens artikel 13, stk. 1, litra e), og artikel 14, stk. 1, litra e), som fastsætter en forpligtelse for den dataansvarlige til at give de oplysninger, der er omhandlet i disse bestemmelser, fokuseres der i denne forordnings artikel 15, stk. 1, desuden på rækkevidden af den registreredes ret til indsigt, hvilket ifølge den forelæggende ret indikerer, at den registrerede har ret til at vælge mellem at anmode om oplysninger om konkrete modtagere eller om kategorier af modtagere.

26

Endelig har den forelæggende ret tilføjet, at den ret til indsigt, der er fastsat i databeskyttelsesforordningens artikel 15, stk. 1, ikke kun vedrører de aktuelt behandlede personoplysninger, men også de oplysninger, som tidligere er blevet behandlet. Den forelæggende ret har i denne henseende præciseret, at de betragtninger, der fremgår af dom af 7. maj 2009, Rijkeboer (C-553/07, EU:C:2009:293), og som er baseret på formålet med retten til indsigt i henhold til direktiv 95/46, kan overføres på retten til indsigt i henhold til databeskyttelsesforordningens artikel 15, og dette så meget desto mere som det af niende og tiende betragtning til databeskyttelsesforordningen kan udledes, at EU-lovgiver ikke har haft til hensigt at forringe niveauet for beskyttelse i forhold til dette direktiv.

27

På denne baggrund har Oberster Gerichtshof (øverste domstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Skal [databeskyttelsesforordningens] artikel 15, stk. 1, litra c), fortolkes således, at retten til [indsigt] er begrænset til oplysninger om kategorier af modtagere, såfremt konkrete modtagere ved planlagte videregivelser endnu ikke ligger fast, men at denne ret nødvendigvis også omfatter modtagere af disse videregivelser, når der allerede er blevet videregivet oplysninger?«

28

Med sit præjudicielle spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 15, stk. 1, litra c), skal fortolkes således, at den ret, som den registrerede i medfør af denne bestemmelse har til indsigt i personoplysninger vedrørende den pågældende, indebærer, at den dataansvarlige skal oplyse den registrerede om modtageres konkrete identitet, når personoplysningerne er eller vil blive videregivet til disse modtagere.

29

Det skal i denne henseende bemærkes, at det fremgår af fast praksis, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den ordning, som den udgør en del af (dom af 15.3.2022, Autorité des marchés financiers, C-302/20, EU:C:2022:190, præmis 63). Det skal desuden bemærkes, at såfremt en EU-retlig bestemmelse kan fortolkes på flere måder, skal den fortolkning, som kan sikre bestemmelsens effektive virkning, foretrækkes (dom af 7.3.2018, Cristal Union, C-31/17, EU:C:2018:168, præmis 41 og den deri nævnte retspraksis).

30

Hvad for det første angår ordlyden af databeskyttelsesforordningens artikel 15, stk. 1, litra c), skal det bemærkes, at denne bestemmelse fastsætter, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og information om de modtagere eller kategorier af modtagere, som personoplysningerne er eller vil blive videregivet til.

31

Det skal i denne forbindelse bemærkes, at udtrykkene »modtagere« og »kategorier af modtagere« i denne bestemmelse anvendes successivt, uden at det er muligt at udlede en rangorden mellem dem.

32

Det skal således fastslås, at ordlyden af databeskyttelsesforordningens artikel 15, stk. 1, litra c), ikke gør det muligt entydigt at afgøre, om den registrerede har ret til at blive informeret om den konkrete identitet på modtagerne af personoplysningerne, hvis disse oplysninger er eller vil blive videregivet.

33

Hvad dernæst angår den sammenhæng, hvori databeskyttelsesforordningens artikel 15, stk. 1, litra c), indgår, skal det for det første bemærkes, at det følger af 63. betragtning til denne forordning, at den registrerede bør have ret til at kende og blive underrettet om navnlig modtagerne af personoplysningerne, men at den præciserer, at denne ret kan begrænses til kun at omfatte kategorier af modtagere, således som generaladvokaten har anført i punkt 23 i forslaget til afgørelse.

34

For det andet skal det ligeledes bemærkes, at af hensyn til retten til indsigt skal enhver behandling af personoplysninger foregå i overensstemmelse med principperne i databeskyttelsesforordningens artikel 5 (jf. i denne retning dom af 16.1.2019, Deutsche Post, C-496/17, EU:C:2019:26, præmis 57).

35

Blandt disse principper findes princippet om gennemsigtighed i databeskyttelsesforordningens artikel 5, stk. 1, litra a), der, som det fremgår af 39. betragtning til denne forordning, indebærer, at den registrerede har adgang til information om den måde, hvorpå dennes personoplysninger behandles, og at disse oplysninger er let tilgængelige og letforståelige.

36

Som generaladvokaten har fremhævet i punkt 21 i forslaget til afgørelse, skal det for det tredje bemærkes, at til forskel fra databeskyttelsesforordningens artikel 13 og 14, der fastsætter en pligt for den dataansvarlige til at give den registrerede oplysninger om kategorier af modtagere eller om konkrete modtagere af personoplysninger vedrørende den pågældende, hvis oplysningerne i givet fald indsamles hos den registrerede, fastsætter databeskyttelsesforordningens artikel 15 en reel ret til indsigt for den registrerede, således at sidstnævnte, så vidt som det er muligt, skal kunne vælge mellem enten at få oplysninger om de specifikke modtagere, som de pågældende oplysninger er eller vil blive videregivet til, eller oplysninger om kategorier af modtagere.

37

For det fjerde har Domstolen allerede fastslået, at udøvelsen af denne indsigtsret skal gøre det muligt for den registrerede at efterprøve ikke kun, om oplysningerne om den pågældende er korrekte, men også, at de behandles lovligt (jf. analogt dom af 17.7.2014, YS m.fl., C-141/12 og C-372/12, EU:C:2014:2081, præmis 44, og af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 57), bl.a. at de er videregivet til nogen, som er berettiget til at modtage dem (jf. analogt dom af 7.5.2009, Rijkeboer, C-553/07, EU:C:2009:293, præmis 49).

38

Denne ret til indsigt er navnlig nødvendig for, at den registrerede i givet fald kan udøve sin ret til berigtigelse, retten til sletning (»ret til at blive glemt«) og retten til begrænsning af behandling, der er indrømmet den registrerede i databeskyttelsesforordningens artikel 16, 17 og 18 (jf. analogt dom af 17.7.2014, YS m.fl., C-141/12 og C-372/12, EU:C:2014:2081, præmis 44, og af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 57), og sin ret i henhold til databeskyttelsesforordningens artikel 21 til at gøre indsigelse mod behandling af den pågældendes personoplysninger og af vedkommendes adgang i medfør af databeskyttelsesforordningens artikel 79 og 82 til at iværksætte retsmidler, såfremt denne har lidt skade (jf. analogt dom af 7.5.2009, Rijkeboer, C-553/07, EU:C:2009:293, præmis 52).

39

Med henblik på at sikre den effektive virkning af samtlige de rettigheder, der er nævnt i nærværende doms foregående præmis, skal den registrerede navnlig have ret til at blive informeret om de konkrete modtagere, når den registreredes personoplysninger allerede er blevet videregivet.

40

En sådan fortolkning bekræftes for det femte og endelig af en læsning af databeskyttelsesforordningens artikel 19, der i første punktum bestemmer, at den registeransvarlige i princippet underretter hver modtager, som personoplysningerne er videregivet til, om enhver berigtigelse eller sletning af personoplysningerne eller begrænsning af behandling, og som i andet punktum fastsætter, at den dataansvarlige oplyser den registrerede om disse modtagere, hvis den registrerede anmoder herom.

41

Databeskyttelsesforordningens artikel 19, andet punktum, giver således udtrykkeligt den registrerede ret til fra den dataansvarlige at få oplysninger om, hvem de konkrete modtagere af oplysninger vedrørende den pågældende er, og dette inden for rammerne af den forpligtelse, som den dataansvarlige har til at oplyse alle modtagere om udøvelsen af de rettigheder, som den dataansvarlige har i henhold til databeskyttelsesforordningens artikel 16, artikel 17, stk. 1, og artikel 18.

42

Det følger af den forudgående analyse af sammenhængen, at databeskyttelsesforordningens artikel 15, stk. 1, litra c), udgør en af de bestemmelser, der har til formål at sikre gennemsigtighed i fremgangsmåden for behandling af personoplysninger i forhold til den registrerede, og som i lighed med det af generaladvokaten anførte i punkt 33 i forslaget til afgørelse gør det muligt for den registrerede at udøve de absolutte rettigheder, der er fastsat i databeskyttelsesforordningens artikel 16-19, 21, 79 og 82.

43

Det skal følgelig fastslås, at de oplysninger, der gives til den registrerede i henhold til retten til indsigt i databeskyttelsesforordningens artikel 15, stk. 1, litra c), skal være så korrekte om muligt. Denne ret til indsigt indebærer navnlig, at den registrerede har mulighed for fra den dataansvarlige at få oplysninger om de specifikke modtagere, som oplysningerne er eller vil blive videregivet til, eller mulighed for at vælge blot at anmode om oplysninger om kategorier af modtagere.

44

Endelig skal det hvad angår det formål, der forfølges med databeskyttelsesforordningen, bemærkes, at denne forordning, som det fremgår af tiende betragtning hertil, navnlig har til formål at sikre et højt niveau for beskyttelse af fysiske personer inden for Unionen (dom af 6.10.2020, La Quadrature du Net m.fl., C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 207). Som generaladvokaten i det væsentlige har anført i punkt 14 i forslaget til afgørelse, gennemfører den generelle retlige ramme, der er indført med databeskyttelsesforordningen, i denne henseende de krav, der følger af den grundlæggende ret til beskyttelse af personoplysninger, som er beskyttet ved artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, bl.a. de krav, der udtrykkeligt er fastsat i denne artikels stk. 2 (jf. i denne retning dom af 9.3.2017, Manni, C-398/15, EU:C:2017:197, præmis 40).

45

Dette formål støtter en sådan fortolkning af databeskyttelsesforordningens artikel 15, stk. 1, som den, der fremgår af nærværende doms præmis 43.

46

Det følger således ligeledes af det formål, der forfølges med databeskyttelsesforordningen, at den registrerede har ret til at få oplysninger fra den dataansvarlige om de konkrete modtagere, som personoplysningerne vedrørende den pågældende er eller vil blive videregivet til.

47

Når dette er sagt, skal det endelig fremhæves, at retten til beskyttelse af personoplysninger – som det fremgår af fjerde betragtning til databeskyttelsesforordningen – ikke er en absolut ret. Denne ret skal nemlig ses i sammenhæng med deres funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder i overensstemmelse med proportionalitetsprincippet, således som Domstolen i det væsentlige har bekræftet i præmis 172 i dom af 16. juli 2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559).

48

Det må derfor antages, at det under særlige omstændigheder ikke er muligt at give oplysninger om de konkrete modtagere. Retten til indsigt kan derfor begrænses til oplysninger om kategorier af modtagere, såfremt det ikke er muligt at oplyse identiteten på de konkrete modtagere, navnlig når disse endnu ikke er kendte.

49

Det bemærkes desuden, at i henhold til databeskyttelsesforordningens artikel 12, stk. 5, litra b), kan den dataansvarlige i overensstemmelse med princippet om ansvarlighed i denne forordnings artikel 5, stk. 2, og 74. betragtning hertil afslå at imødekomme den registreredes anmodninger, hvis de er åbenbart grundløse eller overdrevne, idet det skal præciseres, at det påhviler den dataansvarlige at godtgøre, at de nævnte anmodninger er åbenbart grundløse eller overdrevne.

50

I det foreliggende tilfælde fremgår det af anmodningen om præjudiciel afgørelse, at Österreichische Post afslog den anmodning, som RW havde indgivet på grundlag af databeskyttelsesforordningens artikel 15, stk. 1, om at få oplyst identiteten på de modtagere, som Österreichische Post havde videregivet personoplysningerne vedrørende RW til. Det tilkommer den forelæggende ret at efterprøve, om Österreichische Post, henset til omstændighederne i hovedsagen, har godtgjort, at denne anmodning er åbenbart grundløs eller overdreven.

51

Henset til samtlige ovenstående betragtninger skal det præjudicielle spørgsmål besvares med, at databeskyttelsesforordningens artikel 15, stk. 1, litra c), skal fortolkes således, at den ret, som den registrerede i medfør af denne bestemmelse har til indsigt i personoplysninger vedrørende den pågældende, indebærer, at den dataansvarlige skal oplyse den registrerede om modtageres konkrete identitet, når personoplysningerne er eller vil blive videregivet til disse modtagere, medmindre det ikke er muligt at identificere de pågældende modtagere, eller den dataansvarlige ikke er i stand til at godtgøre, at den registreredes anmodning er åbenbart grundløs eller overdreven som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, idet den dataansvarlige i givet fald kan nøjes med alene at oplyse den registrerede om kategorierne af de omhandlede modtagere.

52

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:

Artikel 15, stk. 1, litra c), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at:

den ret, som den registrerede i medfør af denne bestemmelse har til indsigt i personoplysninger vedrørende den pågældende, indebærer, at den dataansvarlige skal oplyse den registrerede om modtageres konkrete identitet, når personoplysningerne er eller vil blive videregivet til disse modtagere, medmindre det ikke er muligt at identificere de pågældende modtagere, eller den dataansvarlige ikke er i stand til at godtgøre, at den registreredes anmodning er åbenbart grundløs eller overdreven som omhandlet i databeskyttelsesforordningens artikel 12, stk. 5, idet den dataansvarlige i givet fald kan nøjes med alene at oplyse den registrerede om kategorierne af de omhandlede modtagere.