Dato: 12. september 2024
Sentrale artikler behandlet:
– Artikkel 6 (1) b, c og f
Gjaldt gyldig grunnlag for behandling av personopplysninger.
Bakgrunnen or saken er om det kan kreves av en stiftelse å opplyse om kontaktinformasjon om sine deltakere med indirekte eierandeler i investeringsfond. Det er motstridende meninger om hva opplysningene skal benyttes til, som markedsføring eller for å gi tilbud på aksjer. Det er ikke noe forbud etter tysk rett om å utlevere slik informasjon, og så er spørsmålet om det er anledning til å utlevere opplysningene etter GDPR, dvs. om utleveringen som behandling har lovlig grunnlag.
Her er det spørsmål om GDPR artikkel 6 (1) bokstav b (dvs. tiltak for å forberede eller oppfylle en avtale), bokstav c (lovmessig plikt) eller bokstav f (berettiget interesse) gir grunnlag for utleveringer.
Domstolen minner om at artikkel 6 gir ikke noen rett til å kreve utlevert opplysninger, men kun en rett til å behandle opplysninger i forbindelse med selve utleveringen (en for så vidt unødvendig påminnelse).
For bokstav b så må utleveringen anses nødvendig for oppfyllelse av en kontrakt om den er objektivt nødvendig for et formål som er integrert i kontraktsforpliktelsen beregnet på den registrerte. Den behandlingsansvarlige må derfor kunne påvise hvordan hovedgjenstanden i kontrakten ikke kan oppnås dersom den aktuelle behandlingen ikke finner sted (følger av C-252/21 Meta Platforms m.fl.).
I dommen så fremkommer det at avtalen kan anses å gi grunnlag for utlevering, men ikke om avtalen klart forbyr slik utlevering.
For bokstav f, så fastsetter denne bestemmelsen tre kumulative betingelser slik at behandlingen av personopplysninger som omfattes av denne bestemmelsen er lovlig:
(1) Forfølgelsen av en berettiget interesse av den behandlingsansvarlige eller av en tredjepart,
(2) behovet for å behandle personopplysninger for formålet med de berettigede interessene som forfølges, og
(3) at interessene eller de grunnleggende frihetene og rettighetene til personen berørt av databeskyttelsen ikke har forrang (følger av C-252/21 Meta Platforms m.fl.).
For «berettiget interesse» vil et bredt spekter av interesser er i prinsippet egnet til å anses som legitim, og de berettigede interessene kan ikke med rimelighet oppnås like effektivt på andre måter mindre begrensende for de rettighetene og frihetene til de registrerte (C-26/22 og C-64/22 SCHUFA Holding) også ref. dataminimeringsprinsippet i artikkel 5.
Etter dommen så er det kun berettigede interesser som er strengt nødvendig som vil gå foran rettighetene og frihetene til de registrerte.
76 Point (f) of the first subparagraph of Article 6(1) of the GDPR must be interpreted as meaning that such processing may be regarded as being necessary for the purposes of legitimate interests pursued by a third party, within the meaning of that provision, only on condition that that processing is strictly necessary to achieve such a legitimate interest and that, in the light of all the relevant circumstances, the interests or fundamental rights and freedoms of those partners do not override that legitimate interest.
Den registrertes interesser og grunnleggende rettigheter kan overstyre den behandlingsansvarliges interesser der personopplysninger behandles under omstendigheter der de registrerte ikke med rimelighet forventer slik behandling (følger av C-252/21 Meta Platforms m.fl.).
I saken ble det å utlevere kontaktopplysningene for å nnhente personopplysninger knyttet til den andre indirekte partnere i dette partnerskapet med sikte på å inngå kontrakt med dem eller forhandle med dem om kjøp av aksjer, eller koordinere med dem for å oppnå konsensus i forbindelse med vedtak fra alle partnerne ansette å være en berettiget interesse.
Det som var avgjørende var at partnerne ikke kunne forvente at opplysningene ble utlevert. Det står: «investeringsfond ikke med rimelighet kunne forvente, på det tidspunktet deres personopplysninger samles inn, at disse personopplysningene blir utlevert til tredjeparter, i dette tilfellet, til andre indirekte partnere i investeringsfondet» i tillegg til at de berettigede interessene må være strengt nødvendige.
For behandling etter GDPR artikkel 6 (1) c, så kreves det at tolkningen av lovgivningen «…er klar og presis, at dens anvendelse er forutsigbar for de personene som er underlagt den, og at den oppfyller et mål av allmenn interesse og står i forhold til».