Offentliggørelse af personoplysninger for juridiske repræsentanter i officielle dokumenter under GDPR og proportionaliteten af nationale høringskrav

Denne præjudicielle forelæggelse fra Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager, Tjekkiet) vedrører fortolkningen af den generelle databeskyttelsesforordning (GDPR), navnlig i lyset af en anmodning om aktindsigt i officielle dokumenter relateret til offentlige indkøb under COVID-19-pandemien.

Sagen udspringer af en tvist mellem L.H. og det tjekkiske sundhedsministerie (Ministerstvo zdravotnictví). L.H. anmodede om at få oplysninger om de fysiske personer (repræsentanter) der havde underskrevet kontrakter og certifikater vedrørende køb af COVID-19-tests.

Ministeriet afslog delvist anmodningen og slørede de pågældende repræsentanters fornavn, efternavn, underskrift og kontaktoplysninger. Ministeriet begrundede udeladelsen i beskyttelsen af personoplysninger i overensstemmelse med GDPR.

Den forelæggende ret var i tvivl om, hvorvidt disse oplysninger overhovedet udgjorde »personoplysninger« i GDPR’s forstand, når de udelukkende tjente til at identificere en juridisk person. Hvis de var personoplysninger, rejste retten spørgsmålet om, hvorvidt national retspraksis kunne pålægge den dataansvarlige en pligt til forudgående at informere og høre de registrerede, før oplysningerne videregives, selv i situationer hvor behandlingen er baseret på en retlig forpligtelse eller samfundsinteresse (Art. 6(1)(c) eller (e)).

Centrale Problemstillinger i Sagen

De centrale juridiske spørgsmål omhandlede:

• Hvorvidt en bred fortolkning af »personoplysninger« gælder for data om fysiske repræsentanter for juridiske personer i forbindelse med aktindsigt.
• Foreneligheden mellem EU-retten og nationale proceskrav, der potentielt vanskeliggør offentlighedens adgang til officielle dokumenter, som følge af krav om forudgående informering af den registrerede.

Domstolen fastslog, at de pågældende oplysninger om repræsentanterne udgør personoplysninger, og at nationale procedureregler om forudgående høring er tilladte, forudsat de overholder proportionalitetsprincippet og ikke underminerer retten til aktindsigt.

Afgørelse vedrørende Personoplysninger (Spørgsmål 1)

Domstolen understregede, at begrebet »personoplysninger« skal fortolkes bredt. Oplysninger om identiteten (navn, underskrift, kontaktoplysninger) for identificerbare fysiske personer, der handler som repræsentanter for juridiske personer, udgør personoplysninger omfattet af GDPR artikel 4, nr. 1).

Den omstændighed, at videregivelsen af sådanne oplysninger udelukkende har til formål at gøre det muligt at identificere den juridiske person, på hvis vegne den fysiske person handler, er uden betydning for kvalificeringen som »behandling« af personoplysninger.