Samtykke og ret til sletning i telefonbøger: Afklaring af dataansvar og forpligtelser

Proximus NV, en belgisk telekommunikationsudbyder, blev pålagt af den belgiske databeskyttelsesmyndighed (Gegevensbeschermingsautoriteit) at betale en bøde for at have tilsidesat flere bestemmelser i databeskyttelsesforordningen. Sagen drejer sig om en abonnent hos en anden teleoperatør, Telenet, hvis kontaktoplysninger blev offentliggjort i Proximus' telefonnummerfortegnelser, selvom abonnenten havde anmodet om ikke at blive optaget i disse fortegnelser.

Parternes Argumenter:

• Proximus: Hævdede, at den belgiske lov om elektronisk kommunikation implementerer en "opt-out"-ordning, hvor abonnenter selv skal anmode om ikke at blive optaget i fortegnelserne. Proximus mente derfor ikke, at der var behov for et udtrykkeligt samtykke fra abonnenten.
• Databeskyttelsesmyndigheden: Argumenterede for, at artikel 12, stk. 2, i direktiv 2002/58 og den belgiske lov kræver et udtrykkeligt samtykke fra abonnenterne, før deres personoplysninger kan behandles og videregives.

Centrale Spørgsmål:

• Skal artikel 12, stk. 2, i direktiv 2002/58 fortolkes således, at det kræver et udtrykkeligt samtykke fra abonnenten for at offentliggøre dennes personoplysninger i telefonnummerfortegnelser?
• Udgør en anmodning om at blive fjernet fra telefonnummerfortegnelser en udøvelse af retten til sletning i henhold til databeskyttelsesforordningens artikel 17?
• Kan en national tilsynsmyndighed kræve, at en dataansvarlig underretter andre dataansvarlige om, at en abonnent har trukket sit samtykke tilbage?
• Kan en national tilsynsmyndighed pålægge en udbyder af telefonnummerfortegnelser at træffe foranstaltninger for at underrette søgemaskiner om en anmodning om sletning?

Domstolens Afgørelse

• Domstolen fastslår, at artikel 12, stk. 2, i direktiv 2002/58, sammenholdt med artikel 2, stk. 2, litra f), og databeskyttelsesforordningens artikel 95, skal fortolkes således, at der kræves samtykke fra en abonnent hos en telefontjenesteoperatør, for at dennes personoplysninger kan fremgå af offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester, også dem der udbydes af andre end den pågældende operatør.
• Domstolen præciserer, at dette samtykke kan gives enten til telefontjenesteoperatøren eller direkte til en af de andre udbydere.
• Domstolen fastslår, at artikel 17 i databeskyttelsesforordningen skal fortolkes således, at en anmodning fra en abonnent om at få sine personoplysninger slettet fra offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester udgør en udøvelse af retten til sletning i henhold til denne artikel.
• Domstolen fastslår, at artikel 5, stk. 2, og artikel 24 i databeskyttelsesforordningen skal fortolkes således, at en national tilsynsmyndighed kan kræve, at udbyderen af offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester, i sin egenskab af dataansvarlig, træffer passende tekniske og organisatoriske foranstaltninger for at underrette andre dataansvarlige om, at abonnenten har trukket sit samtykke tilbage.
• Domstolen fastslår, at artikel 17, stk. 2, i databeskyttelsesforordningen skal fortolkes således, at den ikke er til hinder for, at en national tilsynsmyndighed pålægger en udbyder af offentligt tilgængelige telefonnummerfortegnelser og nummeroplysningstjenester at træffe rimelige foranstaltninger for at underrette udbydere af søgemaskiner om en anmodning om sletning af oplysninger.

Centrale EU-retlige Principper

• Samtykke til behandling af personoplysninger: Domstolen bekræfter, at behandling af personoplysninger kræver et informeret og utvetydigt samtykke fra den registrerede, jf. databeskyttelsesforordningens artikel 4, nr. 11.
• Retten til sletning (retten til at blive glemt): Domstolen fastslår, at enkeltpersoner har ret til at få deres personoplysninger slettet, hvis de trækker deres samtykke tilbage, og der ikke er andet retsgrundlag for behandlingen, jf. databeskyttelsesforordningens artikel 17.
• Dataansvarliges ansvar: Domstolen understreger, at dataansvarlige har pligt til at træffe passende tekniske og organisatoriske foranstaltninger for at sikre overholdelse af databeskyttelsesreglerne, jf. databeskyttelsesforordningens artikel 5, stk. 2, og artikel 24.
• Underretningspligt: Domstolen fremhæver, at dataansvarlige har pligt til at underrette modtagere af personoplysninger om berigtigelse eller sletning af disse oplysninger, jf. databeskyttelsesforordningens artikel 19.
• Forholdet mellem direktiv 2002/58 og databeskyttelsesforordningen: Domstolen bekræfter, at databeskyttelsesforordningen finder anvendelse på forhold, der ikke er specifikt reguleret i direktiv 2002/58.