–

Datenschutzbehörde ved M. Schmidl og E. Wagner, som befuldmægtigede,

–

Bundesministerin für Justiz ved E. Riedl, som befuldmægtiget,

–

den østrigske regering ved A. Posch, J. Schmoll og C. Gabauer, som befuldmægtigede,

–

Europa-Kommissionen ved A. Bouchagiar og M. Heller, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 4, nr. 7), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem Amt der Tiroler Landesregierung (kontoret for delstaten Tyrols regering, Østrig, herefter »kontoret«) og Datenschutzbehörde (databeskyttelsesmyndigheden, Østrig) vedrørende kontorets angiveligt ulovlige behandling af en fysisk persons personoplysningers.

3

1., 7., 10., 45. og 74. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

[...]

4

Denne forordnings artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 2:

»Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.«

5

Forordningens artikel 4 med overskriften »Definitioner« har følgende ordlyd:

»I denne forordning forstås ved:

[...]

[...]

[...]«

6

Den samme forordnings artikel 5 med overskriften »Principper for behandling af personoplysninger« har følgende ordlyd:

»1.   Personoplysninger skal:

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

7

Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« bestemmer følgende i stk. 1 og 3:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[...]

[...]

[...]

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning, bl.a. de generelle betingelser for lovlighed af den dataansvarliges behandling, hvilke typer oplysninger der skal behandles, berørte registrerede, hvilke enheder personoplysninger må videregives til, og formålet hermed, formålsbegrænsninger, opbevaringsperioder og behandlingsaktiviteter samt behandlingsprocedurer, herunder foranstaltninger til sikring af lovlig og rimelig behandling såsom i andre specifikke databehandlingssituationer som omhandlet i kapitel IX. [...]«

8

Artikel 56 i Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) (forbundsforfatningslov vedrørende delstaten Tyrols forfatning (forfatning for delstaten Tyrol af 1989)) af 21. september 1988 i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »forfatningen for delstaten Tyrol af 1989«), med overskriften »Landeshauptmann« (delstatsformand, Østrig) (herefter »delstatsformanden«) fastsætter i stk. 1:

»[Delstatsformanden] repræsenterer delstaten Tyrol.«

9

Artikel 58 i forfatningen for delstaten Tyrol af 1989 med overskriften »[Kontoret]« bestemmer i stk. 1:

»[Delstatsformanden], delstatsregeringen og dens medlemmer skal gøre brug af [kontoret] ved behandlingen af deres sager. [Delstatsformanden] er præsident for [kontoret].«

10

§ 2 i Tiroler Datenverarbeitungsgesetz (lov om databehandling for delstaten Tyrol, herefter »TDVG«) fastsætter:

»1.   Følgende anses for dataansvarlig som omhandlet i [databeskyttelsesforordningens] artikel 4, nr. 7):

[...]

3.   Når en behandling af oplysninger foretages eller bestilles af delstaten Tyrol, anses [kontoret] altid for at være ansvarligt for en sådan behandling, for så vidt som

11

Som led i foranstaltninger til bekæmpelse af covid-19-pandemien sendte kontoret, en administrativ enhed, der optræder som hjælpeorgan for formanden og delstaten Tyrols regering, en skrivelse med en »vaccinationspåmindelse« til alle voksne personer med bopæl i delstaten Tyrol, der endnu ikke var blevet vaccineret mod denne virus. Med henblik på at identificere modtagerne af disse skrivelser bemyndigede kontoret to private virksomheder til at foretage en samkøring af oplysningerne i det centrale vaccinationsregister og patientregistret, der angav modtagernes bopælsadresse.

12

Den 21. december 2021 indgav en af disse modtagere, nemlig CW, en klage til databeskyttelsesmyndigheden over kontoret for ulovlig behandling af vedkommendes personoplysninger. Over for denne myndighed erklærede kontoret, at det var den »dataansvarlige« og ophavsmand til den skrivelse, der var sendt til CW.

13

Ved afgørelse af 22. august 2022 fastslog den nævnte myndighed, at kontoret havde tilsidesat CW’s ret til beskyttelse af sine personoplysninger, for så vidt som kontoret med henblik på at tilsende CW en »vaccinationspåmindelse« havde indhentet oplysninger om CW i vaccinationsregistret, til trods for at det hverken havde ret til adgang til dette register eller patientregistret. Behandlingen af CW’s personoplysninger var dermed ulovlig.

14

Kontoret anlagde sag til prøvelse af denne afgørelse ved Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig). Denne domstol fastslog, at kontoret på grundlag af gældende national ret var dataansvarlig, men at det ikke havde ret til at konsultere vaccinationsregistret med henblik på at fremsende en påmindelsesskrivelse som den, der var rettet til CW. Da denne domstol ikke gav kontoret medhold, iværksatte det revisionsanke til prøvelse af denne dom ved Verwaltungsgerichtshof (forvaltningsdomstol, Østrig), der er den forelæggende ret.

15

Den forelæggende ret er af den opfattelse, at det med henblik på at kunne træffe afgørelse i den sag, der er indbragt for den, skal afgøres, om kontoret i den pågældende sag kan anses for »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7).

16

I denne henseende har den forelæggende ret fremhævet, at kontoret blot forelagde formanden et forslag om fremsendelse af en »vaccinationspåmindelse«, hvilket forslag formanden godkendte i sin egenskab af præsident for kontoret og repræsentant for delstaten Tyrol i overensstemmelse med henholdsvis artikel 58 og artikel 56, stk. 1, i forfatningen for delstaten Tyrol af 1989. Kontoret begrænsede sig således til at oplyse formanden om dels, hvad der var formålet med den påtænkte behandling af personoplysninger, nemlig en forøgelse af vaccinationsraten, dels hvilke hjælpemidler der ville blive anvendt på grundlag af den pågældende behandling, nemlig fremsendelse af en sådan »vaccinationspåmindelse« ved hjælp af oplysningerne i det centrale vaccinationsregister og patientregistret.

17

Ifølge den forelæggende ret var det i betragtning af formandens godkendelse alene sidstnævnte, der traf afgørelse om såvel formålet med som midlerne til behandlingen af personoplysningerne, således at kontoret ikke kan anses for være »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), første sætningsled.

18

Den forelæggende ret er ikke desto mindre i tvivl om, hvorvidt kontoret gyldigt kunne udpeges som sådan ved en bestemmelse i national ret, nemlig TDVG’s § 2, stk. 1, litra a).

19

Kontoret er nemlig ikke en juridisk person eller en myndighed, der var ansvarlig for den behandling af personoplysninger, som førte til fremsendelsen af en »vaccinationspåmindelse« til CW. Kontoret deltog alene i denne behandling i egenskab af en administrativ enhed, der optræder som hjælpeorgan for en offentlig myndighed. Det havde ikke status som juridisk person og heller ikke egen retsevne. Det skal derfor afgøres, om kontoret under disse omstændigheder kan anses for en »institution eller et andet organ« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), første sætningsled, der i henhold til denne forordnings artikel 4, nr. 7), andet sætningsled, kan udpeges som dataansvarlig i medfør af national ret.

20

Den forelæggende ret har desuden anført, at en dataansvarlig i henhold til databeskyttelsesforordningens artikel 4, nr. 7), andet sætningsled, kun kan udpeges direkte, hvis formålene med og hjælpemidlerne til behandlingen af de pågældende personoplysninger er fastlagt i national ret. Selv om TDVG’s § 2, stk. 1, litra a), udpeger kontoret som dataansvarlig, angiver denne bestemmelse imidlertid ikke konkret, hvilke slags behandlinger af personoplysninger kontoret kan foretage, hvilke formål disse behandlinger skal forfølge, eller hvilke midler kontoret kan anvende til dette formål.

21

Den forelæggende ret har tilføjet, at det følger af databeskyttelsesforordningens artikel 6, stk. 1, litra c) og e), at en behandling af personoplysninger er lovlig, hvis den er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis den er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Det følger af disse betingelser for lovlighed og af det formål, der forfølges med databeskyttelsesforordningens artikel 4, nr. 7), om at sikre en effektiv og bred beskyttelse af de registrerede, at medlemsstaterne som dataansvarlig kun kan udpege en person eller en enhed, der er i stand til at fastlægge formålene med og hjælpemidlerne til behandling af personoplysninger eller i det mindste deltage i denne fastlæggelse.

22

På denne baggrund har Verwaltungsgerichtshof (forvaltningsdomstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Skal [databeskyttelsesforordningens] artikel 4, nr. 7), [...] fortolkes således, at denne bestemmelse er til hinder for anvendelsen af en bestemmelse i national ret (såsom i den foreliggende sag [TDVG’s] § 2, stk. 1, [...]), hvori der ganske vist som omhandlet i [databeskyttelsesforordningens] artikel 4, nr. 7), anden sætningsdel, fastsættes en bestemt dataansvarlig, men

23

Den forelæggende ret ønsker med sit spørgsmål nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 4, nr. 7), skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning, der som dataansvarlig udpeger en administrativ enhed, der optræder som hjælpeorgan, og som ikke har status som juridisk person og ikke har egen retsevne, uden konkret at præcisere de specifikke behandlingsaktiviteter vedrørende personoplysninger, som denne enhed er ansvarlig for, eller formålet med de pågældende aktiviteter. Denne ret ønsker ligeledes oplyst, om databeskyttelsesforordningens artikel 4, nr. 7), skal fortolkes således, at en enhed, der i henhold til national ret er udpeget som dataansvarlig i overensstemmelse med denne bestemmelse, rent faktisk skal afgøre, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger, for i egenskab af dataansvarlig at kunne anses for forpligtet til at besvare anmodninger, der fremsættes af de registrerede på grundlag af de rettigheder, som disse har i henhold til databeskyttelsesforordningen.

24

Det skal indledningsvis bemærkes, at i henhold til databeskyttelsesforordningens artikel 4, nr. 7), omfatter begrebet »dataansvarlig« fysiske eller juridiske personer, offentlige myndigheder, institutioner eller andre organer, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger. Det fremgår ligeledes af denne bestemmelse, at hvis formålene med og hjælpemidlerne til denne behandling er fastlagt i bl.a. medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i denne ret.

25

Det følger af Domstolens praksis, at formålet med den nævnte bestemmelse er – via en bred definition af begrebet »dataansvarlig« – at sikre en effektiv og fuldstændig beskyttelse af de registrerede (jf. i denne retning dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, præmis 29, og af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 40).

26

Det formål, der forfølges med databeskyttelsesforordningen, som det fremgår af dens artikel 1 samt første og tiende betragtning hertil, består bl.a. i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i artikel 8, stk. 1, i chartret om grundlæggende rettigheder og i artikel 16, stk. 1, TEUF (dom af 7.3.2024, IAB Europe, C-604/22, EU:C:2024:214, præmis 53 og den deri nævnte retspraksis).

27

Henset til ordlyden af databeskyttelsesforordningens artikel 4, nr. 7), sammenholdt med dette formål, skal det med henblik på at afgøre, om en person eller en enhed skal kvalificeres som »dataansvarlig« som omhandlet i denne bestemmelse, undersøges, om denne person eller denne enhed alene eller sammen med andre fastlægger formålene med og hjælpemidlerne til behandlingen, eller om disse formål og hjælpemidler er fastlagt i national ret. Såfremt en sådan fastlæggelse sker i national ret, skal det herefter undersøges, om denne nationale ret udpeger den dataansvarlige eller fastsætter de specifikke kriterier for udpegelsen af denne (dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende),C-231/22, EU:C:2024:7, præmis 29).

28

Henset til den brede definition af begrebet »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), kan fastlæggelsen af formålene med og hjælpemidlerne til behandlingen, og i givet fald udpegelsen af denne ansvarlige i henhold til national ret, ikke blot være eksplicit, men også implicit. I sidstnævnte tilfælde kræves det ikke desto mindre, at denne fastlæggelse følger tilstrækkeligt klart af den rolle, den opgave og de beføjelser, som er tillagt den pågældende person eller enhed (dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende),C-231/22, EU:C:2024:7, præmis 30).

29

Det er med udgangspunkt i disse indledende bemærkninger, at det forelagte spørgsmål skal undersøges. Med henblik herpå skal det i første række afgøres, i hvilket omfang den nationale lovgiver gyldigt kan udpege en administrativ enhed, der optræder som hjælpeorgan for offentlige myndigheder som dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), andet sætningsled, når den pågældende enhed hverken har status som juridisk person eller har egen retsevne.

30

Det skal i denne henseende for det første bemærkes, at Domstolen allerede har fastslået, at det fremgår af den klare ordlyd af databeskyttelsesforordningens artikel 4, nr. 7), at en dataansvarlig ikke blot kan være en fysisk eller juridisk person, men også en offentlig myndighed, en institution eller et organ, idet sådanne enheder ikke nødvendigvis har status som juridisk person i henhold til national ret (jf. i denne retning dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende),C-231/22, EU:C:2024:7, præmis 36).

31

Det kan således ikke udelukkes, at en enhed kan kvalificeres som »dataansvarlig« som omhandlet i denne bestemmelse, selv om den ikke har status som person.

32

Med hensyn til spørgsmålet om, hvorvidt kvalificeringen af en enhed som »dataansvarlig« kræver, at den pågældende enhed har egen retsevne, eller om det med henblik herpå er tilstrækkeligt, at den berørte enhed har en vis beslutnings- og handleevne inden for rammerne af beskyttelsen af personoplysninger, skal det for det andet bemærkes, at det fremgår af 74. betragtning til databeskyttelsesforordningen, at EU-lovgiver har ønsket, at det ansvar, der påhviler den dataansvarlige, skal være det samme, uanset hvilken behandling af personoplysninger den dataansvarlige foretager, og uanset om behandlingen foretages af den dataansvarlige selv eller en tredjemand, men på den dataansvarliges vegne. EU-lovgiver har ligeledes ønsket at sikre, at den dataansvarlige er forpligtet til at gennemføre passende og effektive foranstaltninger og er i stand til at påvise, at behandlingsaktiviteterne er i overensstemmelse med denne forordning, herunder at påvise effektiviteten af de pågældende foranstaltninger, hvormed der skal tage hensyn til behandlingens karakter, omfang, sammenhæng og formål samt de risici, som behandlingen indebærer for fysiske personers rettigheder og frihedsrettigheder.

33

Det er i denne henseende, at databeskyttelsesforordningens artikel 5, stk. 2, opstiller et princip om ansvar, hvorefter den dataansvarlige er ansvarlig for at overholde de principper for behandling af personoplysninger, der er fastsat i artikel 5, stk. 1, og bestemmer, at den dataansvarlige skal kunne påvise, at disse principper overholdes.

34

Henset til de retlige forpligtelser, som den i databeskyttelsesforordningens artikel 4, nr. 7), omhandlede dataansvarlige således er underlagt, skal den dataansvarlige i henhold til de bestemmelser, der er fastsat i lovgivningen i den medlemsstat, som den dataansvarlige henhører under, faktisk og retligt kunne opfylde disse forpligtelser, uden at det i denne henseende har nogen betydning, om denne enhed har status som juridisk person og egen retsevne.

35

I det foreliggende tilfælde påhviler det den forelæggende ret at efterprøve, om kontoret i henhold til østrigsk ret er bemyndiget til at påtage sig det ansvar og de forpligtelser, som databeskyttelsesforordningen pålægger den dataansvarlige, bl.a. henset til den omstændighed, at kontoret kan anlægge sag til prøvelse af databeskyttelsesmyndighedens afgørelse, ligesom kontoret kan være genstand for en klage til denne myndighed, hvilket ikke er blevet anfægtet ved de nationale retter, som er blevet forelagt tvisten i hovedsagen. Den forelæggende ret kan ligeledes tage hensyn til den omstændighed, at kontoret har bemyndiget to private virksomheder til at behandle personoplysninger i det centrale vaccinationsregister og det centrale register over patienter med bopæl i delstaten Tyrol.

36

Den forelæggende ret ønsker i anden række oplyst, om en national lovgiver kan udpege en enhed som dataansvarlig i henhold til databeskyttelsesforordningens artikel 4, nr. 7), andet sætningsled, uden konkret at præcisere hverken de behandlinger af personoplysninger, som denne enhed kan blive foranlediget til at foretage, eller til hvilke formål og med hvilke præcise hjælpemidler der må foretages behandling af personoplysninger.

37

Som anført i denne doms præmis 28 kan fastlæggelsen af formålene med og midlerne til behandlingen i henhold til national ret, når denne udpeger en enhed som dataansvarlig, være implicit, forudsat at denne fastlæggelse med tilstrækkelig sikkerhed følger af den rolle, den opgave og de beføjelser, som er tillagt den pågældende enhed. Denne betingelse er opfyldt, hvis disse formål og midler i det væsentlige fremgår af de bestemmelser i national ret, der regulerer den nævnte enheds virksomhed.

38

Den nationale lovgivers direkte udpegning af en enhed som dataansvarlig bidrager til det retssikkerhedsformål, der forfølges med databeskyttelsesforordningen, således som det fremgår af syvende betragtning hertil, idet denne udpegning gør det muligt for fysiske personer, hvis personoplysninger er genstand for behandling, let at identificere den enhed, der er ansvarlig for at sikre overholdelsen af de rettigheder, som denne forordning tillægger dem.

39

Gyldigheden af en sådan udpegning er imidlertid betinget af, at den nationale lovgivning fastlægger omfanget af den behandling af personoplysninger, som denne enhed er udpeget som ansvarlig for, uden at det er nødvendigt, at denne lovgiver udtømmende opregner alle de behandlingsaktiviteter, for hvilke den nævnte enhed således er udpeget. Som det fremgår af 45. betragtning til denne forordning »kan [det] være tilstrækkeligt med en lov som grundlag for adskillige databehandlingsaktiviteter, som baseres på en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse«.

40

Det følger heraf, at en national lovgivning, der udpeger en enhed som dataansvarlig uden udtrykkeligt at opregne alle specifikke behandlinger af personoplysninger, som enheden er ansvarlig for, eller formålet med disse behandlingsaktiviteter, er forenelig med databeskyttelsesforordningens artikel 4, nr. 7), forudsat at denne lovgivning udtrykkeligt eller i det mindste implicit fastsætter omfanget af den behandling af personoplysninger, som den berørte enhed er udpeget som dataansvarlig for.

41

I det foreliggende tilfælde påhviler det den forelæggende ret at efterprøve dels, om den behandling af personoplysninger, som kontoret har foretaget med henblik på udarbejdelsen og afsendelsen af de i hovedsagen omhandlede »vaccinationspåmindelser«, er forenelig med de formål, der skal opfyldes med de behandlingsaktiviteter vedrørende personoplysninger, som kontoret er blevet udpeget som ansvarlig for, således som disse formål, i det mindste implicit, fremgår af samtlige de bestemmelser i national ret, der regulerer kontorets virksomhed, dels de midler, som det kan anvende med henblik herpå. Den omstændighed alene, at disse nationale bestemmelser eventuelt ikke konkret præciserer de behandlingsaktiviteter, som kontoret er bemyndiget til at foretage, kan ikke udelukke, at en enhed såsom kontoret kan klassificeres som dataansvarlig i henhold til databeskyttelsesforordningens artikel 4, nr. 7).

42

I tredje række ønsker den forelæggende ret oplyst, om en enhed, der i den nationale lovgivning er udpeget som dataansvarlig i henhold til databeskyttelsesforordningens artikel 4, nr. 7), andet sætningsled, ligeledes alene eller sammen med andre kompetente myndigheder skal afgøre, til hvilke formål og med hvilke hjælpemidler der må foretages en sådan behandling af personoplysninger, for hvilken den er udpeget som dataansvarlig, for at denne enhed i denne egenskab er forpligtet til at besvare anmodninger, der fremsættes af de registrerede på grundlag af de rettigheder, som disse har i henhold til databeskyttelsesforordningen.

43

I denne henseende er det tilstrækkeligt at bemærke, at det er med henblik på at fastslå en enheds status som dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), første sætningsled, at det skal undersøges, om denne enhed til eget formål rent faktisk har udøvet indflydelse på fastlæggelsen af formålene med og hjælpemidlerne til denne behandling (jf. i denne retning dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, præmis 30 og 31).

44

Med henblik på at fastslå, at en enhed er dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), andet sætningsled, er det derimod, således som det fremgår af denne bestemmelses klare ordlyd, ikke nødvendigt, at den pågældende enhed udøver indflydelse på fastlæggelsen af formålene med og hjælpemidlerne til denne behandling.

45

En sådan enhed, der i henhold til national ret er udpeget som dataansvarlig, skal derfor ikke selv træffe afgørelse om formålene med og hjælpemidlerne til behandling af personoplysninger for i egenskab af dataansvarlig at skulle besvare de anmodninger, der fremsættes af de registrerede på grundlag af de rettigheder, som disse har i henhold til databeskyttelsesforordningen.

46

I denne henseende har Domstolen allerede fastslået, at gyldigheden af en direkte udpegelse ikke påvirkes af den omstændighed, at den enhed, der er udpeget som dataansvarlig, i henhold til national ret ikke har nogen kontrol over de personoplysninger, som den skal behandle (jf. i denne retning dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende),C-231/22, EU:C:2024:7, præmis 37 og 38).

47

En sådan fortolkning er i overensstemmelse med det retssikkerhedsformål, der forfølges med databeskyttelsesforordningen. Som Europa-Kommissionen har fremhævet i sit skriftlige indlæg, ville dette formål blive bragt i fare, hvis de registrerede, for at kunne anse denne udpegelse for at være foretaget gyldigt af den nationale lovgiver, skulle kontrollere, at den enhed, der er udpeget som ansvarlig for behandlingen af deres personoplysninger, har beføjelse til selv at fastlægge formålene med og hjælpemidlerne til en sådan behandling.

48

Det skal endvidere tilføjes, at den omstændighed, at det ikke er nødvendigt, at en enhed, der i henhold til national ret er udpeget som dataansvarlig, ligeledes har beføjelse til selv at træffe afgørelse om formålene med og hjælpemidlerne til behandling af personoplysninger for som dataansvarlig at kunne besvare anmodninger, som de registrerede retter til den pågældende enhed på grundlag af de rettigheder, som de registrerede har i henhold til databeskyttelsesforordningen, imidlertid ikke fratager de registrerede muligheden for at rette disse anmodninger til en anden enhed, som ifølge dem alene eller sammen med andre er ansvarlig for behandlingen af deres personoplysninger på grund af den indflydelse, som denne anden enhed har udøvet på fastlæggelsen af formålene med og hjælpemidlerne til den pågældende behandling.

49

Henset til ovenstående betragtninger skal det forelagte spørgsmål besvares med, at databeskyttelsesforordningens artikel 4, nr. 7), skal fortolkes således, at denne bestemmelse ikke er til hinder for en national lovgivning, der som dataansvarlig udpeger en administrativ enhed, der optræder som hjælpeorgan, og som ikke har status som juridisk person og ikke har egen retsevne, uden konkret at præcisere de specifikke behandlingsaktiviteter vedrørende personoplysninger, som denne enhed er ansvarlig for, eller formålet med de pågældende aktiviteter, forudsat dels, at en sådan enhed i henhold til denne nationale lovgivning kan opfylde de forpligtelser, som en dataansvarlig har over for de registrerede med hensyn til beskyttelsen af personoplysninger, dels at den nævnte nationale lovgivning udtrykkeligt eller i det mindste implicit fastsætter omfanget af den behandling af personoplysninger, som den pågældende enhed er udpeget som dataansvarlig for.

50

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Ottende Afdeling) for ret:

Artikel 4, nr. 7), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at

denne bestemmelse ikke er til hinder for en national lovgivning, der som dataansvarlig udpeger en administrativ enhed, der optræder som hjælpeorgan, og som ikke har status som juridisk person og ikke har egen retsevne, uden konkret at præcisere de specifikke behandlingsaktiviteter vedrørende personoplysninger, som denne enhed er ansvarlig for, eller formålet med de pågældende aktiviteter, forudsat dels, at en sådan enhed i henhold til denne nationale lovgivning kan opfylde de forpligtelser, som en dataansvarlig har over for de registrerede med hensyn til beskyttelsen af personoplysninger, dels at den nævnte nationale lovgivning udtrykkeligt eller i det mindste implicit fastsætter omfanget af den behandling af personoplysninger, som den pågældende enhed er udpeget som dataansvarlig for.