DPA är personuppgiftsansvariga gentemot klagande

En dataskyddsmyndighet som handlägger ett klagomål är personuppgiftsansvarig för klagandens uppgifterEuropa och måste ge tillgång enligt artikel 15Europa, fann domstolen (tredje avdelningen) den 5 november 2026 i mål C-205/25 (Lindenberg mot Bayerisches Landesamt für Datenschutzaufsicht). Ett generellt lagstadgat förbud mot all tillgång till myndighetens akter, som paragraf 20.2 i den bayerska dataskyddslagen, strider mot artikel 23 i GDPREuropa: tredje parts sekretess och myndighetens funktion kräver avvägning, maskning eller riktade begränsningar, aldrig totalvägran, och allmän säkerhet kräver ett verkligt, tillräckligt allvarligt hot.

Klaganden, en journalist med en dataskyddsblogg, hade sedan 2021 gett in flera klagomål till den bayerska myndigheten. Efter hans klagomål den 13 maj 2022 mot tredje part meddelade myndigheten per e-post den 11 oktober 2022 att den funnit dataskyddsöverträdelser och att den skulle utfärda ett sanktionsföreläggande vid fortsatta överträdelser. Samma dag begärde han fullständiga uppgifter enligt artikel 15.1 och 15.3; den 20 oktober 2022 vägrade myndigheten med hänvisning till det bayerska generella förbudet. Han stämde i december för kopia av allt i klagomålsakten; i februari 2024 beviljade myndigheten elektronisk aktåtkomst utan att medge någon skyldighet, medan han fortfarande yrkar att vägran förklaras olaglig.

I den första frågan klassificerar domstolen den klagomålshandläggande myndigheten som personuppgiftsansvarig enligt artikel 4.7Europa: den registrerar, konsulterar, lagrar och använder klagandens uppgifter, och ändamålen och medlen för behandlingen följer av de unionsbestämmelser som styr myndigheten, vilka kan utse den ansvarige inte bara uttryckligen utan också underförstått, utan att myndigheten själv beslutar dem. Annars förlorade klaganden gentemot myndigheten alla kapitel III-rättigheter, från information och tillgång till rättelse, radering och begränsning, och myndigheten undginge artikel 5-principerna och kapitel IV:s säkerhetsregler. Ett organ kan vara både tillsynsmyndighet och ansvarig, genom att anpassa sin interna organisation så att ansvarighandlingar underkastas oberoende tillsyn. Men artikel 15 ger tillgång till de egna personuppgifterna och den uppräknade informationen, ingen allmän rätt till förvaltningsakten eller varje förvarat dokumentEuropa.

I den andra frågan utesluter artikel 23.1 c, h och i det generella förbudetEuropa. Skyddet för tredje parts uppgifter enligt led i kräver avvägning, där så möjligt genom maskning eller anonymisering, eftersom resultatet aldrig får bli vägran av all information. Att bevara myndighetens ändamålsenliga funktion och oberoende enligt led h är legitimt i princip, men utövandet av tillgång kan inte undergräva oberoendet, och ett generellt abstrakt förbud är oproportionerligt: administrativ börda möts av resursplikten och artikel 12.5-avgifter eller -avslag vid uppenbart ogrundade eller orimliga begäranden. Allmän säkerhet enligt led c kräver ett verkligt och tillräckligt allvarligt hot mot ett grundläggande samhällsintresse, varav intet framgår här.

Rättslig grund: artikel 4.7 läst med artikel 15 samt artikel 23.1 c, h och i i förordning (EU) 2016/679.