EU-domstolen har i mål C-154/21, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Oberster Gerichtshof, genom beslut av den 18 februari 2021, i målet RW mot Österreichische Post AG, slagit fast att varje person har rätt att få veta till vem hans eller hennes personuppgifter har lämnats ut enligt dataskyddsförordningen (GDPR).
Av domen framgår bland annat att en medborgare begärt att Österreichische Post, som är den största operatören av post- och logistiktjänster i Österrike, skulle att lämna ut identiteten på de mottagare till vilka de hade lämnat ut hans personuppgifter. Han åberopade dataskyddsförordningen enligt vilken den registrerade har rätt att från den personuppgiftsansvarige få information om de mottagare eller kategorier av mottagare till vilka hans eller hennes personuppgifter har lämnats ut eller ska lämnas ut (rätten till tillgång, artikel 15 GDPR).
Som svar på medborgarens begäran uppgav Österreichische Post endast att de använder personuppgifter, i den utsträckning det är tillåtet enligt lag, inom ramen för sin verksamhet som utgivare av telefonkataloger och att företaget erbjuder dessa personuppgifter till handelspartner i marknadsföringssyfte. Medborgaren väckte därför talan mot Österreichische Post vid österrikiska domstolar.
Under domstolsförfarandet informerade Österreichische Post medborgaren om att hans uppgifter vidarebefordrats till kunder, däribland annonsörer som bedriver handel via postorder- och postorderbutiker, IT-företag, leverantörer av sändlistor, och sammanslutningar som välgörenhetsorganisationer, icke-statliga organisationer (NGO) eller politiska partier.
Oberster Gerichtshof, som behandlat tvisten i sista instans, vill veta om dataskyddsförordningen ger den personuppgiftsansvarige möjligheten att välja mellan att avslöja mottagarnas identitet eller endast informera om kategorier av mottagare, eller om dataskyddsförordningen ger den registrerade rätt att få veta mottagarnas specifika identitet.
I sin dom konstaterar EU-domstolen att den personuppgiftsansvarige är skyldig att ge den registrerade den faktiska identiteten på mottagare till vilka personuppgifter har lämnats ut eller ska lämnas ut. Endast när det är omöjligt att identifiera mottagarna är det tillräckligt den personuppgiftsansvarige informerar den registrerade om de aktuella kategorierna av mottagare.
EU-domstolen erinrar även om att den registrerades rätt till tillgång är nödvändig för att den registrerade ska kunna utöva andra rättigheter som följer av dataskyddsförordningen.