Tribunal administratif du Grand-Duché de Luxembourg (TA Luxembourg) avvisar registrerades överklagande då den registrerade inte bevisat att någon behandling av personuppgifter enligt dataskyddsförordningen (GDPR) pågått när överklagandet lämnades in till domstolen.
Av beslutet framgår att en registrerad upptäckt att ett amerikanskt företag (den personuppgiftsansvarige) samlat in personuppgifter om honom och marknadsfört dem på sin webbplats. Den 5 april 2019 kontaktade den registrerade den personuppgiftsansvarige, som svarade samma dag med en kopia av hans personuppgifter och informerade den registrerade om att de raderat hans personuppgifter. Trots detta lämnade den registrerade samma dag in ett klagomål till den luxemburgska dataskyddsmyndigheten Commission Nationale pour la Protection des Données (CNPD) för att få den personuppgiftsansvarige att agera på hans begäran i enlighet med dataskyddsförordningen.
Efter att ha bett den registrerade att tillhandahålla korrespondensen med den personuppgiftsansvarige informerade CNPD den registrerade den 6 mars 2020 om att den personuppgiftsansvarige är baserad i USA och att det därför är omöjligt att fullfölja hans klagomål. Den registrerade svarade flera gånger och bad bland annat om ett förtydligande av det administrativa förfarandet och i synnerhet av reglerna om myndighetens utredningar. CNPD svarade i en skrivelse att det inte var relevant att inleda en utredning eftersom myndigheten inte hade några möjligheter att vidta åtgärder mot ett amerikanskt företag.
Den 1 mars 2021 lämnade den registrerade, företrädd av noyb, in ett överklagande till TA Luxembourg och begärde att CNPD:s skrivelse skulle upphävas eller annulleras. På grundval av artikel 78 GDPR ansåg den registrerade att han hade rätt att väcka talan.
TA Luxembourg ansåg att den registrerades uppgifter redan raderats från den personuppgiftsansvariges webbplats både vid tidpunkten för hans klagomål av den 5 april 2019 och vid tidpunkten för överklagandet. Följaktligen ansåg TA Luxembourg att den registrerade inte bevisat att någon behandling av personuppgifter pågått när han lämnade in sitt överklagande.
TA Luxembourg konstaterade också att enligt artikel 51 GDPR är CNPD ansvarig för att övervaka de personuppgiftsansvarigas tillämpning av dataskyddsförordningen och att myndigheten inte längre behöver ingripa från och med den tidpunkt då ett eventuellt åsidosättande av dataskyddsförordningen från en personuppgiftsansvarigs sida upphört. TA Luxembourg ansåg att den registrerade i detta fall därför inte kunde förlita sig på dataskyddsförordningen för att sanktionera en personuppgiftsansvarig, utom vid en skadeståndstalan till följd av kränkningen av dennes rättigheter.
TA Luxembourg noterade också att för att få ersättning för den skada som uppkommit till följd av kränkningen av rätten till dataskydd, i enlighet med artikel 79 GDPR, är det inte nödvändigt att hänskjuta ärendet till dataskyddsmyndigheten.