C-169/23 Nemzeti Adatvédelmi és Információszabadság Hatóság

TEISINGUMO TEISMO (trečioji kolegija) SPRENDIMAS

2024 m. lapkričio 28 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis ir laisvas šių duomenų judėjimas – Reglamentas (ES) 2016/679 – Duomenys, tvarkomi išduodant COVID‑19 pažymėjimą – Duomenys, gauti ne iš duomenų subjekto – Pateiktina informacija – Pareigos pateikti informaciją išimtis – 14 straipsnio 5 dalies c punktas – Duomenys, sugeneruoti per paties duomenų valdytojo vykdomą procedūrą – Teisė pateikti skundą – Priežiūros institucijos kompetencija – 77 straipsnio 1 dalis – Duomenų valdytojui taikomoje valstybės narės teisėje numatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės – Duomenų tvarkymo saugumo priemonės – 32 straipsnis“

Byloje C‑169/23 [Másdi] ( i )

dėl Kúria (Aukščiausiasis Teismas, Vengrija) 2023 m. vasario 8 d. nutartimi, kurią Teisingumo Teismas gavo 2023 m. kovo 17 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

Nemzeti Adatvédelmi és Információszabadság Hatóság

prieš

TEISINGUMO TEISMAS (trečioji kolegija),

kurį sudaro trečiosios kolegijos pirmininko pareigas einanti antrosios kolegijos pirmininkė K. Jürimäe, trečiosios kolegijos teisėjo pareigas einantis Teisingumo Teismo pirmininkas K. Lenaerts, teisėjai N. Jääskinen, M. Gavalec (pranešėjas) ir N. Piçarra,

generalinė advokatė L. Medina,

kancleris A. Calot Escobar,

atsižvelgęs į rašytinę proceso dalį,

išnagrinėjęs pastabas, pateiktas:

–	Nemzeti Adatvédelmi és Információszabadság Hatóság, atstovaujamos ügyvéd G. J. Dudás,

–	UC, atstovaujamo ügyvédek D. Karsai ir V. Łuszcz,

–	Vengrijos vyriausybės, atstovaujamos Zs. Biró-Tóth ir M. Z. Fehér,

–	Čekijos vyriausybės, atstovaujamos L. Březinová, M. Smolek ir J. Vláčil,

–	Europos Komisijos, atstovaujamos A. Bouchagiar, C. Kovács ir H. Kranenborg,

susipažinęs su 2024 m. birželio 6 d. posėdyje pateikta generalinės advokatės išvada,

priima šį

Sprendimą

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 14 straipsnio 1 dalies ir 5 dalies c punkto, 32 straipsnio ir 77 straipsnio 1 dalies išaiškinimo.

Šis prašymas buvo pateiktas nagrinėjant Nemzeti Adatvédelmi és Információszabadság Hatóság (Nacionalinė duomenų apsaugos ir informacijos laisvės institucija, Vengrija; toliau – nacionalinė priežiūros institucija) ir UC ginčą dėl to, ar Budapest Főváros Kormányhivatala (Vyriausybės biuras Budapešte, Vengrija) (toliau – išduodančioji įstaiga), atsakinga už imuniteto pažymėjimų išdavimą asmenims, pasiskiepijusiems nuo COVID‑19 ar sirgusiems šia liga, turi pareigą pateikti informaciją apie asmens duomenų tvarkymą.

Teisinis pagrindas

Sąjungos teisė

BDAR

BDAR 1, 10 ir 61–63 konstatuojamosiose dalyse nustatyta:

„(1)	[F]izinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos pagrindinių teisių chartijos <…> 8 straipsnio 1 dalyje ir [SESV] 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą.

<…>

(10)

siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo [Europos] Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė [fizinių] asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. Kalbant apie asmens duomenų tvarkymą siekiant laikytis teisinės prievolės, užduoties, vykdomos dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas, atlikimui valstybėms narėms turėtų būti leidžiama išlaikyti arba nustatyti nacionalines nuostatas, kuriomis konkrečiau apibrėžiamas šiame reglamente nustatytų taisyklių taikymas. <…>

<…>

(61)

informacija apie duomenų subjekto asmens duomenų tvarkymą turėtų būti jam suteikta duomenis renkant arba, kai asmens duomenys gaunami ne iš duomenų subjekto, o iš kito šaltinio, per pagrįstą laikotarpį, priklausomai nuo konkretaus atvejo aplinkybių. Kai asmens duomenis galima teisėtai atskleisti kitam duomenų gavėjui, duomenų subjektas apie tai turėtų būti informuojamas pirmo asmens duomenų atskleidimo jų gavėjui metu. Jeigu asmens duomenų valdytojas ketina tvarkyti duomenis kitu tikslu nei tikslas, kuriuo jie buvo renkami, prieš taip toliau tvarkydamas duomenis, duomenų valdytojas turėtų pateikti duomenų subjektui informaciją apie tą kitą tikslą ir kitą būtiną informaciją. Tais atvejais, kai asmens duomenų kilmė duomenų subjektui negali būti nurodyta dėl to, kad buvo naudoti įvairūs šaltiniai, turėtų būti pateikta bendro pobūdžio informacija;

(62)

tačiau prievolės suteikti informaciją nebūtina nustatyti tais atvejais, kai duomenų subjektas jau buvo apie tai informuotas arba kai asmens duomenų įrašymas ar atskleidimas aiškiai įtvirtintas įstatyme, arba kai pateikti informaciją duomenų subjektui pasirodo neįmanoma arba tai pareikalautų neproporcingai didelių pastangų. <…>

(63)	duomenų subjektas turėtų turėti teisę susipažinti su apie jį surinktais asmens duomenimis ir galimybę ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. <…>“

4	Šio reglamento 1 straipsnio „Dalykas ir tikslai“ 2 dalyje nurodyta: „Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.“

Minėto reglamento 4 straipsnyje „Apibrėžtys“ nustatyta:

„Šiame reglamente:

1)	asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); <…>

duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;

<…>

7)	duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; <…>

<…>“

BDAR 6 straipsnio „Tvarkymo teisėtumas“ 1 dalyje numatyta:

„Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

<…>

c)	tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė;

<…>

e)	tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;

<…>“

Šio reglamento 9 straipsnio „Specialių kategorijų asmens duomenų tvarkymas“ 1 ir 2 dalyse nurodyta:

„1. Draudžiama tvarkyti asmens duomenis, atskleidžiančius rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją.

2. 1 dalis netaikoma, jei taikoma viena iš toliau nurodytų sąlygų:

<…>

tvarkyti duomenis būtina dėl viešojo intereso priežasčių visuomenės sveikatos srityje, pavyzdžiui, siekiant apsisaugoti nuo rimtų tarpvalstybinio pobūdžio grėsmių sveikatai arba užtikrinti aukštus sveikatos priežiūros ir vaistų arba medicinos priemonių kokybės ir saugos standartus, remiantis Sąjungos arba valstybės narės teise, kurioje numatomos tinkamos ir konkrečios priemonės duomenų subjekto teisėms ir laisvėms apsaugoti, visų pirma profesinė paslaptis;

<…>“

8	BDAR III skyrių „Duomenų subjekto teisės“ sudaro keli skirsniai, įskaitant 2 skirsnį „Informavimas ir teisė susipažinti su asmens duomenimis“.

BDAR 2 skirsnyje įtvirtintas 13 straipsnis „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“, 14 straipsnis „Informacija, kuri turi būti pateikta, kai asmens duomenys yra gauti ne iš duomenų subjekto“ ir 15 straipsnis „Duomenų subjekto teisė susipažinti su duomenimis“.

Šio reglamento 14 straipsnyje nustatyta:

„1. „Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia duomenų subjektui šią informaciją:

a)	duomenų valdytojo ir duomenų valdytojo atstovo, jei taikoma, tapatybę ir kontaktinius duomenis;

b)	duomenų apsaugos pareigūno, jei taikoma, kontaktinius duomenis;

c)	duomenų tvarkymo tikslus, kuriais ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;

d)	atitinkamų asmens duomenų kategorijas;

e)	jei jos yra, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas;

f)	kai taikoma, apie duomenų valdytojo ketinimą asmens duomenis perduoti gavėjui trečiojoje valstybėje arba tarptautinei organizacijai <…>

2. Be 1 dalyje nurodytos informacijos, duomenų valdytojas pateikia duomenų subjektui toliau nurodytą papildomą informaciją, būtiną tvarkymo sąžiningumui ir skaidrumui duomenų subjekto atžvilgiu užtikrinti:

a)	asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;

b)	kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus duomenų valdytojo arba trečiosios šalies interesus;

c)	teisę prašyti, kad duomenų valdytojas leistų susipažinti su duomenų subjekto asmens duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, ir teisę nesutikti, kad duomenys būtų tvarkomi, taip pat teisę į duomenų perkeliamumą;

d)	kai duomenų tvarkymas grindžiamas 6 straipsnio 1 dalies a punktu arba 9 straipsnio 2 dalies a punktu, teisę bet kuriuo metu atšaukti sutikimą, nedarant poveikio sutikimu grindžiamo duomenų tvarkymo iki sutikimo atšaukimo teisėtumui;

e)	teisė pateikti skundą priežiūros institucijai;

f)	koks yra asmens duomenų kilmės šaltinis, ir, jei taikoma, ar duomenys gauti iš viešai prieinamų šaltinių;

g)	tai, kad esama <…> automatizuoto sprendimų priėmimo <…>

<…>

4. Kai duomenų valdytojas ketina toliau tvarkyti asmens duomenis kitu tikslu nei tas, kuriuo asmens duomenys buvo gauti, prieš toliau tvarkydamas tuos duomenis duomenų valdytojas pateikia duomenų subjektui informaciją apie tą kitą tikslą ir visą papildomą atitinkamą informaciją, kaip nurodyta 2 dalyje.

5. 1–4 dalys netaikomos, jeigu ir tiek, kiek:

a)	duomenų subjektas jau turi informacijos;

tokios informacijos pateikimas yra neįmanomas arba tam reikėtų neproporcingų pastangų, visų pirma kai duomenys tvarkomi archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais laikantis 89 straipsnio 1 dalyje nurodytų sąlygų ir apsaugos priemonių arba jeigu dėl šio straipsnio 1 dalyje nurodytos pareigos gali tapti neįmanoma arba ji gali labai sukliudyti pasiekti to tvarkymo tikslus. Tokiais atvejais duomenų valdytojas imasi tinkamų priemonių duomenų subjekto teisėms ir laisvėms ir teisėtiems interesams apsaugoti, įskaitant viešą informacijos paskelbimą;

c)	duomenų gavimas ar atskleidimas aiškiai nustatytas Sąjungos arba valstybės narės teisėje, ir kurie taikomi [kuri taikoma] duomenų valdytojui ir kuriuose [kurioje] nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės; arba

d)	kai asmens duomenys privalo išlikti konfidencialūs laikantis Sąjungos ar valstybės narės teise reglamentuojamos profesinės paslapties prievolės, įskaitant įstatais nustatytą prievolę saugoti paslaptį.“

Minėto reglamento 32 straipsnis „Duomenų tvarkymo saugumas“ suformuluotas taip:

„1. Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, įskaitant, inter alia, jei reikia:

a)	pseudonimų suteikimą asmens duomenims ir jų šifravimą;

b)	gebėjimą užtikrinti nuolatinį duomenų tvarkymo sistemų ir paslaugų konfidencialumą, vientisumą, prieinamumą ir atsparumą;

c)	gebėjimą laiku atkurti sąlygas ir galimybes naudotis asmens duomenimis fizinio ar techninio incidento atveju;

d)	reguliarų techninių ir organizacinių priemonių, kuriomis užtikrinamas duomenų tvarkymo saugumas, tikrinimo, vertinimo ir veiksmingumo vertinimo procesą.

2. Nustatant tinkamo lygio saugumą visų pirma atsižvelgiama į pavojus, kurie kyla dėl duomenų tvarkymo, visų pirma dėl netyčinio arba neteisėto persiųstų, saugomų ar kitaip tvarkomų duomenų sunaikinimo, praradimo, pakeitimo, atskleidimo be leidimo ar neteisėtos prieigos prie jų.

3. Tuo, kad laikomasi patvirtinto elgesio kodekso, kaip nurodyta 40 straipsnyje, arba patvirtinto sertifikavimo mechanizmo, kaip nurodyta 42 straipsnyje, gali būti remiamasi kaip vienu iš elementų, kuriuo siekiama įrodyti, kad laikomasi šio straipsnio 1 dalyje nustatytų reikalavimų.

4. Duomenų valdytojas ir duomenų tvarkytojas imasi priemonių, siekdami užtikrinti, kad bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus fizinis asmuo, galintis susipažinti su asmens duomenimis, jų netvarkytų, išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti, nebent tas asmuo privalo tai daryti pagal Sąjungos arba valstybės narės teisę.“

12	Šio reglamento 55 straipsnio „Kompetencija“ 1 dalyje nustatyta: „Kiekviena priežiūros institucija turi kompetenciją savo valstybės narės teritorijoje vykdyti pagal šį reglamentą jai pavestas užduotis ir naudotis pagal šį reglamentą jai suteiktais įgaliojimais.“

BDAR 57 straipsnio „Užduotys“ 1 dalyje numatyta:

„Nedarant poveikio kitoms pagal šį reglamentą nustatytoms užduotims, kiekviena priežiūros institucija savo teritorijoje:

a)	stebi, kaip taikomas šis reglamentas, ir užtikrina, kad jis būtų taikomas;

<…>

c)	laikydamasi valstybės narės teisės, pataria nacionaliniam parlamentui, vyriausybei ir kitoms institucijoms bei įstaigoms teisėkūros ir administracinių priemonių, susijusių su fizinių asmenų teisių ir laisvių apsauga tvarkant duomenis, klausimais;

<…>“

Šio reglamento 58 straipsnio „Įgaliojimai“ 3 dalyje nustatyta:

„Kiekviena priežiūros institucija turi visus šiuos leidimo išdavimo ir patariamuosius įgaliojimus:

<…>

b)	savo iniciatyva arba gavus prašymą teikti nuomones nacionaliniam parlamentui, valstybės narės vyriausybei arba, vadovaujantis valstybės narės teise, kitoms institucijoms ir įstaigoms, taip pat visuomenei, visais su asmens duomenų apsauga susijusiais klausimais;

<…>“

Minėto reglamento 77 straipsnio „Teisė pateikti skundą priežiūros institucijai“ 1 dalyje numatyta:

„Neapribojant galimybių imtis kitų administracinių arba teisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai, visų pirma valstybėje narėje, kurioje yra jo nuolatinė gyvenamoji vieta, darbo vieta arba vieta, kurioje padarytas įtariamas pažeidimas, jeigu tas duomenų subjektas mano, kad su juo susijęs asmens duomenų tvarkymas atliekamas pažeidžiant šį reglamentą.“

BDAR 78 straipsnis „Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją“ suformuluotas taip:

„1. Nedarant poveikio galimybei imtis kitų administracinių arba neteisminių teisių gynimo priemonių, kiekvienas fizinis ar juridinis asmuo turi teisę imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros institucijos dėl jo priimtą teisiškai privalomą sprendimą.

2. Nedarant poveikio galimybei imtis kitų administracinių arba neteisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę imtis veiksmingų teisminių teisių gynimo priemonių, jeigu priežiūros institucija, kuri yra kompetentinga pagal 55 straipsnį ir 56 straipsnius, skundo nenagrinėja arba per tris mėnesius nepraneša duomenų subjektui apie pagal 77 straipsnį pateikto skundo nagrinėjimo pažangą arba rezultatus.

3. Byla priežiūros institucijai keliama valstybės narės, kurioje priežiūros institucija yra įsisteigusi, teismuose.

4. Kai byla iškelta dėl priežiūros institucijos sprendimo, kuris buvo priimtas po to, kai Valdyba pateikė nuomonę ar priėmė sprendimą pagal nuoseklumo užtikrinimo mechanizmą, priežiūros institucija perduoda teismui tą nuomonę ar sprendimą.“

Reglamentas (ES) 2021/953

2021 m. birželio 14 d. Europos Parlamento ir Tarybos reglamento (ES) 2021/953 dėl sąveikiųjų COVID‑19 skiepijimo, tyrimo ir persirgimo pažymėjimų (ES skaitmeninio COVID pažymėjimo) išdavimo, tikrinimo ir pripažinimo sistemos, kuria siekiama sudaryti palankesnes sąlygas asmenims laisvai judėti COVID‑19 pandemijos metu (OL L 211, 2021, p. 1), 10 straipsnio 1 dalyje buvo numatyta:

„Įgyvendinant šį reglamentą tvarkomiems asmens duomenims taikomas [BDAR].“

Vengrijos teisė

Pagrindinės bylos aplinkybėms taikytinos redakcijos 2021 m. vasario 12 d.koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (Vyriausybės nutarimas Nr. 60/2021 (II.12.) dėl imuniteto nuo koronaviruso pažymėjimo) (toliau – Nutarimas Nr. 60/2021) 2 straipsnio 1 dalyje numatyta:

„Imuniteto pažymėjime nurodyta:

a)	atitinkamo asmens vardas ir pavardė;

b)	atitinkamo asmens paso, jei jis jį turi, numeris;

c)	atitinkamo asmens nuolatinės asmens tapatybės kortelės, jei jis ją turi, numeris;

d)	imuniteto pažymėjimo serijos numeris;

e)	jei pateikiamas skiepijimo įrodymas – skiepijimo data;

f)	jei pateikiamas persirgimo liga įrodymas – jo galiojimo data;

g)	kompiuteriniais įrenginiais optiškai nuskaitomas duomenų saugojimo kodas, sugeneruotas iš a–f punktuose nurodytų duomenų;

toliau pateikiamos nuorodos, kaip tekstiniai įspėjimai:

(ha)	„Kad kortelė galiotų, ji turi būti pateikta kartu su asmens tapatybės kortele arba pasu“;

(hb)	„Negalima perduoti“;

(hc)	„Su teisėmis, susijusiomis su pažymėjimu, galima susipažinti interneto svetainėje koronavirus.gov.hu“.“

19	Pagal Nutarimo Nr. 60/2021 2 straipsnio 6 ir 7 dalis išduodančioji įstaiga savo iniciatyva arba gavusi prašymą išduoda imuniteto pažymėjimą fiziniams asmenims, turintiems teisę jį gauti.

Šio nutarimo 3 straipsnio 3 dalyje nustatyta:

„2 straipsnio 6 dalies c ir d punktuose nurodytais atvejais išduodančioji įstaiga automatiniu informacijos perdavimo būdu – prireikus per Elektroninio asmens tapatybės duomenų tvarkymo registro tarnybas – surenka:

a)	iš EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (Elektroninė sveikatos paslaugų platforma)] valdytojo: atitinkamo asmens socialinio draudimo numerį, 2 straipsnio 1 dalies e ir g punktuose nurodytus duomenis ir 1 dalyje nurodytus duomenis;

b)	iš už asmens duomenų ir adresų registravimą atsakingos įstaigos: atitinkamo asmens vardą ir pavardę, paso ir nuolatinės asmens tapatybės kortelės dokumentų identifikatorius ir adresą.“

Pagrindinė byla ir prejudiciniai klausimai

21	Fizinis asmuo UC pagal Nutarimą Nr. 60/2021 gavo iš išduodančiosios įstaigos imuniteto pažymėjimą, patvirtinantį, kad yra paskiepytas nuo COVID‑19.

2021 m. balandžio 30 d. UC, remdamasis BDAR 77 straipsnio 1 dalimi, dėl savo asmens duomenų tvarkymo administracine tvarka kreipėsi į nacionalinę priežiūros instituciją su prašymu nurodyti išduodančiajai įstaigai suderinti jos atliekamas duomenų tvarkymo operacijas su BDAR nuostatomis. Skunde jis, be kita ko, teigė, kad išduodančioji įstaiga neparengė ir nepaskelbė pareiškimo apie asmens duomenų, susijusių su imuniteto pažymėjimų išdavimu, apsaugą ir nepateikė informacijos nei apie šių duomenų tvarkymo tikslą ir teisinį pagrindą, nei apie duomenų subjektų teises ir kaip galima jomis pasinaudoti.

Per pagal šį skundą pradėtą procedūrą išduodančioji įstaiga pareiškė, kad su imuniteto pažymėjimų išdavimu susijusias užduotis vykdė pagal Nutarimo Nr. 60/2021 2 straipsnį, o duomenų tvarkymo teisinis pagrindas buvo BDAR 6 straipsnio 1 dalies e punktas ir BDAR 9 straipsnio 2 dalies i punktas, kiek tai susiję su specialių kategorijų asmens duomenų tvarkymu.

Be to, išduodančioji įstaiga nurodė, kad asmens duomenis, kuriuos tvarkė, gavo iš kitos įstaigos pagal Nutarimo Nr. 60/2021 nuostatas. Tuo remdamasi ji teigė, kad pagal BDAR 14 straipsnio 5 dalies c punktą neprivalėjo pateikti informacijos apie šių duomenų tvarkymą. Vis dėlto ji parengė reikalautą pareiškimą dėl asmens duomenų apsaugos ir jį paskelbė savo interneto svetainėje.

25	2021 m. lapkričio 15 d. sprendimu nacionalinė priežiūros institucija atmetė UC prašymą ir nustatė, kad išduodančioji įstaiga neturi pareigos pateikti informaciją, nes duomenų tvarkymui buvo taikoma BDAR 14 straipsnio 5 dalies c punkte numatyta išimtis.

Ši institucija laikėsi nuomonės, kad Nutarimas Nr. 60/2021 buvo duomenų tvarkymo teisinis pagrindas, aiškiai įpareigojęs išduodančiąją įstaigą rinkti nagrinėjamus duomenis. Anot jos, tai, kad išduodančioji įstaiga savo svetainėje skelbia informaciją apie atliekamą asmens duomenų tvarkymą, yra gera praktika, o ne teisinė pareiga.

Be to, nacionalinė priežiūros institucija savo iniciatyva išnagrinėjo, ar yra tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių, kaip jos suprantamos pagal BDAR 14 straipsnio 5 dalies c punkte esančio sakinio antrą dalį, ir nustatė, kad tokiomis priemonėmis laikytini Nutarimo Nr. 60/2021 2 ir 3 ir 5–7 straipsniai.

28	UC dėl šio sprendimo pateikė administracinį skundą Fővárosi Törvényszék (Sostinės apygardos teismas, Vengrija); šis sprendimą panaikino ir įpareigojo instituciją pradėti naują procedūrą.

Savo sprendime minėtas teismas vadovavosi nuostata, kad BDAR 14 straipsnio 5 dalies c punkte numatyta išimtis netaikoma, nes kai kuriuos imuniteto pažymėjimo tikslais pateiktus asmens duomenis duomenų valdytojas gavo ne iš kitos įstaigos, jie buvo sugeneruoti paties duomenų valdytojo jam vykdant savo užduotis. To teismo nuomone, tai taikoma imuniteto pažymėjimo serijos numeriui, sirgusiam asmeniui išduoto pažymėjimo galiojimo laikotarpiui, kortelėje nurodytam QR kodui, brūkšniniam kodui ir kitiems raidiniams bei skaitmeniniams kodams, nurodytiems pažymėjimo išdavimo patvirtinimo dokumente, ir asmens duomenims, sugeneruotiems per procedūrą, susijusią su duomenų valdytojo atliekamu bylos tvarkymu. Minėto teismo nuomone, BDAR 14 straipsnio 5 dalies c punkte numatyta išimtis galėjo būti taikoma tik iš kitos įstaigos gautiems asmenims duomenims.

30	Nacionalinė priežiūros institucija dėl šio sprendimo pateikė specialųjį kasacinį skundą Kúria (Aukščiausiasis Teismas, Vengrija) – prašymą priimti prejudicinį sprendimą pateikusiam teismui.

31	Tokiomis aplinkybėmis tam teismui pirmiausia kyla klausimas, ar BDAR 14 straipsnio 5 dalies c punkte numatyta išimtis gali būti taikoma visoms duomenų tvarkymo operacijoms, išskyrus, kai tvarkomi iš duomenų subjekto surinkti asmens duomenys.

Jeigu į šį klausimą būtų atsakyta teigiamai, nacionalinis teismas siekia išsiaiškinti, ar per BDAR 77 straipsnio 1 dalyje numatyto skundo nagrinėjimo procedūrą priežiūros institucija, norėdama nuspręsti dėl šios išimties taikymo, yra kompetentinga tikrinti, ar duomenų valdytojo nacionalinėje teisėje yra numatyta tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių.

33	Teigiamo atsakymo atveju prašymą priimti prejudicinį sprendimą pateikęs teismas norėtų sužinoti, ar toks tikrinimas apima ir priemonių, kurias duomenų valdytojas privalo įgyvendinti pagal BDAR 32 straipsnį, kad užtikrintų asmens duomenų tvarkymo saugumą, tinkamumą.

Šiomis aplinkybėmis Kúria (Aukščiausiasis Teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

„1.

Ar [BDAR] 14 straipsnio 5 dalies c punktas, siejamas su 14 straipsnio 1 dalimi ir 62 konstatuojamąja dalimi, turi būti aiškinamas taip, kad [šioje nuostatoje] numatyta išimtis netaikoma duomenims, kurie buvo sugeneruoti pačiam duomenų valdytojui vykdant procedūrą, ir taikoma tik duomenims, kuriuos duomenų valdytojas aiškiai gavo iš kito asmens?

Tuo atveju, jei BDAR 14 straipsnio 5 dalies c punktas taikomas ir duomenims, sugeneruotiems per duomenų valdytojo vykdomą procedūrą, ar BDAR 77 straipsnio 1 dalis, kurioje reglamentuojama teisė pateikti skundą priežiūros institucijai, turi būti aiškinama taip, kad fizinis asmuo, teigiantis, jog nebuvo įvykdyta pareiga pateikti informaciją, naudodamasis teise pateikti skundą, taip pat gali prašyti išnagrinėti, ar pagal BDAR 14 straipsnio 5 dalies c punktą valstybės narės teisėje yra numatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės?

3.	Jei į antrąjį klausimą būtų atsakyta teigiamai, ar BDAR 14 straipsnio 5 dalies c punktą galima aiškinti taip, kad šioje nuostatoje nurodytos „tinkamos priemonės“ reiškia, jog nacionalinės teisės aktų leidėjas turi perkelti (teisės aktais) BDAR 32 straipsnyje nustatytas duomenų saugumo priemones?“

2024 m. sausio 16 d. Teisingumo Teismas pagal Procedūros reglamento 61 straipsnį paprašė bylos šalių ir Europos Sąjungos Teisingumo Teismo statuto 23 straipsnyje nurodytų suinteresuotųjų asmenų raštu atsakyti į tam tikrus klausimus. Į juos atsakė pareiškėjas ir atsakovė pagrindinėje byloje, Vengrijos ir Čekijos vyriausybė ir Europos Komisija.

Dėl prejudicinių klausimų

Dėl pirmojo klausimo

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 14 straipsnio 5 dalies c punktas turi būti aiškinamas taip, kad šioje nuostatoje numatyta duomenų valdytojo pareigos pateikti duomenų subjektui informaciją išimtis taikoma tik asmens duomenims, kuriuos duomenų valdytojas gavo iš kito asmens nei duomenų subjektas, ar ji taikoma ir asmens duomenims, kuriuos pats duomenų valdytojas generavo vykdydamas savo užduotis.

37	Šio reglamento 14 straipsnio 1, 2 ir 4 dalyse apibrėžta informacija, kurią duomenų valdytojas privalo pateikti duomenų subjektui, kaip jis suprantamas pagal to reglamento 4 straipsnio 1 punktą, tuo atveju, kai asmens duomenys buvo gauti ne iš duomenų subjekto.

Minėto reglamento 14 straipsnio 5 dalyje nustatytos šios pareigos išimtys. Kaip viena iš šių išimčių, 5 dalies c punkte numatyta, kad ši pareiga netaikoma, jeigu ir tiek, kiek informacijos gavimas ar atskleidimas yra aiškiai nustatytas Sąjungos arba valstybės narės teisėje, kuri taikoma duomenų valdytojui ir kurioje nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės.

Pagal suformuluotą jurisprudenciją, siekiant nustatyti, ar ši išimtis apima asmens duomenis, kuriuos pats duomenų valdytojas, vykdydamas jam pavestas užduotis, generuoja iš duomenų, gautų iš kito asmens nei duomenų subjektas, reikia atsižvelgti ne tik į ją numatančios nuostatos formuluotę, bet ir į jos kontekstą ir teisės akto, kuriame ji įtvirtinta, tikslus (šiuo klausimu žr. 2023 m. sausio 12 d. Sprendimo Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 32 punktą ir jame nurodytą jurisprudenciją).

40	Pirma, atsižvelgiant į BDAR 14 straipsnio 5 dalies c punkto formuluotę, reikia nustatyti šioje nuostatoje nurodyto „gavimo ar atskleidimo“ objektą.

Pirmiausia pažymėtina, kad skirtingos šios nuostatos kalbinės redakcijos skiriasi. Šios nuostatos redakcijoje prancūzų kalba nurodytas informacijos („informations“) gavimas ar atskleidimas, o redakcijose vengrų („adat“), estų („isikuandmed“), kroatų („podataka“), lietuvių („duomenų“), nyderlandų („gegevens“), portugalų („dados“), rumunų („datelor“) ir švedų („uppgifter“) kalbomis kalbama apie duomenų („données“) gavimą ar atskleidimą, redakcijoje suomių kalba pavartota sąvoka („tietojen“), galinti reikšti tiek „duomenis“, tiek „informaciją“, ir galiausiai redakcijose bulgarų, ispanų, čekų, danų, vokiečių, graikų, anglų, italų, latvių, maltiečių, lenkų, slovakų ir slovėnų kalbomis gavimo ar atskleidimo objektas nenurodytas.

Pagal suformuotą jurisprudenciją vienoje Sąjungos teisės nuostatos kalbinių redakcijų vartojama formuluotė negali būti vienintelis šios nuostatos aiškinimo pagrindas ar įgyti prioriteto prieš redakcijas kitomis kalbomis. Sąjungos teisės nuostatos turi būti aiškinamos ir taikomos vienodai, atsižvelgiant į visomis Sąjungos kalbomis parengtas redakcijas. Esant įvairių kalbinių Sąjungos teisės teksto redakcijų neatitikimų, atitinkama nuostata turi būti aiškinama atsižvelgiant į teisės nuostatų, kurių dalis ji yra, bendrą sistemą ir tikslą (šiuo klausimu žr. 2024 m. kovo 21 d. Sprendimo Cobult, C‑76/23, EU:C:2024:253, 25 punktą ir jame nurodytą jurisprudenciją).

Dėl bendros BDAR sistemos pažymėtina, kad šio reglamento 14 straipsnio 5 dalį reikia aiškinti atsižvelgiant į jo 61 ir 62 konstatuojamąsias dalis, kuriose kalbama, viena vertus, apie „[gautus] asmens duomenis“, „[atskleistus] asmens duomenis“ ir „asmens duomenų įrašym[ą] ar atskleidim[ą] aiškiai įtvirtint[ą] įstatyme“, ir, kita vertus, apie „[suteiktą] informacij[ą]“ arba „informacij[ą][, kuri turi būti pateikta]“. Be to, aiškinimą, kad „gavimas ar atskleidimas“, kaip tai suprantama pagal BDAR 14 straipsnio 5 dalies c punktą, siejamas su asmens duomenimis, patvirtina plati sąvokos „duomenų tvarkymas“, kaip ji suprantama pagal BDAR 4 straipsnio 2 punktą, taikymo sritis, apimanti bet kokią su asmens duomenimis atliekamą operaciją (šiuo klausimu žr. 2023 m. spalio 5 d. Sprendimo Ministerstvo zdravotnictví (Covid-19 mobilioji programėlė), C‑659/22, EU:C:2023:745, 27 punktą ir jame jurisprudenciją).

Dėl BDAR, kuriame įtvirtintas 14 straipsnio 5 dalies c punktas, tikslo pakanka pažymėti, kad, kaip teigė generalinė advokatė išvados 31 punkte, šios išimties ratio legis pagrįstas tuo, kad reglamento 14 straipsnio 1, 2 ir 4 dalyse įtvirtinta pareiga pateikti duomenų subjektui informaciją yra nepateisinama, kai kita Sąjungos ar valstybės narės teisės nuostata pakankamai išsamiai ir imperatyviai nustato duomenų valdytojui pareigą tam subjektui suteikti informaciją apie asmens duomenų gavimą ar atskleidimą. Į 14 straipsnio 5 dalies c punkto taikymo sritį patenkančiu atveju duomenų subjektams turi būti pakankamai žinomos šių duomenų gavimo ar atskleidimo sąlygos ir tikslai.

45	Taigi, atsižvelgiant į visas BDAR 14 straipsnio 5 dalies c punkto kalbines redakcijas laikytina, kad ši nuostata turi būti suprantama kaip nurodanti asmens duomenų gavimą arba atskleidimą.

Toliau konstatuotina, kad iš BDAR 14 straipsnio 5 dalies c punkto formuluotės matyti, jog jame numatytos išimties taikymas neapribojamas asmens duomenimis, kuriuos duomenų valdytojas gauna iš kito asmens nei duomenų subjektas, ir iš jos taikymo srities neeliminuojami duomenys, kuriuos iš tokių duomenų sugeneravo pats duomenų valdytojas, vykdydamas savo užduotis.

Darytina išvada, kad asmens duomenys, kuriuos duomenų valdytojas „gavo“, kaip tai suprantama pagal minėtą nuostatą, yra visi duomenys, kuriuos jis surinko iš kito asmens nei duomenų subjektas, ir duomenys, kuriuos duomenų valdytojas, vykdydamas savo užduotis, pats sugeneravo iš kitų duomenų, gautų iš kito asmens nei duomenų subjektas.

Antra, pažymėtina, kad BDAR 14 straipsnio materialinė taikymo sritis apibrėžta neigiamai, palyginti su šio reglamento 13 straipsniu. Kaip matyti iš pačių šių nuostatų pavadinimų, 13 straipsnis skirtas informacijai, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto, o 14 straipsnis – informacijai, kuri turi būti pateikta, kai asmens duomenys yra gauti ne iš duomenų subjekto. Atsižvelgiant į šią dichotomiją, visi atvejai, kai duomenys gaunami ne iš duomenų subjekto, patenka į minėto 14 straipsnio taikymo sritį.

Taigi iš kartu aiškinamų BDAR 13 ir 14 straipsnių matyti, kad tiek asmens duomenys, kuriuos duomenų valdytojas gauna iš kito asmens nei duomenų subjektas, tiek paties duomenų valdytojo sugeneruoti duomenys, kurie iš esmės taip pat nebuvo gauti iš duomenų subjekto, patenka į šio 14 straipsnio taikymo sritį. Iš to išplaukia, kad 14 straipsnio 5 dalies c punkte nustatyta išimtis taikoma šių abiejų kategorijų duomenims.

Trečia, BDAR 14 straipsnio 5 dalies c punktą reikia aiškinti taip, kad jis atitiktų šiuo reglamentu siekiamą tikslą – be kita ko, kaip matyti iš jo 1 straipsnio, siejamo su 1 ir 10 konstatuojamosiomis dalimis, užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų teisės į privatų gyvenimą tvarkant asmens duomenis, įtvirtintos Pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje, apsaugos lygį (šiuo klausimu žr. 2024 m. kovo 7 d. Sprendimo IAB Europe, C‑604/22, EU:C:2024:214, 53 punktą ir jame nurodytą jurisprudenciją).

Šiuo klausimu iš BDAR 63 konstatuojamosios dalies matyti, kad Sąjungos teisės aktų leidėjas norėjo suteikti duomenų subjektui, kaip jis suprantamas pagal šį reglamentą, teisę susipažinti su apie jį surinktais asmens duomenimis, kad duomenų subjektas galėtų sužinoti apie duomenų tvarkymą ir patikrinti jo teisėtumą.

52	Taigi duomenų valdytojas gali būti atleistas nuo pareigos pateikti informaciją, kurią paprastai turi duomenų subjekto atžvilgiu, su sąlyga, kad duomenų subjektas gali kontroliuoti savo asmens duomenis ir pasinaudoti BDAR jam suteiktomis teisėmis.

Atsižvelgiant į šiuo reglamentu siekiamą tikslą, BDAR 14 straipsnio 5 dalies c punkte numatyta pareigos pateikti duomenų subjektui informaciją išimtis reikalauja, pirma, kad asmens duomenų gavimas ar atskleidimas, kurį atlieka duomenų valdytojas, būtų aiškiai numatytas Sąjungos arba šiam duomenų valdytojui taikomoje valstybės narės teisėje. Antra, šioje teisėje turi būti numatytos tinkamos duomenų subjekto teisėtų interesų apsaugos priemonės.

Iš to išplaukia, kad, siekiant visiškai įgyvendinti BDAR siekiamą tikslą, kai taikomas šio reglamento 14 straipsnio 5 dalies c punktas, būtina griežtai laikytis šioje nuostatoje nustatytų sąlygų, t. y. visų pirma užtikrinti tokį duomenų subjekto apsaugos lygį, kuris būtų bent lygiavertis užtikrinamam pagal šio reglamento 14 straipsnio 1–4 dalis.

Atsižvelgiant į tai, kas išdėstyta, į pirmąjį klausimą atsakytina: BDAR 14 straipsnio 5 dalies c punktas turi būti aiškinamas taip, kad šioje nuostatoje numatyta duomenų valdytojo pareigos pateikti duomenų subjektui informaciją išimtis taikoma nediferencijuotai visiems asmens duomenims, kuriuos duomenų valdytojas gavo ne iš duomenų subjekto tiesiogiai, nepriklausomai nuo to, ar tuos duomenis duomenų valdytojas gavo iš kito asmens nei duomenų subjektas ar pats sugeneravo vykdydamas savo užduotis.

Dėl antrojo ir trečiojo klausimų

Antruoju ir trečiuoju klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 14 straipsnio 5 dalies c punktas ir 77 straipsnio 1 dalis turi būti aiškinami taip, kad per skundo nagrinėjimo procedūrą priežiūros institucija yra kompetentinga patikrinti, ar duomenų valdytojui taikomoje valstybės narės teisėje 14 straipsnio 5 dalies c punkte numatytos išimties taikymo tikslais yra numatyta tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių, ir jeigu taip, ar toks patikrinimas apima ir priemonių, kurias pagal šio reglamento 32 straipsnį turi įgyvendinti duomenų valdytojas, kad būtų užtikrintas asmens duomenų tvarkymo saugumas, tinkamumą.

Pirma, primintina, kad pagal BDAR 77 straipsnio 1 dalį neapribojant galimybių imtis kitų administracinių arba teisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai, jeigu mano, kad tvarkant jo asmens duomenis buvo pažeistas šis reglamentas.

58	Dėl priežiūros institucijų kompetencijos minėto reglamento 55 straipsnio 1 dalyje numatyta, kad kiekviena priežiūros institucija turi kompetenciją savo valstybės narės teritorijoje vykdyti pagal šį reglamentą jai pavestas užduotis ir naudotis jai suteiktais įgaliojimais.

59	Kalbant apie užduotis, BDAR 57 straipsnio 1 dalies a punkte nurodyta, kad kiekviena priežiūros institucija savo teritorijoje stebi, kaip taikomas šis reglamentas, ir užtikrina, kad jis būtų taikomas.

60	BDAR nėra jokios nuostatos, pagal kurią tam tikri šio reglamento 14 straipsnio 5 dalies c punkte numatytos išimties taikymo aspektai galėtų būti nepriskirti šių priežiūros institucijų kompetencijai.

Pagal šią nuostatą duomenų valdytojas atleidžiamas nuo pareigos pateikti duomenų subjektui BDAR 14 straipsnio 1, 2 ir 4 dalyse nurodytą informaciją, jeigu ir tiek, kiek, pirma, asmens duomenų gavimas ar atskleidimas yra aiškiai numatytas Sąjungos arba valstybės narės teisėje, kuri taikoma duomenų valdytojui, ir, antra, toje teisėje numatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės.

62	Taigi skundas pagal BDAR 77 straipsnio 1 dalį gali būti grindžiamas duomenų valdytojo pareigos pateikti informaciją pažeidimu dėl to, kad nesilaikyta šio reglamento 14 straipsnio 5 dalies c punkte numatytos išimties taikymo sąlygų.

63	Dėl pirmosios sąlygos, primintos šio sprendimo 61 punkte, pažymėtina, kad priežiūros institucijai, kuriai pateiktas toks skundas, gali tekti patikrinti, ar Sąjungos arba nacionalinėje teisėje numatyta, kad duomenų valdytojas turi gauti ar atskleisti asmens duomenis.

Dėl antrosios sąlygos konstatuotina, kad, kaip generalinė advokatė nurodė išvados 67 ir 69 punktuose, sąvokos „tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės“ apimtis BDAR nepatikslinta. Vis dėlto Sąjungos arba valstybės narės teisės nuostatomis, kuriose numatytos tokios priemonės ir kurios taikomos duomenų valdytojui, turi būti užtikrintas, kaip pažymėta šio sprendimo 54 punkte, toks duomenų subjekto apsaugos tvarkant jo asmens duomenis lygis, koks būtų bent lygiavertis numatytam reglamento 14 straipsnio 1–4 dalyse. Taigi šios nuostatos turi leisti suteikti duomenų subjektui galimybę kontroliuoti savo asmens duomenis ir naudotis BDAR jam suteiktomis teisėmis.

65	Šiuo tikslu yra ypatingai svarbu, kad minėtose nuostatose būtų aiškiai ir nuspėjamai nurodytas šaltinis, iš kurio duomenų subjektas gaus informaciją apie su juo susijusių asmens duomenų tvarkymą.

Kalbant apie asmens duomenų perdavimą tarp valstybės narės įstaigų ir duomenų valdytojo atliekamą tokių duomenų generavimą iš duomenų, gautų iš kito asmens nei duomenų subjektas, pažymėtina, kad duomenų subjektui pateikus skundą, priežiūros institucija turėtų, be kita ko, patikrinti, ar atitinkamoje nacionalinėje ar Sąjungos teisėje pakankamai tiksliai apibrėžtos įvairios asmens duomenų, kuriuos reikia gauti ar atskleisti, rūšys, ir asmens duomenys, kuriuos jis turi sugeneruoti vykdydamas savo užduotis, ir ar pagal šią teisę numatyta, kaip duomenų subjektui faktiškai užtikrinama prieiga prie BDAR 14 straipsnio 1, 2 ir 4 dalyse nurodytos informacijos.

Kaip Komisija pabrėžė savo rašytinėse pastabose, priežiūros institucijos atliekamas patikrinimas, ar įvykdytos visos BDAR 14 straipsnio 5 dalies c punkte numatytos išimties taikymo sąlygos, vis dėlto nepriskiriamas prie reikšmingų nacionalinės teisės nuostatų galiojimo nagrinėjimo. Ši institucija sprendžia tik dėl to, ar konkrečiu atveju duomenų valdytojas turi teisę prieš duomenų subjektą remtis toje nuostatoje numatyta išimtimi.

Dėl tokio patikrinimo išvadų primintina, kad pagal šio reglamento 78 straipsnį, kai priežiūros institucija konkrečiu atveju nusprendžia, kad duomenų subjekto skundas nepagrįstas, duomenų subjektas savo valstybėje narėje turi turėti teisę imtis veiksmingų teisminių teisių gynimo priemonių dėl tokio neigiamo sprendimo.

69	Vis dėlto kai ši institucija mano, kad skundas yra pagrįstas, o minėto reglamento 14 straipsnio 5 dalies c punkte numatytos išimties taikymo sąlygos neįvykdytos, ji įpareigoja duomenų valdytoją pateikti duomenų subjektui informaciją pagal to paties reglamento 14 straipsnio 1, 2 ir 4 dalis.

Antra, dėl klausimo, ar šis patikrinimas taip pat turi apimti priemonių, kurias duomenų valdytojas privalo įgyvendinti, kad užtikrintų duomenų tvarkymo saugumą, tinkamumą BDAR 32 straipsnio požiūriu, pabrėžtina, kad šio reglamento 14 straipsnio 5 dalies c punkte nustatyta tik minėto reglamento 14 straipsnio 1, 2 ir 4 dalyse nustatytos pareigos pateikti informaciją išimtis, nenumatant galimybės nukrypti nuo kitose to paties reglamento nuostatuose, įskaitant jo 32 straipsnį, įtvirtintų pareigų.

Pagal 32 straipsnį duomenų valdytojas ir galimas jo duomenų tvarkytojas įpareigojamas įgyvendinti tinkamas technines ir organizacines priemones, kad būtų užtikrintas tinkamas asmens duomenų tvarkymo saugumo lygis. Tokių priemonių tinkamumas turi būti vertinamas konkrečiai, atsižvelgiant į su atitinkamu duomenų tvarkymu susijusius pavojus ir vertinant, ar šių priemonių pobūdis, turinys ir įgyvendinimas pritaikytas tokiems pavojams (šiuo klausimu žr.2023 m. gruodžio 14 d. Sprendimo Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, 42, 46 ir 47 punktus ir 2024 m. sausio 25 d. Sprendimo MediaMarktSaturn, C‑687/21, EU:C:2024:72, 37 ir 38 punktus).

Atsižvelgiant į atitinkamas šių dviejų nuostatų formuluotes pažymėtina, kad BDAR 32 straipsnyje įtvirtintų pareigų, kurių turi būti laikomasi bet kuriuo atveju ir neatsižvelgiant į tai, ar egzistuoja pareiga pateikti informaciją pagal šio reglamento 14 straipsnį, pobūdis ir taikymo sritis skiriasi, palyginti su 14 straipsnyje numatyta pareiga pateikti informaciją.

Taigi tuo atveju, kai pagal BDAR 77 straipsnio 1 dalį pateikiamas skundas motyvuojant tuo, kad duomenų valdytojas klaidingai rėmėsi šio reglamento 14 straipsnio 5 dalies c punkte numatyta išimtimi, patikrinimų, kuriuos turi atlikti priežiūros institucija, dalyką apibrėžia tik minėto reglamento 14 straipsnio taikymo sritis, o klausimas dėl šio reglamento 32 straipsnio laikymosi į šį patikrinimą neįeina.

Atsižvelgiant į tai, kas išdėstyta, į antrąjį ir trečiąjį klausimus atsakytina: BDAR 14 straipsnio 5 dalies c punktas ir 77 straipsnio 1 dalis turi būti aiškinami taip, kad per skundo nagrinėjimo procedūrą priežiūros institucija yra kompetentinga patikrinti, ar duomenų valdytojui taikomoje valstybės narės teisėje 14 straipsnio 5 dalies c punkte numatytos išimties taikymo tikslais yra numatyta tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių. Tačiau toks tikrinimas neapima priemonių, kurias duomenų valdytojas privalo įgyvendinti pagal BDAR 32 straipsnį, kad užtikrintų asmens duomenų tvarkymo saugumą, tinkamumo.

Dėl bylinėjimosi išlaidų

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (trečioji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 14 straipsnio 5 dalies c punktas

turi būti aiškinamas taip:

šioje nuostatoje numatyta duomenų valdytojo pareigos pateikti duomenų subjektui informaciją išimtis taikoma nediferencijuotai visiems asmens duomenims, kuriuos duomenų valdytojas gavo ne iš duomenų subjekto tiesiogiai, nepriklausomai nuo to, ar tuos duomenis duomenų valdytojas gavo iš kito asmens nei duomenų subjektas ar pats sugeneravo vykdydamas savo užduotis.

Reglamento 2016/679 14 straipsnio 5 dalies c punktas ir 77 straipsnio 1 dalis

turi būti aiškinami taip:

per skundo nagrinėjimo procedūrą priežiūros institucija yra kompetentinga patikrinti, ar duomenų valdytojui taikomoje valstybės narės teisėje 14 straipsnio 5 dalies c punkte numatytos išimties taikymo tikslais yra numatyta tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių. Tačiau toks tikrinimas neapima priemonių, kurias duomenų valdytojas privalo įgyvendinti pagal BDAR 32 straipsnį, kad užtikrintų asmens duomenų tvarkymo saugumą, tinkamumo.

Parašai.

( *1 ) Proceso kalba: vengrų.

( i ) Šios bylos pavadinimas išgalvotas. Jis neatitinka jokios bylos šalies tikrojo vardo, pavardės ar pavadinimo.

Eureka prideda nuorodas…