–

за Nemzeti Adatvédelmi és Információszabadság Hatóság, от G. J. Dudás, ügyvéd,

–

за унгарското правителство, от Zs. Biró-Tóth и M. Z. Fehér, в качеството на представители,

–

за испанското правителство, от A. Ballesteros Panizo, в качеството на представител,

–

за австрийското правителство, от A. Posch, J. Schmoll и C. Gabauer, в качеството на представители,

–

за полското правителство, от B. Majczyna, в качеството на представител,

–

за португалското правителство, от P. Barros da Costa, J. Ramos и C. Vieira Guerra, в качеството на представители,

–

за Европейската комисия, от A. Bouchagiar, C. Kovács и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 58, параграф 2, букви в), г) и ж) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, и поправка в ОВ L 127, 2018 г., стр. 2) (наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala (община Уйпещ, IV район на Будапеща-столица, Унгария) (наричана по-нататък „община Уйпещ“) и Nemzeti Adatvédelmi és Információszabadság Hatóság (национален орган, отговарящ за защитата на данните и за свободата на информацията, Унгария) (наричан по-нататък „унгарският надзорен орган“) по повод на решение, с което този орган разпорежда на община Уйпещ да изтрие лични данни, които са били обработвани незаконосъобразно.

Правна уредба

3

Съображения 1, 10 и 129 от ОРЗД имат следния текст:

4

Глава I („Общи разпоредби“) от ОРЗД включва членове 1—4.

5

Съгласно член 1 („Предмет и цели“) от този регламент:

6

Член 4 („Определения“) от посочения регламент гласи в точки 2, 7 и 21 следното:

7

Глава II от ОРЗД, озаглавена „Принципи“, съдържа в частност член 5, озаглавен „Принципи, свързани с обработването на лични данни“, който предвижда:

8

Член 17, озаглавен „Право на изтриване (право „да бъдеш забравен“)“, се намира в глава III от ОРЗД, озаглавена „Права на субекта на данни“, и параграф 1 от него предвижда:

9

Глава VI („Независими надзорни органи“) от ОРЗД включва членове 51—59.

10

Член 51 („Надзорен орган“), параграфи 1 и 2 от посочения регламент предвижда:

11

Член 57 („Задачи“), параграф 1 от посочения регламент има следния текст:

12

Член 58 („Правомощия“), параграф 2 от същия регламент гласи:

Спорът в главното производство и преюдициалните въпроси

13

През февруари 2020 г. община Уйпещ решава да предостави финансова помощ на уязвими вследствие на пандемията от COVID‑19 местни лица, които отговарят на определени критерии за допустимост.

14

За целта тя се обръща към Magyar Államkincstár (унгарската дирекция „Държавно съкровище“) и към Budapest Főváros Kormányhivatala IV. Kerületi Hivatala (Служба на район IV към централната администрация на столицата Будапеща, Унгария) (наричана по-нататък „районната служба“) с искане да получи личните данни, необходими за проверката на въпросните критерии за допустимост. Тези данни включват по-специално основните идентификационни данни и социалноосигурителните номера на физическите лица. Унгарската дирекция „Държавно съкровище“ и районната служба уважават това искане за предоставяне на данни.

15

За отпускането на финансовата помощ община Уйпещ приема Újpest+ Megbecsülés Program bevezetéséről szóló 16/2020. (IV. 30.) önkormányzati rendelet (Общинска наредба 16/2020 (IV. 30.) за въвеждането на програма „Újpest+ Megbecsülés“), която е изменена и допълнена с 30/2020. (VII. 15.) önkormányzati rendelet (Общинска наредба 30/2020 (VII. 15.) Тези наредби съдържат критериите за допустимост на предвидената помощ. Община Уйпещ събира предоставените данни в създадена за целите на изпълнението на програмата ѝ база данни, като установява отделен идентификатор и баркод за всеки набор от данни.

16

След подаден сигнал унгарският надзорен орган започва на 2 септември 2020 г. служебно разследване във връзка с обработването на личните данни, на които се основава горепосочената програма за подпомагане. С решение от 22 април 2021 г. този орган констатира, че община Уйпещ е нарушила редица разпоредби на членове 5 и 14 от ОРЗД, както и член 12, параграф 1 от същия. Той посочва по-специално, че община Уйпещ не е уведомила в едномесечния срок субектите на данните за категориите лични данни, обработвани във връзка с тази програма, за целта на обработването на тези данни, нито пък за начина, по който субектите на данните могат да упражнят съответните си права.

17

На основание член 58, параграф 2, буква г) от ОРЗД унгарският надзорен орган разпорежда на община Уйпещ да изтрие личните данни на субектите на данните, които съгласно предоставената от районната служба и унгарската дирекция „Държавно съкровище“ информация са имали право на помощта, но не са я поискали. Той преценява, че както унгарската дирекция „Държавно съкровище“, така и районната служба са нарушили съответните разпоредби при обработването на личните данни на въпросните субекти. Освен това налага на община Уйпещ и на унгарската дирекция „Държавно съкровище“ имуществена санкция във връзка със защитата на данните.

18

Община Уйпещ обжалва решението на унгарския надзорен орган пред Fővárosi Törvényszék (Будапещенски градски съд, Унгария), който е запитващата юрисдикция, като изтъква, че въпросният орган няма правомощие да разпореди изтриване на личните данни, съгласно член 58, параграф 2, буква г) от ОРЗД, тъй като субектът на данните не е направил искане по смисъла на член 17 от този регламент. В това отношение тя се позовава на решение Kfv.II.37.001/2021/6. на Kúria (Върховен съд, Унгария), в което последният е постановил, че унгарският надзорен орган не разполага с такова правомощие, като по този начин е потвърдил решение на запитващата юрисдикция. Според жалбоподателя в главното производство предвиденото в член 17 от посочения регламент право на изтриване е замислено единствено като право на субекта на данните.

19

След като унгарският надзорен орган подава конституционна жалба, Alkotmánybíróság (Конституционен съд, Унгария) отменя посоченото по-горе решение на Kúria (Върховен съд), като постановява, че въпросният орган има право служебно да разпорежда изтриването на обработвани незаконосъобразно лични данни, включително при липса на искане от субекта на данните. Alkotmánybíróság (Конституционен съд) се позовава в това отношение на Становище № 39/2021 на Европейския комитет по защита на данните, съгласно което член 17 от ОРЗД предвижда две отделни хипотези на изтриване на данни: едната — изтриване по искане на субекта на данните, а другата — изтриване като самостоятелно задължение на администратора, поради което член 58, параграф 2, буква ж) от ОРЗД трябва да се счита за надлежно правно основание за служебно изтриване на обработваните незаконосъобразно лични данни.

20

Запитващата юрисдикция продължава да има съмнения относно тълкуването на член 17 и член 58, параграф 2 от ОРЗД и след посоченото в предходната точка решение на Alkotmánybíróság (Конституционен съд). Тя счита, че правото на изтриване на лични данни е дефинирано в член 17, параграф 1 от ОРЗД като право на субекта на данните и че тази разпоредба не съдържа две отделни хипотези на изтриване.

21

Тази юрисдикция добавя, че субектът на данните може да има интерес от обработването на свързаните с него лични данни, включително когато поради незаконосъобразност на обработването националният надзорен орган разпорежда на администратора да изтрие съответните данни. В такъв случай този орган би упражнявал правото на субекта на данните против неговата воля.

22

Съответно запитващата юрисдикция иска да се установи може ли националният надзорен орган да разпорежда на администратора или обработващия лични данни да изтрие обработваните незаконосъобразно лични данни, независимо дали субектът на данните е упражнил правата си, и при утвърдителен отговор — на какво правно основание, предвид обстоятелството, че член 58, параграф 2, буква в) от ОРЗД изрично предвижда наличието на нарочно искане на субекта на данните и че буква г) от този параграф 2 предвижда като общо правило, че операциите по обработването трябва да са съобразени с разпоредбите на посочения регламент, докато буква ж) препраща директно към член 17, чието прилагане изисква изричното искане на субекта на данните.

23

В случай че националният надзорен орган може, въпреки липсата на искане от страна на субекта на данните, да разпорежда на администратора или обработващия лични данни да изтрие личните данни, които са били обработвани незаконосъобразно, запитващата юрисдикция си задава въпроса дали при издаването на разпореждането за изтриване може да се прави разграничение според това дали личните данни са събрани от субекта на данните, предвид задължението на администратора по член 13, параграф 2, буква б) от ОРЗД, или от друго лице, предвид задължението по член 14, параграф 2, буква в) от този регламент.

24

При тези обстоятелства Fővárosi Törvényszék (Будапещенски градски съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

По преюдициалните въпроси

По първия въпрос

25

С първия си въпрос запитващата юрисдикция иска да се установи дали член 58, параграф 2, букви в), г) и ж) от ОРЗД трябва да се тълкува в смисъл, че при упражняването на предвидените в тези разпоредби корективни правомощия надзорният орган на държава членка е овластен да разпорежда на администратора или обработващия лични данни да изтрие обработваните незаконосъобразно лични данни, при все че субектът на данните не е направил никакво нарочно искане, за да упражни правата си съгласно член 17, параграф 1 от този регламент.

26

Този въпрос се вписва в контекста на спор относно законосъобразността на решението, с което на основание член 58, параграф 2, буква г) от ОРЗД унгарският надзорен орган разпорежда на община Уйпещ да изтрие личните данни, които са били обработвани незаконосъобразно във връзка с описаната в точки 13—15 от настоящото решение програма за подпомагане.

27

Съгласно член 17, параграф 1 от ОРЗД субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението, по-специално съгласно буква г) от тази разпоредба, да изтрие без ненужно забавяне тези данни, когато същите са били „обработвани незаконосъобразно“.

28

Съгласно член 58, параграф 2, буква г) от ОРЗД надзорният орган може да разпорежда на администратора или обработващия лични данни да съобрази операциите по обработване на данни с разпоредбите на този регламент, и то евентуално по указан начин и в определен срок. Освен това член 58, параграф 2, буква ж) от посочения регламент предвижда, че надзорният орган има правомощието да разпорежда коригирането или изтриването на лични данни или ограничаването на обработването им съгласно членове 16, 17 и 18 от него, както и уведомяването на получатели, пред които личните данни са били разкрити съгласно член 17, параграф 2 и член 19 от същия регламент, за тези действия.

29

В този контекст запитващата юрисдикция си задава въпроса дали надзорният орган на държава членка е овластен при упражняването на корективните си правомощия, например тези по член 58, параграф 2, букви в), г) и ж) от ОРЗД, да разпорежда служебно — тоест без предварително нарочно искане от страна на субекта на данните — на администратора или обработващия лични данни да изтрие обработваните незаконосъобразно лични данни.

30

Съгласно постоянната съдебна практика, за целите на тълкуването на разпоредба от правото на Съюза следва да се вземат предвид не само нейният текст, но и контекстът, в който тя се вписва, и целите на правната уредба, от която тя е част (решение от 13 юли 2023 г., G GmbH, C‑134/22, EU:C:2023:567, т. 25 и цитираната съдебна практика).

31

Като начало е важно да се отбележи, че релевантните разпоредби от правото на Съюза, споменати в точки 27 и 28 от настоящото решение, трябва да се тълкуват във връзка с член 5, параграф 1 от ОРЗД, закрепващ принципите, свързани с обработването на лични данни, сред които в частност е и този по буква а), а именно принципът, че личните данни се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните.

32

Съгласно параграф 2 от посочения член 5, в съответствие с принципа на „отчетност“, прогласен в тази разпоредба, администраторът носи отговорност за спазването на параграф 1 от този член 5 и трябва да е в състояние да докаже, че спазва всеки от принципите, посочени в параграф 1, като доказването на това обстоятелство е в негова тежест (решение от 4 май 2023 г., Bundesrepublik Deutschland (Електронна пощенска кутия на съда), C‑60/22, EU:C:2023:373, т. 53 и цитираната съдебна практика).

33

Когато обработването на лични данни не е в съответствие с принципите, предвидени по-специално в член 5 от ОРЗД, надзорните органи на държавите членки имат право да се намесват в съответствие със своите задачи и правомощия, предвидени в членове 57 и 58 от този регламент. Съгласно член 57, параграф 1, буква а) от ОРЗД сред тези задачи в частност е тази да наблюдават и осигуряват прилагането на този регламент (вж. в този смисъл решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 108).

34

В това отношение Съдът вече е уточнил, че когато в края на разследването си прецени, че на субекта на данните не е осигурено адекватно ниво на защита, националният надзорен орган е длъжен в съответствие с правото на Съюза да реагира по подходящ начин, за да отстрани констатирания недостатък, и то независимо от произхода или естеството на този недостатък. За целта член 58, параграф 2 от ОРЗД изброява различните корективни правомощия, които има надзорният орган. Последният следва да избере подходящото средство, за да изпълни с цялата дължима грижа своята задача да осигури пълното прилагане на този регламент (вж. в този смисъл решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 111 и 112).

35

Що се отнася по-специално до въпроса дали такива корективни правомощия могат да бъдат упражнени служебно от съответния надзорен орган, следва най-напред да се отбележи, че предвид текста си член 58, параграф 2 от ОРЗД прави разграничение между корективните правомощия, които могат да бъдат упражнени служебно (по-специално тези по член 58, параграф 2, букви г) и ж), и корективните правомощия, които могат да бъдат упражнени само след като субектът на данните е отправил искане да упражнява правата си съгласно този регламент (тези по член 58, параграф 2, буква в) от посочения регламент).

36

Всъщност, от една страна, от текста на член 58, параграф 2, буква в) от ОРЗД изрично следва, че упражняването на посоченото в тази разпоредба корективно правомощие, а именно „да разпорежда на администратора или обработващия лични данни да изпълнят исканията на субекта на данни да упражнява правата си съгласно настоящия регламент“, предполага преди това субектът на данните да е предявил правата си, отправяйки искане в този смисъл, и това искане да не е било уважено преди предвиденото във въпросната разпоредба решение на надзорния орган. От друга страна, за разлика от тази разпоредба, текстът на член 58, параграф 2, букви г) и ж) от този регламент не дава основание да се смята, че намесата на надзорния орган на държава членка с цел упражняване на посочените там правомощия е допустима само в случаите, в които субектът на данните е отправил нарочно искане, тъй като в този текст не се споменава такова искане.

37

По-нататък, що се отнася до контекста на тези разпоредби, следва да се отбележи, че текстът на член 17, параграф 1 от този регламент разграничава чрез съчинителния съюз „а“, от една страна, правото на субекта на данните да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, и от друга страна, задължението на администратора да изтрие тези лични данни без ненужно забавяне. От това следва да се заключи, че тази разпоредба урежда две независими хипотези, а именно, от една страна, изтриване на данните по искане на субекта на данните и от друга страна, изтриване поради наличието на самостоятелно задължение в тежест на администратора, при това независимо от каквото и да било искане от страна на субекта на данните.

38

Всъщност, както отбелязва Европейският комитет по защита на данните в своето Становище № 39/2021, такова разграничение е необходимо, като се има предвид, че хипотезите по посочения член 17, параграф 1 обхващат и случаи, при които субектът на данните не е бил непременно уведомен, че се обработват свързани с него лични данни, така че единствено администраторът може да установи наличието на такова обработване. Такъв е в частност посоченият в член 17, параграф 1, буква г) от този регламент случай, когато тези данни са били обработвани незаконосъобразно.

39

Това тълкуване се потвърждава от член 5, параграф 2 от ОРЗД във връзка с параграф 1, буква а) от този член 5, съгласно който администраторът трябва да се увери, че извършваното от него обработване на данни е законосъобразно (вж. в този смисъл решение от 4 май 2023 г., Bundesrepublik Deutschland (Електронна пощенска кутия на съда), C‑60/22, EU:C:2023:373, т. 54).

40

Накрая, в подкрепа на подобно тълкуване е и целта, която, видно от съображение 129 от ОРЗД, се преследва с член 58, параграф 2 от същия, а именно чрез намесата на националните надзорни органи да се гарантират съответствието на обработването на лични данни с този регламент и отстраняването на нарушения на последния, за да се постигне съответствие с правото на Съюза.

41

В това отношение е важно да се уточни, че макар изборът на подходящото и необходимо средство да е от компетентността на националния надзорен орган и той да трябва да направи този избор предвид всички обстоятелства по конкретния случай, този орган все пак трябва да изпълни с цялата дължима грижа своята задача да осигури пълното прилагане на ОРЗД (вж. в този смисъл решение от 16 юли 2020 г., Facebook Ireland и Schrems, C‑311/18, EU:C:2020:559, т. 112). Затова, с цел да се осигури ефективното прилагане на ОРЗД, е особено важно този орган да разполага с ефективни правомощия, за да противодейства успешно на нарушенията на този регламент, и по-специално да ги прекратява, включително когато субектите на данните не са уведомени за обработването на техните лични данни, не са узнали за това или при всяко положение не са поискали изтриването на тези данни.

42

При това положение следва да се приеме, че някои от корективните правомощия по член 58, параграф 2 от ОРЗД, и по-специално тези по букви г) и ж) от тази разпоредба, могат да бъдат упражнявани служебно от надзорния орган на държава членка, доколкото служебното упражняване на тези правомощия е необходимо, за да може той да изпълнява задачите си. Затова, ако при разследването си прецени, че обработването не отговаря на изискванията на посочения регламент, този орган е длъжен в приложение на правото на Съюза да приеме подходящи мерки за отстраняване на установеното нарушение, и то независимо дали преди това субектът на данните е отправил искане да упражнява правата си съгласно член 17, параграф 1 от същия регламент.

43

В подкрепа на подобно тълкуване са и преследваните с ОРЗД цели, така както те произтичат по-специално от член 1 и съображения 1 и 10 от този регламент, а именно гарантиране на високо ниво на защита, що се отнася до основното право на физическите лица на защита на личните им данни, закрепено в член 8, параграф 1 от Хартата на основните права и в член 16, параграф 1 ДФЕС (вж. в този смисъл решения от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 207, и от 28 април 2022 г., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, т. 73).

44

Обратно на възприетото в точка 42 от настоящото решение тълкуване, а именно че такъв надзорен орган е овластен да действа само след нарочно искане от страна на субекта на данните, би застрашило постигането на припомнените в точки 40 и 43 от настоящото решение цели, по-специално в случай като разглеждания в главното производство, при който изтриването на обработвани незаконосъобразно лични данни засяга потенциално голям брой лица, които не са упражнили правото си на изтриване на лични данни съгласно член 17, параграф 1 от ОРЗД.

45

Всъщност, както по същество изтъква Комисията в писменото си становище, изискването субектите на данни преди това да са отправили искане по смисъла на член 17, параграф 1 от ОРЗД, би означавало, че при липсата на такова искане администраторът би могъл да съхранява съответните лични данни и да продължава да ги обработва незаконосъобразно. Подобно тълкуване би било в ущърб на ефективността на предвидената в този регламент защита, тъй като би имало за последица лишаването от защита на лицата, които бездействат, въпреки че личните им данни са били обработвани незаконосъобразно.

46

С оглед на изложените по-горе съображения на първия въпрос следва да се отговори, че член 58, параграф 2, букви г) и ж) от ОРЗД трябва да се тълкува в смисъл, че при упражняването на предвидените в тези разпоредби корективни правомощия надзорният орган на държава членка е овластен да разпорежда на администратора или обработващия лични данни да изтрие обработваните незаконосъобразно лични данни, при все че субектът на данните не е направил никакво нарочно искане, за да упражни правата си съгласно член 17, параграф 1 от този регламент.

По втория въпрос

47

С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 58, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че правомощието на надзорния орган на държава членка да разпорежда изтриването на лични данни, които са били обработвани незаконосъобразно, може да се отнася както до данни, събрани от субекта на данните, така и до данни от друг източник.

48

В това отношение най-напред следва да се отбележи, че нищо в текста на посочените в предходната точка разпоредби не сочи, че изброените в него корективни правомощия на надзорния орган зависят от произхода на съответните данни, и по-специално от обстоятелството, че те са събрани от субекта на данните.

49

Също така текстът на член 17, параграф 1 от ОРЗД, който, както следва от точка 37 от настоящото решение, установява самостоятелно задължение за администратора да изтрие личните данни, които са били обработвани незаконосъобразно, не съдържа никакво изискване относно произхода на събираните данни.

50

Освен това, както следва от точки 41 и 42 от настоящото решение, за да се гарантира ефективно и последователно прилагане на ОРЗД, е необходимо националният надзорен орган да разполага с ефективни правомощия, за да може да противодейства успешно на нарушенията на този регламент. Корективните правомощия, така както са установени в член 58, параграф 2, букви г) и ж) от ОРЗД, съответно не могат да зависят от произхода на съответните данни, и по-специално от обстоятелството, че те са били събрани от субекта на данните.

51

Следователно трябва да се приеме, по примера на представилите писмени становища правителства и на Комисията, че упражняването на корективните правомощия по смисъла на член 58, параграф 2, букви г) и ж) от ОРЗД не може да зависи от това дали съответните лични данни са били или не събрани пряко от субекта на данните.

52

В подкрепа на такова тълкуване са и припомнените в точки 40 и 43 от настоящото решение цели, преследвани с ОРЗД, и в частност с член 58, параграф 2 от този регламент.

53

С оглед на изложените по-горе съображения на втория въпрос следва да се отговори, че член 58, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че правомощието на надзорния орган на държава членка да разпорежда изтриването на лични данни, които са били обработвани незаконосъобразно, може да се отнася както до данни, събрани от субекта на данните, така и до данни от друг източник.

По съдебните разноски

54

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

1)

Член 58, параграф 2, букви г) и ж) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

2)

Член 58, параграф 2 от Регламент 2016/679