Laikina versija
GENERALINIO ADVOKATO
RIMVYDO NORKAUS IŠVADA,
pateikta 2026 m. birželio 18 d.(1)
Byla C‑185/25 (Waldfelber)(i)
RS
prieš
TS
(Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) prašymas priimti prejudicinį sprendimą)
„ Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Reglamentas (ES) 2016/679 – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – Fizinis asmuo, einantis viešosios įstaigos vadovo pareigas – Mokyklos vadovas – Asmens duomenų tvarkymo tikslų ir priemonių nustatymas – Asmens duomenys, nurodyti iš mokyklos vadovo darbinio elektroninio pašto adreso išsiųstame elektroniniame laiške – 15 straipsnio 1 dalies g punktas – Duomenų subjekto teisė susipažinti su „visa turima informacija“ apie asmens duomenų šaltinius – Asmens duomenys, kuriuos sudaro nuomonė apie duomenų subjektą – Nuomonė, grindžiama diskusija su trečiąja šalimi – Duomenų subjekto teisė susipažinti su informacija apie trečiosios šalies tapatybę – 82 straipsnis – Teisė į kompensaciją ir atsakomybė – Žala tariamai padaryta pažeidus teisę susipažinti – Mokyklos vadovo atsakomybės netaikymas – Atsakomybės netaikymo teisėtumas “
I. Įžanga
1. Šioje byloje nagrinėjama darbo vietoje neretai susiklostanti situacija. Fizinis asmuo, veikiantis kaip privataus ar viešojo teisės subjekto darbuotojas arba atstovas, per tiesioginį pokalbį paprašo trečiosios šalies pateikti savo nuomonę apie asmenį, atrinktą užimti pareigas tame teisės subjekte. Po šios diskusijos darbuotojas arba atstovas iš savo darbinio elektroninio pašto adreso išsiunčia elektroninį laišką už kandidato pasiūlymą atsakingam asmeniui, prašydamas vietoj jo pasiūlyti kitą asmenį.
2. Numatytas eiti šias pareigas asmuo sužino apie šį elektroninį laišką ir siekia išsiaiškinti trečiosios šalies tapatybę. Ar šis asmuo gali gauti šią informaciją remdamasis Reglamentu (ES) 2016/679(2), visų pirma jo 15 straipsnio 1 dalies g punktu?
3. Pagal šią nuostatą duomenų subjektas (t. y. fizinis asmuo, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti ir kurio asmens duomenys(3) tvarkomi)(4) turi teisę iš „duomenų valdytojo“ gauti „vis[ą] turim[ą] informacij[ą] apie [jo asmens duomenų] šaltinius“, kai šie asmens duomenys renkami ne iš paties duomenų subjekto. Nagrinėjamu atveju nurodytas „duomenų valdytojas“ (TS, atsakovas pagrindinėje byloje) yra Austrijos pradinės mokyklos vadovas. Eidamas šias pareigas, jis organizuoja kvalifikacijos kėlimo programas savo mokyklos mokytojams. Šias programas administruoja Pädagogische Hochschule (Aukštoji pedagoginė mokykla), padedama „programos koordinatorių“ (Prozessbegleiter).
4. Duomenų subjektas (RS, ieškovas pagrindinėje byloje) yra vienas iš tokių programos koordinatorių. Kadangi TS buvo informuotas, kad numatomą jo mokyklos mokytojų kvalifikacijos kėlimo programą koordinuos RS, jis pasiteiravo apie šio reputaciją trečiosios šalies. Remdamasis jam pateikta informacija, TS iš savo darbinio adreso išsiuntė Aukštajai pedagoginei mokyklai elektroninį laišką, jame paprašė vietoj jo paskirti kitą programos koordinatorių. Remdamasis BDAR 15 straipsnio 1 dalies g punktu RS nori sužinoti neigiamai apie jį atsiliepusios trečiosios šalies tapatybę.
5. Esant šioms aplinkybėms Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) prašo išaiškinti šios nuostatos taikymo sritį. Jam taip pat pirmiausia kyla klausimas, ar asmuo, kaip antai TS, gali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. Galiausiai jis siekia išsiaiškinti, ar neigiamos BDAR 15 straipsnio 1 dalyje numatytos pareigos pateikti informaciją pažeidimo pasekmės gali būti laikomos „žala, padaryta dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą“, kaip tai suprantama pagal BDAR 82 straipsnio 2 dalį, ir dėl to duomenų valdytojui gali kilti pareiga sumokėti kompensaciją. Jis taip pat klausia, ar tokiu atveju BDAR 82 straipsniui prieštarauja nacionalinės teisės nuostatos, pagal kurias asmenys, veikiantys kaip tam tikrų viešųjų teisės subjektų „valdymo organai“ (kaip šiuo atveju TS), negali būti patraukti atsakomybėn už tokią žalą.
II. Teisinis pagrindas
A. Europos Sąjungos teisė
6. BDAR 63 konstatuojamojoje dalyje nurodyta:
„duomenų subjektas turėtų turėti teisę susipažinti su apie jį surinktais asmens duomenimis ir galimybę ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. <...> Todėl kiekvienas duomenų subjektas turėtų turėti teisę žinoti ir būti informuotas visų pirma apie tai, kokiais tikslais asmens duomenys tvarkomi, jei įmanoma – kokiu laikotarpiu jie tvarkomi, kas yra duomenų gavėjai, pagal kokią logiką asmens duomenys tvarkomi automatiškai ir kokios galėtų būti tokio asmens duomenų tvarkymo pasekmės bent jau tais atvejais, kai duomenų tvarkymas grindžiamas profiliavimu. <...> Ta teisė neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga. Tačiau tai neturėtų lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją. <...>“
7. Šio reglamento 4 straipsnio 7 punkte sąvoka „duomenų valdytojas“ apibrėžta kaip „fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise“.
8. BDAR 15 straipsnio 1 dalies g punkte duomenų subjektui suteikta „teis[ė] iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi, o jei tokie asmens duomenys yra tvarkomi, <...> teis[ė] susipažinti su asmens duomenimis ir <...> kai asmens duomenys renkami ne iš duomenų subjekto, visa turima informacija apie jų šaltinius“.
9. Pagal BDAR 82 straipsnio 1 dalį „[b]et kuris asmuo, patyręs materialinę ar nematerialinę [turtinę ar neturtinę] žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą“. Šio straipsnio 2 dalyje nustatyta, kad „[t]varkant duomenis dalyvaujantis duomenų valdytojas atsako už žalą, padarytą dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą“. Be to, joje įtvirtinta, kad „[d]uomenų tvarkytojas už dėl duomenų tvarkymo sukeltą žalą atsako tik tuo atveju, jei jis nesilaikė šiame reglamente konkrečiai duomenų tvarkytojams nustatytų prievolių arba jei jis veikė nepaisydamas teisėtų duomenų valdytojo nurodymų arba juos pažeisdamas“.
B. Austrijos teisė
10. Pagrindinei bylai taikytinos redakcijos 1948 m. gruodžio 18 d. Bundesgesetz über die Haftung der Gebietskörperschaften und der sonstigen Körperschaften und Anstalten des öffentlichen Rechts für in Vollziehung der Gesetze zugefügte Schäden (Amtshaftungsgesetz) (Federalinis įstatymas dėl vietos valdžios institucijų ir kitų viešosios teisės subjektų atsakomybės už žalą, padarytą taikant įstatymus (toliau – Tarnybinės atsakomybės įstatymas)) (BGBl. 20/1949) I skyriaus („Trečiųjų šalių atsakomybė už žalą“) 1 (1) straipsnyje nustatyta:
„Valstybė, federalinės žemės [Länder], savivaldybės, kitos viešosios teisės reglamentuojamos įstaigos ir socialinio draudimo įstaigos (toliau – teisės subjektai) pagal civilinės teisės nuostatas atsako už žalą, kurią turtui arba kitam asmeniui neteisėtais veiksmais dėl savo kaltės padarė jų vardu veikiantys asmenys vykdydami teisės aktus; valdymo organas nukentėjusiajai šaliai neatsako. Žala turi būti atlyginama tik pinigine kompensacija.“
11. Pagal šio įstatymo 9 straipsnio 5 dalį (esančią II skyriuje „Procedūros“) „[n]ukentėjusioji šalis negali reikšti reikalavimo atlyginti žalą, kurią jai padarė šio federalinio įstatymo 1 straipsnyje nurodyto teisės subjekto valdymo organas vykdydamas teisės aktus, tam valdymo organui įprasta teismine tvarka“.
III. Faktinės aplinkybės, procesas nacionaliniame teisme ir prejudiciniai klausimai
12. TS, atsakovas pagrindinėje byloje, yra Austrijos pradinės mokyklos vadovas. Eidamas šias pareigas, jis organizuoja kvalifikacijos kėlimo programas šios mokyklos mokytojams, kuriems taikoma teisės aktuose nustatyta kvalifikacijos kėlimo pareiga.
13. Aukštoji pedagoginė mokykla teikia nagrinėjamas kvalifikacijos kėlimo programas. Ji, be kita ko, suteikia mokykloms organizacinį personalą (programų koordinatorius), specialiai atrinktą palengvinti šių programų įgyvendinimą.
14. Sužinojęs, kad Aukštoji pedagoginė mokykla pasiūlė RS, ieškovą pagrindinėje byloje, kaip jo mokyklos mokytojų kvalifikacijos kėlimo programos koordinatorių, TS pasiteiravo apie RS reputaciją per tiesioginį pokalbį su mokytoju (toliau – trečioji šalis).
15. Praėjus kelioms dienoms po pokalbio su trečiąja šalimi, TS, naudodamasis mokyklos kompiuteriu ir specialiu serveriu, iš savo darbinio elektroninio pašto adreso, kurį naudoja tik tarnybinei komunikacijai, išsiuntė elektroninį laišką Aukštosios pedagoginės mokyklos darbuotojui, prašydamas paskirti kitą programos koordinatorių (toliau – nagrinėjamas elektroninis laiškas). Savo prašymą jis grindė iš trečiosios šalies gauta informacija apie RS, t. y. tuo, kad RS kritikuoja valstybinį švietimo sektorių ir nuolat konfliktuoja su kompetentinga švietimo direkcija.
16. TS neužfiksavo pokalbio su trečiąja šalimi protokole ar kokiame nors kitame dokumente. Per šį pokalbį gautos informacijos jis niekaip kitaip neplatino. Iš tiesų, išskyrus patį nagrinėjamą elektroninį laišką, nėra jokių kitų įrašų apie jame nurodytus RS asmens duomenis.
17. Sužinojęs apie nagrinėjamo elektroninio laiško turinį RS išreiškė pasipiktinimą TS. Jis paprašė pagal BDAR 15 straipsnio 1 dalį pateikti jam tam tikrą informaciją dėl, be kita ko, trečiosios šalies tapatybės ir atsiųsti TS tame elektroniniame laiške tvarkytų jo asmens duomenų kopiją.
18. Tą pačią dieną TS elektroniniu laišku informavo RS, kad niekada neturėjo su juo susijusių asmens duomenų ir tokių duomenų neperdavė kitiems asmenims. TS nurodė, kad tik išreiškė susirūpinimą dėl to, kad RS buvo atrinktas kaip kvalifikacijos kėlimo programos, kurioje turėjo dalyvauti jo mokyklos mokytojai, koordinatorius.
19. Paskui RS pareiškė ieškinį, reikalaudamas įpareigoti TS pateikti jam tam tikrą informaciją dėl, be kita ko, trečiosios šalies tapatybės pagal BDAR 15 straipsnio 1 dalies g punktą, taip pat jo asmens duomenų kopiją. Jis taip pat pareikalavo priteisti jam iš TS 800 EUR neturtinės žalos, patirtos dėl, kaip jis manė, padaryto BDAR 15 straipsnyje numatytos jo teisės susipažinti su duomenimis pažeidimo, atlyginimą. TS nesutiko su šiais reikalavimais, motyvuodamas tuo, kad tik teisės subjektas, valdantis mokyklą, kurio vardu jis veikė, gali būti patrauktas atsakomybėn ir kad jis netvarkė ir nesaugojo RS asmens duomenų.
20. Pirmosios instancijos teismas RS ieškinio netenkino. Vėliau kompetentingas apeliacinis teismas šį sprendimą paliko nepakeistą. Abu teismai iš esmės nusprendė, kad TS veikė kaip teisės subjekto, valdančio mokyklą, valdymo organas ir kad jam buvo nurodytos asmens duomenų tvarkymo priemonės (atskiras serveris, darbinis elektroninio pašto adresas). Atsižvelgdami į šias aplinkybes, jie nusprendė, kad TS pripažinimas „duomenų valdytoju“, kaip tai suprantama pagal BDAR, prieštarautų Tarnybinės atsakomybės įstatymui. Be to, apeliacinės instancijos teismas nusprendė, kad bet kuriuo atveju nėra jokios pareigos raštu užfiksuoti trečiosios šalies vardą ir pavardę, taigi ir pareigos atskleisti informaciją apie šios trečiosios šalies tapatybę.
21. RS apskundė apeliacinės instancijos teismo sprendimą kasacine tvarka Oberster Gerichtshof (Aukščiausiasis Teismas) – prašymą priimti prejudicinį sprendimą pateikusiam teismui.
22. Kilus abejonių dėl to, kaip teisingai aiškinti BDAR 4 straipsnio 7 punktą, 15 straipsnio 1 dalies g punktą ir 82 straipsnį, prašymą priimti prejudicinį sprendimą pateikęs teismas nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1. Ar [BDAR] 4 straipsnio 7 punktas turi būti aiškinamas taip, kad fizinis asmuo, kuris, vykdydamas savo veiklą jam suteiktomis ir nurodytomis priemonėmis, kiek tai susiję su asmens duomenų tvarkymu, veikia ne dėl savo asmeninio intereso, o kaip organizacijos (institucijos arba kitos įstaigos, neturinčios teisinio subjektiškumo), už kurią yra atsakingas teisės subjektas, vadovas, yra „duomenų valdytojas“, kuriam galima reikšti reikalavimus teisme?
2. a) Ar BDAR 15 straipsnio 1 dalies g punktas turi būti aiškinamas taip, kad tokiu atveju, kai tvarkomi duomenys yra elektroniniame laiške pateiktas faktinis atsiliepimas arba vertinamojo pobūdžio pastaba apie duomenų subjektą, frazė „visa turima informacija apie [duomenų] šaltinius“ apima tik elektroninio laiško autorių, ar ir asmenis, su kuriais jis kalbėjosi apie duomenų subjektą?
2. b) Jei neišsaugoti pokalbio partnerių vardai ir pavardės yra „turima informacija apie [duomenų] šaltinius“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies g punktą: ar palyginant duomenų subjekto ir tokio pokalbio partnerio interesus turi reikšmės aplinkybė, kad pastarasis negalėjo numatyti, kad jo atsiliepimai taps tvarkomais duomenimis?
3. Ar BDAR 82 straipsnio 2 dalis turi būti aiškinama taip, kad duomenų subjektui atsiradusios neigiamos pasekmės, grindžiamos po asmens duomenų tvarkymo padarytu šio reglamento pažeidimu, pasireiškusiu vien tuo, kad nebuvo įvykdyta BDAR 15 straipsnio 1 dalyje nustatyta pareiga leisti susipažinti su duomenimis, reiškia žalą, „padarytą dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą“, ir nulemia duomenų valdytojo pareigą atlyginti šią žalą?
4. Jei į pirmąjį arba trečiąjį klausimą būtų atsakyta teigiamai: ar su BDAR 82 straipsniu yra nesuderinamos nacionalinės teisės nuostatos, pagal kurias reikalavimas atlyginti žalą, kurią nukentėjusiajai šaliai padarė teisės subjekto valdymo organas, vykdydamas teisės aktais suteiktus oficialius įgaliojimus, negali būti reiškiamas pačiam valdymo organui?“
23. 2025 m. vasario 18 d. prašymą priimti prejudicinį sprendimą Teisingumo Teismo kanceliarija gavo 2025 m. kovo 7 d. Ieškovas pagrindinėje byloje, Austrijos ir Italijos vyriausybės, taip pat Komisija pateikė rašytines pastabas. Teismo posėdis nebuvo surengtas.
IV. Vertinimas
24. BDAR buvo priimtas siekiant sukurti „Sąjungoje <...> tvirt[ą] <...> duomenų apsaugos sistem[ą]“(5), „sustiprin[ant] ir išsamiai nustat[ant] duomenų subjektų teises ir asmens duomenis tvarkančių <...> subjektų prievoles“(6) ir, be kita ko, užtikrinant „aukšto lygio fizinių asmenų apsaugą“(7) ir galimybę „kontroliuoti savo asmens duomenis“(8). Šiuo tikslu pagal BDAR 12–15 straipsnius duomenų subjektams leidžiama gauti tam tikrą informaciją, be kita ko, apie jų asmens duomenų tvarkymą(9), taip pat apie atitinkamų asmens duomenų ir jų gavėjų kategorijas. Kaip jau paaiškinau įžangoje, pagal šio reglamento 15 straipsnio 1 dalies g punktą, kai asmens duomenys renkami ne iš duomenų subjekto, šis taip pat turi teisę gauti „vis[ą] turim[ą] informacij[ą] apie jų šaltinius“. Pareiga pateikti šią informaciją tiesiogiai tenka „duomenų valdytojui“(10).
25. Kartu BDAR 4 konstatuojamojoje dalyje nurodyta, kad Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnyje įtvirtinta teisė į asmens duomenų apsaugą „nėra absoliuti“ ir „turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį ir derėti su kitomis pagrindinėmis teisėmis“, įskaitant teisę į minties ir saviraiškos laisvę.
26. Darytina išvada, kad įvairios duomenų subjektų teisės, kylančios iš BDAR ir kuriomis siekiama užtikrinti teisės į asmens duomenų apsaugą veiksmingumą, įskaitant šio reglamento 15 straipsnio 1 dalyje numatytą teisę į informaciją, yra ribotos.
27. Ši byla susijusi būtent su pastarosios teisės apribojimais, konkrečiai kalbant, su tuo, kiek duomenų subjektas (šiuo atveju – ieškovas pagrindinėje byloje RS) turi teisę susipažinti su duomenų valdytojo informacija apie duomenų subjekto asmens duomenų „šaltinius“ pagal BDAR 15 straipsnio 1 dalies g punktą. Jeigu šiuos duomenis duomenų valdytojas pateikė po pokalbio su trečiąja šalimi (kaip yra pagrindinėje byloje), ar duomenų subjektas turi teisę į tai, kad būtų atskleista trečiosios šalies tapatybė?
28. Šį klausimą, iš esmės atitinkantį Oberster Gerichtshof (Aukščiausiasis Teismas) pateiktą antrąjį prejudicinį klausimą, išnagrinėsiu toliau B skirsnyje. Prieš tai pirmiausia atsakydamas į pirmąjį klausimą patikslinsiu, ar fizinis asmuo, kuris (kaip antai TS) tvarko asmens duomenis ne dėl asmeninių interesų, bet vykdydamas savo, kaip organizacijos (šiuo atveju – mokyklos) vadovo, pareigas ir naudodamasis tokios organizacijos jam suteiktomis ir nurodytomis priemonėmis, gali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą (A skirsnis).
29. Galiausiai išnagrinėsiu trečiąjį ir ketvirtąjį klausimus dėl BDAR 82 straipsnyje numatytos duomenų subjektų teisės į kompensaciją. Konkrečiai trečiuoju klausimu siekiama išsiaiškinti, ar BDAR 15 straipsnio 1 dalyje numatytos pareigos pateikti informaciją pažeidimo neigiamos pasekmės gali būti laikomos „žala, padaryta dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą“, kaip tai suprantama pagal šio reglamento 82 straipsnio 2 dalį (C skirsnis). Ketvirtuoju klausimu Teisingumo Teismo prašoma išnagrinėti, ar su šiuo straipsniu yra nesuderinamos nacionalinės teisės nuostatos, pagal kurias asmenys, veikiantys kaip „valdymo organai“, t. y. tam tikrų viešųjų teisės subjektų vardu, negali būti patraukti atsakomybėn už žalą, kurią padarė duomenų subjektams, veikdami kaip duomenų valdytojai arba tvarkytojai (D skirsnis).
A. Sąvoka „duomenų valdytojas“ (BDAR 4 straipsnio 7 punktas) (pirmasis klausimas)
30. BDAR 4 straipsnio 7 punkte nurodyti du atvejai, kai „fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga“ gali būti laikomas „duomenų valdytoju“. Iš tiesų pagal šios nuostatos antrą dalį „duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise“ (pirmasis atvejis)(11). Antrasis atvejis – kai, įvertinus reikšmingas faktines aplinkybes, laikoma, kad atitinkamas asmuo „vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones“. Teisingumo Teismas nurodė, jog tam, kad fizinis ar juridinis asmuo atitiktų šį kriterijų, jis turi faktiškai „[daryti] įtaką asmens duomenų tvarkymui“(12). Tai reiškia, kad fizinis ar juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri iš tikrųjų gali nustatyti duomenų tvarkymo tikslus ir priemones, laikomas „duomenų valdytoju“, nepaisant to, ar jis buvo formaliai paskirtas (įstatymu, sutartimi ar kitaip) atlikti šias funkcijas(13).
31. Pirmasis prašymą priimti prejudicinį sprendimą pateikusio teismo klausimas susijęs su šiuo antruoju atveju. Šis teismas nurodo, kad Austrijos teisėje pradinių mokyklų vadovai aiškiai įvardyti tik kaip mokinių asmens duomenų „valdytojai“. Ginčas pagrindinėje byloje kilo ne dėl tokių duomenų tvarkymo. Kaip jau paaiškinau, jis susijęs su pradinės mokyklos vadovo (TS) atliekamu asmens (RS), atrinkto koordinuoti nagrinėjamos mokyklos mokytojų kvalifikacijos kėlimo programą, asmens duomenų tvarkymu.
32. Oberster Gerichtshof (Aukščiausiasis Teismas) mano, kad siekiant išsiaiškinti, ar TS gali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą, svarbios toliau nurodytos aplinkybės: TS veikė eidamas savo pareigas; jis tvarkė asmens duomenis ne asmeniniais, o mokyklos interesais, ir tai darė naudodamasis jam suteiktomis ir nurodytomis priemonėmis (savo darbinio elektroninio pašto adresu, mokyklos kompiuteriu ir atskiru serveriu).
33. RS ginčija prašymą priimti prejudicinį sprendimą pateikusio teismo nurodytų faktinių aplinkybių tikslumą. Jis tvirtina, kad: TS nebuvo įpareigotas imtis priemonių, kurias naudojo nagrinėjamiems asmens duomenims rinkti (pokalbis žodžiu su trečiąja šalimi); rinkdamas šiuos duomenis iš trečiosios šalies ir paskui išsiųsdamas nagrinėjamą elektroninį laišką (kuriame buvo pateikti asmens duomenys) TS galimai veikė remdamasis savo interesais ir kad bet kuriuo atveju tokia duomenų tvarkymo operacijų seka nebuvo nei „įprasta“, nei būtina TS einant mokyklos vadovo pareigas. Taigi, RS nuomone, TS viršijo jam suteiktą diskreciją ir nesilaikė įsipareigojimų pagal Austrijos teisę.
34. Primenu, kad vykstant procesui dėl prejudicinio sprendimo priėmimo Teisingumo Teismas turi nustatyti ne tai, ar nurodytos faktinės aplinkybės yra įrodytos, o tik išaiškinti reikšmingas Sąjungos teisės nuostatas. Iš tikrųjų, kaip matyti iš Teisingumo Teismo jurisprudencijos, nacionalinio teismo pateiktiems klausimams dėl Sąjungos teisės aiškinimo, atsižvelgiant į jo paties nurodytus teisinius pagrindus ir faktines aplinkybes, kurių tikslumo Teisingumo Teismas neprivalo tikrinti, taikoma svarbos prezumpcija(14).
35. Taigi, nepaisydamas RS argumentų, apibendrintų šios išvados 33 punkte, siekdamas atsakyti į pirmąjį klausimą, apsiribosiu prašymą priimti prejudicinį sprendimą pateikusio teismo pateiktomis faktinėmis aplinkybėmis, nurodytomis šios išvados 32 punkte.
36. Esant šioms aplinkybėms, manau, kad fizinis asmuo, kuris (kaip antai TS) tvarko asmens duomenis ne dėl savo asmeninių interesų, bet eidamas organizacijos (šiuo atveju – mokyklos) vadovo pareigas ir naudodamasis tokios organizacijos jam suteiktomis ir nurodytomis priemonėmis, negali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. Austrijos ir Italijos vyriausybės bei Komisija taip pat pritaria šiam požiūriui.
37. Šiuo klausimu primenu, kad Teisingumo Teismas yra nusprendęs, jog BDAR 4 straipsnio 7 punkte sąvoka „duomenų valdytojas“ apibrėžta plačiai. Šios plačios apibrėžties tikslas, atitinkantis šio reglamento tikslą, yra užtikrinti veiksmingą fizinių asmenų pagrindinių laisvių ir teisių apsaugą ir, be kita ko, aukštą kiekvieno asmens teisės į savo asmens duomenų apsaugą apsaugos lygį(15).
38. Kartu Teisingumo Teismas pažymi, kad duomenų valdytojas turi „siekdamas savo tikslų [daryti] įtaką asmens duomenų tvarkymui“(16). Savaime aišku, kad fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, tvarkantys asmens duomenis kito asmens vardu, o ne savo tikslais, negali būti laikomi „duomenų valdytojais“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą.
39. Tai patvirtina šio reglamento 74 konstatuojamoji dalis, kurioje nurodyta, kad duomenų valdytojui kyla tokia pati atsakomybė už „bet kokį duomenų valdytojo arba jo vardu vykdomą asmens duomenų tvarkymą“(17), taip pat Teisingumo Teismo jurisprudencija dėl minėto reglamento 29 straipsnio, pagal kurią „bet kuris [duomenų valdytojui] pavaldus fizinis asmuo, galintis susipažinti su asmens duomenimis, [neturi jų tvarkyti], išskyrus atvejus, kai duomenų valdytojas duoda nurodymus juos tvarkyti <...>“. Remdamasis šia nuostata Teisingumo Teismas padarė išvadą, kad duomenų valdytojas negali būti atleistas nuo atsakomybės vien dėl to, kad šią žalą sukėlė klaidingi jam pavaldaus asmens veiksmai(18).
40. Be to, kaip prašyme priimti prejudicinį sprendimą pažymi jį pateikęs teismas, Teisingumo Teismo jurisprudencijoje yra įvairių pavyzdžių, kai nagrinėjamus asmens duomenis juridinio asmens vardu tvarkė fizinis asmuo ir kai šis juridinis asmuo (o ne fizinis asmuo) vis dėlto buvo laikomas „duomenų valdytoju“(19). Teisingumo Teismas visų pirma yra nusprendęs, kad juridiniai asmenys (kaip antai bendrovės) yra atsakingi ne tik už savo atstovų, direktorių ar vadovų, bet ir už bet kurio kito asmens, veikiančio įgyvendinant šių juridinių asmenų komercinę veiklą ir jų vardu, padarytus pažeidimus(20). Mano nuomone, akivaizdu, kad tą patį galima pasakyti apie bet kurią BDAR 4 straipsnio 7 punkte nurodytą „valdžios instituciją, agentūrą ar kitą įstaigą“.
41. Šios išvados atitinka EDAV gaires Nr. 07/2020, kuriose iš esmės nurodyta, kad net ir tais atvejais, kai juridinis asmuo (bendrovė ar viešoji įstaiga) paskiria konkretų asmenį, atsakingą už duomenų tvarkymo veiklos vykdymą, taisyklių pažeidimo atveju galutinė atsakomybė tenka juridiniam asmeniui kaip duomenų valdytojui(21).
42. Mano nuomone, iš šių argumentų matyti, kad mokyklos vadovas, kuris (kaip TS) tvarko asmens duomenis ne savo paties interesais (t. y. ne savo tikslais), o kaip tokios viešosios įstaigos vadovas, turi būti laikomas veikiančiu šio subjekto vardu. Tokiu atveju vadovas negali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. „Duomenų valdytoja“ veikiau yra mokykla(22).
43. Šios išvados nepaneigia tai, kad pati mokykla neturi teisinio subjektiškumo. Iš tiesų Teisingumo Teismas jau yra konstatavęs, kad subjektas gali būti kvalifikuojamas kaip „duomenų valdytojas“, kaip tai suprantama pagal šią nuostatą, nors ir neturi teisinio subjektiškumo(23).
44. Mano nuomone, kitokia išvada būtų pateisinama tik tuo atveju, jei prašymą priimti prejudicinį sprendimą pateikęs teismas, vertindamas jam nurodytas faktines aplinkybes, padarytų išvadą, kad tvarkydamas RS asmens duomenis TS veikė ne eidamas savo pareigas, t. y. vien dėl savo reikmių (tokiu atveju jis būtų vienintelis „duomenų valdytojas“) arba ir dėl savo, ir dėl mokyklos reikmių (kaip bendras duomenų valdytojas)(24). Jeigu pagrindinėje byloje būtų konstatuotas kuris nors iš šių atvejų, manau, kad turėtų būti laikoma, jog TS nustato ne tik duomenų tvarkymo tikslus, bet ir priemones. Iš tiesų, jeigu jis naudojosi jam suteiktu darbinio elektroninio pašto adresu, taip pat mokyklos kompiuteriu ir atskiru serveriu savo reikmėms, šių priemonių naudojimas būtų „neteisėtas“ – tokiu atveju nebūtų galima teigti, kad jis buvo įpareigotas. Vis dėlto tai įvertinti turi prašymą priimti prejudicinį sprendimą pateikęs teismas.
45. Remdamasis tuo, kas išdėstyta, siūlau Teisingumo Teismui į pirmąjį klausimą atsakyti neigiamai. Atsižvelgdamas į šį atsakymą manau, kad Teisingumo Teismui nebūtina atsakyti į antrąjį–ketvirtąjį klausimus dėl BDAR 15 straipsnio 1 dalies g punkte ir 82 straipsnyje nustatytų pareigų, kurias turėtų fizinis asmuo, kaip antai TS, jeigu būtų „duomenų valdytojas“, kaip tai suprantama pagal šio reglamento 4 straipsnio 7 punktą(25). Manau, kad taip yra, nepaisant to, kad šie klausimai nėra aiškiai suformuluoti kaip priklausantys nuo atsakymo į pirmąjį klausimą(26).
46. Vis dėlto, jeigu Teisingumo Teismas būtų kitos nuomonės, siekdamas išsamumo dabar išnagrinėsiu esminius antrojo–ketvirtojo klausimų aspektus.
B. Teisės į informaciją apie asmens duomenų šaltinius apimtis (BDAR 15 straipsnio 1 dalies g punktas) (antrasis klausimas)
47. Antrąjį klausimą sudaro dvi dalys. Pirmoje dalyje prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar tokiu atveju, kai tvarkomi duomenys yra elektroniniame laiške pateiktas faktinis atsiliepimas arba vertinamojo pobūdžio pastaba apie duomenų subjektą, BDAR 15 straipsnio 1 dalies g punktas turi būti aiškinamas taip, kad frazė „visa turima informacija apie [duomenų] šaltinius“ apima tik elektroninio laiško autoriaus, ar ir asmenų, su kuriais jis (žodžiu) aptarė duomenų subjektą ir kurių nuomone grindžiamas toks faktinis atsiliepimas arba vertinamojo pobūdžio pastaba, tapatybę.
48. Siekdamas paaiškinti šio klausimo kontekstą primenu, kad pagrindinėje byloje RS teigia, jog pagal BDAR 15 straipsnio 1 dalies g punktą turėtų turėti teisę iš TS (kurį jis laiko „duomenų valdytoju“, kaip tai suprantama pagal šio reglamento 4 straipsnio 7 punktą) sužinoti trečiosios šalies (su kuria TS aptarė RS reputaciją) tapatybę, nes ši trečioji šalis turi būti laikoma nagrinėjamame elektroniniame laiške pateiktų asmens duomenų, t. y. nuomonės apie RS, „šaltiniu“.
49. Antra dalis susijusi su klausimu, ar tuo atveju, jei Teisingumo Teismas nuspręstų, kad tokios trečiosios šalies tapatybė yra „turima informacija apie [duomenų] šaltinius“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies g punktą, sveriant duomenų subjekto ir tokio asmens interesus svarbu tai, kad šis asmuo negalėjo numatyti, kad jo atsiliepimai taps tvarkomais duomenimis.
1. Antrojo klausimo pirma dalis
50. Pirmiausia primenu, kad Teisingumo Teismas yra nusprendęs, jog frazės „bet kuri informacija“ vartojimas, apibrėžiant BDAR 4 straipsnio 1 punkte įtvirtintą sąvoką „asmens duomenys“, atspindi Sąjungos teisės akto leidėjo tikslą šiai sąvokai suteikti plačią reikšmę, kuri galimai apima bet kokią informaciją – tiek objektyvią, tiek subjektyvią – pranešimo ar vertinimo forma, su sąlyga, kad ji „susijusi“ su duomenų subjektu(27).
51. Prašymą priimti prejudicinį sprendimą pateikęs teismas teisingai mano, kad darytina išvada, jog elektroniniame laiške (šiuo atveju – TS Aukštajai pedagoginei mokyklai išsiųstame elektroniniame laiške) pateikta nuomonė („vertinamojo pobūdžio pastaba“) apie duomenų subjektą (šiuo atveju – RS) yra „asmens duomenys“, kaip tai suprantama pagal BDAR 4 straipsnio 1 dalį.
52. Dėl tokios elektroniniame laiške pateiktos nuomonės arba faktinio atsiliepimo apie duomenų subjektą „šaltinių“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies g punktą, pažymėtina, kad nei šioje, nei jokioje kitoje šio reglamento nuostatoje ši sąvoka neapibrėžta. Nesant tokios apibrėžties, pagal suformuotą jurisprudenciją reikia atsižvelgti tiek į įprastą sąvokos „šaltinis“ reikšmę, tiek į teisės akto, kuriame ji vartojama, tikslus ir kontekstą(28).
53. Kokio nors dalyko „šaltinis“ paprastai apibrėžiamas kaip „asmuo, vieta ar daiktas, iš kurio jis gaunamas“(29). Taigi norint išsiaiškinti, kokia informacija turi būti atskleista pagal BDAR 15 straipsnio 1 dalies g punktą, reikia išnagrinėti tokių asmens duomenų kilmę. Be to, kadangi BDAR 15 straipsnio 1 dalies g punktas taikomas tik „kai asmens duomenys renkami ne iš duomenų subjekto“, akivaizdu, kad pagal šią nuostatą „šaltinis“ negali būti pats duomenų subjektas.
54. Dėl BDAR 15 straipsnio 1 dalies g punkto konteksto pažymėtina, kad sąvoka „šaltinis“ taip pat vartojama šio reglamento 14 straipsnio 2 dalies f punkte, kuriame numatyta teisė iš duomenų valdytojo gauti informaciją apie tai, „koks yra asmens duomenų kilmės šaltinis“(30), jeigu jie gauti ne iš paties duomenų subjekto. Mano nuomone, tai patvirtina, kad BDAR 15 straipsnio 1 dalies g punkte vartojama sąvoka „šaltiniai“ reiškia asmens duomenų kilmę.
55. Galiausiai dėl BDAR tikslų svarbu priminti, kad BDAR 15 straipsnis „papildo šiame reglamente nustatytą skaidrumo sistemą, nes pagal jį duomenų subjektui suteikiama teisė susipažinti su asmens duomenimis ir teisė gauti informaciją apie šių duomenų tvarkymą“(31).
56. Šio straipsnio 1 dalies a–h punktais siekiama įgyvendinti teisę gauti informaciją. Šioje nuostatoje įtvirtinus duomenų subjekto teisę į informaciją apie jo asmens duomenų tvarkymą, jam sudaryta galimybė įvertinti asmens duomenų tikslumą ir tvarkymo teisėtumą, taip pat veiksmingai įgyvendinti šiame reglamente numatytas susijusias teises, be kita ko, teisę ištaisyti duomenis, teisę juos ištrinti („teisė būti pamirštam“) ir teisę apriboti duomenų tvarkymą bei nesutikti(32), kuriomis visomis siekiama sustiprinti duomenų subjekto turimą savo asmens duomenų „kontrolę“(33).
57. Manau, kad būtent atsižvelgiant į šią konkrečią funkciją reikia nustatyti BDAR 15 straipsnio 1 dalies g punkte numatytos teisės į informaciją apie asmens duomenų „šaltinius“ apimtį(34). Taigi reikia išnagrinėti, ar pagal šią nuostatą prašoma informacija yra būtina tam, kad duomenų subjektas užtikrintų savo asmens duomenų tikslumą arba jų tvarkymo teisėtumą arba kad duomenų subjektas galėtų veiksmingai pasinaudoti savo teisėmis pagal šį reglamentą(35).
58. Mano nuomone, taip yra tuo atveju, kai, pavyzdžiui, duomenų subjektas remiasi BDAR 15 straipsnio 1 dalies g punktu, siekdamas išsiaiškinti netikslių duomenų apie jį „šaltinius“ tam, kad užkirstų kelią tolesniam šių duomenų platinimui tarp skirtingų duomenų valdytojų(36) (t. y. užkirsti kelią tolesniam „duomenų tvarkymui“), arba kai atskleidus turimą informaciją apie tam tikrų asmens duomenų „šaltinius“ duomenų subjektas gali nustatyti, kad iš anksto buvo atlikta tų pačių duomenų tvarkymo operacija arba operacijų seka, patenkanti į BDAR materialinę taikymo sritį, ir dėl jų jis turi teisę įgyvendinti savo teises pagal šį reglamentą.
59. Tai patikslinęs pažymiu, kad Komisija ir Italijos vyriausybė mano, jog tuo atveju, kai reikšmingi asmens duomenys yra elektroniniame laiške pateikta nuomonė („vertinamojo pobūdžio pastaba“) arba faktinis atsiliepimas apie duomenų subjektą, tokios nuomonės „šaltinis“ yra elektroninio laiško autorius (šiuo atveju – TS). Jos tvirtina, kad tokiu atveju BDAR 15 straipsnio 1 dalies g punktas turi būti aiškinamas taip, kad „visa turima informacija apie [duomenų] šaltinius“ neapima asmenų, su kuriais autorius (žodžiu) aptarė duomenų subjektą prieš susidarydamas nuomonę arba parašydamas faktinį atsiliepimą apie šį subjektą, tapatybės.
60. Sutinku su tuo. Vis dėlto manau, kad tokią išvadą galima padaryti tik su sąlyga, kad nagrinėjamame elektroniniame laiške pateikta nuomonė („vertinamojo pobūdžio pastaba“) arba faktinis atsiliepimas apie duomenų subjektą iš tikrųjų gali būti priskirtas šio elektroninio laiško autoriui. Šiuo klausimu sutinku su Komisijos požiūriu, pagal kurį tai, kad autorius elektroniniame laiške užsimena apie kitų asmenų nuomones apie duomenų subjektą, neturi reikšmės, jeigu nagrinėjami asmens duomenys (t. y. nuomonė arba faktinis atsiliepimas) vis tiek gali būti priskirti pačiam autoriui ir nėra tik šių nuomonių citavimas. Iš tiesų manau, kad pastaruoju atveju asmens duomenų (nuomonės) „šaltinis“ būtų trečioji šalis arba trečiosios šalys, kurių nuomonė cituojama, o ne elektroninio laiško autorius.
61. Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikęs teismas, atsižvelgdamas į jam žinomas faktines aplinkybes, turi nustatyti, ar nagrinėjamame elektroniniame laiške pateikta nuomonė („vertinamojo pobūdžio pastaba“) apie RS iš tikrųjų priskirtina TS, ar, atvirkščiai, tai yra tik požiūris, kurį TS anksčiau išreiškė trečioji šalis (t. y. kitas mokytojas, su kuriuo TS aptarė RS) ir kurį TS tiesiog pakartojo arba pacitavo elektroniniame laiške, kaip, atrodo, tvirtina RS(37). Jeigu šis teismas konstatuotų, kad nagrinėjamame elektroniniame laiške pateikta nuomonė apie RS priskirtina TS, sutinku su Komisija ir Italijos vyriausybe, kad RS teisė į informaciją apie šios nuomonės „šaltinius“ pagal BDAR 15 straipsnio 1 dalies g punktą negalėtų apimti informacijos apie tokią trečiąją šalį gavimo, nes tik TS galėtų būti laikomas nagrinėjamos nuomonės „šaltiniu“.
62. Vis dėlto prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar iš to, kad BDAR 15 straipsnio 1 dalies g punkte kalbama ne tik apie tam tikrų asmens duomenų „šaltinius“, bet ir apie „vis[ą] turim[ą] informacij[ą] apie [tokius] šaltinius“, matyti, kad net jeigu elektroniniame laiške pateiktos nuomonės arba faktinio atsiliepimo apie duomenų subjektą „šaltinis“ yra elektroninio laiško autorius, duomenų subjektas turi teisę gauti informaciją apie veiksnius arba asmenis, kurie prisidėjo prie tokios nuomonės susidarymo arba padėjo autoriui suformuluoti tokį faktinį atsiliepimą (pavyzdžiui, apie trečiosios šalies, su kuria autorius kalbėjosi žodžiu, tapatybę).
63. Dėl to visų pirma pritariu Italijos vyriausybės ir Komisijos nuomonei, kad toks BDAR 15 straipsnio 1 dalies g punkto aiškinimas būtų pernelyg platus, atsižvelgiant į daugybę veiksnių, kurie gali turėti įtakos, be kita ko, nuomonės susidarymui. Pavyzdžiui, išnagrinėkime bylos, kurioje priimtas Sprendimas Nowak, faktines aplinkybes(38). Dalis išnagrinėtų asmens duomenų buvo subjektyvios egzaminuotojo pastabos, pateiktos ant egzamino lapo. Ar tokiu atveju „visa turima informacija apie [asmens duomenų] šaltinius“, kaip tai suprantama pagal BDAR 15 straipsnio 1 dalies g punktą, galėtų apimti bet kokią informaciją apie asmenis, su kuriais egzaminuotojas galėjo bendrauti vertindamas egzamino darbus – pavyzdžiui, nuo kolegos, konsultavusio dėl kandidatų atsakymų vertinimo, iki kaimyno, kėlusio itin erzinantį triukšmą ir taip supykdžiusį egzaminuoją, kad šis darbus vertino griežčiau, nei būtų tai daręs kitu atveju? Mano nuomone, negalėtų.
64. Antra, atsižvelgdamas į specifinę BDAR 15 straipsnio 1 dalies g punkte numatytos teisės į informaciją apie asmens duomenų šaltinį funkciją, kurią nurodžiau šios išvados 57 punkte, nesuprantu, kaip gavęs informaciją apie trečiosios šalies, kuri nėra nagrinėjamų asmens duomenų (šiuo atveju – elektroniniame laiške pateiktos nuomonės arba faktinio atsiliepimo apie duomenų subjektą) „šaltinis“, tačiau kuri tik prisidėjo prie tokios nuomonės susidarymo arba padėjo elektroninio laiško autoriui suformuluoti tokį atsiliepimą pasikalbėjus su ja žodžiu, tapatybę duomenų subjektas galėtų užtikrinti savo asmens duomenų tikslumą arba tokių duomenų tvarkymo teisėtumą, arba kaip jis galėtų pasinaudoti savo teisėmis pagal BDAR.
65. Trečia, kaip jau nurodyta šios išvados 25 ir 26 punktuose, BDAR 4 konstatuojamojoje dalyje paaiškinta, kad teisė į asmens duomenų apsaugą bet kuriuo atveju „nėra absoliuti“ ir „turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį ir derėti su kitomis pagrindinėmis teisėmis“, įskaitant teisę į minties ir saviraiškos laisvę. Tas pats pasakytina apie įvairias teises, kurias duomenų subjektai turi pagal BDAR ir kuriomis siekiama veiksmingai įgyvendinti teisę į asmens duomenų apsaugą, kaip antai BDAR 15 straipsnyje numatytą teisę susipažinti su asmens duomenimis(39), kuri, kaip konstatavo Teisingumo Teismas, neturėtų daryti neigiamo poveikio kitų asmenų teisėms ar laisvėms(40). Savaime suprantama, kad panaši pusiausvyra turi būti užtikrinta ir dėl BDAR 15 straipsnio 1 dalies g punkte numatytos teisės į informaciją apie asmens duomenų šaltinius.
66. Esant šioms aplinkybėms, man atrodo akivaizdu, kad trečiosios šalies, kuri pati nėra nagrinėjamų asmens duomenų (šiuo atveju – elektroniniame laiške pateiktos nuomonės arba faktinio atsiliepimo apie duomenų subjektą) „šaltinis“, tačiau kuri tiesiog prisidėjo prie tokios nuomonės susidarymo arba padėjo elektroninio laiško autoriui suformuluoti tokį atsiliepimą po žodinio pokalbio su ja, tapatybės atskleidimas nepagrįstai iškreiptų pusiausvyrą duomenų subjekto naudai, nes tai neigiamai paveiktų įvairias trečiosios šalies teises ar laisves, visų pirma jos teisę į minties ir saviraiškos laisvę(41) arba teisę į privatų gyvenimą ir komunikacijos slaptumą(42).
67. Iš to, kas išdėstyta, matyti, kad, kai elektroniniame laiške pateiktos nuomonės („vertinamojo pobūdžio pastabos“) arba faktinio atsiliepimo apie duomenų subjektą „šaltinis“ yra pats elektroninio laiško autorius, duomenų subjektas pagal BDAR 15 straipsnio 1 dalies g punktą neturi teisės gauti informacijos apie veiksnius ar asmenis (kaip antai apie trečiosios šalies, su kuria autorius kalbėjosi žodžiu, tapatybę), kurie prisidėjo prie tokios nuomonės susidarymo arba padėjo autoriui suformuluoti tokį faktinį atsiliepimą.
68. Galiausiai norėčiau priminti, kad BDAR 15 straipsnio 1 dalies g punktu duomenų subjektams suteikta teisė gauti „vis[ą] turim[ą] informacij[ą] apie [su jais susijusių asmens duomenų] šaltinius“, o ne teisė gauti bet kokią informaciją apie asmens duomenų šaltinį ir to šaltinio šaltinius. Jeigu, priešingai, nei siūlau, Teisingumo Teismas pritartų šios išvados 62 punkte pateiktam šios nuostatos aiškinimui, tai reikštų, kad tuo atveju, kai asmens duomenų šaltinis yra, pavyzdžiui, rinkmena arba įrašas, duomenų subjektas pagal BDAR 15 straipsnio 1 dalies g punktą turėtų teisę ne tik gauti „visą turimą informaciją“ apie šią rinkmeną arba įrašą, bet ir bet kurią ankstesnę rinkmeną arba įrašą, kuriais šis grindžiamas. Kitaip tariant, šios nuostatos taikymo sritis taptų neribota.
2. Antrojo klausimo antra dalis
69. Antrojo klausimo antra dalis susijusi su situacija, kai trečioji šalis, o ne elektroninio laiško autorius, turi būti laikoma nagrinėjamų asmens duomenų, šiuo atveju – elektroniniame laiške pateiktos nuomonės arba faktinio atsiliepimo apie duomenų subjektą, „šaltiniu“. Kaip paaiškinau šios išvados 60 punkte, tokia situacija susiklostytų tik tuo atveju, jeigu elektroniniame laiške pateikta nuomonė arba atsiliepimas nebūtų priskirtini elektroninio laiško autoriui, nes juose pakartotas arba cituojamas tos trečiosios šalies anksčiau išdėstytas požiūris.
70. Mano nuomone, akivaizdu, kad tokiu atveju taip pat reikėtų užtikrinti pusiausvyrą, kaip numatyta šios išvados 65 punkte. Kitaip tariant, atitinkamų asmens duomenų „šaltinio“ tapatybė pagal BDAR 15 straipsnio 1 dalies g punktą nebūtų atskleista automatiškai. Reikia atsižvelgti ir į asmens, kuris laikomas „šaltiniu“, teises bei laisves ir jas palyginti su duomenų subjekto teise gauti informaciją apie asmens duomenų šaltinį pagal šią nuostatą.
71. Šiuo klausimu tai, kad nagrinėjama trečioji šalis negalėjo numatyti, kad jos atsiliepimai bus tvarkomi, yra reikšminga aplinkybė. Iš tiesų tai reiškia, kad trečioji šalis manė, jog dalyvauja konfidencialiame arba privačiame pokalbyje, ir nesitikėjo, kad jo turinys ir tai, kad ji dalyvavo šiame pokalbyje, bus atskleista duomenų subjektui pagal BDAR nuostatas. Mano nuomone, esant tokiai situacijai, reikėtų ypač akcentuoti trečiosios šalies teisės į minties ir saviraiškos laisvę(43), taip pat į privatų gyvenimą ir komunikacijos slaptumą užtikrinimo svarbą(44).
72. Be to, nesuprantu, kaip informacijos apie trečiosios šalies („šaltinio“) tapatybę gavimas pagal BDAR 15 straipsnio 1 dalies g punktą galėtų padėti įgyvendinti šia nuostata siekiamą tikslą, kuris, kaip priminta šios išvados 57 punkte, yra leisti duomenų subjektui, be kita ko, užtikrinti jo asmens duomenų tikslumą, net jei elektroniniame laiške pateikta nuomonė ar atsiliepimas apie duomenų subjektą yra tik šios šalies anksčiau žodžiu išreikšto požiūrio pakartojimas arba citavimas. Iš tiesų nuomonės dėl savo pobūdžio iš esmės yra subjektyvios. Tai reiškia, kad, kitaip nei faktinių atsiliepimų atveju, sunku patikrinti jų tikslumą ar teisingumą(45).
C. Teisė į kompensaciją pagal BDAR 82 straipsnį už BDAR 15 straipsnio 1 dalies pažeidimą (trečiasis klausimas)
73. Trečiuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti, ar neigiamos pasekmės, kurių duomenų subjektas patiria dėl to, kad duomenų valdytojas pažeidė BDAR 15 straipsnio 1 dalyje numatytą pareigą pateikti informaciją (šiuo atveju – jos g punkte numatytą pareigą pateikti informaciją apie surinktų asmens duomenų „šaltinius“), yra „žala, padaryta dėl vykdyto duomenų tvarkymo pažeidžiant šį reglamentą“, kaip tai suprantama pagal BDAR 82 straipsnio 2 dalį, ir dėl to kyla duomenų valdytojo atsakomybė bei atitinkama jo pareiga atlyginti duomenų subjekto patirtą žalą.
74. Kaip paaiškina šis teismas, jis iš esmės prašo Teisingumo Teismo patikslinti, ar dėl šios pareigos pažeidimo duomenų subjektas gali reikalauti atlyginti žalą pagal visą BDAR 82 straipsnį. Konkrečiai kalbant, jeigu būtų laikoma, kad TS yra „duomenų valdytojas“, kaip tai suprantama pagal šio reglamento 4 straipsnio 7 punktą, ir veikė pažeisdamas šio reglamento 15 straipsnio 1 dalies g punktą, ar RS turėtų teisę į kompensaciją pagal BDAR 82 straipsnį? Taigi siūlau Teisingumo Teismui performuluoti trečiąjį klausimą taip, kad į jį būtų įtrauktas visos šios nuostatos, o ne vien jos 2 dalies, aiškinimas(46).
75. Dabar pereidamas prie BDAR 82 straipsnio aiškinimo pažymiu, kad, kaip suprantu, prašymą priimti prejudicinį sprendimą pateikusio teismo abejonės dėl šios nuostatos aiškinimo kyla dėl to, kad šio reglamento 15 straipsnio 1 dalyje numatyta pareiga teikti informaciją atsiranda tik po atitinkamo asmens duomenų tvarkymo(47), taip pat tada, kai duomenys faktiškai apskritai nebuvo tvarkomi(48), o BDAR 82 straipsnio 2 dalyje kalbama apie „žalą, padarytą dėl vykdyto duomenų tvarkymo“(49). Atsižvelgiant į šią formuluotę, galima daryti prielaidą, kurią, atrodo, daro šis teismas, kad šio reglamento 82 straipsnyje numatyta teisė į kompensaciją atsiranda tik dėl žalos, padarytos dėl duomenų tvarkymo pažeidžiant BDAR, o ne dėl žalos, atsiradusios pažeidus šiame teisės akte numatytą pareigą, kuri, kaip ir jo 15 straipsnio 1 dalyje numatyta pareiga suteikti informaciją, kyla po tokio tvarkymo arba nepaisant jo.
76. Vis dėlto, mano nuomone, akivaizdu, kad BDAR 82 straipsnyje numatyta teisė į kompensaciją apima žalą, padarytą pažeidus šią pareigą.
77. Pirma, dėl BDAR 82 straipsnio genezės primenu, kad atitinkamoje jo pirmtakės nuostatoje, t. y. Direktyvos 95/46 23 straipsnyje, buvo kalbama apie „nuostoli[ius] dėl neteisėtos tvarkymo operacijos ar bet kokio veiksmo, nesuderinamo su nacionalinėmis nuostatomis, priimtomis pagal [Direktyvą 95/46]“. Akivaizdu, kad priimdamas BDAR Sąjungos teisės aktų leidėjas neketino sumažinti duomenų subjektams suteikiamos apsaugos lygio, palyginti su tuo, kuris jiems buvo suteiktas pagal Direktyvą 95/46, o kaip tik atvirkščiai(50).
78. Dėl to taip pat pažymėtina, kad per teisėkūros procedūrą, per kurią buvo priimtas BDAR, Taryba pasiūlė apriboti duomenų subjektų teisę į kompensaciją taip, kad ji apimtų tik žalą „dėl asmens duomenų tvarkymo, kuriuo nebuvo laikomasi [BDAR]“(51). Vis dėlto galutinėje šio reglamento 82 straipsnio redakcijoje šio apribojimo nenumatyta.
79. Antra, BDAR 82 straipsnis atlieka dvejopą funkciją. Pirma, jame numatyta duomenų subjekto teisė į kompensaciją ir iš esmės nustatyta atitinkama duomenų valdytojo arba duomenų tvarkytojo atsakomybė už patirtą žalą (82 straipsnio 1 dalis). Antra, jame nustatytos konkrečios sąlygos, kurioms esant duomenų valdytojas, duomenų tvarkytojas arba jie abu gali būti patraukti atsakomybėn už šią žalą (arba nuo jos atleisti), taip pat tai, kaip atsakomybė turi būti paskirstyta tarp jų, kai nagrinėjamame duomenų tvarkymo procese dalyvauja daugiau nei viena šalis (82 straipsnio 2–5 dalys).
80. Darytina išvada, kad BDAR 82 straipsnio 2 dalimi nesiekiama nustatyti pačios duomenų subjektų teisės į kompensaciją apimties. Joje veikiau patikslinta atsakomybės sistema, kurios principas įtvirtintas šio straipsnio 1 dalyje(52).
81. Savo ruožtu teisės į kompensaciją apimtis turi būti nustatyta atsižvelgiant į BDAR 82 straipsnio 1 dalies formuluotę, kurioje nėra tokio paties apribojimo, koks įtvirtintas šio straipsnio 2 dalyje, nes joje bendrai nurodyta, kad „[b]et kuris asmuo, patyręs materialinę ar nematerialinę [turtinę ar neturtinę] žalą dėl šio reglamento pažeidimo, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą“(53). Apie „duomenų tvarkymą“ neužsimenama.
82. Atsižvelgdamas į šias aplinkybes manau, kad BDAR 82 straipsnio 2 dalyje vartojamos formuluotės „žalą, padarytą dėl vykdyto duomenų tvarkymo“ negalima aiškinti taip, kad šio reglamento 82 straipsnio 1 dalyje numatyta teisė į kompensaciją apima tik šią žalą. Panašią išvadą generalinis advokatas M. Szpunar padarė byloje Brillen Rottler pateiktoje išvadoje(54), kurioje jis apibūdino BDAR 82 straipsnio 2 dalį kaip „papildomą taisyklę“, o ne kaip šio straipsnio 1 dalies apribojimą.
83. Be to, neseniai priimtame sprendime toje byloje(55) Teisingumo Teismas aiškiai nusprendė, kad BDAR 82 straipsnio 1 dalyje nėra jokios nuorodos į „duomenų tvarkymą“, todėl „teisė į kompensaciją negali apsiriboti atvejais, kai žala atsiranda dėl asmens duomenų tvarkymo“(56).
84. Tame sprendime Teisingumo Teismas taip pat priminė, kad BDAR 82 straipsnio 1 dalis yra šio reglamento VIII skyriuje, kuriame reglamentuojamos teisių gynimo priemonės, taisyklės dėl atsakomybės ir šių teisių apsaugą užtikrinančios sankcijos, ir kad ji turi būti aiškinama atsižvelgiant į BDAR 141 konstatuojamąją dalį, kurioje numatyta, kad kiekvienas duomenų subjektas turėtų turėti teisę į veiksmingą teisminę teisių gynimo priemonę pagal Chartijos 47 straipsnį, „jeigu <…> mano, kad jo teisės pagal [minėtą] reglamentą yra pažeistos“(57). Teisingumo Teismas pridūrė, kad ji apima duomenų subjekto teisę susipažinti su duomenimis pagal BDAR 15 straipsnio 1 dalį. Taigi ši teisė kartu su kitomis šio reglamento 15 straipsnyje duomenų subjektams numatytomis teisėmis, įskaitant teisę gauti jo 1 dalies a–h punktuose išvardytą informaciją, turi būti saugoma pagal BDAR 82 straipsnį, tad šis straipsnis turi būti aiškinamas kaip taikomas žalai, patirtai dėl šių teisių pažeidimo.
85. Trečia, man atrodo akivaizdu, kad duomenų subjekto teisės gauti kompensaciją pagal šią nuostatą apribojimas taip, kad ji apimtų tik žalą, padarytą dėl neteisėto duomenų tvarkymo, taip pat būtų nesuderinamas su visu šiuo reglamentu siekiamais tikslais, t. y. kaip nurodžiau šios išvados 24 punkte, užtikrinti „aukšto lygio apsaugą“ ir „sustiprinti <...> duomenų subjektų teises ir asmens duomenis tvarkančių ir jų tvarkymą nustatančių subjektų prievoles“. Sprendime Brillen Rottler(58) Teisingumo Teismas iš esmės nurodė, kad BDAR 82 straipsniu siekiama užtikrinti, kad būtų įgyvendinti šie tikslai.
86. Kaip teisingai pažymėjo Komisija, jei duomenų subjekto teisė gauti kompensaciją pagal šią nuostatą apimtų tik žalą, padarytą dėl neteisėto duomenų tvarkymo, tai turėtų įtakos ne tik šio reglamento 15 straipsnyje numatytų teisių apsaugai, bet ir beveik visoms duomenų subjektų teisėms, numatytoms BDAR III skyriuje(59), – šios iš esmės taptų simbolinės(60). Iš tiesų kiekvieną iš šių teisių atitinka tam tikra duomenų valdytojų pareiga, jiems taikoma tik po(61) tam tikro (tariamo) duomenų tvarkymo(62).
87. Dėl šių priežasčių manau, kad neigiamos pasekmės, kurių duomenų subjektas patyrė dėl BDAR 15 straipsnio 1 dalyje numatytos pareigos pateikti informaciją pažeidimo, gali būti laikomos „žala“, kaip tai suprantama pagal šio reglamento 82 straipsnį, tad duomenų valdytojas privalo sumokėti kompensaciją duomenų subjektui pagal šią nuostatą.
D. Ar su BDAR 82 straipsniu nesuderinamos nacionalinės teisės nuostatos, pagal kurias netaikoma duomenų valdytojo atsakomybė (ketvirtasis klausimas)
88. Dabar išnagrinėsiu ketvirtąjį prašymą priimti prejudicinį sprendimą pateikusio teismo klausimą: jei į pirmąjį arba trečiąjį klausimą būtų atsakyta teigiamai, ar su BDAR 82 straipsniu yra nesuderinamos nacionalinės teisės nuostatos, pagal kurias asmenys, veikiantys kaip tam tikrų viešųjų teisės subjektų „valdymo organai“, t. y. veikiantys jų vardu, negali būti patraukti atsakomybėn už žalą, kurią padarė duomenų subjektams, vykdydami duomenų valdytojo arba duomenų tvarkytojo funkcijas.
89. Šis klausimas pateiktas dėl tam tikrų Austrijos teisės ypatumų, būtent nurodytų Tarnybinės atsakomybės įstatymo 1 straipsnyje, kuriame numatyta, kad asmenys, veikiantys kaip valstybės, Länder (federalinės žemės), savivaldybės, kitos viešosios teisės reglamentuojamos įstaigos ir socialinio draudimo įstaigos „valdymo organai“, vykdydami teisės aktus, neatsako už žalą, kurią dėl neteisėto elgesio padaro bet kuriam asmeniui. Taigi tokiems asmenims negali būti pareikštas reikalavimas atlyginti žalą pagal BDAR 82 straipsnį(63).
90. Kaip suprantu, nagrinėjamu atveju turi būti laikoma, kad TS, eidamas Austrijos pradinės mokyklos vadovo pareigas, veikia kaip atitinkamos Land (federalinė žemė) „valdymo organas“ (nes pagal Austrijos teisę mokyklos neturi teisinio subjektiškumo, tad joms negalima pareikšti ieškinio teisme). Iš Tarnybinės atsakomybės įstatymo 1 straipsnio matyti, kad net jei TS atitiktų visas būtinas sąlygas tam, kad būtų laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą, kiek tai susiję su pagrindinėje byloje nagrinėjamu asmens duomenų tvarkymu (kaip jau paaiškinau, manau, kad taip nėra), RS negalėtų pagal šio reglamento 82 straipsnį pareikšti reikalavimo atlyginti žalą, kuri galbūt atsirado TS pažeidus jo 15 straipsnio 1 dalies g punktą. Prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar tokia nacionalinės teisės nuostata prieštarauja BDAR 82 straipsniui.
91. Nemanau, kad taip yra. Iš tiesų tokia nacionalinės teisės nuostata, kaip Tarnybinės atsakomybės įstatymo 1 straipsnis, savaime neužkerta kelio duomenų subjektui pareikšti ieškinį dėl žalos atlyginimo, kai atitinkamą BDAR pažeidimą padarė asmuo, veikiantis viešojo teisės subjekto vardu. Ji veikiau perkelia pareigą mokėti kompensaciją atitinkamam subjektui.
92. Atrodo, kad pagrindinis tokio atsakomybės perkėlimo tikslas – užtikrinti nukentėjusiojo apsaugą, suteikiant jam mokų skolininką(64). Taigi, priešingai, nei tvirtina ieškovas, tokios nacionalinės nuostatos, kaip Tarnybinės atsakomybės įstatymo 1 straipsnio, tikslas yra ne apriboti duomenų subjektų teisinę apsaugą, o veikiau ją sustiprinti.
93. Atsižvelgdamas į tai, kas išdėstyta, nesuprantu, kaip tokia nacionalinės teisės nuostata galėtų būti laikoma nesuderinama su BDAR 82 straipsniu.
94. Pripažįstu, kad šio reglamento 82 straipsnio 2 dalis, kurioje nustatyta, kad „[t]varkant duomenis dalyvaujantis duomenų valdytojas atsako už žalą, padarytą dėl vykdyto duomenų tvarkymo pažeidžiant [BDAR]“, iš pirmo žvilgsnio galėtų būti suprantama kaip reikalaujanti taikyti tiesioginę duomenų valdytojo atsakomybę.
95. Vis dėlto pagal Teisingumo Teismo suformuotą jurisprudenciją(65) BDAR 82 straipsnis grindžiamas siekiu suteikti duomenų subjektui visą ir veiksmingą kompensaciją už žalą, patirtą dėl BDAR pažeidimo(66). Kaip jau pažymėjau šios išvados 84 punkte, ši nuostata pateikta šio reglamento VIII skyriuje, kuriame reglamentuojamos teisių gynimo priemonės, atsakomybės sistema ir sankcijos, skirtos šioms teisėms apsaugoti. Vadinasi, ji turi būti aiškinama atsižvelgiant į BDAR 141 konstatuojamąją dalį, kurioje aiškiai nurodyta duomenų subjektų teisė į veiksmingą teisminę teisių gynimo priemonę pagal Chartijos 47 straipsnį tuo atveju, kai pažeidžiamos jų teisės pagal šį reglamentą.
96. Taigi, mano nuomone, nesvarbu, ar kompensaciją tiesiogiai moka duomenų valdytojas arba duomenų tvarkytojas, ar tokį asmenį įdarbinęs arba už jį atsakingas viešasis teisės subjektas. Svarbu tai, kad būtų visiškai atlyginta dėl BDAR pažeidimo duomenų subjekto faktiškai patirta žala.
97. Šios išvados nepaneigia BDAR 82 straipsnio ir jo 83 straipsnio 7 dalies, pagal kurią valstybėms narėms aiškiai palikta diskrecija nustatyti, kokiu mastu administracinės baudos gali būti skiriamos valdžios institucijomis ir įstaigoms, palyginimas. RS teigia, kad tai, jog BDAR 82 straipsnyje nenumatyta jokios panašios diskrecijos, gali būti aiškinama tik taip, kad valstybės narės negali atleisti valdžios institucijų ir įstaigų, taigi ir jų valdymo organų, nuo reikalavimų atlyginti žalą pagal privatinę teisę.
98. Vis dėlto šis argumentas pateiktas neatsižvelgiant į tai, kad BDAR 82 ir 83 straipsniais siekiama skirtingų tikslų(67). Pirmoji nuostata atlieka išimtinai kompensacinę funkciją (kitaip tariant, ji susijusi su duomenų subjekto patirtos žalos atlyginimu), o antrąja siekiama baudžiamojo tikslo(68). Manau, kad dėl šio baudžiamojo tikslo administracinės baudos iš esmės turi būti tiesiogiai „susietos“ su atitinkamu duomenų valdytoju arba duomenų tvarkytoju.
99. Be to, kaip paaiškinta šios išvados 91 punkte, pagal nacionalinės teisės nuostatą, kaip antai Tarnybinės atsakomybės įstatymo 1 straipsnį, atsakomybė už žalos atlyginimą iš asmens, veikiančio teisės subjekto vardu, perkeliama tam subjektui(69). O kai valstybė narė nustato taisykles pagal šio reglamento 83 straipsnio 7 dalį, ji gali apskritai atsisakyti administracinių baudų skyrimo savo valdžios institucijoms ir įstaigoms.
100. Susiklosčius šioms aplinkybėms manau, kad su BDAR 82 straipsniu nėra nesuderinamos nacionalinės teisės nuostatos, pagal kurias asmenys, veikiantys tam tikrų viešųjų teisės subjektų vardu, negali būti patraukti atsakomybėn už žalą, kurią jie padarė duomenų subjektams, veikdami kaip duomenų valdytojai arba duomenų tvarkytojai, jeigu šiose teisės nuostatose taip pat nurodomas subjektas, kuriam tokie duomenų subjektai gali pareikšti reikalavimą dėl žalos atlyginimo.
V. Išvada
101. Atsižvelgdamas į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) pateiktus prejudicinius klausimus:
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 4 straipsnio 7 punktas
turi būti aiškinamas taip, kad fizinis asmuo, kuris, eidamas pareigas, tvarko asmens duomenis ne dėl savo asmeninio intereso, o kaip organizacijos vadovas, naudodamasis jam tokios organizacijos suteiktomis ir nurodytomis priemonėmis, negali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal šią nuostatą.
1 Originalo kalba: anglų.
i Šios bylos pavadinimas išgalvotas. Jis neatitinka jokios bylos šalies tikrojo vardo, pavardės ar pavadinimo.
2 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR).
3 Žr. BDAR 4 straipsnio 1 dalį.
4 Ten pat.
5 Žr. BDAR 7 konstatuojamąją dalį.
6 Žr. BDAR 11 konstatuojamąją dalį.
7 Žr. BDAR 1 straipsnio 2 dalį ir 10 konstatuojamąją dalį.
8 Žr. BDAR 7 konstatuojamąją dalį. Šis reglamentas grindžiamas duomenų subjekto, kaip aktyvaus asmens, galinčio priimti sprendimą dėl su juo susijusių asmens duomenų, samprata (žr. [Spiecker gen.] Döhmann, I., Papakonstantinou, V.; Hornung, G. ir De Hert, P., General Data Protection Regulation: Article-by-Article Commentary, Nomos, Baden‑Baden, 2023 p. 86).
9 BDAR 4 straipsnio 2 dalyje sąvoka „duomenų tvarkymas“ apibrėžta kaip „bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas“.
10 Žr. BDAR 15 straipsnio 1 dalį: „[d]uomenų subjektas turi teisę iš duomenų valdytojo gauti <...>“ (išskirta mano).
11 Tokiu atveju „duomenų tvarkymo tikslai ir priemonės“ nustatomi Europos Sąjungos arba valstybės narės teisės.
12 Žr. 2018 m. liepos 10 d. Sprendimą Jehovan todistajat (C‑25/17, EU:C:2018:551, 68 punktas). Šis sprendimas priimtas dėl 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) 2 straipsnio d punkte apibrėžtos sąvokos „duomenų valdytojas“ aiškinimo. Nors ši direktyva nebegalioja ir ją pakeitė BDAR, Teisingumo Teismo pateiktas tos nuostatos išaiškinimas tebėra aktualus taikant BDAR, nes šios sąvokos apibrėžtis abiejuose teisės aktuose liko tapati, išskyrus nedidelius formalius pataisymus. Taigi su vienu ar kitu teisės aktu susijusiais sprendimais remsiuosi jų neskirstydamas.
13 Šiuo klausimu taip pat žr. Europos duomenų apsaugos valdybos (toliau – EDAV) „Gaires Nr. 07/2020 dėl sąvokų „duomenų valdytojas“ ir „duomenų tvarkytojas“ pagal BDAR“, 2.1 versija, priimta 2021 m. liepos 7 d. (toliau – EDAV gairės Nr. 07/2020; paskelbtos https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), p. 3 ir 21, 25–27 punktai.
14 Žr. 2024 m. spalio 4 d. Sprendimą Bezirkshauptmannschaft Landeck (Bandymas prieiti prie mobiliajame telefone saugomų asmens duomenų) (C‑548/21, EU:C:2024:830, 41 punktas ir jame nurodyta jurisprudencija).
15 Žr. 2023 m. gruodžio 5 d. Sprendimą Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, 29 punktas).
16 Ten pat, 30 punktas.
17 Išskirta mano.
18 Žr. 2024 m. balandžio 11 d. Sprendimą juris (C‑741/21, EU:C:2024:288, 47–49 punktai).
19 Ten pat. Šiuo klausimu taip pat žr. 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501), 2023 m. gruodžio 5 d. Sprendimą Deutsche Wohnen (C‑807/21, EU:C:2023:950) ir 2024 m. sausio 25 d. Sprendimą MediaMarktSaturn (C‑687/21, EU:C:2024:72), kuriuose buvo pripažinta, kad „duomenų valdytojos“ yra bendrovės, nors, kaip nurodyta, „duomenų tvarkymą“ atliko tų bendrovių darbuotojai.
20 Žr. 2023 m. gruodžio 5 d. Sprendimą Deutsche Wohnen“ (C‑807/21, EU:C:2023:950, 44 punktas).
21 Žr. šių gairių 18 ir 19 punktus.
22 Sutinku su Komisijos nuomone, kad pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas siekia išsiaiškinti tik tai, ar asmuo, kaip antai TS, gali būti laikomas „duomenų valdytoju“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą. Taigi, jeigu Teisingumo Teismas pritartų mano požiūriui, kad į šį klausimą reikia atsakyti neigiamai, nemanau, kad jam būtina nustatyti, ar vietoj TS „duomenų valdytoja“ turi būti laikoma mokykla arba atitinkama Land (federalinė žemė).
23 Šiuo klausimu žr. 2025 m. vasario 27 d. Sprendimą Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, 30–34 punktai). Taip pat žr. 2024 m. sausio 11 d. Sprendimą Belgijos valstybė (Oficialiojo leidinio tvarkomi duomenys) (C‑231/22, EU:C:2024:7, 36 punktas).
24 Šiuo klausimu žr. 2024 m. kovo 7 d. Sprendimą IAB Europe (C‑604/22, EU:C:2024:214, 56–59 punktai). Situacijos, kai subjektas (religinė bendruomenė) ir to subjekto nariai iš tikrųjų buvo pripažinti bendrais duomenų valdytojais, pavyzdys išnagrinėtas 2018 m. liepos 10 d. Sprendime Jehovan todistajat (C‑25/17, EU:C:2018:551).
25 Šiuo klausimu žr. mano išvadą byloje Lindenberg (C‑205/25, EU:C:2026:312; toliau – mano išvada byloje Lindenberg), kurios 49 punkte nurodau, kad BDAR 15 straipsniu galima remtis tik prieš duomenų valdytoją.
26 Tai pasakytina net ir dėl ketvirtojo klausimo, kuris užduodamas tik „[j]ei į pirmąjį arba trečiąjį klausimą būtų atsakyta teigiamai“ (išskirta mano).
27 Šiuo klausimu žr. 2017 m. gruodžio 20 d. Sprendimą Nowak (C‑434/16, EU:C:2017:994, 34 punktas) dėl sąvokos „asmens duomenys“, kaip ji apibrėžta Direktyvos 95/46 2 straipsnio a punkte, ir 2025 m. gruodžio 2 d. Sprendimą Russmedia Digital ir Inform Media Press (C‑492/23, EU:C:2025:935, 49 punktas). Šiuo klausimu taip pat žr. EDAV „Gaires Nr. 01/2022 dėl duomenų subjektų teisių. Teisė susipažinti su duomenimis“, 2.1 versija, priimta 2023 m. kovo 28 d. (toliau – EDAV gairės Nr. 01/2022; paskelbtos https://www.edpb.europa.eu/system/files/2024-04/edpb_guidelines_202201_data_subject_rights_access_v2_lt.pdf), 96 punktas.
28 Žr. 2026 m. kovo 19 d. Sprendimą Brillen Rottler (C‑526/24, EU:C:2026:216, 24 punktas ir jame nurodyta jurisprudencija).
29 Žr. sąvokos „šaltinis“ (anglų k. source) apibrėžtį, pateiktą Collins Dictionary internetinėje versijoje, kurią galima rasti adresu https://www.collinsdictionary.com/dictionary/english/source. Pagal internetinės versijos Cambridge Dictionary sąvoka „šaltinis“ (anglų k. source) paprastai suprantama kaip vieta, iš kurios kažkas atsiranda, arba kaip kažkas, teikiantis informaciją (https://dictionary.cambridge.org/dictionary/english/source).
30 Išskirta mano.
31 Žr. 2025 m. sausio 9 d. Sprendimą Österreichische Datenschutzbehörde (Pertekliniai prašymai) (C‑416/23, EU:C:2025:3, 46 punktas).
32 Šiuo klausimu žr. 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501, 56–59 punktai ir juose nurodyta jurisprudencija). Dėl to taip pat žr. BDAR 63 konstatuojamąją dalį (šios išvados 6 punktas).
33 Žr. šios išvados 24 punktą.
34 Pagal analogiją žr. mano išvados byloje Lindenberg 58 punktą, kuriame nurodau, kad teisės gauti kopiją pagal BDAR 15 straipsnio 3 dalį taikymo sritį griežtai apibrėžia jos funkcija.
35 Šiuo klausimu taip pat žr. 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501, 69–75 punktai), kuriame Teisingumo Teismas analizuoja, ar atskleisti tam tikrą informaciją gali būti būtina siekiant užtikrinti sąžiningą ir skaidrų duomenų tvarkymą, taip sudarant duomenų subjektui galimybę visapusiškai pasinaudoti iš šio reglamento kylančiomis teisėmis.
36 Žr. EDAV gairių Nr. 01/2022 36 punktą.
37 Iš tiesų RS teigia, kad kai per pokalbį žodžiu su trečiąja šalimi gauta informacija pakartojama elektroniniame laiške tiksliai taip, kaip ji buvo gauta (kaip, jo nuomone, yra pagrindinėje byloje nagrinėjamu atveju), pati trečioji šalis turi būti laikoma elektroniniame laiške esančių asmens duomenų „šaltiniu“.
38 2017 m. gruodžio 20 d. sprendimas (C‑434/16, EU:C:2017:994).
39 Žr. BDAR 63 konstatuojamąją dalį.
40 Šiuo klausimu taip pat žr. 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501, 77 punktas).
41 Žr. Chartijos 11 straipsnį ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos (toliau – EŽTK) 10 straipsnį.
42 Saugomą pagal Chartijos 7 straipsnį ir EŽTK 8 straipsnį.
43 Žr. Chartijos 11 straipsnį ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos (toliau – EŽTK) 10 straipsnį.
44 Saugoma pagal Chartijos 7 straipsnį ir EŽTK 8 straipsnį.
45 Atsižvelgdamas į tai, pripažįstu, kad tokiu atveju duomenų subjektas, gavęs informaciją apie šaltinio tapatybę, galėtų užkirsti kelią tolesniam jo asmens duomenų platinimui tarp skirtingų duomenų valdytojų (t. y. užkirsti kelią tolesniam „duomenų tvarkymui“) (žr. šios išvados 58 punktą). Vis dėlto, mano nuomone, vien šio argumento nepakanka siekiant pateisinti šaltinio (trečiosios šalies) tapatybės atskleidimą duomenų subjektui.
46 Šiuo klausimu primintina, kad, nacionaliniams teismams ir Teisingumo Teismui bendradarbiaujant, kaip numatyta SESV 267 straipsnyje, pastarasis turi pateikti nacionaliniam teismui naudingą atsakymą, kuris leistų priimti sprendimą jo nagrinėjamoje byloje. Tokiu atveju Teisingumo Teismui gali tekti performuluoti jam pateiktus klausimus ir atsižvelgti į Sąjungos teisės normas, kurių prašymą priimti prejudicinį sprendimą pateikęs teismas nebuvo nurodęs savo klausimuose (žr. 2026 m. balandžio 30 d. Sprendimą Lidl Italia (Nesąžininga komercinė veikla, susijusi su maisto produktais) (C‑301/25, EU:C:2026:357, 25 punktas).
47 Duomenų subjektas turi teisę iš duomenų valdytojo gauti BDAR 15 straipsnio 1 dalies a–h punktuose išvardytą informaciją tik tada, kai tvarkomi su juo susiję asmens duomenys.
48 Pagal BDAR 15 straipsnio 1 dalį duomenų subjektas taip pat turi teisę „iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi“ (išskirta mano).
49 Išskirta mano. Taip pat žr. BDAR 82 straipsnio 4 dalį ir 146 konstatuojamąją dalį, kurioje kalbama apie „bet kokią žalą, kurią asmuo gali patirti dėl duomenų tvarkymo“.
50 Šiuo klausimu taip pat žr. generalinio advokato M. Szpunar išvadą byloje Brillen Rottler (C‑526/24, EU:C:2025:723, 69–71 punktai; toliau – išvada byloje Brillen Rottler).
51 Šiuo klausimu žr. 2015 m. birželio 11 d. Tarybai pirmininkaujančios valstybės narės pranešimą Nr. 9565/15 „Pasiūlymas dėl Europos Parlamento ir Tarybos reglamento dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) – Bendro požiūrio parengimas“, paskelbtą https://data.consilium.europa.eu/doc/document/ST‑9565-2015-INIT/lt/pdf (p. 185).
52 Žr. 2024 m. spalio 4 d. Sprendimą Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, 159 punktas). Šiuo klausimu taip pat žr. išvadą byloje Brillen Rottler, kurios 70 punkte generalinis advokatas paaiškina, kad BDAR 82 straipsnio 2 dalyje nustatyta duomenų tvarkytojo atsakomybė, kuri nebuvo numatyta Direktyvos 95/46 23 straipsnyje.
53 Išskirta mano.
54 73 punktas.
55 Žr. 2026 m. kovo 19 d. Sprendimą Brillen Rottler (C‑526/24, EU:C:2026:216; toliau – Sprendimas Brillen Rottler).
56 Žr. 48 punktą. To sprendimo 59 punkte Teisingumo Teismas taip pat priminė savo suformuotą jurisprudenciją, pagal kurią tam, kad atsirastų teisė į kompensaciją, turi būti nustatytas priežastinis ryšys tarp patirtos žalos ir plačiai suprantamo BDAR pažeidimo. Kiek man žinoma, griežtesnis reikalavimas dėl priežastinio ryšio tarp šios žalos ir „neteisėto tvarkymo“ (o ne „BDAR pažeidimo“) nustatytas tik 2024 m. spalio 4 d. Sprendime Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, 159 punktas). Jis taip pat nurodytas 2023 m. gegužės 4 d. Sprendimo Österreichische Post (Neturtinė žala, susijusi su asmens duomenų tvarkymu) (C‑300/21, EU:C:2023:370) 36 punkte; vis dėlto 32 punkte bendrai kalbama apie „BDAR pažeidimą“.
57 49 punktas.
58 53 punktas.
59 Šis skyrius apima ne tik įvairias teises gauti informaciją pagal 12–15 straipsnius, bet ir teisę reikalauti ištaisyti asmens duomenis (16 straipsnis), teisę reikalauti ištrinti tokius duomenis (17 straipsnis), teisę apriboti asmens duomenų tvarkymą (18 straipsnis) ir teisę į duomenų perkeliamumą (20 straipsnis).
60 Šiuo klausimu žr. Sprendimo Brillen Rottler 53 punktą.
61 BDAR III skyriuje taip pat numatyta teisė „bet kuriuo metu“ nesutikti su asmens duomenų tvarkymu (BDAR 21 straipsnis). Manau, kad, priešingai, nei kitos šiame skyriuje išvardytos teisės, ši teisė turi būti įgyvendinama, kai šie duomenys tvarkomi, nes ji iš esmės lemia duomenų valdytojo pareigą nebetvarkyti tam tikrų asmens duomenų.
62 Tas pats pasakytina apie kitas BDAR III skyriuje duomenų valdytojams nustatytas pareigas, kaip antai numatytas šio reglamento 26 ir 30 straipsniuose, kurių pažeidimas nėra „neteisėtas duomenų tvarkymas“ (šiuo klausimu žr. Sprendimo Brillen Rottler 52 punktą ir jame nurodytą jurisprudenciją).
63 Šiuo klausimu žr. Tarnybinės atsakomybės įstatymo 9 straipsnio 5 dalį, kurios turinį priminiau šios išvados 11 punkte.
64 Šiuo atžvilgiu žr. Kucsko‑Stadlmayer, G. „Art. 23 BV‑G“, leidinyje Korinek, K., Holoubek, M. ir kt. (red.), Österreichisches Bundesverfassungsrecht, Verlag Österreich, 2013. Tarnybinės atsakomybės įstatymo 1 straipsnio konstitucinis pagrindas yra Bundes‑Verfassungsgesetz (Federalinis konstitucinis įstatymas; toliau – B‑VG) 23 straipsnis.
65 Šiuo atžvilgiu žr. 2024 m. spalio 4 d. Sprendimą Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, 34 punktas ir jame nurodyta jurisprudencija) ir 2025 m. rugsėjo 4 d. Sprendimą Quirin Privatbank (C‑655/23, EU:C:2025:655, 78 punktas ir jame nurodyta jurisprudencija).
66 Šiuo atžvilgiu taip pat žr. BDAR 146 konstatuojamąją dalį, kurioje nurodyta, kad „[d]uomenų subjektai už patirtą žalą turėtų gauti visą ir veiksmingą kompensaciją“.
67 Šiuo atžvilgiu žr. 2024 m. balandžio 11 d. Sprendimą juris (C‑741/21, EU:C:2024:288, 56 punktas) ir 2024 m. birželio 20 d. Sprendimą PS (Blogas adresas) (C‑590/22, EU:C:2024:536, 38 punktas).
68 Šiuo atžvilgiu žr. 2024 m. birželio 20 d. Sprendimą Scalable Capital (C‑182/22 ir C‑189/22, EU:C:2024:531, 2 ir 23 punktai ir juose nurodyta jurisprudencija); 2024 m. birželio 20 d. Sprendimą PS (Blogas adresas) (C‑590/22, EU:C:2024:536, 41 punktas) ir 2025 m. rugsėjo 4 d. Sprendimą Quirin Privatbank (C‑655/23, EU:C:2025:655, 70 punktas ir jame nurodyta jurisprudencija).
69 Šiuo klausimu pažymiu, kad atsakomybės perkėlimas pagal Tarnybinės atsakomybės įstatymo 1 straipsnį nebūtinai reiškia visišką atsakomybės netaikymą atitinkamam „valdymo organui“. Iš tiesų pagal Federalinio konstitucinio įstatymo 23 straipsnio 2 dalį ir Tarnybinės atsakomybės įstatymo 3 straipsnį viešasis teisės subjektas, atlyginęs duomenų subjektui vieno iš jo „valdymo organų“ padarytą žalą, gali pareikšti atgręžtinį reikalavimą šiam „valdymo organui“, jeigu šis veikė tyčia arba dėl didelio neatsargumo.