C-154/2162021CC0154EU:C:2022:45200011188

Заключение на G. Pitruzzella — Дело C‑154/21

Österreichische Post (Информация относно получателите на лични данни)

<TI><P><HT TYPE="UC">Заключения на Генералния Адвокат</HT></P><P><HT TYPE="UC">G. Pitruzzella</HT></P><P>представени на <DATE ISO="20220609">9 юни 2022 година</DATE><NOTE NUMBERING="ARAB" TYPE="FOOTNOTE" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Език на оригиналния текст: италиански.</P></NOTE></P></TI><STI><P><HT TYPE="BOLD">Дело C‑154/21</HT></P><P>RW</P><P>срещу</P><P>Österreichische Post AG</P><P><HT TYPE="NORMAL">(Преюдициално запитване, отправено от Oberster Gerichtshof (Върховен съд, Австрия)</HT></P></STI>Преюдициално запитванеЗащита на личните данниРегламент (ЕС) 2016/679Член 15, параграф 1, буква в)Право на достъп на субекта на даннитеИнформация за конкретния получател или за категориите получатели, на които са съобщени данните1.Когато физическо лице, чиито лични данни са предмет на обработване, желае да получи от администратора информация за трети страни, на които тези данни се разкриват, правото му на достъп означава ли непременно, че лицето получава информация за конкретните получатели на съобщенията, чийто предмет са неговите лични данни, или администраторът на лични данни може да се ограничи до предоставяне на информация само относно категориите получатели на тази съобщения?2.Това по същество е въпросът, поставен пред Съда с настоящото преюдициално запитване от запитващата юрисдикция Obesrter Gerichtshof (Австрия), относно тълкуването на член 15, параграф 1, буква в) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)

ОВ L 119, 2016 г., стр. 1.

 (наричан по-нататък ОРЗД).3.Поставеният от запитващата юрисдикция въпрос е възникнал в рамките на спор между физическото лице RW и Österreichische Post — основния оператор на пощенски и логистични услуги в Австрия, който, след искане за достъп от RW до неговите лични данни, не му е предоставил информация за конкретните получатели на съобщенията относно личните му данни.<TI><NP><NO.P><HT TYPE="BOLD">I.</HT></NO.P><TXT><HT TYPE="BOLD">Правен контекст</HT></TXT></NP></TI>4.Член 15 от ОРЗД, озаглавен Право на достъп на субекта на данните, предвижда в параграф 1, буква в):

1.

Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните и следната информация:

[…]

в)получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации;

[…].

<TI><NP><NO.P><HT TYPE="BOLD">II.</HT></NO.P><TXT><HT TYPE="BOLD">Фактите, главното производство и преюдициалният въпрос</HT></TXT></NP></TI>5.На 15 януари 2019 г. RW, жалбоподател пред запитващата юрисдикция, се обръща към Österreichische Post, за да получи достъп на основание член 15 от ОРЗД, включително до свързаните с него лични данни, с които Österreichische Post разполага или които последното е запазило в миналото, както и — в случай на разкриване на тези данни на трети лица — до самоличността на получателите на тези съобщения.6.В отговора си Österreichische Post декларира, че доколкото това е разрешено от закона, използва данни в рамките на дейността си като издател на телефонни указатели и ги доставя на търговски клиенти за маркетингови цели. След това дружеството препраща към уебсайт, на който е видна обща информация за целите на обработката на данните на RW и който препраща към друг уебсайт. Вторият уебсайт съдържа от своя страна общи сведения за защитата на данните, като дава възможност да се определят по общ начин някои категории получатели, на които Österreichische Post съобщава личните данни. В нито един момент обаче Österreichische Post не разкрива пред RW конкретните получатели на неговите данни.7.RW подава жалба, с която иска Österreichische Post да бъде осъдено да му предостави повече информация в съответствие с член 15 от ОРЗД във връзка с евентуалното предаване на личните му данни на трети лица, а в случай че тези данни действително са били предадени — за конкретния получател или получатели, на които те са били или ще бъдат предадени. RW твърди, че предоставената от Österreichische Post информация не отговаря на правните изисквания на член 15 от ОРЗД, доколкото не обяснява дали Österreichische Post е предало или не личните му данни на трети лица, а в случай че данните действително са били предадени — кои са конкретно получателите на тези съобщения.8.Първоинстанционният и въззивният съд отхвърлят искането на RW, като приемат по същество, че тъй като член 15, параграф 1, буква в) от ОРЗД се позовава на получателите или категориите получатели, тази разпоредба предоставя на администратора възможност да ограничи съобщаването на субекта на данните на категориите получатели, без да посочва поименно конкретните получатели на свързаните с неговите лични данни съобщения.9.RW потвърждава своите искания в касационната жалба, подадена пред запитващата юрисдикция.10.В хода на производството пред тази юрисдикция Österreichische Post уведомява RW, че данните му са обработени с маркетингови цели при публикуването на телефонни указатели и че тези данни са били изпращани на търговски клиенти, сред които рекламодатели, действащи в областта на продажбата по пощата и традиционната търговия, компютърни предприятия, издатели на телефонни указатели и асоциации като благотворителни организации, НПО или политически партии. Дружеството обаче не разкрива конкретните получатели на данните на RW.11.При тези обстоятелства за запитващата юрисдикция възникват съмнения относно тълкуването на член 15 от ОРЗД, възприето от съдилищата, разглеждали делото по същество, и поради това решава да спре производството и да постави на Съда следния преюдициален въпрос:

Трябва ли член 15, параграф 1, буква в) от [ОРЗД] да се тълкува в смисъл, че правото на достъп на субекта на данните се ограничава до информация за категориите получатели, ако все още не са изрично посочени конкретни получатели в рамките на предвиденото съобщаване на данните, но това право по необходимост трябва да обхване и получателите на това съобщаване, когато данните вече са били разкрити?.

<TI><NP><NO.P><HT TYPE="BOLD">III.</HT></NO.P><TXT><HT TYPE="BOLD">Правен анализ</HT></TXT></NP></TI>12.С преюдициалния си въпрос запитващата юрисдикция иска от Съда тълкуване на член 15, параграф 1, буква в) от ОРЗД по отношение на обхвата на предвиденото в този член право на съответния субект на данните да получи информация от администратора относно получателите или категориите получатели, на които са били или ще бъдат разкрити неговите лични данни.13.Запитващата юрисдикция иска да установи дали тази разпоредба трябва да се тълкува в смисъл, че обхватът на посоченото право на достъп на субекта на данните трябва да се разграничава в зависимост от това дали данните вече са били съобщени — в който случай това право би трябвало да обхване и конкретните получатели на тези съобщения — или все още не са установени конкретни получатели на такива съобщения — в който случай това право би трябвало да се разглежда като ограничено до информация за категориите получатели.14.В това отношение следва най-напред да се отбележи, че член 15 от ОРЗД урежда правото на съответния субект на данните да получи достъп до обработвани от администратора, но отнасящи се до него лични данни, както и до редица данни, свързани по-специално със самото обработване. Тази разпоредба конкретизира и уточнява правото на всяко физическо лице на достъп до свързаните с него данни съгласно член 8, параграф 2, второ изречение от Хартата на основните права на Европейския съюз

Както вече имах повод да отбележа, ОРЗД прилага изискванията, произтичащи от основното право на защита на личните данни, защитено с член 8 от Хартата, и по-специално тези, които са изрично предвидени в параграф 2 от този член (вж. в тази връзка заключението ми по съединени дела WM и Sovim (C‑37/20 и C‑601/20, EU:C:2022:43, т. 70 и цитираната съдебна практика). Що се отнася по-специално до правото на достъп на дадено лице до данните, които го засягат, от гледна точка на Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), отменена с ОРЗД, вж. решение от 17 юли 2014 г., Y S и Minister voor Immigratie, Integratie en Asiel (C‑141/12 и C‑372/12, EU:C:2014:2081, т. 55 и цитираната съдебна практика).

.15.По-конкретно съгласно член 15, параграф 1 от ОРЗД субектът на данните има, на първо място, правото да получи от администратора потвърждение за наличието или липсата на обработване на засягащите го лични данни. Когато обработването е налице, субектът на данните има право на достъп до личните данни, които са предмет на обработване, както и до допълнителна информация, посочена в букви а)—з) от тази разпоредба. В тази връзка съгласно член 15, параграф 1, буква в) от ОРЗД субектът на данните има право на достъп до информацията относно получателите или категориите получатели, на които са или ще бъдат разкрити личните данни, по-специално получателите в трети държави или международни организации.16.Поставеният от запитващата юрисдикция преюдициален въпрос предполага тълкуване на разпоредбата на член 15, параграф 1, буква в) от ОРЗД, за да се определи точният обхват на предвиденото в този член право на субекта на данните да получи информация относно получателите на съобщаването на неговите лични данни.17.В това отношение следва да се припомни, че съгласно постоянната съдебна практика тълкуването на разпоредба от правото на Съюза изисква да се вземат предвид не само нейният текст, но и контекстът, в който тя се вписва, както и намеренията и целите на акта, от който тя е част

Вж. решение от 15 март 2022 г., A (C‑302/20, EU:C:2022:190, т. 63) и в същия смисъл решение от 24 март 2022 г., Autoriteit persoonsgegevens (C‑245/20, EU:C:2022:216, т. 28).

.18.Освен това разпоредбите на ОРЗД, уреждащи обработването на лични данни, които могат да засегнат основните свободи, и по-специално правото на зачитане на личния живот, задължително трябва да се тълкуват в светлината на основните права, гарантирани от Хартата

Вж. относно Директива 95/46 решение от 9 март 2017 г., Manni (C‑398/15, EU:C:2017:197, т. 39 и цитираната съдебна практика).

.19.По-нататък от постоянната съдебна практика следва, че когато разпоредба от правото на Съюза подлежи на различни тълкувания, предимство трябва да се отдаде на това от тях, което може да запази нейното полезно действие

Вж. решение от 7 март 2018 г., Sucrerie de Toury (C‑31/17, EU:C:2018:168, т. 41 и цитираната съдебна практика).

.20.Що се отнася най-напред до текста на разглежданата разпоредба, както отбелязва самата запитваща юрисдикция и някои от встъпилите пред Съда страни, текстът на член 15, параграф 1, буква в) от ОРЗД не позволява да се даде окончателен отговор на въпроса дали трябва непременно да се счита, че предвиденото в нея право на достъп на субекта на данните включва предоставяне на информация относно конкретни получатели на съобщенията с предмет лични данни, отнасящи се до него или може да бъде ограничено само до категориите получатели на информация. Всъщност в тази разпоредба понятията получатели и категории получатели се използват последователно, неутрално, без да е възможно да се изведе поредност на приоритета между тях. Разпоредбата не уточнява изрично и дали може да се направи избор по отношение на двете възможни категории предвидена информация (а именно получателите или категориите получатели), нито на кого (тоест на субекта на данните или на администратора) евентуално трябва да бъде предоставен изборът на вида информация.21.Все пак, както отбелязва запитващата юрисдикция, самата структура на член 15, параграф 1 от ОРЗД според мен води до предпочитане на тълкуване в смисъл, че субектът на данните (а не администраторът, както е преценено от двете национални съдилища в производството в конкретния случай) прави избор между двете предвидени в него алтернативи. За разлика от други разпоредби на ОРЗД, например членове 13 и 14

Член 13 от ОРЗД се отнася до информацията, която администраторът е длъжен да предостави, когато личните данни са получени от субекта на данните. За сметка на това член 14 от ОРЗД се отнася до информацията, която администраторът трябва да предостави, когато личните данни не са получени от субекта на данните.

, които са структурирани в смисъл на установяването на задължение за администратора да предоставя информация, тази разпоредба предвижда същинско право на достъп в полза на субекта на данните. Упражняването на това право на достъп от страна на субекта на данните логично предполага на носителя на това право да бъде предоставена възможността да избере да получи, когато това е възможно, достъп до информацията относно конкретните получатели, на които данните са били предоставени или предстои да бъдат предоставени, или да се ограничи до това да поиска информация относно категориите получатели.22.Тълкуване на разпоредбата на член 15, параграф 1, буква в) от ОРЗД в смисъл, че тя предвижда правото на субекта на данните да поиска, доколкото е възможно, достъп до информацията относно конкретните получатели на съобщенията относно неговите лични данни, се потвърждава впрочем от анализ както на контекста, в който се вписва, така и на целите на тази разпоредба в светлината на целите и общата структура на ОРЗД.23.В това отношение най-напред ще отбележа, че съображение 63 от ОРЗД изрично предвижда субектът на данните да има правото да е запознат и да получава информация, по-специално относно […] получателите на личните данни. Това съображение, в светлината на което следва да се тълкува разглежданата разпоредба, се отнася до правото на достъп на субекта на данните до конкретните получатели на съобщенията с неговите лични данни и в него изобщо не се споменава, че това право може да бъде ограничено по волята на администратора само до категориите получатели.24.Освен това съдебната практика изрично посочва, както следва от съображение 10 от ОРЗД, че целта на ОРЗД е по-специално да осигури високо ниво на защита на физическите лица в рамките на Съюза, като във връзка с това осигури последователно и еднакво прилагане на правилата за защита на основните права и свободи на тези лица при обработването на лични данни в целия Съюз

Решения от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 207), от 24 февруари 2022 г., Valsts ieņēmumu dienests (C‑175/20, EU:C:2022:124, т. 49) и от 28 април 2022 г., Meta Platforms Ireland (C‑319/20, EU:C:2022:322, т. 52).

.25.За тази цел всяко обработване на лични данни трябва да е в съответствие с принципите, посочени в член 5 от този регламент

Решения от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 208) и от 22 юни 2021 г., Latvijas Republikas Saeima (C‑439/19, EU:C:2021:504, т. 96).

. По-специално от член 5, параграф 1, буква а) от ОРЗД следва, че личните данни трябва да се обработват прозрачно спрямо субекта на данните

Относно принципа на прозрачност вж. също съображение 39 от ОРЗД.

. В този контекст член 15 от ОРЗД, който урежда правото на достъп на субекта на данни, представлява основна разпоредба, която гарантира, че методите, по които се обработват данните, са прозрачни за субектите на данни.26.Както става ясно от съображение 63 от ОРЗД

Първото изречение от това съображение предвижда, че [в]сяко физическо лице следва да има право на достъп до събраните лични данни, които го засягат(…), за да бъде осведомено за обработването и да провери законосъобразността му.

, това право на достъп цели преди всичко да позволи на субекта на данните да бъде наясно с обработването на неговите данни и да провери законосъобразността му

Вж. относно Директива 95/46 решения от 17 юли 2014 г., Y S и Minister voor Immigratie, Integratie en Asiel (C‑141/12 и C‑372/12, EU:C:2014:2081, т. 44) и от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994, т. 57).

. Упражняването на правото на достъп трябва по-конкретно да позволи на субекта на данните да провери не само дали данните, които се отнасят до него, са верни, но и дали са били съобщени на одобрени получатели

Вж. относно Директива 95/46 решение от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 49).

. Това по принцип предполага, че са предоставени възможно най-точни указания.27.В този контекст съм съгласен с Комисията, че ако се откаже предвиденото в член 15, параграф 1, буква в) от ОРЗД право на достъп на субекта на данните да включва конкретни получатели, ограничавайки това право до обикновените категории получатели, това би означавало да се попречи на субекта на данните да провери изцяло законосъобразността на обработката, извършена от администратора, и по-специално да провери законосъобразността на вече извършените съобщавания на данни. Подобно тълкуване на разглежданата разпоредба не би позволило на субекта на данните да провери дали неговите данни са били изпратени само на одобрени получатели, противно на посочените в предходната точка изисквания.28.На второ място и във връзка с първата цел, правото на достъп е необходимо, както Съдът вече е посочил, за да може субектът на данните да упражни правото на поправка, правото на изтриване (право да бъдеш забравен) и правото на ограничаване на обработването, предоставени му съответно с членове 16, 17 и 18 от ОРЗД.

Вж. относно съответните разпоредби на Директива 95/46 решения от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 51 и 52), от 17 юли 2014 г., Y S и Minister voor Immigratie, Integratie en Asiel (C‑141/12 и C‑372/12, EU:C:2014:2081, т. 44) и от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994, т. 57).

. Съдът също така е изяснил, че правото на достъп е необходимо и за да позволи на субекта на данните да възрази срещу обработването на личните му данни в съответствие с член 21 от ОРЗД или в случай на претърпяна вреда да предприеме съдебни действия и да получи обезщетение за щети съгласно членове 79 и 82 от ОРЗД

Вж. в този смисъл по отношение на съответните разпоредби от Директива 95/46 решение от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 52).

.29.Тълкуване на разглежданата разпоредба, с което на субекта на данните се отказва възможността да получи информация относно конкретните получатели на съобщенията с личните му данни, би довело до това, че ако не узнае тяхната самоличност, субектът на данните няма да е в състояние да упражни спрямо тях правата, които му предоставят посочените разпоредби на ОРЗД, или ще може да ги упражни само чрез прилагане на несъразмерни усилия

Вж. в този смисъл относно Директива 95/46 решение от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 51).

. Следователно в подобни случаи това тълкуване би лишило от полезно действие посочените разпоредби и правата, които те предоставят.30.Впрочем от гледна точка на контекста посоченото по-горе тълкуване на член 15, параграф 1, буква в) от ОРЗД се потвърждава и от член 19 от същия регламент. Тази разпоредба предвижда, че [а]дминистраторът съобщава за всяко извършено в съответствие с член 16, член 17, параграф 1 и член 18 коригиране, изтриване или ограничаване на обработване на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия.31.Следователно член 19 от ОРЗД задължава администратора да информира всички получатели, на които е предал личните данни, за всяко искане за поправка, изтриване или ограничаване на обработването на тези данни, каквито той трябва да предприеме. Следователно така информираните получатели са длъжни незабавно да поправят, изтрият или ограничат обработването, доколкото все още са в процес на третиране на въпросните данни. При преследването на посочената в точка 24 по-горе цел за осигуряване на високо равнище на защита, член 19 от ОРЗД има за задача в този смисъл да освободи субекта на данните от задължението — след като е поискал информация на основание член 15, параграф 1, буква в) от ОРЗД — да изпраща последващи искания за поправяне, изтриване или ограничаване на обработката на данните до съответните получатели. На субекта на данните обаче трябва да бъде дадена възможност да провери дали поправянето, изтриването или ограничаването е извършено действително вследствие на уведомяването от администратора. От тази гледна точка член 19 от ОРЗД предвижда администраторът да съобщи за тези получатели на субекта на данните, когато последният поиска това.32.Разпоредбата на член 19 от ОРЗД потвърждава, че за да се гарантира полезното действие на правата на субекта на данните за изтриване, коригиране или ограничаване на обработването, предвидени в членове 16, 17 и 18 от ОРЗД, по принцип той трябва да разполага с правото да му бъде посочена самоличността на конкретните получатели, когато неговите лични данни вече са били разкрити. Всъщност само по този начин субектът на данните може да предяви своите права по отношение на тях.33.От изложените по-горе съображения следва, че правото на достъп по член 15, параграф 1, буква в) от ОРЗД играе съществена роля и способства за упражняването на други прерогативи на субекта на данните, предвидени в ОРЗД. От това следва, че за да се гарантира полезното действие на всички посочени разпоредби на ОРЗД, тази разпоредба трябва да се тълкува в смисъл, че предвиденото в нея право на достъп по принцип трябва задължително да се отнася до възможността да се получи от администратора информация относно конкретните получатели на съобщенията, свързани с личните данни на субекта на данните.34.Разширяването на обхвата на правото на достъп по член 15, параграф 1, буква в) от ОРЗД по отношение на конкретните получатели на тези съобщения обаче според мен е ограничено поне в два случая.35.Първо, когато на практика е невъзможно да се предостави информация относно конкретните получатели, например тъй като тя все още не е била действително установена — очевидно не може да се изисква от администратора да предостави информация, която все още не съществува. Поради тази причина в тази изрично предвидена в преюдициалния въпрос хипотеза правото на достъп на субекта на данни може да се отнася само до категориите получатели.36.На второ място, както отбелязва италианското правителство, упражняването на правото на достъп на субекта на данни и изпълнението на съответното задължение от страна на администратора на данни трябва да се разглеждат в съответствие с принципите на коректност и пропорционалност.37.В това отношение следва да се припомни, че както следва от практиката на Съда, правата, прогласени в членове 7 и 8 от Хартата, не представляват безусловни прерогативи, а трябва да се разглеждат във връзка с тяхната социална функция

Вж., наред с другото, решение от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, EU:C:2020:559, т. 172 и цитираната съдебна практика).

.38.В тази връзка, от една страна, от член 12, параграф 5, който също се прилага изрично към разпоредбата, предмет на преюдициалния въпрос, непосредствено следва, че исканията на субекта на данни не трябва да са явно неоснователни или прекомерни, а ако това е така, администраторът може и да откаже да изпълни искането. Освен това от същата разпоредба следва, че именно последният носи отговорност за тежестта на доказване на явно неоснователния или прекомерен характер на искането.39.От друга страна, самият Съд вече е имал възможността да изясни, че трябва да се намери справедлив баланс между, от една страна, интереса на лицето да защити личния си живот, по-специално чрез предвидените в глава III от ОРЗД права и възможността за предприемане на правни действия, и от друга страна, отговорността на администратора на лични данни

Вж. в този смисъл, що се отнася до Директива 95/46, решение от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 64).

. Този справедлив баланс се отразява в по-голямото внимание към защитата на данните и неприкосновеността на личния живот на субекта на данните, изразено от необходимостта, когато не се удовлетворява искането на субекта на данните за достъп, да се докаже явно неоснователният или прекомерен характер на искането за достъп.<TI><NP><NO.P><HT TYPE="BOLD">IV.</HT></NO.P><TXT><HT TYPE="BOLD">Заключение</HT></TXT></NP></TI>40.С оглед на всички изложени по-горе съображения предлагам на Съда да отговори на поставения от Oberster Gerichtshof (Върховен съд, Австрия) преюдициален въпрос по следния начин:

Член 15, параграф 1, буква в) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че предвиденото в него право на достъп на субекта на данните по необходимост трябва да обхване, ако е направено такова искане, посочването на конкретните получатели на съобщенията относно неговите лични данни. Това право на достъп може да бъде сведено само до посочване на категориите получатели, ако е физически невъзможно да се идентифицират конкретните получатели на съобщенията, свързани с личните данни на субекта на данните, или ако администраторът на данни докаже, че исканията на субекта на данните са явно неоснователни или прекомерни съгласно член 12, параграф 5 от Регламент (ЕС) 2016/679.