1.

Kai asmuo, kurio asmens duomenys tvarkomi, siekia iš duomenų valdytojo gauti informaciją apie trečiąsias šalis, kurioms tie duomenys atskleidžiami, ar jo teisė susipažinti su duomenimis būtinai reiškia, kad jis turi gauti informaciją apie konkrečius duomenų subjektus, kuriems atskleidžiami jo asmens duomenys, o gal duomenų valdytojas gali apsiriboti informacija, susijusia tik su tų gavėjų, kuriems yra atskleisti asmens duomenys, kategorijomis?

2.

Toks iš esmės yra Teisingumo Teismui pateiktas klausimas prašyme priimti prejudicinį sprendimą, kurį pateikė Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) ( 2 ) (toliau – BDAR) 15 straipsnio 1 dalies c punkto išaiškinimo.

3.

Prašymą priimti prejudicinį sprendimą pateikusiam teismui šis klausimas kilo nagrinėjant ginčą tarp fizinio asmens RW ir Österreichische Post (Austrijos paštas), pagrindinio pašto ir logistikos paslaugų operatoriaus Austrijoje, kuris, gavęs RW prašymą leisti susipažinti su jo asmens duomenimis, nepateikė jam informacijos apie tikslius duomenų gavėjus, kuriems buvo atskleisti jo asmens duomenys.

I.

Teisinis pagrindas

4.

Bendrojo duomenų apsaugos reglamento (toliau – BDAR) 15 straipsnio „Duomenų subjekto teisė susipažinti su duomenimis“ 1 dalies c punkte nustatyta:

II.

Faktinės aplinkybės, procesas pagrindinėje byloje ir prejudicinis klausimas

5.

2019 m. sausio 15 d. RW, kasatorius prašymą priimti prejudicinį sprendimą pateikusiame teisme, pagal BDAR 15 straipsnį kreipėsi į Österreichische Post, prašydamas, be kita ko, leisti susipažinti su Österreichische Post saugomais arba anksčiau saugotais jo asmens duomenimis ir, jei šie duomenys buvo atskleisti tretiesiems asmenims, nurodyti šių gavėjų, kuriems atskleisti jo asmens duomenys, tapatybę.

6.

Savo atsakyme Österreichische Post nurodė, kad naudoja duomenis, kiek tai leidžia teisės normos, vykdydama savo, kaip adresų (telefonų) knygų leidėjo, veiklą ir teikia šiuos duomenis verslo klientams rinkodaros tikslais. Toliau ji nurodė žiniatinklio svetainę, kurioje pateikiama bendra informacija apie RW duomenų tvarkymo tikslus ir daroma nuoroda į kitą žiniatinklio svetainę. Šioje antroje žiniatinklio svetainėje pateikiama bendra informacija apie duomenų apsaugą, taip pat galima bendrai nustatyti tam tikras gavėjų, kuriems Österreichische Post atskleidė asmens duomenis, kategorijas. Tačiau Österreichische Post niekada nenurodė RW konkrečių gavėjų, kuriems buvo atskleisti jo duomenys.

7.

RW pareiškė ieškinį, juo prašė įpareigoti Österreichische Post pagal BDAR 15 straipsnį suteikti jam daugiau informacijos apie galimą jo asmens duomenų perdavimą trečiosioms šalims ir, jei toks perdavimas iš tikrųjų įvyko, apie konkretų (‑čius) gavėją (‑us), kuriam (‑iems) jo asmens duomenys buvo arba bus atskleisti. RW teigė, kad Österreichische Post pateikta informacija neatitinka BDAR 15 straipsnio teisinių reikalavimų, nes neaišku, ar Österreichische Post perdavė jo asmens duomenis trečiosioms šalims ar jų neperdavė, o jei duomenys iš tikrųjų buvo perduoti, kas konkrečiai yra šių atskleistų duomenų gavėjai.

8.

Pirmosios ir apeliacinės instancijos teismai atmetė RW reikalavimus, iš esmės nusprendę, kad, kadangi BDAR 15 straipsnio 1 dalies c punkte aptariami duomenų gavėjai arba jų kategorijos, pagal šią nuostatą suteikiama duomenų valdytojui galimybė pasirinkti, ar duomenų subjektą informuoti tik apie duomenų gavėjų kategorijas, nenurodant konkrečių gavėjų, kuriems yra atskleisti to duomenų subjekto asmens duomenys.

9.

RW laikėsi savo reikalavimų kasaciniame skunde, kurį pateikė prašymą priimti prejudicinį sprendimą pateikusiam teismui.

10.

Vykstant procesui šiame teisme Österreichische Post informavo RW, kad jo duomenys buvo tvarkomi rinkodaros tikslais skelbiant adresų (telefonų) knygas ir kad jie buvo perduoti komerciniams klientams, įskaitant reklamos užsakovus, vykdančius veiklą prekybos paštu ir tradicinės prekybos srityse, informatikos paslaugų įmones, adresų (telefonų) knygų leidėjus ir asociacijas, kaip antai labdaros organizacijos, nevyriausybinės organizacijos ar politinės partijos. Tačiau ji nenurodė konkrečių gavėjų, kuriems buvo atskleisti RW duomenys.

11.

Taigi prašymą priimti prejudicinį sprendimą pateikusiam teismui kilo abejonių dėl bylą iš esmės nagrinėjusių teismų BDAR 15 straipsnio aiškinimo ir jis nusprendė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šį prejudicinį klausimą:

III.

Teisinė analizė

12.

Prašymą priimti prejudicinį sprendimą pateikusio teismo klausimas susijęs su BDAR 15 straipsnio 1 dalies c punkto, konkrečiai su jame numatytos duomenų subjekto teisės gauti iš duomenų valdytojo informaciją apie duomenų gavėjus arba duomenų gavėjų kategorijas, kuriems buvo arba bus atskleisti jo asmens duomenys, apimties, išaiškinimu.

13.

Prašymą priimti prejudicinį sprendimą pateikęs teismas klausia, ar ši nuostata turi būti aiškinama taip, kad minėtos duomenų subjekto teisės susipažinti su duomenimis apimtis turi būti diferencijuojama atsižvelgiant į tai, ar duomenys jau buvo atskleisti – tokiu atveju ši teisė apima konkrečius duomenų gavėjus – ar į tai, kad konkretūs duomenų, kurie bus atskleisti ateityje, gavėjai dar nenustatyti – tokiu atveju ši teisė turėtų apsiriboti informacija, susijusia su duomenų gavėjų kategorijomis.

14.

Šiuo klausimu pirmiausia reikia pažymėti, kad BDAR 15 straipsnyje reglamentuojama duomenų subjekto teisė susipažinti su savo asmens duomenimis, kuriuos tvarko duomenų valdytojas, ir su visa informacija, susijusia, be kita ko, su pačiu duomenų tvarkymu. Šioje nuostatoje konkrečiai paaiškinama ir patikslinama Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 2 dalies antrame sakinyje įtvirtinta kiekvieno asmens teisė susipažinti su savo duomenimis ( 3 ).

15.

Konkrečiau, pagal BDAR 15 straipsnio 1 dalį duomenų subjektas visų pirma turi teisę iš duomenų valdytojo gauti patvirtinimą, ar su juo susiję asmens duomenys yra tvarkomi. Jei asmens duomenys yra tvarkomi, duomenų subjektas turi teisę susipažinti su asmens duomenimis, kurie yra tvarkymo objektas, taip pat su įvairia papildoma informacija, išvardyta tos nuostatos a–h punktuose. Šiuo atveju pagal BDAR 15 straipsnio 1 dalies c punktą duomenų subjektas turi teisę susipažinti su informacija, susijusia su „duomenų gavėjai[s] arba duomenų gavėjų kategorijo[mis], kuriems buvo arba bus atskleisti asmens duomenys, visų pirma duomenų gavėjai[s] trečiosiose valstybėse arba tarptautinė[mis] organizacijo[mis]“.

16.

Savo prejudiciniu klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas prašo išaiškinti BDAR 15 straipsnio 1 dalies c punkto nuostatą, kad būtų nustatyta tiksli joje numatytos duomenų subjekto teisės gauti informaciją apie gavėjus, kuriems jo asmens duomenys atskleisti, apimtis.

17.

Šiuo klausimu reikėtų priminti, kad, remiantis suformuota jurisprudencija, aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos tekstą, bet ir į kontekstą ir teisės akto, kuriame ji įtvirtinta, tikslus bei paskirtį ( 4 ).

18.

Be to, kadangi BDAR nuostatose reglamentuojamu asmens duomenų tvarkymu gali būti pažeistos pagrindinės laisvės, visų pirma teisė į privatų gyvenimą, jos turi būti būtinai aiškinamos atsižvelgiant į Chartijoje garantuojamas pagrindines teises ( 5 ).

19.

Be to, pagal suformuotą jurisprudenciją, esant keliems galimiems Sąjungos teisės nuostatos aiškinimo variantams, pirmenybė turi būti teikiama tam, kuris užtikrintų jos praktinį veiksmingumą ( 6 ).

20.

Pirmiausia aptariant nagrinėjamos nuostatos tekstą, kaip nurodė pats prašymą priimti prejudicinį sprendimą pateikęs teismas ir kelios į Teisingumo Teismo nagrinėjamą bylą įstojusios šalys, remiantis BDAR 15 straipsnio 1 dalies c punkto formuluote negalima galutinai atsakyti į klausimą, ar jame numatyta duomenų subjekto teisė susipažinti su duomenimis būtinai turi būti laikoma apimančia galimybę susipažinti su informacija, susijusia su tiksliais jo asmens duomenų gavėjais, ar ji gali būti apribota tik galimybe susipažinti su informacija, susijusia su duomenų gavėjų kategorijomis. Šioje nuostatoje sąvokos „duomenų gavėjai“ ir „duomenų gavėjų kategorijos“ iš tikrųjų vartojamos viena po kitos, neutraliai, todėl neįmanoma nustatyti, kuriai tiektina pirmenybė. Toje nuostatoje nėra netgi aiškiai nurodyta, ar galima pasirinkti vieną iš dviejų galimų numatytų informacijos kategorijų (t. y. „duomenų gavėjus“ arba „duomenų gavėjų kategorijas“) arba kam (t. y. duomenų subjektui ar duomenų valdytojui) galiausiai priklauso teisė pasirinkti, su kokio pobūdžio informacija turi būti garantuota teisė susipažinti.

21.

Vis dėlto, kaip pažymėjo prašymą priimti prejudicinį sprendimą pateikęs teismas, remiantis pačios BDAR 15 straipsnio 1 dalies struktūra, mano nuomone, nagrinėjamą nuostatą reikia aiškinti taip, kad duomenų subjektas (taigi ne duomenų valdytojas, kaip nurodė du nacionaliniai teismai šioje byloje) turi pasirinkti vieną iš dviejų joje numatytų alternatyvų. Priešingai nei kitose BDAR nuostatose (pavyzdžiui, 13 ir 14 straipsniuose ( 7 )), kuriose numatyta duomenų valdytojo pareiga informuoti, aptariamoje nuostatoje įtvirtinta tikra ir reali duomenų subjekto teisė susipažinti su duomenimis. Duomenų subjekto naudojimasis šia teise logiškai reiškia, kad tokios teisės turėtojui suteikiama galimybė pasirinkti, ar jis nori gauti informaciją apie konkrečius duomenų gavėjus, kuriems duomenys buvo ar bus atskleisti, kai tai įmanoma, ar apsiriboti prašymu pateikti informaciją apie duomenų gavėjų kategorijas.

22.

Be to, BDAR 15 straipsnio 1 dalies c punkto nuostatos aiškinimas, pagal kurį ji vertinama kaip nuostata, kurioje numatoma duomenų subjekto teisė prašyti, kai tai įmanoma, susipažinti su informacija, susijusia su konkrečiais jo asmens duomenų gavėjais, yra patvirtinamas analizuojant tiek kontekstą, tiek pačios nuostatos tikslus, atsižvelgiant į BDAR nustatytus tikslus ir bendrą struktūrą.

23.

Šiuo aspektu pirmiausia atkreipiu dėmesį į tai, jog BDAR 63 konstatuojamojoje dalyje aiškiai nustatyta, kad duomenų subjektas turi „turėti teisę žinoti ir būti informuotas <…> [apie tai], kas yra duomenų gavėjai“. Šioje konstatuojamojoje dalyje, į kurią atsižvelgiant turi būti aiškinama nagrinėjama nuostata, aptariama duomenų subjekto teisė susipažinti su konkrečiais jo asmens duomenų gavėjais ir jokiu būdu nėra minima, kad ši teisė duomenų valdytojo nuožiūra gali būti apribota tik duomenų gavėjų kategorijomis.

24.

Be to, iš Teisingumo Teismo jurisprudencijos aiškiai matyti, kad BDAR siekiama, visų pirma, kaip nurodyta jo 10 konstatuojamojoje dalyje, užtikrinti aukšto lygio fizinių asmenų apsaugą Sąjungoje, taigi ir nuoseklų bei vienodą nuostatų, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymą visoje Sąjungoje ( 8 ).

25.

Taigi bet koks asmens duomenų tvarkymas turi atitikti to reglamento 5 straipsnyje nustatytus principus ( 9 ). Visų pirma iš BDAR 5 straipsnio 1 dalies a punkto matyti, kad asmens duomenys duomenų subjekto atžvilgiu turi būti tvarkomi skaidriai ( 10 ). Šiuo atveju BDAR 15 straipsnis, kuriame reglamentuojama duomenų subjekto teisė susipažinti su duomenimis, yra pagrindinė nuostata, kuria siekiama užtikrinti, kad asmens duomenų tvarkymo būdai duomenų subjekto atžvilgiu būtų skaidrūs.

26.

Kaip matyti iš BDAR 63 konstatuojamosios dalies ( 11 ), šios teisės susipažinti su duomenimis tikslas visų pirma yra suteikti duomenų subjektui galimybę žinoti apie savo duomenų tvarkymą ir patikrinti jo teisėtumą ( 12 ). Naudodamasis šia teise susipažinti su duomenimis duomenų subjektas visų pirma turi turėti galimybę ne tik patikrinti, ar su juo susiję duomenys yra teisingi, bet ir tai, ar jie buvo atskleisti teisėtiems gavėjams ( 13 ). Tai iš esmės reiškia, kad turi būti pateikta kuo tikslesnė informacija.

27.

Šiomis aplinkybėmis sutinku su Komisija, jog paneigus, kad BDAR 15 straipsnio 1 dalies c punkte numatyta duomenų subjekto teisė susipažinti su duomenimis apima konkrečius duomenų gavėjus, ir apribojus šią teisę tik duomenų gavėjų kategorijomis, reikštų, kad duomenų subjektui užkertamas kelias visapusiškai patikrinti, ar duomenų valdytojas tvarko duomenis teisėtai ir pirmiausia, ar duomenys buvo atskleisti teisėtai. Toks aptariamos nuostatos aiškinimas neleistų duomenų subjektui patikrinti, ar jo duomenys buvo siunčiami tik teisėtiems gavėjams, o tai prieštarautų pirmesniame punkte išdėstytiems reikalavimams.

28.

Antra, aptariant pirmąjį tikslą, ši teisė susipažinti su informacija, kaip jau nurodė Teisingumo Teismas, yra būtina tam, kad duomenų subjektas galėtų pasinaudoti teise ištaisyti duomenis, teise ištrinti duomenis („teisė būti pamirštam“) ir teise apriboti duomenų tvarkymą, kurios jam suteiktos atitinkamai pagal BDAR 16, 17 ir 18 straipsnius ( 14 ). Be to, Teisingumo Teismas išaiškino, jog teisė susipažinti su duomenimis taip pat būtina tam, kad duomenų subjektas galėtų pasinaudoti BDAR 21 straipsnyje numatyta teise nesutikti, kad jo asmens duomenys būtų tvarkomi, arba teise kreiptis į teismą dėl patirtos žalos atlyginimo pagal šio reglamento 79 ir 82 straipsnius ( 15 ).

29.

Aptariamos nuostatos aiškinimas, pagal kurį duomenų subjektas neturi galimybės gauti informaciją apie konkrečius jo asmens duomenų gavėjus, lemtų tai, kad, nežinodamas šių gavėjų tapatybės, duomenų subjektas negalėtų jų atžvilgiu pasinaudoti minėtomis pagal BDAR nuostatas jam suteiktomis teisėmis arba šiomis teisėmis galėtų pasinaudoti tik dėdamas neproporcingai dideles pastangas ( 16 ). Todėl šiuo aiškinimu būtų panaikintas šių nuostatų ir jomis suteikiamų teisių praktinis veiksmingumas tokiose situacijose.

30.

Be to, atsižvelgiant į kontekstą pažymėtina, kad minėtas BDAR 15 straipsnio 1 dalies c punkto aiškinimas patvirtinamas ir to paties reglamento 19 straipsnio nuostata. Šioje nuostatoje numatyta, kad „[k]iekvienam duomenų gavėjui, kuriam buvo atskleisti asmens duomenys, duomenų valdytojas praneša apie bet kokį asmens duomenų ištaisymą, ištrynimą arba tvarkymo apribojimą, vykdomą pagal 16 straipsnį, 17 straipsnio 1 dalį ir 18 straipsnį, nebent to padaryti nebūtų įmanoma arba tai pareikalautų neproporcingų pastangų“.

31.

Taigi BDAR 19 straipsnyje duomenų valdytojas įpareigojamas informuoti visus duomenų gavėjus, kuriems jis perdavė asmens duomenis, apie visus prašymus ištaisyti, ištrinti arba apriboti tų duomenų tvarkymą, į kuriuos jis turi atsižvelgti. Taip informuoti duomenų gavėjai privalo nedelsdami imtis veiksmų dėl duomenų ištaisymo, ištrynimo ar tvarkymo apribojimo, jeigu jie vis dar tvarko atitinkamus duomenis. Siekiant šios išvados 24 punkte minėto aukšto lygio apsaugos užtikrinimo tikslo, šiuo atveju BDAR 19 straipsniu siekiama, kad duomenų subjektui, paprašiusiam pateikti informaciją pagal BDAR 15 straipsnio 1 dalies c punktą, nereikėtų atitinkamiems duomenų gavėjams siųsti papildomų prašymų ištaisyti, ištrinti arba apriboti duomenų tvarkymą. Tačiau duomenų subjektui turi būti sudarytos sąlygos patikrinti, ar duomenys buvo iš tikrųjų ištaisyti, ištrinti ar apriboti po to, kai duomenų valdytojas apie tai pranešė. Taigi šiuo požiūriu BDAR 19 straipsnyje nustatyta, kad duomenų valdytojas privalo informuoti duomenų subjektą apie tuos gavėjus, jei duomenų subjektas to prašo.

32.

BDAR 19 straipsnio nuostata patvirtinama, kad siekiant užtikrinti BDAR 16, 17 ir 18 straipsniuose numatytų duomenų subjekto teisių į duomenų ištrynimą, ištaisymą ar duomenų tvarkymo apribojimą praktinį veiksmingumą, duomenų subjektas iš esmės turi turėti teisę, kad jam būtų atskleista konkrečių duomenų gavėjų tapatybė, jeigu jo asmens duomenys jau buvo atskleisti. Iš tikrųjų tik taip duomenų subjektas gali apginti savo teises minėtų gavėjų atžvilgiu.

33.

Iš to, kas išdėstyta, matyti, kad teisės susipažinti su duomenimis pagal BDAR 15 straipsnio 1 dalies c punktą vaidmuo yra funkcinis ir ji padeda suinteresuotajam asmeniui naudotis kitomis BDAR nustatytomis teisėmis. Vadinasi, siekiant užtikrinti visų minėtų BDAR nuostatų praktinį veiksmingumą, ši nuostata iš esmės turi būti aiškinama taip, kad joje numatyta duomenų subjekto teisė susipažinti su duomenimis iš esmės turi apimti galimybę gauti iš duomenų valdytojo informaciją apie konkrečius gavėjus, kuriems buvo atskleisti jo asmens duomenys.

34.

Vis dėlto naudojimasis BDAR 15 straipsnio 1 dalies c punkte numatyta teise susipažinti su duomenimis, kiek tai susiję su konkrečiais šių asmens duomenų gavėjais, mano nuomone, ribojamas bent esant šioms dviem situacijoms.

35.

Visų pirma, jei iš esmės neįmanoma pateikti informacijos apie konkrečius gavėjus, pavyzdžiui, dėl to, kad jie dar nėra praktiškai nustatyti, akivaizdu, jog iš duomenų valdytojo negalima reikalauti perduoti informaciją, nes jis jos dar neturi. Todėl, esant tokiai situacijai, kuri aiškiai numatyta prašyme priimti prejudicinį sprendimą, duomenų subjekto teisė susipažinti su duomenimis gali apimti tik duomenų gavėjų kategorijas.

36.

Antra, kaip nurodo Italijos vyriausybė, duomenų subjekto naudojimasis teise susipažinti su duomenimis ir atitinkamos duomenų valdytojo prievolės vykdymas turi būti vertinamas atsižvelgiant į sąžiningumo ir proporcingumo principus.

37.

Šiuo požiūriu reikia priminti, kad, kaip nurodyta Teisingumo Teismo jurisprudencijoje, Chartijos 7 ir 8 straipsniuose įtvirtintos teisės nėra absoliučios, bet turi būti vertinamos atsižvelgiant į jų visuomeninę paskirtį ( 17 ).

38.

Šiomis aplinkybėmis, viena vertus, iš 12 straipsnio 5 dalies, kuri taip pat aiškiai taikoma prejudiciniame klausime nagrinėjamai nuostatai, aiškiai matyti, kad duomenų subjekto prašymai neturi būti akivaizdžiai nepagrįsti arba neproporcingi ir kad tokiu atveju duomenų valdytojas taip pat gali atsisakyti patenkinti prašymą. Be to, iš tos pačios nuostatos matyti, kad duomenų valdytojui tenka „pareiga įrodyti, kad prašymas yra akivaizdžiai nepagrįstas arba neproporcingas“.

39.

Kita vertus, pats Teisingumo Teismas jau aiškiai nurodė, kad turi būti užtikrinta tinkama pusiausvyra tarp, viena vertus, duomenų subjekto intereso apsaugoti savo privatų gyvenimą pasinaudojant, be kita ko, BDAR III skyriuje įtvirtintomis teisėmis ir galimybėmis pareikšti ieškinį teisme ir, kita vertus, duomenų valdytojui tenkančių pareigų ( 18 ). Ši tinkama pusiausvyra užtikrinama skiriant daugiau dėmesio duomenų subjekto duomenų apsaugai ir privataus gyvenimo apsaugai, kaip aiškiai matyti iš reikalavimo, kad nepatenkinus duomenų subjekto prašymo susipažinti su duomenimis, turi būti įrodyta, kad jis yra akivaizdžiai nepagrįstas arba neproporcingas.

IV.

Išvada

40.

Atsižvelgdamas į tai, kas pirma išdėstyta, siūlau Teisingumo Teismui atsakyti į Oberster Gerichtshof (Aukščiausiasis Teismas, Austrija) pateiktą prejudicinį klausimą taip: