–

za Proximus NV P. Craddockem a T. de Haanem, advokáty, jakož i E. Van Boggetem, advocaat,

–

za Gegevensbeschermingsautoriteit C. Buggenhoudtem, E. Clootsem a J. Roetsem, advocaten,

–

za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s E. De Bonisem, avvocato dello Stato,

–

za lotyšskou vládu E. Bārdiņšem, J. Davidoviča a K. Pommere, jako zmocněnci,

–

za portugalskou vládu P. Barros da Costa, L. Inez Fernandesem, M. J. Ramos a C. Vieira Guerra, jako zmocněnci,

–

za rumunskou vládu E. Gane a L. Liţu, jako zmocněnkyněmi,

–

za Evropskou komisi S. L. Kalėdou, H. Kranenborgem a P.-J. Loewenthalem, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 12 odst. 2 ve spojení s čl. 2 druhým pododstavcem písm. f) směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514), ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009 (Úř. věst. 2009, L 337, s. 11) (dále jen „směrnice 2002/58“), jakož i čl. 5 odst. 2 a článků 17, 24 a 95 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi Proximus NV, která je veřejnoprávní společností podle belgického práva, a Gegevensbeschermingsautoriteit (orgán pro ochranu údajů, Belgie) (dále jen „APD“) ve věci rozhodnutí, kterým Geschillenkamer van de Gegevensbeschermingsautoriteit (oddělení pro spornou agendu při APD, dále jen „oddělení pro spornou agendu“) uložilo společnosti Proximus povinnost přijmout nápravná opatření a pokutu ve výši 20 000 eur za porušení několika ustanovení GDPR.

Právní rámec

Unijní právo

Směrnice 95/46/ES

3

Článek 2 písm. h) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355) stanoví:

Směrnice 2002/58

4

Body 10, 17, 38 a 39 odůvodnění směrnice 2002/58 zní takto:

5

Článek 1 této směrnice stanoví:

6

Článek 2 druhý pododstavec písm. f) uvedené směrnice, nadepsaný „Definice“, stanoví:

7

Článek 12 téže směrnice, nadepsaný „Účastnické seznamy“, stanoví:

GDPR

8

Body 42, 66 a 173 odůvodnění GDPR zní:

9

Článek 4 body 2, 7 a 11 tohoto nařízení zní takto:

10

Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

11

Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, stanoví:

12

Článek 7 GDPR, nadepsaný „Podmínky vyjádření souhlasu“, stanoví:

13

Článek 16 GDPR, nadepsaný „Právo na opravu“, stanoví:

14

Článek 17 GDPR, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, zní takto:

15

Článek 19 GDPR, nadepsaný „Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování“, stanoví:

16

Článek 24 GDPR, nadepsaný „Odpovědnost správce“, stanoví:

17

Článek 94 GDPR, nadepsaný „ Zrušení směrnice 95/46/ES“, v odstavci 2 stanoví:

18

Článek 95 GDPR, nadepsaný „Vztah ke směrnici 2002/58/ES“, stanoví:

Belgické právo

19

Článek 133 wet betreffende de elektronische communicatie (zákon o elektronických komunikacích) ze dne 13. června 2005 (Belgisch Staatsblad ze dne 20. června 2005, s. 28070), kterým byl proveden článek 12 směrnice 2002/58 do belgického práva, zní takto:

20

Článek 45 odst. 2 uvedeného zákona ukládá telekomunikačním operátorům povinnost zpřístupnit údaje o jejich účastnících poskytovatelům veřejných seznamů. Podle čl. 45 odst. 3 téhož zákona tito operátoři oddělí údaje o účastnících, kteří požádali o to, aby nebyli uvedeni v účastnickém seznamu, tak aby tito účastníci mohli obdržet účastnický seznam, který neobsahuje jejich údaje.

Spor v původním řízení a předběžné otázky

21

Společnost Proximus, která je poskytovatelkou telekomunikačních služeb v Belgii, poskytuje rovněž veřejně dostupné účastnické seznamy a informační služby o účastnických číslech (dále jen „účastnické seznamy“) podle zákona o elektronických komunikacích. Tyto účastnické seznamy obsahují jména, adresy a telefonní čísla (dále jen „kontaktní údaje“) účastníků, kteří jsou zákazníky různých poskytovatelů veřejně dostupných telefonních služeb (dále jen „operátoři“). Existují i další seznamy, které zveřejňují třetí osoby.

22

Kontaktní údaje těchto účastníků operátoři pravidelně sdělují společnosti Proximus, s výjimkou těch, kteří vyjádřili přání, aby nebyli v účastnických seznamech vydávaných společností Proximus uvedeni. V Belgii se rozlišování mezi účastníky, kteří chtějí být uvedeni v účastnickém seznamu, a těmi, kteří si to nepřejí, v praxi uskutečňuje přidělením kódu při registraci každého účastníka, a to „NNNNN“ pro účastníky, jejichž kontaktní údaje se mohou objevit, a „XXXXX“ pro účastníky, jejichž kontaktní údaje zůstávají důvěrné. Společnost Proximus předává rovněž kontaktní údaje, které obdrží, dalšímu poskytovateli účastnických seznamů.

23

Stěžovatel je účastníkem služeb telekomunikačního operátora Telenet působícím na belgickém trhu. Společnost Telenet neposkytuje účastnické seznamy, ale předává kontaktní údaje o účastnících svých služeb poskytovatelům účastnických seznamů, zejména společnosti Proximus.

24

Dne 13. ledna 2019 požádal tento účastník společnost Proximus, aby neuváděla jeho kontaktní údaje v účastnických seznamech vydávaných jak společností Proximus, tak třetími osobami. Na základě této žádosti změnila společnost Proximus jeho status ve svém informačním systému tak, aby již nebyly zveřejňovány.

25

Dne 31. ledna 2019 obdržela společnost Proximus od společnosti Telenet pravidelnou aktualizaci údajů o účastnících služeb tohoto operátora. Tato aktualizace obsahovala nové kontaktní údaje dotyčného účastníka, které nebyly označeny jako důvěrné. Tyto informace společnost Proximus automatizovaně zpracovala a byly zaznamenány, takže se opět objevily v jejích účastnických seznamech.

26

Poté, co dotyčný účastník zjistil, že jeho telefonní číslo bylo zveřejněno v účastnických seznamech společnosti Proximus a třetích osob, znovu požádal dne 14. srpna 2019 společnost Proximus, aby jeho údaje neuváděla. Tato společnost stěžovateli téhož dne odpověděla, že jeho údaje ze seznamů odstranila a kontaktovala společnost Google, aby vymazala příslušné odkazy na internetové stránky společnosti Proximus. Společnost Proximus tohoto účastníka informovala rovněž o tom, že jeho kontaktní údaje předala dalším poskytovatelům účastnických seznamů a že tito poskytovatelé byli prostřednictvím měsíčních aktualizací informováni o žádosti stěžovatele.

27

Uvedený účastník podal zároveň stížnost k APD na společnost Proximus z důvodu, že i přes jeho žádost, aby jeho kontaktní údaje nebyly uváděny v účastnických seznamech, se nicméně jeho telefonní číslo v některých z těchto seznamů objevilo.

28

Dne 5. září 2019 došlo mezi dotčeným účastníkem a společností Proximus k další komunikaci ohledně zveřejnění údajů tohoto účastníka v účastnickém seznamu třetí osoby. V této souvislosti společnost Proximus uvedla, že předává kontaktní údaje svých účastníků dalším poskytovatelům účastnických seznamů, ale že nemá žádný přehled o vnitřních provozních postupech těchto poskytovatelů.

29

Dne 30. července 2020, po vyslechnutí obou stran vydalo oddělení pro spornou agendu rozhodnutí, kterým uložilo společnosti Proximus, aby přijala nápravná opatření, a pokutu ve výši 20 000 eur za porušení zejména článku 6 GDPR ve spojení s jeho článkem 7, jakož i čl. 5 odst. 2 uvedeného nařízení ve spojení s jeho článkem 24. Toto oddělení společnosti Proximus zejména nařídilo, aby nejprve přijala vhodná a okamžitá opatření v návaznosti na odvolání souhlasu dotčeným účastníkem a vyhověla jeho žádostem o využití práva na výmaz jeho údajů. Následně nařídila společnosti Proximus, aby přijala vhodná technická a organizační opatření k zajištění toho, aby zpracování osobních údajů, které provádí, bylo v souladu s ustanoveními GDPR. Nakonec společnosti Proximus nařídila zdržet se protiprávního předávání těchto údajů dalším poskytovatelům účastnických seznamů.

30

Dne 28. srpna 2020 podala společnost Proximus proti tomuto rozhodnutí žalobu k hof van beroep te Brussel (odvolací soud v Bruselu, Belgie).

31

Podle tvrzení společnosti Proximus není podle čl. 45 odst. 3 zákona o elektronických komunikacích vyžadován souhlas účastníka, ale účastníci musí sami požádat, aby v účastnických seznamech nebyli uvedeni, podle tzv. systému „opt-out“. V případě, že taková žádost není podána, může být dotyčný účastník v těchto seznamech skutečně uveden. Podle společnosti Proximus není proto v projednávané věci ze strany účastníka nutný žádný „souhlas“ ve smyslu směrnice 95/46 nebo ve smyslu GDPR.

32

APD zastává opačný názor a tvrdí, že čl. 12 odst. 2 směrnice 2002/58 a čl. 133 odst. 1 zákona o elektronických komunikacích vyžadují „souhlas účastníků“ ve smyslu GDPR, aby poskytovatelé účastnických seznamů mohli zpracovávat a předávat jejich osobní údaje.

33

Předkládající soud má za to, že směrnice 2002/58 představuje ve vztahu k GDPR lex specialis, jak potvrzují bod 173 odůvodnění a článek 95 GDPR. V situacích, kdy směrnice 2002/58 upřesňuje pravidla GDPR, mají tedy její zvláštní ustanovení jakožto lex specialis přednost před obecnějšími ustanoveními GDPR.

34

V této souvislosti předkládající soud poznamenává, že čl. 12 odst. 2 směrnice 2002/58 a čl. 133 odst. 1 zákona o elektronických komunikacích sice vyžadují vyjádření vůle účastníků, aby poskytovatelé účastnických seznamů mohli zpracovávat jejich osobní údaje, avšak neupřesňují, zda toto vyjádření vůle musí mít formu využití práva volby, jak tvrdí Proximus, nebo formu vyjádření skutečného souhlasu ve smyslu GDPR, jak uvádí APD. V tomto ohledu předkládající soud zdůrazňuje, že judikatura Soudního dvora, zejména rozsudek ze dne 5. května 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, bod 61), uvádí, že z kontextuálního a systematického výkladu článku 12 směrnice 2002/58 vyplývá, že dotčené vyjádření vůle odpovídá „souhlasu“, který se váže k účelu zveřejnění osobních údajů ve veřejném účastnickém seznamu, a nikoli k totožnosti konkrétního poskytovatele tohoto seznamu.

35

Kromě toho si předkládající soud klade otázku, zda se všechna ustanovení GDPR musí použít automaticky a bez jakýchkoli omezení i ve specifickém kontextu účastnických seznamů, vzhledem k tomu, že ve směrnici 2002/58 ani v zákoně o elektronických komunikacích nebo v prováděcí vyhlášce nebyla stanovena žádná zvláštní úprava týkající se odvolání tohoto projevu vůle nebo tohoto „souhlasu“ ze strany účastníka.

36

Za těchto podmínek se hof van beroep te Brussel (odvolací soud v Bruselu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

K předběžným otázkám

K první otázce

37

Společnost Proximus tvrdí, že věc dotčená v původním řízení se netýká zveřejnění účastnických seznamů obsahujících osobní údaje telekomunikačním operátorem, takže první předběžná otázka musí být považována za nepřípustnou v rozsahu, v němž se týká takového případu.

38

Podle ustálené judikatury Soudního dvora platí, že se na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance. Soudní dvůr může odmítnout vydat rozhodnutí o předběžné otázce položené vnitrostátním soudem pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jedná-li se o hypotetický problém nebo také nedisponuje-li Soudní dvůr skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 48 a citovaná judikatura).

39

V projednávané věci probíhá spor dotčený v původním řízení pouze mezi fyzickou osobou a společností, která není telekomunikačním operátorem této osoby, ohledně způsobu, jakým tato společnost zpracovávala její osobní údaje při vydávání veřejných účastnických seznamů. Z toho vyplývá, že první otázka je nepřípustná v rozsahu, v němž směřuje k výkladu požadavků, které vyplývají z čl. 12 odst. 2 směrnice 2002/58, v případě, kdy osobní údaje této osoby zveřejňuje v těchto seznamech samotný telekomunikační operátor.

40

Z výše uvedeného vyplývá, že podstatou první otázky předkládajícího soudu je, zda čl. 12 odst. 2 směrnice 2002/58 ve spojení s čl. 2 druhým pododstavcem písm. f) této směrnice a článkem 95 GDPR musí být vykládán v tom smyslu, že k uvedení osobních údajů účastníka služeb telekomunikačního operátora v účastnických seznamech zveřejňovaných jinými poskytovateli, než je tento operátor, je vyžadován „souhlas“ tohoto účastníka ve smyslu článku 4 bodu 11 GDPR.

41

Za účelem odpovědi na tuto otázku je třeba připomenout, že směrnice 2002/58 v čl. 1 odst. 1 zejména stanoví harmonizaci předpisů členských států požadovaných pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací.

42

V této souvislosti je nutno připomenout, že z čl. 12 odst. 1 této směrnice, jakož i z jejího bodu 38 odůvodnění vyplývá, že účastníci jsou před svým zápisem do veřejných účastnických seznamů informováni o účelech těchto seznamů, a o jakémkoli jejich zvláštním použití, zejména prostřednictvím vyhledávacích funkcí zabudovaných v softwaru elektronických verzí seznamů.

43

Bod 39 odůvodnění uvedené směrnice poté ohledně povinnosti předběžného informování účastníků na základě jejího čl. 12 odst. 1 uvádí, že „[p]okud lze [osobní] údaje předávat jedné nebo většímu počtu třetích stran, měl by být účastník informován o této možnosti a o příjemci nebo kategoriích možných příjemců“.

44

Poté, co účastník obdrží informace podle čl. 12 odst. 1 směrnice 2002/58, může, jak vyplývá z odstavce 2 téhož článku, určit, zda budou jeho osobní údaje uvedeny ve veřejném seznamu, a pokud ano, které z nich.

45

Jak již Soudní dvůr rozhodl, taková předběžná informace umožňuje dotčenému účastníkovi vyslovit souhlas se zveřejněním jeho osobních údajů ve veřejných účastnických seznamech, jelikož je takový souhlas nezbytný pro účely takového zveřejnění (v tomto smyslu viz rozsudek ze dne 5. května 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, body 54 a 58).

46

Požadavek získat souhlas dotčeného účastníka se zveřejněním těchto údajů v účastnických seznamech je potvrzen v čl. 12 odst. 3 směrnice 2002/58, podle kterého mohou členské státy vyžadovat, „aby byli účastníci požádáni o dodatečný souhlas“, bude-li účel veřejného účastnického seznamu jiný, než je vyhledávání kontaktních údajů osoby na základě jejího jména.

47

Jak však Soudní dvůr upřesnil, z kontextuálního a systematického výkladu článku 12 směrnice 2002/58 vyplývá, že souhlas podle druhého odstavce tohoto článku se váže k účelu zveřejnění osobních údajů ve veřejném účastnickém seznamu, a nikoli k totožnosti konkrétního poskytovatele tohoto seznamu. Pokud tedy tento účastník souhlasil se zveřejněním svých údajů v účastnickém seznamu majícím zvláštní účel, nebude mít obecně zájem bránit zveřejnění týchž údajů v jiném podobném účastnickém seznamu (rozsudek ze dne 5. května 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, body 61 a 62).

48

V tomto ohledu bod 39 odůvodnění této směrnice potvrzuje, že poskytnutí osobních údajů účastníků třetím stranám je povoleno za podmínky, „že údaje nemohou být použity k jiným účelům než těm, pro které byly shromážděny“.

49

Z toho plyne, že pokud byl účastník informován takovým telekomunikačním operátorem, jako je společnost Telenet, o možnosti poskytnutí jeho osobních údajů takovému třetímu podniku, jako je společnost Proximus nebo jiní poskytovatelé, za účelem jejich zveřejnění ve veřejném účastnickému seznamu a tento účastník se zveřejněním uvedených údajů v takovém účastnickém seznamu souhlasil, poskytnutí týchž údajů tímto operátorem nebo podnikem jinému podniku, který hodlá zveřejnit tištěný nebo elektronický účastnický seznam nebo takové účastnické seznamy zpřístupnit prostřednictvím informační služby, nepodléhá opětovnému souhlasu uvedeného účastníka, pokud je zaručeno, že dotčené osobní údaje nebudou použity k jiným účelům než těm, pro které byly shromážděny za účelem jejich prvního zveřejnění. Souhlas účastníka podle čl. 12 odst. 2 směrnice 2002/58, který byl řádně informován, se zveřejněním svých osobních údajů ve veřejném účastnickém seznamu, se totiž váže k účelu tohoto zveřejnění, a vztahuje se proto i na jakékoli pozdější zpracování uvedených údajů třetími podniky činnými na trhu informačních služeb o veřejně přístupných účastnických číslech a poskytování účastnických seznamů, pokud takové zpracování sleduje tentýž účel (rozsudek ze dne 5. května 2011, C‑543/09, EU:C:2011:279, bod 65).

50

Naopak jak uvádí bod 39 odůvodnění této směrnice, pokud strana shromažďující údaje od účastníků nebo jakákoli třetí strana, které byly údaje předány, zamýšlí údaje použít pro další účely, musí uvedená strana nebo uvedená třetí strana získat od účastníka obnovený souhlas.

51

Pokud jde o způsoby, jakými musí být takový souhlas vyjádřen, z čl. 2 druhého pododstavce písm. f) směrnice 2002/58 ve spojení s čl. 94 odst. 2 a článkem 95 GDPR vyplývá, že tento souhlas musí v zásadě splňovat požadavky vyplývající z čl. 4 bodu 11 tohoto nařízení.

52

V projednávané věci čl. 4 bod 11 GDPR, který je ustanovením použitelným na skutkové okolnosti věci v původním řízení, definuje „souhlas subjektu údajů“ v tom smyslu, že vyžaduje „svobodný, konkrétní, informovaný a jednoznačný projev vůle“, kterým subjekt údajů dává prohlášením či „zjevným potvrzením“ svolení ke zpracování svých osobních údajů.

53

Z toho vyplývá, že takový souhlas je nezbytný k tomu, aby osobní údaje týkající se účastníka služeb telekomunikačního operátora, mohly být uváděny v účastnických seznamech.

54

Zveřejnění osobních údajů týkajících se dotčeného účastníka v takových účastnických seznamech, jako jsou seznamy vydávané společností Proximus nebo jinými poskytovateli, by proto mohlo být považováno za zákonné ve smyslu čl. 6 odst. 1 písm. a) GDPR pouze tehdy, kdyby byl takový souhlas výslovně udělen telekomunikačnímu operátorovi nebo některému z těchto poskytovatelů účastnických seznamů.

55

Jak však bylo připomenuto v bodě 49 tohoto rozsudku, takový souhlas nepředpokládá, že v okamžiku, kdy je udělen, subjekt údajů nutně zná totožnost všech poskytovatelů účastnických seznamů, kteří zpracovávají její osobní údaje.

56

S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 12 odst. 2 směrnice 2002/58 ve spojení s čl. 2 druhým pododstavcem písm. f) této směrnice a článkem 95 GDPR musí být vykládán v tom smyslu, že k uvedení osobních údajů účastníka služeb telekomunikačního operátora v účastnických seznamech zveřejňovaných jinými poskytovateli, než je tento operátor, je vyžadován „souhlas“ tohoto účastníka ve smyslu článku 4 bodu 11 GDPR, přičemž tento souhlas může být poskytnut buď uvedenému operátorovi, nebo některému z těchto poskytovatelů.

K druhé otázce

57

Podstatou druhé otázky předkládajícího soudu je, zda článek 17 GDPR musí být vykládán v tom smyslu, že žádost účastníka o odstranění jeho osobních údajů z účastnických seznamů představuje využití „práva na výmaz“ ve smyslu tohoto článku.

58

Nejprve je třeba uvést, že společnost Proximus tvrdí, že článek 17 GDPR se nepoužije na poskytovatele účastnických seznamů, který stejně, jako je tomu v projednávané věci, není telekomunikačním operátorem účastníka, a že taková žádost, jako je žádost uvedená v předchozím bodě tohoto rozsudku, musí být považována nanejvýš za žádost o opravu ve smyslu článku 16 tohoto nařízení, takže druhá předběžná otázka je nepřípustná, jelikož je pro věc v původním řízení irelevantní.

59

Argumenty uvedené tímto účastníkem řízení se však v podstatě vztahují k oblasti působnosti, jakož i k dosahu, a tedy výkladu ustanovení unijního práva, kterých se týká druhá otázka. Přitom argumenty, které se týkají merita položené otázky, nemohou již z podstaty věci vést k její nepřípustnosti (rozsudek ze dne 13. ledna 2022, Minister Sprawiedliwości, C‑55/20, EU:C:2022:6, bod 83).

60

Z toho plyne, že druhá předběžná otázka je přípustná.

61

Zaprvé je nutné zdůraznit, že podle čl. 12 odst. 2 druhé věty směrnice 2002/58 musí mít účastníci zejména možnost nechat odstranit z veřejných účastnických seznamů své osobní údaje.

62

Přiznání takové možnosti účastníkům však nezakládá na straně poskytovatele účastnických seznamů žádnou zvláštní povinnost ve smyslu článku 95 GDPR, která by umožňovala vyloučit použití relevantních ustanovení tohoto nařízení. Jak totiž v podstatě uvedl generální advokát v bodě 54 svého stanoviska, směrnice 2002/58 neobsahuje údaje týkající se způsobů, provádění a důsledků žádostí o odstranění osobních údajů. Z tohoto důvodu, a jak navíc vyplývá z bodu 10 odůvodnění této směrnice ve spojení s článkem 94 tohoto nařízení, mohou být v takovém případě použita ustanovení GDPR.

63

Zadruhé z čl. 17 odst. 1 písm. b) a d) GDPR vyplývá, že subjekt údajů má právo na to, aby správce vymazal osobní údaje, které se daného subjektu týkají, a že správce má povinnost tyto údaje vymazat bez zbytečného odkladu, zejména pokud subjekt údajů „odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) […] zpracovány, a neexistuje žádný další právní důvod pro zpracování“ nebo pokud „osobní údaje byly zpracovány protiprávně“.

64

V tomto ohledu z odpovědi na první předběžnou otázku vyplývá, že zveřejnění osobních údajů účastníka v účastnických seznamech je založeno na souhlasu tohoto účastníka.

65

Dále z čl. 6 odst. 1 písm. a) a čl. 7 odst. 3 GDPR vyplývá, že takový souhlas představuje jednu z nezbytných podmínek pro učinění závěru, že zpracování osobních údajů dotyčného účastníka bylo zákonné, a že tento souhlas lze kdykoli odvolat, a to způsobem, který bude stejně snadný jako způsob, kterým mohl subjekt údajů takový souhlas poskytnout.

66

Pokud v projednávané věci účastník požaduje, aby jeho údaje již nebyly uvedeny v účastnickém seznamu, odvolává svůj souhlas se zveřejněním těchto údajů. Na základě odvolání svého souhlasu získá v případě, že neexistuje jiný právní základ pro takové zpracování, právo požadovat výmaz svých osobních údajů z tohoto seznamu na základě čl. 17 odst. 1 písm. b) GDPR nebo v případě, že správce nadále zveřejňuje uvedené údaje protiprávně, podle čl. 17 odst. 1 písm. d) tohoto nařízení.

67

Za těchto podmínek je třeba mít za to, že žádost účastníka o odstranění jeho osobních údajů z účastnických seznamů může být považována za využití „práva na výmaz“ uvedených údajů ve smyslu článku 17 GDPR.

68

Tento závěr nemůže být zpochybněn argumentem společnosti Proximus, že taková žádost musí být považována za žádost, na jejímž základě může účastník využít své právo na to, aby správce opravil osobní údaje, které se jej týkají, podle článku 16 GDPR. Podle tohoto ustanovení je totiž taková oprava možná, pokud jsou tyto údaje nepřesné, a má za cíl umožnit subjektu údajů, aby tyto údaje byly doplněny.

69

V projednávané věci se přitom žádost o odstranění údajů účastníka uvedených v účastnickém seznamu netýká nahrazení nepřesných údajů správnými údaji nebo doplnění neúplných údajů, ale týká se odstranění zveřejněných správných údajů.

70

Skutečnost, že se takové odstranění v projednávané věci projeví v pouhé změně kódu přiděleného dotčenému účastníkovi v databázi společnosti Proximus, z níž jsou osobní údaje tohoto účastníka zveřejňovány v účastnických seznamech, nemůže bránit tomu, aby žádost o odstranění osobních údajů uvedených v těchto seznamech byla považována za „žádost o výmaz“ ve smyslu článku 17 GDPR. Jak totiž vyplývá ze spisu, který má k dispozici Soudní dvůr, způsob odstranění stanovený uvedeným operátorem představuje opatření čistě technické nebo organizační povahy, které se jeví jako nezbytné k vyhovění žádosti o výmaz osobních údajů subjektu údajů a k zabránění jejich zpřístupnění.

71

S ohledem na výše uvedené úvahy je třeba na druhou otázku odpovědět tak, že článek 17 GDPR musí být vykládán v tom smyslu, že žádost účastníka o odstranění jeho osobních údajů z účastnických seznamů představuje využití „práva na výmaz“ ve smyslu tohoto článku.

K třetí otázce

72

Podstatou třetí otázky předkládajícího soudu je, zda čl. 5 odst. 2 a článek 24 GDPR musí být vykládány v tom smyslu, že vnitrostátní dozorový úřad může požadovat, aby poskytovatel účastnických seznamů, jakožto správce, přijal vhodná technická a organizační opatření, aby informoval další správce, a sice telekomunikačního operátora, který mu sdělil osobní údaje svého účastníka, jakož i další poskytovatele účastnických seznamů, kterým sám takové údaje poskytl, o odvolání souhlasu tohoto účastníka.

73

Úvodem je třeba poznamenat, že v projednávané věci společnost Proximus zpracovávala osobní údaje stěžovatele tím, že je zveřejňovala a sdělovala dalším poskytovatelům účastnických seznamů. Společnost Telenet, která je jeho telekomunikačním operátorem, tyto údaje rovněž zpracovávala tím, že je zejména předávala společnosti Proximus. Totéž platí i pro další poskytovatele účastnických seznamů, kterým společnost Proximus předávala kontaktní údaje stěžovatele a které je zveřejnily.

74

Kromě toho je třeba uvést, jak bylo připomenuto v bodě 20 tohoto rozsudku, že i když zákon o elektronických komunikacích ukládá telekomunikačním operátorům povinnost předávat údaje o svých účastnících poskytovatelům veřejných seznamů, musí nicméně tito operátoři oddělit údaje týkající se účastníků, kteří požádali o to, aby nebyli uvedeni v seznamu, tak aby tito účastníci mohli obdržet kopii tohoto seznamu, aniž v něm budou uvedeny jejich údaje.

75

Ze spisu, který má k dispozici Soudní dvůr, vyplývá, že v praxi účastník zpravidla uděluje souhlas se zveřejněním svých osobních údajů v seznamu svému telekomunikačnímu operátorovi, přičemž takový souhlas umožňuje, aby tyto údaje byly předávány třetí straně, která je poskytovatelem účastnických seznamů. Tento poskytovatel pak může na základě téhož souhlasu předávat tyto údaje dalším poskytovatelům účastnických seznamů, takže tito správci představují řetězec, v němž každý správce postupně tyto údaje nezávisle zpracovává, a to na základě jediného souhlasu.

76

Ze spisu, který má Soudní dvůr k dispozici, rovněž vyplývá, že aktualizace databáze společnosti Proximus, jejímž cílem bylo vyhovět odvolání souhlasu stěžovatele, byla vymazána, jakmile jeho telekomunikační operátor předal společnosti Proximus nový seznam údajů o svých účastnících za účelem jejich zveřejnění v seznamech, který nezohledňoval odvolání souhlasu stěžovatele u společnosti Proximus.

77

V této souvislosti tedy vyvstává otázka, zda takový poskytovatel účastnických seznamů, jako je společnost Proximus, musí v případě, že účastník služeb telekomunikačního operátora odvolá svůj souhlas s uvedením v seznamech tohoto poskytovatele, nejen aktualizovat vlastní databázi, aby toto odvolání zohlednila, ale musí rovněž informovat o uvedeném odvolání i telekomunikačního operátora, který jí tyto údaje sdělil, jakož i ostatní poskytovatele účastnických seznamů, jimž takové údaje sama předala.

78

Zaprvé je třeba připomenout, že čl. 6 odst. 1 písm. a) GDPR stanoví, že zpracování je zákonné, pouze pokud subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden nebo více konkrétních účelů. Z předkládacího rozhodnutí přitom vyplývá, že stěžovatel odvolal svůj souhlas se zpracováním svých osobních údajů ve smyslu čl. 7 odst. 3 GDPR za účelem jejich zveřejnění v účastnických seznamech. V návaznosti na takové odvolání nemá již zpracování těchto údajů za účelem jejich zápisu do veřejných seznamů, včetně zpracování prováděného za stejným účelem telekomunikačními operátory nebo jinými poskytovateli účastnických seznamů, kteří vycházejí ze stejného souhlasu, žádný právní základ, a je tedy s ohledem na čl. 6 odst. 1 písm. a) uvedeného nařízení nezákonné.

79

Zadruhé je nutné připomenout, že podle čl. 5 odst. 1 písm. a) a odst. 2 GDPR správce musí zajistit, že bude schopen doložit, že osobní údaje jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.

80

Pokud jde o článek 24 GDPR, ten vyžaduje, aby správce s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování zavedl vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením.

81

Jak uvedl generální advokát v bodě 67 svého stanoviska, čl. 5 odst. 2 a článek 24 GDPR ukládají správcům obecné povinnosti týkající se odpovědnosti a dodržování předpisů. Tato ustanovení zejména vyžadují, aby správci přijali vhodná opatření, která zabrání případnému porušování pravidel GDPR pro zajištění práva na ochranu údajů.

82

V tomto ohledu článek 19 GDPR zejména stanoví, že správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré výmazy osobních údajů provedené v souladu s čl. 17 odst. 1 tohoto nařízení, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí.

83

Z obecných povinností stanovených v čl. 5 odst. 2 a článku 24 GDPR ve spojení s jeho článkem 19 přitom vyplývá, že takový správce, jako je společnost Proximus, musí zavést vhodná technická a organizační opatření, aby informoval ostatní poskytovatele účastnických seznamů, kterým takové údaje poskytl, o odvolání souhlasu subjektu údajů, které mu bylo oznámeno. Za takových okolností, jako jsou okolnosti uvedené v bodě 76 tohoto rozsudku, musí takový správce rovněž dbát na to, aby informoval telekomunikačního operátora, který mu tyto osobní údaje sdělil, aby tento operátor upravil seznam osobních údajů, které automaticky předává tomuto poskytovateli seznamů, a oddělil údaje svých účastníků, kteří projevili vůli odvolat svůj souhlas se zveřejněním těchto údajů

84

Pokud totiž, jako v projednávané věci, jednotliví správci vycházejí z jediného souhlasu subjektu údajů se zpracováním jeho osobních údajů pro stejný účel, stačí, aby se pro odvolání takového souhlasu tato osoba obrátila na kteréhokoli ze správců, kteří se opírají o tentýž souhlas pro účely požadovaného odvolání.

85

Jak správně uvádí Komise, k zaručení účinnosti práva odvolat svůj souhlas stanoveného v čl. 7 odst. 3 GDPR a k zajištění toho, aby byl souhlas subjektu údajů striktně vázán na účel, pro který byl udělen, je správce, u něhož subjekt údajů odvolal svůj souhlas se zpracováním svých osobních údajů, skutečně povinen informovat o tomto odvolání každou osobu, která mu tyto údaje předala, jakož i osobu, které on tyto informace dál předal. Takto informovaní správci mají následně povinnost předat tyto informace dalším správcům, kterým tyto údaje sdělili.

86

V tomto ohledu je třeba nejprve uvést, že cílem takové informační povinnosti je zabránit jakémukoli případnému porušení pravidel stanovených GDPR pro zajištění práva na ochranu údajů a tato povinnost spadá do rámce vhodných opatření ve smyslu článku 24 tohoto nařízení. Kromě toho, jak zdůraznil generální advokát v bodě 68 svého stanoviska, tato povinnost je rovněž součástí požadavku stanoveného v čl. 12 odst. 2 tohoto nařízení, podle kterého je správce povinen usnadnit výkon práv přiznaných subjektu údajů zejména článkem 17 uvedeného nařízení.

87

Dále je třeba konstatovat, že neexistence takové informační povinnosti správce o odvolání souhlasu subjektu údajů by mohla odvolání souhlasu obzvláště ztížit, jelikož by se tato osoba mohla domnívat, že se musí obrátit na každého z hospodářských subjektů. Takový přístup by byl v rozporu s čl. 7 odst. 3 GDPR, podle kterého musí být odvolání souhlasu se zpracováním osobních údajů stejně tak snadné jako jeho poskytnutí.

88

Konečně v souladu s judikaturou připomenutou v bodě 49 tohoto rozsudku se souhlas řádně informovaného účastníka podle čl. 12 odst. 2 směrnice 2002/58 se zveřejněním jeho osobních údajů ve veřejném účastnickém seznamu vztahuje k účelu tohoto zveřejnění, a tedy na jakékoli následné zpracování uvedených údajů třetími podniky působícími na trhu účastnických seznamů, pokud taková zpracování sledují tentýž účel.

89

Z toho vyplývá, jak uvedl generální advokát v bodě 68 svého stanoviska, že vzhledem k tomu, že se poskytovatel účastnických seznamů může opírat o souhlas se zpracováním údajů, který účastník poskytl za tímto účelem jinému poskytovateli nebo svému telekomunikačnímu operátorovi, musí mít účastník možnost obrátit se za účelem odvolání svého souhlasu na kteréhokoli z poskytovatelů účastnických seznamů nebo na tohoto operátora, aby dosáhl odstranění svých kontaktních údajů ze seznamů zveřejněných všemi, kteří se opírali o jeho jediný souhlas.

90

S ohledem na výše uvedené úvahy je třeba na třetí otázku odpovědět tak, že čl. 5 odst. 2 a článek 24 GDPR musí být vykládány v tom smyslu, že vnitrostátní dozorový úřad může požadovat, aby poskytovatel účastnických seznamů, jakožto správce, přijal vhodná technická a organizační opatření, aby informoval další správce, tedy telekomunikačního operátora, který mu sdělil osobní údaje svého účastníka, jakož i další poskytovatele účastnických seznamů, kterým takové údaje poskytl, o odvolání souhlasu tohoto účastníka.

Ke čtvrté otázce

91

Podstatou čtvrté otázky předkládajícího soudu je, zda čl. 17 odst. 2 GDPR musí být vykládán v tom smyslu, že brání tomu, aby vnitrostátní dozorový úřad nařídil poskytovateli účastnických seznamů, jehož účastník služeb telekomunikačního operátora požádal o to, aby již nezveřejňoval osobní údaje, které se jej týkají, přijmout „přiměřené kroky“ ve smyslu tohoto ustanovení za účelem informování provozovatelů vyhledávačů o této žádosti o výmaz údajů.

92

Za účelem odpovědi na tuto otázku je nutné připomenout, že čl. 17 odst. 2 GDPR ukládá správci, který zveřejnil osobní údaje, aby s ohledem na dostupnou technologii a náklady na provedení přijal přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.

93

Jak vyplývá z bodu 66 odůvodnění GDPR, cílem této povinnosti je posílení práva být zapomenut v on-line prostředí, a z tohoto důvodu se konkrétně týká informací zpřístupněných na internetu provozovateli vyhledávačů, kteří zpracovávají údaje zveřejněné on-line.

94

V projednávané věci je nesporné, že společnost Proximus ve svém účastnickém seznamu zveřejnila osobní údaje stěžovatele, a musí být proto považována za správce, který tyto údaje zveřejnil ve smyslu čl. 17 odst. 2 GDPR.

95

Kromě toho je třeba připomenout, že podle ustálené judikatury musí být činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí kvalifikována jako „zpracování“ osobních údajů ve smyslu článku 4 bodu 2 GDPR, pokud tyto informace obsahují osobní údaje, a že provozovatel tohoto vyhledávače musí být považován za „správce“ odpovědného za dané zpracování ve smyslu článku 4 bodu 7 tohoto nařízení a tedy i jeho čl. 17 odst. 2 [v tomto smyslu viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), C‑136/17, EU:C:2019:773, bod 35, jakož i citovaná judikatura].

96

Za takových okolností, jako jsou okolnosti věci v původním řízení, je proto třeba mít za to, že takový správce, jako je společnost Proximus, je na základě čl. 17 odst. 2 GDPR povinen dbát na přijetí přiměřených opatření za účelem informování provozovatelů vyhledávačů o žádosti, kterou mu zaslal účastník služeb telekomunikačního operátora, a jež se týká výmazu jeho osobních údajů. Jak však uvedl generální advokát v bodě 76 svého stanoviska, za účelem posouzení přiměřenosti opatření přijatých poskytovatelem účastnických seznamů čl. 17 odst. 2 GDPR stanoví, že musí být zohledněny dostupné technologie a náklady na provedení, a že toto posouzení je především věcí příslušného orgánu v této oblasti a může být předmětem soudního přezkumu.

97

V projednávané věci z písemných vyjádření předložených APD, která v tomto ohledu ostatní účastníci tohoto řízení nezpochybnili, vyplývá, že v průběhu druhého čtvrtletí roku 2020 byl počet provozovatelů vyhledávačů působících v Belgii omezený. Konkrétně podíl, který měla společnost Google na trhu, činil mezi 90 % u vyhledávání na stolních počítačích a 99 % u vyhledávání na chytrých telefonech a tabletech.

98

Kromě toho, jak bylo uvedeno v bodě 26 tohoto rozsudku, ze spisu, který má Soudní dvůr k dispozici, vyplývá, že společnost Proximus na žádost účastníka, aby jeho údaje nebyly uvedeny v účastnických seznamech tohoto poskytovatele, odpověděla, že nejenže tyto údaje odstranila z telefonních seznamů, jakož i informačních služeb o účastnických číslech, ale rovněž kontaktovala společnost Google, aby byly odstraněny příslušné odkazy na internetové stránky společnosti Proximus.

99

S ohledem na výše uvedené úvahy je třeba na čtvrtou otázku odpovědět tak, že čl. 17 odst. 2 GDPR musí být vykládán v tom smyslu, že nebrání tomu, aby vnitrostátní dozorový úřad nařídil poskytovateli účastnických seznamů, jehož účastník služeb telekomunikačního operátora požádal o to, aby již nezveřejňoval osobní údaje, které se jej týkají, přijmout „přiměřené kroky“ ve smyslu tohoto ustanovení za účelem informování provozovatelů vyhledávačů o této žádosti o výmaz údajů.

K nákladům řízení

100

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

1)

Článek 12 odst. 2 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací, ve znění směrnice Evropského parlamentu a Rady 2009/136/ES ze dne 25. listopadu 2009, ve spojení s čl. 2 druhým pododstavcem písm. f) této směrnice a článkem 95 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

2)

Článek 17 nařízení 2016/679

3)

Článek 5 odst. 2 a článek 24 nařízení 2016/679

4)

Článek 17 odst. 2 nařízení 2016/679