–

w imieniu Proximus NV – P. Craddock i T. de Haan, avocats, oraz E. Van Bogget, advocaat,

–

w imieniu Gegevensbeschermingsautoriteit – C. Buggenhoudt, E. Cloots i J. Roets, advocaten,

–

w imieniu rządu włoskiego – G. Palmieri, w charakterze pełnomocnika, którą wspierał E. De Bonis, avvocato dello Stato,

–

w imieniu rządu łotewskiego – E. Bārdiņš, J. Davidoviča i K. Pommere, w charakterze pełnomocników,

–

w imieniu rządu portugalskiego – P. Barros da Costa, L. Inez Fernandes, M.J. Ramos i C. Vieira Guerra, w charakterze pełnomocników,

–

w imieniu rządu rumuńskiego – E. Gane i L. Liţu, w charakterze pełnomocników,

–

w imieniu Komisji Europejskiej – L. Kalėda, H. Kranenborg i P.‑J. Loewenthal, w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 12 ust. 2 w związku z art. 2 akapit drugi lit. f) dyrektywy Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywy o prywatności i łączności elektronicznej) (Dz.U. 2002, L 201, s. 37), zmienionej dyrektywą 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. (Dz.U. 2009, L 337, s. 11) (zwanej dalej „dyrektywą 2002/58”), a także art. 5 ust. 2 oraz art. 17, 24 i 95 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).

2

Wniosek ten został złożony w ramach sporu pomiędzy Proximus NV, belgijską spółką akcyjną prawa publicznego, a Gegevensbeschermingsautoriteit (organem ochrony danych, Belgia) (zwanym dalej „OOD”) w przedmiocie decyzji, na mocy której Geschillenkamer van de Gegevensbeschermingsautoriteit (izba ds. rozstrzygania sporów przy OOD, zwana dalej „izbą ds. rozstrzygania sporów”) nałożyła na spółkę Proximus środki zaradcze oraz grzywnę w wysokości 20 000 EUR za naruszenie szeregu przepisów RODO.

Ramy prawne

Prawo Unii

Dyrektywa 95/46/WE

3

Artykuł 2 lit. h) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) stanowi:

Dyrektywa 2002/58

4

Motywy 10, 17, 38 i 39 dyrektywy 2002/58 mają następujące brzmienie:

5

Artykuł 1 tej dyrektywy stanowi:

6

Zgodnie z art. 2 akapit drugi lit. f) tej dyrektywy, zatytułowanym „Definicje”:

7

Artykuł 12 tej dyrektywy, zatytułowany „Spisy abonentów”, przewiduje:

RODO

8

Motywy 42, 66 i 173 RODO stanowią:

9

Artykuł 4 pkt 2, 7 i 11 tego rozporządzenia ma następujące brzmienie:

10

Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi:

11

Zgodnie z art. 6 RODO, zatytułowanym „Zgodność przetwarzania z prawem”:

12

Artykuł 7 RODO, zatytułowany „Warunki wyrażenia zgody”, przewiduje:

13

Artykuł 16 RODO, zatytułowany „Prawo do sprostowania danych”, stanowi:

14

Artykuł 17 RODO, zatytułowany „Prawo do usunięcia danych (»prawo do bycia zapomnianym«)”, brzmi następująco:

15

Artykuł 19 RODO, zatytułowany „Obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania”, przewiduje:

16

Zgodnie z art. 24 RODO, zatytułowanym „Obowiązki administratora”:

17

Artykuł 94 RODO, zatytułowany „Uchylenie dyrektywy 95/46/WE”, w ust. 2 stanowi:

18

Artykuł 95 RODO, zatytułowany „Stosunek do dyrektywy [2002/58]”, przewiduje:

Prawo belgijskie

19

Artykuł 133 wet betreffende de elektronische communicatie (ustawy o łączności elektronicznej) z dnia 13 czerwca 2005 r. (Belgisch Staatsblad z dnia 20 czerwca 2005 r., s. 28070), który zapewnia transpozycję art. 12 dyrektywy 2002/58 do prawa belgijskiego, ma następujące brzmienie:

20

Artykuł 45 ust. 2 tej ustawy zobowiązuje operatorów usług telefonicznych do udostępnienia danych dotyczących ich abonentów dostawcom publicznych spisów abonentów. Zgodnie z art. 45 ust. 3 tejże ustawy operatorzy ci wyodrębniają dane dotyczące abonentów, którzy zażądali nieumieszczania ich w spisie abonentów, tak aby abonenci ci mogli otrzymywać spis abonentów niezawierający ich danych.

Postępowanie główne i pytania prejudycjalne

21

Spółka Proximus, dostawca usług telekomunikacyjnych w Belgii, dostarcza również publicznie dostępne spisy abonentów i usługi biura numerów (zwane dalej „spisami abonentów” lub „spisami”), zgodnie z przepisami ustawy o łączności elektronicznej. Owe spisy abonentów zawierają nazwisko, adres i numer telefonu (zwane dalej „danymi kontaktowymi”) abonentów różnych dostawców publicznie dostępnych usług telefonicznych (zwanych dalej „operatorami”). Istnieją inne spisy abonentów, publikowane przez osoby trzecie.

22

Dane kontaktowe tych abonentów przekazywane są regularnie spółce Proximus przez operatorów z wyjątkiem danych kontaktowych abonentów, którzy wyrazili życzenie, aby nie umieszczano ich w spisach abonentów wydawanych przez spółkę Proximus. W Belgii rozróżnienie pomiędzy abonentami, którzy chcą być umieszczeni w spisie abonentów, a abonentami, którzy tego nie chcą, przekłada się w praktyce na nadanie kodu przy zarejestrowaniu każdego abonenta, mianowicie „NNNNN” dla abonentów, których dane kontaktowe mogą się pojawić, oraz „XXXXX” dla abonentów, których dane pozostają poufne. Otrzymane dane kontaktowe spółka Proximus przekazuje też innemu dostawcy spisów abonentów.

23

Składający skargę jest abonentem spółki Telenet, będącej operatorem świadczącym usług telefonicznych działającym na rynku belgijskim. Spółka Telenet nie dostarcza spisów abonentów, lecz przekazuje dane kontaktowe swoich abonentów dostawcom spisów abonentów, w szczególności spółce Proximus.

24

W dniu 13 stycznia 2019 r. abonent ten zażądał, aby spółka Proximus nie umieszczała jego danych kontaktowych w spisach abonentów publikowanych zarówno przez spółkę Proximus, jak i przez osoby trzecie. W następstwie tego żądania spółka Proximus zmieniła statut tego abonenta w swoim systemie informatycznym, aby dane kontaktowe tego abonenta nie były publicznie dostępne.

25

W dniu 31 stycznia 2019 r. spółka Proximus otrzymała od spółki Telenet okresową aktualizację tych danych. Aktualizacja ta zawierała nowe dane odnośnego abonenta, które nie zostały wskazane jako poufne. Informacje te zostały automatycznie przetworzone przez spółkę Proximus i zostały zarejestrowane, wobec czego ponownie zostały umieszczone w jej spisach abonentów.

26

W dniu 14 sierpnia 2019 r., stwierdziwszy, że jego numer telefonu został opublikowany w spisach abonentów publikowanych przez spółkę Proximus i osoby trzecie, odnośny abonent ponownie zwrócił się do spółki Proximus o niezamieszczenie tam jego danych. Tego samego dnia spółka Proximus odpowiedziała składającemu skargę, że wycofała jego dane ze spisów abonentów i skontaktowała się z firmą Google w celu usunięcia odpowiednich łączy do strony internetowej spółki Proximus. Spółka Proximus poinformowała również tego abonenta, że przekazała jego dane kontaktowe innym dostawcom spisów abonentów i że dzięki comiesięcznej aktualizacji dostawcy ci zostali poinformowani o żądaniu składającego skargę.

27

Jednocześnie wspomniany abonent złożył skargę do OOD przeciwko spółce Proximus, uzasadniając to tym, że pomimo złożonego przez niego żądania nieumieszczania jego danych w spisach abonentów jego numer telefonu pojawia się jednak w niektórych z tych spisów abonentów.

28

W dniu 5 września 2019 r. odnośny abonent i spółka Proximus dokonali jeszcze wymiany korespondencji w sprawie opublikowania danych tego abonenta w spisie abonentów wydawanym przez osobę trzecią. W tym kontekście spółka Proximus podkreśliła, że przekazuje dane kontaktowe swoich abonentów innym dostawcom spisów abonentów, ale nie ma żadnego wglądu w wewnętrzne procedury tych dostawców.

29

W dniu 30 lipca 2020 r. po przeprowadzeniu postępowania kontradyktoryjnego izba ds. rozstrzygania sporów wydała decyzję, w której nakazała spółce Proximus podjęcie środków naprawczych i nałożyła na nią karę w wysokości 20 000 EUR za naruszenie między innymi art. 6 RODO w związku z jego art. 7 oraz za naruszenie art. 5 ust. 2 tego rozporządzenia w związku z jego art. 24. W szczególności przede wszystkim nakazała spółce Proximus podjęcie odpowiednich i niezwłocznych działań w z związku z wycofaniem zgody przez odnośnego abonenta oraz zastosowanie się do żądań tego abonenta zmierzających do wykonania jego prawa usunięcia dotyczących go danych. Następnie nakazała ona Proximusowi podjęcie odpowiednich środków technicznych i organizacyjnych w celu zapewnienia, by dokonywane przez nią przetwarzanie danych osobowych było zgodne z przepisami RODO. Wreszcie, nakazała ona Proximusowi zaprzestanie przekazywania tych danych niezgodnie z prawem innym dostawcom spisów abonentów.

30

W dniu 28 sierpnia 2020 r. spółka Proximus wniosła skargę na tę decyzję do hof van beroep te Brussel (sądu apelacyjnego w Brukseli, Belgia).

31

Zdaniem spółki Proximus zgodnie z art. 45 ust. 3 ustawy o łączności elektronicznej zgoda abonenta nie jest wymagana, lecz abonenci sami powinni zażądać nieumieszczania ich w spisach, zgodnie z systemem zwanym „opt-out”. W braku takiego żądania odnośny abonent może rzeczywiście zostać umieszczony w tych spisach. Z tego względu zdaniem spółki Proximus żadna „zgoda” w rozumieniu dyrektywy 95/46 lub w rozumieniu RODO nie jest w niniejszym przypadku konieczna ze strony abonenta.

32

OOD, będący przeciwnego zdania, podniósł w istocie, że art. 12 ust. 2 dyrektywy 2002/58 i art. 133 ust. 1 ustawy o łączności elektronicznej wymagają „zgody abonentów” w rozumieniu RODO, aby dostawcy spisów abonentów mogli przetwarzać i przekazywać ich dane osobowe.

33

Sąd odsyłający uważa, że dyrektywa 2002/58 stanowi lex specialis w stosunku do RODO, co potwierdzają motyw 173 i art. 95 RODO. W konsekwencji w sytuacjach, w których dyrektywa 2002/58 uściśla uregulowania RODO, przepisy szczególne tej dyrektywy mają pierwszeństwo jako lex specialis przed bardziej ogólnymi przepisami RODO.

34

W tym kontekście sąd odsyłający zauważa, że chociaż art. 12 ust. 2 dyrektywy 2002/58 i art. 133 ust. 1 ustawy o łączności elektronicznej wymagają wyrażenia woli abonentów, aby dostawcy spisów mogli przetwarzać ich dane osobowe, to nie precyzują one, czy to wyrażenie woli powinno przekładać się na wykonanie prawa wyboru, jak utrzymuje spółka Proximus, czy też na okazanie prawdziwej zgody w rozumieniu RODO, jak wskazuje OOD. W tej kwestii sąd odsyłający podkreśla, że w orzecznictwie Trybunału, a w szczególności w wyroku z dnia 5 maja 2011 r., Deutsche Telekom (C‑543/09, EU:C:2011:279 pkt 61), ustalono, że jak wynika z wykładni kontekstualnej i systemowej art. 12 dyrektywy 2002/58, odnośne wyrażenie woli odpowiada „zgodzie” odnoszącej się do celu opublikowania danych osobowych w spisie publicznym, nie zaś do tożsamości konkretnego dostawcy spisu abonentów.

35

Ponadto, zważywszy, że ani w dyrektywie 2002/58, ani w ustawie o łączności elektronicznej, ani w rozporządzeniu wykonawczym nie ustanowiono żadnego szczególnego systemu dotyczącego wycofania przez abonenta tego wyrażenia woli lub tej „zgody”, sąd odsyłający zastanawia się, czy wszystkie przepisy RODO powinny być stosowane automatycznie i bez ograniczeń również w szczególnym kontekście spisów telefonicznych.

36

W tej sytuacji hof van beroep te Brussel (sąd apelacyjny w Brukseli, Belgia) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

W przedmiocie pytań prejudycjalnych

W przedmiocie pytania pierwszego

37

Proximus podnosi, że sprawa w postępowaniu głównym nie dotyczy opublikowania przez operatora usług telefonicznych spisów abonentów zawierających dane osobowe, w związku z czym pierwsze pytanie prejudycjalne należy uznać za niedopuszczalne w zakresie, w jakim dotyczy ono takiego przypadku.

38

Zgodnie z utrwalonym orzecznictwem pytania dotyczące wykładni prawa Unii, z którymi zwrócił się sąd krajowy w ramach stanu prawnego i faktycznego, za którego ustalenie jest on odpowiedzialny, czego prawidłowość nie podlega ocenie Trybunału, korzystają z domniemania, iż mają one znaczenie dla sprawy. Odmowa wydania przez Trybunał orzeczenia w przedmiocie złożonego przez sąd krajowy wniosku o wydanie orzeczenia w trybie prejudycjalnym jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą wniesiono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem postępowania głównego, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego niezbędnymi do udzielenia użytecznej odpowiedzi na postawione mu pytania (wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, pkt 48 i przytoczone tam orzecznictwo).

39

W niniejszym przypadku spór w postępowaniu głównym toczy się wyłącznie pomiędzy osobą fizyczną i spółką, która nie jest jej operatorem usług telefonicznych, w przedmiocie sposobu, w jaki owa spółka przetwarzała dane osobowe tej osoby w związku z publikowaniem spisów abonentów. Jak z tego wynika, pytanie pierwsze jest niedopuszczalne w zakresie, w jakim zmierza do dokonania wykładni wymogów wynikających z art. 12 ust. 2 dyrektywy 2002/58 w odniesieniu do sytuacji, gdy to sam operator usług telefonicznych tej osoby publikuje jej dane osobowe w spisach abonentów.

40

Z powyższego wynika, że poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 12 ust. 2 dyrektywy 2002/58 w związku z art. 2 akapit drugi lit. f) tej dyrektywy i art. 95 RODO należy interpretować w ten sposób, że wymagana jest „zgoda”, w rozumieniu art. 4 pkt 11 RODO, abonenta operatora usług telefonicznych, aby dane osobowe tego abonenta zostały umieszczone w spisach abonentów publikowanych przez dostawców innych niż ten operator.

41

Aby udzielić odpowiedzi na to pytanie, należy przypomnieć, że zgodnie ze swym brzmieniem art. 1 ust. 1 dyrektywy 2002/58 przewiduje w szczególności harmonizację przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej.

42

W tym względzie należy przypomnieć, że z art. 12 ust. 1 tej dyrektywy, a także z jej motywu 38 wynika, iż przed umieszczeniem ich danych w spisach publicznych abonenci zostają poinformowani o celach, w jakich te spisy są tworzone, oraz o wszelkich specyficznych możliwościach ich wykorzystania, w szczególności przy użyciu funkcji wyszukiwania znajdującej się w wersji elektronicznej spisu.

43

Jeśli chodzi o obowiązek uprzedniego poinformowania abonentów wynikający z art. 12 ust. 1 wspomnianej dyrektywy, motyw 39 tejże dyrektywy wskazuje, że „[w] przypadku, gdy dane [osobowe] będą mogły być przekazywane jednej lub więcej osób trzecich, abonent powinien zostać poinformowany o takiej możliwości oraz o odbiorcy lub kategoriach możliwych odbiorców”.

44

Po otrzymaniu informacji, o których mowa w art. 12 ust. 1 dyrektywy 2002/58, abonent może, jak wynika z ust. 2 tego artykułu, zadecydować wyłącznie o tym, czy jego dane osobowe powinny znaleźć się w publicznym spisie abonentów, a jeśli tak, to które z nich.

45

Jak orzekł już Trybunał, takie uprzednie poinformowanie pozwala danemu abonentowi na wyrażenie zgody na opublikowanie dotyczących go danych osobowych w publicznych spisach abonentów, która to zgoda jest konieczna do celów takiej publikacji (zob. podobnie wyrok z dnia 5 maja 2011 r., Deutsche Telekom, C‑543/09, EU:C:2011:279, pkt 54–58).

46

Wymóg uzyskania zgody odnośnego abonenta na opublikowanie tych danych w spisach abonentów został potwierdzony w art. 12 ust. 3 dyrektywy 2002/58, zgodnie z którym państwa członkowskie mogą wymagać, aby dla jakiegokolwiek celu publicznego spisu abonentów innego niż przeszukiwanie danych kontaktowych osoby na podstawie jej nazwiska „wymagana była dodatkowa zgoda abonentów”.

47

Jednakże, jak wyjaśnił Trybunał, z wykładni kontekstualnej i systemowej art. 12 dyrektywy 2002/58 wynika, że zgoda w rozumieniu art. 12 ust. 2 tej dyrektywy odnosi się do celu publikacji danych osobowych w publicznym spisie abonentów, nie zaś do tożsamości konkretnego dostawcy spisu. Zatem jeśli abonent ten zgodził się na to, aby jego dane zostały opublikowane w jednym spisie mającym szczególne przeznaczenie, nie będzie miał na ogół powodu, aby sprzeciwić się opublikowaniu tych samych danych w innym podobnym spisie (wyrok z dnia 5 maja 2011 r., Deutsche Telekom, C‑543/09, EU:C:2011:279, pkt 61, 62).

48

W tym względzie motyw 39 tej dyrektywy potwierdza, że przekazanie danych osobowych osobom trzecim jest dozwolone „pod warunkiem, że dane nie zostaną wykorzystane do celów innych niż cele, dla których zostały zebrane”.

49

Z powyższego wynika, że jeśli abonent został poinformowany przez operatora usług telefonicznych, takiego jak spółka Telenet, o możliwości przekazania jego danych osobowych przedsiębiorstwu trzeciemu, takiemu jak spółka Proximus lub inna osoba trzecia, w celu ich opublikowania w publicznym spisie abonentów, i jeśli abonent ten wyraził on zgodę na opublikowanie tych danych w takim spisie, przekazanie przez tego operatora lub przez to przedsiębiorstwo tych samych danych innemu przedsiębiorstwu w celu ich opublikowania w drukowanym lub elektronicznym publicznym spisie abonentów lub umożliwienia uzyskiwania dostępu do takiego spisu za pośrednictwem usług biura numerów nie musi być ponownie przedmiotem zgody wspomnianego abonenta pod warunkiem, że dane, o których mowa, nie zostaną wykorzystane do celów innych niż te, dla których zostały zebrane w związku z ich pierwszym opublikowaniem. Zgoda należycie poinformowanego abonenta na opublikowanie jego danych osobowych, o której mowa w art. 12 ust. 2 dyrektywy 2002/58, dotyczy bowiem celu tego opublikowania i obejmuje wszelkie późniejsze przetwarzanie tych danych przez przedsiębiorstwa trzecie działające na rynku publicznie dostępnych usług biura numerów i spisu abonentów, o ile przetwarzanie to służy temu samemu celowi (wyrok z dnia 5 maja 2011 r., Deutsche Telekom, C‑543/09, EU:C:2011:279, pkt 65).

50

Natomiast, jak stanowi motyw 39 tej dyrektywy, jeżeli strona, która zebrała dane od abonenta lub strona trzecia, której dane zostały przekazane, zamierza wykorzystać je w innym celu, ponowna zgoda abonenta musi być uzyskana przez stronę zbierającą dane lub przez stronę trzecią, której dane zostały przekazane.

51

Co się tyczy sposobów wyrażenia takiej zgody, z art. 2 akapit drugi lit. f) dyrektywy 2002/58 w związku z art. 94 ust. 2 i art. 95 RODO wynika, że zgoda ta powinna co do zasady spełniać wymogi wynikające z art. 4 pkt 11 tego rozporządzenia.

52

W niniejszym przypadku art. 4 pkt 11 RODO, będący przepisem mającym zastosowanie do okoliczności faktycznych rozpatrywanych w postępowaniu głównym, definiuje „zgodę osoby, której dane dotyczą”, w ten sposób, że wymaga ona „dobrowolne[go], konkretne[go], świadome[go] i jednoznaczne[go]” okazania woli osoby, której dane dotyczą, mającego formę oświadczenia lub „wyraźnego działania potwierdzającego” wyrażającego jej przyzwolenie na przetwarzanie dotyczących jej danych osobowych.

53

Jak z tego wynika, taka zgoda jest niezbędna, aby dane osobowe dotyczące abonenta operatora usług telefonicznych mogły zostać umieszczone w spisach abonentów.

54

W konsekwencji opublikowanie danych osobowych dotyczących danego abonenta w spisach abonentów, takich jak spisy wydawane przez spółkę Proximus lub przez innych dostawców, można uznać za zgodne z prawem w rozumieniu art. 6 ust. 1 lit. a) RODO jedynie w przypadku istnienia takiej zgody, wyraźnie udzielonej operatorowi usług telefonicznych lub jednemu z tych dostawców spisów abonentów.

55

Niemniej jednak, jak przypomniano w pkt 49 niniejszego wyroku, zgoda taka nie zakłada, że w dniu jej udzielenia osoba, której dane dotyczą, musi znać tożsamość wszystkich dostawców spisów abonentów, którzy będą przetwarzać jej dane osobowe.

56

W świetle powyższych rozważań na pytanie pierwsze trzeba odpowiedzieć, iż art. 12 ust. 2 dyrektywy 2002/58 w związku z art. 2 akapit drugi lit. f) tej dyrektywy i z art. 95 RODO należy interpretować w ten sposób, że wymagana jest „zgoda”, w rozumieniu art. 4 pkt 11 RODO, abonenta operatora usług telefonicznych, aby dane osobowe tego abonenta zostały umieszczone w spisach abonentów publikowanych przez dostawców innych niż ten operator, przy czym zgoda ta może zostać udzielona bądź wspomnianemu operatorowi, bądź jednemu z tych dostawców.

W przedmiocie pytania drugiego

57

Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy art. 17 RODO należy interpretować w ten sposób, że złożone przez abonenta żądanie wycofania jego danych ze spisów abonentów stanowi skorzystanie z „prawa do usunięcia danych” w rozumieniu tego artykułu.

58

Należy przede wszystkim zauważyć, że spółka Proximus podnosi, iż art. 17 RODO nie ma zastosowania do dostawcy spisów abonentów, który tak jak w niniejszym przypadku nie jest operatorem usług telefonicznych tego abonenta, oraz że żądanie takie jak wspomniane w poprzednim punkcie niniejszego wyroku należy co najwyżej uznać za żądanie sprostowania danych w rozumieniu art. 16 tego rozporządzenia, w związku z czym drugie pytanie prejudycjalne jest niedopuszczalne, ponieważ jest nieistotne dla sprawy w postępowaniu głównym.

59

Jednakże argumenty przedstawione przez ową stronę dotyczą w istocie zakresu stosowania i znaczenia, a tym samym wykładni przepisów prawa Unii, których dotyczy pytanie drugie. Tego rodzaju argumenty, dotyczące istoty postawionego pytania, nie mogą zatem, z natury rzeczy, prowadzić do jego niedopuszczalności (wyrok z dnia 13 stycznia 2022 r., Minister Sprawiedliwości, C‑55/20, EU:C:2022:6, pkt 83).

60

Wobec powyższego drugie pytanie prejudycjalne jest dopuszczalne.

61

W pierwszej kolejności należy podkreślić, że zgodnie z art. 12 ust. 2 zdanie drugie dyrektywy 2002/58 abonenci powinni mieć w szczególności możliwość wycofania swoich danych osobowych z publicznych spisów abonentów.

62

Jednakże przyznanie takiej możliwości abonentom nie stanowi dla dostawców spisów abonentów szczególnego obowiązku, w rozumieniu art. 95 RODO, który pozwalałby na wyłączenie stosowania właściwych przepisów tego rozporządzenia. Jak wskazał w istocie rzecznik generalny w pkt 54 opinii, dyrektywa 2002/58 nie zawiera żadnych wskazówek odnośnie do trybu składania, sposobu wykonania i konsekwencji żądań zmierzających do uzyskania „wycofania” danych osobowych. Z tego względu, jak wynika ponadto z motywu 10 tej dyrektywy w związku z art. 94 tego rozporządzenia, przepisy RODO mogą być stosowane w takim przypadku.

63

W drugiej kolejności z art. 17 ust. 1 lit. b) i d) RODO wynika, że osoba, której dane dotyczą, ma prawo do uzyskania od administratora danych usunięcia dotyczących jej danych osobowych i że administrator jest zobowiązany do usunięcia tych danych niezwłocznie, w szczególności wówczas, gdy osoba, której dane dotyczą, „cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) […], i nie ma innej podstawy prawnej przetwarzania” lub też gdy „dane osobowe były przetwarzane niezgodnie z prawem”.

64

W tym względzie, po pierwsze, z odpowiedzi udzielonej na pierwsze pytanie prejudycjalne wynika, że opublikowanie danych osobowych abonenta w spisach abonentów opiera się na zgodzie tego abonenta.

65

Po drugie, z art. 6 ust. 1 lit. a) i z art. 7 ust. 3 RODO wynika, że taka zgoda stanowi jeden z niezbędnych warunków pozwalających na stwierdzenie zgodności z prawem przetwarzania danych osobowych danego abonenta i że zgoda ta może zostać cofnięta w każdej chwili i na zasadach, które są równie łatwe jak te, które umożliwiły osobie, której dane dotyczą, wyrażenie takiej zgody.

66

W niniejszym przypadku, gdy abonent żąda, aby jego dane nie były już zawarte w spisie abonentów, wycofuje on swoją zgodę na opublikowanie tych danych. Na podstawie wycofania swojej zgody uzyskuje on, wobec braku innej podstawy prawnej takiego przetwarzania, prawo do żądania usunięcia jego danych osobowych z tego spisu abonentów na podstawie art. 17 ust. 1 lit. b) RODO lub, w przypadku gdy administrator nadal publikuje wspomniane dane w sposób niezgodny z prawem, na podstawie art. 17 ust. 1 lit. d) tego rozporządzenia.

67

W tej sytuacji należy uznać, że żądanie abonenta zmierzające do wycofania jego danych osobowych ze spisów abonentów można uznać za skorzystanie z „prawa do usunięcia” wspomnianych danych w rozumieniu art. 17 RODO.

68

Wniosku tego nie może podważyć podniesiony przez spółkę Proximus argument, zgodnie z którym takie żądanie należy uznać za zmierzające do umożliwienia temu abonentowi skorzystania z przysługującego mu prawa do uzyskania od administratora sprostowania dotyczących go danych osobowych na podstawie art. 16 RODO. Zgodnie bowiem z tym przepisem takie sprostowanie jest możliwe, gdy dane te są nieprawdziwe, i ma na celu umożliwienie osobie, której dane dotyczą, uzyskania ich uzupełnienia.

69

W niniejszym zaś przypadku żądanie wycofania danych abonenta znajdujących się w spisie abonentów nie zmierza do zastąpienia nieprawidłowych danych danymi prawidłowymi ani do uzupełnienia niekompletnych danych, lecz do wycofania publikacji prawidłowych danych.

70

Okoliczność, że takie wycofanie przekłada się w niniejszym przypadku na zwykłą zmianę kodu przypisanego danemu abonentowi w bazie danych spółki Proximus, na podstawie której dane osobowe tego abonenta są publikowane w spisach abonentów, nie może stać na przeszkodzie temu, by żądanie usunięcia danych osobowych zawartych w tych spisach zostało uznane za „żądanie usunięcia danych” w rozumieniu art. 17 RODO. Jak bowiem wynika z akt sprawy przedłożonych Trybunałowi, przewidziany przez wspomnianego operatora sposób wycofania danych stanowi środek o charakterze czysto technicznym lub organizacyjnym, który okazuje się konieczny do uwzględnienia żądania usunięcia danych osobowych osoby, której one dotyczą, i uniemożliwienia ujawniania tych danych.

71

W świetle powyższych rozważań na pytanie drugie trzeba odpowiedzieć, iż art. 17 RODO należy interpretować w ten sposób, że złożone przez abonenta żądanie wycofania jego danych osobowych ze spisów abonentów stanowi skorzystanie z „prawa do usunięcia danych” w rozumieniu tego artykułu.

W przedmiocie pytania trzeciego

72

Poprzez pytanie trzecie sąd odsyłający dąży w istocie do ustalenia, czy art. 5 ust. 2 i art. 24 RODO należy interpretować w ten sposób, że krajowy organ nadzorczy może wymagać, aby dostawca spisów abonentów, jako administrator, podjął odpowiednie środki techniczne i organizacyjne w celu poinformowania administratorów będących osobami trzecimi, mianowicie operatora usług telefonicznych, który przekazał mu dane osobowe swojego abonenta, a także innych dostawców spisu abonentów, którym sam dostarczył takie dane, o wycofaniu zgody tego abonenta.

73

Na wstępie należy zauważyć, że w niniejszym przypadku spółka Proximus przetwarzała dane osobowe składającego skargę, publikując je i przekazując je innym dostawcom spisów abonentów. Spółka Telenet, będąca jego operatorem usług telefonicznych, również przetwarzała te dane, w szczególności przekazując je spółce Proximus. To samo dotyczy innych dostawców spisów abonentów, którym spółka Proximus przekazała dane kontaktowe składającego skargę i którzy je opublikowali.

74

Ponadto należy wskazać, po pierwsze, że jak przypomniano w pkt 20 niniejszego wyroku, chociaż ustawa o łączności elektronicznej nakłada na operatorów usług telefonicznych obowiązek przekazania danych dotyczących ich abonentów dostawcom publicznych spisów abonentów, to jednak operatorzy ci muszą wyodrębnić dane dotyczące abonentów, którzy zażądali nieumieszczania ich w spisie abonentów, tak aby abonenci ci mogli otrzymać kopię tego spisu niezawierającą ich danych.

75

Z akt sprawy przedłożonych Trybunałowi wynika, że w praktyce to wobec swojego operatora usług telefonicznych abonent na ogół wyraża zgodę na to, aby jego dane osobowe były publikowane w spisie abonentów, która to zgoda pozwala na przekazanie tych danych osobie trzeciej będącej dostawcą spisów abonentów. Dostawca ten może z kolei przekazać takie dane innym dostawcom spisów abonentów na podstawie tej samej zgody, którzy to administratorzy stanowią zatem łańcuch, gdyż każdy kolejno przetwarza rzeczone dane, w sposób niezależny, na podstawie jednej i tej samej zgody.

76

Po drugie, z akt sprawy przedłożonych Trybunałowi wynika również, że aktualizacja bazy danych spółki Proximus mająca umożliwić wycofanie zgody składającego skargę została usunięta, gdy jego operator usług telefonicznych przekazał spółce Proximus nową listę danych dotyczących swoich abonentów w celu ich opublikowania w spisach abonentów, która nie uwzględniała wycofania zgody składającego skargę dokonanego wobec spółki Proximus.

77

W tym kontekście powstaje zatem pytanie, czy dostawca spisów abonentów, taki jak Proximus, gdy abonent operatora usług telefonicznych wycofuje swoją zgodę na bycie umieszczonym w spisach tego dostawcy, powinien nie tylko zaktualizować własną bazę danych w celu uwzględnienia tego wycofania, lecz musi również poinformować o owym wycofaniu operatora usług telefonicznych, który przekazał mu te dane, jak również innych dostawców spisów abonentów, którym sam przekazał takie dane.

78

W pierwszej kolejności należy przypomnieć, że art. 6 ust. 1 lit. a) RODO przewiduje, iż przetwarzanie jest zgodne z prawem, jeżeli – i w takim zakresie, w jakim – osoba, której dane dotyczą, zgodziła się na przetwarzanie swoich danych w jednym określonym celu lub w większej liczbie takich określonych celów. Z postanowienia odsyłającego wynika zaś, że składający skargę wycofał swoją zgodę, w rozumieniu art. 7 ust. 3 RODO, na przetwarzanie jego danych osobowych w celu ich publikowania w spisach abonentów. W następstwie takiego wycofania przetwarzanie tych danych w celu wpisania ich w publicznych spisach abonentów, w tym przetwarzanie danych dokonywane w tym samym celu przez operatorów usług telefonicznych lub przez innych dostawców spisów abonentów, którzy opierają się na tej samej zgodzie, nie ma już podstawy prawnej, a zatem jest niezgodne z prawem w świetle art. 6 ust. 1 lit. a) wspomnianego rozporządzenia.

79

W drugiej kolejności należy przypomnieć, że zgodnie z art. 5 ust. 1 lit. a) i ust. 2 RODO administrator powinien upewnić się, że jest w stanie wykazać, iż dane osobowe są przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

80

Co się tyczy art. 24 RODO, wymaga on, aby uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze, administrator wdrożył odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z tym rozporządzeniem i aby móc to wykazać.

81

Jak wskazał rzecznik generalny w pkt 67 opinii, w art. 5 ust. 2 i art. 24 RODO nałożono na administratorów danych osobowych ogólne wymogi dotyczące rozliczalności i przestrzegania przepisów. W szczególności przepisy te wymagają od administratorów wprowadzenia odpowiednich środków mających na celu zapobieżenie ewentualnym naruszeniom uregulowań przewidzianych w RODO w celu zapewnienia prawa do ochrony danych.

82

W tym kontekście art. 19 RODO przewiduje w szczególności, że administrator informuje każdego odbiorcę, któremu ujawniono dane osobowe, o usunięciu danych osobowych dokonanym zgodnie z art. 17 ust. 1, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku.

83

Z obowiązków ogólnych przewidzianych w art. 5 ust. 2 i w art. 24 RODO w związku z art. 19 tego rozporządzenia wynika zaś, że administrator danych osobowych, taki jak Proximus, powinien zastosować odpowiednie środki techniczne i organizacyjne, aby poinformować innych dostawców spisów, którym dostarczył takie dane, o skierowanym do niego wycofaniu zgody osoby, której dane te dotyczą. W okolicznościach takich jak wskazane w pkt 76 niniejszego wyroku taki administrator powinien również zapewnić poinformowanie operatora usług telefonicznych, który przekazał mu te dane osobowe, tak aby ten ostatni dostosował listę danych osobowych, którą przekazuje automatycznie temu dostawcy spisów abonentów i wyodrębnił dane jego abonentów, którzy wyrazili wolę wycofania swojej zgody na publikowanie tych danych.

84

Jeżeli bowiem, tak jak w niniejszym przypadku, różni administratorzy opierają się na jednokrotnej zgodzie osoby, której dane dotyczą, na przetwarzanie jej danych osobowych w tym samym celu, wówczas po to, aby osoba ta wycofała taką zgodę, wystarczy, że zwróci się ona do któregokolwiek z administratorów działających w oparciu o tę samą zgodę.

85

Jak słusznie podnosi Komisja, w celu zagwarantowania skuteczności prawa do wycofania zgody przewidzianego w art. 7 ust. 3 RODO i zapewnienia, by zgoda osoby, której dane dotyczą, była ściśle związana z celem, dla którego została ona udzielona, administrator, wobec którego osoba, której dane dotyczą, wycofała zgodę na przetwarzanie jej danych osobowych, jest rzeczywiście zobowiązany do poinformowania o tym wycofaniu wszystkich osób, które przekazały mu te dane, a także osób, którym on z kolei przekazał wspomniane dane. Poinformowani w ten sposób administratorzy mają z kolei obowiązek przekazać te informacje innym administratorom, którym przekazali takie dane.

86

W tym względzie należy przede wszystkim wskazać, że taki obowiązek poinformowania ma na celu zapobieżenie wszelkim ewentualnym naruszeniom uregulowań przewidzianych w RODO w celu zapewnienia prawa do ochrony danych i wpisuje się tym samym w ramy odpowiednich środków w rozumieniu art. 24 tego rozporządzenia. Ponadto, jak podkreślił rzecznik generalny w pkt 68 opinii, wpisuje się on również w ramy wymogu przewidzianego w art. 12 ust. 2 tego rozporządzenia, zgodnie z którym administrator ma obowiązek ułatwiania osobom, których dane dotyczą, wykonywania praw przysługujących im w szczególności na mocy art. 17 wspomnianego rozporządzenia.

87

Następnie należy stwierdzić, że brak takiego obowiązku poinformowania, spoczywającego na administratorze, dotyczącego wycofania zgody osoby, której dane dotyczą, może uczynić wycofanie zgody szczególnie trudnym, ponieważ osoba ta mogłaby czuć się zobowiązana do zwrócenia się do każdego z tych podmiotów. Takie podejście jest więc sprzeczne z art. 7 ust. 3 RODO, zgodnie z którym wycofanie zgody na przetwarzanie danych osobowych musi być równie łatwe jak jej wyrażenie.

88

Wreszcie, zgodnie z orzecznictwem przywołanym w pkt 49 niniejszego wyroku zgoda należycie poinformowanego abonenta na opublikowanie jego danych osobowych, o której mowa w art. 12 ust. 2 dyrektywy 2002/58, dotyczy bowiem celu tego opublikowania i obejmuje wszelkie późniejsze przetwarzanie tych danych przez przedsiębiorstwa trzecie działające na rynku spisów abonentów, o ile przetwarzanie to służy temu samemu celowi.

89

Z powyższego wynika, że jak wskazał rzecznik generalny w pkt 68 opinii, skoro dostawca spisów abonentów może się powołać na zgodę na przetwarzanie danych wyrażoną przez abonenta wobec innego dostawcy lub wobec swojego operatora usług telefonicznych, to abonent, w celu wycofania swojej zgody, powinien móc zwrócić się do dowolnego dostawcy spisów abonentów lub do tego operatora w celu uzyskania wycofania swoich danych kontaktowych ze spisów abonentów publikowanych przez wszystkie osoby powołujące się na jednokrotne wyrażenie jego zgody.

90

W świetle powyższych rozważań na pytanie trzecie trzeba odpowiedzieć, że art. 5 ust. 2 i art. 24 RODO należy interpretować w ten sposób, że krajowy organ nadzorczy może wymagać, aby dostawca spisów abonentów, jako administrator, podjął odpowiednie środki techniczne i organizacyjne w celu poinformowania administratorów będących osobami trzecimi, mianowicie operatora usług telefonicznych, który przekazał mu dane osobowe swojego abonenta, a także innych dostawców spisu abonentów, którym dostarczył takie dane, o wycofaniu zgody tego abonenta.

W przedmiocie pytania czwartego

91

Poprzez pytanie czwarte sąd odsyłający dąży w istocie do ustalenia, czy art. 17 ust. 2 RODO należy interpretować w ten sposób, że sprzeciwia się on temu, aby krajowy organ nadzorczy nakazał dostawcy spisu abonentów, od którego abonent operatora usług telefonicznych zażądał zaprzestania publikowania dotyczących go danych osobowych, aby podjął on rozsądne działania służące poinformowaniu dostawców wyszukiwarek internetowych o tym żądaniu usunięcia danych.

92

Aby odpowiedzieć na to pytanie, należy przypomnieć, że art. 17 ust. 2 RODO zobowiązuje administratora, który upublicznił dane osobowe, aby – biorąc pod uwagę dostępną technologię i koszt realizacji – podjął rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.

93

Jak wynika z motywu 66 RODO, celem tego obowiązku jest wzmocnienie prawa do bycia zapomnianym w środowisku internetowym i z tego względu odnosi się on w szczególny sposób do informacji udostępnianych w internecie przez dostawców wyszukiwarek, którzy przetwarzają dane opublikowane internetowo.

94

W niniejszym przypadku bezsporne jest, że spółka Proximus opublikowała w swoim spisie abonentów dane osobowe składającego skargę i że w związku z tym spółkę tę należy uznać za administratora, który upublicznił takie dane, w rozumieniu art. 17 ust. 2 RODO.

95

Ponadto należy przypomnieć, po pierwsze, że zgodnie z utrwalonym orzecznictwem działanie wyszukiwarek internetowych, które polega na lokalizowaniu informacji opublikowanych lub zamieszczonych w internecie przez osoby trzecie, indeksowaniu ich w sposób automatyczny, czasowym przechowywaniu takich informacji i, wreszcie, udostępnianiu ich internautom w sposób uporządkowany zgodnie z określonymi preferencjami, należy uznać za „przetwarzanie” danych osobowych w rozumieniu art. 4 pkt 2 RODO, jeżeli informacje te zawierają dane osobowe, oraz, po drugie, że operatora tej wyszukiwarki internetowej należy uznać za „administratora” odpowiedzialnego za to przetwarzanie danych w rozumieniu art. 4 pkt 7 wspomnianego rozporządzenia, a zatem również w rozumieniu art. 17 ust. 2 tegoż rozporządzenia [zob. podobnie wyrok z dnia 24 września 2019 r., GC i in. (Usunięcie linków do danych wrażliwych), C‑136/17, EU:C:2019:773, pkt 35 i przytoczone tam orzecznictwo].

96

W związku z tym w okolicznościach takich jak rozpatrywane w postępowaniu głównym należy uznać, że administrator danych taki jak Proximus jest zobowiązany na mocy art. 17 ust. 2 RODO do zapewnienia podjęcia rozsądnych działań, by poinformować dostawców wyszukiwarek internetowych o skierowanym do niego przez abonenta operatora usług telefonicznych żądaniu usunięcia jego danych osobowych. Niemniej jednak, jak wskazał rzecznik generalny w pkt 76 opinii, art. 17 ust. 2 RODO stanowi, że przy ustalaniu, czy działania podjęte przez dostawcę spisów abonentów są rozsądne, pod uwagę bierze się dostępną technologię i koszt realizacji; dokonanie oceny w tym zakresie należy przede wszystkim do kompetencji organu właściwego w tej dziedzinie, przy czym podjęta przez ów organ decyzja podlega kontroli sądowej.

97

W niniejszym przypadku z uwag na piśmie złożonych przez OOD, które nie zostały zakwestionowane w tym zakresie przez pozostałe strony niniejszego postępowania, wynika, że w drugim kwartale 2020 r. liczba dostawców wyszukiwarek internetowych działających w Belgii była ograniczona. W szczególności firma Google posiadała udział w rynku wynoszący 90%, jeśli chodzi o wyszukiwania dokonane na komputerach stacjonarnych, i 99%, jeśli chodzi o wyszukiwania dokonane na smartfonach i tabletach.

98

Ponadto, jak wskazano w pkt 26 niniejszego wyroku, z akt sprawy przedłożonych Trybunałowi wynika, że w następstwie żądania abonenta dotyczącego nieumieszczania jego danych w spisach tego dostawcy spółka Proximus odpowiedziała, że nie tylko usunęła te dane ze spisów abonentów, a także z usług biura numerów, lecz również skontaktowała się z firmą Google w celu usunięcia odpowiednich łączy do strony internetowej spółki Proximus.

99

W świetle powyższych rozważań na pytanie czwarte trzeba odpowiedzieć, iż art. 17 ust. 2 RODO należy interpretować w ten sposób, że nie sprzeciwia się on temu, aby krajowy organ nadzorczy nakazał dostawcy spisów abonentów, od którego abonent operatora usług telefonicznych zażądał zaprzestania publikowania dotyczących go danych osobowych, aby podjął on „rozsądne działania”, w rozumieniu tego przepisu, służące poinformowaniu dostawców wyszukiwarek internetowych o tym żądaniu usunięcia danych.

W przedmiocie kosztów

100

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

1)

Artykuł 12 ust. 2 dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej, zmienionej dyrektywą 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r., w związku z art. 2 akapit drugi lit. f) tej dyrektywy i art. 95 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

2)

Artykuł 17 rozporządzenia 2016/679

3)

Artykuł 5 ust. 2 i art. 24 rozporządzenia 2016/679

4)

Artykuł 17 ust. 2 rozporządzenia 2016/679