62021CC0579
CONCLUZIILE AVOCATULUI GENERAL
MANUEL CAMPOS SANCHEZ‑BORDONA
prezentate la 15 decembrie 2022 (
1
)
Cauza C‑579/21
J. M.
intervenienți:
Apulaistietosuojavaltuutettu,
Pankki S
[cerere de decizie preliminară formulată de Itä‑Suomen hallinto‑oikeus (Tribunalul Administrativ al Finlandei Orientale, Finlanda)]
„Trimitere preliminară – Prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Date conținute într‑o evidență a operațiunilor – Drept de acces – Noțiunea de date cu caracter personal – Noțiunea de destinatar – Personal care se află în serviciul operatorului”
1.
Un angajat care are și calitatea de client al unei instituții financiare i‑a solicitat acesteia să i se comunice identitatea persoanelor care i‑au consultat datele sale cu caracter personal în contextul unei anchete interne. Ca urmare a refuzului instituției financiare de a‑i furniza informațiile respective, angajatul a apelat la căile de atac corespunzătoare, litigiul aflându‑se în prezent pe rolul Itä‑Suomen hallinto‑oikeus (Tribunalul Administrativ al Finlandei Orientale, Finlanda).
2.
Instanța respectivă a sesizat Curtea cu o cerere de decizie preliminară privind interpretarea Regulamentului (UE) 2016/679 (
2
). Pentru a răspunde la această cerere, Curtea va trebui să se pronunțe cu privire la dreptul de acces al persoanei vizate la anumite informații referitoare la prelucrarea datelor sale cu caracter personal.
I. Cadrul normativ
A.
Dreptul Uniunii. RGPD
3.
Potrivit considerentului (11):
„Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele de protecție a datelor cu caracter personal și sancțiuni echivalente pentru infracțiuni în statele membre.”
4.
Articolul 4 („Definiții”) prevede:
„În sensul prezentului regulament:
1.
«date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
2.
«prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
[…]
9.
«destinatar» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță […]”
5.
Articolul 15 („Dreptul de acces al persoanei vizate”) alineatul (1) prevede:
„Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:
(a)
scopurile prelucrării;
(b)
categoriile de date cu caracter personal vizate;
(c)
destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;
(d)
acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
(e)
existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;
(f)
dreptul de a depune o plângere în fața unei autorități de supraveghere;
(g)
în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;
(h)
existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.”
6.
În conformitate cu articolul 24 („Responsabilitatea operatorului”) alineatul (1):
„Ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. Respectivele măsuri se revizuiesc și se actualizează dacă este necesar.”
7.
În conformitate cu articolul 25 („Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit”) alineatul (2):
„Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligație se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor. În special, astfel de măsuri asigură că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane.”
8.
Articolul 29 („Desfășurarea activității de prelucrare sub autoritatea operatorului sau a persoanei împuternicite de operator”) prevede:
„Persoana împuternicită de operator și orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de operator care are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului, cu excepția cazului în care dreptul Uniunii sau dreptul intern îl obligă să facă acest lucru.”
9.
Articolul 30 („Evidențele activităților de prelucrare”) prevede:
„(1)   Fiecare operator și, după caz, reprezentantul acestuia păstrează o evidență a activităților de prelucrare desfășurate sub responsabilitatea lor. Respectiva evidență cuprinde toate următoarele informații:
(a)
numele și datele de contact ale operatorului și, după caz, ale operatorului asociat, ale reprezentantului operatorului și ale responsabilului cu protecția datelor;
(b)
scopurile prelucrării;
(c)
o descriere a categoriilor de persoane vizate și a categoriilor de date cu caracter personal;
(d)
categoriile de destinatari cărora le‑au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din țări terțe sau organizații internaționale;
[…]
(f)
acolo unde este posibil, termenele‑limită preconizate pentru ștergerea diferitelor categorii de date;
(g)
acolo unde este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la articolul 32 alineatul (1).
(2)   Fiecare operator și, după caz, persoana împuternicită de operator păstrează o evidență a tuturor categoriilor de activități de prelucrare desfășurate în numele operatorului, care cuprind:
(a)
numele și datele de contact ale persoanei sau persoanelor împuternicite de operator și ale fiecărui operator în numele căruia acționează această persoană (aceste persoane), precum și ale reprezentantului operatorului sau al persoanei împuternicite de operator, după caz;
(b)
categoriile de activități de prelucrare desfășurate în numele fiecărui operator;
(c)
dacă este cazul, transferurile de date cu caracter personal către o țară terță sau o organizație internațională […].
(d)
acolo unde este posibil, o descriere generală a măsurilor tehnice și organizatorice de securitate menționate la articolul 30 alineatul (1).
(3)   Evidențele menționate la alineatele (1) și (2) se formulează în scris, inclusiv în format electronic.
(4)   Operatorul sau persoana împuternicită de acesta, precum și, după caz, reprezentantul operatorului sau al persoanei împuternicite de operator pun evidențele la dispoziția autorității de supraveghere, la cererea acesteia.
(5)   Obligațiile menționate la alineatele 1 și 2 nu se aplică unei întreprinderi sau organizații cu mai puțin de 250 de angajați, cu excepția cazului în care prelucrarea pe care o efectuează este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, prelucrarea nu este ocazională sau prelucrarea include categorii speciale de date […] sau date cu caracter personal referitoare la condamnări penale și infracțiuni […].”
10.
Articolul 58 („Competențe”) alineatul (1) prevede:
„Fiecare autoritate de supraveghere are toate următoarele competențe de investigare:
(a)
de a da dispoziții operatorului și persoanei împuternicite de operator și, după caz, reprezentantului operatorului sau al persoanei împuternicite de operator să furnizeze orice informații pe care autoritatea de supraveghere le solicită în vederea îndeplinirii sarcinilor sale;
[…]”
B.
Dreptul național
1. Tietosuojalaki (1050/2018) (
3
)
11.
În conformitate cu articolul 30, normele referitoare la prelucrarea datelor cu caracter personal ale lucrătorilor, la testele și la controalele care trebuie efectuate asupra lucrătorilor și la cerințele care trebuie respectate în acest scop, precum și la supravegherea tehnică la locul de muncă și la consultarea și la deschiderea e‑mailurilor unui lucrător sunt cuprinse în Laki yksityisyyden suojasta työelämässä (759/2004) (
4
).
12.
Potrivit articolului 34 alineatul 1, persoana vizată nu are un drept de acces la datele colectate în privința sa, în sensul articolului 15 din RGPD, în măsura în care:
1)
divulgarea datelor ar putea aduce atingere securității naționale, apărării și ordinii publice sau prevenirii și depistării infracțiunilor;
2)
divulgarea datelor ar putea prezenta un risc serios pentru sănătatea sau pentru îngrijirea persoanei vizate ori pentru drepturile persoanei vizate sau ale unui terț sau
3)
datele cu caracter personal sunt utilizate în cadrul activităților de supraveghere și control, iar nedivulgarea datelor este necesară pentru protejarea unui interes economic sau financiar important al Finlandei sau al Uniunii Europene.
13.
În conformitate cu articolul 34 al doilea paragraf, în cazul în care numai o parte a datelor menționate la alineatul 1 nu fac obiectul dreptului prevăzut la articolul 15 din RGPD, persoana vizată are drept de acces la toate celelalte date care o privesc.
14.
În conformitate cu articolul 34 alineatul 3, motivele restricției trebuie comunicate persoanei vizate, în măsura în care nu se periclitează obiectivul restricției.
15.
În conformitate cu articolul 34 alineatul 4, la cererea persoanei vizate, datele menționate la articolul 15 alineatul (1) din RGPD trebuie puse la dispoziția responsabilului cu protecția datelor, în cazul în care persoana vizată nu are un drept de acces la datele colectate care o privesc.
2. Laki yksityisyyden suojasta työelämässä (759/2004)
16.
În conformitate cu articolul 4 alineatul 2 din capitolul 2 din această lege, angajatorul este obligat să informeze în prealabil lucrătorul despre obținerea datelor necesare pentru stabilirea credibilității sale. Cu ocazia verificării solvabilității lucrătorului, angajatorul trebuie în plus să informeze lucrătorul cu privire la registrul din care sunt obținute informațiile privind creditul. În cazul în care datele referitoare la lucrător au fost colectate de la o altă persoană decât lucrătorul însuși, angajatorul trebuie să comunice lucrătorului datele obținute înainte de a le utiliza la luarea deciziilor care îl privesc pe lucrător. Obligațiile operatorului de a pune date la dispoziția persoanei vizate, precum și dreptul de acces al persoanei vizate la date sunt reglementate în capitolul III din RGPD.
II. Situația de fapt, litigiul și întrebările preliminare
17.
În anul 2014, J. M. a aflat că datele sale cu caracter personal, în calitate de client al instituției financiare Suur‑Savon Osuuspankki (denumită în continuare „Pankki”), fuseseră consultate în perioada cuprinsă între 1 noiembrie și 31 decembrie 2013. În această perioadă, pe lângă faptul că era client, J. M. era și angajat al Pankki.
18.
La 29 mai 2018, suspectând că motivele consultării nu fuseseră în totalitate legale, J. M. a solicitat Pankki să îi furnizeze informații cu privire la identitatea angajaților care i‑au accesat datele în perioada menționată și la scopurile prelucrării.
19.
Între timp, Pankki l‑a concediat pe J. M., care și‑a motivat cererea în special prin dorința de a clarifica motivele care au stat la baza concedierii sale.
20.
La 30 august 2018, Pankki, în calitatea sa de operator, a refuzat să îi furnizeze lui J. M. numele angajaților care au prelucrat datele sale cu caracter personal. Aceasta a susținut că dreptul prevăzut la articolul 15 din RGPD nu se aplică registrelor zilnice sau protocoalelor interne care consemnează numele angajaților și ora la care aceștia au avut acces la sistemul informatic care conține datele clienților. În plus, informațiile solicitate s‑ar referi la datele cu caracter personal ale acelor angajați, nu ale lui J. M.
21.
Pentru a evita neînțelegerile, Pankki i‑a oferit următoarele explicații suplimentare lui J. M.:
–
în anul 2014, departamentele interne ale instituției au consultat datele clientului J. M. aferente perioadei 1 noiembrie-31 decembrie 2013;
–
aceste consultări aveau legătură cu prelucrarea datelor unui alt client al Pankki, din care ar rezulta că acesta avea cu J. M. o relație care putea da naștere unui conflict de interese. Prin urmare, scopul prelucrării a fost de a clarifica această situație (
5
).
22.
J. M. s‑a adresat autorității naționale de supraveghere (Biroul persoanei responsabile cu protecția datelor, Finlanda), solicitând obligarea Pankki să îi pună la dispoziție informațiile solicitate.
23.
La 4 august 2020, responsabilul adjunct cu protecția datelor a respins cererea lui J. M.
24.
J. M. a formulat o acțiune la Itä‑Suomen hallinto‑oikeus (Tribunalul Administrativ al Finlandei Orientale), susținând că, în temeiul RGPD, are dreptul de acces la informațiile privind identitatea și funcțiile persoanelor care au consultat datele sale la instituția financiară.
25.
În acest context, instanța menționată a adresat Curții următoarele întrebări:
„1)
Dreptul de acces conferit persoanei vizate prin articolul 15 alineatul (1) din [RGPD] coroborat cu [noțiunea de] «date cu caracter personal» prevăzută la articolul 4 alineatul (1) din acest regulament trebuie interpretat în sensul că informațiile colectate de operator, din care reies identitatea persoanelor care au prelucrat datele cu caracter personal ale persoanei vizate, momentul și scopul prelucrării, nu constituie informații în privința cărora persoana vizată are un drept de acces, în special pentru că acestea sunt date care privesc lucrătorii operatorului?
2)
În ipoteza în care răspunsul la prima întrebare este afirmativ, iar persoana vizată nu are, în temeiul articolului 15 alineatul (1) din [RGPD], dreptul de acces la informațiile menționate în această întrebare, întrucât acestea nu constituie «date cu caracter personal» ale persoanei vizate în sensul articolului 4 punctul 1 din [RGPD], este necesar în speță să se ia în considerare de asemenea informațiile la care persoana vizată are un drept de acces în temeiul articolului 15 alineatul (1) literele (a)-(h) din acest regulament:
a)
Cum trebuie interpretat scopul prelucrării în sensul articolului 15 alineatul (1) litera (a) din perspectiva întinderii dreptului de acces al persoanei vizate, cu alte cuvinte, scopul prelucrării poate justifica un drept de acces la datele de autentificare în sistem ale utilizatorilor, colectate de operator, astfel cum sunt, printre altele, informațiile referitoare la datele cu caracter personal ale persoanelor care prelucrează, momentul și scopul prelucrării datelor cu caracter personal?
b)
În acest context, persoanele care au prelucrat datele de client ale lui J. M. pot fi considerate, pe baza anumitor criterii, destinatari ai datelor cu caracter personal în sensul articolului 15 alineatul (1) litera (c) din |RGPD], în privința cărora persoana vizată ar avea dreptul de a obține acces?
3)
Faptul că în discuție este o bancă ce desfășoară o activitate reglementată sau că J. M. a lucrat pentru bancă, fiind concomitent clientul acesteia, prezintă relevanță pentru procedură?
4)
Este relevant pentru aprecierea întrebărilor adresate mai sus faptul că datele lui J. M. au fost prelucrate înainte de intrarea în vigoare a [RGPD]?”
III. Procedura în fața Curții
26.
Cererea de decizie preliminară a fost înregistrată pe rolul Curții la 22 septembrie 2021.
27.
J. M., Pankki, guvernele austriac, ceh și finlandez și Comisia Europeană au prezentat observații scrise.
28.
La ședința care a avut loc la 12 octombrie 2022 au participat J. M., Biroul persoanei responsabile cu protecția datelor, Pankki, guvernul finlandez și Comisia.
IV. Analiză
29.
În măsura în care instanța de trimitere solicită interpretarea mai multor dispoziții din RGPD, trebuie să se stabilească înainte de toate dacă acest regulament este aplicabil ratione temporis litigiului principal. Această chestiune face obiectul celei de a patra întrebări preliminare.
A.
Aplicabilitatea RGPD (a patra întrebare preliminară)
30.
În conformitate cu articolul 99 alineatul (1), RGPD a intrat în vigoare la 24 mai 2016. Aplicarea sa a fost însă amânată până la 25 mai 2018 (
6
).
31.
Datele cu caracter personal ale lui J. M. au fost analizate în perioada cuprinsă între 1 noiembrie și 31 decembrie 2013, cu alte cuvinte, înainte de data la care RGPD a intrat în vigoare și a devenit aplicabil.
32.
Cu toate acestea, data relevantă în speță este 29 mai 2018, ziua în care J. M. a solicitat informațiile în litigiu invocând articolul 15 alineatul (1) din RGPD (aplicabil începând de la data de 25 mai 2018).
33.
Astfel cum a subliniat guvernul austriac, articolul 15 alineatul (1) din RGPD conferă persoanelor vizate un drept procedural (dreptul de acces) de a obține informații privind prelucrarea datelor lor cu caracter personal (
7
). Având în vedere natura normei, aceasta a devenit aplicabilă de la momentul intrării în vigoare (
8
). Prin urmare, J. M. avea dreptul să invoce norma respectivă la momentul la care a solicitat informațiile de la Pankki.
34.
Desigur, legalitatea prelucrării datelor colectate înainte de intrarea în vigoare a RGPD va trebui evaluată în lumina normelor de drept material în vigoare la momentul respectiv, și anume a normelor din Directiva 95/46/CE (
9
), și, în cazul în care va rezulta că RGPD este aplicabil în mod retroactiv, din RGPD (
10
).
35.
Având în vedere că nu se contestă faptul că informațiile solicitate se aflau în posesia operatorului la momentul la care J. M. a solicitat accesul la ele [acesta fiind un drept garantat de articolul 15 alineatul (1) din RGPD], acest din urmă regulament era aplicabil (
11
).
36.
Prin urmare, faptul că datele în cauză au fost prelucrate înainte de intrarea în vigoare a RGPD este irelevant în ceea ce privește accesul sau refuzul accesului la informațiile solicitate de persoana vizată în temeiul articolului 15 alineatul (1) din RGPD.
B.
Prima și a doua întrebare preliminară
37.
Prima și a doua întrebare preliminară pot fi examinate împreună. Problema pe care o ridică se referă în esență la aspectul dacă datele cu caracter personal ale lui J. M., colectate și prelucrate de Pankki, corespund informațiilor pe care persoana vizată are dreptul să le obțină în temeiul articolului 15 alineatul (1) din RGPD.
1. Identitatea angajatului și datele cu caracter personal ale persoanei vizate
38.
Reamintim faptul că informațiile solicitate de J. M. se refereau la identitatea angajaților care au consultat datele sale, în calitate de client, în anul 2013, precum și la momentul în care a avut loc prelucrarea și scopul acesteia.
39.
În ședință s‑a confirmat faptul că J. M. și‑a limitat cererea la divulgarea identității angajaților respectivi. În cadrul litigiului nu se contestă în mod specific că prelucrarea datelor sale de către instituția bancară a avut un temei legal (
12
).
40.
Or:
–
în ceea ce privește momentul la care a avut loc prelucrarea, reiese clar din decizia de trimitere că J. M. avea deja cunoștință de el atunci când a formulat cererea;
–
în ceea ce privește scopul prelucrării, Pankki i l‑a comunicat lui J. M. în termenii indicați anterior (
13
).
41.
Prin urmare, dezbaterea se axează exclusiv pe informațiile privind identitatea angajaților Pankki care au prelucrat datele cu caracter personal ale lui J. M.
42.
În realitate, aceste informații se referă la un detaliu al operațiunilor de prelucrare și nu se referă propriu‑zis la datele cu caracter personal ale persoanei vizate în sensul articolului 4 alineatul (1) din RGPD (
14
).
43.
Este clar că persoana ale cărei date au făcut obiectul consultării era J. M. (
15
). După ce a obținut de la Pankki confirmarea că datele sale au fost prelucrate (
16
), informațiile la care avea dreptul, în temeiul articolului 15 alineatul (1) din RGPD, sunt cele enumerate la literele (a)-(h) din dispoziția menționată (
17
). Prin furnizarea lor, se facilitează exercitarea drepturilor de care beneficiază persoana vizată (
18
), în cadrul mecanismelor care garantează legalitatea prelucrării datelor.
44.
Din articolul 15 alineatul (1) din RGPD rezultă că informațiile la care face referire au ca obiect circumstanțele concrete în care a avut loc prelucrarea datelor.
45.
Astfel, articolul 15 alineatul (1) din RGPD conferă persoanei vizate dreptul de a obține de la operator:
–
în primul rând, „o confirmare că se prelucrează sau nu date cu caracter personal care o privesc”;
–
în al doilea rând, odată confirmată existența unei operațiuni de prelucrare, „[…] accesul la datele respective și la următoarele informații” (
19
), adică cele enumerate la literele a)-h) din dispoziția respectivă.
46.
Această dispoziție face distincție între „datele cu caracter personal”, pe de o parte, și „informațiile” menționate la literele de la alineatul (1), pe de altă parte.
47.
Informațiile care trebuie furnizate persoanei vizate în conformitate cu articolul 15 alineatul (1) literele (a)-(h) din RGPD nu pot fi confundate cu datele cu caracter personal ale persoanei vizate în sensul articolului 4 alineatul (1) din RGPD.
48.
Astfel cum am arătat, nu ne aflăm în prezența unor date, ci a unor informații referitoare la:
–
„scopurile prelucrării” [litera (a)];
–
„categoriile de date cu caracter personal vizate” [litera (b)];
–
„perioada de stocare preconizată” [litera (d)];
–
drepturile persoanei vizate menționate la literele (e), (f) și (g) (
20
);
–
existența unui proces decizional automatizat [litera (h)].
49.
În toate aceste ipoteze, informațiile se referă fie la anumite drepturi ale persoanei vizate, fie, în special, la elemente legate de prelucrarea efectuată, precum scopul (care este la fel de important precum cauza) și obiectul (categoriile de date prelucrate).
50.
Informațiile privind destinatarii cărora le‑au fost sau le vor fi divulgate datele cu caracter personal ale persoanei vizate [articolul 15 alineatul (1) litera (c) din RGPD] prezintă alte probleme conceptuale, la care ne vom referi în continuare.
51.
Articolul 15 alineatul (1) din RGPD stabilește în esență un drept la informare cu privire la faptul concret al prelucrării și la circumstanțele aferente acesteia. La aceste informații se adaugă cele privind drepturile persoanei vizate în legătură cu prelucrarea datelor care fac obiectul prelucrării, cum este dreptul de a depune o plângere la o autoritate de supraveghere.
52.
Simpla existență a prelucrării și circumstanțele aferente acesteia nu constituie, în opinia noastră, „date cu caracter personal” în sensul articolului 4 punctul 1 din RGPD.
53.
Este adevărat că este posibil ca în urma prelucrării să se adopte decizii care să afecteze persoana vizată, după cum a subliniat instanța de trimitere (
21
). Totuși, acest rezultat nu va depinde de identitatea persoanei sau a persoanelor fizice care a sau au examinat datele în numele și sub autoritatea Pankki, date care constituie informațiile în discuție în litigiul principal.
54.
Astfel, J. M. ar avea dreptul de a fi informat de Pankki, în calitate de operator, cu privire la datele cu caracter personal pe care le deține, obținute chiar de la J. M. (articolul 13 din RGPD) sau prin alte mijloace (articolul 14 din RGPD). De asemenea, acesta ar avea dreptul – de data aceasta în temeiul articolului 15 din RGPD – de a obține informații privind existența și circumstanțele fiecărei operațiuni de prelucrare la care au fost supuse datele respective, însă nu pentru că acestea din urmă constituie în sine „date cu caracter personal”, ci prin efectul expres al articolului 15 din RGPD (
22
).
55.
Anticipând ceea ce vom explica în continuare pe larg, relevant în prezent cauză este faptul că identitatea angajaților care au consultat datele lui J. M. nu constituie „date cu caracter personal” ale lui J. M.
56.
Situația este diferită în cazul în care protocoalele sau registrele – la care vom face referire mai jos – conțin, direct sau indirect, date cu caracter personal ale persoanei vizate, distincte de mențiunea privind angajații care le‑au accesat. Dacă este așa sau nu, acest lucru depinde în mare măsură de conținutul protocoalelor sau al registrelor relevante. Reamintim însă că, având în vedere că litigiul inițial se limitează la aflarea identității angajaților Pankki, nu este vorba despre datele cu caracter personal ale lui J. M., ci despre cele ale angajaților înșiși.
2. Accesul la informații privind destinatarii cărora li s‑au dezvăluit datele cu caracter personal
57.
Instanța de trimitere solicită să se stabilească dacă J. M. ar fi îndreptățit, în lumina articolului 15 alineatul (1) literele (a) și (c) din RGPD, să primească de la Pankki informații privind angajații care au prelucrat datele sale cu caracter personal, chiar dacă aceste informații nu ar constitui date cu caracter personal ale lui J. M.
58.
În conformitate cu litera (a), persoana vizată are dreptul de a primi din partea operatorului o confirmare privind scopurile prelucrării. Totuși, litera respectivă (care a fost respectată în prezenta cauză, deoarece Pankki l‑a informat pe J. M. cu privire la scopul prelucrării) nu oferă criterii pentru a stabili cine sunt destinatarii datelor cu caracter personal ale persoanei vizate.
59.
Dimpotrivă, întrebarea are sens atunci când implică interpretarea articolului 15 alineatul (1) litera (c) din RGPD. Astfel cum am arătat, în temeiul acestei dispoziții, persoana vizată are dreptul de a obține informații privind „destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate […]”.
60.
La rândul său, articolul 4 punctul 9 din RGPD definește „destinatarul” ca fiind „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță”.
61.
Această din urmă sintagmă („indiferent dacă este sau nu o parte terță”) ar putea da naștere la ambiguități privind domeniul de aplicare personal al dispoziției, după cum s‑a subliniat în ședință. O lectură superficială și, în opinia noastră, eronată ar putea da naștere la ideea că „destinatar” ar fi atât orice terț căruia Pankki i‑a comunicat datele cu caracter personal ale lui J. M., cât și fiecare dintre angajații care, în concret, consultă datele în numele și pe seama persoanei juridice Pankki.
62.
Articolul 4 punctul 10 din RGPD definește „partea terță” ca fiind „o persoană fizică sau juridică, autoritate publică, agenție sau organism altul decât persoana vizată, operatorul, persoana împuternicită de operator și persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite de operator, sunt autorizate să prelucreze date cu caracter personal” (
23
).
63.
Or, în lumina acestor premise, considerăm că noțiunea de destinatar nu include angajații unei persoane juridice care, atunci când utilizează sistemul informatic al persoanei juridice, consultă datele cu caracter personal ale unui client sub autoritatea organelor de conducere ale acesteia. Atunci când angajații respectivi acționează sub autoritatea directă a operatorului, ei nu dobândesc, doar din acest motiv, statutul de „destinatari” ai datelor (
24
).
64.
Este totuși posibil ca un angajat să nu respecte procedurile stabilite de operator și, din proprie inițiativă, să acceseze în mod ilegal datele clienților sau ale altor angajați. În acest caz, angajatul neloial nu ar fi acționat în numele și pe seama operatorului.
65.
În această situație, angajatul neloial ar putea fi încadrat în noțiunea de „destinatar” căruia i‑ar fi fost „comunicate” (în sens figurat) – chiar dacă prin mijloace proprii și, prin urmare, în mod ilegal – datele cu caracter personal ale persoanei vizate (
25
) sau chiar ale unui operator de date (independent) (
26
).
66.
Din descrierea situației fapt care figurează în decizia de trimitere și din argumentele prezentate de Pankki în ședință rezultă că Pankki a mandatat angajații săi să consulte, sub autoritatea sa, datele cu caracter personal ale lui J. M. Prin urmare, angajații respectivi au urmat instrucțiunile operatorului și au acționat în numele și pe seama sa. Așadar, aceștia nu pot fi clasificați drept destinatari în sensul articolului 15 alineatul (1) litera (c) din RGPD (
27
).
67.
Reprezintă o chestiune aparte faptul că identificarea angajaților respectivi și a momentului la care oricare dintre ei a accesat datele cu caracter personal ale clientului (cu alte cuvinte, conținutul acestor mențiuni din fișierele sau registrele pe care le vom analiza în continuare) trebuie să fie puse la dispoziția autorităților de supraveghere pentru a verifica legalitatea acțiunilor lor.
68.
Acest lucru este confirmat de articolul 29 din RGPD, care se referă la persoanele care acționează „sub autoritatea operatorului sau a persoanei împuternicite de operator și care au acces la datele cu caracter personal”. Aceste persoane pot prelucra astfel de date numai la cererea angajatorului lor, care este chiar operatorul (sau persoana împuternicită de operator).
69.
Scopul articolului 15 alineatul (1) din RGPD este de a permite persoanei vizate să își exercite (să își apere) în mod eficient drepturile privind datele sale cu caracter personal. Prin urmare, persoana vizată trebuie să fie informată cu privire la identitatea operatorului și, dacă este cazul, a destinatarilor cărora li s‑au divulgat datele. Cu ajutorul acestor informații, persoana vizată se poate adresa atât operatorului, cât și destinatarilor care au luat cunoștință de datele sale.
70.
Desigur, persoana vizată poate avea îndoieli cu privire la legalitatea implicării anumitor persoane în gestionarea prelucrării datelor sale în numele și pe seama operatorului sau al persoanei împuternicite de operator.
71.
În acest context, astfel cum indică guvernul ceh și a subliniat Comisia în ședință, persoana vizată se poate adresa responsabilului cu protecția datelor [articolul 38 alineatul (4) din RGPD] sau autorității de supraveghere prin depunerea unei plângeri [articolul 15 alineatul (1) litera (f) și articolul 77 din RGPD]. Nu se conferă însă dreptul de a colecta direct date cu caracter personal (privind identitatea) despre angajatul care, în calitate de subordonat al operatorului sau al persoanei împuternicite de operator, acționează, în principiu, conform instrucțiunilor acestuia.
72.
În ședință s‑a dezbătut aspectul dacă posibilitatea de a se adresa responsabilului cu protecția datelor sau autorității de supraveghere constituie o garanție suficientă din punctul de vedere al apărării drepturilor persoanei vizate ale cărei date au fost prelucrate.
73.
Pentru soluționarea acestei dezbateri se poate adopta o poziție cuprinzătoare, astfel încât orice persoană vizată să aibă dreptul de a cunoaște identitatea angajaților operatorului care i‑au accesat datele, chiar și atunci când accesarea s‑a realizat în numele și sub autoritatea operatorului.
74.
Suntem de părere că RGPD nu oferă elemente în susținerea acestei teze, întrucât ar exista riscul ca un stat membru să o adopte în legislația sa internă, pentru unul sau mai multe sectoare specifice (
28
).
75.
În opinia noastră, nu ar fi prudent ca, asumându‑și funcții aproape legislative, Curtea să modifice RGPD prin introducerea unei noi obligații de informare, care să se suprapună cu cele prevăzute la articolul 15 alineatul (1). Acest lucru s‑ar întâmpla dacă operatorul ar fi obligat, fără deosebire, să furnizeze persoanei vizate nu doar identitatea destinatarului căruia i s‑au divulgat datele, ci a oricărui angajat sau persoană din cercul de colaboratori ai societății care a avut acces legitim la acestea (
29
).
76.
Așa cum a subliniat Pankki în ședință, identitatea angajaților individuali care au gestionat prelucrarea datelor unui client este o informație deosebit de sensibilă din punctul de vedere al securității, cel puțin în anumite sectoare economice.
77.
Acești angajați ar putea fi expuși la încercări de presiune și influență din partea celor care, în calitate de clienți ai băncii, ar putea avea interesul de a‑și personaliza interlocutorul, care ar fi nu atât instituția financiară în sine, cât unul sau unii dintre angajații săi, ca veriga cea mai slabă din lanțul comercial. Această situație ar putea exista, de exemplu, atunci când monitorizarea tranzacțiilor prin consultarea datelor clienților este efectuată pentru a respecta obligațiile care le sunt impuse băncilor în ceea ce privește prevenirea și combaterea criminalității în domeniul financiar.
78.
Este adevărat că clientul poate avea îndoieli privind probitatea sau imparțialitatea persoanei fizice care a intervenit în numele operatorului în prelucrarea datelor sale. O astfel de îndoială, dacă ar fi rezonabilă, ar putea justifica interesul lui de a afla identitatea angajatului în vederea exercitării dreptului său de a se îndrepta împotriva acestuia.
79.
Având în vedere caracterul sensibil al acestor informații, interesul de a afla identitatea angajatului intră în conflict cu interesul – nu mai puțin incontestabil – al operatorilor de a păstra discreția cu privire la identitatea angajaților lor și cu dreptul acestora din urmă la protecția propriilor date. În opinia noastră, echilibrul este atins cu ajutorul autorității de supraveghere, ca arbitru între cele două interese contrare.
80.
Prin urmare, într‑o situație precum cea în speță, autoritatea de supraveghere va trebui să fie cea care, având în vedere poziția sa de imparțialitate, va trebui să aprecieze dacă îndoielile privind acțiunile angajaților aflați în serviciul instituției bancare sunt suficient de întemeiate și de consistente pentru a justifica renunțarea la restricția privind identitatea acestora.
3. Accesul la informațiile privind identitatea angajaților conținute în fișierele sau în registrele de tranzacții
81.
Răspunsul la prima și la a doua întrebare preliminară ar putea fi acesta, având în vedere că s‑a reținut că angajații entității care acționează în numele acesteia nu sunt propriu‑zis destinatarii menționați la articolul 15 alineatul (1) litera (c) din RGPD.
82.
Cu toate acestea, este oportun să se completeze răspunsul cu o analiză a presupusului drept al persoanei vizate de a afla identitatea angajaților, în cazul în care aceasta figurează în fișierele sau înregistrările operațiunilor unei entități. Deși, astfel cum am menționat deja, nu toate aceste fișiere sau înregistrări vor avea neapărat un conținut identic, este acceptat în general faptul că reflectă cine (dintre angajații operatorului), cum și când a consultat datele personale ale clienților.
83.
Acest tip de înregistrări permit operatorului să își îndeplinească obligația de a respecta principiile prevăzute la articolul 5 alineatul (1) din RGPD și de a pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura și a demonstra conformitatea prelucrării cu obligațiile din RGPD [articolul 24 alineatul (1) și articolul 25 alineatul (2) din RGPD].
84.
În contextul specific al Directivei (UE) 2016/680 (
30
), invocată de Comisie cu titlu de exemplu (
31
) privind un regim special de protecție a datelor în domeniul infracțiunilor:
–
articolul 24 obligă fiecare operator să țină o evidență a tuturor categoriilor de activități de prelucrare a datelor cu caracter personal aflate în responsabilitatea sa [alineatul (1)] și obligă fiecare persoană împuternicită de operator să păstreze o evidență a tuturor categoriilor de activități de prelucrare a datelor cu caracter personal desfășurate în numele operatorului [alineatul (2)];
–
articolul 25 prevede că „[…] se asigură că se înregistrează cel puțin următoarele operațiuni de prelucrare din cadrul sistemelor de prelucrare automată: colectarea, modificarea, consultarea, divulgarea inclusiv transferurile, combinarea și ștergerea. Înregistrările consultărilor și ale divulgărilor fac posibilă determinarea motivelor, a datei și a momentului acestor operațiuni și, în măsura în care este posibil, identificarea persoanei care a consultat sau a divulgat date cu caracter personal și identitatea destinatarilor acestor date cu caracter personal” (
32
).
85.
Or, în conformitate cu articolul 14 din Directiva 2016/680, informațiile referitoare în special la identitatea angajatului care a prelucrat datele cu caracter personal nu figurează printre informațiile la care persoana vizată are drept de acces.
86.
În același sens, articolul 30 din RGPD impune existența unei așa‑numite „evidențe a activităților de prelucrare”, al cărei conținut coincide – cu definiții mai puțin concrete ale operațiunilor – cu cel de la articolul 25 din Directiva 2016/680 (
33
). Și, la fel ca în cazul acestuia din urmă, nici informațiile înregistrate cu privire la identitatea angajatului nu figurează printre cele care sunt accesibile persoanei vizate în temeiul articolului 15 din RGPD.
87.
Motivul acestei asimetrii între informațiile înregistrate, pe de o parte, și dreptul de acces la acestea, pe de altă parte, se explică prin diferența dintre scopurile pe care le urmăresc dispozițiile care reglementează înregistrarea activităților de prelucrare și, respectiv, posibilitatea de a accesa conținutul acestora.
88.
Scopul evidențelor la care face referire articolul 30 din RGPD este, astfel cum am arătat, de a asigura legalitatea prelucrării și de a garanta integritatea și securitatea datelor. Responsabilitatea în acest sens revine, cu caracter general, autorității de supraveghere, căreia operatorul și persoana împuternicită de operator trebuie să îi pună la dispoziție evidențele operațiunilor [articolul 30 alineatul (4) din RGPD].
89.
În RGPD, dreptul de a depune o plângere în fața autorităților de supraveghere [articolul 15 alineatul (1) litera (f)], care sunt responsabile de asigurarea aplicării corecte a acestuia, are ca scop protejarea drepturilor persoanelor fizice în ceea ce privește prelucrarea datelor lor. Acest lucru este prevăzut la articolul 51 alineatul (1) din RGPD și rezultă din lista de sarcini care le sunt atribuite de articolul 57 din RGPD.
90.
Funcția generală de monitorizare a aplicării RGPD și de protecție a drepturilor persoanelor fizice justifică prerogativele autorității de supraveghere. Printre acestea se numără și aceea de a cunoaște împrejurările în care prelucrarea datelor a fost efectuată de către o persoană împuternicită de operator sau de către un operator. Tocmai una dintre aceste împrejurări este cea relevantă în prezenta cauză: identitatea persoanelor care consultă datele cu caracter personal ale clienților în numele operatorului sau al persoanei împuternicite de operator.
91.
RGPD nu conține însă nicio prevedere în sensul că asemenea detalii privind identitatea angajaților care figurează în evidențele interne ale entităților, prin intermediul cărora acestea pot afla (și, dacă este cazul, pot pune la dispoziția autorității de supraveghere) cine și când a examinat datele cu caracter personal ale unui client, trebuie să fie accesibile acestuia din urmă.
92.
Dimpotrivă, persoana vizată de o anumită operațiune concretă de prelucrare trebuie să primească informațiile necesare pentru a cunoaște circumstanțele relevante, cu scopul de a evalua legalitatea prelucrării și de a o contesta, dacă se impune, la autoritatea de supraveghere sau, în cele din urmă, la autoritatea judiciară.
93.
Fără a aduce atingere aspectelor anterioare, în cazul în care astfel de evidențe ale operațiunilor conțin date cu caracter personal ale persoanei vizate (și anume altele decât simpla identitate a angajaților), persoana vizată va avea în mod logic dreptul de a obține confirmarea din partea operatorului că datele sale cu caracter personal sunt prelucrate. În acest scop, nu contează că datele cu caracter personal se regăsesc într‑o evidență a operațiunilor sau în orice alt fișier ori bază de date internă a entității.
C.
A treia întrebare preliminară
94.
Instanța de trimitere dorește să afle dacă „faptul că în discuție este o bancă ce desfășoară o activitate reglementată sau că J. M. a lucrat pentru bancă, fiind concomitent clientul acesteia, prezintă relevanță pentru procedură”.
95.
În opinia noastră, exercitarea unei activități reglementate de către operator nu schimbă argumentele prezentate până în acum. Faptul că operatorul este o bancă ce face obiectul reglementărilor specifice aplicabile acestui tip de entități (
34
) poate avea însă un impact asupra legitimității (temeiul juridic) prelucrării, atunci când aceasta rezultă din respectarea obligațiilor legale la care este supusă (
35
).
96.
În principiu, este de asemenea irelevant faptul că persoana ale cărei date au fost consultate a fost în același timp angajat și client al băncii respective. Articolul 15 alineatul (1) din RGPD nu face nicio distincție în funcție de activitatea profesională a persoanei vizate, care se suprapune cu statutul său de client al instituției financiare (
36
).
97.
Este adevărat, după cum a subliniat Comisia, că articolul 23 din RGPD permite statelor membre să limiteze pe cale legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute, printre altele, la articolul 15 din RGPD, prin dispoziții sectoriale pentru o anumită categorie de persoane vizate. Cu toate acestea, instanța de trimitere nu menționează nicio astfel de limitare națională.
V. Concluzie
98.
Având în vedere considerațiile anterioare, propunem Curții să răspundă Itä‑Suomen hallinto‑oikeus (Tribunalul Administrativ al Finlandei Orientale, Finlanda) după cum urmează:
„Articolul 15 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) coroborat cu articolul 4 alineatul (1) din același regulament
trebuie interpretat în sensul că
este aplicabil în cazul în care cererea de acces la informații a persoanei interesate adresată operatorului care i‑a prelucrate datele a fost depusă după data de 25 mai 2018.
Acesta nu conferă persoanei vizate dreptul de a afla, din informațiile de care dispune operatorul (dacă este cazul, prin intermediul evidențelor sau al fișierelor de operațiuni), identitatea angajatului sau a angajaților care, sub autoritatea și urmând instrucțiunile operatorului, au consultat datele sale cu caracter personal.”
(
1
)	Limba originală: spaniola.
(
2
)	Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).
(
3
)	Legea privind protecția datelor. Conform articolului 1, această lege pune în aplicare și completează RGPD.
(
4
)	Legea privind protecția vieții private în viața profesională.
(
5
)	Pankki dorea să clarifice posibila existență a unui conflict de interese între un client al băncii, al cărui cont era gestionat de J. M., și acesta din urmă. În final, s‑a concluzionat că J. M. nu era suspectat de nicio abatere.
(
6
)	Articolul 99 alineatul (2) din RGPD.
(
7
)	În același sens, a se vedea Concluziile avocatului general Pitruzzella prezentate în cauza Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal) (C‑154/21, EU:C:2022:452, punctul 33): „[…] dreptul de acces prevăzut la articolul 15 alineatul (1) litera (c) din RGPD îndeplinește un rol funcțional și instrumental în raport cu exercitarea altor prerogative ale persoanei vizate, prevăzute de RGPD”.
(
8
)	Sau, precum în speță, de la momentul la care norma însăși devine aplicabilă, în cazul în care această dată nu coincide cu data intrării în vigoare.
(
9
)	Directiva Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17 p. 10).
(
10
)	Jurisprudența Curții cu privire la aplicabilitatea în timp a modificărilor normative este rezumată în Hotărârea din 15 iunie 2021, Facebook Ireland și alții (C‑645/19, EU:C:2021:483).
(
11
)	În ceea ce privește Directiva 95/46, în Hotărârea din 7 mai 2009, Rijkeboer (C‑553/07, EU:C.2009:293, punctul 70), s‑a statuat că „[a]rticolul 12 litera (a) din directivă impune statelor membre obligația de a stabili un drept de acces la informații […] nu numai pentru prezent, ci și pentru trecut. Statele membre au sarcina de a stabili un termen de stocare a acestor informații, precum și un acces corelativ la acestea care să constituie un echilibru just între, pe de o parte, interesul persoanei vizate în privința protecției vieții sale private, în special prin intermediul căilor de intervenție și de atac prevăzute de directivă, și, pe de altă parte, sarcina pe care obligația de stocare a acestor informații o reprezintă pentru operator”. Sublinierea noastră.
(
12
)	Fără a aduce atingere faptului că acest aspect ar trebui să fie soluționat, dacă este cazul, de instanța de trimitere, în ședință au fost prezentate drept temeiuri care justifică prelucrarea datelor, pe de o parte, obligațiile care decurg din dreptul finlandez, în temeiul cărora Pankki, în calitate de instituție financiară, este chemată să asigure o gestionare adecvată a riscurilor, dar și să respecte normele privind prevenirea și combaterea spălării banilor în ceea ce privește trasabilitatea tranzacțiilor și, pe de altă parte, contractele încheiate de bancă cu clienții și cu angajații săi, care ar autoriza consultarea datelor acestora în împrejurări precum cele din prezenta cauză.
(
13
)	A se vedea punctul 21 din prezentele concluzii.
(
14
)	Conform acestei dispoziții, datele cu caracter personal sunt „orice informații privind o persoană fizică identificată sau identificabilă”, cu alte cuvinte, „o persoană care poate fi identificată, direct sau indirect”.
(
15
)	Identitatea sa nu a fost stabilită ca o consecință sau ca un efect al prelucrării, deoarece prelucrarea a fost efectuată, în mod corect, după ce J. M. a fost identificat.
(
16
)	După cum a remarcat Comisia, este foarte posibil ca J. M. să considere că informațiile furnizate sunt insuficiente sau inexacte. În orice caz, și în conformitate cu articolul 15 alineatul (1) din RGPD, J. M. are dreptul să i se confirme dacă datele sale au fost sau sunt prelucrate (ceea ce presupune indicarea momentului) și a scopurilor în care sunt prelucrate. Revine instanței de trimitere să stabilească dacă ambele informații i‑au fost furnizate în mod suficient.
(
17
)	A se vedea transcrierea sa la punctul 9 din prezentele concluzii.
(
18
)	Astfel cum a statuat Curtea în legătură cu Directiva 95/46 și în termeni care sunt aplicabili RGPD, principiile protecției garantate de dreptul Uniunii în acest domeniu „se reflectă, pe de o parte, în obligațiile impuse persoanelor care prelucrează date, în special în materie de calitate a datelor, siguranță tehnică, notificare a autorității de supraveghere, circumstanțe în care poate fi efectuată prelucrarea, și, pe de altă parte, în dreptul conferit persoanelor ale căror date fac obiectul prelucrării de a fi informate cu privire la aceasta, de a putea avea acces la date, de a putea solicita corectarea lor și chiar de a se opune prelucrării în anumite circumstanțe” (Hotărârea din 20 decembrie 2017, Nowak, C‑434/16, EU:C:2017:994, punctul 48).
(
19
)	Sublinierea noastră.
(
20
)	Dreptul de a solicita rectificarea sau ștergerea datelor, restricționarea sau contestarea prelucrării, dreptul de a depune o plângere la o autoritate de supraveghere și dreptul de a fi informat cu privire la originea datelor care nu au fost obținute de la persoana vizată.
(
21
)	Punctul 38 din decizia de trimitere.
(
22
)	Articolele 13, 14 și 15 din RGPD, care fac parte din capitolul III („Drepturile persoanei vizate”), secțiunea 2 („Informare și acces la datele cu caracter personal”), constituie un sistem bazat pe recunoașterea dreptului de a fi informat cu privire la: (a) datele cu caracter personal deținute de operator, indiferent de modul în care au fost obținute (articolele 13 și 14), și (b) în special circumstanțele fiecărei prelucrări a acestor date (articolul 15).
(
23
)	Sublinierea noastră.
(
24
)	Acest lucru este de asemenea susținut de Comitetul european pentru protecția datelor în Orientările 07/2020, adoptate la 2 septembrie 2020, privind conceptele de operator și persoană împuternicită de operator în cadrul RGPD, punctele 83-90.
(
25
)	În această ipoteză, articolul 34 alineatul (1) din RGPD ar deveni aplicabil.
(
26
)	Acesta este punctul de vedere al Comitetului european pentru protecția datelor în Orientările 07/2020, menționate anterior, punctul 88: „Un angajat […] care obține acces la datele pe care nu este autorizat să le acceseze și în alte scopuri decât cele ale angajatorului nu se încadrează în această categorie. În schimb, acest angajat trebuie considerat parte terță în ceea ce privește prelucrarea efectuată de angajator. În măsura în care angajatul prelucrează date cu caracter personal în scopuri proprii, distincte de cele ale angajatorului său, acesta va fi considerat operator și își asumă toate consecințele și răspunderile care decurg în raport cu prelucrarea datelor cu caracter personal”.
(
27
)	La același rezultat se ajunge și prin interpretarea trimiterilor pe care articolele 13 și 14 din RGPD, precum și considerentul (61) le fac atunci când persoanelor vizate trebuie să li se furnizeze informațiile privind prelucrarea datelor cu caracter personal comunicate destinatarilor. Din acestea rezultă că destinatarul este o entitate sau o persoană externă, diferită de operator/persoana împuternicită de operator.
(
28
)	Guvernul finlandez a afirmat în ședință că a procedat astfel în ceea ce privește datele privind sănătatea.
(
29
)	Consecințele recunoașterii unei asemenea obligații sunt greu de anticipat pentru activitatea de zi cu zi a întreprinderilor, în special pentru cele care sunt obligate să prelucreze (în mod logic, prin intermediul angajaților lor) milioane de date cu caracter personal ale clienților lor.
(
30
)	Directiva Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului (JO 2016, L 119, p. 89).
(
31
)	În ședință s‑a clarificat faptul că trimiterea la Directiva 2016/680 nu presupunea că aceasta este aplicabilă în speță, neavând conotații penale.
(
32
)	Dispoziții care sunt reproduse la articolul 88 din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO 2018, L 295, p. 39), cu mențiunea suplimentară, la alineatul (2), că înregistrările se șterg după trei ani, cu excepția cazului în care sunt necesare pentru un control în curs.
(
33
)	Articolul 25 alineatul (1) din Directiva 2016/680 se referă în mod explicit la „persoana care a consultat sau a dezvăluit date operaționale cu caracter personal”. În mod mai general, și fără a se referi la fiecare activitate de prelucrare în parte, ci la „categoriile de activități de prelucrare aflate în responsabilitatea lor”, articolul 30 alineatul (2) litera (a) din RGPD menționează „numele și datele de contact ale persoanei sau persoanelor împuternicite de operator”, cu alte cuvinte, în conformitate cu articolul 4 punctul 8 din RGPD, „persoana […] care prelucrează datele cu caracter personal în numele operatorului”.
(
34
)	O asemenea reglementare specifică poate implica, de exemplu, astfel cum se arată în considerentul (11) al Directivei 2016/680, ca, „[…] în scopul depistării, investigării sau urmăririi infracțiunilor, instituțiile financiare [să] păstre[eze] anumite date cu caracter personal care sunt prelucrate de către acestea și furnizează datele cu caracter personal respective numai autorităților naționale competente în cazuri specifice și în conformitate cu dreptul intern”.
(
35
)	A se vedea nota de subsol 12 din prezentele concluzii.
(
36
)	Instanța de trimitere nu solicită să se stabilească dacă a existat o încălcare a drepturilor lui J. M. în calitate de angajat al Pankki.