62021CC0129
STANOVISKO GENERÁLNÍHO ADVOKÁTA
ANTHONYHO MICHAELA COLLINSE
přednesené dne 28. dubna 2022 (
1
)
Věc C‑129/21
Proximus NV
(Veřejné elektronické účastnické seznamy)
proti
Gegevensbeschermingsautoriteit
[žádost o rozhodnutí o předběžné otázce podaná Hof van beroep te Brussel (odvolací soud v Bruselu, Belgie)]
„Řízení o předběžné otázce – Zpracování osobních údajů a ochrana soukromí v odvětví elektronických komunikací – Směrnice 2002/58/ES – Článek 12 – Účastnické seznamy a informační služby o účastnických číslech – Souhlas subjektu údajů – Nařízení (EU) 2016/679 – Definice souhlasu – Článek 17 – Právo na výmaz (‚právo být zapomenut‘) – Článek 5 odst. 2, čl. 17 odst. 2, článek 19 a článek 24 – Informační povinnosti a odpovědnost správce“
I. Úvod
1.
Projednávaná žádost o rozhodnutí o předběžné otázce podaná Hof van beroep te Brussel (odvolací soud v Bruselu, Belgie) vyvstává na základě žádosti osoby, která je účastníkem telekomunikační služby, aby její kontaktní údaje nebyly nadále uváděny ve veřejně dostupných elektronických telefonních seznamech nebo aby nebyly uváděny ze strany informačních služeb o účastnických číslech. Projednávaná žádost nastoluje důležité otázky týkající se výkladu nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
2
), směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (
3
), jakož i vztahu mezi těmito dvěma akty.
2.
GDPR ukládá každému správci obecnou povinnost získat souhlas subjektu údajů se zpracováním jeho údajů. Směrnice 2002/58 tuto povinnost mění, pokud jde o zpracování údajů ze strany poskytovatelů elektronických telefonních seznamů a informační služby o účastnických číslech v tom smyslu, že ke zpracování pro stejný účel postačuje jediný souhlas účastníka s použitím jeho údajů. Účastník tak poskytuje jediný souhlas k tomu, aby jeho kontaktní údaje byly uvedeny v účastnických seznamech, přičemž ostatní poskytovatelé účastnických seznamů se mohou tohoto souhlasu dovolávat za účelem uvedení těchto kontaktních údajů ve svých účastnických seznamech. Co se stane, pokud účastník chce, aby jeho kontaktní údaje byly vymazány ze všech takových účastnických seznamů? Vyvstávají přinejmenším dvě otázky. Zaprvé musí účastník zaslat žádost telekomunikačnímu operátorovi, s nímž uzavřel smlouvu, nebo poskytovateli (poskytovatelům) účastnických seznamů, nebo každému z nich? Zadruhé musí poskytovatel účastnických seznamů předat žádost o výmaz kontaktních údajů třetím osobám, jako je telekomunikační operátor účastníka, další poskytovatel (poskytovatelé) účastnických seznamů a provozovatelé internetových vyhledávačů?
II. Skutkové okolnosti
3.
Společnost Proximus poskytuje telekomunikační služby. Kontaktní údaje svých účastníků, jakož i údaje, které obdrží od jiných telekomunikačních operátorů, uvádí ve dvou belgických elektronických účastnických seznamech, www.1207.be a www.1307.be, jakož i v rámci dvou informačních služeb o účastnických číslech, 1207 a 1307, které rovněž poskytuje. Tyto kontaktní údaje předává dalšímu poskytovateli účastnických seznamů.
4.
Společnost Proximus vysvětluje, že její databáze a databáze třetích osob rozlišují mezi účastníky, jejichž kontaktní údaje mají být uvedeny v účastnických seznamech, a těmi, které mají být vyloučeny. V případě, že kontaktní údaje mají být uvedeny, je relevantním parametrem v záznamu účastníka „NNNNN“. V případě, kdy mají být kontaktní údaje vyloučeny, je relevantním parametrem „XXXXX“.
5.
Stěžovatel je účastníkem telefonní služby poskytované společností Telenet, telekomunikačním operátorem na belgickém trhu. Společnost Telenet neposkytuje účastnické seznamy. Poskytuje kontaktní údaje svých účastníků mimo jiné společnosti Proximus.
6.
Dne 13. ledna 2019 stěžovatel prostřednictvím kontaktního formuláře dostupného na webových stránkách www.1207.be zaslal společnosti Proximus následující žádost: „Prosím neuvádějte toto číslo v adresáři ‚Witte Gids‘, na www.1207.be […]“
7.
Na základě této žádosti společnost Proximus dne 28. ledna 2019 změnila relevantní parametr v záznamu stěžovatele z „NNNNN“ na „XXXXX“. Téhož dne odpověděl zaměstnanec společnosti Proximus stěžovateli následovně: „Číslo [x] není v současné chvíli uvedeno ve vydání ‚Gids‘. Tento údaj není ani dostupný v rámci informační služby o účastnických číslech (1207) a na webových stránkách (1207.be). Poslední aktualizace všech zveřejněných záznamů je dostupná na naší webové stránce www.1207.be“.
8.
Dne 31. ledna 2019 obdržela společnost Proximus od společnosti Telenet pravidelnou aktualizaci údajů o účastnících. Tato aktualizace obsahovala nové kontaktní údaje stěžovatele. Rovněž v ní bylo uvedeno, že kontaktní údaje stěžovatele měly být uvedeny v účastnických seznamech („NNNNN“). Společnost Proximus tuto aktualizaci automaticky provedla. V důsledku toho se kontaktní údaje stěžovatele staly veřejně přístupnými.
9.
Dne 14. srpna 2019 stěžovatel poté, co zjistil, že jeho telefonní číslo bylo uvedeno v elektronických telefonních seznamech www.1207.be a www.1307.be, jakož i v řadě dalších elektronických telefonních seznamů, kontaktoval prostřednictvím kontaktního formuláře dostupného na webových stránkách www.1207.be společnost Proximus, přičemž ji požádal, aby „neuváděla“ jeho telefonní číslo „na jejích webových stránkách http://www.1207.be“.
10.
Téhož dne odpověděl zaměstnanec společnosti Proximus takto: „Na základě Vaší žádosti jsme vymazali Váš záznam, takže Vaše údaje (telefonní číslo, jméno, adresa) již nebudou využívány pro telefonní seznamy nebo informační služby o účastnických číslech. Ve lhůtě několika dnů již nebudou Vaše údaje dostupné na webové stránce www.1207.be – www.1307.be a v rámci informačních služeb o účastnických číslech (1207-1307). Rovněž budeme kontaktovat společnost Google, aby odstranila relevantní odkazy na naši webovou stránku. Na základě právních předpisů byly Vaše údaje rovněž předány dalším provozovatelům telefonních seznamů a informačním službám o účastnických číslech, které o jejich poskytnutí požádali [společnost Proximus], a to konkrétně www.wittegids.be, www.infobel.com, www.de1212.be a www.opendi.be. Tyto subjekty budou prostřednictvím měsíční aktualizace rovněž informovány o Vaší žádosti nepoužívat Vaše údaje.“
11.
Stěžovatel zároveň podal stížnost k Gegevensbeschermingsautoriteit (Úřad pro ochranu údajů, Belgie; dále jen „GBA“). Stížnost obsahovala následující text: „navzdory mé písemné a výslovné žádosti […] o neuvádění mého (zcela nového) telefonního čísla […] a údajů v adresáři Witte Gids, na 12.07.be, […] dnes po telefonátu ze společnosti, která nemá mé telefonní číslo [jsem si všiml], že mé telefonní číslo bylo přesto uvedeno v adresářích www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, www.de1212.be a pravděpodobně také v příslušných informačních službách o účastnických číslech 1207, 1307 a v papírových verzích adresářů Witte Gids(en) a www.opendi.be“.
12.
Dne 27. srpna 2019 prohlásil útvar GBA stížnost za přípustnou a postoupil ji Geschillenkamer van de Gegevensbeschermingsautoriteit (komora pro sporné věci při Úřadu pro ochranu údajů, Belgie; dále jen „komora GBA pro sporné věci“).
III. Příslušné právní předpisy
A.
Unijní právo
1. Listina základních práv Evropské unie
13.
Článek 8 první a druhý pododstavec Listiny základních práv Evropské unie (dále jen „Listina“), nadepsaný „Ochrana osobních údajů“, stanoví:
„1.   Každý má právo na ochranu osobních údajů, které se ho týkají.
2.   Tyto údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Každý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu.“
2. Obecné nařízení o ochraně osobních údajů
14.
Pojem souhlas je stěžejním prvkem pro fungování GDPR. Podle čl. 4 odst. 11 tohoto nařízení se souhlasem rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
15.
Článek 5 první pododstavec GDPR, nadepsaný „Zásady zpracování osobních údajů“, v příslušné části stanoví:
„Osobní údaje musí být:
a)
ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);“
16.
Článek 5 druhý pododstavec GDPR stanoví:
„Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“
17.
Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, stanoví:
„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a)
subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
[…]“
18.
Článek 7 GDPR, nadepsaný „Podmínky vyjádření souhlasu“, v příslušných odstavcích stanoví:
„1.   Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
[…]
3.   Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu, který byl dán před jeho odvoláním. Před udělením souhlasu o tom bude subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej poskytnout.
[…]“
19.
V rozsahu, který je pro projednávanou věc relevantní, článek 17 GDPR, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, stanoví:
„1.   Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
[…]
b)
subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;
[…]
2.   Jestliže správce osobní údaje zveřejnil a je povinen je podle odstavce 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.
[…]“
20.
Článek 19 GDPR, nadepsaný „Oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování“, stanoví:
„Správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování provedené v souladu s článkem 16, čl. 17 odst. 1 a článkem 18, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje.“
21.
Článek 24 odst. 1 GDPR, nadepsaný „Odpovědnost správce“, stanoví:
„S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.“
22.
Článek 95 GDPR, nadepsaný „Vztah ke směrnici 2002/58/ES“, stanoví:
„Toto nařízení neukládá žádné další povinnosti fyzickým nebo právnickým osobám, pokud jde o zpracování ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích v Unii, co se týče záležitostí, u nichž se na ně vztahují konkrétní povinnosti s týmž cílem stanovené ve [směrnici 2002/58].“
3. Směrnice 2002/58
23.
Bod 17 odůvodnění směrnice 2002/58 uvádí:
„Pro účely této směrnice by měl mít souhlas uživatele nebo účastníka, bez ohledu na to, zda účastník je fyzická či právnická osoba, stejný význam jako souhlas subjektu údajů definovaný a dále upřesněný ve [směrnici 95/46]. Souhlas může být udělen jakýmkoli vhodným způsobem, který umožňuje vyjádřit svobodně poskytnutý, zvláštní a informovaný projev vůle uživatele, včetně označení zaškrtnutím políčka při návštěvě webové stránky na internetu.“
24.
Není-li stanoveno jinak, používá směrnice 2002/58 definice uvedené ve směrnici 95/46 (
4
) a směrnici Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (rámcová směrnice) (
5
). Článek 2 písm. f) směrnice 2002/58 definuje „souhlas“ uživatele či účastníka odkazem na souhlas subjektu údajů podle směrnice 95/46. Z toho vyplývá, že pro účely směrnice 2002/58 je definice souhlasu stejná jako definice obsažená v čl. 4 odst. 11 GDPR, jehož znění je uvedeno v bodě 14 v bodě tohoto stanoviska.
25.
Článek 12 odst. 2 a 3 směrnice 2002/58 stanoví:
„2.   Členské státy zajistí, aby účastníci měli možnost určit, zda jejich osobní údaje budou uvedeny ve veřejném seznamu a pokud ano, tak které, v rozsahu, ve kterém jsou tyto údaje významné pro účely seznamu stanovené poskytovatelem seznamu, a možnost ověřit, opravit či odstranit tyto údaje. Neuvedení ve veřejném účastnickém seznamu, ověření, oprava či odstranění osobních údajů ze seznamu musí být prováděno zdarma.
3.   Členské státy mohou vyžadovat, aby byli účastníci požádáni o dodatečný souhlas, bude-li účel veřejného účastnického seznamu jiný, než je vyhledávání podrobností pro kontaktování osoby na základě jejího jména a případně nutnosti i minimálního množství dalších identifikátorů.“
B.
Belgické právo
26.
Wet van 13 juni 2005 betreffende de elektronische communicatie (zákon ze dne 13. června 2005 o elektronické komunikaci) provádí do belgického práva zejména směrnici 2002/58 (
6
). Článek 133 odst. 1 uvedeného zákona provádí čl. 12 odst. 2 směrnice 2002/58. Taková další ustanovení WEC relevantní pro odpovědi navržené na otázky položené předkládajícím soudem jsou uvedeny níže.
IV. Vnitrostátní soudní řízení a řízení před Soudním dvorem
27.
V rozsahu, v němž se to jeví jako relevantní pro předběžné otázky položené Soudnímu dvoru, komora pro sporné věci GBA dne 30. července 2020 nařídila společnosti Proximus i) přijmout okamžitá a vhodná opatření za účelem zohlednění odvolání souhlasu ze strany stěžovatele, a splnit tak požadavky týkající se zpracování osobních údajů stanovené GDPR; ii) vyhovět žádosti stěžovatele o využití jeho „práva být zapomenut“; a iii) ukončit protiprávní zpracovávání údajů, které spočívalo v předávání osobních údajů třetím poskytovatelům účastnických seznamů. Rovněž uložila společnosti Proximus napomenutí z důvodu nedodržení článku 24 GDPR. Komora pro sporné věci GBA uložila společnosti Proximus pokutu ve výši 20000 eur za porušení článků 6, 7 a 12 GDPR (dále jen „sporné rozhodnutí“).
28.
Společnost Proximus podala proti spornému rozhodnutí odvolání k Hof van beroep te Brussel (odvolací soud v Bruselu), který položil Soudnímu dvoru následující předběžné otázky:
„1)
Musí být čl. 12 odst. 2 směrnice 2002/58 ve spojení s čl. 2 písm. f této směrnice a článkem 95 [GDPR] vykládán v tom smyslu, že je přípustné, aby vnitrostátní dozorový úřad z důvodu neexistence odlišně znějících vnitrostátních právních předpisů jako základ pro zveřejnění osobních údajů účastníka v rámci veřejně dostupných účastnických seznamů a telefonních informačních služeb o účastnických číslech, které zveřejňuje samotný provozovatel nebo jiní poskytovatelé, požadoval ‚souhlas‘ účastníka ve smyslu [GDPR]?
2)
Musí být právo na výmaz podle článku 17 [GDPR] vykládáno v tom smyslu, že brání tomu, aby vnitrostátní dozorový úřad kvalifikoval žádost účastníka o výmaz z veřejně dostupných účastnických seznamů a telefonních informačních služeb o účastnických číslech jako žádost o výmaz ve smyslu článku 17 [GDPR]?
3)
Musí být článek 24 a čl. 5 odst. 2 [GDPR] vykládány v tom smyslu, že brání tomu, aby vnitrostátní dozorový úřad z odpovědnosti, která je v nich zakotvena, vyvozoval, že správce musí zavést vhodná technická a organizační opatření, aby další správce, a to poskytovatele telefonních služeb a ostatní poskytovatele účastnických seznamů a telefonních informačních služeb o účastnických číslech, kteří obdrželi údaje od prvně uvedeného správce, informoval o odvolání souhlasu ze strany subjektu údajů podle článku 6 ve spojení s článkem 7 [GDPR]?
4)
Musí být čl. 17 odst. 2 [GDPR] vykládán v tom smyslu, že brání tomu, aby vnitrostátní dozorový úřad nařídil poskytovateli veřejně dostupných účastnických seznamů a telefonních informačních služeb o účastnických číslech, od kterého je požadováno, aby již nezveřejňoval údaje určité osoby, aby přijal vhodná opatření za účelem informování [provozovatelů] internetových vyhledávačů o žádosti o výmaz?“
29.
Písemná vyjádření předložily společnost Proximus, GBA, italská, lotyšská, portugalská a rumunská vláda, jakož i Evropská komise.
30.
Řeči společnosti Proximus, GBA a Komise a jejich odpovědi na otázky položené Soudem byly vyslechnuty na jednání konaném dne 9. února 2022.
V. Posouzení
A.
K přípustnosti předběžných otázek
31.
Úvodem společnost Proximus tvrdí, že část první předběžné otázky týkající se povinností telekomunikačních operátorů, na rozdíl od povinností uložených poskytovatelům účastnických seznamů, jakož i druhá a čtvrtá otázka, jsou hypotetické nebo irelevantní pro otázky, které musí předkládající soud posoudit, a jsou tedy nepřípustné.
32.
Podle ustálené judikatury je v rámci řízení upraveného v článku 267 SFEU věcí pouze vnitrostátního soudu, kterému byl spor předložen a jenž musí nést odpovědnost za soudní rozhodnutí, které bude vydáno, aby s ohledem na konkrétní okolnosti věci posoudil jak nezbytnost rozhodnutí o předběžné otázce pro vydání jeho rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. V důsledku toho, jestliže se položené otázky týkají výkladu práva Unie, je Soudní dvůr v zásadě povinen rozhodnout (
7
).
33.
Odmítnout rozhodnutí o předběžné otázce položené vnitrostátním soudem je nicméně možné tehdy, pokud je zjevné, že žádaný výklad práva Unie nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém, nebo také tehdy, pokud Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (
8
).
34.
Za účelem odpovědi na námitky nepřípustnosti vznesené společností Proximus navrhuji uvést hlavní argumenty zúčastněných před Soudním dvorem, aby bylo možné posoudit, zda jsou čtyři předběžné otázky natolik vzdáleny předmětu sporu projednávaného před předkládajícím soudem, že nemají žádný vztah k realitě nebo předmětu sporu v původním řízení, takže všechny tyto otázky nebo jejich část jsou nepřípustné.
35.
Společnost Proximus má za to, že nemá povinnost získat souhlas stěžovatele s uvedením jeho kontaktních údajů ve svých seznamech, ani mu poskytnout příležitost rozhodnout o tom, zda v nich mají být jeho osobní údaje uvedeny. Podle společnosti Proximus se jedná o otázky, za které odpovídá telekomunikační operátor (v projednávané věci společnost Telenet). Z toho vyplývá, že stěžovatel měl zaslat svoji žádost o výmaz svých kontaktních údajů ze seznamů společnosti Proximus společnosti Telenet. Podpůrně se společnost Proximus domnívá, že ustanovení GDPR týkající se „práva být zapomenut“ jsou irelevantní, neboť odstranění kontaktních údajů spočívá ve změně parametru „NNNNN“ v příslušném záznamu na „XXXXX“. Jedná se o opravu, a nikoli o výmaz údajů. Bylo by rovněž nepřiměřené požadovat po společnosti Proximus, aby informovala provozovatele internetových vyhledávačů o žádosti stěžovatele, neboť není jisté, zda stěžovatel získal své kontaktní údaje od společnosti Proximus nebo od jiného poskytovatele účastnických seznamů.
36.
GBA zastává názor, že k uvedení kontaktních údajů stěžovatele v účastnických seznamech byl vyžadován jeho předchozí souhlas. Poté, co stěžovatel informoval společnost Proximus, že si již nepřeje, aby byly v seznamu uvedeny jeho údaje, bylo jejich následné uvádění v těchto seznamech protiprávní. Žádost stěžovatele představovala odvolání jeho souhlasu a využití jeho „práva být zapomenut“ ve smyslu článku 17 GDPR. Podle čl. 17 odst. 2 GDPR měla společnost Proximus povinnost informovat o této žádosti provozovatele internetových vyhledávačů. Článek 5 odst. 2 a článek 24 GDPR rovněž umožňují, aby GBA požadovala po společnosti Proximus, aby společnost Proximus informovala o této žádosti telekomunikační operátory a další poskytovatele účastnických seznamů.
37.
Vyjádření italské vlády a Komise se z velké části shodují s vyjádřením GBA. Ačkoli vyjádření lotyšské, portugalské a rumunské vlády zaujímají podobný přístup, obsahují rovněž následující výhrady. Lotyšská vláda poukazuje na to, že neexistuje žádný právní základ, na základě něhož by každý poskytovatel účastnických seznamů měl povinnost získat samostatné souhlasy: různí provozovatelé, kteří používají údaje ke stejnému účelu, musí mít možnost vycházet z jednoho souhlasu uděleného subjektem údajů. Rumunská vláda má za to, že se čl. 5 odst. 2 a článku 24 GDPR nelze dovolávat takovým způsobem, jak to činí GBA, jelikož tato ustanovení neukládají správcům povinnosti zahájit dialog s jinými správci. Portugalská vláda má za to, že povinnost správců informovat třetí osoby, včetně provozovatelů internetových vyhledávačů, o žádostech o výmaz údajů vychází z článku 19 GDPR, a nikoli z jeho čl. 17 odst. 2.
38.
Z tohoto krátkého přehledu hlavních argumentů zúčastněných před Soudním dvorem jsem přesvědčen, že všechny čtyři předběžné otázky položené předkládajícím soudem jsou relevantní pro předmět sporu, který mu byl předložen, a jsou natolik úzce spjaty, že žádná z jejich částí nemůže být považována za nepřípustnou. V důsledku toho navrhuji, aby Soudní dvůr zamítl námitky vznesené společností Proximus týkající se přípustnosti předběžných otázek.
B.
K věci samé
1. K první předběžné otázce
39.
Podstatou první otázky předkládajícího soudu je, zda je podle čl. 12 odst. 2 směrnice 2002/58 ve spojení s čl. 2 písm. f) této směrnice a článkem 95 GDPR vyžadován souhlas účastníka, jak jej definuje GDPR, za účelem uvedení jeho kontaktních údajů v seznamech zveřejněných telekomunikačním operátorem nebo jinými poskytovateli účastnických seznamů.
40.
Podle čl. 12 odst. 2 směrnice 2002/58 musí mít účastníci možnost určit, zda jejich osobní údaje budou uvedeny ve veřejném seznamu. Z tohoto požadavku implicitně vyplývá související povinnost poskytnout účastníkům možnost výslovně si zvolit, zda chtějí, aby jejich údaje byly v takových seznamech uvedeny. Článek 12 odst. 3 směrnice 2002/58 navíc odkazuje na skutečnost, že účastníci mohou být požádáni o „dodatečný souhlas“, bude-li účel veřejného účastnického seznamu jiný, než je vyhledávání podrobností pro kontaktování osoby na základě jejího jména (
9
). Odkaz na „dodatečný souhlas“ uvedený v čl. 12 odst. 3 rovněž znamená, že čl. 12 odst. 2 vyžaduje, aby byl souhlas s takovým zveřejněním získán jako první.
41.
Jak bylo uvedeno v bodech 23 a 24 tohoto stanoviska, pro účely čl. 2 písm. f) směrnice 2002/58 se „souhlasem“ rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
42.
Odkaz na „zjevné potvrzení“ v definici souhlasu pro účely směrnice 2002/58 je dalším potvrzením toho, že účastníkům musí být umožněno „vyjádřit souhlas“ s uvedením svých osobních údajů ve veřejném účastnickém seznamu. Na rozdíl od toho, co tvrdí společnost Proximus, poskytovatelé účastnických seznamů nemohou předpokládat, že výchozím postojem účastníka je, že souhlasí s uvedením svých kontaktních údajů ve veřejném seznamu neboli to, co by bylo možné označit jako přístup spočívající ve „vyjádření nesouhlasu“.
43.
Soudní dvůr kromě toho rozhodl, že z kontextuálního a systematického výkladu článku 12 směrnice 2002/58 vyplývá, že souhlas podle druhého odstavce tohoto článku se váže k účelu zveřejnění osobních údajů ve veřejně přístupném účastnickém seznamu, a nikoli k totožnosti konkrétního poskytovatele tohoto seznamu. Souhlas podle čl. 12 odst. 2 směrnice 2002/58 se vztahuje i na jakékoli pozdější zpracování údajů třetími podniky činnými na trhu informačních služeb o veřejně přístupných účastnických číslech a poskytování účastnických seznamů, pokud takové zpracování sleduje tentýž účel (
10
).
44.
Z toho vyplývá, že souhlas účastníka, jak jej definuje čl. 4 odst. 11 GDPR, se vyžaduje k tomu, aby jeho osobní údaje byly uvedeny v účastnických seznamech zveřejněných telekomunikačními operátory nebo třetími poskytovateli účastnických seznamů. Pokud takové zveřejnění slouží stejnému účelu, může se telekomunikační operátor nebo třetí poskytovatel(é) tohoto souhlasu dovolávat.
45.
Dodávám, že podle čl. 7 odst. 1 GDPR platí, že pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů. Takový poskytovatel účastnických seznamů, jako je společnost Proximus, nemůže předpokládat, že účastník udělil svůj souhlas, i když se může dovolávat souhlasu, který účastník poskytl jinému správci.
46.
Společnost Proximus se dovolává bodů 38 a 39 odůvodnění směrnice 2002/58 za účelem podpory svých tvrzení, že jakákoli povinnost: i) informovat účastníky o účelech účastnických seznamů, v nichž mají být uvedeny jejich osobní údaje; a ii) poskytnout jim možnost určit, zda budou jejich osobní údaje uvedeny v seznamu, přísluší pouze telekomunikačnímu operátorovi, se kterým účastník uzavřel smlouvu. Znění uvedených bodů odůvodnění tato tvrzení nepodporují. Bod 38 odůvodnění odkazuje na povinnost „poskytovatelů veřejných seznamů“„informovat účastníky, kteří mají být v takových seznamech uvedeni, o účelech seznamu […]“. Bod 39 odůvodnění uvádí, že „subjekt shromažďující údaje, které mají být v seznamu uvedeny, má povinnost informovat účastníky o účelu/účelech veřejných seznamů, v nichž mají být uvedeny jejich osobní údaje“.
47.
Vzhledem k tomu, že společnost Telenet nezveřejňuje účastnické seznamy, ani jeden z uvedených bodů odůvodnění se na ni nevztahuje. Ačkoli telekomunikační operátor může získat souhlas účastníků pro účely uvedení jejich údajů v účastnických seznamech poskytovaných třetími osobami, a tyto třetí osoby se mohou následně tohoto souhlasu dovolávat a být schopny prokázat, že takový souhlas byl telekomunikačnímu operátorovi poskytnut, z bodů 38 a 39 odůvodnění směrnice 2002/58 nevyplývá, že by povinnost získat tento souhlas měli pouze telekomunikační operátoři, což by zbavovalo jiné poskytovatele účastnických seznamů jejich povinnosti a odpovědnosti v tomto ohledu.
48.
Konečně vzhledem k tomu, že směrnice 2002/58 výslovně přebírá definici souhlasu obsaženou v GDPR, debata, kterou společnost Proximus vyvolala ohledně výkladu článku 95 GDPR a vztahu mezi GDPR a směrnicí 2002/58, který označila za „lex generalis/lex specialis“, je irelevantní.
49.
Navrhuji tedy Soudnímu dvoru, aby na první předběžnou otázku odpověděl tak, že podle čl. 12 odst. 2 směrnice 2002/58 ve spojení s čl. 2 písm. f) této směrnice a článkem 95 GDPR je k uvedení kontaktních údajů účastníka v seznamech zveřejňovaných telekomunikačním operátorem nebo jinými poskytovateli účastnických seznamů vyžadován jeho „souhlas“ ve smyslu čl. 4 odst. 11 GDPR.
2. Ke druhé předběžné otázce
50.
Druhou předběžnou otázkou se předkládající soud snaží zjistit, zda žádost účastníka o výmaz jeho údajů z účastnických seznamů představuje využití „práva na výmaz“ stanoveného článkem 17 GDPR.
51.
Společnost Proximus tvrdí, že třetí poskytovatel účastnických seznamů nemá povinnost vyřídit žádost účastníka o výmaz údajů z účastnických seznamů, jelikož článek 17 GDPR se na tuto třetí osobu nevztahuje. Účastník měl zaslat svou žádost telekomunikačnímu operátorovi, s nímž uzavřel smlouvu. Společnost Proximus opět tvrdí, že vztah mezi GDPR a směrnicí 2002/58 je vztahem lex generalis/lex specialis.
52.
Podpůrně společnost Proximus tvrdí, že žádost stěžovatele „neuvádět telefonní číslo […] na 1207.be“ je žádostí o opravu ve smyslu článku 16 GDPR, nikoliv žádostí o výmaz podle článku 17 GDPR, jelikož příslušný parametr v záznamu účastníka se pouze změnil z „NNNNN“ na „XXXXX“.
53.
Článek 12 odst. 2 směrnice 2002/58 stanoví, že účastníci musí mít možnost „opravit či odstranit“ osobní údaje, s jejichž uvedením v účastnických seznamech souhlasili. Směrnice 2002/58 nedefinuje pojmy „opravit či odstranit“. Je tedy třeba přihlédnout k obvyklému smyslu těchto slov v kontextu, v němž se objevují, a sice v kontextu uvedení kontaktních údajů účastníků v účastnických seznamech. Slovo „opravit“ se jasně vztahuje na případy, kdy účastníci chtějí změnit způsob, jakým jsou jejich kontaktní údaje uvedeny v seznamu, jako je například oprava způsobu psaní jména nebo nepřesností v adrese. Uvedený případ se liší od situace v projednávané věci, kdy stěžovatel chce, aby jeho kontaktní údaje již nebyly uvedeny ve veřejně dostupných seznamech. Mezi významy slova „odstranit“ patří „vymazat“, „vzít zpět“ nebo „odvolat“. Tím, že stěžovatel již nesouhlasí s tím, aby jeho údaje byly zpracovávány prostřednictvím jejich uvedení v účastnických seznamech, lze říci, že stěžovatel požádal o odstranění svých osobních údajů ve smyslu čl. 12 odst. 2 směrnice 2002/58.
54.
Jak uvádí lotyšská vláda, směrnice 2002/58 neobsahuje žádné další údaje týkající se způsobů, provádění a důsledků žádostí o „odstranění“ osobních údajů. Ustanovení GDPR se tedy použijí přímo, takže argument společnosti Proximus vycházející ze vztahu lex generalis/lex specialis mezi oběma akty je irelevantní. Podle čl. 7 odst. 3 GDPR má účastník právo svůj souhlas kdykoli odvolat. Poté, co je souhlas odvolán, stanoví čl. 6 odst. 1 písm. a) GDPR, že zpracování údajů účastníka pro konkrétní účel uvedení v účastnických seznamech již není zákonné. To následně vede k použití článku 17 GDPR.
55.
Společnost Proximus tvrdí, že tento výklad není správný, neboť by to znamenalo, že společnost Proximus i společnost Telenet by musely vymazat záznam stěžovatele ze všech svých databází. GBA a další zúčastněné, které Soudnímu dvoru předložily vyjádření, jsou toho názoru, že žádost stěžovatele se vztahuje pouze na odstranění jeho údajů z účastnických seznamů, a nikoli na výmaz z databáze účastníků společnosti Telenet.
56.
Cílem stěžovatele je, aby jeho údaje nebyly zpracovány pro účely související s účastnickými seznamy. To mu usnadňuje čl. 17 odst. 1 písm. b) GDPR, který umožňuje odvolat souhlas, na jehož základě byly údaje zpracovány. Souhlas, který musí být podle čl. 12 odst. 2 směrnice 2002/58 získán od účastníka, se týká zpracování údajů zvláštním způsobem, a sice pro účely zveřejnění v účastnických seznamech. Pokud byl tento souhlas odvolán, tento zvláštní způsob zpracování údajů účastníka se stává protiprávním. Pokud by tomu bylo jinak, účastník by nemohl odvolat svůj souhlas za účelem zveřejnění v účastnických seznamech, aniž by současně ukončil svou smlouvu o poskytování telekomunikačních služeb.
57.
Navrhuji tedy Soudnímu dvoru, aby na druhou předběžnou otázku odpověděl tak, že žádost účastníka o výmaz jeho údajů z účastnických seznamů představuje využití „práva na výmaz“ stanoveného článkem 17 GDPR.
3. Ke třetí předběžné otázce
58.
Podstatou třetí otázky předkládajícího soudu je, zda na základě čl. 5 odst. 2 a článku 24 GDPR může vnitrostátní dozorový úřad dospět k závěru, že správce musí zavést vhodná technická a organizační opatření, aby další správce, a to telekomunikačního operátora a ostatní poskytovatele účastnických seznamů, kteří obdrželi údaje od prvně uvedeného správce, informoval o odvolání souhlasu ze strany subjektu údajů podle článku 6 GDPR ve spojení s článkem 7 GDPR.
59.
V této otázce je „správcem“ společnost Proximus a „třetími správci“ jsou: i) telekomunikační operátor, kterým je společnost Telenet, u níž má stěžovatel předplatné telefonních služeb; a ii) poskytovatel(é) účastnických seznamů, kterým společnost Proximus poskytuje údaje o účastnících, včetně těch, které získala od společnosti Telenet.
60.
Vzhledem k tomu, že telekomunikační operátor neposkytuje účastnické seznamy a že k tomu, aby kontaktní údaje účastníků byly uvedeny v účastnických seznamech, musí být získán souhlas, vyvstává otázka, proč je relevantní informovat telekomunikačního operátora o tom, že účastník odvolal svůj souhlas s použitím svých údajů za tímto účelem.
61.
WEC ukládá telekomunikačním operátorům povinnost předávat kontaktní údaje o účastnících poskytovatelům účastnických seznamů (
11
). Musí však „vést odděleně“ kontaktní údaje účastníků, kteří uvedli, že nechtějí být uvedeni v seznamu, aby mohli obdržet kopii tohoto seznamu (
12
). Jak je popsáno v bodě 4 tohoto stanoviska, k odvolání souhlasu dochází prostřednictvím úpravy parametrů v záznamu účastníka. Společnost Proximus aktualizuje svou databázi, jakmile obdrží odvolání souhlasu. Tato aktualizace je však přepsána, jakmile společnost Proximus obdrží další soubor údajů o účastnících od telekomunikačního operátora s cílem jejich uvedení v účastnických seznamech a telekomunikační operátor nebyl informován o žádosti účastníka, aby jeho údaje nebyly uvedeny ve veřejně přístupném účastnickém seznamu. Společnost Proximus tak musí nejen aktualizovat svou vlastní databázi, aby zohlednila odvolání souhlasu ze strany účastníka, ale musí toto odvolání rovněž oznámit telekomunikačnímu operátorovi.
62.
Společnost Proximus tak tvrdí, že je pouze „příjemcem, jemuž byly osobní údaje zpřístupněny“ ve smyslu článku 19 GDPR. Povinnost správců přijmout přiměřené kroky k informování jiných správců o žádostech o výmaz uvedená v čl. 17 odst. 2 GDPR se tedy na společnost Proximus nevztahuje. Z toho podle společnosti Proximus vyplývá, že je nesprávné vykládat čl. 5 odst. 2 a článek 24 GDPR tak, že jí ukládají povinnost informovat telekomunikačního operátora a další poskytovatele účastnických seznamů o žádostech o výmaz, které obdrží.
63.
Považuji za obtížné připustit, že společnost Proximus je pouhým příjemcem osobních údajů. I když je možné, že společnost Proximus obdržela kontaktní údaje o stěžovateli od společnosti Telenet, představuje zveřejnění těchto údajů v jejích seznamech zpracování údajů ve smyslu čl. 4 odst. 2 GDPR. V této souvislosti jedná společnost Proximus jako správce ve smyslu čl. 4 odst. 7 GDPR (
13
). Podle čl. 5 odst. 2 a článku 24 GDPR se na správce vztahují povinnosti týkající se odpovědnosti a přijetí přiměřených kroků k zajištění toho, aby zpracování údajů bylo prováděno v souladu s GDPR.
64.
Článek 5 odst. 1 písm. a) GDPR stanoví, že osobní údaje musí být zpracovávány zákonným způsobem. Podle čl. 6 odst. 1 písm. a) uvedeného nařízení je zpracování zákonné pouze tehdy, pokud subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů, a pouze v odpovídajícím rozsahu. Z předkládacího rozhodnutí vyplývá, že stěžovatel odvolal svůj souhlas se zpracováním svých osobních údajů ve smyslu článku 7 GDPR za účelem zveřejnění v účastnických seznamech. Takové zpracování, včetně zpracování prováděného jinými poskytovateli účastnických seznamů za stejným účelem, není v souladu s GDPR. Je tedy nezákonné.
65.
Tomuto závěru, jakož i požadavkům na informace stanoveným v čl. 17 odst. 2 a článku 19 GDPR odpovídá, že vnitrostátní dozorový úřad může z odpovědnosti stanovené v čl. 5 odst. 2 GDPR a z povinnosti stanovené v článku 24 GDPR, tedy povinnosti zajistit, a být schopen doložit, že zpracování je prováděno v souladu s tímto nařízením, vyvodit, že správce musí prostřednictvím vhodných technických a organizačních opatření informovat ostatní správce, konkrétně telekomunikačního operátora a další poskytovatele účastnických seznamů, kteří obdrželi údaje od prvně uvedeného správce, o odvolání souhlasu ze strany subjektu údajů v podle článku 6 GDPR ve spojení s článkem 7 GDPR.
66.
Rumunská vláda uvádí, že čl. 17 odst. 2 GDPR obsahuje požadavky na informace uložené provozovatelům internetových vyhledávačů při žádostech o výmaz. Bylo by tedy nepřiměřené, aby vnitrostátní dozorový úřad vycházel z čl. 5 odst. 2 a článku 24 GDPR, zejména z toho důvodu, že tato ustanovení neobsahují specifické povinnosti upravující předávání informací třetím osobám.
67.
Podle mého názoru čl. 5 odst. 2 a článek 24 GDPR ukládají správcům obecnou odpovědnost a požadavky na dodržování předpisů. Jejich široké znění a rozsah jim umožňují zjednodušit postup vnitrostátnímu dozorovému úřadu, který chce uložit správcům požadavky na informace vůči třetím osobám. Je pravda, že čl. 17 odst. 2 a článek 19 GDPR stanoví zvláštní informační povinnosti, pokud jde o „správce“ (týkající se zveřejněných údajů, o jejichž výmaz bylo požádáno) a o „příjemce“. Tato ustanovení se však netýkají skutkového stavu v projednávané věci, kdy v důsledku interakce databází různých dotčených stran vzniká potřeba oznámit telekomunikačním operátorům odvolání souhlasu, bez kterého společnost Proximus, jakož i poskytovatelé používající údaje o účastnících, které obdržely od společnosti Proximus, budou údaje zpracovávat nezákonně.
68.
Tento výklad GDPR vede k tomu, že účastník může oznámit odvolání svého souhlasu (v projednávané věci žádost o to, aby kontaktní údaje nebyly uvedeny v účastnických seznamech) každému subjektu, který tyto údaje uvedl v účastnických seznamech, nebo jakémukoliv subjektu (včetně telekomunikačního operátora), který tyto kontaktní údaje oznámí za stejným účelem jiným subjektům. Subjekt, na který se účastník obrátí, se stává odpovědným za předání žádosti o výmaz jiným správcům v rozsahu nezbytném k zabránění nezákonnému zpracování těchto údajů. Takový výklad je v souladu s povinností, kterou čl. 12 odst. 2 GDPR ukládá správcům, aby usnadnili výkon práv subjektu údajů podle článků 15 až 22 GDPR. Odráží rovněž požadavek uvedený v čl. 7 odst. 3 poslední větě GDPR, podle kterého musí být odvolat souhlas se zpracováním osobních údajů stejně snadné jako jej poskytnout. Jelikož se poskytovatel účastnických seznamů může dovolávat souhlasu uděleného účastníkem ke zpracování údajů za tímto účelem jinému poskytovateli, vyplývá z toho, že k tomu, aby účastník odvolal svůj souhlas, musí mít možnost kontaktovat kteréhokoliv z poskytovatelů účastnických seznamů nebo telekomunikačního operátora za účelem odstranění jeho kontaktních údajů ze seznamů zveřejněných všemi, kteří se dovolávají pouze jednoho souhlasu.
69.
Navrhuji tedy odpovědět na třetí předběžnou otázku tak, že podle čl. 5 odst. 2 a článku 24 GDPR může vnitrostátní dozorový úřad dospět k závěru, že správce musí zavést vhodná technická a organizační opatření, aby další správce, a to telekomunikačního operátora a ostatní poskytovatele účastnických seznamů, kteří obdrželi údaje od prvně uvedeného správce, informoval o odvolání souhlasu ze strany subjektu údajů podle článku 6 GDPR ve spojení s článkem 7 GDPR.
4. Ke čtvrté předběžné otázce
70.
Podstatou čtvrté otázky předkládajícího soudu je, zda čl. 17 odst. 2 GDPR brání tomu, aby vnitrostátní dozorový úřad nařídil poskytovateli účastnických seznamů, aby informoval provozovatele internetových vyhledávačů o žádostech o výmaz, které obdržel.
71.
V této otázce má předkládající soud implicitně za to, že stěžovatel již nechtěl, aby jeho kontaktní údaje byly zveřejněny na internetu prostřednictvím internetových vyhledávačů.
72.
Jak je uvedeno v bodě 62 tohoto stanoviska, společnost Proximus má za to, že se na ni nevztahuje čl. 17 odst. 2 GDPR, neboť je pouhým příjemcem osobních údajů. Podpůrně společnost Proximus tvrdí, že podle čl. 17 odst. 2 GDPR je povinna provést pouze přiměřené kroky, aby informovala správce o tom, že subjekt údajů požádal o výmaz svých údajů (
14
). Vzhledem k tomu, že společnost Proximus přímo neposkytla údaje provozovatelům internetových vyhledávačů, není si „na 100 % jistá“, že tito provozovatelé získali kontaktní údaje stěžovatele od společnosti Proximus a mohli je tak získat od jiného poskytovatele účastnických seznamů. Za těchto podmínek by bylo nepřiměřené požadovat, aby společnost Proximus po obdržení žádosti stěžovatele přímo kontaktovala provozovatele internetových vyhledávačů.
73.
Z odpovědi, kterou navrhuji uvést na druhou předběžnou otázku, vyplývá, že žádost účastníka o výmaz jeho údajů z účastnických seznamů vede k uplatnění povinnosti, kterou čl. 17 odst. 2 GDPR ukládá správci, tedy provést přiměřené kroky pouze k tomu, aby informoval správce, který zpracovává osobní údaje o tom, že subjekt údajů požádal o výmaz veškerých odkazů na tyto osobní údaje nebo o výmaz veškerých kopií či replikací těchto osobních údajů.
74.
Vyvstává tedy otázka, zda jsou provozovatelé internetových vyhledávačů správci. Indexace a zpřístupnění osobních údajů uživatelům internetu v seznamu výsledků vyhledávání představuje zpracování osobních údajů ve smyslu čl. 4 odst. 2 GDPR. Jelikož provozovatelé internetových vyhledávačů rozhodují, jak tyto údaje indexují a jsou zodpovědní za vývoj algoritmu, který stanoví pořadí, v němž se zobrazují výsledky vyhledávání, určují účely a prostředky zpracování osobních údajů, čímž jednají jako správce ve smyslu čl. 4 odst. 7 GDPR (
15
).
75.
Zbývá požadavek, aby společnost Proximus provedla pouze přiměřené kroky, včetně technických opatření, aby informovala provozovatele internetových vyhledávačů o žádosti o výmaz údajů.
76.
Za účelem posouzení přiměřenosti provedených kroků čl. 17 odst. 2 GDPR stanoví, že musí být zohledněny dostupné technologie a náklady na provedení, což přísluší především orgánu příslušnému v této oblasti, s výhradou soudního přezkumu. V bodě 10 tohoto stanoviska je uvedeno, že společnost Proximus stěžovateli sdělila, že o jeho žádosti o výmaz informuje společnost Google. GBA ve svém vyjádření před Soudním dvorem uvedla, že k druhému čtvrtletí roku 2020 existoval v Belgii omezený počet provozovatelů internetových vyhledávačů v čele se společností Google, která měla podíl na trhu mezi 90 % (pro desktopové vyhledávání) a 99 % (pro vyhledávání na chytrých telefonech a tabletech) (
16
). Pouze na tomto základě se jeví neodůvodněné dospět k závěru, že by bylo nepřiměřené požadovat po společnosti Proximus, aby informovala provozovatele internetových vyhledávačů o takových žádostech o výmaz, které obdrží.
77.
Každopádně nejsem přesvědčen o tom, že posouzení „přiměřenosti“ kroků ve smyslu čl. 17 odst. 2 GDPR, které společnost Proximus musí podniknout za účelem informování konkrétního provozovatele internetových vyhledávačů, musí zohlednit skutečnost, že společnost Proximus si byla na „100 % jistá“, že dotyčný provozovatel internetových vyhledávačů získal údaje, které měly být vymazány, od společnosti Proximus. Nepřesvědčil mě ani argument, že by bylo nepřiměřené požadovat po společnosti Proximus, aby přijala jakékoli opatření k dodržení čl. 17 odst. 2 GDPR, jelikož si není „100 % jistá“, že provozovatelé internetových vyhledávačů získali kontaktní údaje stěžovatele od společnosti Proximus.
78.
Umožnit správcům, aby se vyhnuli odpovědnosti za zpracování osobních údajů na základě možnosti, že dotčené údaje od nich nebyly získány, by zbavilo účinnosti jakoukoliv povinnost v tomto ohledu za okolností, kdy jsou údaje propojeny nebo kopírovány na internetu. Takový přístup by dokonce mohl představovat nevhodnou pobídku k šíření údajů, za účelem vyhnutí se této povinnosti. Při přijetí argumentu společnosti Proximus do jeho nejzazších důsledků by žádný poskytovatel účastnických seznamů nebyl odpovědný za dodržení čl. 17 odst. 2 GDPR tím, že informuje provozovatele internetových vyhledávačů o žádosti stěžovatele, neboť všichni tito provozovatelé se mohou dovolávat jakékoli nejistoty ohledně původu údajů. Kromě toho, jelikož společnost Telenet nezveřejňuje seznamy, provozovatelé internetových vyhledávačů nemohli získat údaje od telekomunikačního operátora. To znamená, že účastník by musel zjistit, kde jsou jeho kontaktní údaje k dispozici, a zaslat žádosti o výmaz každému subjektu, který je zveřejňuje. Takový přístup by zjevně nebyl v souladu s čl. 7 odst. 3 GDPR, který stanoví, že odvolat souhlas musí být stejně snadné jako jej poskytnout.
79.
Navrhuji tedy Soudnímu dvoru, aby na čtvrtou předběžnou otázku odpověděl tak, že čl. 17 odst. 2 GDPR nebrání tomu, aby vnitrostátní dozorový úřad nařídil poskytovateli účastnických seznamů, aby informoval provozovatele internetových vyhledávačů o žádostech o výmaz, které obdržel.
VI. Závěry
80.
Navrhuji tedy Soudnímu dvoru, aby na předběžné otázky položené Hof van beroep te Brussel (odvolací soud v Bruselu, Belgie) odpověděl následovně:
„1)
Podle čl. 12 odst. 2 směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích), ve spojení s jejím čl. 2 písm. f) a článkem 95 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), je k uvedení kontaktních údajů účastníka v seznamech zveřejňovaných telekomunikačním operátorem nebo jinými poskytovateli účastnických seznamů vyžadován jeho „souhlas“ ve smyslu čl. 4 odst. 11 obecného nařízení o ochraně osobních údajů.
2)
Žádost účastníka o výmaz jeho osobních údajů z účastnických seznamů představuje využití „práva na výmaz“ stanoveného článkem 17 obecného nařízení o ochraně osobních údajů.
3)
Podle čl. 5 odst. 2 a článku 24 obecného nařízení o ochraně osobních údajů může vnitrostátní dozorový úřad dospět k závěru, že správce musí zavést vhodná technická a organizační opatření, aby další správce, a to telekomunikačního operátora a ostatní poskytovatele účastnických seznamů, kteří obdrželi údaje od prvně uvedeného správce, informoval o odvolání souhlasu ze strany subjektu údajů podle článku 6 obecného nařízení o ochraně osobních údajů ve spojení s článkem 7 uvedeného nařízení.
4)
Článek 17 odst. 2 obecného nařízení o ochraně osobních údajů nebrání tomu, aby vnitrostátní dozorový úřad nařídil poskytovateli účastnických seznamů, aby informoval provozovatele internetových vyhledávačů o žádostech o výmaz, které obdržel“.
(
1
) – Původní jazyk: angličtina.
(
2
) – Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“. GDPR zrušilo a nahradilo směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).
(
3
) – Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514, naposledy pozměněná směrnicí Evropského parlamentu a Rady 2009/136/ES (Úř. věst. 2009, L 337, s. 11).
(
4
) – Článek 94 GDPR zrušil a nahradil směrnici 95/46/ES. Článek 94 odst. 2 GDPR stanoví, že odkazy na směrnici 95/46/ES se považují za odkazy na GDPR.
(
5
) – Úř. věst. 2002, L 108, s. 33; Zvl. vyd. 13/29, s. 349. Viz článek 2 směrnice 2002/58.
(
6
) – Belgisch Staatsblad, 20. června 2005, s. 28070, dále jen „WEC“.
(
7
) – Rozsudky ze dne 1. dubna 2008, Government of the French Community a Walloon Government (C‑212/06, EU:C:2008:178, bod 28); ze dne 22. října 2009, Zurita García a Choque Cabrera (C‑261/08 a C‑348/08, EU:C:2009:648, bod 34); a ze dne 19. listopadu 2009, Filipiak (C‑314/08, EU:C:2009:719, bod 40).
(
8
) – Rozsudek ze dne 22. října 2009, Zurita García a Choque Cabrera (C‑261/08 a C‑348/08, EU:C:2009:648, bod 35).
(
9
) – Viz v témže smyslu bod 39 odůvodnění směrnice 2002/58, který vysvětluje požadavek „obnoveného souhlasu“, pokud mají být údaje použity „k jiným účelům než těm, pro které byly shromážděny“.
(
10
) – Rozsudek ze dne 5. května 2011, Deutsche Telecom (C‑543/09, EU:C:2011:279, body 61 až 67).
(
11
) – Článek 45 odst. 2 a čl. 46 odst. 2 WEC.
(
12
) – Článek 45 odst. 3 WEC.
(
13
) – Podle čl. 4 odst. 7 GDPR je „správcem“ fyzická nebo právnická osoba, která určuje účely a prostředky zpracování osobních údajů. Článek 4 odst. 2 GDPR stanoví, že pojem „zpracování“ zahrnuje „zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění“ osobních údajů.
(
14
) – Nebo podle společnosti Proximus o opravu.
(
15
) – Viz rovněž bod 66 odůvodnění GDPR, který potvrzuje, že cílem těchto ustanovení je posílení práva být zapomenut v internetovém prostředí. Tento závěr je potvrzen rozsudkem ze dne 24. září 2019, GC a další (Odstranění odkazu na citlivé údaje) (C‑136/17, EU:C:2019:773, body 34 a 35).
(
16
) – Pokud jde o další informace, viz: https://www.pure-im.nl/blog/marktaandelen-zoekmachines-q2-2020/.