62023TJ0070_RES
Съединени дела T‑70/23, T‑84/23 и T‑111/23
(публикувани откъси)
Data Protection Commission
срещу
Европейски комитет по защита на данните
Решение на Общия съд от 29 януари 2025 година
„Защита на лични данни — Член 65, параграф 1, буква a) от Регламент (ЕС) 2016/679 — Решение със задължителен характер, с което се дава указание на водещ надзорен орган да разшири обхвата на разследването и да изготви допълнителен проект за решение — Компетентност на Европейския комитет по защита на данните“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Компетентност на Европейския комитет по защита на данните (ЕКЗД) — Обхват — Решение със задължителен характер, с което се дава указание на водещ надзорен орган да разшири обхвата на разследването и да изготви допълнителен проект за решение — Включване
(член 39 ДЕС; член 16, параграфи 1 и 2, член 101 и член 102 ДФЕС; Харта на основните права на Европейския съюз, член 8, параграфи 1 и 3; Регламент 2016/679 на Европейския парламент и на Съвета, съображения 126, 136 и 141, член 4, точка 24, член 57, параграф 1, букви а) и е), член 58, параграф 2, член 60, член 65, параграф 1, буква а), параграфи 2, 3 и 6 и член 66)
(вж. т. 35, 36, 38—40, 43—45, 49—54, 56—59, 62, 63, 68—75 и 77—82)
Резюме
Общият съд, разширен състав, отхвърля жалбите на Data Protection Commission — ирландският надзорен орган за защита на личните данни, за частична отмяна на решения със задължителен характер на Европейския комитет по защита на данните (ЕКЗД). В решението си Общият съд за първи път се произнася по компетентността на ЕКЗД да разпореди на национален надзорен орган да разшири анализа и евентуално разследването си по даден случай.
След обмен на информация с другите засегнати надзорни органи, Data Protection Commission в качеството си на водещ надзорен орган констатира, че не е постигнат консенсус по възраженията, повдигнати срещу неговите проекти за решения относно трансграничното обработване на данни, свързани с използването на социалната мрежа Facebook, социалната мрежа Instagram и услугата за съобщения WhatsApp. Поради това Data Protection Commission сезира ЕКЗД в рамките на механизма за съгласуваност (
1
).
След като разглежда трите преписки, ЕКЗД приема, че повечето от повдигнатите срещу проектите за решения възражения са относими и обосновани, и решава да вземе отношение по поставените в тях въпроси.
Така на 5 декември 2022 г. ЕКЗД приема решения със задължителен характер, с които разпорежда на Data Protection Commission да проведе нови разследвания относно обработването на данни, свързани с използването на трите горепосочени приложения, и на тази основа да изготви допълнителни проекти за решения.
Data Protection Commission оспорва компетентността на ЕКЗД да му налага такива мерки посредством решения със задължителен характер.
Съображения на Общия съд
На първо място, Общият съд уточнява обхвата на компетентността на ЕКЗД (
2
) въз основа на буквален, контекстуален и телеологичен анализ на ОРЗД.
Най-напред той посочва, че съгласно буквалното тълкуване на релевантните разпоредби на ОРЗД (
3
) ЕКЗД има компетентност да приема разпоредби като обжалваните, с които се дават указания на водещия надзорен орган да проведе ново разследване по някои аспекти на разглежданите преписки, и след това да приеме нови проекти за решения. Тъй като решението със задължителен характер на ЕКЗД трябва да засяга всички въпроси, които са предмет на относими и обосновани възражения, няма пречка, когато ЕКЗД уважи относимо и обосновано възражение срещу липсата на анализ или срещу непълния анализ в проекта за решение на даден аспект от преписката, в резултат на които не може да се установи дали е налице нарушение на посочения регламент, с решението със задължителен характер да разпореди на водещия надзорен орган да запълни тази липса на анализ и — ако това се окаже необходимо с оглед на преписката, с която разполага ЕКЗД — да задълбочи или разшири за тази цел извършеното до момента разследване. Ако се окаже, че преписката не е пълна, за да се извърши необходимият анализ в пълен обем, трябва да се даде възможност на ЕКЗД да разпореди на водещия надзорен орган да извърши допълнително разследване.
По-нататък, въз основа на контекстуалното тълкуване на релевантните разпоредби на ОРЗД Общият съд приема, че общият контекст на установеното в ОРЗД задължение за сътрудничество между засегнатите от даден случай надзорни органи потвърждава компетентността на ЕКЗД да приеме оспорваните мерки.
В това отношение той посочва, че процедурата за сътрудничество между засегнатите от даден случай надзорни органи (
4
), която може да включва задействането на механизма за съгласуваност, провеждан от ЕКЗД, не е „еднопосочна“ процедура, при която етапите винаги следват предвидения в уреждащите ги разпоредби ред, без да има възможност за връщане към предходен етап или за временно продължаване на същия етап.
Освен това той посочва, че анализът на условията, при които се обработват лични данни, и на съответствието на обработването с ОРЗД, не трябва да се ограничава до това, което се изтъква в жалбата на жалбоподател. По-специално, за да се гарантира напълно изпълнението на предвидените в ОРЗД задачи, а именно да се следи за спазването на посочения регламент и жалбите да се разглеждат, доколкото е целесъобразно (
5
), е необходимо да се определи адекватен обхват на анализа на преписката с оглед на жалбата, по която е образувана, но и с оглед на другите елементи, които могат да я допълнят. Съгласно неговото определение относимото и обосновано възражение се отнася до аспекти, чийто анализ е свързан именно с двете горепосочени задачи. Следователно това, че едно относимо и обосновано възражение се отнася до обхвата на анализа и евентуално до обхвата на разследването и че ЕКЗД предприема действия във връзка с него, по никакъв начин не застрашава тези задачи.
Накрая, Общият съд подчертава, че анализът на целите на ОРЗД също потвърждава буквалното тълкуване на релевантните разпоредби на ОРЗД.
В това отношение той припомня по-специално, че механизмът за сътрудничество между засегнатите от даден случай надзорни органи достига своя предел, когато тези органи не постигнат консенсус. Именно при това положение водещият надзорен орган трябва да отнесе въпроса, по който не е постигнато съгласие, до механизма за съгласуваност, в резултат на който ЕКЗД приема решение със задължителен характер. В случай на възобновяване на дадено разследване, компетентният орган трябва да приеме, след решението със задължителен характер на ЕКЗД, окончателно решение по анализираните и разрешени материалноправни аспекти в предвидения в ОРЗД срок. Това не е пречка да проведе допълнително разследване и да анализира онези аспекти на случая, които все още не са били разгледани.
На второ място, Общият съд счита, че условията за предоставяне на компетентност на орган на Съюза допускат възприетото тълкуване, че ЕКЗД има правомощието да разпореди на водещ надзорен орган да разшири анализа и евентуално разследването си. Всъщност упражняването на такова правомощие се ръководи от различни критерии и условия, които определят обхвата на дейност на този орган. Така това правомощие, от една страна, се упражнява само в случай на ясно установена непълнота на анализа на водещия надзорен орган при разглеждането на случая, която може да има значителни последици, както следва от определението за относимото и обосновано възражение, и от друга страна, е резултат от колективната преценка на надзорните органи, съставящи ЕКЗД.
Освен това Общият съд уточнява, че упражняването на това правомощие подлежи на съдебен контрол. По конкретно, произнасяйки се по изтъкнатите пред него основания, съдът на Съюза може да провери материалната законосъобразност на оспорваните разпоредби с оглед на обстоятелствата по делото. По-специално той може най-напред да провери дали, като е приел разпоредби от такова естество, ЕКЗД действително е предприел действия във връзка с относимо и обосновано възражение на надзорен орган. След това той може да провери законосъобразността на самото съдържание на разпоредбите, с които се дават указания на надзорните органи.
В този контекст Общият съд добавя, че решение със задължителен характер на ЕКЗД, което задължава водещия надзорен орган да разшири анализа и разследването си, не поставя под въпрос способността му да приоритизира изпълнението на различните си задачи като независим орган — задача, чийто контрол е от компетентността единствено на националния съд. В по-общ план то не поставя под въпрос и неговата независимост (
6
).
(
1
)	Съгласно член 60, параграф 4 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
2
)	На основание член 65, параграф 1, буква а) от ОРЗД.
(
3
)	Член 65, параграф 1, буква а) от ОРЗД във връзка с член 4, точка 24, член 65, параграф 6 и съображения 126 и 136 от този регламент.
(
4
)	Предвидена в член 60 от ОРЗД.
(
5
)	Член 57, параграф 1, букви а) и е) от ОРЗД.
(
6
)	Закрепена в член 39 ДЕС, член 16, параграф 2 ДФЕС и член 8, параграф 3 от Хартата на основните права на Европейския съюз.