62023CC0169
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
L. MEDINA
представено на 6 юни 2024 година (
1
)
Дело C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
срещу
UC
(Преюдициално запитване, отправено от Kúria (Върховен съд, Унгария)
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Обработване на данни за издаване на сертификат за COVID‑19 — Информация, която трябва да се предостави, когато личните данни не са получени от субекта на данните — Член 14, параграф 1 — Дерогации от задължението за предоставяне на информация — Получаване или разкриване, изрично разрешено от правото на Съюза или правото на държавата членка — Подходящи мерки за защита на легитимните интереси на субекта на данните — Член 14, параграф 5, буква в) — Право на подаване на жалба до надзорен орган — Член 77“
I. Въведение
1.
Едно от най-важните задължения на администратора на данни е задължението за предоставяне на информация на субекта на данните. В заключението си по дело Bara генерален адвокат Cruz Villalón го формулира красноречиво, като заявява, че изискването за уведомяване на лицата, чиито лични данни се обработват, „гарантира прозрачност при всяко обработване“ (
2
). Задължението за уведомяване съответства на основното право на субекта на данните да получи информация относно обработването на неговите данни. В правната литература (
3
) се отбелязва, че правото на информация е „пример“ за принципа на прозрачност и „има централно място“ за всички останали права. Всъщност широките изисквания за информация дават възможност на субекта на данните да упражнява други важни права, признати от Регламент (ЕС) 2016/679 (
4
).
2.
Настоящото дело възниква в контекста на издаването на сертификати за COVID‑19. То приканва Съда за първи път да тълкува важна дерогация от задължението на администратора на данни за предоставяне на информация, което е установено в член 14, параграф 5, буква в) от ОРЗД. Съответната дерогация ще бъде анализирана във връзка с правомощията на надзорния орган в контекста на жалба, подадена от субекта на данните.
II. Правна уредба
А.
Правото на Съюза
3.
Член 14 от ОРЗД е озаглавен „Информация, предоставяна, когато личните данни не са получени от субекта на данните“ и предвижда в параграфи 1, 2 и 5:
„1.   Когато личните данни не са получени от субекта на данните, администраторът предоставя на субекта на данните следната информация:
a)
данните, които идентифицират администратора и координатите за връзка с него и, когато е приложимо, тези на представителя на администратора;
б)
координатите за връзка с длъжностното лице по защита на данните, когато е приложимо;
в)
целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;
г)
съответните категории лични данни;
д)
получателите или категориите получатели на личните данни, ако има такива;
е)
когато е приложимо, намерението на администратора да предаде данните на трета държава или на международна организация, и наличието или отсъствието на решение на [Европейската комисия] относно адекватното ниво на защита […].
2.   Освен информацията, посочена в параграф 1, администраторът предоставя на субекта на данните следната информация, необходима за осигуряване на добросъвестно и прозрачно обработване на данните по отношение на субекта на данните:
а)
срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок;
б)
когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;
в)
съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни, свързани със субекта на данните, или ограничаване на обработването, и правото да се направи възражение срещу обработването, както и правото на преносимост на данните;
г)
когато обработването се основава на член 6, параграф 1, буква а) или член 9, параграф 2, буква а), съществуването на право на оттегляне на съгласието по всяко време, без да се засяга законосъобразността на обработването въз основа на съгласие, преди то да бъде оттеглено;
д)
правото на жалба до надзорен орган;
е)
източника на личните данни и, ако е приложимо, дали данните са от публично достъпен източник;
ж)
съществуването на автоматизирано вземане на решения, включително профилирането, посочено в член 22, параграфи 1 и 4, и поне в тези случаи съществена информация относно използваната логика, както и значението и предвидените последствия от това обработване за субекта на данните.
[…]
5.   Параграфи 1—4 не се прилагат, когато и доколкото:
[…]
в)
получаването или разкриването е изрично разрешено от правото на Съюза или правото на държавата членка, което се прилага спрямо администратора и в което се предвиждат също подходящи мерки за защита на легитимните интереси на субекта на данните;
[…]“.
4.
В член 32 от ОРЗД, озаглавен „Сигурност на обработването“, в параграф 1 се посочва:
„Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност […]“.
5.
В член 77 от ОРЗД, озаглавен „Право на подаване на жалба до надзорен орган“, в параграф 1 се посочва:
„Без да се засягат които и да било други административни или съдебни средства за правна защита, всеки субект на данни има право да подаде жалба до надзорен орган, по-специално в държавата членка на обичайно местопребиваване, място на работа или място на предполагаемото нарушение, ако субектът на данни счита, че обработването на лични данни, отнасящи се до него, нарушава разпоредбите на настоящия регламент“.
Б.
Унгарското право
6.
В приложимата към спора в главното производство редакция член 2, параграф 1, букви а)—g) от a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (Постановление 60/2021 от 12 февруари 2021 г. на Министерски съвет за сертификата за имунитет срещу коронавирус, наричано по-нататък „Постановление 60/2021“) предвижда:
„Сертификатът за имунитет съдържа:
a)
имената на съответното лице;
b)
номер на паспорта на съответното лице, ако притежава такъв;
c)
номер и идентификатор на постоянния документ за самоличност на съответното лице, ако притежава такъв;
d)
сериен номер на сертификата за имунитет;
e)
при представен документ за ваксинация — дата на ваксинацията;
f)
при представен документ за преболедуване — дата на валидност на документа;
g)
код за съхранение на данни, оптично четим от електронни устройства и генериран въз основа на данните, посочени в букви а)—f);
[…]“.
7.
Съгласно член 2, параграфи 6 и 7 от Постановление 60/2021 сертификатът за имунитет се издава от Budapest Főváros Kormányhivatala (столична областна администрация на Будапеща, Унгария, наричана по-нататък „администрацията на Будапеща“) в полза на съответното физическо лице, служебно или по искане на лицето.
8.
Член 3, параграф 3 от Постановление 60/2021 предвижда:
„В случаите, предвидени в член 2, параграф 6, букви с) и d), [администрацията на Будапеща] събира чрез автоматично предаване на информация — при необходимост чрез услугите, предоставяни от összerendelési nyilvántartás [(Електронен регистър на идентификационните данни, Унгария)]:
a)
от оператора на EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér (електронна система за здравни услуги)]: социалноосигурителния номер на съответното лице, данните, посочени в член 2, параграф 1, букви е) и g), както и данните, посочени в параграф 1;
b)
от структурата, натоварена с регистрацията на лични данни и адреси: имената, идентификаторите на паспорта и на постоянния документ за самоличност, както и адреса на съответното лице“.
III. Спорът в главното производство и преюдициалните въпроси
9.
UC, физическо лице, получава от администрацията на Будапеща сертификат за имунитет, удостоверяващ ваксинирането му срещу COVID‑19.
10.
На 30 април 2021 г. UC подава жалба на основание член 77, параграф 1 от ОРЗД до Nemzeti Adatvédelmi és Információszabadság Hatóság (Национален орган, отговарящ за защитата на данните и за свободата на информацията, Унгария, наричан по-нататък „унгарският надзорен орган“). UC иска от този орган да задължи администрацията на Будапеща да приведе операциите си по обработване на данни в съответствие с разпоредбите на ОРЗД. В жалбата UC твърди по-специално, че администрацията на Будапеща не е изготвила и публикувала съобщение за поверителност относно обработването на данни, свързани с издаването на сертификатите за имунитет, както и че не е предоставена достатъчно информация относно целта и правното основание за обработването, нито относно правата, с които субектите на данни разполагат, и начина на тяхното упражняване.
11.
В производството, образувано по подадената жалба, администрацията на Будапеща посочва, че е упражнявала правомощията си по издаване на сертификатите за имунитет на основание член 2 от Постановление 60/2021 и че правното основание за обработването е член 6, параграф 1, буква д) от ОРЗД, а по отношение на обработването на специални категории лични данни — член 9, параграф 2, буква и) от ОРЗД.
12.
Освен това администрацията на Будапеща заявява, че в съответствие с член 3, параграфи 2 и 3 от Постановление 60/2021 е събрала подлежащите на обработване данни чрез автоматично предаване на информация от оператора на електронната система за здравни услуги, както и от структурата, натоварена с регистрацията на лични данни и адреси. Тя заявява, че съгласно член 14, параграф 5, буква в) от ОРЗД не е била длъжна да предоставя информация за обработването. Въпреки това била изготвила съобщение за поверителност относно съответното обработване и публикувала това съобщение на своя уебсайт.
13.
С решение от 15 ноември 2021 г. унгарският надзорен орган отхвърля жалбата с мотива, че администрацията на Будапеща не е била длъжна да предоставя информация, тъй като за обработването е приложима дерогацията, предвидена в член 14, параграф 5, буква в) от ОРЗД. По-конкретно този надзорен орган счита, че Постановление 60/2021 представлява правното основание за обработването и че администрацията на Будапеща не е получавала данните от самите субекти на данните. Освен това той приема, че член 3, параграф 1 от Постановление 60/2021 изрично разпорежда на администрацията на Будапеща да събира данните. Фактът, че администрацията на Будапеща е публикувала информация за обработването на данни на своята интернет страница, въпреки че не е била законово задължена да го прави, е счетен за добра практика.
14.
Унгарският надзорен орган разглежда служебно въпроса за подходящите мерки за защита на легитимните интереси на субекта на данни, посочени в член 14, параграф 5, буква в) от ОРЗД, и приема, че членове 2 и 3, както и членове 5—7 от Постановление 60/2021 трябва да се считат за такива мерки.
15.
UC обжалва решението на унгарския надзорен орган пред Fővárosi Törvényszék (Будапещенски градски съд, Унгария). Този съд уважава жалбата, отменя решението на унгарския надзорен орган и указва на същия да проведе ново производство.
16.
В мотивите на решението си Fővárosi Törvényszék (Будапещенски градски съд) посочва, че дерогацията, предвидена в член 14, параграф 5, буква в) от ОРЗД, не е приложима, тъй като някои от данните във връзка със сертификатите за имунитет не са събрани от друг орган, а са генерирани от този администратор. Тези данни включват серийния номер на сертификата за имунитет, срока на валидност на сертификата, QR кода, интегриран в сертификата, баркода и други буквено-цифрени кодове, генерирани от администратора по време на неговата процедура.
17.
Унгарският надзорен орган подава извънредна касационна жалба срещу това окончателно решение на Fővárosi Törvényszék (Будапещенски градски съд) до Kúria (Върховен съд, Унгария).
18.
Що се отнася до прилагането на дерогацията, предвидена в член 14, параграф 5, буква в) от ОРЗД, запитващата юрисдикция счита, че тя може да се прилага за всички видове обработване, които не се отнасят до данни, събрани от субекта на данни по смисъла на член 13 от ОРЗД, включително данни, генерирани от администратора.
19.
Ако се възприеме това тълкуване на член 14, параграф 5, буква в) от ОРЗД, запитващата юрисдикция има съмнения относно обхвата на корективните правомощия на националните надзорни органи в контекста на жалба, подадена на основание член 77, параграф 1 от ОРЗД. По-конкретно запитващата юрисдикция се съмнява дали в контекста на такава жалба надзорният орган има правомощието да разгледа въпроса за подходящите мерки, предвидени в националното право за защита на легитимните интереси на субекта на данните, към които препраща член 14, параграф 5, буква в) от ОРЗД.
20.
Ако се приеме, че надзорният орган разполага с такова правомощие, запитващата юрисдикция не е сигурна в точния смисъл на понятието „подходящи мерки за защита на легитимните интереси на субекта на данните“. В това отношение тя отбелязва, че би могло да се установи, че „подходящи мерки“ обхващат, от една страна, включването в националното право на елементите, изброени в член 14, параграф 1, букви а)—е) от ОРЗД. От друга страна, тези мерки биха могли да обхващат правото да се поиска проверка на сигурността на обработването, уредена в член 32 от ОРЗД. Това разбиране за „подходящи мерки“ обаче би създало риск от обременяване на законодателството с технически разпоредби, което противоречи на изискването законодателните актове да бъдат разбираеми и ясни. Също така би могло да бъде достатъчна гаранция, ако мерките, свързани със сигурността на данните, се спазват, дори когато не са били изрично транспонирани.
21.
В този контекст Kúria (Върховен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1)
Трябва ли член 14, параграф 5, буква в) във връзка с член 14, параграф 1 и съображение 62 от [ОРЗД] да се тълкува в смисъл, че предвиденото в член 14, параграф 5, буква в) изключение не се отнася за данни, генерирани в процедурата на самия администратор, а само за данни, които администраторът изрично е получил от друго лице?
2)
Ако член 14, параграф 5, буква в) от ОРЗД намира приложение и спрямо данните, генерирани в процедурата на самия администратор, следва ли закрепеното в член 77, параграф 1 от ОРЗД право на подаване на жалба до надзорен орган да се тълкува в смисъл, че физическо лице, което изтъква неизпълнение на задължението за предоставяне на информация, може при упражняване на правото си на подаване на жалба да поиска да бъде проверено дали правото на съответната държава членка предвижда — в съответствие с член 14, параграф 5, буква в) от ОРЗД — подходящи мерки за защита на легитимните интереси на субекта на данните?
3)
При утвърдителен отговор на втория въпрос, може ли член 14, параграф 5, буква в) от ОРЗД да се тълкува в смисъл, че „подходящи[те] мерки“, посочени в тази разпоредба, предполагат задължение за националния законодател да транспонира (с правни норми) предвидените в член 32 от ОРЗД мерки относно сигурността на данните?“.
22.
Писмени становища представят UC, унгарският надзорен орган, унгарското правителство и Комисията. В съответствие с член 23 от Статута на Съда на Европейския съюз Съдът изпраща въпроси за писмен отговор на страните и на заинтересованите страни, на които отговарят UC, чешкото правителство, унгарското правителство и Комисията.
IV. Анализ
А.
Предварителни бележки относно задължението за предоставяне на информация и дерогацията по член 14, параграф 5, буква в) от ОРЗД
23.
Предоставянето на информация на субектите на данни е основен елемент от принципа на прозрачност, заложен в член 5, параграф 1, буква а) от ОРЗД. Прозрачността „[дава възможност на] субектите на данни […] да държат администраторите и обработващите лични данни отговорни“, тъй като засилва възможността им да упражняват контрол върху своите данни (
5
). Всъщност, както се посочва в решение Bara и др., „това изискване за уведомяване на лицата, чиито лични данни се обработват, е още по-важно, доколкото то е условие за упражняване на правото на тези лица на достъп до обработваните данни и на поправка на същите“ (
6
). Основните разпоредби в това отношение са членове 12, 13 и 14 от ОРЗД.
24.
В съответствие с член 12, параграф 1 от ОРЗД администраторът трябва да предприема необходимите мерки за предоставяне на информацията по членове 13 и 14, „в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език“. Обикновено информацията се предоставя в политика за поверителност, съобщение за поверителност или декларация за поверителност (
7
).
25.
Съдържанието и обхватът на задължението за информиране са посочени в членове 13 и 14 от ОРЗД. Член 13 урежда информацията, която трябва да се предостави, когато личните данни се събират от субекта на данните (пряко събиране), докато член 14 урежда информацията, която трябва да се предостави, когато личните данни не са получени от субекта на данните (непряко събиране) (
8
). Информацията, която трябва да се предоставя съгласно тези две разпоредби, се припокрива значително (
9
).
26.
Що се отнася до непрякото събиране на данни, член 14, параграф 1 от ОРЗД включва в „стандартния информационен каталог“ (
10
) данните, които идентифицират администратора на данни, целите на обработването, получателите на данните и възможното предаване на данни на получател в трета държава. Сред допълнителната информация, необходима за осигуряване на добросъвестно и прозрачно обработване, в член 14, параграф 2 от ОРЗД изрично се посочват срокът, за който се съхраняват личните данни, законните интереси, преследвани от администратора, (
11
) или съществуването на право да се изиска от администратора достъп до, коригиране или изтриване на лични данни.
27.
Спрямо задължението на администратора на данни да предоставя информация в случай на непряко събиране съгласно член 14 от ОРЗД се прилагат четири дерогации, посочени в параграф 5 от него. Релевантната за спора в главното производство дерогация е тази, предвидена в член 14, параграф 5, буква в), който съдържа „отворена клауза“ (
12
). Администраторът е освободен от задължението за предоставяне на информация, когато и доколкото „получаването или разкриването е изрично разрешено от правото на Съюза или правото на държавата членка, което се прилага спрямо администратора“, и правото предвижда също „подходящи мерки за защита на легитимните интереси на субекта на данните“.
28.
В текста на английски език на член 14, параграф 5, буква в) от ОРЗД, както и в текста на други езици (
13
) не се споменава изрично предметът на действието по „получаването или разкриването“. В текста на редица други езици изрично се споменава получаването или разкриването на „данни“ (
14
). Само в текста на френски език се споменава получаването или разкриването на „информация“ (
15
).
29.
Тъй като по принцип трябва да се признае еднаква стойност на текстовете на актовете на Съюза на всички езици, в случай на несъответствия между тези текстове въпросната разпоредба трябва да се тълкува в зависимост от общата структура и целите на правната уредба, от която е част (
16
).
30.
В това отношение от общата структура на правната уредба, част от която е член 14, параграф 5, буква в) от ОРЗД, е видно, че получаването или разкриването се отнася до лични данни (а не до информация). Още от заглавието на член 14 следва, че информацията се „предоставя“, докато актът на получаване се отнася до „лични данни“. Това тълкуване се потвърждава от съображение 61, в което се споменават „лични данни“, получени от друг източник, и от съображение 62, в което се говори за записването или разкриването на „личните данни“. Освен това, като се има предвид широкото значение на понятието „обработване“ съгласно член 4, точка 2 от ОРЗД, т.е. всяка операция или съвкупност от операции, извършвана с лични данни (
17
), „получаването или разкриването“ трябва да се квалифицира като операция по обработване, извършвана с лични данни.
31.
Що се отнася до целите на правната уредба, част от която е член 14, параграф 5, буква в), съответната дерогация, изглежда, е изградена въз основа на разбирането, че правото на Съюза или на държава членка заменя или замества задължението, което обикновено се налага на администратора на данни за предоставяне на информация относно получаването или разкриването на данни (
18
). По силата на съответното право субектите на данни вече ще са достатъчно осведомени за получаването или разкриването на данните (
19
). Това право, което се прилага спрямо администратора на данни, трябва изрично да се отнася до получаването или разкриването на данните и въпросното получаване или разкриване трябва да бъде задължително за администратора на данни (
20
).
32.
Следователно от гореизложеното ясно следва, че предметът на дерогацията относно получаването или разкриването се отнася до лични данни.
33.
Именно в светлината на тези бележки ще разгледам по-нататък дерогацията, предвидена в член 14, параграф 5, буква в) от ОРЗД, в контекста на анализа на поставените въпроси.
Б.
По първия въпрос
34.
С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 14, параграф 5, буква в) от ОРЗД трябва да се тълкува в смисъл, че дерогацията от задължението на администратора на данни за предоставяне на информация на субекта на данните се прилага само за данни, които администраторът изрично е получил от друго лице, изключвайки данните, генерирани от администратора в собствената му процедура.
35.
Този въпрос произтича от обстоятелството, че в спора в главното производство някои данни, съдържащи се в сертификатите за COVID‑19, не са получени от друга организация, а са генерирани от администрацията на Будапеща (
21
).
36.
Следователно трябва да се установи дали понятието „получаване“, посочено в член 14, параграф 5, буква в) от ОРЗД, изключва данните, генерирани от администратора.
37.
За да се отговори на този въпрос, най-напред следва да се припомни, че тълкуването на разпоредба от правото на Съюза изисква да се вземе предвид не само нейният текст, но и контекстът ѝ и целите и предназначението на акта, от който тя е част (
22
).
38.
Що се отнася до формулировката на член 14, параграф 5, буква в) от ОРЗД, тази разпоредба не предвижда ограничение по отношение на конкретен вид обработване или на точния метод, по който администраторът на данни получава данните. Данните могат да бъдат получени чрез техническа процедура като например генериране на данните от администратора.
39.
Широкото разбиране на понятието „получаване“ се потвърждава от съображение 62 от ОРЗД. В това съображение се използва понятието „записване“ на данните — операция, която, както посочва запитващата юрисдикция, се отнася до по-широка група операции по обработване, които могат да бъдат извършени от администратора на данни. Следователно член 14, параграф 5, буква в) не може да се тълкува като приложим само по отношение на данни, получени от друг субект, но не и на данни, генерирани от администратора.
40.
Това тълкуване на член 14, параграф 5, буква в) от ОРЗД се потвърждава и от контекста на тази разпоредба, както и от целите и предназначението ѝ.
41.
В това отношение трябва да се отбележи, че дерогациите, предвидени в член 14, параграф 5, се отнасят до параграфи 1—4 от същия член. Материалното приложно поле на член 14 (от който е част съответната дерогация) е определено по отрицателен начин в сравнение с член 13. Докато член 13 урежда информацията, предоставяна при събиране на лични данни от субекта на данните, член 14 урежда предоставянето на информация, когато личните данни не са получени от субекта на данните. От разграничението между пряко и непряко събиране на данни следва, че всички случаи, в които данните не са получени от субекта на данни, попадат в материалния обхват на член 14. Не е от значение дали данните са генерирани от администратора, доколкото не са получени от субекта на данните. Широкият материален обхват на член 14 се потвърждава и от съображение 61, в което се споменават данни, „получени от друг източник“, т.е. източник, различен от субекта на данните.
42.
Освен това, както отбелязват Комисията и унгарският надзорен орган, по същество правилата, установени в членове 13 и 14 от ОРЗД, представляват цялостна система, уреждаща предоставянето на информация на субекта на данните във всички възможни хипотези. Ако понятието „получаване“ в член 14, параграф 5, буква в) от ОРЗД се тълкува като изключващо данните, генерирани от администратора, тази разпоредба би имала по-ограничен обхват от член 14, от който тя е част.
43.
Що се отнася до конкретната цел на съответната дерогация, както бе посочено в предварителните бележки на настоящото заключение, освобождаването на администратора от задължението за предоставяне на информация се основава на предположението, че законът замества задължението за предоставяне на информация, което обикновено се налага на администратора (
23
). Дерогацията, предвидена в член 14, параграф 5, буква в), предоставя на държавите членки свобода на преценка да предвидят различен начин за информиране на субекта на данните и за осигуряване на справедливо и прозрачно обработване в сравнение с информацията, предоставяна от администратора на индивидуална основа. Различният правен способ трябва все пак да постига същия резултат. Законът, който замества наложеното на администраторите задължение за информиране, трябва да гарантира, че субектът на данните е в състояние да упражнява контрол върху своите данни и да упражнява правата си по ОРЗД (
24
).
44.
Тълкуването на член 14, параграф 5, буква в) в смисъл, че изключва от обхвата си генерирането на данни от администратора би ограничило свободата на преценка, предоставена на държавите членки, въз основа на основание, което не е релевантно за защитата на легитимните интереси на субекта на данните.
45.
Освен това едно различно тълкуване, което би въвело изключение от дерогацията, предвидена в член 14, параграф 5, буква в), когато данните са генерирани от администратора на данни, би довело до риск от допълнително усложняване за субекта на данните. Субектът на данните трябва да може да знае от кой източник ще получи информация за обработката на неговите данни, когато тези данни не са събрани от самия субект на данните. Съответното право трябва да направи обработването предвидимо за субекта на данните във всички такива случаи (
25
).
46.
От гореизложеното следва, че член 14, параграф 5, буква в) от ОРЗД трябва да се тълкува в смисъл, че дерогацията от задължението на администратора на данните за предоставяне на информация на субекта на данни се прилага за всички данни, които администраторът не е получил от субекта на данните. В това отношение е без значение дали данните са изрично получени от друг субект, или са генерирани от администратора в хода провежданата от него процедура.
В.
По втория въпрос
47.
С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 77, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че в рамките на производство по обжалване надзорният орган е оправомощен да провери дали правото на държавата членка, което се прилага спрямо администратора, предвижда подходящи мерки за защита на легитимните интереси на субекта на данните, за целите на прилагането на дерогацията, предвидена в член 14, параграф 5, буква в) от този регламент.
48.
В това отношение трябва да се припомни, от една страна, че съгласно член 77, параграф 1 от ОРЗД всеки субект на данни има право да подаде жалба до надзорен орган, ако счита, че обработването на лични данни, отнасящи се до него, нарушава разпоредбите на този регламент (
26
).
49.
От друга страна, член 55, параграф 1 от ОРЗД предвижда, че всеки надзорен орган е компетентен да изпълнява задачите и да упражнява правомощията, възложени му в съответствие с този регламент, на територията на своята собствена държава членка (
27
). Освен това съгласно член 57, параграф 1, буква а) от ОРЗД националните надзорни органи отговарят и следят за прилагането на ОРЗД.
50.
Разпоредбите, цитирани в двете точки по-горе, не изключват от сферата на компетентност на националните надзорни органи условията за прилагане на дерогацията, предвидена в член 14, параграф 5, буква в) от ОРЗД.
51.
Така, както твърдят унгарското правителство и Комисията, по същество, в контекста на жалба, подадена съгласно член 77, параграф 1 от ОРЗД, надзорните органи са оправомощени да проверяват дали са спазени всички условия, посочени в член 14, параграф 5, буква в). Както следва от първото изречение на член 14, параграф 5, всички предвидени в него дерогации се прилагат „когато и доколкото“ са изпълнени посочените в него условия.
52.
В това отношение надзорните органи трябва да имат правомощието да проверяват по-конкретно, първо, дали правото е директно насочено към администратора на данни и дали получаването или разкриването е задължително за администратора (
28
). Второ, надзорните органи трябва да могат да проверят дали правото, на което се позовава администраторът, предвижда „подходящи мерки за защита на легитимните интереси на субекта на данните“ и дали администраторът на данни е в състояние да докаже, че получаването или разкриването на лични данни е в съответствие с тези мерки (
29
).
53.
Унгарският надзорен орган твърди, че разглеждането на въпроса дали националното право предвижда подходящи мерки за защита на легитимните интереси на субекта на данните би надхвърлило неговите задачи и правомощия съгласно съответно членове 57 и 58 от ОРЗД. Този орган счита, че тези разпоредби не предоставят корективни правомощия по отношение на националното право и че не е възможно да се упражняват такива правомощия по отношение на администратор, който просто е спазил националното право.
54.
В това отношение трябва да се подчертае, че проверката от страна на националния надзорен орган на въпроса дали са изпълнени всички изисквания за прилагане на дерогацията, предвидена в член 14, параграф 5, буква в), не включва, както правилно отбелязва Комисията, проверка на валидността на националното право. Надзорният орган разглежда само въпроса дали администраторът на данни има право да се позове на дерогацията спрямо конкретен субект на данни в конкретна хипотеза.
55.
Следователно националният надзорен орган е длъжен да разгледа твърдението на субекта на данните, че администраторът на данни не следва да бъде освободен от задължението за предоставяне на информация поради това, че съответното право не предвижда подходящи мерки за защита на легитимните интереси на субекта на данните.
56.
Ако националният надзорен орган стигне до заключението, че жалбата е неоснователна, лицето, което е подало жалбата и което оспорва това заключение, трябва, както е видно от член 78 от ОРЗД, да има достъп до съдебни средства за защита, които да му позволят да обжалва това решение пред националните съдилища.
57.
Ако националният надзорен орган счита, че жалбата е основателна и че условията на дерогацията не са изпълнени, той разполага с правомощието, както по същество поддържат унгарското правителство и Комисията, да нареди на администратора да изпълни искането на субекта на данни. В този случай администраторът трябва да предостави информацията съгласно член 14, параграфи 1—4.
58.
В отговор на писмените въпроси, зададени от Съда, чешкото правителство твърди, че проверката на целесъобразността на мерките за защита на легитимните интереси на субекта на данните не е възможна, когато националното право предвижда целево и във връзка с конкретна хипотеза изключение от задължението за предоставяне на информация. Позовавайки се на решение Schrems (
30
), това правителство отбелязва по същество, че проверката на съвместимостта на един източник на правото с друг източник на правото е от изключителната компетентност на съдилищата, а не на административен орган.
59.
В това отношение трябва да се припомни, че един от основните въпроси, повдигнати по делото Schrems, се отнася до правомощията на националните надзорни органи да разгледат искането на дадено лице относно защитата на неговите права и свободи във връзка с решение на Комисията, с което се установява, че трета държава осигурява адекватно ниво на защита (
31
). Съдът постановява по същество, че когато националните надзорни органи разглеждат такова искане, те нямат право сами да констатират невалидността на това решение (
32
). Когато националният надзорен орган прецени, че възраженията, изтъкнати от лицето, подало жалбата, са основателни, този орган трябва да може да предприеме действия по съдебен ред (
33
).
60.
Въпреки това решение Schrems не изглежда пряко релевантно за въпроса за правомощията на надзорните органи във връзка с разглеждането на дерогацията, предвидена в член 14, параграф 5, буква в) от ОРЗД. В самото начало трябва да се посочи, че в контекста на това разглеждане надзорният орган не се намесва в правното задължение, наложено на администратора на данни да получи или разкрие личните данни. С други думи, надзорният орган не разпорежда на администратора на данни да се въздържа от прилагането на правно изискване за получаване или разкриване, което остава задължително за администратора на данни. Както поддържат Комисията и унгарското правителство, по същество, в такава хипотеза правомощията на националния надзорен орган се състоят в това да разпореди на администратора да предостави необходимата информация в своето съобщение за поверителност (
34
), ако не са изпълнени условията на съответната дерогация. Такова разпореждане, както е посочено по-горе, не засяга валидността на правната мярка, на която е подчинен администраторът.
61.
Правомощието на надзорния орган да разпореди на администратора да предостави информация не засяга правомощието на този орган да предприеме действия по съдебен ред, които са предвидени за тази цел в националното право съгласно член 58, параграф 5 от ОРЗД, ако счита, че въпросната правна мярка е невалидна.
62.
И накрая, на по-системно равнище, както заявяват всички заинтересовани страни, надзорният орган има правомощието да даде становище на законодателната или изпълнителната власт за изменение на съответната правна мярка, ако счита, че тя не предвижда подходящи мерки за защита на легитимните интереси на субекта на данните. В това отношение трябва да се припомни, че надзорните органи са отговорни за даването на становища на националния парламент, правителството и други институции и органи съгласно член 57, параграф 1, буква в) от ОРЗД. Надзорните органи имат и консултативните правомощия, посочени в член 58, параграф 3, буква б) от ОРЗД.
63.
От изложеното по-горе следва, че член 77, параграф 1 от ОРЗД трябва да се тълкува в смисъл, че в рамките на процедура по обжалване надзорният орган има правомощието да провери дали са спазени всички условия, предвидени в член 14, параграф 5, буква в) от този регламент. По-конкретно той има правомощието да провери дали правото на държавата членка, което се прилага спрямо администратора, предвижда подходящи мерки за защита на легитимните интереси на субекта на данните.
Г.
По третия въпрос
64.
С третия си въпрос запитващата юрисдикция по същество иска да се установи дали член 14, параграф 5, буква в) от ОРЗД трябва да се тълкува в смисъл, че посочените в тази разпоредба „подходящи мерки“ изискват националният законодател да транспонира мерките относно сигурността на данните, предвидени в член 32 от този регламент.
65.
В това отношение трябва да се припомни, от една страна, че приложимостта на дерогацията от задължението за предоставяне на информация съгласно член 14, параграф 5, буква в) от ОРЗД зависи от установяването на „подходящи мерки“ за защита на легитимните интереси на субекта на данните. От друга страна, от член 32 от ОРЗД следва, че администраторът и обработващият лични данни трябва да прилагат „подходящи технически и организационни мерки“ за осигуряване на сигурността на обработването.
66.
Въпреки това, както твърди Комисията, членове 14 и 32 имат различен обхват. Обхватът на „подходящите мерки“ трябва да се разглежда в контекста на член 14 от ОРЗД. Следователно не е възможно да се определи едно от условията за прилагане на дерогацията, предвидена в член 14, параграф 5, буква в), чрез транспониране на понятието „подходящи технически и организационни мерки“, използвано в друга разпоредба. Освен това в контекста на член 32 от ОРЗД е без значение дали администраторът предоставя информация или получаването или разкриването е предвидено в съответното право. Следователно предметът на проверката, извършвана от надзорния орган, трябва да се ограничи от приложното поле на член 14.
67.
В член 14, параграф 5, буква в) от ОРЗД не се посочва точното съдържание на понятието „подходящи мерки“. То е достатъчно широко, за да обхване всяка мярка, която законодателят счита за необходима и подходяща. Както твърди Комисията, понятието „подходящи мерки“ трябва да се тълкува по същество в светлината на принципа на прозрачност, установен в член 5, параграф 1, буква а) от ОРЗД. В това отношение е важно да се вземе предвид, че съответното право, както е посочено в предварителните бележки към настоящото заключение (
35
), „замества“ задължението за предоставяне на информация, което администраторът обикновено носи. Законодателят е този, който трябва да определи подходящите мерки в зависимост например от категорията на получените данни и контекста, в който се извършва обработването.
68.
В отговор на поставения от Съда въпрос чешкото правителство посочва, че обхватът на подходящите мерки е по-широк от информацията, изброена в член 14, параграфи 1, 2 и 4 от ОРЗД.
69.
Съгласен съм, че целесъобразността на мерките не може да бъде оценена единствено чрез „механично“ сравнение със задълженията на администратора за информиране, хармонизирани с ОРЗД. Изглежда безсмислено да се предвижда „отворена клауза“ съгласно член 14, параграф 5, буква в) (
36
), като същевременно се налагат абсолютно същите задължения, без да се оставя никаква свобода на преценка на законодателя. При все това съответното право трябва да гарантира стандарт за добросъвестно и прозрачно обработване, който е равностоен на гарантирания от член 14, параграфи 1—4 (
37
). За да може субектът на данните да прецени всеки риск, свързан с получаването на данните и тяхното обработване (
38
), трябва да е ясно при прост прочит на съответната правна разпоредба кой обработва данните, по каква причина и по какъв начин (
39
). Както посочих по-горе (
40
), различните правни способи трябва да постигат един и същ резултат, който да гарантира, че субектът на данните е в състояние да упражнява контрол върху своите данни и да упражнява правата си по ОРЗД.
70.
Конкретното правно основание за обработването също оказва влияние върху определянето на „подходящите мерки“ за конкретните обстоятелства на обработването. В това отношение трябва да се припомни, че от член 6, параграф 1, букви в) и д) от ОРЗД следва, че обработването е законосъобразно, ако и доколкото е необходимо за спазването на законово задължение, което се прилага спрямо администратора, и когато обработването е необходимо за изпълнението на задача от обществен интерес. По отношение на такова обработване съгласно член 6, параграф 2 държавите членки могат да запазят или да въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на ОРЗД по отношение на обработването, като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване (
41
). Освен това съгласно член 9, параграф 2, буква и) от ОРЗД, когато обработването е необходимо от съображения от обществен интерес в областта на общественото здраве, правото на държавата членка (или на Съюза) трябва да предвижда подходящи и конкретни мерки за гарантиране на правата и свободите на субекта на данните.
71.
В спора в главното производство получаването на данните е наложено с Постановление 60/2021, което, както следва от преписката, е прието на основание член 6, параграф 1, букви в) и д) и член 9, параграф 2, буква и) от ОРЗД. Унгарското правителство твърди, че освен общите гаранции, които се прилагат по силата на правната уредба, приета за гарантиране на законосъобразността на обработването, Постановление 60/2021 предвижда и допълнителни гаранции. В това отношение това правителство уточнява, че една от тези гаранции се състои в това, че определените с това постановление подизпълнители се притежават от държавата и трябва да спазват правната уредба по отношение на сигурността на данните, приложима за държавните органи и местната администрация. Запитващата юрисдикция трябва да провери тези твърдения и да прецени дали в националното право се предвиждат подходящи мерки, в светлината на горепосочените съображения.
72.
С оглед на гореизложеното считам, че член 14, параграф 5, буква в) от ОРЗД трябва да се тълкува в смисъл, че посочените в тази разпоредба „подходящи мерки“ не изискват националният законодател да транспонира мерките, свързани със сигурността на данните, предвидени в член 32 от този регламент.
V. Заключение
73.
С оглед на всички изложени по-горе съображения предлагам на Съда да отговори на преюдициалните въпроси, поставени от Kúria (Върховен съд, Унгария), както следва:
„1)
Член 14, параграф 5, буква в) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че дерогацията от задължението на администратора на данни за предоставяне на информация на субекта на данните се прилага за всички данни, които администраторът не е получил от субекта на данните. В това отношение е без значение дали данните са изрично получени от друг субект, или са генерирани от администратора в хода провежданата от него процедура.
2)
Член 77, параграф 1 от Регламент 2016/679
трябва да се тълкува в смисъл, че в рамките на процедура по обжалване надзорният орган има правомощието да провери дали са спазени всички условия, предвидени в член 14, параграф 5, буква в) от този регламент. По-конкретно той има правомощието да провери дали правото на държавата членка, което се прилага спрямо администратора, предвижда подходящи мерки за защита на легитимните интереси на субекта на данните.
3)
Член 14, параграф 5, буква в) от Регламент (ЕС) 2016/679
трябва да се тълкува в смисъл, че посочените в тази разпоредба „подходящи мерки“ не изискват националният законодател да транспонира мерките, свързани със сигурността на данните, предвидени в член 32 от този регламент“.
(
1
)	Език на оригиналния текст: английски.
(
i
)	Името на настоящото дело е измислено. То не съвпада с истинското име на никоя от страните в производството.
(
2
)	Заключение на генералния адвокат Cruz Villalón по дело Bara и др. (C‑201/14, EU:C:2015:461, т. 74) (курсивът е мой).
(
3
)	Vrabec, U. H. Data Subject Rights under the GDPR. Oxford University Press, Oxford, 2021, р. 64.
(
4
)	Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
5
)	Вж. Работна група за защита на личните данни по член 29, Насоки относно прозрачността съгласно Регламент 2016/679, приети на 29 ноември 2017 г., 17/BG WP260 rev. 01 (наричани по-нататък „Насоките относно прозрачността“), точка 4. След това тази работна група е заменена от Европейския комитет по защита на данните (ЕКЗД). Въпреки това Насоките относно прозрачността продължават да бъдат валидни. Вж. и ЕКЗД, Насоки 03/2020 относно обработването на данни за здравословното състояние с научноизследователска цел във връзка с пандемията от COVID‑19, приети на 21 април 2020 г., точка 5.1.2.4.
(
6
)	Решение от 1 октомври 2015 г., Bara и др. (C‑201/14, EU:C:2015:638, т. 33), в което се цитира заключението на генералeн адвокат Cruz Villalón по това дело.
(
7
)	Насоки за прозрачност, точка 24. Вж. и Vrabec, U. H., Data Subject Rights under the GDPR, op. cit., бележка под линия 3 по-горе, стр. 84.
(
8
)	Вж. Zanfir-Fortuna, G. Article 14. Information to be provided where personal data have not been obtained from the data subject. Kuner, C., Bygrave, L.A. и Docksey, C. (eds). The EU General Data Protection Regulation (GDPR), A Commentary. Oxford University Press, Oxford, 2020, 435—448, р. 436.
(
9
)	Пак там, стр. 444.
(
10
)	Vrabec, U. H. Data Subject Rights under the GDPR, op. cit., бележка под линия 3 по-горе, стр. 68.
(
11
)	Когато обработването се извършва въз основа на член 6, параграф 1, буква е) от ОРЗД.
(
12
)	Като разпоредба, съдържаща откриваща клауза, тя дава възможност на държавите членки да предвидят допълнителни — по-строги или дерогиращи — национални правила и им оставя свобода на преценка относно начина на прилагане на съответната разпоредба (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer (C‑34/21, EU:C:2023:270, т. 51). Вж. Knyrim, R. IV. Ausnahme von der Informationspflicht. Ehmann, E., Selmayr, M. Datenschutz Grundverordnung, DS — GVO, Beck, München, 2. ed. 2018, art. 14, p. 42—48, _. 47.
(
13
)	А именно: на български, датски, немски, гръцки, испански, италиански, латвийски, полски, словашки и шведски език.
(
14
)	Това важи с особена сила за текстовете на естонски („isikuandmed“), литовски („duomenų“), унгарски („adat“), нидерландски („gegevens“), португалски („dados“), румънски („datelor“) и фински език („tietojen“).
(
15
)	Във френскоезичната правна литература се отбелязва, че в текста на френски език е трябвало да се използва думата „данни“ вместо думата „информация“, както е било в случая с предшественика на член 14, параграф 5, буква в) от ОРЗД, а именно член 11, параграф 2 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) (вж. de Terwangne, C., Rosier, K. Section 1. — Droit d'être informée de l'existence de traitements la concernant. Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, 1. ed., 2018, p. 409—432, бележка под линия 132).
(
16
)	Вж. в този смисъл решение от 21 март 2024 г., Cobult (C‑76/23, EU:C:2024:253, т. 25 и цитираната съдебна практика).
(
17
)	Вж. в този смисъл решение от 5 октомври 2023 г., Ministerstvo zdravotnictví (Мобилно приложение COVID‑19) (C‑659/22, EU:C:2023:745, т. 27).
(
18
)	Ebner, K. 6. Ausschluss der Informationspflicht. Weniger ist Mehr? Die Informationspflichten der DS-GVO — Eine kritische Analyse. Nomos, Baden-Baden, 2022, 272—298, р. 280. Този автор също така отбелязва (на стр. 281), че освобождаването на администратора от задължението за предоставяне на информация в хипотезата, предвидена в член 14, параграф 5, буква в), е средство за избягване на риска от информационно „пренасищане“ или информационно „претоварване“; Dix, A. DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c). Simitis, S., Hornung, G., Spiecker, I. Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, p. 27—28, p. 27, като се позовава на съответното право като „достатъчен заместител“ („hinreichendes Surrogat“) на изискваната информация, предоставяна от администратора.
(
19
)	Dix, A., op. cit., бележка под линия 18 по-горе.
(
20
)	Насоки относно прозрачността, точка 66. Съответно администраторите на данни трябва да са в състояние да покажат по какъв начин въпросното право се прилага за тях и ги задължава да получат или разкрият въпросните лични данни.
(
21
)	Вж. точка 16 от настоящото заключение.
(
22
)	Решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 48 и цитираната съдебна практика).
(
23
)	Вж. точка 31 по-горе.
(
24
)	Вж. точка 23 по-горе.
(
25
)	Dix, A., Simitis, S., Hornung, G., Spiecker, I., op. cit., бележка под линия 18, и Ebner, K. 6. Ausschluss der Informationspflicht“, op. cit., бележка под линия 18, стр. 281.
(
26
)	Решение от 16 януари 2024 г., Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, т. 61).
(
27
)	Пак там.
(
28
)	Вж. Насоките относно прозрачността, точка 66.
(
29
)	Пак там.
(
30
)	Решение от 6 октомври 2015 г., Schrems (C‑362/14, EU:C:2015:650, т. 65).
(
31
)	Прието в съответствие с член 25, параграф 6 от Директива 95/46.
(
32
)	Вж. в този смисъл решение от 6 октомври 2015 г., Schrems (C‑362/14, EU:C:2015:650, т. 62).
(
33
)	Пак там, точка 65.
(
34
)	Това не засяга ограниченията на правото на информация, които може да са наложени от правото на Съюза или на държава членка при условията, посочени в член 23 от ОРЗД.
(
35
)	Точка 31 от настоящото заключение.
(
36
)	Вж. точка 27 от настоящото заключение.
(
37
)	Вж. в този смисъл Ebner, K. 6. Ausschluss der Informationspflicht, op. cit., бележка под линия 18, стр. 281, който споменава сходно ниво на защита („vergleichbares Schutzniveau“); Mester, B.‑A. DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c). Taeger, J., Gabel, D. DSGVO — BDSG — TTDSG, Beck, München, 2022, p. 26; Paal, B. et Hennemann, M. DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c). Paal, B., Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, p. 42.
(
38
)	Mester, B.‑A., Taeger, J., Gabel, D., op. cit., бележка под линия 37.
(
39
)	Ebner, K. 6. Ausschluss der Informationspflicht. op. cit., бележка под линия 18, стр. 281.
(
40
)	Точка 43 от настоящото заключение.
(
41
)	Тези конкретни разпоредби могат да съдържат елементите, посочени в член 6, параграф 3 от ОРЗД, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX от ОРЗД.