62023CC0169
GENERALINĖS ADVOKATĖS
LAILA MEDINA IŠVADA,
pateikta 2024 m. birželio 6 d. (
1
)
Byla C-169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
prieš
UC
(Kúria (Aukščiausiasis Teismas, Vengrija) pateiktas prašymas priimti prejudicinį sprendimą)
„Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Reglamentas (ES) 2016/679 – Duomenų tvarkymas siekiant išduoti COVID-19 pažymėjimą – Informacija, kurią reikia pateikti, jei asmens duomenys nebuvo gauti iš duomenų subjekto – 14 straipsnio 1 dalis – Nuo pareigos pateikti informaciją nukrypti leidžiančios nuostatos – Sąjungos arba valstybės narės teisės aktuose aiškiai nustatytas gavimas arba atskleidimas – Tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės – 14 straipsnio 5 dalies c punktas – Teisė pateikti skundą priežiūros institucijai – 77 straipsnis“
I. Įvadas
1.
Viena iš svarbiausių duomenų valdytojo pareigų yra pareiga teikti informaciją duomenų subjektui. Generalinis advokatas P. Cruz Villalón savo išvadoje, pateiktoje byloje Bara, iškalbingai pasakė, kad reikalavimas informuoti duomenų subjektą „užtikrin[a] bet kokio tvarkymo skaidrumą“ (
2
). Pareiga informuoti atitinka pagrindinę duomenų subjekto teisę gauti informaciją apie jo duomenų tvarkymą. Teisinėje literatūroje pažymima (
3
), kad teisė į informaciją „iliustruoja“ skaidrumo principą ir yra svarbiausia iš visų kitų teisių. Išsamūs informavimo reikalavimai leidžia duomenų subjektui naudotis kitomis svarbiomis teisėmis, pripažintomis pagal Reglamentą (ES) 2016/679 (
4
).
2.
Ši byla iškelta dėl COVID-19 pažymėjimų išdavimo. Joje Teisingumo Teismas pirmą kartą kviečiamas išaiškinti svarbią nukrypti leidžiančią nuostatą dėl BDAR 14 straipsnio 5 dalies c punkte įtvirtintos duomenų valdytojo pareigos teikti informaciją. Atitinkama nukrypti leidžianti nuostata bus analizuojama atsižvelgiant į priežiūros institucijos įgaliojimus, susijusius su duomenų subjekto pateiktu skundu.
II. Teisinis pagrindas
A.
Sąjungos teisė
3.
BDAR 14 straipsnio „Informacija, kuri turi būti pateikta, kai asmens duomenys yra gauti ne iš duomenų subjekto“ 1, 2 ir 5 dalyse nustatyta:
„1.   Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia duomenų subjektui šią informaciją:
a)
duomenų valdytojo ir duomenų valdytojo atstovo, jei taikoma, tapatybę ir kontaktinius duomenis;
b)
duomenų apsaugos pareigūno, jei taikoma, kontaktinius duomenis;
c)
duomenų tvarkymo tikslus, kuriais ketinama tvarkyti asmens duomenis, taip pat duomenų tvarkymo teisinį pagrindą;
d)
atitinkamų asmens duomenų kategorijas;
e)
jei jos yra, asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas;
f)
kai taikoma, apie duomenų valdytojo ketinimą asmens duomenis perduoti gavėjui trečiojoje valstybėje arba tarptautinei organizacijai ir [Europos] Komisijos sprendimo dėl tinkamumo buvimą ar nebuvimą <…>.
2.   Be 1 dalyje nurodytos informacijos, duomenų valdytojas pateikia duomenų subjektui toliau nurodytą papildomą informaciją, būtiną tvarkymo sąžiningumui ir skaidrumui duomenų subjekto atžvilgiu užtikrinti:
a)
asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;
b)
kai duomenų tvarkymas atliekamas pagal 6 straipsnio 1 dalies f punktą, teisėtus duomenų valdytojo arba trečiosios šalies interesus;
c)
teisę prašyti, kad duomenų valdytojas leistų susipažinti su duomenų subjekto asmens duomenimis ir juos ištaisytų arba ištrintų, arba apribotų duomenų tvarkymą, ir teisę nesutikti, kad duomenys būtų tvarkomi, taip pat teisę į duomenų perkeliamumą;
d)
kai duomenų tvarkymas grindžiamas 6 straipsnio 1 dalies a punktu arba 9 straipsnio 2 dalies a punktu, teisę bet kuriuo metu atšaukti sutikimą, nedarant poveikio sutikimu grindžiamo duomenų tvarkymo iki sutikimo atšaukimo teisėtumui;
e)
teisę pateikti skundą priežiūros institucijai;
f)
koks yra asmens duomenų kilmės šaltinis, ir, jei taikoma, ar duomenys gauti iš viešai prieinamų šaltinių;
g)
tai, kad esama 22 straipsnio 1 ir 4 dalyse nurodyto automatizuoto sprendimų priėmimo, įskaitant profiliavimą, ir, bent tais atvejais, prasmingą informaciją apie loginį jo pagrindimą, taip pat tokio duomenų tvarkymo reikšmę ir numatomas pasekmes duomenų subjektui.
<…>
5.   1–4 dalys netaikomos, jeigu ir tiek, kiek:
<…>
c)
duomenų gavimas ar atskleidimas aiškiai nustatytas Sąjungos arba valstybės narės teisėje, ir kurie taikomi duomenų valdytojui ir kuriuose nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės;
<…>“
4.
BDAR 32 straipsnio „Duomenų tvarkymo saugumas“ 1 dalyje nurodyta:
„Atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas bei duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat duomenų tvarkymo keliamus įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas ir duomenų tvarkytojas įgyvendina tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas <…>
<…>“
5.
BDAR 77 straipsnio „Teisė pateikti skundą priežiūros institucijai“ 1 dalyje nustatyta:
„Neapribojant galimybių imtis kitų administracinių arba teisminių teisių gynimo priemonių, kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai, visų pirma valstybėje narėje, kurioje yra jo nuolatinė gyvenamoji vieta, darbo vieta arba vieta, kurioje padarytas įtariamas pažeidimas, jeigu tas duomenų subjektas mano, kad su juo susijęs asmens duomenų tvarkymas atliekamas pažeidžiant šį reglamentą.“
B.
Vengrijos teisė
6.
Pagrindinės bylos aplinkybėms taikytinos redakcijos Koronavírus elleni védettségi igazolásról szóló 60/2021
(II.12.) Korm. Rendelet (2021 m. vasario 12 d. Vyriausybės nutarimas 60/2021 dėl imuniteto nuo koronaviruso pažymėjimo, toliau – Nutarimas 60/2021) 2 straipsnio 1 dalies a–g punkuose nustatyta:
„Imuniteto pažymėjime nurodyta:
a)
atitinkamo asmens vardas ir pavardė;
b)
duomenų subjekto paso, jei jis jį turi, numeris;
c)
duomenų subjekto nuolatinės asmens tapatybės kortelės, jeigu jis ją turi, numeris ir dokumento identifikatorius;
d)
imuniteto pažymėjimo serijos numeris;
e)
jei pateikiamas skiepijimo įrodymas – skiepijimo data;
f)
jei pateikiamas persirgimo liga įrodymas – jo galiojimo data;
g)
kompiuteriniais įrenginiais optiškai nuskaitomas duomenų saugojimo kodas, sugeneruotas iš a–f punktuose nurodytų duomenų;
<…>“
7.
Pagal Nutarimo 60/2021 2 straipsnio 6 ir 7 dalis Budapest
Főváros Kormányhivatala (Vyriausybės biuras Budapešte, Vengrija; toliau – Budapešto biuras) savo iniciatyva arba gavęs prašymą turėjo išduoti imuniteto pažymėjimą jį gauti teisę turinčiam fiziniam asmeniui.
8.
Nutarimo 60/2021 3 straipsnio 3 dalyje nustatyta:
„2 straipsnio 6 dalies c ir d punktuose nurodytais atvejais [Budapešto biuras] automatiniu informacijos perdavimo būdu – prireikus per összerendelési nyilvántartás [Elektroninio asmens tapatybės duomenų tvarkymo registras, Vengrija)] – surenka:
a)
iš EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér (Elektroninių sveikatos paslaugų sritis)] valdytojo: duomenų subjekto socialinio draudimo numerį, 2 straipsnio 1 dalies e ir g punktuose nurodytus duomenis ir 1 dalyje nurodytus duomenis;
b)
iš už asmens duomenų ir adresų registravimą atsakingos įstaigos: duomenų subjekto vardą ir pavardę, paso ir nuolatinės asmens tapatybės kortelės dokumentų identifikatorius ir adresą.“
III. Ginčas pagrindinėje byloje ir prejudiciniai klausimai
9.
Fizinis asmuo UC iš Budapešto biuro gavo imuniteto pažymėjimą, patvirtinantį, kad jis paskiepytas nuo COVID-19.
10.
2021 m. balandžio 30 d. UC, remdamasis BDAR 77 straipsnio 1 dalimi, pateikė skundą Nemzeti Adatvédelmi és Információszabadság Hatóság (Nacionalinė duomenų apsaugos ir informacijos laisvės institucija, Vengrija; toliau – Vengrijos priežiūros institucija). UC paprašė šios institucijos nurodyti Budapešto biurui suderinti savo duomenų tvarkymo operacijas su BDAR nuostatomis. Skunde UC, be kita ko, teigė, kad Budapešto biuras neparengė ir nepaskelbė pareiškimo dėl privatumo, siejamo su duomenų, reikalingų imuniteto pažymėjimams išduoti, tvarkymu, ir kad nebuvo pakankamai informacijos apie duomenų tvarkymo tikslą ir teisinį pagrindą, taip pat neaišku, kokios yra duomenų subjektų teisės ir kaip galima jomis pasinaudoti.
11.
Vykstant dėl pateikto skundo pradėtai procedūrai Budapešto biuras pareiškė, kad savo pareigas, susijusias su imuniteto pažymėjimų išdavimu, jis vykdė pagal Nutarimo 60/2021 2 straipsnį ir kad duomenų tvarkymo teisinis pagrindas buvo BDAR 6 straipsnio 1 dalies e punktas ir, kiek tai susiję su specialių kategorijų asmens duomenų tvarkymu – BDAR 9 straipsnio 2 dalies i punktas.
12.
Be to, Budapešto biuras tvirtino, kad pagal Nutarimo 60/2021 3 straipsnio 2 ir 3 dalis automatiškai perduodamus duomenis gavo iš Elektroninių sveikatos paslaugų srities operatoriaus ir už asmens duomenų ir adresų registravimą atsakingos įstaigos. Jis nurodė, kad pagal BDAR 14 straipsnio 5 dalies c punktą neprivalėjo pateikti informacijos apie duomenų tvarkymą. Atsižvelgdamas į tai, jis sukūrė pareiškimą dėl privatumo, susijusį su atitinkamu duomenų tvarkymu, ir jį paskelbė savo interneto svetainėje.
13.
2021 m. lapkričio 15 d. sprendimu Vengrijos priežiūros institucija atmetė skundą, motyvuodama tuo, kad Budapešto biuras neprivalėjo teikti informacijos, nes duomenų tvarkymui buvo taikoma BDAR 14 straipsnio 5 dalies c punkte įtvirtinta nukrypti leidžianti nuostata. Tiksliau, ši priežiūros institucija laikėsi nuomonės, kad Nutarimas 60/2021 buvo duomenų tvarkymo teisinis pagrindas ir kad Budapešto biuras negavo duomenų iš pačių duomenų subjektų. Be to, ji pažymėjo, kad Nutarimo 60/2021 3 straipsnio 1 dalyje Budapešto biurui aiškiai nurodyta rinkti duomenis. Tai, kad Budapešto biuras savo interneto svetainėje paskelbė informaciją apie duomenų tvarkymą, nors ir neturėjo teisinės pareigos tai daryti, yra laikoma gera praktika.
14.
Vengrijos priežiūros institucija savo iniciatyva išnagrinėjo klausimą dėl tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių, minimų BDAR 14 straipsnio 5 dalies c punkte, ir nustatė, kad tokiomis priemonėmis laikytini Nutarimo 60/2021 2 ir 3 straipsniai, taip pat 5–7 straipsniai.
15.
UC apskundė Vengrijos priežiūros institucijos sprendimą Fővárosi Törvényszék (Budapešto aukštasis teismas, Vengrija). Šis teismas patenkino ieškinį, panaikino Vengrijos priežiūros institucijos sprendimą ir nurodė jai atlikti naują procedūrą.
16.
Fővárosi Törvényszék (Budapešto apygardos teismas) sprendimo motyvuojamojoje dalyje konstatavo, kad BDAR 14 straipsnio 5 dalies c punkte nurodyta nukrypti leidžianti nuostata netaikytina, nes kai kurie su imuniteto pažymėjimais susiję duomenys buvo ne surinkti iš kitos įstaigos, o sugeneruoti duomenų valdytojo. Šie duomenys apima imuniteto pažymėjimo serijos numerį, pažymėjimo galiojimo laikotarpį, į pažymėjimą įtrauktą QR kodą, brūkšninį kodą ir kitus raidinius bei skaitmeninius kodus, kuriuos duomenų valdytojas sukuria vykdydamas savo procedūrą.
17.
Vengrijos priežiūros institucija dėl šio galutinio Fővárosi Törvényszék (Budapešto aukštasis teismas) sprendimo pateikė ypatingąjį kasacinį skundą Kúria (Aukščiausiasis Teismas, Vengrija).
18.
Dėl BDAR 14 straipsnio 5 dalies c punkte įtvirtintos nukrypti leidžiančios nuostatos taikymo prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad ši nuostata gali būti taikoma visų rūšių duomenų tvarkymo procesui, neapimančiam duomenų, gautų iš duomenų subjekto, kaip tai suprantama pagal BDAR 13 straipsnį, įskaitant duomenų valdytojo sugeneruotus duomenis.
19.
Jei būtų laikomasi tokio BDAR 14 straipsnio 5 dalies c punkto aiškinimo, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla abejonių dėl nacionalinių priežiūros institucijų taisomųjų įgaliojimų apimties pagal BDAR 77 straipsnio 1 dalį nagrinėjant pateiktą skundą. Kalbant konkrečiau, prašymą priimti prejudicinį sprendimą pateikęs teismas abejoja, ar nagrinėjant tokį skundą priežiūros institucija turi įgaliojimus svarstyti klausimą dėl nacionalinėje teisėje numatytų tinkamų priemonių, skirtų teisėtiems duomenų subjekto interesams apsaugoti, apie kurias kalbama BDAR 14 straipsnio 5 dalies c punkte.
20.
Jei būtų nuspręsta, kad priežiūros institucija turi tokius įgaliojimus, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla abejonių dėl sąvokos „tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės“ tikslios reikšmės. Šiuo klausimu jis pažymi, kad būtų galima konstatuoti, kad, viena vertus, „tinkamos priemonės“ reiškia BDAR 14 straipsnio 1 dalies a–f punktuose išvardytų klausimų perkėlimą į nacionalinę teisę, kita vertus, šios priemonės gali būti susijusios su teise prašyti atlikti BDAR 32 straipsnyje reglamentuojamą duomenų tvarkymo saugumo patikrinimą. Vis dėlto taip suprantant sąvoką „tinkamos priemonės“, kiltų pavojus, kad teisės aktų vykdymą apsunkins techninės nuostatos, o tai prieštarautų reikalavimui, kad teisės aktai turi būti suprantami ir aiškūs. Be to, pakankama garantija galėtų būti su duomenų saugumu susijusių priemonių laikymasis, net jei tos priemonės nebuvo konkrečiai perkeltos į nacionalinę teisę.
21.
Tokiomis aplinkybėmis Kúria (Aukščiausiasis Teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1.
Ar [BDAR] 14 straipsnio 5 dalies c punktas, siejamas su 14 straipsnio 1 dalimi ir 62 konstatuojamąja dalimi, turi būti aiškinamas taip, kad 14 straipsnio 5 dalies c punkte numatyta išimtis netaikoma duomenims, kurie buvo sugeneruoti pačiam duomenų valdytojui vykdant procedūrą, ir taikoma duomenims, kuriuos duomenų valdytojas aiškiai gavo iš kito asmens?
2.
Tuo atveju, jei BDAR 14 straipsnio 5 dalies c punktas taikomas ir duomenims, sugeneruotiems per duomenų valdytojo vykdomą procedūrą, ar BDAR 77 straipsnio 1 dalyje įtvirtinta teisė pateikti skundą priežiūros institucijai turi būti aiškinama taip, kad fizinis asmuo, teigiantis, jog nebuvo įvykdyta pareiga pateikti informaciją, naudodamasis teise pateikti skundą, gali prašyti išnagrinėti, ar pagal BDAR 14 straipsnio 5 dalies c punktą valstybės narės teisėje yra numatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės?
3.
Jei atsakymas į antrąjį klausimą būtų teigiamas, ar BDAR 14 straipsnio 5 dalies c punktą galima aiškinti taip, kad šioje nuostatoje nurodytos „tinkamos priemonės“ reiškia, jog nacionalinės teisės aktų leidėjas turi perkelti (teisės aktais) BDAR 32 straipsnyje nustatytas duomenų saugumo priemones?“
22.
Rašytines pastabas pateikė UC, Vengrijos priežiūros institucija, Vengrijos vyriausybė ir Komisija. Pagal Europos Sąjungos Teisingumo Teismo statuto 23 straipsnį Teisingumo Teismas išsiuntė šalims ir suinteresuotosioms šalims klausimus, į juos UC, Čekijos vyriausybė, Vengrijos vyriausybė ir Komisija atsakė raštu.
IV. Vertinimas
A.
Preliminarios pastabos dėl pareigos informuoti ir nukrypti leidžiančios nuostatos pagal BDAR 14 straipsnio 5 dalies c punktą
23.
Informacijos teikimas duomenų subjektams yra pagrindinis BDAR 5 straipsnio 1 dalies a punkte nustatyto skaidrumo principo elementas. Skaidrumas „įgalina duomenų subjektus patraukti duomenų valdytojus ir duomenų tvarkytojus atsakomybėn“, nes sustiprina jų galimybę kontroliuoti savo duomenis (
5
). Kaip nurodyta Sprendime Bara ir kt., „reikalavimas informuoti duomenų subjektus apie jų asmens duomenų tvarkymą yra svarbus tuo, kad jis yra viena iš sąlygų, būtinų tam, kad šie asmenys pasinaudotų <…> teise gauti informaciją apie tvarkomus duomenis ir teise juos ištaisyti“ (
6
). Pagrindinės nuostatos šiuo klausimu yra BDAR 12, 13 ir 14 straipsniai.
24.
Pagal BDAR 12 straipsnio 1 dalį duomenų valdytojas turi imtis tinkamų priemonių, kad 13 ir 14 straipsniuose nurodytą informaciją pateiktų „glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba“. Paprastai ši informacija pateikiama privatumo politikoje arba pareiškime dėl privatumo (
7
).
25.
Pareigos informuoti turinys ir taikymo sritis nustatyti BDAR 13 ir 14 straipsniuose. 13 straipsnyje reglamentuojama informacija, kuri turi būti teikiama, kai asmens duomenys renkami iš duomenų subjekto (tiesioginis rinkimas), o 14 straipsnyje – informacija, kuri turi būti teikiama, kai asmens duomenys nebuvo gauti iš duomenų subjekto (netiesioginis rinkimas) (
8
). Informacija, kurią reikia pateikti pagal šias dvi nuostatas, iš esmės sutampa (
9
).
26.
Kalbant apie netiesioginį duomenų rinkimą, pažymėtina, kad BDAR 14 straipsnio 1 dalyje į „standartinės informacijos katalogą“ (
10
) įtraukta informacija apie duomenų valdytojo tapatybę, duomenų tvarkymo tikslus, duomenų gavėjus ir galimą duomenų perdavimą gavėjui trečiojoje šalyje. Be papildomos informacijos, būtinos sąžiningam ir skaidriam duomenų tvarkymui užtikrinti, BDAR 14 straipsnio 2 dalyje aiškiai nurodytas asmens duomenų saugojimo laikotarpis, teisėti duomenų valdytojo interesai (
11
) arba teisė reikalauti, kad duomenų valdytojas leistų susipažinti su asmens duomenimis ir juos ištaisyti arba ištrinti.
27.
Duomenų valdytojo pareigai teikti informaciją netiesioginio duomenų rinkimo atveju pagal BDAR 14 straipsnį taikomos keturios nukrypti leidžiančios nuostatos, nurodytos šio straipsnio 5 dalyje. Pagrindinei bylai aktuali nukrypti leidžianti nuostata yra numatyta 14 straipsnio 5 dalies c punkte, kuriame įtvirtinta leidžiančioji nuostata (
12
). Duomenų valdytojas atleidžiamas nuo pareigos teikti informaciją, kai ir tiek, kiek „duomenų gavimas ar atskleidimas aiškiai nustatytas Sąjungos arba valstybės narės teisėje, ir kurie taikomi duomenų valdytojui“, ir teisės akte nustatytos „tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės“.
28.
BDAR 14 straipsnio 5 dalies c punkto versijoje anglų kalba, kaip ir versijose kitomis kalbomis (
13
), nėra aiškios nuorodos į „gavimo ar atskleidimo“ objektą. Daugelyje kitų kalbinių versijų aiškiai kalbama apie „duomenų“ gavimą arba atskleidimą (
14
). Atrodo, kad tik versijoje prancūzų kalba kalbama apie „informacijos“ gavimą ar atskleidimą (
15
).
29.
Kadangi visos Sąjungos teisės akto kalbinės versijos iš esmės turi būti pripažįstamos kaip turinčios vienodą vertę, tais atvejais, kai esama šių kalbinių versijų neatitikimų, konkrečią nuostatą reikia aiškinti atsižvelgiant į bendrą ją apimančio teisės reglamentavimo sistemą ir tikslą (
16
).
30.
Šiuo klausimu vertinant bendrą taisyklių sistemą, kuri apima BDAR 14 straipsnio 5 dalies c punktą, matyti, kad asmens duomenų gavimas arba atskleidimas yra susijęs su asmens duomenimis (o ne su informacija). Jau iš 14 straipsnio pavadinimo matyti, kad informacija yra „teikiama“, o gavimo veiksmas susijęs su „asmens duomenimis“. Tokį aiškinimą patvirtina 61 konstatuojamoji dalis, kurioje kalbama apie „asmens duomenis“, gautus iš kito šaltinio, ir 62 konstatuojamoji dalis, kurioje kalbama apie „asmens duomenų“ įrašymą arba atskleidimą. Be to, atsižvelgiant į plačią sąvokos „tvarkymas“ reikšmę pagal BDAR 4 straipsnio 2 dalį, t. y. bet kokią su asmens duomenimis atliekamą operaciją ar operacijų rinkinį (
17
), „gavimas arba atskleidimas“ turi būti laikomas su asmens duomenimis atliekama tvarkymo operacija.
31.
Kalbant apie normų, apimančių 14 straipsnio 5 dalies c punktą, tikslą, pažymėtina, jog pagrindinė atitinkamos nukrypti leidžiančios nuostatos prielaida, atrodo, yra ta, kad paprastai duomenų valdytojui nustatytą pareigą pateikti informaciją apie duomenų gavimą arba atskleidimą pakeičia Sąjungos arba valstybės narės teisė (
18
). Pagal atitinkamą teisę duomenų subjektai jau turi pakankamai žinių apie duomenų gavimą ar atskleidimą (
19
). Toks teisė, kuri taikoma duomenų valdytojui, turi būti aiškiai susijusi su duomenų gavimu ar atskleidimu, o duomenų gavimas ar atskleidimas duomenų valdytojui turėtų būti privalomas (
20
).
32.
Taigi iš to, kas išdėstyta, aiškiai matyti, kad nukrypti leidžiančios nuostatos dėl asmens duomenų gavimo ar atskleidimo objektas yra susijęs su asmens duomenimis.
33.
Atsižvelgdama į šias pastabas, BDAR 14 straipsnio 5 dalies c punkte įtvirtintą nukrypti leidžiančią nuostatą toliau nagrinėsiu analizuodama pateiktus prejudicinius klausimus.
B.
Dėl pirmojo klausimo
34.
Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 14 straipsnio 5 dalies c punktas turi būti aiškinamas taip, kad nuo duomenų valdytojo pareigos pateikti informaciją duomenų subjektui nukrypti leidžianti nuostata taikoma tik duomenims, kuriuos duomenų valdytojas aiškiai gavo iš kito asmens, ir netaikoma tiems duomenims, kuriuos duomenų valdytojas sugeneravo vykdydamas savo procedūrą.
35.
Šis klausimas kyla dėl to, kad pagrindinėje byloje tam tikri COVID-19 pažymėjimuose esantys duomenys gauti ne iš kitos organizacijos, o buvo sugeneruoti Budapešto biuro (
21
).
36.
Taigi reikia nustatyti, ar BDAR 14 straipsnio 5 dalies c punkte įtvirtinta sąvoka „gavimas“ neapima duomenų valdytojo sugeneruotų duomenų.
37.
Siekiant atsakyti į šį klausimą, atmintina, kad aiškinant Sąjungos teisės nuostatą reikia atsižvelgti ne tik į jos tekstą, bet ir į kontekstą, taip pat teisės akto, kuriame ji įtvirtinta, tikslus bei paskirtį (
22
).
38.
Kalbant apie BDAR 14 straipsnio 5 dalies c punkto formuluotę, pažymėtina, kad šioje nuostatoje nėra apribojimo, susijusio su konkrečia duomenų tvarkymo rūšimi ar tiksliu būdu, kuriuo duomenų valdytojas gauna duomenis. Duomenys gali būti gaunami taikant techninę procedūrą, pavyzdžiui, duomenų valdytojui generuojant duomenis.
39.
Tai, kad sąvoka „gavimas“ suprantama plačiai, patvirtinama BDAR 62 konstatuojamojoje dalyje. Šioje konstatuojamojoje dalyje vartojama sąvoka duomenų „įrašymas“, t. y. operacija, kuri, kaip nurodė prašymą priimti prejudicinį sprendimą pateikęs teismas, reiškia platesnę duomenų tvarkymo operacijų, kurias gali atlikti duomenų valdytojas, grupę. Todėl 14 straipsnio 5 dalies c punkto negalima aiškinti kaip taikytino tik iš kito subjekto gautiems duomenims ir netaikytino duomenų valdytojo sugeneruotiems duomenims.
40.
Tokį BDAR 14 straipsnio 5 dalies c punkto aiškinimą taip pat patvirtina šios nuostatos atsiradimo kontekstas ir jos tikslai bei paskirtis.
41.
Šiuo klausimu reikia pažymėti, kad 14 straipsnio 5 dalyje įtvirtintos nukrypti leidžiančios nuostatos yra susijusios su to paties straipsnio 1–4 dalimis. 14 straipsnio (nukrypti leidžianti nuostata yra jo dalis) materialinė taikymo sritis, palyginti su 13 straipsniu, apibrėžiama negatyviai. 13 straipsnyje reglamentuojama informacija, kuri turi būti teikiama, kai asmens duomenys renkami iš duomenų subjekto, o 14 straipsnyje reglamentuojamas informacijos teikimas, kai asmens duomenys nebuvo gauti iš duomenų subjekto. Iš tiesioginio ir netiesioginio duomenų rinkimo dichotomijos išplaukia, kad visi atvejai, kai duomenys gaunami ne iš duomenų subjekto, patenka į 14 straipsnio materialinę taikymo sritį. Nesvarbu, ar tuos duomenis, kurie nėra gauti iš duomenų subjekto, sugeneruoja duomenų valdytojas. Plačią 14 straipsnio materialinę taikymo sritį patvirtina ir 61 konstatuojamoji dalis, kurioje kalbama apie duomenis, „gautus iš kito šaltinio“, t. y. ne iš duomenų subjekto.
42.
Be to, kaip pažymėjo Komisija ir Vengrijos priežiūros institucija, BDAR 13 ir 14 straipsniuose nustatytos taisyklės iš esmės sudaro išsamią sistemą, reglamentuojančią informacijos teikimą duomenų subjektui visais įmanomais atvejais. Jeigu BDAR 14 straipsnio 5 dalies c punkte vartojama sąvoka „gavimas“ būtų aiškinama kaip neapimanti duomenų valdytojo sugeneruotų duomenų, šios nuostatos taikymo sritis būtų siauresnė nei 14 straipsnio, į kurį ji įtraukta, taikymo sritis.
43.
Kalbant apie konkretų atitinkamos nukrypti leidžiančios nuostatos tikslą, pažymėtina, kad, kaip nurodyta šios išvados preliminariose pastabose, duomenų valdytojo atleidimas nuo pareigos teikti informaciją grindžiamas prielaida, kad duomenų valdytojui paprastai nustatyta pareiga teikti informaciją pakeičiama teisės aktu (
23
). Pagal 14 straipsnio 5 dalies c punkte įtvirtintą nukrypti leidžiančią nuostatą valstybėms narėms suteikiama diskrecija numatyti kitokį duomenų subjekto informavimo ir sąžiningo bei skaidraus duomenų tvarkymo užtikrinimo būdą nei duomenų valdytojo vykdomas individualus informacijos pateikimas. Skirtingu teisiniu būdu turi būti pasiektas tas pats rezultatas. Teisės aktas, kuriuo pakeičiama duomenų valdytojams nustatyta pareiga informuoti, turi sudaryti sąlygas duomenų subjektui kontroliuoti savo duomenis ir naudotis teisėmis pagal BDAR (
24
).
44.
Aiškinant 14 straipsnio 5 dalies c punktą taip, kad į jo taikymo sritį nepatenka duomenų valdytojo sugeneruojami duomenys, valstybėms narėms palikta diskrecija būtų apribota remiantis pagrindu, kuris neatrodo svarbus duomenų subjekto teisėtų interesų apsaugai.
45.
Be to, dėl kitokio aiškinimo, kuriuo būtų nustatyta 14 straipsnio 5 dalies c punkte įtvirtintos nukrypti leidžiančios nuostatos išimtis, kai duomenis sugeneruoja duomenų valdytojas, duomenų subjektui gali būti sudėtingiau įgyvendinti savo teises. Duomenų subjektas turi turėti galimybę žinoti, iš kokio šaltinio jis gaus informaciją apie savo duomenų tvarkymą tuo atveju, kai šie duomenys nėra gaunami iš paties duomenų subjekto. Atitinkama teisė turi užtikrinti, kad visais tokiais atvejais duomenų tvarkymas duomenų subjektui būtų nuspėjamas (
25
).
46.
Iš to, kas išdėstyta, matyti, kad BDAR 14 straipsnio 5 dalies c punktas turi būti aiškinamas taip, kad nukrypti nuo duomenų valdytojo pareigos teikti informaciją duomenų subjektui leidžianti nuostata taikoma visiems duomenims, kurių duomenų valdytojas nėra gavęs iš duomenų subjekto. Šiuo atveju nėra svarbu, ar duomenys aiškiai gaunami iš kito subjekto, ar juos sugeneruoja duomenų valdytojas, vykdydamas savo procedūrą.
C.
Dėl antrojo klausimo
47.
Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 77 straipsnio 1 dalis turi būti aiškinama taip, kad vykdydama skundų nagrinėjimo procedūrą priežiūros institucija turi įgaliojimus tikrinti, ar valstybės narės teisėje, kuri taikoma duomenų valdytojui, numatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės, kad būtų galima taikyti šio reglamento 14 straipsnio 5 dalies c punkte įtvirtintą nukrypti leidžiančią nuostatą.
48.
Šiuo požiūriu primintina, kad pagal BDAR 77 straipsnio 1 dalį kiekvienas duomenų subjektas turi teisę pateikti skundą priežiūros institucijai, jeigu mano, kad tvarkant jo asmens duomenis pažeidžiamas šis reglamentas (
26
).
49.
Kita vertus, pagal BDAR 55 straipsnio 1 dalį kiekviena priežiūros institucija turi kompetenciją savo valstybės narės teritorijoje vykdyti pagal šį reglamentą jai pavestas užduotis ir naudotis pagal šį reglamentą jai suteiktais įgaliojimais (
27
). Be to, pagal BDAR 57 straipsnio 1 dalies a punktą nacionalinės priežiūros institucijos turi pareigą stebėti, kaip taikomas BDAR, ir užtikrinti, kad jis būtų taikomas.
50.
Dviejuose pirma minėtuose punktuose nurodytomis nuostatomis iš nacionalinių priežiūros institucijų kompetencijos srities neišbraukiamos BDAR 14 straipsnio 5 dalies c punkte įtvirtintos nukrypti leidžiančios nuostatos taikymo sąlygos.
51.
Taigi, kaip teigė Vengrijos vyriausybė ir Komisija, iš esmės nagrinėjant pateiktą skundą pagal BDAR 77 straipsnio 1 dalį priežiūros institucijoms suteikiami įgaliojimai tikrinti, ar laikomasi visų 14 straipsnio 5 dalies c punkte nustatytų sąlygų. Kaip matyti iš 14 straipsnio 5 dalies pirmojo sakinio, visos jame įtvirtintos nukrypti leidžiančios nuostatos taikomos, „jeigu ir tiek, kiek“ tenkinamos toje dalyje nustatytos sąlygos.
52.
Šiuo klausimu priežiūros institucijos pirmiausia turi turėti įgaliojimus patikrinti, ar teisės aktas tiesiogiai skirtas duomenų valdytojui ir ar duomenų valdytojui privaloma gauti arba atskleisti duomenis (
28
). Antra, priežiūros institucijos turi turėti galimybę išnagrinėti, ar teisės akte, kuriuo remiasi duomenų valdytojas, numatytos „tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės“ ir ar duomenų valdytojas gali įrodyti, kad asmens duomenų gavimas ar atskleidimas atitinka šias priemones (
29
).
53.
Vengrijos priežiūros institucija teigia, kad klausimo, ar nacionalinėje teisėje numatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės, nagrinėjimas viršytų jos užduotis ir įgaliojimus pagal atitinkamai BDAR 57 ir 58 straipsnius. Ši institucija mano, kad šiomis nuostatomis priežiūros institucijoms pagal nacionalinę teisę nesuteikiami taisomieji įgaliojimai ir kad tokių įgaliojimų negalima suteikti duomenų valdytojui, kuris tik laikėsi nacionalinės teisės.
54.
Atsižvelgiant į tai, reikia konstatuoti, kad, kaip teisingai pažymėjo Komisija, nacionalinės priežiūros institucijos atliekamas klausimo, ar įvykdomi visi 14 straipsnio 5 dalies c punkte įtvirtintos nukrypti leidžiančios nuostatos taikymo reikalavimai, nagrinėjimas neapima nacionalinės teisės galiojimo patikrinimo. Priežiūros institucija nagrinėja tik klausimą, ar konkrečiu atveju duomenų valdytojas turi teisę taikyti nukrypti leidžiančią nuostatą konkretaus duomenų subjekto atžvilgiu.
55.
Taigi nacionalinei priežiūros institucijai tenka pareiga išnagrinėti duomenų subjekto reikalavimą, kad duomenų valdytojas neturėtų būti atleistas nuo pareigos teikti informaciją, nes atitinkamoje teisėje nenumatyta tinkamų teisėtų duomenų subjekto interesų apsaugos priemonių.
56.
Jeigu nacionalinė priežiūros institucija padaro išvadą, kad reikalavimas yra nepagrįstas, kaip matyti iš BDAR 78 straipsnio, reikalavimą pateikusiam ir tą išvadą ginčijančiam asmeniui turi būti suteikta galimybė pasinaudoti teisminėmis teisių gynimo priemonėmis, leidžiančiomis tokį sprendimą ginčyti nacionaliniuose teismuose.
57.
Jei nacionalinė priežiūros institucija mano, kad reikalavimas yra pagrįstas ir kad nukrypti leidžiančios nuostatos sąlygos neįvykdytos, ji turi teisę, kaip iš esmės tvirtino Vengrijos vyriausybė ir Komisija, nurodyti duomenų valdytojui įvykdyti duomenų subjekto prašymą. Tokiu atveju duomenų valdytojas turi pateikti informaciją vadovaudamasis 14 straipsnio 1–4 dalimis.
58.
Atsakydama į Teisingumo Teismo raštu pateiktus klausimus, Čekijos vyriausybė teigė, kad neįmanoma ištirti teisėtų duomenų subjekto interesų apsaugos priemonių tinkamumo, kai, atsižvelgiant į konkretų atvejį, nacionalinėje teisėje tikslingai numatyta pareigos teikti informaciją išimtis. Remdamasi Sprendimu Schrems (
30
), vyriausybė iš esmės pažymi, kad vieno teisės šaltinio suderinamumo su kitu teisės šaltiniu nagrinėjimas yra išimtinė teismų, o ne administracinės institucijos kompetencija.
59.
Pažymėtina, kad vienas iš pagrindinių byloje Schrems iškeltų klausimų buvo susijęs su nacionalinių priežiūros institucijų įgaliojimais nagrinėti asmens skundą dėl jo teisių ir laisvių apsaugos, atsižvelgiant į Komisijos sprendimą, kuriuo nustatoma, kad trečioji šalis užtikrina tinkamą apsaugos lygį (
31
). Teisingumo Teismas iš esmės nusprendė, kad, kai nacionalinės priežiūros institucijos nagrinėja tokį reikalavimą, jos neturi teisės pačios pripažinti šį sprendimą negaliojančiu (
32
). Jeigu nacionalinė priežiūros institucija mano, kad skundą pateikusio asmens prieštaravimai yra pagrįsti, ši institucija turi turėti galimybę pradėti teisminį procesą (
33
).
60.
Vis dėlto neatrodo, kad Sprendimas Schrems turi tiesioginę reikšmę sprendžiant klausimą dėl priežiūros institucijų įgaliojimų, susijusių su BDAR 14 straipsnio 5 dalies c punkte įtvirtintos nukrypti leidžiančios nuostatos nagrinėjimu. Iš pradžių reikia pažymėti, kad atlikdama šį tyrimą priežiūros institucija nesikiša į duomenų valdytojui nustatytą teisinę pareigą gauti arba atskleisti asmens duomenis. Kitaip tariant, priežiūros institucija nenurodo duomenų valdytojui netaikyti teisinio reikalavimo gauti ar atskleisti duomenis, jo duomenų valdytojas ir toliau privalo laikytis. Kaip tvirtino Komisija ir Vengrijos vyriausybė, iš esmės esant tokiai situacijai nacionalinė priežiūros institucija turi įgaliojimus nurodyti duomenų valdytojui pateikti būtiną informaciją savo pareiškime dėl privatumo (
34
), jei nesilaikoma atitinkamos nukrypti leidžiančios nuostatos sąlygų. Toks nurodymas, kaip minėta, neturi poveikio teisinės priemonės, kuri taikoma duomenų valdytojui, galiojimui.
61.
Priežiūros institucijos įgaliojimai nurodyti duomenų valdytojui pateikti informaciją nedaro poveikio tos institucijos įgaliojimams kreiptis į teismą pagal BDAR 58 straipsnio 5 dalį, jeigu ji mano, kad teisinės priemonė yra negaliojanti.
62.
Galiausiai, kaip nurodė visos suinteresuotosios šalys, sisteminiu lygmeniu priežiūros institucija turi teisę patarti teisės aktų leidėjui arba vykdomajai valdžiai pakeisti konkrečią teisinę priemonę, jei mano, kad joje nenumatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės. Šiuo klausimu reikia priminti, kad pagal BDAR 57 straipsnio 1 dalies c punktą priežiūros institucijos turi teikti konsultacijas nacionaliniam parlamentui ir vyriausybei bei kitoms institucijoms ir įstaigoms. Joms taip pat suteikiami BDAR 58 straipsnio 3 dalies b punkte nustatyti patariamieji įgaliojimai.
63.
Iš to, kas išdėstyta, matyti, kad BDAR 77 straipsnio 1 dalį reikia aiškinti taip: vykdydama skundų nagrinėjimo procedūrą priežiūros institucija turi įgaliojimus tikrinti, ar laikomasi visų šio reglamento 14 straipsnio 5 dalies c punkte nustatytų sąlygų. Konkrečiai ji turi įgaliojimus nagrinėti klausimą, ar valstybės narės teisėje, kuri taikoma duomenų valdytojui, nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės.
D.
Dėl trečiojo klausimo
64.
Trečiuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 14 straipsnio 5 dalies c punktą galima aiškinti taip, kad šioje nuostatoje nurodytos „tinkamos priemonės“ reiškia, kad nacionalinės teisės aktų leidėjas turi perkelti BDAR 32 straipsnyje nustatytas duomenų apsaugos priemones.
65.
Šiuo klausimu reikia priminti, kad, viena vertus, nukrypti nuo pareigos teikti informaciją pagal BDAR 14 straipsnio 5 dalies c punktą leidžiančios nuostatos taikymas priklauso nuo to, kaip taikomos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės, kita vertus, iš BDAR 32 straipsnio matyti, kad duomenų valdytojas ir duomenų tvarkytojas privalo įgyvendinti „tinkamas technines ir organizacines priemones“, leidžiančias užtikrinti duomenų tvarkymo saugumą.
66.
Vis dėlto, kaip teigia Komisija, 14 ir 32 straipsnių taikymo sritys yra skirtingos. Sąvokos „tinkamos priemonės“ taikymo sritį reikia nagrinėti atsižvelgiant į BDAR 14 straipsnį. Todėl negalima nustatyti vienos iš 14 straipsnio 5 dalies c punkte įtvirtintos nukrypti leidžiančios nuostatos taikymo sąlygų perkeliant kitoje nuostatoje vartojamą sąvoką „tinkamos techninės ir organizacinės priemonės“. Be to, atsižvelgiant į BDAR 32 straipsnį, neatrodo svarbu, ar informaciją teikia duomenų valdytojas, ar jos gavimas arba atskleidimas yra įtvirtintas teisės akte. Atitinkamai priežiūros institucijos atliekamo tyrimo objektas turi būti apribotas 14 straipsnio taikymo sritimi.
67.
Tikslus „tinkamų priemonių“ turinys BDAR 14 straipsnio 5 dalies c punkte nenurodytas. Jis yra pakankamai platus, kad apimtų bet kokią priemonę, kurią teisės aktų leidėjas laiko būtina ir tinkama. Kaip teigė Komisija, sąvoka „tinkamos priemonės“ turi būti aiškinama iš esmės atsižvelgiant į BDAR 5 straipsnio 1 dalies a punkte nustatytą skaidrumo principą. Šiuo klausimu svarbu atsižvelgti į tai, kad atitinkama teisė, kaip nurodyta šios išvados preliminariose pastabose (
35
), yra pareigos informuoti, kuri paprastai tenka duomenų valdytojui, „pakeitimas“. Teisės aktų leidėjas turi nustatyti tinkamas priemones, priklausomai, pavyzdžiui, nuo gautų duomenų kategorijos ir duomenų tvarkymo aplinkybių.
68.
Čekijos vyriausybė atsakyme į Teisingumo Teismo pateiktą klausimą nurodė, kad sąvokos „tinkamos priemonės“ taikymo sritis yra platesnė nei BDAR 14 straipsnio 1, 2 ir 4 dalyse pateiktas informacijos sąrašas.
69.
Sutinku, kad priemonių tinkamumo negalima vertinti vien mechaniškai lyginant su BDAR suderintomis duomenų valdytojo pareigomis teikti informaciją. Atrodo, kad būtų beprasmiška numatyti „leidžiančiąją sąlygą“ pagal 14 straipsnio 5 dalies c punktą (
36
) ir kartu nustatyti lygiai tokius pačius įpareigojimus, nepaliekant teisės aktų leidėjui jokios diskrecijos. Vis dėlto atitinkama teisė turi užtikrinti sąžiningo ir skaidraus duomenų tvarkymo standartą, kuris būtų lygiavertis užtikrinamam 14 straipsnio 1–4 dalyse (
37
). Kad duomenų subjektas galėtų įvertinti bet kokią riziką, susijusią su duomenų gavimu ir jų tvarkymu (
38
), aiškinant minėtą teisės nuostatą turi būti aišku, kas, dėl kokios priežasties ir kaip tvarko duomenis (
39
). Kaip nurodžiau anksčiau (
40
), skirtingais teisiniais būdais turi būti pasiektas tas pats rezultatas, t. y. duomenų subjektui turi būti sudarytos sąlygos kontroliuoti savo duomenis ir naudotis teisėmis pagal BDAR.
70.
Konkretus duomenų tvarkymo teisinis pagrindas taip pat turi įtakos nustatant „tinkamas priemones“ konkrečiomis duomenų tvarkymo aplinkybėmis. Šiuo klausimu reikia priminti, kad iš BDAR 6 straipsnio 1 dalies c ir e punktų matyti, jog duomenų tvarkymas yra teisėtas, jei ir tiek, kiek duomenų tvarkymas yra būtinas siekiant įvykdyti teisinę pareigą, kuri taikoma duomenų valdytojui, ir kai duomenų tvarkymas yra būtinas siekiant atlikti užduotį viešojo intereso tikslais. Pagal 6 straipsnio 2 dalį dėl tokio duomenų tvarkymo valstybės narės gali palikti galioti arba priimti konkretesnes nuostatas, kad pritaikytų BDAR taisyklių taikymą duomenų tvarkymo procesams, tiksliau nustatydamos konkrečius duomenų tvarkymo reikalavimus ir kitas priemones, skirtas teisėtam ir sąžiningam duomenų tvarkymui užtikrinti (
41
). Be to, pagal BDAR 9 straipsnio 2 dalies i punktą, kai duomenis būtina tvarkyti dėl viešojo intereso visuomenės sveikatos srityje, valstybės narės (arba Sąjungos) teisėje turi būti numatytos tinkamos ir konkrečios priemonės duomenų subjekto teisėms ir laisvėms apsaugoti.
71.
Pagrindinėje byloje duomenų gavimas buvo nustatytas Nutarimu 60/2021, kuris, kaip matyti iš bylos medžiagos, buvo priimtas remiantis BDAR 6 straipsnio 1 dalies c ir e punktais ir 9 straipsnio 2 dalies i punktu. Vengrijos vyriausybė tvirtina, kad, be bendrųjų apsaugos priemonių, kurios taikomos pagal teisinę sistemą, priimtą siekiant užtikrinti duomenų tvarkymo teisėtumą, Nutarime 60/2021 numatytos papildomos apsaugos priemonės. Šiuo klausimu vyriausybė nurodė, kad viena iš garantijų yra tai, kad pagal šį nutarimą paskirti subrangovai yra valstybiniai subjektai ir turi laikytis valstybės įstaigoms ir vietos administracijai taikomų teisės aktų, susijusių su duomenų saugumu. Prašymą priimti prejudicinį sprendimą pateikęs teismas turi išnagrinėti šiuos teiginius ir įvertinti, ar nacionalinėje teisėje numatytos tinkamos priemonės atsižvelgiant į pirmiau išdėstytus argumentus.
72.
Atsižvelgdama į tai, manau, kad BDAR 14 straipsnio 5 dalies c punktą galima aiškinti taip, kad šioje nuostatoje nurodytos „tinkamos priemonės“ reiškia, kad nacionalinės teisės aktų leidėjas neturi perkelti šio reglamento 32 straipsnyje nustatytų duomenų saugumo priemonių.
V. Išvada
73.
Atsižvelgdama į tai, kas išdėstyta, siūlau Teisingumo Teismui taip atsakyti į Kúria (Aukščiausiasis Teismas, Vengrija) pateiktus prejudicinius klausimus:
1.
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 14 straipsnio 5 dalies c punktas
turi būti aiškinama taip, kad nuo duomenų valdytojo pareigos pateikti informaciją duomenų subjektui nukrypti leidžianti nuostata taikoma visiems duomenims, kurių duomenų valdytojas nėra gavęs iš duomenų subjekto. Šiuo atveju nėra svarbu, ar duomenys aiškiai gaunami iš kito subjekto, ar juos sugeneruoja duomenų valdytojas, vykdydamas savo procedūrą.
2.
Reglamento (ES) 2016/679 77 straipsnio 1 dalis
turi būti aiškinama taip, kad vykdydama skundų nagrinėjimo procedūrą priežiūros institucija turi įgaliojimus tikrinti, ar laikomasi visų šio reglamento 14 straipsnio 5 dalies c punkte nustatytų sąlygų. Konkrečiai ji turi įgaliojimus nagrinėti klausimą, ar valstybės narės teisėje, kuri taikoma duomenų valdytojui, nustatytos tinkamos teisėtų duomenų subjekto interesų apsaugos priemonės.
3.
Reglamento (ES) 2016/679 14 straipsnio 5 dalies c punktas
turi būti aiškinamas taip, kad šioje nuostatoje nurodytos „tinkamos priemonės“ reiškia, kad nacionalinės teisės aktų leidėjas neturi perkelti šio reglamento 32 straipsnyje nustatytų duomenų saugumo priemonių.
(
1
)	Originalo kalba: anglų.
(
i
)	Šios bylos pavadinimas yra išgalvotas. Jis neatitinka jokios bylos šalies tikrojo vardo, pavardės ar pavadinimo.
(
2
)	Generalinio advokato P. Cruz Villalón išvada, pateikta byloje Bara ir kt. (C-201/14, EU:C:2015:461, 74 punktas) (papildomai išskirta).
(
3
)	Vrabec, U., H., „Data Subject Rights under the GDPR“, Oxford University Press, Oksfordas, 2021, p. 64.
(
4
)	2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1) (toliau – BDAR).
(
5
)	Žr. 2017 m. lapkričio 29 d. duomenų apsaugos darbo grupės priimtų Skaidrumo gairių pagal Reglamentą (ES) 2016/679, 17/EN WP260 rev. 01, (toliau – Skaidrumo gairės) 29 straipsnio 4 punktą. Vėliau šią darbo grupę pakeitė Europos duomenų apsaugos valdyba (EDAV). Vis dėlto Skaidrumo gairės lieka galioti. Taip pat žr. EDAV 2020 m. balandžio 21 d. priimtų Gairių 03/2020 dėl duomenų apie sveikatą tvarkymo su COVID-19 protrūkiu susijusių moksl[o] tyrimų tikslais 5.1.2.4 punktą.
(
6
)	2015 m. spalio 1 d. Sprendimas Bara ir kt. (C-201/14, EU:C:2015:638, 33 punktas), kuriame cituojama generalinio advokato P. Cruz Villalón išvada, pateikta šioje byloje.
(
7
)	Skaidrumo gairių 24 punktas. Taip pat žr. Vrabec, U., H., „Data Subject Rights under the GDPR“, op. cit. 3 išnašoje, p. 84.
(
8
)	Žr. Zanfir-Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject“, Kuner, C., Bygrave, L. A. ir Docksey, C. (red.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oksfordas, 2020, p. 435–448, p. 436.
(
9
)	Ten pat, p. 444.
(
10
)	Vrabec, U., H., „Data Subject Rights under the GDPR“, op. cit. 3 išnašoje, p. 68.
(
11
)	Kai duomenų tvarkymas grindžiamas BDAR 6 straipsnio 1 dalies f punktu.
(
12
)	Nuostata, kurioje įtvirtinta leidžiančioji nuostata, valstybėms narėms atveriama galimybė numatyti papildomas griežtesnes nuostatas ar nukrypti leidžiančias nacionalines nuostatas ir suteikiama diskrecija dėl galimo atitinkamos nuostatos įgyvendinamo būdo (šiuo klausimu žr. 2023 m. kovo 30 d. Sprendimo Hauptpersonalrat der Lehrerinnen und Lehrer, C-34/21, EU:C:2023:270, 51 punktą). Žr. Knyrim, R., „IV. Ausnahme von der Informationspflicht“, Ehmann, E., Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, Miunchenas, 2-asis leidimas, 2018, 14 straipsnis, 42–48 punktai, 47 punktas.
(
13
)	Konkrečiai bulgarų, danų, vokiečių, graikų, ispanų, italų, latvių, lenkų, latvių, slovakų ir švedų kalbomis.
(
14
)	Tai visų pirma taikytina versijoms estų („isikuandmed“), lietuvių („duomenų“), vengrų („adat“), nyderlandų („gegevens“), portugalų („dados“), rumunų („datelor“) ir suomių („tietojen“) kalbomis.
(
15
)	Prancūzų kalba išleistoje teisinėje literatūroje pažymima, kad versijoje prancūzų kalba turėjo būti „duomenys“, o ne „informacija“, kaip buvo pagal BDAR 14 straipsnio 5 dalies c punkto pirmtaką, t. y. 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyvos 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31) 11 straipsnio 2 dalį (žr. de Terwangne, C. ir Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant“, Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Briuselis, 1-asis leidimas, 2018, p. 409–432, 132 išnaša).
(
16
)	Šiuo klausimu žr. 2024 m. kovo 21 d. Sprendimą Cobult (C-76/23, EU:C:2024:253, 25 punktas ir jame nurodyta jurisprudencija).
(
17
)	Šiuo klausimu žr. 2023 m. spalio 5 d. Sprendimą Ministerstvo zdravotnictví (COVID-19 mobilioji programėlė) (C-659/22, EU:C:2023:745, 27 punktas).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht“, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden- Baden, 2022, p. 272–298, p. 280. Šis autorius taip pat pažymi (p. 281), kad duomenų valdytojo atleidimas nuo pareigos teikti informaciją 14 straipsnio 5 dalies c punkte nustatytu atveju yra priemonė, padedanti išvengti informacinio „nuovargio“ arba informacijos „perkrovos“ rizikos; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)“, Simitis, S., Hornung, G. ir Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, Miunchenas, 2019, 27 ir 28 punktai, 27 punktas, kuriame atitinkama teisė nurodoma kaip duomenų valdytojo teikiamos būtinos informacijos „pakankamas pakaitalas“ („hinreichendes Surrogat“).
(
19
)	Dix, A., op. cit. 18 išnašoje.
(
20
)	Skaidrumo gairės, 66 punktas. Todėl duomenų valdytojai turi sugebėti įrodyti, kaip jiems taikomas minėtas teisės aktas, pagal kurį jie privalo gauti arba atskleisti tam tikrus asmens duomenis.
(
21
)	Žr. šios išvados 16 punktą.
(
22
)	2023 m. gruodžio 7 d. Sprendimas SCHUFA Holding (Atleidimas nuo likusių skolų) (C-26/22 ir C-64/22, EU:C:2023:958, 48 punktas ir jame nurodyta jurisprudencija).
(
23
)	Žr. šios išvados 31 punktą.
(
24
)	Žr. šios išvados 23 punktą.
(
25
)	Dix, A., Simitis, S., Hornung, G. ir Spiecker, I., op. cit. 18 išnašoje ir Ebner, K., „6. Ausschluss der Informationspflicht“, op. cit. 18 išnašoje, p. 281.
(
26
)	2024 m. sausio 16 d. Sprendimas Österreichische Datenschutzbehörde (C-33/22, EU:C:2024:46, 61 punktas).
(
27
)	Ten pat.
(
28
)	Žr. Skaidrumo gairių 66 punktą.
(
29
)	Ten pat.
(
30
)	2015 m. spalio 6 d. Sprendimas Schrems (C-362/14, EU:C:2015:650, 65 punktas).
(
31
)	Priimta pagal Direktyvos 95/46 25 straipsnio 6 dalį.
(
32
)	Šiuo klausimu žr. 2015 m. spalio 6 d. Sprendimą Schrems (C-362/14, EU:C:2015:650, 62 punktas).
(
33
)	Ten pat, 65 punktas.
(
34
)	Tai nepažeidžia jokių teisės į informaciją apribojimų, kurie gali būti nustatyti pagal Sąjungos arba valstybės narės teisę laikantis BDAR 23 straipsnyje nustatytų sąlygų.
(
35
)	Šios išvados 31 punktas.
(
36
)	Žr. šios išvados 27 punktą.
(
37
)	Šiuo klausimu žr. Ebner, K., „6. Ausschluss der Informationspflicht“, op. cit. 18 išnašoje, p. 281, kuris daro nuorodą į panašų apsaugos lygį („vergleichbares Schutzniveau“); Mester, B.-A., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)“, Taeger, J. ir Gabel, D., „DSGVO – BDSG – TTDSG“, Beck, Miunchenas, 2022, 26 punktas; Paal, B. ir Hennemann, M., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)“, Paal, B. ir Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, Miunchenas, 2021, 42 punktas.
(
38
)	Mester, B.-A., Taeger, J. ir Gabel, D., op. cit. 37 išnašoje.
(
39
)	Ebner, K., „6. Ausschluss der Informationspflicht“, op. cit. 18 išnašoje, p. 281.
(
40
)	Šios išvados 43 punktas.
(
41
)	Šiose konkrečiose nuostatose gali būti BDAR 6 straipsnio 3 dalyje įtvirtinti elementai, įskaitant bendrąsias sąlygas, reglamentuojančias atliekamo duomenų tvarkymo teisėtumą, tvarkytinų duomenų rūšis, subjektus, kuriems asmens duomenys gali būti atskleisti, ir tikslus, dėl kurių asmens duomenys gali būti atskleisti, tikslo apribojimo principą, saugojimo laikotarpius ir duomenų tvarkymo operacijas bei duomenų tvarkymo procedūras, įskaitant priemones, kuriomis būtų užtikrintas teisėtas ir sąžiningas duomenų tvarkymas, kaip antai tas, kurios skirtos kitiems specialiems BDAR IX skyriuje numatytiems duomenų tvarkymo atvejams.