Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
R. NORKUS
представено на 16 април 2026 година(1)
Дело C‑205/25
Joachim Lindenberg
срещу
Bayerisches Landesamt für Datenschutzaufsicht
(Преюдициално запитване, отправено от Bayerisches Verwaltungsgericht Ansbach (Баварски административен съд Ансбах, Германия)
„ Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 15 — Искане за достъп на субекта на данни до личните му данни — Член 77 — Данни, съдържащи се в досието на надзорен орган, участващ в процедура по обжалване — Член 4, точка 7 — Понятието „администратор“ — Член 23 — Ограничения на правото на достъп — Национална правна уредба, която изключва всякакъв достъп до досието “
I.      Въведение
1.        Настоящото преюдициално запитване, отправено от Bayerisches Verwaltungsgericht Ansbach (Баварски административен съд Ансбах, Германия) на основание член 267 ДФЕС, се отнася до тълкуването на член 4, точки 7 и 21 и членове 15, 23 и 77 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)(2) (наричан по-нататък „ОРЗД“).
2.        Преюдициалното запитване е отправено в рамките на спор между г‑н Joachim Lindenberg, журналист, специализиран в областта на защитата на данните, и Bayerisches Landesamt für Datenschutzaufsicht (Служба за надзор на защитата на данните на провинция Бавария, Германия) (наричана по-нататък „Landesamt“) относно отказа на този орган да му предостави пълен достъп до неговата преписка на основание член 15 от ОРЗД в рамките на процедура, образувана по жалба, подадена от него срещу трето лице. Landesamt мотивира този отказ с баварска разпоредба, която изключва публичния достъп до преписките на надзорните органи. След подадената от г‑н Lindenberg жалба този орган в крайна сметка предоставя електронен достъп до преписката, без обаче да признае наличието на правна грешка, докато жалбоподателят продължава да иска да се установи незаконосъобразността на първоначалния отказ. Тъй като счита, че произнасянето в главното производство предполага тълкуване на релевантните разпоредби от ОРЗД, както и проверка на съответствието на баварското законодателство с правото на Съюза, запитващата юрисдикция решава да спре производството и да сезира Съда с два преюдициални въпроса.
3.        От Съда се иска да се произнесе по въпроса дали в рамките на процедура по обжалване, инициирана съгласно член 77 от ОРЗД, надзорен орган за защита на данните може да се квалифицира като „администратор“ по смисъла на член 4, точка 7 от ОРЗД и до каква степен е длъжен да спазва задълженията за достъп, предвидени в член 15 от ОРЗД. От него се иска по-специално да провери дали правото на Съюза допуска национална правна уредба, която изключва всякакво право на достъп до преписката за субектите на данни. Тази преценка трябва да се извърши в светлината на член 23 от ОРЗД, който позволява по определени съображения от общ интерес да се ограничат задълженията за достъп, предвидени в този регламент, както и на член 8, параграф 2 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“), който гарантира на всяко лице правото на достъп до събраните данни, отнасящи се до него. В това отношение Съдът ще трябва да постави в равновесие, от една страна, изискването за прозрачност на административните действия и от друга страна, необходимостта да се гарантира ефективността на разследванията в областта на защитата на данните.
II.    Правна уредба
А.      Правото на Съюза
4.        Релевантни за настоящото дело са членове 8 и 52 от Хартата, член 16 ДФЕС, както и член 4, точки 1, 2, 7 и 9 и членове 5, 15, 23, 51, 57, 58 и 77 от ОРЗД.
Б.      Германското право
5.        Съгласно член 18 от Bayerisches Datenschutzgesetz (Баварски закон за защита на данните, наричан по-нататък „BayDSG“) Landesamt е надзорен орган за организации извън публичния сектор.
6.        Член 20 от BayDSG предвижда:
„(1) Всеки може да се обърне към надзорните органи по съображение, че при обработването на личните му данни правата му са били нарушени. Сигнализирането на надзорните органи не трябва да води до каквито и да било неблагоприятни последици за субекта на данните.
(2)      Не съществува право на достъп и справки по отношение на досиетата и файловете на надзорните органи“.
7.        В мотивите към закона относно член 20, параграф 2 от BayDSG се посочва, че тази разпоредба се прилага и изключва всякакво право на достъп по член 15 от ОРЗД, когато такова право е предявено срещу Landesamt, що се отнася до досиетата и файловете на последната.
III. Фактите по спора в главното производство, главното производство и преюдициалните въпроси
8.        Г‑н Lindenberg е журналист и води блог, посветен по-специално на защитата на данните. От 2021 г. насам той е инициирал няколко процедури по обжалване пред Landesamt.
9.        След като на 13 май 2022 г. г‑н Lindenberg подава жалба за защита на данните до Landesamt, последната образува срещу трето лице процедура по контрол. С електронно съобщение от 11 октомври 2022 г. Landesamt информира г‑н Lindenberg, че във връзка с това е установила нарушения на защитата на данните от страна на третото лице, срещу което е насочена жалбата. Тя добавя, че след изтичане на определения срок за отстраняване на тези нарушения, в случай на повторни нарушения от страна на третото лице, ще бъде издадено предупреждение с предупредителна санкция. С електронно съобщение от същия ден г‑н Lindenberg изисква да му бъдат предоставени допълнителни подробности относно предприетите от Landesamt мерки. След като службата не уважава това искане, с електронно съобщение от 11 октомври 2022 г. г‑н Lindenberg изисква пълен достъп съгласно член 15, параграфи 1 и 3 от ОРЗД.
10.      С електронно съобщение и решение от 20 октомври 2022 г. Landesamt решава да отхвърли искането за достъп съгласно член 15, параграфи 1 и 3 от ОРЗД. Тя обосновава отказа, като посочва, че в съответствие с изричната разпоредба на член 20, параграф 2 от BayDSG не съществува право на достъп или справка по отношение на досиетата и файловете на надзорните органи.
11.      Г‑н Lindenberg подава жалба срещу отказа пред Bayerisches Verwaltungsgericht Ansbach (Баварски административен съд Ансбах), като иска Landesamt да бъде задължена да му предостави копие от всички данни в досието по образуваната на 13 май 2022 г. процедура по обжалване.
12.      На 23 февруари 2024 г., без обаче да признава съответно правно задължение, Landesamt предоставя електронен достъп до досието по процедурата по контрол, образувана по жалбата на г‑н Lindenberg.
13.      Понастоящем г‑н Lindenberg иска единствено да се обяви за незаконосъобразно решението от 20 октомври 2022 г., с което Landesamt отхвърля искането му за достъп.
14.      Запитващата юрисдикция отбелязва, че когато жалбоподател като г‑н Lindenberg инициира процедура по обжалване в съответствие с член 77 от ОРЗД пред надзорен орган за защита на данните, какъвто е Landesamt, този орган действа спрямо него като надзорен орган по смисъла на член 4, точка 21 от ОРЗД. Някои, сред които Landesamt, считат, че това изключва възможността надзорният орган за защита на данните да бъде „администратор“ спрямо жалбоподателя по смисъла на член 15 във връзка с член 4, точка 7 от ОРЗД, и следователно правото на жалбоподателя спрямо надзорния орган за достъп до личните данни от процедурата по обжалване е поначало изключено.
15.      Запитващата юрисдикция обаче приема, че надзорният орган за защита на данните може да бъде едновременно надзорен орган по смисъла на член 4, точка 21 от ОРЗД и администратор и задължено лице по смисъла на член 15 във връзка с член 4, точка 7 от ОРЗД.
16.      Запитващата юрисдикция счита, че ако случаят наистина е такъв, възниква въпросът дали такова общо изключване на правото на достъп до досиетата и файловете на надзорния орган, както е предвидено в член 20, параграф 2 от ОРЗД, отговаря на изискванията за упражняване на възможността за предвиждане на ограничения, предоставена в член 23, параграф 1 от ОРЗД.
17.      При тези обстоятелства Bayerisches Verwaltungsgericht Ansbach (Баварски административен съд Ансбах) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1.      Трябва ли член 15 във връзка с член 4, точка7 от [ОРЗД] да се тълкува в смисъл, че надзорният орган по член 4, точка 21 от посочения регламент, който действа в рамките на процедура по обжалване по подадена от субект на данни жалба съгласно член 77 от този регламент, е същевременно „администратор“ по смисъла на член 15 във връзка с член 4, точка 7 от този регламент и следователно е длъжен да предостави достъп на субекта на данните на основание член 15 от [ОРЗД]?
2.      В случай че отговорът на първия въпрос е утвърдителен: трябва ли правото на Съюза, и по-специално член 23 от[ОРЗД], да се тълкува в смисъл, че не е допустимо национално законодателство като разглеждания в главното производство член 20, параграф 2 от [BayDSG], съгласно което поначало се изключва правото на достъп или справка до досиетата и файловете на надзорните органи по член 4, параграф 21 от [ОРЗД]?“.
IV.    Производството пред Съда
18.      Актът за преюдициално запитване от 19 февруари 2025 г. е постъпил в Секретариата на Съда на 17 март 2025 г.
19.      Landesamt, българското и латвийското правителство, както и Европейската комисия представят писмени становища в срока, определен в член 23 от Статута на Съда на Европейския съюз.
20.      В съдебното заседание на 22 януари 2026 г. становища представят процесуалните представители на
г‑н Lindenberg, на Landesamt, на българското правителство и на Комисията.
V.      Правен анализ
А.      Предварителни бележки
21.      Настоящото дело повдига принципен въпрос относно правния статут на надзорните органи с оглед на признатите от ОРЗД права, и по-специално на правото на достъп, гарантирано от член 15 от него. Следва да се определи дали, когато разглежда жалба, подадена на основание член 77 от ОРЗД, надзорният орган може да се квалифицира като „администратор“ за обработваните в този контекст данни по смисъла на член 4, точка 7 от същия регламент. Тази квалификация е определяща, тъй като обуславя приложимостта на задълженията за достъп, противопоставими на администратора, и в по-широк смисъл поставя въпроса за баланса между защитата на индивидуалните права и характеристиките, присъщи на изпълнението на контролните задачи, които се основават на независимостта при вземане на решения, поверителността на разследванията и ефективността на правомощията за разследване.
22.      Ако Съдът приеме, че надзорният орган по принцип може да бъде задължен да спазва член 15 от ОРЗД, това би повдигнало втори въпрос от нормативен характер, свързан със съвместимостта на общото и абсолютно изключване на правото на достъп до административните досиета с правната уредба на Съюза. Такава национална правна уредба трябва да се преценява с оглед на изискванията, предвидени в член 23 от ОРЗД, който строго регламентира ограниченията, които могат да бъдат наложени на гарантираните от него права, като ги обвързва със спазването на кумулативни условия, изразяващи се в правно основание, необходимост, пропорционалност и защита на признатите от Съюза цели от общ интерес. Този анализ изисква да се включат и гаранциите, произтичащи от първичното право, по-специално тези, свързани със зачитането на основните права и с ефективността на правните средства за защита.
23.      Следователно правният анализ ще се осъществи в два последователни етапа. От една страна, следва да се определи дали и до каква степен надзорният орган може да бъде приравнен на „администратор“ в рамките на процедура по обжалване, така че да бъде обвързан от задълженията за достъп, закрепени в ОРЗД(3). От друга страна, и само при утвърдителен отговор, ще трябва да се прецени дали общо, неизбирателно и предварително изключване на правото на достъп до досиетата на надзорните органи е съвместимо с хармонизирания режим на ОРЗД с оглед на изискванията за административна прозрачност, защита на данните, институционална независимост и ефективност на механизмите за контрол, които трябва да са в равновесие, без да се изпразни от съдържание нито едно от тези изисквания(4).
Б.      По първия преюдициален въпрос
1.      Квалифицирането на надзорен орган като „администратор“ съгласно член 4, точка 7 от ОРЗД
24.      Що се отнася до възможността за квалифициране на надзорен орган като „администратор“, която е предмет на първия преюдициален въпрос, най-напред следва да се припомни легалното определение на това понятие, съдържащо се в член 4, точка 7 от ОРЗД. Съгласно тази разпоредба „администратор“ означава всяко „физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни“. В това отношение е важно да се припомни, че съгласно постоянната практика на Съда това понятие се тълкува разширително(5).
25.      На първо място, следва да се констатира, че това легално определение се отнася изрично до „публичните органи“. При това положение самият текст на член 4, точка 7 от ОРЗД по никакъв начин не изключва възможността даден надзорен орган да се квалифицира като „администратор“. Законодателят на Съюза съзнателно се е отказал да прави разграничение между частноправни и публичноправни субекти, за което свидетелстват редица съображения, в които изрично се посочва обработването на лични данни от публични органи. Освен това фактът, че надзорният орган е определен в член 4, точка 21 от ОРЗД като независим публичен орган, създаден от държава членка съгласно член 51, не може с оглед на широкия и функционален обхват, предоставен от Регламента на понятието „администратор“(6), да се тълкува в смисъл, че не допуска евентуалното му квалифициране като такъв.
26.      На второ място, важно е да се отбележи, че когато такъв надзорен орган изпълнява задачите, които са му възложени по силата на член 77 от ОРЗД — по-специално разглеждането на жалби относно евентуални нарушения на правилата за защита на данните — самият той трябва да обработва лични данни. Органът не се ограничава до получаването на тези данни; той ги структурира, анализира, съхранява и използва в рамките на самостоятелното упражняване на правомощията за разследване и за налагане на санкции, признати в този регламент. Струва ми се, че подобни операции попадат в обхвата на член 4, точка 2 от ОРЗД, който разглежда понятието „обработване“ в широк смисъл, отделен от какъвто и да е конкретен контекст, обхващайки всички операции, извършвани с данни.
27.      В подкрепа на този анализ, в съображенията по-долу ще изложа, от една страна, съществените характеристики на процедурата по обжалване, предвидена в член 77 от ОРЗД, и от друга страна, категориите лични данни, които надзорните органи са призвани да обработват редовно и конкретно в този контекст. Това представяне ще позволи да се разберат по-добре естеството и обхватът на задачите, изпълнявани от надзорните органи при провеждането на такава процедура.
а)      Съществените характеристики на „процедурата по обжалване“, предвидена в член 77 от ОРЗД
28.      Процедурата по обжалване(7), установена в член 77 от ОРЗД, е централен механизъм на системата на Съюза, предназначен да гарантира защитата на физическите лица във връзка с обработването на техните лични данни. Тя допринася за оперативното прилагане на принципа, залегнал в член 8, параграф 3 от Хартата, съгласно който спазването на правилата за защита на данните подлежи на контрол от независим орган. Съдът многократно е подчертавал, че този механизъм за контрол не е чисто формален, а има за цел да осигури ефективна и реална защита на основните права(8).
29.      Член 77, параграф 1 от ОРЗД предоставя на всеки субект на данни правото да подаде жалба, без специални формални изисквания и без риск от заплащане на разходи, по-специално до надзорния орган в държавата членка на обичайното си местопребиваване, място на работа или място на предполагаемото нарушение. Доколкото това право представлява съществен елемент от въведената с този регламент система за защита, то не може да се тълкува или прилага по начин, който би направил практически невъзможно или прекомерно трудно упражняването му(9).
30.      Важно е да се подчертае, че подаването на жалба не предоставя на надзорния орган само обща възможност за разглеждане, а му налага конкретно задължение да проучи преписката по пълен, надлежен и безпристрастен начин. Всъщност от практиката на Съда следва, че по силата на член 57, параграф 1, буква е) от ОРЗД всеки надзорен орган е длъжен да разглежда подадените на негова територия жалби с цялата дължима грижа и да разглежда предмета им, доколкото това е необходимо(10).
31.      От това следва, че надзорният орган не може да се въздържи да разгледа жалба по причини, свързани единствено с административната икономия или със съображения за целесъобразност. Също така му е забранено да ограничава участието си до неформална медиация или до ролята на обикновен посредник. Напротив, той е длъжен да разгледа твърдяното нарушение от фактическа и правна страна и евентуално да приложи ефективно предоставените му от правото на Съюза корективни правомощия(11).
32.      Съгласно съдебната практика изброените в член 58 от ОРЗД правомощия трябва да се тълкуват с оглед на своята цел, а именно да се гарантира пълната ефективност на този регламент. Съдът изтъква задължението на надзорните органи да предприемат „подходящи и необходими“ корективни мерки в случай на установени нарушения и да използват всички инструменти, с които разполагат. Това изискване включва действия по правоприлагане, тъй като бездействието може да застраши полезното действие на посочения регламент(12).
33.      Освен това член 77, параграф 2 от ОРЗД изисква жалбоподателят да бъде информиран за напредъка и резултата от разглеждането на жалбата. Това задължение е изпълнено само ако предоставеният отговор позволява да се установи, че жалбата действително е била разгледана от фактическа и правна страна и че съдържа елементите, необходими за упражняването на ефективен съдебен контрол. Следователно процедурата не може да се ограничи до чисто формално решение, а трябва да доведе до подробна, надлежно мотивирана преценка, която може да бъде разгледана от сезирания съгласно член 78, параграф 1 от ОРЗД съд. Всъщност всяко решение по жалба, прието от надзорен орган, подлежи на пълен съдебен контрол(13).
34.      Разгледана в цялост, предвидената в член 77 от ОРЗД процедура не представлява само административен акт, а самостоятелно правно средство за защита, въведено от правото на Съюза и допринасящо както за защитата на индивидуалните права, така и за обективната защита на правния ред в областта на защитата на данните. Съдът признава на надзорните органи статута на институционални гаранти на системата за структурна защита на основните права, чиято задача не се ограничава до пасивното получаване на жалби, а предполага активното прилагане на правилата за защита на данните.
б)      „Обработването“ на лични данни, извършвано от надзорен орган в рамките на процедура по обжалване
35.      След като бяха припомнени съществените характеристики на процедурата по обжалване, следва да се анализира до каква степен дейността на даден надзорен орган представлява „обработване“ по смисъла на член 4, точка 2 от ОРЗД. Това понятие е определено като „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.
36.      В това отношение следва да се подчертае, че в рамките на процедура по член 77 от ОРЗД надзорният орган не се ограничава до получаване на данни. Напротив, той изпълнява съвкупност от самостоятелни и структурирани операции, които се осъществяват с оглед на изпълнението на законоустановените му функции по разглеждане, разследване и контрол. Всъщност обработването започва от подаването на жалбата, която съдържа данни за жалбоподателя и в зависимост от случая — за съответния администратор или за трети лица, които могат да бъдат идентифицирани. Тази информация — която попада в обхвата на понятието „лични данни“ по смисъла на член 4, точка 1 от ОРЗД — се записва, въвежда се в досие и се съхранява във вътрешните системи на надзорния орган, което вече включва операции, съставляващи по своето съдържание и организация „обработване“(14).
37.      Тези операции са част от задачите, възложени на надзорните органи с член 57, параграф 1 от ОРЗД, както са изложени в настоящото заключение. Сред тези задачи са по-специално разглеждането на жалбите (буква е) и упражняването на правомощия за разследване и вземане на решения (буква з). При изпълнението на тези задачи органите действат в рамките на функционална автономия и независимост при вземане на решения, гарантирани от правото на Съюза. Тази автономия намира конкретен израз в начина, по който се разглеждат жалбите и се упражняват произтичащите от това контролни правомощия.
38.      В хода на процедурата надзорният орган извършва фактическа и правна проверка на представените му доказателства. Той събира, организира, анализира и оценява данните в съответствие с приложимата нормативна уредба. Други операции по обработване се извършват и когато се иска допълнителна информация от администратора, срещу когото е подадена жалба и който е обект на разследване, или при справка с допълнителни документи, които от своя страна могат да съдържат лични данни. След това тази информация се получава, записва, анализира и съхранява от надзорния орган. По същия начин свързването на тези елементи с евентуални вече съществуващи досиета или информация може да се счита за операция по „обработване“.
39.      Така обработваните данни се използват с оглед на самостоятелното упражняване на правомощията на надзорния орган за разследване и вземане на решения(15). Те служат за установяване на фактите, за правната им квалификация, за оценка на предвиждани корективни мерки и когато е целесъобразно, за приемане на задължителни решения или разпореждания. Освен това те се обработват и за целите на процесуалните съобщения, адресирани до страните, по-специално при информирането на жалбоподателя или администратора за резултата от процедурата.
40.      От всички тези обстоятелства следва, че надзорният орган не може да се счита за обикновен „получател“ на данни по смисъла на член 4, точка 9 от ОРЗД. След като взема самостоятелно решение относно реда и условията за събиране, анализ, организация и използване на тези данни за целите на изпълнението на законно възложените му задачи, той действа като оператор, който извършва „обработване“ по смисъла на член 4, точка 2 от ОРЗД. Този аспект изисква по-задълбочено разглеждане в следващия раздел.
2.      Възможността на надзорния орган да „определя целите и средствата за обработването“
41.      За да може даден надзорен орган да бъде квалифициран като „администратор“ по смисъла на член 4, точка 7 от ОРЗД, той трябва да разполага и с правомощието да определя целите и средствата за обработването на личните данни.
42.      Както бе посочено по-горе, ролята на надзорния орган в рамките на процедура по обжалване съгласно член 77 от ОРЗД не се ограничава само до пасивното получаване на информация. Всъщност той определя целта на обработването, тъй като решава, че данните ще бъдат използвани за разглеждане на евентуално нарушение на правилата за защита на данните, за установяване на фактите и когато е целесъобразно, за подготовка и приемане на мерки за контрол. Това определяне на целта е не само
предварително определено от закона, но изисква и самостоятелно конкретизиране от органа във всеки отделен случай, по-специално що се отнася до обхвата на контрола, точния предмет на разследването и правната квалификация на повдигнатите възражения(16).
43.      Надзорният орган взема самостоятелно решение и по съществени въпроси относно средствата за обработване. Той определя какви лични данни се събират, в каква форма се записват, структурират и съхраняват, по какви критерии се съставят досиетата, организираните цифрови архиви или вписаните доказателства, както и техническите или организационните средства, използвани за анализа, по-нататъшното обработване или вътрешното предоставяне на данните. Освен това той решава дали да отправи искания за предоставяне на информация до разследвания субект, каква допълнителна информация трябва да бъде поискана, по какъв метод тя ще бъде свързана с наличната информация и за какъв срок ще бъде съхранявана. Това правомощие за подбор и организация явно надхвърля обикновеното изпълнение на спомагателна или подчинена задача.
44.      Действително извършените операции по обработване потвърждават тази самостоятелност при вземането на решения. Органът регистрира жалбата, открива свои собствени досиета, съхранява и организира получените данни, както и тези, които само събира, извършва фактическа и правна оценка на данните, изисква допълнителни документи,
извършва действия по разследване и приема процедурни решения и решения по същество въз основа на свой собствен анализ. Следователно обработването
служи не само за техническото управление на административно досие, а е и в основата на самостоятелна дейност по разследване, преценка и вземане на решения, която правото на Съюза възлага изключително на надзорния орган.
45.      Обстоятелството, че тази дейност е част от изпълнението на законоустановена задача, не води до отпадане на качеството „администратор“. Съдът многократно е припомнял, че публичните органи могат да се квалифицират като „администратори“, когато имат свобода на действие при определянето на конкретните условия на обработването(17). Във връзка с това следва да се отбележи, че самата Landesamt признава по време на изслушването, че разполага със свобода на преценка при определянето на своите задачи, включително в рамките на процедурата по разглеждане на жалби(18), като тази свобода представлява израз на нейната самостоятелност.
46.      Квалификацията „обработващ лични данни“ също трябва да се отхвърли при липсата на каквато и да било подчиненост по отношение на определянето на целите и средствата, тъй като органът не се намесва по указание на трето лице, а при упражняването на свои собствени правомощия. По-специално, надзорният орган не действа по никакъв начин от името на администратора, срещу когото е подадена жалбата, а упражнява публично правомощие, което му е предоставено, за да гарантира спазването на правото на Съюза.
47.      Ако разглежданото обработване по принцип се основава на член 6, параграф 1, буква д) във връзка с член 57, параграф 1, букви е) и з) от ОРЗД, наличието на правно основание гарантира единствено законосъобразността на обработването, без да се изключва качеството „администратор“ на обработването. Напротив, фактът, че законът възлага на органа изпълнението на контролни задачи, потвърждава, че той обработва данните при изпълнение на собствените си правни задължения и по начин, определен от самия него. Следователно в качеството си на „администратор“ той по принцип остава подчинен на общите задължения по ОРЗД, и по-специално на принципите, прогласени в член 5, и на правата на лицата, изброени в глава III от този регламент, при условие че последните не са били обосновано ограничени от достатъчно ясна и пропорционална законова разпоредба в съответствие с член 23 от ОРЗД.
48.      Независимостта на надзорните органи, закрепена в член 52 от ОРЗД и потвърдена в съображение 117, изисква те да бъдат квалифицирани като „администратори“ за операциите, свързани с лични данни, които извършват при изпълнение на законоустановените си задачи. Единствено самостоятелното определяне на целите и средствата на съответните операции по обработване, заедно с произтичащата от това отговорност, им позволява да упражняват контролните си правомощия и правомощията си по привеждане в съответствие напълно независимо от субектите, върху които упражняват надзор. Разглеждането им в рамките на процедурата по обжалване като обикновени изпълнители на определени от трети лица цели би застрашило тяхната институционална самостоятелност, би ги поставило в отношение на зависимост спрямо разследваните администратори и би лишило от съдържание изискването за отговорност, предвидено в правото на Съюза. Следователно надзорният орган трябва сам да поеме отговорността за обработването на лични данни, което извършва в хода на процедурата по обжалване, като предвидените в ОРЗД права на субектите на данни се прилагат изцяло спрямо него(19).
49.      Накрая, ако надзорният орган не бъде квалифициран като „администратор“ в рамките на процедурата по обжалване, субектът на данни би се оказал до голяма степен лишен от защита по отношение на важен елемент от обработването на неговите данни. Всъщност правата на субектите на данни, предвидени в членове 12—22 от ОРЗД, и по-специално правото на достъп по член 15, могат да бъдат упражнявани само срещу администратора. Без тази квалификация субектът на данни не би могъл да знае кои данни органът събира и обработва във връзка с жалбата, нито да поиска тяхното коригиране, заличаване или ограничаване. Така, извършваното от органа обработване на данни не би подлежало на каквото и да било изискване за прозрачност и отчетност, при положение че този орган е натоварен именно с правомощията да гарантира защитата на правата на субектите на данни. Следователно липсата на квалификация като „администратор“ би създала структурен пропуск в системата за защита на личните данни, лишавайки субекта на данни, в отношенията му с надзорния орган, от основните гаранции, предвидени в ОРЗД(20).
50.      От това следва, че при разглеждането на жалби, подадени съгласно член 77 от ОРЗД, надзорният орган взема решение относно целите и средствата за обработването и не се ограничава до получаване или администриране на данни, определени от трето лице. Той действа като самостоятелен участник, който събира, организира, анализира и използва личните данни като основа за решения, свързани с упражняването на публична власт. Следователно той трябва да се квалифицира като „администратор“ по смисъла на широкото определение, съдържащо се в член 4, точка 7 от ОРЗД(21).
51.      От съображения за изчерпателност следва да се отбележи, че фактът, че законодателят на Съюза не е предвидил изрично хипотезата, в която в рамките на процедура по обжалване надзорният орган действа едновременно и в качеството на „администратор“ по смисъла на член 4, точка 7 от ОРЗД, не е релевантен довод, който може да се противопостави на подобна квалификация. Напротив, определящият елемент се състои в това дали този орган отговаря на материалноправните условия, предвидени в посочената разпоредба. Както следва от направения по-горе анализ, настоящият случай очевидно е такъв.
52.      В този контекст доводът на Landesamt, че някои разпоредби на ОРЗД непременно предполагат стриктно разграничение между надзорния орган, от една страна, и „администратора“, от друга страна, също не може да се приеме. Тези разпоредби се отнасят единствено до принципното положение, предвидено от законодателя на Съюза, при което двете роли не се припокриват. Те обаче не изключват възможността при определени обстоятелства — като разглежданите в главното производство — надзорният орган да изпълни едновременно необходимите условия, за да бъде квалифициран като „администратор“.
53.      Доколкото някои разпоредби от ОРЗД предвиждат „сътрудничество“ или „консултация“ между „администратора“ и надзорния орган, по-специално тези на членове 31 и 36, евентуалният конфликт, който може да произтече от припокриването на тези роли, може да бъде разрешен чрез телеологично тълкуване на този регламент. Такова тълкуване предполага вътрешните процедури на надзорния орган да бъдат организирани и координирани по начин, който да гарантира ефективното постигане на целите, преследвани със съответните разпоредби.
3.      Наличието на право на достъп на жалбоподателя на основание член 15 от ОРЗД
54.      Както бе посочено в настоящото заключение, квалифицирането на надзорния орган като „администратор“ му налага задължението да гарантира спазването на правата, признати на субектите на данни съгласно глава III от ОРЗД. Сред тези права е по-специално правото на достъп, закрепено в член 15 от този регламент.
55.      В рамките на производство, образувано съгласно член 77 от ОРЗД, жалбоподателят по принцип има и качеството на „субект на данни“ по смисъла на този регламент. На това основание той може да изиска от надзорния орган потвърждение дали се обработват негови лични данни. При утвърдителен отговор правото на достъп обхваща и цялата информация, изчерпателно изброена в член 15, параграф 1, букви а)—з) от ОРЗД, която включва по-специално целите на обработването, съответните категории лични данни, получателите или категориите получатели, срока на съхранение, както и информация за правата, с които разполага субектът на данни.
а)      Правото на получаване на „копие“ съгласно член 15, параграф 3 от ОРЗД
56.      Правото на достъп включва, наред с други права, правото на субекта на данни да получи копие от данните съгласно член 15, параграф 3 от ОРЗД. Тази разпоредба задължава администратора да предостави на заинтересованото лице възпроизвеждане на неговите лични данни в разбираема форма, която позволява точно да се разберат обхватът и начинът на обработването им. Целта на това право е да се даде възможност на субекта на данните да провери кои негови данни се обработват, да се идентифицира източникът им, да се разберат целите им и да се узнаят евентуалните им получатели(22).
57.      Съдът е постановил, че копието трябва да бъде предоставено при условия, които позволяват извършването на ефективна проверка за законосъобразност на обработването, както и пълноценното упражняване на другите права, предоставени с ОРЗД(23). Терминът „копие“ се отнася не до самия документ като такъв, а до личните данни, които той съдържа. Важното е тези данни да бъдат съобщени пълно, ясно и разбираемо. За да се гарантира ефективността на това право, може да се окаже необходимо възпроизвеждането на извлечения от документи — и дори на цели документи — или на извлечения от бази данни, които в частност съдържат личните данни, които са в процес на обработване(24).
58.      Обхватът на това право обаче остава строго ограничен от неговата функция. То обхваща само „личните данни“ на субекта на данните и включва всяка информация, която е свързана с него или позволява идентифицирането му по смисъла на член 4, точка 1 от ОРЗД. Когато е необходимо ситуирането на обработваните данни в контекст, за да се гарантира пълното им разбиране, задължението за съобщаване може да включва предаване на подходящ откъс или контекстуално представяне, доколкото това е необходимо, за да се изпълнят изискванията за прозрачност. Така правото на получаване на копие е важен елемент от въведения с ОРЗД механизъм за информационно самоопределение, тъй като гарантира на субекта на данните контрол по същество върху обработването на неговите данни и му позволява да провери съответствието на това обработване с изискванията на правото на Съюза.
б)      Член 15 от ОРЗД не предвижда „общо право на достъп до административното досие“
59.      Правото на достъп по член 15 от ОРЗД, присъщо на режима за защита на личните данни, обаче не може да се приравни на общо право на достъп до административното досие, нито на общо изискване за административна прозрачност. Тази разпоредба има за цел да гарантира единствено прозрачността на обработването, за да позволи на субекта на данните да провери неговата законосъобразност и да може евентуално да упражни произтичащите от него права, по-специално правото на коригиране, правото на заличаване (право „да бъдеш забравен“), правото на ограничаване на обработването или правото на възражение(25). Същевременно тя не установява общо право на достъп до съхраняваната от администрацията информация, нито право на справка с вътрешни документи, нито, a fortiori, право на разкриване на обстоятелства, свързани с вътрешния процес на обсъждане или вземане на решения от публичния орган. Това става видно, когато правото на достъп по член 15 от ОРЗД се съпостави с други права на достъп, залегнали в правото на Съюза и в националното право.
60.      Първо, член 15 и член 77, параграф 2 от ОРЗД преследват различни цели и с оглед на това трябва да бъдат строго разграничавани. С член 77, параграф 2 се въвежда процесуално право на информация за напредъка и резултата от разглеждането на жалбата, но не се предоставя право на достъп до данни или документи въз основа на правната уредба за защита на данните. По този начин член 15 цели да гарантира контрола от страна на физическото лице върху собствените му лични данни, докато член 77, параграф 2 е свързан с изискването за процесуална прозрачност при административното разглеждане на жалбите. Тези разпоредби, самостоятелни по своя предмет и обхват, не следва да се смесват, нито да се заменят една с друга. Те са независими правни режими, които следват различна нормативна логика, подчинени са на свои собствени условия на прилагане и не са предназначени да се припокриват или заменят един с друг.
61.      Второ, член 15 от ОРЗД установява изключително право на достъп до лични данни и не закрепва нито право на достъп до административни досиета, нито право на справка със съхранявани от органа документи(26). Материалноправният му обхват е ограничен до съобщаването на лични данни, които са в процес на обработване, и не е насочен към осигуряване на административна прозрачност или достъп до вътрешните процеси на вземане на решения. В този смисъл правото на достъп до досието — с изключение на някои секторни разпоредби на правото на Съюза — остава от нормотворческата компетентност на държавите членки, където по принцип се урежда от законодателството относно общото административно производство, от специалните процесуални режими, от законите за свободата на информация и прозрачността или от специални професионални или секторни правила(27).
62.      От това следва, че член 15 от ОРЗД не установява каквото и да било право на информация или справка с административното досие като такова. По-специално, в обхвата на правото на достъп по член 15 не се включват вътрешните правни анализи, становищата, анотациите, служебните бележки, подготвителните документи, нито по-общо елементите, свързани с вътрешния процес на изготвяне или мотивиране на административното решение. Когато документ, съхраняван от органа, съдържа лични данни на жалбоподателя, задължението за достъп се ограничава до предоставянето на самите данни, а не предполага пълното предаване или възпроизвеждане на документалния носител, който ги съдържа. Накрая, информацията, която няма никаква пряка или непряка идентифицираща връзка със субекта на данните, по естеството си не попада в материалноправния обхват на член 15 от ОРЗД.
63.      Освен това следва да се припомни, че правото на достъп по член 15 от ОРЗД може да бъде предмет на определени ограничения съгласно член 23, параграф 1 от същия регламент, в случай че са изпълнени посочените в последната разпоредба условия. Този аспект е предмет на втория преюдициален въпрос, който ще разгледам в следващия раздел.
4.      Междинно заключение
64.      С оглед на изложените по-горе съображения считам, че на първия въпрос следва да се отговори, че член 15 във връзка с член 4, точка 7 от ОРЗД трябва да се тълкува в смисъл, че когато действа в рамките на процедура по обжалване съгласно член 77 от посочения регламент, надзорният орган по смисъла на член 4, точка 21 от този регламент има и качеството „администратор“ по смисъла на същия регламент и следователно е длъжен да гарантира на субекта на данните правото на достъп, предвидено в член 15 от ОРЗД.
В.      По втория преюдициален въпрос
1.      Ограничения на правото на достъп до лични данни, изброени в член 23 от ОРЗД
65.      С втория си въпрос запитващата юрисдикция иска да се изясни връзката между член 23 от ОРЗД и национална разпоредба като тази на член 20, параграф 2 от BayDSG, която изключва всякакво право на достъп или справка пред надзорния орган в областта на защитата на данните. Отговорът на този въпрос изисква задълбочен анализ на структурата на ОРЗД, така както тя произтича от неговия текст, цел и релевантни съображения, както и от прилагането на изведените от Съда принципи относно ограниченията, които могат да бъдат наложени на правата на субектите на данни.
66.      Член 23 от ОРЗД предвижда, че законодателните мерки на Съюза или на държавите членки, които се прилагат спрямо администратора, могат да ограничат по-специално правото на достъп, гарантирано в член 15 от този регламент, при условие че подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира постигането на една от легитимните цели, изброени в букви а)—й) от тази разпоредба. Член 23, параграф 1 от ОРЗД обаче не може да се тълкува в смисъл, че оправомощава националния законодател свободно да замени със своя собствен режим разпоредбите на членове 12—22 от посочения регламент. Напротив, тази разпоредба установява изчерпателен списък на отворени клаузи, който позволява на националния законодател на точно изброените основания да предвижда ограничения на правата на субектите на данни, както и на задълженията на администратора въз основа на същите основания(28).
67.      Така член 23 от ОРЗД въвежда дерогационен режим за посочените в него области, които се отнасят главно до упражняването на обществени задачи и преследването на императивни изисквания от общ интерес, които могат да обосноват ограничаване на правата на субектите на данни в полза на други сектори на дейност. В това отношение следва да се имат предвид първо и второ изречение от съображение 4 на ОРЗД, които изискват разглежданите основни права да са в равновесие и да се гарантира, че предвидените ограничения са обосновани, необходими и пропорционални с оглед на конкуриращите се права и интереси.
68.      От акта за преюдициално запитване е видно, че макар в мотивите към баварския закон изрично да се споменава член 23 от ОРЗД като правно основание на член 20, параграф 2 от BayDSG, той не се позовава на нито една от целите, изброени в тази разпоредба. В него само се посочва, че тази норма отразява конкретното изискване за цел на информацията, получена в рамките на контролната дейност в областта на защитата на данните. Запитващата юрисдикция обаче отбелязва, че според становището на Landesamt по главното производство тази разпоредба всъщност преследва две основни цели: от една страна, запазване на поверителността на личните данни на трети лица и от друга страна, гарантиране на доброто функциониране и независимостта на надзорния орган.
69.      В съответствие с принципите, уреждащи въведения с член 267 ДФЕС механизъм за сътрудничество между съда на Съюза и националните юрисдикции — съгласно които тълкуването на вътрешното право е от изключителната компетентност на запитващите юрисдикции(29) и Съдът е длъжен да се довери на направените от тях уточнения относно съдържанието и обхвата на това право(30) — ще взема тези обстоятелства като основа на моя анализ.
2.      Съвместимост с член 23 от ОРЗД на общото изключване на правото на достъп по член 15 от този регламент
70.      По-нататък в настоящото заключение ще разгледам дали общото изключване на правото на достъп по член 15 от ОРЗД може да бъде обосновано с оглед на горепосочените законодателни цели. Ще анализирам и дали такава правна уредба отговаря на допълнителните изисквания, които член 23 от ОРЗД налага на всяко ограничение на това право.
а)      Наличието на легитимна цел
1)      Защита на поверителността на личните данни на трети лица
71.      Защитата на поверителността на личните данни на трети лица представлява легитимна цел по смисъла на ОРЗД, която по принцип може да обоснове ограничения на правата, предоставени на субектите на данни. В това отношение следва да се отбележи, че що се отнася до правото на достъп, предвидено в член 15 от ОРЗД, в съображение 63 от този регламент се уточнява, че „[т]ова право не следва да влияе неблагоприятно върху правата или свободите на други лица“. Следователно трябва да се има предвид, че както следва от съображение 4 от този регламент, правото на защита на личните данни не е абсолютно право, тъй като трябва да се преценява във връзка с функцията си в обществото и да бъде в равновесие с другите основни права(31).
72.      Член 23, параграф 1, буква и) от ОРЗД изрично се позовава на защитата на „правата и свободите на други лица“, както се потвърждава в съображение 73 от този регламент. Следователно, когато става въпрос за лични данни на служители на администрацията или на частноправни субекти, националният законодател обосновано може да се позове на факта, че оповестяването им би засегнало правата на личността и че съществува необходимост от защита, която трябва да бъде в равновесие с правото на достъп на жалбоподателя.
2)      Защита на доброто функциониране и независимостта на надзорните органи
73.      Защитата на доброто функциониране и независимостта на надзорните органи при вземане на решения също представлява легитимна цел по смисъла на член 23, параграф 1 от ОРЗД. Всъщност законодателят на Съюза им предоставя ключова роля в рамките на европейската система за защита на данните, както е видно, от една страна, от член 52 от този регламент, който гарантира тяхната пълна независимост, и от друга страна, от обхвата на техните правомощия за разследване и корективни правомощия, предвидени в членове 57 и 58 от посочения регламент(32). Във връзка с това в своята съдебна практика Съдът подчертава, че доброто функциониране на тези органи трябва да бъде гарантирано по-специално като се осуети възможността то да бъде възпрепятствано поради подаването на очевидно неоснователни или прекомерни жалби по смисъла на член 57, параграф 4 от ОРЗД(33).
74.      При това положение и с оглед на член 23, параграф 1, буква з) от ОРЗД, който позволява да се приемат ограничения, когато те са необходими за изпълнението на функции по наблюдение и проверка, свързани с упражняването на официални правомощия, ограничаването на правото на достъп по принцип може да бъде обосновано. Освен това, като се имат предвид съществуващите сходства, следва да се вземе предвид и целта, посочена в член 23, параграф 1, буква е) от ОРЗД, както е уточнена в съображение 73 от същия, а именно да се гарантират независимостта на съдебната власт и защитата на протичането на съдебните производства. Без съмнение, надзорните органи не попадат в обхвата на съдебната система; въпреки това, подобно на държавните правоприлагащи органи, те играят ключова роля за разкриването и санкционирането на нарушения на правото в областта на защитата на личните данни. От това следва, че във всички случаи може да се предвиди прилагане по аналогия на тази разпоредба.
3)      Защита на обществената сигурност
75.      От съображения за изчерпателност следва да се отбележи, че в акта за преюдициално запитване като евентуално основание се посочва и защитата на обществената сигурност по смисъла на член 23, параграф 1, буква в) от ОРЗД, без обаче да се предоставя по-детайлна информация. Въпреки това следва да се приеме преценката на запитващата юрисдикция и на Комисията, че подобно позоваване не изглежда основателно. Всъщност с оглед на фактите по делото в главното производство, които запитващата юрисдикция представя, такова ограничение очевидно не изглежда релевантно. Следователно това съображение за обосноваване ще бъде отхвърлено от анализа по-долу.
б)      Изисквания, наложени от регулаторната рамка на ОРЗД
76.      От една страна, следва да се посочи, че интересът, свързан с поверителността на личните данни на трети лица, е надлежно взет предвид от национална правна уредба като член 20, параграф 2 от BayDSG, доколкото тя категорично забранява разкриването на такива данни. Освен това не може да се изключи, че липсата на сътрудничество от страна на надзорните органи при разглеждането на искания за достъп може да доведе до преразпределяне на човешки и материални ресурси към други области на дейност, което евентуално може да доведе до известно повишаване на ефективността в тях.
77.      От друга страна, тези обстоятелства пораждат съмнения относно съответствието им с нормативната уредба, въведена от законодателя на Съюза при приемането на ОРЗД, и по-специално с общата структура на този регламент, която се основава на равновесието между няколко интереса: прозрачност при обработването на данни, защита на поверителността, когато това е необходимо, и ефективна закрила на тези интереси от надзорните органи. Следователно национална правна уредба, която не отразява адекватно равновесието между тези интереси, не би могла да отговори на изискванията на член 23, параграф 1 от ОРЗД. Същото важи и когато изглежда, че могат да се предвидят мерки, които засягат в по-малка степен основните права, но които са също толкова ефикасни за постигането на преследваните цели(34).
78.      В това отношение следва да се припомни, че ОРЗД е въвел правото на достъп по член 15 като съществен елемент от принципа на прозрачност. Тази квалификация следва ясно от съображение 63 от този регламент,
съгласно което субектът на данни трябва да може да бъде „осведомен[…] за обработването“, за да се гарантира ефективността на правата, които Регламентът му предоставя. Съдът многократно е потвърждавал това схващане, като е посочвал, че правото на достъп заема централно място в общата структура на режима, установен с посочения регламент. Следователно национална разпоредба, която лишава субекта на данни от това право по общ и неизбирателен начин, накърнява самата същност на системата за защита, установена от законодателя на Съюза.
79.      Макар да е вярно, че в член 23 от ОРЗД се допускат ограничения на правата на субектите на данни, включително на правото на достъп, по съображения от обществен интерес, той същевременно изисква тези ограничения да почиват на точно определено правно основание. Това правно основание трябва ясно да определя естеството, обхвата и границите на ограничението, както и необходимите гаранции за предотвратяване на рисковете от злоупотреби. В този смисъл в съображение 41 от този регламент е уточнено, че всяко ограничение на признато от Регламента право трябва да бъде „ясно и точно“, както и „предвидимо“ за субекта на данните, който трябва да бъде в състояние да определи обхвата на предвижданите за правата му ограничения(35). Национална разпоредба, която въвежда пълно изключване на правото на достъп, без да определя неговия материален или персонален обхват, нито да предвижда защитни мерки, не може да отговори на така посочените изисквания.
80.      Освен това в съображение 60 от ОРЗД се припомня, че прозрачността е основен принцип на обработването на лични данни, който се прилага включително по отношение на действията на публичните органи. Въпреки че достъпът до определена информация може временно да бъде изключен в рамките на процедура по обжалване, по-специално за да не бъде застрашено предотвратяването, разкриването или разследването на престъпления(36), подобна ограничителна мярка трябва да остане строго необходима и пропорционална и не може да води до пълно заличаване на прозрачността по отношение на субекта на данните. Следователно национална разпоредба, която изключва всякаква форма на достъп, без да прави разграничение между лични данни и вътрешни документи, нарушава структурата на ОРЗД.
81.      Освен това по отношение на член 52, параграф 1 от Хартата Съдът е постановил, че всички ограничения, които могат да бъдат наложени на основно право, трябва да са в съответствие не само с принципите на законност и пропорционалност, но и с принципа, изискващ зачитане на „основното съдържание“ на въпросното право(37). В съображение 4 от ОРЗД се потвърждава, че защитата на личните данни представлява основно право, залегнало в член 8 от Хартата, което може да бъде ограничено само при спазване на принципа на пропорционалност. Пълното изключване на правото на достъп обаче води до лишаване на субекта на данните от самата същност на това право, тъй като му пречи да осъществява контрол, дори и в минимална степен, върху обработването на неговите данни.
82.      В допълнение, в съображение 75 от ОРДЗ се подчертава, че липсата или недостатъчната прозрачност сама по себе си представлява риск, който може сериозно да засегне правата и свободите на субектите на данни. Именно правна уредба, която лишава изцяло субекта на данните от възможността да бъде информиран за обработването на негови лични данни, създава положение на риск, което законодателят е искал да предотврати.
83.      Следва да се добави, че в съображение 129 от ОРЗД надзорните органи са определени като независими органи, които отговарят за прилагането на този регламент и за защитата на правата на субектите на данни. Тази задача, както и мястото, което тези органи заемат в установения с ОРЗД механизъм за контрол, обаче не означават, че те са освободени от всички произтичащи от Регламента задължения. Напротив, ОРЗД създава съгласувана правна рамка, в която надзорните органи, упражнявайки правомощията си, остават изцяло подчинени на установените с нея правила, и по-специално правилата относно правата на субектите на данни. Национална разпоредба, която напълно изключва предоставянето на данни относно субекта на данни, застрашава това равновесие и нарушава изискването за отговорност на надзорните органи.
84.      Освен това пълното изключване на правото на достъп изглежда несъвместимо с преследваната от ОРЗД цел да се гарантира високо ниво на защита на данните за физическите лица, както е припомнено в съображение 10 от посочения регламент(38). Така търсеното ниво на защита се основава до голяма степен на прозрачността и на възможността за субекта на данни да осъществява контрол върху операциите по обработване на неговите лични данни. Следователно правото на достъп по член 15 от този регламент е съществен елемент, тъй като то формира основата за ефективното упражняване на всички останали права на субектите на данни(39). Пълното изключване на това право би довело до невъзможност за осъществяване на индивидуален контрол върху определени дейности по обработване и по този начин би застрашило ефективността на изискваното от законодателя на Съюза високо ниво на защита.
85.      Що се отнася до целта за защита на правата и свободите на трети лица, изтъкната като основание за ограничаване на правото на достъп, следва да се припомни, че Съдът е постановил, че в случай на конфликт между правото на достъп и правата или свободите на други лица органите трябва да извършат преценка за равновесие между наличните интереси. От съображение 63 от ОРЗД изрично следва, че тази преценка в никакъв случай не може да обоснове пълното лишаване от достъп(40). Подходящи начини, като например частично предоставяне, заличаване или анонимизиране на данни, защита на самоличността на сигнализиращите лица, различно третиране в зависимост от категориите документи или предоставяне на неиндивидуализирана структурирана информация, позволяват да се съгласуват съответните интереси, без да се премахва напълно правото на достъп.
86.      Що се отнася до изтъкнатата необходимост да се гарантира независимото и ефикасно изпълнение на задачите на надзорните органи, не е ясно по какъв начин упражняването на правото на достъп по член 15 от ОРЗД би могло да застраши тази цел. Следва да се приеме преценката на запитващата юрисдикция, че независимостта на надзорните органи по никакъв начин не означава, че законосъобразността на извършваното от тях обработване на лични данни трябва да бъде изключена от контрола на субекта на данните. Следователно изтъкнатият от Landesamt риск от евентуално „влияние“, което може да се улесни от предоставянето на достъп до информация, трябва да се отхвърли.
87.      Освен това, както бе посочено в настоящото заключение, член 15 от ОРЗД не предвижда общо право на достъп до досието(41), поради което произтичащата от това административна тежест следва да остане ограничена. Независимо от това следва да се отбележи, че член 12, параграф 5 от този регламент предоставя на надзорните органи подходящ инструмент за справяне с неоснователните или прекомерни искания(42). Те също така имат право да приемат различни мерки за управление, като например временно въздържане от предоставяне на информация в хода на процедурата, изключване на някои вътрешни документи от оповестяването, разграничаване между различни видове процедури, предоставяне само на информация относно вече приключили етапи или създаване на организационни механизми, които да гарантират, че исканията за достъп не нарушават вътрешните процеси. Такива мерки позволяват да се осигури доброто функциониране на надзорните органи, без обаче да се изключва напълно правото на достъп по член 15 от ОРЗД.
88.      Важно е също така да се припомни, че ефективността на надзорните органи зависи в решаваща степен от предоставянето на тяхно разположение на необходимите средства, а именно човешки, технически и финансови ресурси, както и помещения и инфраструктура, необходими за ефективното изпълнение на техните задачи и упражняването на техните правомощия(43). Член 52, параграф 4 от ОРЗД изрично задължава държавите членки да осигуряват такава подкрепа. От тази гледна точка въпросът за функционалността на надзорните органи не може да бъде сведен само до броя на исканията за достъп на основание член 15 от ОРЗД. Недостатъчната подкрепа за органите в никакъв случай не трябва да води до намаляване на нивото на защита на личните данни.
89.      От акта за преюдициално запитване е видно, че член 20, параграф 2 от BayDSG представлява особеност в германския правен ред, тъй като никоя друга федерална провинция не предвижда подобно изключване на правото на достъп. Изолираният от нормативна гледна точка характер на този случай е сериозен признак, че подобно ограничение не може да се счита за необходимо или пропорционално по смисъла на член 23, параграф 1 от ОРЗД. Тъй като всички други надзорни органи изпълняват задачите си, без да прибягват до общо премахване на правата на субектите на данни, изглежда трудно да се твърди, че подобна мярка е необходима за доброто функциониране на органа или за защитата на правата на трети лица. Приетата от една федерална провинция правна уредба, която ограничава в значително по-голяма степен гарантираните от ОРЗД права в сравнение с приетите в останалите федерални провинции правила, не отговаря на изискванията за съгласуваност, необходимост и пропорционалност, произтичащи от правото на Съюза.
90.      Ето защо следва да се констатира, че двете посочени цели и търсените с тях резултати — защита на правата на трети лица и осигуряване на доброто изпълнение на задачите на надзорните органи — могат да бъдат постигнати с по-малко ограничителни мерки, които са диференцирани и в съответствие с правото на Съюза и чрез които не се премахва същността на правото на достъп, не се заличава изискваната по отношение на субекта на данните прозрачност и не се възпрепятства възможността за осъществяване на контрол за законосъобразност върху извършваните операции по обработване.
91.      Друг критичен аспект е, че член 20, параграф 2 от BayDSG не позволява да се установи преследваната от националния законодател цел. Както е видно от предоставените от запитващата юрисдикция данни, в подготвителните документи само се споменава член 23 от ОРЗД като правно основание, без обаче да се посочва някоя от целите, изброени в тази разпоредба. Член 23 от ОРЗД обаче изисква целта на ограничението да личи ясно от самата разпоредба, което е необходимо условие за ефективен контрол за спазването на принципите на необходимост и пропорционалност.
92.      Това изискване за яснота не може да бъде допълнено с мотиви, изложени ex post от страна в преюдициалното производство по член 267 ДФЕС, по-специално когато тази страна се ползва от разглежданото ограничение. Да се допусне такава възможност, би означавало да се замени волята на демократично отговорния законодател с аргументирана конструкция, разработена в рамките на съдебен спор, което би било несъвместимо с изискванията за предвидимост, нормативна прозрачност и правна сигурност, произтичащи от член 23, параграфи 1 и 2 от ОРЗД.
93.      При тези обстоятелства следва да се заключи, че общо и неизбирателно изключване на правото на достъп, каквото е предвидено в член 20, параграф 2 от BayDSG, не е в съответствие с изискванията на член 23 от ОРЗД, тъй като не съдържа нито един от елементите, изрично изискуеми съгласно параграф 2 от този член, и не зачита нито структурата, нито целта на посочения регламент, както следват от релевантните съображения. Подобна разпоредба се явява непропорционална, недостатъчно определена и от естество да лиши правото на достъп от основното му съдържание.
3.      Междинно заключение
94.      Поради изложените по-горе съображения считам, че член 23 от ОРЗД трябва да се тълкува в смисъл, че не допуска национална правна уредба като тази по член 20, параграф 2 от BayDSG, доколкото сама по себе си тя изключва съществуването на право на достъп на основание член 15 от този регламент спрямо надзорния орган.
VI.    Заключение
95.      С оглед на изложените по-горе съображения предлагам на Съда да отговори на поставените от Bayerisches Verwaltungsgericht Ansbach (Баварски административен съд Ансбах, Германия) преюдициални въпроси по следния начин:
„1)      Член 15 във връзка с член 4, точка 7 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
когато действа в рамките на процедура по обжалване съгласно член 77 от посочения регламент, надзорният орган по смисъла на член 4, точка 21 от този регламент има и качеството „администратор“ по смисъла на същия регламент и следователно е длъжен да гарантира на субекта на данните правото на достъп, предвидено в член 15 от Регламент 2016/679.
2)      Член 23 от Регламент
2016/679
трябва да се тълкува в смисъл, че
не допуска национална разпоредба като тази по член 20, параграф 2 от Bayerisches Datenschutzgesetz (Баварски закон за защита на данните), която сама по себе си изключва съществуването на право на достъп на основание член 15 от този регламент спрямо баварския надзорен орган за защита на данните“.
1      Език на оригиналния текст: френски.
2      ОВ L 119, 2016 г., стр. 1.
3      Вж. точка 24 и сл. от настоящото заключение.
4      Вж. точка 65 и сл. от настоящото заключение.
5      Вж. решение от 29 юли 2019 г., Fashion ID (C‑40/17, EU:C:2019:629, т. 65 и 66).
6      Съдът дори е постановил, че физическо или юридическо лице, което за собствени цели влияе върху обработването на лични данни и по този начин участва в определянето на целите и средствата за обработка на тези данни, може да се разглежда като администратор (вж. решения от 10 юли 2018 г., Jehovan todistajat, C‑25/17, EU:C:2018:551, т. 68, и от 29 юли 2019 г., Fashion ID, C‑40/17, EU:C:2019:629, т. 68).
7      ОРЗД не определя изрично какво представлява „жалба“, но текстът на член 77 дава първоначално указание за това. Съгласно насоките на Европейския комитет по защита на данните (ЕКЗД) жалбата се подава до надзорен орган от идентифицирано физическо лице — или от структура, отговаряща на условията по член 80 — което счита, че обработването на неговите данни представлява нарушение на ОРЗД. ЕКЗД уточнява, че това понятие не се ограничава до нарушенията на правата по глава III, а обхваща по-общо всяко нарушение на Регламента, произтичащо от обработването на личните данни на жалбоподателя (ЕКЗД, „Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints“, приет на 15 декември 2020 г., стр. 3).
8      Вж. решения от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 58),
от 26 септември 2024 г., Land Hessen (Задължение за предприемане на действия
от органа за защита на данните) (C‑768/21, EU:C:2024:785, т. 35), и от 9 януари 2025 г.,
Österreichische Datenschutzbehörde (Прекомерни искания) (C‑416/23, EU:C:2025:3, т. 39).
9      Вж. решение на Съда на ЕАСТ от 10 декември 2020 г., Adpublisher AG/J & K (съединени дела E-11/19 и E-12/19, т. 45).
10      Вж. решения от 6 октомври 2015 г., Schrems (C‑362/14, EU:C:2015:650, т. 63), от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, EU:C:2020:559, т. 107), от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 56), и от 26 септември 2024 г., Land Hessen (Задължение за предприемане на действия от органа за защита на данните) (C‑768/21, EU:C:2024:785, т. 32).
11      В този контекст следва да се припомни заключението на генерален адвокат Pikamäe по съединени дела SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:222, т. 42), в което той подчертава, че законодателят на Съюза не е имал намерение да превърне процедурата по обжалване в механизъм, който може да се приравни на обикновена „петиция“. Напротив, преследваната цел е да се създаде механизъм, който може ефективно да защити правата и интересите на лицата, които подават жалби. По-специално, задълженията по член 57, параграф 1, буква е) от ОРЗД, които са възложени на надзорния орган при разглеждането на тези жалби и попадат в обхвата на принципа на „добра администрация“, свидетелстват за волята на законодателя да превърне тази процедура по същество в едно „истинско административно средство за защита“.
12      Вж. решение от 26 септември 2024 г., Land Hessen (Задължение за предприемане на действия
от органа за защита на данните) (C‑768/21, EU:C:2024:785, т. 42).
13      Вж. решения от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 70), и от 26 септември 2024 г., Land Hessen (Задължение за предприемане на действия
от органа за защита на данните) (C‑768/21, EU:C:2024:785, т. 49).
14      В правото на Съюза не съществуват единни разпоредби относно конкретното разглеждане на жалби от страна на надзорните органи. В резултат на това има някои различия в административната практика на държавите членки. Въпреки това ЕКЗД се стреми, чрез насоки и разработването на „най-добри практики“, да осигури известна степен на хармонизация на надзорната дейност, както и на процесуалните правила, по-специално по отношение на допускането или архивирането на жалби, доброволното уреждане на спорове и др. (вж. в това отношение ЕКЗД, „Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints“, приет на 15 декември 2020 г.).
15      Както е посочено от Съда на ЕАСТ в решението му от 10 декември 2020 г. по дело Adpublisher AG/J & K (съединени дела E-11/19 и E-12/19, т. 60), съгласно член 57, параграф 1, буква з) от ОРЗД надзорният орган е оправомощен да започва служебно разследвания. При това положение при разглеждането на жалба той може да се произнесе по други претенции или по предмет на спора, различни от изтъкнатите от жалбоподателя. Ефективността на процедурата по обжалване изисква при упражняването на правомощията си за разследване надзорният орган да не бъде ограничаван от начина, по който жалбоподателят е формулирал съответните правни въпроси в своята жалба.
16      Изглежда, че надзорните органи разглеждат жалбите или въз основа на разпоредбите на националното право, или въз основа на собствената си свобода на преценка. Изглежда също така, че съществуват различия по отношение на разглеждането на жалби по прагматични критерии или в рамките на опростена процедура (вж. в това отношение González Fuster, G. et al. The right to lodge a data protection complaint:
ok, but then what? —
An empirical study of current practices under the GDPR. — Access Now, Open Universiteit, 2022 г., р. 30).
17      Вж. решения от 11 януари 2024 г., Белгийска държава (Данни, обработвани от държавен вестник) (C‑231/22, EU:C:2024:7, т. 39), и от 27 февруари 2025 г., Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, т. 49).
18      По искане на Съда Landesamt представя административната си практика във връзка с разглеждането на жалби. В това отношение тя уточнява, че жалбоподателите могат да отправят искания, включително по електронен път, до компетентните служители на Landesamt и да поискат достъп до досието. От това изложение ясно следва, че редът и условията, при които Landesamt разглежда жалбите, по-специално що се отнася до събраните данни, приетите организационни мерки и проведените разследвания са елемент от самостоятелността, предоставена ѝ по силата на ОРЗД за изпълнението на нейните задачи.
19      Möhle, J.‑P. Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht. — Die Öffentliche Verwaltung, 2023, No. 3, р. 108, обяснява, че само лицето, което действително е в състояние да упражнява влияние, може да бъде обвързано със задълженията, произтичащи от правото в областта на защитата на данните (като задълженията за информиране, отговорност или сътрудничество), а именно това, което може да предотврати бъдещи нарушения на правилата за защита на данните. Според мен няма никакво съмнение, че в рамките на процедура по обжалване само надзорният орган може да отговори на това определение.
20      Както Съдът вече е постановил, целта на широкото по съдържанието си определение на понятието „администратор“ е именно да се гарантира ефикасна и пълна защита на субектите на данни (вж. решения от 13 май 2014 г., Google Spain и Google, C‑131/12, EU:C:2014:317, т. 34, от 29 юли 2019 г., Fashion ID, C‑40/17, EU:C:2019:629, т. 66, и от 5 юни 2018 г., Wirtschaftsakademie Schleswig-Holstein, C‑210/16, EU:C:2018:388, т. 28).
21      Вж. в този смисъл
Kunert, J. Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG. — GRUR-Prax, 2025, No. 9, р. 324.
22      Вж. решение от 22 юни 2023 г., Pankki S (C‑579/21, EU:C:2023:501, т. 50).
23      Вж. решение от
4 май 2023 г., Österreichische Datenschutzbehörde и CRIF (C‑487/21, EU:C:2023:369, т. 33 и 34).
24      Вж. решение от 4 май 2023 г., Österreichische Datenschutzbehörde et CRIF (C‑487/21, EU:C:2023:369, т. 41).
25      Вж. решения от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994, т. 57), от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни) (C‑154/21, EU:C:2023:3, т. 38), и от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF (C‑487/21, EU:C:2023:369, т. 35).
26      Zanfir-Fortuna, G. Article 15. Right of access by the data subject. — In: Kuner, C., L. A. Bygrave, C. Docksey (Eds.). The EU General Data Protection Regulation (GDPR): A Commentary. Oxford 2020, р. 452, подчертава, че е важно да се прави разграничение между правото на достъп до собствените лични данни, закрепено в член 15 от ОРЗД, и правото на достъп до публична информация. Тези две права се основават на различни нормативни цели: първото има за цел да гарантира прозрачност на лицето, чиито данни се събират и обработват от администратор (прозрачност inter partes), докато второто цели да осигури прозрачност на обществеността относно информация с обществена стойност или обществен интерес (прозрачност erga omnes).
27      Gumzej, N.
DPA powers toward effective and transparent GDPR enforcement: the case of Croatia. —
Juridical Tribune — Review of Comparative and International Law, vol. 13, No. 2 (2023), р. 210, препраща към действащите закони относно свободата на достъп до информация.
28      Schemmer, F. Der Auskunftsanspruch der DS-GVO — Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen. — Zeitschrift für das gesamte Informationsrecht, 2024, No. 5, р. 210.
29      Вж. решения от 6 март 2007 г., Placanica и др. (C‑338/04, C‑359/04 и C‑360/04, EU:C:2007:133, т. 34), и от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 240).
30      Вж. решения от 25 октомври 2001 г., Ambulanz Glöckner (C‑475/99, EU:C:2001:577, т. 10), и от 14 ноември 2024 г., S. (Изменение на съдебния състав) (C‑197/23, EU:C:2024:956, т. 43).
31      Вж. решения от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, EU:C:2020:559, т. 172), от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни) (C‑154/21, EU:C:2023:3, т. 47), и от 21 март 2024 г., Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, т. 75).
32      Giurgiu, A., T. Larsen. Roles and Powers of National Data Protection Authorities — Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency? —
European Data Protection Law Review, No. 3 (2016), с. 352, считат надзорните органи за основни гаранти на правата на физическите лица поради централната им роля в надзора и прилагането на правилата за защита на данните, предвидени в ОРЗД. Те подчертават, че е важно на тези органи да се предоставят достатъчно ресурси, както като персонал, така и като финансови средства, за да могат ефективно да изпълняват задачите си.
33      Вж. решение от 9 януари 2025 г., Österreichische Datenschutzbehörde (Прекомерни искания) (C‑416/23, EU:C:2025:3, т. 40).
34      Вж. решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, т. 85).
35      Вж. решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработване на лични данни за данъчни цели) (C‑175/20, EU:C:2022:124, т. 56).
36      Вж. в това отношение ЕКЗД, Насоки 10/2020 относно ограниченията по член 23 от ОРЗД (Версия 2.1), приети на 13 октомври 2021 г., точки 65—67 и 82, в които се препоръчват временни ограничения за упражняването на някои права на субектите на данни, за да не се компрометират административните разследвания.
37      Вж. решения от 8 април 2014 г., Digital Rights Ireland и др. (C‑293/12 и
C‑594/12, EU:C:2014:238, т. 38), от 6 октомври 2015 г., Schrems (C‑362/14, EU:C:2015:650, т. 94),
от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, EU:C:2020:559, т. 174), и
от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и
C‑520/18, EU:C:2020:791, т. 121).
38      В постоянната си практика Съдът припомня тази цел и подчертава, че защитата на личните данни е гарантирана както от член 16 ДФЕС, така и от член 8 от Хартата, като по този начин това право е закрепено в две разпоредби на първичното право на Съюза (вж. решение от 12 януари 2023 г., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, т. 43).
39      Вж. решение от 22 юни 2023 г., Pankki S (C‑579/21, EU:C:2023:501, т. 53 и сл.).
40      Вж. решение от 4 май 2023 г., Österreichische Datenschutzbehörde и CRIF (C‑487/21, EU:C:2023:369, т. 44).
41      Вж. точка 59 и сл. от настоящото заключение.
42      Вж. решение от 12 януари 2023 г., Österreichische Post (Информация относно получателите на лични данни) (C‑154/21, EU:C:2023:3, т. 49). Както подчертава Съдът, администраторът трябва да докаже явно неоснователния или прекомерен характер на искане за достъп по смисъла на член 12, параграф 5 от ОРЗД.
43      Вж. в това отношение Агенция на Европейския съюз за основните права (FRA). GDPR in practice —
Experiences of Data Protection Authorities, Люксембург, 11 юни 2024 г., стр. 21, където предоставянето на ресурси на надзорните органи през годините е описано като „цялостно недостатъчно“. След първата оценка на Комисията относно прилагането на ОРЗД Европейският парламент приема резолюция, с която приканва държавите членки към изпълнение на задължението им по член 52, параграф 4 от ОРЗД да предоставят на своите надзорни органи достатъчно ресурси, за да им позволят да изпълняват задачите си по възможно най-добрия начин и да гарантират еднакви условия за прилагането на ОРЗД на европейско равнище.