62023CC0169
ĢENERĀLADVOKĀTES LAILAS MEDINAS
SECINĀJUMI,
sniegti 2024. gada 6. jūnijā (
1
)
Lieta C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
pret
UC
(Kúria (Augstākā tiesa, Ungārija) lūgums sniegt prejudiciālu nolēmumu)
Lūgums sniegt prejudiciālu nolēmumu – Personas datu aizsardzība – Regula (ES) 2016/679 – Datu apstrāde Covid‑19 sertifikāta izsniegšanai – Informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta – 14. panta 1. punkts – Atkāpes no pienākuma sniegt informāciju – Iegūšana vai izpaušana, kas skaidri paredzēta Savienības vai dalībvalsts tiesību aktos – Atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai – 14. panta 5. punkta c) apakšpunkts – Tiesības iesniegt sūdzību uzraudzības iestādē – 77. pants
I. Ievads
1.
Viens no svarīgākajiem datu pārziņa pienākumiem ir sniegt informāciju datu subjektam. Secinājumos lietā Bara ģenerāladvokāts P. Kruss Viljalons [P. Cruz Villalón] daiļrunīgi norādīja, ka prasība informēt datu subjektu “nodrošina jebkādas apstrādes pārredzamību” (
2
). Pienākums informēt atbilst datu subjekta pamattiesībām saņemt informāciju par savu datu apstrādi. Doktrīnā noradīts (
3
), ka tiesības uz informāciju ir pārredzamības principa “ilustrācija” un visu pārējo tiesību “centrālais punkts”. Faktiski plašās informēšanas prasības ļauj datu subjektam īstenot citas svarīgas tiesības, kas atzītas Regulā (ES) 2016/679 (
4
).
2.
Izskatāmās lietas pamatā ir Covid‑19 sertifikātu izsniegšana. Šajā lietā Tiesa pirmo reizi tiek aicināta interpretēt būtisku atkāpi no VDAR 14. panta 5. punkta c) apakšpunktā paredzētā datu pārziņa pienākuma sniegt informāciju. Attiecīgā atkāpe tiks analizēta attiecībā uz uzraudzības iestādes pilnvarām saistībā ar datu subjekta iesniegtu sūdzību.
II. Atbilstošās tiesību normas
A.
Savienības tiesības
3.
VDAR 14. panta “Informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta” 1., 2. un 5. punktā ir paredzēts:
“1.   Ja personas dati nav iegūti no datu subjekta, pārzinis datu subjektam sniedz šādu informāciju:
a)
pārziņa un attiecīgā gadījumā pārziņa pārstāvja identitāte un kontaktinformācija;
b)
attiecīgā gadījumā – datu aizsardzības speciālista kontaktinformācija;
c)
apstrādes nolūki, kam paredzēti personas dati, kā arī apstrādes juridiskais pamats;
d)
attiecīgo personas datu kategorijas;
e)
personas datu saņēmēji vai saņēmēju kategorijas, ja tādas ir;
f)
attiecīgā gadījumā – informācija, ka pārzinis paredz nosūtīt personas datus saņēmējam trešā valstī vai starptautiskai organizācijai, un informācija par to, ka eksistē vai neeksistē [Eiropas] Komisijas lēmums par aizsardzības līmeņa pietiekamību [..].
2.   Papildus 1. punktā minētajai informācijai, pārzinis datu subjektam sniedz turpmāk norādīto informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi attiecībā uz datu subjektu:
a)
laikposms, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, kritēriji, ko izmanto minētā laikposma noteikšanai;
b)
pārziņa vai trešās personas leģitīmās intereses, ja apstrāde pamatojas uz 6. panta 1. punkta f) apakšpunktu;
c)
tas, ka pastāv tiesības pieprasīt no pārziņa piekļuvi datu subjekta personas datiem un to labošanu vai dzēšanu, vai apstrādes ierobežošanu attiecībā uz datu subjektu un tiesības iebilst pret apstrādi, kā arī tiesības uz datu pārnesamību;
d)
ja apstrāde pamatojas uz 6. panta 1. punkta a) apakšpunktu vai 9. panta 2. punkta a) apakšpunktu – tiesības jebkurā brīdī atsaukt piekrišanu, neietekmējot tādas apstrādes likumīgumu, kuras pamatā ir pirms atsaukuma sniegta piekrišana;
e)
tiesības iesniegt sūdzību uzraudzības iestādei;
f)
informācija par to, no kāda avota personas dati ir iegūti, un – attiecīgā gadījumā – informācija par to, vai dati iegūti no publiski pieejamiem avotiem;
g)
tas, ka pastāv automatizēta lēmumu pieņemšana, tostarp profilēšana, kas minēta 22. panta 1. un 4. punktā, un – vismaz minētajos gadījumos – jēgpilna informācija par tajā ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz datu subjektu.
[..]
5.   Šā panta 1.–4. punktu nepiemēro, ja un ciktāl:
[..]
c)
iegūšana vai izpaušana ir skaidri paredzēta Savienības vai dalībvalsts tiesību aktos, kuri ir piemērojami pārzinim un kuros ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai;
[..].”
4.
VDAR 32. panta “Apstrādes drošība” 1. punktā ir paredzēts:
“Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes risku attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas atbilst riskam [..]
[..].”
5.
VDAR 77. panta “Tiesības iesniegt sūdzību uzraudzības iestādē” 1. punktā ir paredzēts:
“Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.”
B.
Ungārijas tiesības
6.
A koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet ([2021. gada] 12. februāra Valdības Dekrēts Nr. 60/2021 par koronavīrusa imunitātes sertifikātu; turpmāk tekstā – “Dekrēts Nr. 60/2021”), redakcijā, kas piemērojama pamatlietā, 2. panta 1. punkta a)–g) apakšpunktā ir paredzēts:
“Imunitātes sertifikātā ietver šādu informāciju:
a)
saņēmēja vārds, uzvārds;
b)
ja saņēmējam ir pase – pases numurs;
c)
ja saņēmējam ir pastāvīgs personu apliecinošs dokuments – šā dokumenta numurs un dokumenta identifikators;
d)
imunitātes sertifikāta sērijas numurs;
e)
ja tiek iesniegts vakcinācijas sertifikāts – vakcinācijas datums;
f)
ja tiek iesniegts apliecinājums par izveseļošanos – apliecinājuma spēkā stāšanās datums;
g)
ar informātikas iekārtām optiski nolasāms datu glabāšanas kods, ko ģenerē, izmantojot no a) līdz f) apakšpunktā minētos datus;
[..].”
7.
Saskaņā ar Dekrēta Nr. 60/2021 2. panta 6. un 7. punktu tiesīgai fiziskai personai imunitātes sertifikātu ex officio vai pēc pieprasījuma izsniedza Budapest Főváros Kormányhivatala (Decentralizētais valdības dienests galvaspilsētā Budapeštā, Ungārija; turpmāk tekstā – “Budapeštas dienests”).
8.
Dekrēta Nr. 60/2021 3. panta 3. punktā ir paredzēts:
“Gadījumos, kas minēti 2. panta 6. punkta c) un d) apakšpunktā, [Budapeštas dienests] ar automātisku informācijas nosūtīšanu – vajadzības gadījumā izmantojot atbilstošos összerendelési nyilvántartás [(Elektroniskās identifikācijas datu pārvaldības reģistrs, Ungārija)] pakalpojumus – ievāc
a)
no EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér (Elektronisko veselības pakalpojumu dienests))] operatora: saņēmēja sociālās apdrošināšanas numuru, 2. panta 1. punkta e) un g) apakšpunktā minētos datus, kā arī 1. punktā minētos datus;
b)
no iestādes, kas atbild par personas datu un adrešu reģistrāciju: saņēmēja vārdu, uzvārdu, pases un pastāvīgā personu apliecinošā dokumenta identifikatorus, kā arī adresi.”
III. Strīds pamatlietā un prejudiciālie jautājumi
9.
UC, kas ir fiziska persona, Budapeštas dienestā saņēma imunitātes sertifikātu, kurš apliecina tās vakcināciju pret Covid‑19.
10.
2021. gada 30. aprīlī, pamatojoties uz VDAR 77. panta 1. punktu, UC iesniedza sūdzību Nemzeti Adatvédelmi és Információszabadság Hatóság (Datu aizsardzības un informācijas brīvības valsts iestāde, Ungārija; turpmāk tekstā – “Ungārijas uzraudzības iestāde”). UC lūdza šo iestādi uzdot Budapeštas dienestam saskaņot tā apstrādes darbības ar VDAR normām. Sūdzībā UC citastarp apgalvoja, ka Budapeštas dienests neesot izstrādājis vai publicējis paziņojumu par privātumu par datu apstrādi saistībā ar imunitātes sertifikātu izsniegšanu un ka neesot pietiekamas informācijas par apstrādes mērķi un juridisko pamatu, ne arī par to, kādas ir datu subjektu tiesības un kā tās var tikt īstenotas.
11.
Pēc sūdzības iesniegšanas sāktajā procedūrā Budapeštas dienests norādīja, ka tas savas funkcijas saistībā ar imunitātes sertifikātu izsniegšanu ir veicis saskaņā ar Dekrēta Nr. 60/2021 2. pantu, ka apstrādes juridiskais pamats ir VDAR 6. panta 1. punkta e) apakšpunkts, bet attiecībā uz īpašu kategoriju personas datu apstrādi – VDAR 9. panta 2. punkta i) apakšpunkts
12.
Turklāt Budapeštas dienests norādīja, ka atbilstoši Dekrēta Nr. 60/2021 3. panta 2. un 3. punktam apstrādājamos datus tas ievāca, automātiski saņemot informāciju no Elektronisko veselības pakalpojumu dienesta operatora un no iestādes, kas atbildīga par personas datu un adrešu reģistrāciju. Tas apgalvoja, ka saskaņā ar VDAR 14. panta 5. punkta c) apakšpunktu tam neesot pienākuma informēt par apstrādi. Šādos apstākļos tas bija izstrādājis paziņojumu par privātumu saistībā ar attiecīgo apstrādi un publicējis to savā tīmekļvietnē.
13.
Ar 2021. gada 15. novembra lēmumu Ungārijas uzraudzības iestāde noraidīja sūdzību, pamatojumā norādot, ka Budapeštas dienestam nebija pienākuma sniegt informāciju, jo uz attiecīgo apstrādi ir attiecināma VDAR 14. panta 5. punkta c) apakšpunktā paredzētā atkāpe. Konkrētāk – šī uzraudzības iestāde uzskatīja, ka Dekrēts Nr. 60/2021 bija datu apstrādes juridiskais pamats un ka Budapeštas dienests datus neieguva no pašiem datu subjektiem. Turklāt tā norādīja, ka Dekrēta Nr. 60/2021 3. panta 1. punktā Budapeštas dienestam ir skaidri noteikts pienākums vākt datus. Apstāklis, ka Budapeštas dienests savā tīmekļvietnē bija publicējis informāciju par datu apstrādi, esot uzskatāms par labu praksi, lai gan tam nebija juridiska pienākuma to darīt.
14.
Ungārijas uzraudzības iestāde pēc savas ierosmes izvērtēja jautājumu par atbilstošiem pasākumiem datu subjekta leģitīmo interešu aizsardzībai, kas minēti VDAR 14. panta 5. punkta c) apakšpunktā, un uzskatīja, ka Dekrēta Nr. 60/2021 2. un 3. pants, kā arī tā 5.–7. pants ir atzīstami par šādiem pasākumiem.
15.
UC apstrīdēja Ungārijas uzraudzības iestādes lēmumu Fővárosi Törvényszék (Galvaspilsētas Budapeštas tiesa, Ungārija). Minētā tiesa apmierināja prasību, atcēla Ungārijas uzraudzības iestādes lēmumu un uzdeva tai procedūru veikt atkārtoti.
16.
Sprieduma pamatojumā Fővárosi Törvényszék (Galvaspilsētas Budapeštas tiesa) norādīja, ka VDAR 14. panta 5. punkta c) apakšpunktā paredzētā atkāpe neesot piemērojama, jo saistībā ar imunitātes sertifikātiem atsevišķus datus pārzinis neiegūst no citas struktūras, bet gan tos izveido pats. Šie dati ietver pārziņa procedūras laikā ģenerēto imunitātes sertifikāta sērijas numuru, sertifikāta derīguma termiņu, sertifikātā iestrādāto QR kodu, svītrkodu un citus burtciparu kodus.
17.
Ungārijas uzraudzības iestāde par šo Fővárosi Törvényszék (Galvaspilsētas Budapeštas tiesa) galīgo spriedumu iesniedza ārkārtas kasācijas sūdzību Kúria (Augstākā tiesa, Ungārija).
18.
Iesniedzējtiesa uzskata ka VDAR 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes piemērošana var tikt attiecināta uz visiem apstrādes veidiem, kas neskar datus, kuri iegūti no datu subjekta VDAR 13. panta izpratnē, tostarp datus, ko radījis pārzinis.
19.
Ja tiek ievērota šāda VDAR 14. panta 5. punkta c) apakšpunkta interpretācija, iesniedzējtiesai ir šaubas par valsts uzraudzības iestāžu korektīvo pilnvaru apjomu saistībā ar sūdzību, kas iesniegta saskaņā ar VDAR 77. panta 1. punktu. Konkrētāk – iesniedzējtiesai ir šaubas, vai saistībā ar šādu sūdzību uzraudzības iestādei ir pilnvaras izskatīt jautājumu par tiem valsts tiesību aktos paredzētajiem atbilstošajiem pasākumiem datu subjekta leģitīmo interešu aizsardzībai, kas minēti VDAR 14. panta 5. punkta c) apakšpunktā.
20.
Ja tiktu uzskatīts, ka uzraudzības iestādei ir šādas pilnvaras, iesniedzējtiesa nav pārliecināta par jēdziena “atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai” precīzu nozīmi. Šajā ziņā tā norāda, ka varētu uzskatīt, ka jēdziens “atbilstoši pasākumi” ietver, no vienas puses, VDAR 14. panta 1. punkta a)–f) apakšpunktā minēto elementu pārņemšanu valsts tiesībās. No otras puses, šie pasākumi varētu ietvert tiesības lūgt veikt VDAR 32. pantā paredzētās apstrādes drošības pārbaudi. Tomēr šāda jēdziena “atbilstoši pasākumi” izpratne radītu risku pārslogot tiesisko regulējumu ar tehniskiem noteikumiem, kas būtu pretrunā tiesību aktu tekstu saprotamības un skaidrības prasībai. Par pietiekamu garantiju varētu uzskatīt arī to, ka personas datu drošības pasākumi tiek pildīti, pat ja tie nav konkrēti pārņemti.
21.
Šādos apstākļos Kúria (Augstākā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1)
Vai [VDAR] 14. panta 5. punkta c) apakšpunkts kopsakarā ar tās 14. panta 1. punktu un 62. apsvērumu ir jāinterpretē tādējādi, ka 14. panta 5. punkta c) apakšpunktā paredzētais izņēmums neattiecas uz personas datiem, kas ir ģenerēti paša pārziņa veiktā apstrādes procedūrā, bet gan tikai uz personas datiem, par kuriem pārzinis ir saņēmis tiešu atļauju no citas personas?
2)
Gadījumā, ja VDAR 14. panta 5. punkta c) apakšpunkts attiecas arī uz personas datiem, kas ir ģenerēti paša pārziņa veiktā apstrādes procedūrā, vai VDAR 77. panta 1 punktā paredzētās tiesības iesniegt sūdzību uzraudzības iestādē ir jāinterpretē tādējādi, ka fiziska persona, kas apgalvo, ka nav izpildīts pienākums sniegt informāciju, izmantojot savas tiesības iesniegt sūdzību, var pieprasīt pārbaudīt, vai saskaņā ar VDAR 14. panta 5. punkta c) apakšpunktu dalībvalsts tiesībās ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai?
3)
Apstiprinošas atbildes uz otro jautājumu gadījumā, vai VDAR 14. panta 5. punkta c) apakšpunktu var interpretēt tādējādi, ka minētājā tiesību normā minētie “atbilstošie pasākumi” nozīmē, ka valsts likumdevējam (ar tiesisko regulējumu) ir jāpārņem VDAR 32. pantā paredzētie personas datu drošības pasākumi?”
22.
Rakstveida apsvērumus iesniedza UC, Ungārijas uzraudzības iestāde un Ungārijas valdība, kā arī Komisija. Tiesa pamatlietas pusēm un Eiropas Savienības Tiesas statūtu 23. pantā minētajām ieinteresētajām personām rakstveida atbilžu sniegšanai uzdeva vairākus jautājumus, uz kuriem atbildēja UC, Čehijas valdība, Ungārijas valdība un Komisija.
IV. Izvērtējums
A.
Ievada apsvērumi par pienākumu informēt un VDAR 14. panta 5. punkta c) apakšpunktā paredzēto atkāpi
23.
Informācijas sniegšana datu subjektiem ir VDAR 5. panta 1. punkta a) apakšpunktā paredzētā pārredzamības principa centrālais elements. Pārredzamība “piešķir pilnvaras datu subjektiem saukt pie atbildības datu pārziņus un apstrādātājus”, jo ar to tiek nostiprinātas šo subjektu tiesības īstenot kontroli pār saviem datiem (
5
). Proti, kā norādīts spriedumā Bara u.c., “šī prasība informēt datu subjektus, kuru personas dati tiek apstrādāti, ir jo svarīgāka tāpēc, ka tā ir priekšnosacījums ieinteresēto personu tiesību uz piekļuvi apstrādātajiem datiem īstenošanai” (
6
). Šajā ziņā galvenās tiesību normas ir VDAR 12., 13. un 14. pants.
24.
Kā noteikts VDAR 12. panta 1. punktā, pārzinim jāveic atbilstoši pasākumi, lai “kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu”, sniegtu 13. un 14. pantā minēto informāciju. Parasti informācija tiek sniegta privātuma politikā vai paziņojumā par privātumu (
7
).
25.
Informēšanas pienākuma saturs un tvērums ir noteikts VDAR 13. un 14. pantā. Tās 13. pantā tiek reglamentēta informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta (tieša datu vākšana), savukārt 14. pantā tiek reglamentēta informācija, kura jāsniedz, ja personas dati nav iegūti no datu subjekta (netieša datu vākšana) (
8
). Saskaņā ar šīm abām tiesību normām sniedzamā informācija ievērojami pārklājas (
9
).
26.
Attiecībā uz netiešu datu vākšanu VDAR 14. panta 1. punktā “standarta informācijas katalogā” (
10
) ir iekļauta informācija par pārziņa identitāti, apstrādes nolūkiem, datu saņēmējiem un iespējamo datu nosūtīšanu saņēmējam trešā valstī. Kā papildinformācija, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi, VDAR 14. panta 2. punktā citastarp īpaši ir norādīta informācija par laikposmu, cik ilgi personas dati tiks glabāti, pārziņa leģitīmajām interesēm (
11
) vai to, ka pastāv tiesības pieprasīt pārzinim piekļuvi datu subjekta personas datiem un to labošanu vai dzēšanu.
27.
Saskaņā ar VDAR 14. pantu netiešas datu vākšanas gadījumā uz datu pārziņa pienākumu sniegt informāciju ir attiecināmas četras šā panta 5. punktā paredzētas atkāpes. Atkāpe, kam ir nozīme pamatlietā, ir paredzēta 14. panta 5. punkta c) apakšpunktā, kurā ietverta “atvērējklauzula” (
12
). Pārzinim nav jāsniedz informācija, ja un ciktāl “iegūšana vai izpaušana ir skaidri paredzēta Savienības vai dalībvalsts tiesību aktos, kuri ir piemērojami pārzinim”, kā arī tiesību aktos “ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai”.
28.
VDAR 14. panta 5. punkta c) apakšpunktā angļu valodas versijā, tāpat kā citu valodu versijās (
13
), nav skaidras atsauces uz “iegūšanas vai izpaušanas” darbības priekšmetu. Vairākās citu valodu versijās ir skaidra atsauce uz “datu” iegūšanu vai izpaušanu (
14
). Šķiet, ka tikai franču valodas versijā ir minēta “informācijas” iegūšana vai izpaušana (
15
).
29.
Tomēr, tā kā visas Savienības tiesību akta valodu versijas principā ir jāatzīst par līdzvērtīgām, ja rodas pretrunas starp Savienības tiesību akta teksta dažādām valodu versijām, attiecīgā norma jāinterpretē atbilstoši tā regulējuma vispārējai sistēmai un mērķim, kura sastāvdaļa tā ir (
16
).
30.
Šajā ziņā no tā tiesiskā regulējuma vispārējās sistēmas, kura sastāvdaļa ir VDAR 14. panta 5. punkta c) apakšpunkts, izriet, ka iegūšanas vai izpaušanas darbība attiecas uz personas datiem (nevis uz informāciju). No 14. panta nosaukuma jau izriet, ka informācija tiek “sniegta”, savukārt iegūšanas darbība attiecas uz “personas datiem”. Šāda interpretācija ir apstiprināta 61. apsvērumā, kurā ir atsauce uz “personas datiem”, kas iegūti no cita avota, un 62. apsvērumā, kurā ir atsauce uz “personas datu” reģistrēšanu vai izpaušanu. Turklāt, ņemot vērā jēdziena “apstrāde” plašo skaidrojumu VDAR 4. panta 2. punktā, proti, jebkura ar personas datiem vai personas datu kopumiem veikta darbība (
17
), “iegūšana vai izpaušana” ir kvalificējama kā ar personas datiem veikta apstrādes darbība.
31.
Runājot par tā tiesiskā regulējuma mērķi, kura sastāvdaļa ir VDAR 14. panta 5. punkta c) apakšpunkts, attiecīgās atkāpes pamatā šķiet esam pieņēmums, ka pārzinim parasti noteiktais pienākums sniegt informāciju par datu iegūšanu vai izpaušanu ir aizstāts vai aizvietots ar Savienības vai dalībvalsts tiesību aktos paredzēto (
18
). Saskaņā ar attiecīgajiem tiesību aktiem datu subjektiem jau būs pietiekama informācija par datu iegūšanu vai izpaušanu (
19
). Šādam tiesiskajam regulējumam, kas piemērojams datu pārzinim, skaidri jāattiecas uz datu iegūšanu vai izpaušanu, kā arī datu pārzinim būtu obligāti jāveic attiecīgā datu iegūšanas vai izpaušanas darbība (
20
).
32.
Tādējādi no iepriekš minētā skaidri izriet, ka uz datu iegūšanas vai izpaušanas darbību attiecinātās atkāpes priekšmets attiecas uz personas datiem.
33.
Analizējot prejudiciālos jautājumus, VDAR 14. panta 5. punkta c) apakšpunktā paredzēto atkāpi turpināšu izvērtēt, ņemot vērā šos apsvērumus.
B.
Par pirmo jautājumu
34.
Ar pirmo jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai 14. panta 5. punkta c) apakšpunkts jāinterpretē tādējādi, ka tajā paredzētā atkāpe no datu pārziņa pienākuma sniegt informāciju datu subjektam ir attiecināma tikai uz personas datiem, par kuriem pārzinis ir saņēmis tiešu atļauju no citas personas, izslēdzot personas datus, kas iegūti paša pārziņa veiktā apstrādes procedūrā.
35.
Minētais jautājums izriet no tā, ka pamatlietā atsevišķi Covid‑19 sertifikātos ietvertie dati netika iegūti no citas struktūras, bet gan tos radīja Budapeštas dienests (
21
).
36.
Tādēļ jānoskaidro, vai VDAR 14. panta 5. punkta c) apakšpunktā noteiktais jēdziens “iegūšana” izslēdz pārziņa ģenerētos datus.
37.
Lai atbildētu uz šo jautājumu, ievadam jāatgādina, ka, interpretējot Savienības tiesību normu, jāņem vērā ne tikai tās teksts, bet arī konteksts un šo normu ietverošā tiesību akta mērķi un nolūks (
22
).
38.
Runājot par VDAR 14. panta 5. punkta c) apakšpunkta formulējumu, šajā tiesību normā nav paredzēts konkrēta apstrādes veida vai precīzs pārziņa veiktās [personas] datu iegūšanas metodes ierobežojums. Dati var tikt iegūti, izmantojot tehnisku procedūru, piemēram, pārzinim ģenerējot datus.
39.
Jēdziena “iegūšana” plašā nozīme ir apstiprināta VDAR 62. apsvērumā. Minētajā apsvērumā ir izmantots datu “reģistrācijas” jēdziens, kurš, kā norādījusi iesniedzējtiesa, ir attiecināms uz plašāku tādu apstrādes darbību grupu, ko var veikt datu pārzinis. Tādējādi 14. panta 5. punkta c) apakšpunktu nevar interpretēt kā piemērojamu tikai datiem, kas iegūti no citas struktūras, bet ne datiem, kurus radījis pārzinis.
40.
Šādu VDAR 14. panta 5. punkta c) apakšpunkta interpretāciju apstiprina arī konteksts, kādā iekļaujas šī tiesību norma, kā arī šīs normas mērķi un nolūks.
41.
Šajā ziņā jānorāda, ka 14. panta 5. punktā paredzētās atkāpes attiecas uz minētā panta 1.–4. punktu. Salīdzinājumā ar 13. pantu 14. panta (kurā ietilpst attiecīgā atkāpe) materiālā piemērošanas joma ir definēta negatīvi. 13. pants reglamentē informāciju, kas jāsniedz, ja personas dati ir iegūti no datu subjekta, savukārt 14. pants reglamentē informāciju, kura jāsniedz, ja personas dati nav iegūti no datu subjekta. No dihotomijas starp tiešu un netiešu datu vākšanu izriet, ka visi gadījumi, kad dati nav iegūti no datu subjekta, ietilpst 14. panta materiālajā piemērošanas jomā. Ciktāl dati nav iegūti no datu subjekta, nav nozīmes, vai datus ir radījis pārzinis. 14. panta plašo materiālo piemērojamību apstiprina arī 61. apsvērums, kurā ir atsauce uz datiem, ko “iegūst no cita avota”, proti, avota, kurš nav datu subjekts.
42.
Turklāt, kā norāda Komisija un Ungārijas uzraudzības iestāde, būtībā VDAR 13. un 14. pantā paredzētie noteikumi veido visaptverošu sistēmu, kas reglamentē informācijas sniegšanu datu subjektam visās iespējamās situācijās. Ja VDAR 14. panta 5. punkta c) apakšpunktā minētais jēdziens “iegūšana” būtu jāinterpretē tādējādi, ka ar to tiek izslēgti pārziņa radītie dati, šai normai būtu šaurāks tvērums nekā 14. pantam, kurā tā ietilpst.
43.
Runājot par attiecīgās atkāpes īpašo mērķi, kā norādīts šo secinājumu ievada apsvērumos, pārziņa atbrīvojums no pienākuma sniegt informāciju ir balstīts uz pieņēmumu, ka pārzinim parasti noteiktais informēšanas pienākums ir aizstāts ar tiesību aktos paredzēto (
23
). Ar 14. panta 5. punkta c) apakšpunktā noteikto atkāpi dalībvalstīm tiek piešķirta rīcības brīvība paredzēt citādu
datu subjekta informēšanas veidu un nodrošināt godprātīgu un pārredzamu apstrādi salīdzinājumā ar datu pārziņa individuāli sniegto informāciju. Ar šo atšķirīgo tiesisko risinājumu joprojām ir jāsasniedz tas pats rezultāts. Tiesību aktā, ar kura prasībām tiek aizstāts pārziņiem uzliktais informēšanas pienākums, jānodrošina datu subjekta iespēja īstenot kontroli pār saviem datiem, kā arī īstenot savas VDAR noteiktās tiesības (
24
).
44.
Interpretējot 14. panta 5. punkta c) apakšpunktu tādējādi, ka no tā piemērošanas jomas tiek izslēgta datu pārziņa veiktā datu ģenerēšana, dalībvalstīm paredzētā rīcības brīvība tiktu ierobežota, pamatojoties uz iemeslu, kas nešķiet atbilstošs datu subjekta leģitīmo interešu aizsardzībai.
45.
Turklāt atšķirīga interpretācija, kas radītu izņēmumu no 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes, kad datus ir ģenerējis pārzinis, ietvertu risku radīt datu subjektam papildu sarežģītības līmeni. Datu subjektam ir jābūt iespējai zināt, no kura avota tas saņems informāciju par savu datu apstrādi, ja šie dati nav iegūti no paša datu subjekta. Attiecīgajam tiesiskajam regulējumam jānodrošina datu subjektam paredzama datu apstrāde visās šādās situācijās (
25
).
46.
No iepriekš minētā izriet, ka VDAR 14. panta 5. punkta c) apakšpunkts jāinterpretē tādējādi, ka atkāpe no datu pārziņa pienākuma sniegt informāciju datu subjektam ir attiecināma uz visiem datiem, kurus pārzinis nav ieguvis no datu subjekta. Šajā ziņā nav nozīmes, vai tie ir dati, kas tiešā veidā iegūti no citas struktūras, vai arī tie ir ģenerēti paša pārziņa īstenotā procedūrā.
C.
Par otro jautājumu
47.
Ar otro jautājumu iesniedzējtiesa VDAR 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes piemērošanas nolūkā būtībā vēlas noskaidrot, vai VDAR 77. panta 1. punkts jāinterpretē tādējādi, ka saistībā ar sūdzības procedūru uzraudzības iestādei ir tiesības pārbaudīt, vai pārzinim piemērojamajos dalībvalsts tiesību aktos ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai.
48.
Šajā ziņā jāatgādina, ka, pirmkārt, saskaņā ar VDAR 77. panta 1. punktu katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, ja tas uzskata, ka ar viņa personas datu apstrādi ir pārkāpta šī regula (
26
).
49.
Otrkārt, šīs regulas 55. panta 1. punkts noteic, ka katra uzraudzības iestāde savas dalībvalsts teritorijā ir kompetenta pildīt uzticētos uzdevumus un īstenot pilnvaras, ko tai piešķir saskaņā ar šo regulu (
27
). Turklāt saskaņā ar VDAR 57. panta 1. punkta a) apakšpunktu valsts uzraudzības iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību un izpildi.
50.
Abos iepriekšējos punktos minētās tiesību normas neizslēdz no valsts uzraudzības iestāžu kompetences jomas VDAR 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes piemērošanas nosacījumus.
51.
Līdz ar to, kā apgalvo Ungārijas valdība un Komisija, būtībā saistībā ar sūdzību, kas iesniegta saskaņā ar VDAR 77. panta 1. punktu, uzraudzības iestādēm ir piešķirtas pilnvaras pārbaudīt, vai ir izpildīti visi
nosacījumi, kas paredzēti 14. panta 5. punkta c) apakšpunktā. Kā izriet no 14. panta 5. punkta pirmā teikuma, visas tajā paredzētās atkāpes piemēro, “ja un ciktāl” ir izpildīti tajā paredzētie nosacījumi.
52.
Šajā ziņā uzraudzības iestādēm būtu jābūt pilnvarām konkrētāk pārbaudīt, pirmkārt, vai tiesību akts tieši attiecas uz datu pārzini un vai datu iegūšana vai izpaušana datu pārzinim ir obligāta (
28
). Otrkārt, uzraudzības iestādēm jāspēj pārbaudīt, vai tiesību aktos, uz kuriem pamatojas pārzinis, ir paredzēti “atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai” un vai datu pārzinis spēj pierādīt, ka personas datu iegūšana vai izpaušana atbilst šiem pasākumiem (
29
).
53.
Ungārijas uzraudzības iestāde apgalvo, ka, izskatot jautājumu par to, vai valsts tiesību aktos ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai, tiktu pārsniegti tās uzdevumi un pilnvaras, kas paredzēti attiecīgi VDAR 57. un 58. pantā. Minētā iestāde uzskata, ka uzraudzības iestādēm šajās tiesību normās nav piešķirtas korektīvas pilnvaras attiecībā uz valsts tiesību aktiem un ka šādas pilnvaras nav iespējams īstenot attiecībā uz pārzini, kas ir vienīgi ievērojis valsts tiesisko regulējumu.
54.
Šajā ziņā jānorāda, ka valsts uzraudzības iestādes veiktā pārbaude par to, vai ir izpildītas visas 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes piemērošanas prasības, neietver, kā pamatoti norādīja Komisija, valsts tiesību aktu spēkā esamības pārbaudi. Uzraudzības iestāde izvērtē tikai to, vai datu pārzinis ir tiesīgs izmantot atkāpi attiecībā uz konkrētu datu subjektu konkrētā situācijā.
55.
Tādējādi valsts uzraudzības iestādei jāizvērtē datu subjekta sūdzība, ka datu pārzinis nebūtu jāatbrīvo no informēšanas pienākuma, pamatojoties uz to, ka attiecīgajā tiesiskajā regulējumā nav paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai.
56.
Gadījumā, ja valsts uzraudzības iestāde secina, ka sūdzība nav pamatota, personai, kas to iesniegusi un kas apstrīd šo konstatējumu – kā izriet no VDAR 78. panta –, jābūt pieejamiem tiesību aizsardzības līdzekļiem, kuri sniedz iespēju apstrīdēt šādu lēmumu valsts tiesās.
57.
Ja valsts uzraudzības iestāde uzskata, ka sūdzība ir pamatota un atkāpes piemērošanas nosacījumi nav izpildīti, tai ir tiesības – kā to būtībā apgalvo Ungārijas valdība un Komisija – uzdot pārzinim izpildīt datu subjekta lūgumu. Šādā situācijā pārzinim ir jāsniedz informācija saskaņā ar 14. panta 1.–4. punktu.
58.
Atbildot uz Tiesas rakstveida jautājumiem, Čehijas valdība apgalvoja, ka datu subjekta leģitīmo interešu aizsardzības pasākumu atbilstīguma pārbaude neesot iespējama, ja valsts tiesību aktos konkrētajā situācijā ir paredzēts konkrēts izņēmums no informēšanas pienākuma. Minētā valdība, pamatodamās uz spriedumu Schrems (
30
), būtībā norāda, ka viena tiesību avota saderības ar citu tiesību avotu pārbaude ir vienīgi tiesu, nevis administratīvās iestādes kompetencē.
59.
Šajā ziņā jāatgādina, ka viens no galvenajiem lietā Schrems izvirzītajiem jautājumiem attiecās uz valsts uzraudzības iestāžu pilnvarām izskatīt personas prasību par tās tiesību un brīvību aizsardzību saistībā ar Komisijas lēmumu par to, ka trešā valsts nodrošina pienācīgu aizsardzības līmeni (
31
). Tiesa būtībā nosprieda, ka, izskatot šādu prasību, valsts uzraudzības iestādes pašas nav tiesīgas konstatēt šāda lēmuma spēkā neesamību (
32
). Ja valsts uzraudzības iestāde par pamatotām atzīst iebildes, ko izvirzījusi persona, kura iesniegusi prasību, šai pašai iestādei jāvar iesaistīties tiesvedībā (
33
).
60.
Tomēr nešķiet, ka spriedumam Schrems ir tieša nozīme attiecībā uz jautājumu par uzraudzības iestāžu pilnvarām saistībā ar VDAR 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes pārbaudi. Vispirms jānorāda, ka saistībā ar šo pārbaudi uzraudzības iestāde neietekmē datu pārziņa juridisko pienākumu iegūt vai izpaust personas datus. Citiem vārdiem – uzraudzības iestāde neuzliek pārzinim pienākumu neievērot tiesību aktos noteikto prasību saistībā ar datu iegūšanu vai izpaušanu, kas datu pārzinim joprojām ir saistoša. Kā apgalvoja Komisija un Ungārijas valdība, būtībā šādā situācijā valsts uzraudzības iestādes pilnvarās ietilpst uzdot pārzinim sniegt nepieciešamo informāciju paziņojumā par privātumu (
34
), ja nav izpildīti nosacījumi attiecīgās atkāpes piemērošanai. Šāds rīkojums, kā norādīts iepriekš, neietekmē pārzinim piemērojamā tiesību akta spēkā esamību.
61.
Uzraudzības iestādes pilnvaras uzdot pārzinim sniegt informāciju neskar šīs iestādes pilnvaras iesaistīties tiesvedībā, kādas šajā ziņā paredzētas attiecīgajā tiesiskajā regulējumā atbilstoši VDAR 58. panta 5. punktam, ja tā uzskata, ka valsts tiesību norma ir spēkā neesoša.
62.
Visbeidzot, kā apgalvo visas ieinteresētās personas, sistēmiski uzraudzības iestādei ir pilnvaras ieteikt likumdevējam vai izpildvarai izdarīt grozījumus attiecīgajā tiesību aktā, ja tā uzskata, ka tajā nav paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai. Šajā ziņā jāatgādina, ka saskaņā ar VDAR 57. panta 1. punkta c) apakšpunktu uzraudzības iestādēm ir pienākums konsultēt valsts parlamentu, valdību un citas iestādes un struktūras. Tām piemīt arī VDAR 58. panta 3. punkta b) apakšpunktā noteiktās padomdevēja pilnvaras.
63.
No iepriekš minētā izriet, ka VDAR 77. panta 1. punkts jāinterpretē tādējādi, ka saistībā ar pārsūdzības procedūru uzraudzības iestādei ir tiesības pārbaudīt, vai ir izpildīti visi šīs regulas 14. panta 5. punkta c) apakšpunktā paredzētie nosacījumi. It īpaši tai ir tiesības pārbaudīt, vai dalībvalsts tiesību aktos, kas piemērojami pārzinim, ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai.
D.
Par trešo jautājumu
64.
Ar trešo jautājumu iesniedzējtiesa būtībā vēlas noskaidrot, vai VDAR 14. panta 5. punkta c) apakšpunkts jāinterpretē tādējādi, ka šajā tiesību normā minētie “atbilstošie pasākumi” nozīmē to, ka valsts likumdevējam jāpārņem VDAR 32. pantā paredzētie personas datu drošības pasākumi.
65.
Šajā ziņā jāatgādina, ka, no vienas puses, atkāpes no pienākuma sniegt informāciju saskaņā ar VDAR 14. panta 5. punkta c) apakšpunktu piemērojamība ir atkarīga no “atbilstošu pasākumu” nodrošināšanas datu subjekta leģitīmo interešu aizsardzībai. No otras puses, no VDAR 32. panta izriet, ka pārzinim un apstrādātājam jāīsteno “atbilstīgi tehniskie un organizatoriskie pasākumi”, lai nodrošinātu apstrādes drošību.
66.
Tomēr, kā apgalvo Komisija, 14. un 32. pantam ir atšķirīga piemērošanas joma. Jēdziena “atbilstoši pasākumi” tvērums jāizvērtē saistībā ar VDAR 14. pantu. Tāpēc viens no 14. panta 5. punkta c) apakšpunktā paredzētās atkāpes piemērošanas nosacījumiem nevar tikt noteikts, pārņemot citā tiesību normā izmantoto jēdzienu “atbilstīgi tehniski un organizatoriski pasākumi”. Turklāt VDAR 32. panta kontekstā nav nozīmes, vai informāciju sniedz pārzinis, vai arī tās iegūšana vai izpaušana ir noteikta tiesību aktos. Attiecīgi uzraudzības iestādes veiktās pārbaudes priekšmets jāierobežo ar 14. panta piemērošanas jomu.
67.
VDAR 14. panta 5. punkta c) apakšpunktā nav konkretizēts precīzs jēdziena “atbilstoši pasākumi” saturs. Tas ir pietiekami plašs, lai aptvertu jebkuru pasākumu, ko likumdevējs uzskata par vajadzīgu un atbilstošu. Kā apgalvo Komisija, būtībā jēdziens “atbilstoši pasākumi” jāinterpretē, ņemot vērā pārredzamības principu, kas noteikts VDAR 5. panta 1. punkta a) apakšpunktā. Šajā ziņā ir svarīgi ņemt vērā, ka ar attiecīgo tiesisko regulējumu, kā norādīts šo secinājumu ievada apsvērumos (
35
), “tiek aizstāts” informēšanas pienākums, kas parasti ir uzlikts pārzinim. Likumdevējam ir jāveic atbilstoši pasākumi, piemēram, atkarībā no iegūto datu kategorijas un konteksta, kādā notiek apstrāde.
68.
Čehijas valdība, atbildot uz Tiesas uzdoto rakstveida jautājumu, norādīja, ka atbilstošu pasākumu jēdziena tvērums ir plašāks nekā VDAR 14. panta 1., 2. un 4. punktā ietvertais informācijas saraksts.
69.
Piekrītu, ka pasākumu atbilstīgumu nevar novērtēt, tikai “mehāniski” salīdzinot tos ar VDAR saskaņotajiem pārziņa informēšanas pienākumiem. Šķiet, nebūtu nozīmes paredzēt “atvērējklauzulu” 14. panta 5. punkta c) apakšpunktā (
36
), vienlaikus nosakot tieši tādus pašus pienākumus un neatstājot likumdevējam nekādu rīcības brīvību. Tomēr attiecīgajam tiesiskajam regulējumam jāsniedz godprātīgas un pārredzamas apstrādes standarts, kas līdzvērtīgs 14. panta 1.–4. punktā noteiktajam standartam (
37
). Lai datu subjekts varētu novērtēt jebkādu ar datu iegūšanu un to apstrādi saistīto risku (
38
), tam, kas un kādā nolūkā un kādā veidā apstrādā datus (
39
), jātop skaidram, vienkārši izlasot attiecīgo tiesību normu. Kā jau iepriekš norādīju (
40
), ar atšķirīgo tiesisko risinājumu jāsasniedz tas pats rezultāts, proti, jānodrošina datu subjektam iespēja īstenot kontroli pār saviem datiem, kā arī īstenot savas VDAR noteiktās tiesības.
70.
Konkrētais apstrādes juridiskais pamats ietekmē arī “atbilstošu pasākumu” noteikšanu attiecībā uz īpašiem apstrādes apstākļiem. Šajā ziņā jāatgādina, ka no VDAR 6. panta 1. punkta c) un e) apakšpunkta izriet, ka apstrāde ir likumīga tādā apmērā un tad, ja apstrāde ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu, un ja apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs. Saskaņā ar 6. panta 2. punktu attiecībā uz šādu apstrādi dalībvalstis var paturēt spēkā vai ieviest konkrētākus noteikumus, lai VDAR noteikumu piemērošanu pielāgotu attiecībā uz apstrādi, nosakot precīzāk konkrētas prasības apstrādei un veicot citus pasākumus likumīgas un godprātīgas apstrādes nodrošināšanai (
41
). Turklāt saskaņā ar VDAR 9. panta 2. punkta i) apakšpunktu, ja apstrāde ir vajadzīga sabiedrības interešu dēļ sabiedrības veselības jomā, dalībvalsts (vai Savienības) tiesību aktiem jāparedz atbilstoši un konkrēti pasākumi datu subjekta tiesību un brīvību aizsardzībai.
71.
Pamatlietā datu iegūšana tika noteikta ar Dekrētu Nr. 60/2021, kas, kā izriet no lietas materiāliem, tika pieņemts, pamatojoties uz VDAR 6. panta 1. punkta c) un e) apakšpunktu un 9. panta 2. punkta i) apakšpunktu. Ungārijas valdība apgalvo, ka – neskaitot Dekrētā Nr. 60/2021 noteiktās vispārējās garantijas, kuras piemērojamas saskaņā ar tiesisko regulējumu, kas pieņemts nolūkā nodrošināt apstrādes likumību, – ir paredzētas arī papildu garantijas. Šajā ziņā minētā valdība norādīja, ka viena no šīm garantijām paredz to, ka šajā dekrētā norādītie apakšuzņēmēji pieder valstij un tiem jāievēro tiesiskais regulējums par datu drošību, kas piemērojams valsts iestādēm un vietējām pašvaldībām. Šie apgalvojumi jāizvērtē iesniedzējtiesai un jānosaka, vai, ņemot vērā iepriekš minētos apsvērumus, valsts tiesiskajā regulējumā ir ietverti atbilstīgi pasākumi.
72.
Ņemot vērā iepriekš minēto, uzskatu, ka VDAR 14. panta 5. punkta c) apakšpunkts jāinterpretē tādējādi, ka šajā tiesību normā minētie “atbilstošie pasākumi” neprasa, lai valsts likumdevējs pārņemtu šīs regulas 32. pantā paredzētos pasākumus attiecībā uz datu drošību.
V. Secinājumi
73.
Ņemot vērā visus minētos apsvērumus, ierosinu Tiesai atbildēt uz Kúria (Augstākā tiesa, Ungārija) uzdotajiem prejudiciālajiem jautājumiem šādi:
1)
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 14. panta 5. punkta c) apakšpunkts
jāinterpretē tādējādi, ka atkāpe no datu pārziņa pienākuma sniegt informāciju datu subjektam ir attiecināma uz visiem datiem, kurus pārzinis nav ieguvis no datu subjekta. Šajā ziņā nav nozīmes, vai tie ir dati, kas tiešā veidā iegūti no citas struktūras, vai arī tie ir ģenerēti paša pārziņa īstenotā procedūrā.
2)
Regulas 2016/679 77. panta 1. punkts
jāinterpretē tādējādi, ka saistībā ar pārsūdzības procedūru uzraudzības iestādei ir tiesības pārbaudīt, vai ir izpildīti visi šīs regulas 14. panta 5. punkta c) apakšpunktā paredzētie nosacījumi. It īpaši tai ir tiesības pārbaudīt, vai dalībvalsts tiesību aktos, kas piemērojami pārzinim, ir paredzēti atbilstoši pasākumi datu subjekta leģitīmo interešu aizsardzībai.
3)
Regulas 2016/679 14 panta 5. punkta c) apakšpunkts
jāinterpretē tādējādi, ka šajā tiesību normā minētie “atbilstošie pasākumi” neprasa, lai valsts likumdevējs pārņemtu šīs regulas 32. pantā paredzētos pasākumus attiecībā uz datu drošību.
(
1
)	Oriģinālvaloda – angļu.
(
i
)	Šīs lietas nosaukums ir izdomāts. Tas neatbilst neviena lietas dalībnieka reālajam personvārdam vai nosaukumam.
(
2
)	Ģenerāladvokāta P. Krusa Viljalona secinājumi lietā Bara u.c. (C‑201/14, EU:C:2015:461, 74. punkts) (mans izcēlums).
(
3
)	Vrabec, U., H. Data Subject Rights under the GDPR, Oksforda, Oxford University Press, 2021, 64. lpp.
(
4
)	Eiropas Parlamenta un Padomes Regula (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp., turpmāk tekstā – “VDAR”).
(
5
)	Skat. 29. panta Datu aizsardzības darba grupas dokumentu “Pamatnostādnes par pārredzamību saskaņā ar Regulu 2016/679”, pieņemts 2017. gada 29. novembrī, 17/EN WP260 rev. 01 (turpmāk tekstā – “Pamatnostādnes par pārredzamību”), 4. punkts. Šī darba grupa tika aizstāta ar Eiropas Datu aizsardzības kolēģiju (turpmāk tekstā – “EDAK”). Tomēr Pamatnostādnes par pārredzamību joprojām ir spēkā. Skat. arī EDAK dokumentu “Pamatnostādnes 03/2020 par veselības datu apstrādi zinātniskās pētniecības nolūkos saistībā ar Covid‑19 uzliesmojumu”, pieņemts 2020. gada 21. aprīlī, 5.1.2.4. punkts.
(
6
)	Spriedums, 2015. gada 1. oktobris, Bara u.c. (C‑201/14, EU:C:2015:638, 33. punkts), citējot ģenerāladvokāta P. Krusa Viljalona secinājumus šajā lietā.
(
7
)	Pamatnostādnes par pārredzamību, 24. punkts. Skat. arī Vrabec, U., H. Data Subject Rights under the GDPR, minēts šo secinājumu 3. zemsvītras piezīmē, 84. lpp.
(
8
)	Skat. Zanfir-Fortuna, G. “Article 14. Information to be provided where personal data have not been obtained from the data subject”, no: Kuner, C., Bygrave, L. A. un Docksey, C. (izd.), The EU General Data Protection Regulation (GDPR), A Commentary, Oksforda, Oxford University Press, 2020, 435\.–448. lpp., 436. lpp.
(
9
)	Turpat, 444. lpp.
(
10
)	Vrabec, U., H. Data Subject Rights under the GDPR, minēts šo secinājumu 3. zemsvītras piezīmē, 68. lpp.
(
11
)	Ja apstrāde pamatojas uz VDAR 6. panta 1. punkta f) apakšpunktu.
(
12
)	Kā tiesību norma, kurā ietverta atvērējklauzula, tā paver iespēju dalībvalstīm papildus paredzēt stingrākus vai atkāpes paredzošus noteikumus, kā arī dod tām rīcības brīvību lemt par to, kādā veidā šīs tiesību normas var tikt īstenotas (šajā nozīmē skat. spriedumu, 2023. gada 30. marts, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, 51. punkts). Skat. Knyrim, R. “IV. Ausnahme von der Informationspflicht”, no: Ehmann, E. un Selmayr, M. Datenschutz Grundverordnung, DS – GVO, Beck, Minhene, 2. izd., 2018, 14. pants, 42.–48. punkts, 47. punkts.
(
13
)	Proti, bulgāru, dāņu, vācu, grieķu, spāņu, itāļu, latviešu, poļu, slovāku un zviedru valodu versijās.
(
14
)	Tas tā ir it īpaši attiecībā uz igauņu (“isikuandmed”), lietuviešu (“duomenų”), ungāru (“adat”), holandiešu (“gegeven”’), portugāļu (“dados”), rumāņu (“datelor”) un somu (“tietojen”) valodu versijām.
(
15
)	Doktrīnā franču valodā ir norādīts, ka franču valodas versijā bija jānorāda vārds “dati”, nevis “informācija”, kā tas bija saskaņā ar VDAR 14. panta 5. punkta c) apakšpunkta priekšgājēju, proti, Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.) 11. panta 2. punktu (skat. de Terwangne, C. un Rosier, K. “Section 1. – Droit d’être informée de l’existence de traitements la concernant”, no: Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Brisele, 1. izd., 2018, 409\.–432. lpp., 132. zemsvītras piezīme).
(
16
)	Šajā nozīmē skat. spriedumu, 2024. gada 21. marts, Cobult (C‑76/23, EU:C:2024:253, 25. punkts un tajā minētā judikatūra).
(
17
)	Šajā nozīmē skat. spriedumu, 2023. gada 5. oktobris, Ministerstvo zdravotnictví (Covid‑19 mobilā lietotne) (C‑659/22, EU:C:2023:745, 27. punkts).
(
18
)	Ebner, K. “6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Bādenbādene, 2022, 272\.–298. lpp., 280. lpp. Minētais autors arī norāda (281. lpp.), ka pārziņa atbrīvošanas no pienākuma sniegt informāciju situācijā, kas paredzēta 14. panta 5. punkta c) apakšpunktā, mērķis ir novērst informācijas “noguruma” vai informācijas “pārslodzes” risku. Dix, A. “DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)”, no: Simitis, S. Hornung, G. un Spiecker, I. Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, Minhene, 2019, 27. un 28. punkts, 27. punkts, kurā ir norāde uz attiecīgo tiesisko regulējumu kā prasītās informācijas, ko sniedz pārzinis, “pietiekamu aizstājēju” (“hinreichendes Surrogat”).
(
19
)	Dix, A., minēts šo secinājumu 18. zemsvītras piezīmē.
(
20
)	Pamatnostādnes par pārredzamību, 66. punkts. Attiecīgi datu pārziņiem ir jāspēj parādīt, kā konkrētais tiesību akts ir tiem piemērojams un paredz tiem prasību iegūt vai arī izpaust attiecīgos personas datus.
(
21
)	Skat. šo secinājumu 16. punktu.
(
22
)	Spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:958, 48. punkts un tajā minētā judikatūra).
(
23
)	Skat. šo secinājumu 31. punktu.
(
24
)	Skat. šo secinājumu 23. punktu.
(
25
)	Dix, A., no: Simitis, S., Hornung, G. un Spiecker, I., minēts šo secinājumu 18. zemsvītras piezīmē, un Ebner, K. “6. Ausschluss der Informationspflicht”, minēts šo secinājumu 18. zemsvītras piezīmē, 281. lpp.
(
26
)	Spriedums, 2024. gada 16. janvāris, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, 61. punkts).
(
27
)	Turpat.
(
28
)	Skat. Pamatnostādnes par pārredzamību, 66. punkts.
(
29
)	Turpat.
(
30
)	Spriedums, 2015. gada 6. oktobris, Schrems (C‑362/14, EU:C:2015:650, 65. punkts).
(
31
)	Pieņemts saskaņā ar Direktīvas 95/46 25. panta 6. punktu.
(
32
)	Šajā nozīmē skat. spriedumu, 2015. gada 6. oktobris, Schrems (C‑362/14, EU:C:2015:650, 62. punkts).
(
33
)	Turpat, 65. punkts.
(
34
)	Tas neskar nekādus tiesību uz informāciju ierobežojumus, ko var piemērot Savienība vai noteikt dalībvalstu tiesību aktos, pamatojoties uz kādu no VDAR 23. pantā paredzētajiem nosacījumiem.
(
35
)	Šo secinājumu 31. punkts.
(
36
)	Skat. šo secinājumu 27. punktu.
(
37
)	Šajā nozīmē skat. Ebner K. “6. Ausschluss der Informationspflicht”, minēts šo secinājumu 18. zemsvītras piezīmē, 281. lpp., kas norāda uz salīdzināmu aizsardzības līmeni (“vergleichbares Schutzniveau”), Mester, B.–A. “DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, no: Taeger, J. un Gabel, D. DSGVO – BDSG – TTDSG, Minhene, Beck, 2022, 26. punkts; Paal, B. un Hennemann, M. “DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, no: Paal, B. un Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, Minhene_2021, 42. punkts.
(
38
)	Mester, B.–A., no: Taeger, J. un Gabel, D., minēts šo secinājumu 37. zemsvītras piezīmē.
(
39
)	Ebner, K. “6. Ausschluss der Informationspflicht”, minēts šo secinājumu 18. zemsvītras piezīmē, 281. lpp.
(
40
)	Šo secinājumu 43. punkts.
(
41
)	Šīs konkrētās normas var ietvert VDAR 6. panta 3. punktā minētos elementus, tostarp vispārējus nosacījumus, kas reglamentē apstrādes likumību, apstrādājamo datu veidus, vienības, kurām personas dati var tikt izpausti, un mērķus, kādiem tie var tikt izpausti, apstrādes nolūka ierobežojumus, glabāšanas termiņus un apstrādes darbības un apstrādes procedūras, tostarp pasākumus, lai nodrošinātu likumīgu un godprātīgu apstrādi, piemēram, citās konkrētās datu apstrādes situācijās, kas paredzētas IX nodaļā.