Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL RIMVYDAS NORKUS
prezentate la 16 aprilie 2026(1)
Cauza C‑205/25
Joachim Lindenberg
împotriva
Bayerisches Landesamt für Datenschutzaufsicht
[cerere de decizie preliminară formulată de Bayerisches Verwaltungsgericht Ansbach (Tribunalul Administrativ Bavarez din Ansbach, Germania)]
„ Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 15 – Cerere de acces a persoanei vizate la datele sale cu caracter personal – Articolul 77 – Date cuprinse în dosarul unei autorități de supraveghere care intervine în cadrul unei proceduri de plângere – Articolul 4 punctul 7 – Noțiunea de «operator» – Articolul 23 – Restricții privind dreptul de acces – Reglementare națională care exclude orice acces la dosar ”
I.      Introducere
1.        Prezenta cerere de decizie preliminară formulată de Bayerisches Verwaltungsgericht Ansbach (Tribunalul Administrativ Bavarez din Ansbach, Germania) în temeiul articolului 267 TFUE are ca obiect interpretarea articolului 4 punctele 7 și 21 și a articolelor 15, 23 și 77 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)(2) (denumit în continuare „RGPD”).
2.        Această cerere de decizie preliminară se înscrie în cadrul unui litigiu între domnul Joachim Lindenberg, jurnalist specializat în protecția datelor, pe de o parte, și Bayerisches Landesamt für Datenschutzaufsicht (Autoritatea bavareză de Supraveghere a Protecției Datelor, Germania) (denumită în continuare „Landesamt”), pe de altă parte, în legătură cu refuzul acestei autorități de a‑i acorda, în temeiul articolului 15 din RGPD, un acces complet la dosarul său în cadrul unei proceduri inițiate în urma unei plângeri pe care a formulat‑o împotriva unui terț. Landesamt a motivat acest refuz printr‑o dispoziție bavareză care excludea accesul public la dosarele autorităților de supraveghere. În urma acțiunii introduse de domnul Lindenberg, această autoritate a acordat în cele din urmă acces electronic la dosar, fără a recunoaște însă vreo eroare juridică, în timp ce reclamantul continuă să solicite constatarea nelegalității refuzului inițial. Apreciind că soluționarea litigiului presupune o interpretare a dispozițiilor relevante din RGPD, precum și o examinare a conformității legislației bavareze cu dreptul Uniunii, instanța de trimitere a hotărât să suspende judecarea cauzei și să adreseze Curții două întrebări preliminare.
3.        Curtea este chemată să se pronunțe cu privire la aspectul dacă o autoritate de supraveghere în materie de protecție a datelor, în cadrul unei proceduri de plângere inițiate în temeiul articolului 77 din RGPD, poate fi calificată drept „operator” în sensul articolului 4 punctul 7 din RGPD și în ce măsură aceasta este obligată să respecte obligațiile de acces prevăzute la articolul 15 din RGPD. Curții i se solicită
în special să examineze dacă dreptul Uniunii se opune unei reglementări naționale care exclude orice drept de acces la dosar al persoanelor vizate. Această apreciere va trebui efectuată în lumina articolului 23 din RGPD, care autorizează, pentru anumite motive de interes general, restrângerea obligațiilor de acces prevăzute de regulamentul amintit, precum și în lumina articolului 8 alineatul (2) din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), care garantează oricărei persoane dreptul de acces la datele colectate care o privesc. În această privință, Curtea va trebui să evalueze comparativ, pe de o parte, cerința transparenței acțiunii administrative și, pe de altă parte, necesitatea de a garanta eficacitatea investigațiilor în materie de protecție a datelor.
II.    Cadrul juridic
A.      Dreptul Uniunii
4.        Sunt relevante în cadrul prezentei cauze articolele 8 și 52 din cartă, articolul 16 TFUE, precum și articolul 4 punctele 1, 2, 7 și 9 și articolele 5, 15, 23, 51, 57, 58 și 77 din RGPD.
B.      Dreptul german
5.        În temeiul articolului 18 din Bayerisches Datenschutzgesetz (Legea bavareză privind protecția datelor, denumită în continuare „BayDSG”), Landesamt este o autoritate de supraveghere pentru organismele care nu sunt publice.
6.        Articolul 20 din BayDSG prevede:
„(1)      Orice persoană se poate adresa autorităților de supraveghere pentru a susține că drepturile sale au fost încălcate cu ocazia prelucrării datelor cu caracter personal care o privesc. Sesizarea autorităților de supraveghere nu trebuie să aducă prejudicii persoanei vizate.
(2)      Nu există niciun drept de acces sau de consultare a dosarelor și a evidențelor autorităților de supraveghere.”
7.        În expunerea de motive a legii,
cu privire la articolul 20 alineatul (2) din BayDSG se arată că această dispoziție se aplică și exclude orice drept de acces în temeiul articolului 15 din RGPD atunci când un astfel de drept este invocat față de Landesamt în ceea ce privește dosarele și evidențele acesteia din urmă.
III. Situația de fapt aflată la originea litigiului principal, procedura principală și întrebările preliminare
8.        Domnul Lindenberg este jurnalist și administrează un blog care se ocupă, printre altele, de protecția datelor. Începând din anul 2021, el a inițiat mai multe proceduri de plângere la Landesamt.
9.        În urma unei plângeri privind protecția datelor depuse la 13 mai 2022 de domnul Lindenberg la Landesamt, aceasta din urmă a inițiat o procedură de supraveghere împotriva unui terț. Printr‑un
e‑mail din 11 octombrie 2022, Landesamt l‑a informat pe domnul Lindenberg că a constatat încălcări ale protecției datelor săvârșite de persoana vizată de plângere. Aceasta a adăugat că, după expirarea termenului acordat pentru remedierea încălcărilor respective, persoanei vizate de plângere i se va aplica o amendă în cazul unor noi încălcări. Printr‑un e‑mail din aceeași zi, domnul Lindenberg a solicitat comunicarea unor detalii suplimentare privind măsurile luate de Landesamt. Întrucât
respectiva autoritate nu a dat curs acestei
cereri, printr‑un
e‑mail din 11 octombrie 2022 domnul Lindenberg a solicitat un acces complet în temeiul articolului 15 alineatele (1) și (3) din RGPD.
10.      Printr‑un
e‑mail și o decizie din 20 octombrie 2022, Landesamt a respins cererea de acces în temeiul articolului 15 alineatele (1) și (3) din RGPD. Landesamt a motivat acest refuz arătând că dispoziția expresă prevăzută la articolul 20 alineatul (2) din BayDSG exclude dreptul de acces și de consultare a dosarelor și a evidențelor autorităților de supraveghere.
11.      Domnul Lindenberg a introdus o acțiune împotriva acestei decizii la Bayerisches Verwaltungsgericht Ansbach (Tribunalul Administrativ Bavarez din Ansbach), solicitând obligarea Landesamt să îi furnizeze o copie a tuturor datelor din dosarul aferent procedurii de plângere inițiate la 13 mai 2022.
12.      La 23 februarie 2024, Landesamt a acordat acces electronic la dosarul procedurii de supraveghere introduse prin plângerea domnului Lindenberg, fără a recunoaște însă o obligație legală în această privință.
13.      În prezent, domnul Lindenberg solicită doar constatarea nelegalității deciziei
Landesamt din 20 octombrie 2022 de respingere a cererii acestuia de acces la informații.
14.      Instanța de trimitere arată că, atunci când un reclamant precum domnul Lindenberg inițiază în temeiul articolului 77 din RGPD o procedură de plângere la o autoritate de supraveghere a protecției datelor precum Landesamt, această autoritate acționează față de reclamant în calitate de autoritate de supraveghere, în sensul articolului 4 punctul 21 din RGPD. Potrivit anumitor opinii, inclusiv celei a Landesamt,
acest lucru exclude faptul că autoritatea de supraveghere a protecției datelor este, în raport cu reclamantul, un „operator” în sensul articolului 15 din RGPD coroborat cu articolul 4 punctul 7 din RGPD și, în consecință, dreptul de acces al reclamantului la date cu caracter personal rezultate din procedura de plângere împotriva autorității de supraveghere a protecției datelor este exclus ab initio.
15.      Instanța de trimitere pornește în schimb de la principiul că o autoritate de supraveghere a protecției datelor poate fi în același timp autoritate de supraveghere în sensul articolului 4 punctul 21 din RGPD, dar și operator și persoană împotriva căreia s‑a introdus o plângere în sensul articolului 15 coroborat cu articolul 4 punctul 7 din RGPD.
16.      Instanța de trimitere apreciază că, dacă aceasta este într‑adevăr situația, se ridică problema dacă o simplă excludere a dreptului de acces la dosarele și la evidențele autorității de supraveghere, astfel cum este cea prevăzută la articolul 20 alineatul (2) din BayDSG, îndeplinește condițiile cărora le este subordonată exercitarea posibilității de a prevedea restricții, prevăzută la articolul 23 alineatul (1) din RGPD.
17.      În aceste condiții, Bayerisches Verwaltungsgericht Ansbach (Tribunalul Administrativ Bavarez din Ansbach) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1)      Articolul 15 coroborat cu articolul 4 punctul 7 din [RGPD] trebuie interpretat în sensul că o autoritate de supraveghere în sensul articolului 4 punctul 21 din acest regulament, care acționează în cadrul unei proceduri de plângere inițiate de o persoană vizată în conformitate cu articolul 77 din regulamentul menționat, este totodată «operator» în sensul articolului 15 coroborat cu articolul 4 punctul 7 din același regulament, fiind astfel obligată să furnizeze persoanei vizate acces la date și informații în temeiul articolului 15 din [RGPD]?
2)      În cazul unui răspuns afirmativ la prima întrebare, dreptul Uniunii, în special articolul 23 din [RGPD], trebuie interpretat în sensul că se opune unei reglementări naționale precum articolul 20 alineatul (2) din [BayDSG] potrivit căreia nu există, în general, niciun drept de acces sau de consultare a dosarelor și a evidențelor autorităților de supraveghere în sensul articolului 4 punctul 21 din [RGPD]?”
IV.    Procedura în fața Curții
18.      Decizia de trimitere din data de 19 februarie 2025 a fost primită la grefa Curții la 17 martie 2025.
19.      Landesamt, guvernele bulgar și leton, precum și Comisia Europeană au depus observații scrise în termenul prevăzut la articolul 23 din Statutul Curții de Justiție a Uniunii Europene.
20.      În ședința din 22 ianuarie 2026, mandatarii ad litem ai domnului Lindenberg, ai Landesamt, ai guvernului bulgar, precum și ai Comisiei au prezentat observații.
V.      Analiză juridică
A.      Observații preliminare
21.      Prezenta cauză ridică o chestiune de principiu referitoare la statutul juridic al autorităților de supraveghere în lumina drepturilor recunoscute de RGPD și în special a dreptului de acces garantat la articolul 15 din acesta. Aceasta presupune să se stabilească dacă, atunci când examinează o plângere depusă în temeiul articolului 77 din RGPD, o autoritate de supraveghere poate fi calificată drept „operator” pentru datele prelucrate în acest cadru, în sensul articolului 4 punctul 7 din regulamentul respectiv. Această calificare este determinantă,
întrucât condiționează aplicabilitatea obligațiilor de acces opozabile operatorului și ridică, în sens mai larg, problema echilibrului dintre protecția drepturilor individuale și caracteristicile proprii exercitării atribuțiilor de supraveghere, care se întemeiază pe independența decizională, pe confidențialitatea examinării și pe eficacitatea competențelor de investigare.
22.      În ipoteza în care Curtea ar reține că o autoritate de supraveghere poate fi obligată, în principiu, să respecte articolul 15 din RGPD,
s‑ar ridica atunci o a doua întrebare, de ordin normativ, referitoare la compatibilitatea cu cadrul juridic al Uniunii a unei excluderi generale și absolute a dreptului de acces la dosarele administrative. O astfel de reglementare națională trebuie examinată în lumina cerințelor prevăzute la articolul 23 din RGPD, care încadrează în mod strict restricțiile care pot fi impuse drepturilor pe care le garantează, subordonându‑le respectării unor condiții cumulative privind temeiul juridic, necesitatea, proporționalitatea și apărarea obiectivelor de interes general recunoscute de Uniune. Această analiză impune de asemenea integrarea garanțiilor rezultate din dreptul primar, în special a celor aferente respectării drepturilor fundamentale și efectivității căilor de atac.
23.      Prin urmare, analiza juridică se va structura în două etape succesive. Pe de o parte, va trebui să se stabilească dacă și în ce măsură o autoritate de supraveghere poate fi asimilată unui „operator” în cadrul unei proceduri de plângere, astfel încât să fie ținută de obligațiile de acces consacrate de RGPD(3). Pe de altă parte și numai în cazul unui răspuns afirmativ, va trebui să se aprecieze aspectul dacă o excludere generală, nediferențiată și preventivă a dreptului de acces la dosarele autorităților de supraveghere este compatibilă cu regimul armonizat al RGPD, în lumina cerințelor de transparență administrativă, de protecție a datelor, de independență instituțională și de eficacitate a mecanismelor de control, care trebuie evaluate comparativ fără ca vreuna dintre aceste cerințe să fie golită de conținut(4).
B.      Cu privire la prima întrebare
1.      Cu privire la calificarea unei autorități de supraveghere drept „operator” în temeiul articolului 4 punctul 7 din RGPD
24.      În ceea ce privește eventuala calificare a unei autorități de supraveghere drept „operator”, care face obiectul primei întrebări preliminare, trebuie amintită, cu titlu introductiv, definiția legală a acestei noțiuni, astfel cum este enunțată la articolul 4 punctul 7 din RGPD. Potrivit acestei dispoziții, este considerată „operator” orice „persoană fizică sau juridică, autoritate publică, agenție sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal”. Trebuie amintit în această privință că noțiunea menționată face obiectul unei interpretări largi, potrivit unei jurisprudențe constante a Curții(5).
25.      Este necesar, în primul rând, să se constate că această definiție legală vizează în mod expres „autoritățile publice”. Însuși modul de redactare a articolului 4 punctul 7 din RGPD nu exclude, așadar, nicidecum posibilitatea de a califica o autoritate de supraveghere drept „operator”. Legiuitorul Uniunii a renunțat în mod deliberat să facă distincție între entitățile private și entitățile publice, astfel cum reiese din mai multe considerente care menționează în mod explicit prelucrarea datelor cu caracter personal de către autoritățile publice. De altfel, faptul că o autoritate de supraveghere este definită la articolul 4 punctul 21 din RGPD ca fiind o autoritate publică independentă instituită de un stat membru în temeiul articolului 51 nu poate, având în vedere sfera largă și funcțională conferită de acest regulament noțiunii de „operator”(6), să fie interpretat în sensul că se opune eventualei sale calificări ca atare.
26.      În al doilea rând, trebuie arătat că, atunci când o asemenea autoritate de supraveghere exercită sarcinile care îi sunt conferite în temeiul articolului 77 din RGPD – în special examinarea plângerilor privind eventuale încălcări ale normelor de protecție a datelor – ea însăși este obligată să prelucreze date cu caracter personal. Autoritatea nu se limitează la primirea acestor date; ea le structurează, le analizează, le stochează și le utilizează în cadrul exercitării autonome a competențelor de investigare și de asigurare a respectării legii care îi sunt recunoscute de acest regulament. Astfel de operațiuni intră, în opinia noastră, în domeniul de aplicare al articolului 4 punctul 2 din RGPD, care oferă noțiunii de „prelucrare” o accepțiune largă și neîngrădită de orice context particular, care acoperă toate operațiunile efectuate cu privire la date.
27.      Pentru a susține această analiză, vom expune în considerațiile care urmează, pe de o parte, caracteristicile esențiale ale procedurii de plângere prevăzute la articolul 77 din RGPD și, pe de altă parte, categoriile de date cu caracter personal pe care autoritățile de supraveghere sunt chemate să le prelucreze, în mod regulat și concret, în acest cadru. Respectiva prezentare va permite o mai bună înțelegere a naturii și a întinderii sarcinilor exercitate de autoritățile de supraveghere atunci când acestea instrumentează o asemenea procedură.
a)      Caracteristicile esențiale ale „procedurii de plângere” prevăzute la articolul 77 din RGPD
28.      Procedura de plângere(7) instituită prin articolul 77 din RGPD constituie un mecanism central al sistemului Uniunii destinat să asigure protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal. Ea contribuie la punerea în aplicare operațională a principiului consacrat la articolul 8 alineatul (3) din cartă, potrivit căruia respectarea normelor referitoare la protecția datelor trebuie supusă controlului unei autorități independente. Curtea a subliniat în mod repetat că acest mecanism de control nu are un caracter pur formal, ci urmărește să asigure protecția efectivă și reală a drepturilor fundamentale(8).
29.      Articolul 77 alineatul (1) din RGPD conferă oricărei persoane vizate dreptul de a depune o plângere, fără cerințe formale speciale și fără riscuri de costuri, în special la autoritatea de supraveghere din statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare. În măsura în care acest drept constituie un element esențial al sistemului de protecție instituit prin regulamentul amintit, el nu poate fi interpretat sau aplicat într‑un mod care ar face practic imposibilă sau excesiv de dificilă exercitarea sa(9).
30.      Trebuie subliniat că depunerea unei plângeri nu oferă autorității de supraveghere o simplă posibilitate generală de examinare, ci îi impune obligația concretă de a instrumenta dosarul în mod complet, diligent și imparțial Astfel, din jurisprudența Curții reiese că, în conformitate cu articolul 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată să trateze plângerile depuse pe teritoriul său, să investigheze într‑o măsură adecvată natura acestora și să le soluționeze cu toată diligența necesară(10).
31.      Rezultă că o autoritate de supraveghere nu se poate abține să soluționeze
o plângere pentru motive care țin doar de economia administrativă sau de considerații de oportunitate. De asemenea, acesteia îi este interzis să își reducă intervenția la o mediere informală sau la un rol de simplu facilitator. Dimpotrivă, ea este obligată să examineze pretinsa încălcare în fapt și în drept și, dacă este cazul, să pună efectiv în aplicare competențele corective pe care i le conferă dreptul Uniunii(11).
32.      Competențele enumerate la articolul 58 din RGPD trebuie, potrivit jurisprudenței, să fie interpretate în lumina scopului lor, și anume asigurarea deplinei efectivități a acestui regulament. Curtea a insistat asupra obligației autorităților de supraveghere de a adopta, în cazul unei încălcări constatate, măsurile corective „adecvate și necesare” și de a utiliza toate instrumentele de care ele dispun. Această cerință include acțiunea de aplicare a legii, inacțiunea fiind de natură să compromită efectul util al regulamentului menționat(12).
33.      Articolul 77 alineatul (2) din RGPD impune în plus informarea reclamantului cu privire la evoluția și la rezultatul procedurii. Această obligație este respectată numai în cazul în care răspunsul furnizat permite să se stabilească faptul că plângerea a făcut efectiv obiectul unei examinări în fapt și în drept și conține elementele necesare pentru exercitarea unui control jurisdicțional efectiv. Astfel, procedura nu se poate limita la o decizie pur formală, ci trebuie să conducă la o apreciere detaliată, motivată în mod corespunzător și susceptibilă să fie examinată de instanța sesizată în temeiul articolului 78 alineatul (1) din RGPD. Orice decizie privind plângerea adoptată de o autoritate de supraveghere este, într‑adevăr, supusă unui control jurisdicțional complet(13).
34.      Apreciată în ansamblu, procedura prevăzută la articolul 77 din RGPD nu constituie un simplu act administrativ, ci o cale de atac autonomă, instituită de dreptul Uniunii și care contribuie atât la protecția drepturilor individuale, cât și la apărarea obiectivă a ordinii juridice în materie de protecție a datelor. Curtea recunoaște autorităților de supraveghere statutul de garanți instituționali ai unui sistem de protecție structurală a drepturilor fundamentale, a căror misiune nu se limitează la primirea pasivă a plângerilor, ci implică aplicarea activă a normelor de protecție a datelor.
b)      „Prelucrarea” datelor cu caracter personal de către o autoritate de supraveghere în cadrul unei proceduri de plângere
35.      După ce am amintit caracteristicile esențiale ale procedurii de plângere, trebuie să analizăm în ce măsură activitatea unei autorități de supraveghere constituie o „prelucrare” în sensul articolului 4 punctul 2 din RGPD. Această noțiune este definită ca fiind „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea”.
36.      În această privință, trebuie subliniat că, în cadrul unei proceduri întemeiate pe articolul 77 din RGPD, o autoritate de supraveghere nu se limitează la a primi date. Dimpotrivă, ea efectuează un set de operațiuni autonome și structurate, puse în aplicare în scopul exercitării misiunii sale legale de examinare, de cercetare și de control. Într‑adevăr, prelucrarea începe din momentul depunerii plângerii, care conține date privind reclamantul și, după caz, operatorul vizat sau terți identificabili. Aceste informații – care intră în sfera noțiunii de „date cu caracter personal” în sensul articolului 4 punctul 1 din RGPD – sunt înregistrate, integrate într‑un dosar și stocate în sistemele interne ale autorității de supraveghere, ceea ce implică deja operațiuni materiale și organizatorice care constituie o „prelucrare”(14).
37.      Aceste operațiuni se înscriu în sarcinile pe care articolul 57 alineatul (1) din RGPD le încredințează autorităților de supraveghere, astfel cum sunt expuse în prezentele concluzii. Printre aceste sarcini se numără printre altele examinarea plângerilor [litera (f)], precum și exercitarea competențelor de investigare și de luare a deciziilor [litera (h)]. În îndeplinirea acestor sarcini, autoritățile acționează într‑un cadru de autonomie funcțională și decizională garantat de dreptul Uniunii, autonomie care este exprimată concret în modul în care sunt examinate plângerile și în care sunt exercitate competențele de supraveghere care decurg din acestea.
38.      În cursul procedurii, autoritatea de supraveghere efectuează o examinare factuală și juridică a elementelor care îi sunt prezentate. Ea colectează, organizează, analizează și evaluează datele în raport cu cadrul normativ aplicabil. Alte operațiuni de prelucrare au loc și atunci când aceasta solicită informații suplimentare de la operator – împotriva căruia este îndreptată o plângere și care face obiectul unei investigații – sau atunci când consultă documente suplimentare, ele însele susceptibile să conțină date cu caracter personal. Aceste informații sunt în continuare primite, înregistrate, analizate și stocate de autoritatea de supraveghere. De asemenea corelarea elementelor respective cu eventuale dosare sau informații preexistente poate fi considerată o operațiune de „prelucrare”.
39.      Datele astfel prelucrate sunt utilizate în scopul exercitării autonome a competențelor de investigare și de decizie ale autorității de supraveghere(15). Ele servesc la stabilirea faptelor, la calificarea juridică a acestora, la evaluarea măsurilor corective posibile și, după caz, la adoptarea unor decizii obligatorii sau a unor somații. Acestea sunt de asemenea mobilizate în cadrul comunicărilor procedurale adresate părților, în special cu ocazia informării reclamantului sau a operatorului cu privire la rezultatul procedurii.
40.      Din toate aceste elemente rezultă că autoritatea de supraveghere nu poate fi considerată un simplu „destinatar” al datelor în sensul articolului 4 punctul 9 din RGPD. Din moment ce decide în mod autonom cu privire la modalitățile de colectare, de analiză, de organizare și de utilizare a acestor date în scopul exercitării sarcinilor care îi sunt încredințate în mod legal, ea acționează ca un operator care efectuează o „prelucrare” în sensul complet al articolului 4 punctul 2 din RGPD. Acest aspect necesită o examinare mai detaliată în secțiunea următoare.
2.      Cu privire la posibilitatea autorității de supraveghere de a „stabil[i] scopurile și mijloacele prelucrării”
41.      Pentru ca o autoritate de supraveghere să poată fi calificată drept „operator” în sensul articolului 4 punctul 7 din RGPD, ar mai trebui ca aceasta să fie învestită cu competența de a stabili scopurile și mijloacele prelucrării datelor cu caracter personal.
42.      Astfel cum s‑a menționat anterior, rolul autorității de supraveghere în cadrul unei proceduri de plângere întemeiate pe articolul 77 din RGPD nu se limitează la simpla primire pasivă de informații. În realitate, ea stabilește scopul prelucrării, în măsura în care decide că datele vor fi utilizate pentru examinarea unei eventuale încălcări a normelor de protecție a datelor, pentru stabilirea faptelor și, dacă este cazul, pentru pregătirea și adoptarea unor măsuri de supraveghere. Această stabilire a scopului este nu doar predefinită prin lege, ci impune și o concretizare autonomă de către autoritate de la caz la caz, în special în ceea ce privește amploarea controlului, obiectul precis al investigației și calificarea juridică a motivelor invocate(16).
43.      Autoritatea de supraveghere decide de asemenea în mod autonom cu privire la aspecte esențiale în legătură cu mijloacele de prelucrare. Ea stabilește ce date cu caracter personal sunt colectate, sub ce formă sunt înregistrate, structurate și stocate acestea, pe baza căror criterii sunt constituite dosarele, sunt organizate arhivele digitale sau sunt repertoriate probele, precum și procesele tehnice sau organizatorice mobilizate pentru analiza, prelucrarea ulterioară sau punerea la dispoziție internă a datelor. De asemenea ea decide dacă trebuie adresate solicitări de informații persoanei împotriva căreia a fost formulată plângerea, ce informații suplimentare trebuie solicitate, potrivit căror metode
vor fi ele corelate și pentru ce perioadă vor fi păstrate. Această competență de selecție și de organizare depășește în mod vădit simpla executare a unei misiuni auxiliare sau subordonate.
44.      Operațiunile de prelucrare realizate efectiv confirmă această autonomie decizională. Autoritatea înregistrează plângerea, deschide propriile dosare, stochează și organizează datele primite, precum și pe cele pe care le colectează, efectuează aprecierea factuală și juridică a acestora, solicită documente suplimentare, înregistrează actele de investigație și adoptă, pe baza propriei analize, decizii procedurale și materiale. Astfel, prelucrarea nu numai că servește la gestionarea tehnică a unui dosar administrativ, dar constituie și temeiul unei activități autonome de investigare, de apreciere și de decizie, pe care dreptul Uniunii o încredințează exclusiv autorității de supraveghere.
45.      Împrejurarea că această activitate se înscrie în exercitarea unei sarcini legale nu înlătură calitatea de „operator”. Curtea a amintit în mai multe rânduri că autoritățile publice pot fi calificate „operatori” atunci când dispun de o marjă de decizie în ceea ce privește modalitățile concrete ale prelucrării(17). În această privință, trebuie să se arate că Landesamt însăși a recunoscut în ședință că dispune de o marjă de apreciere în stabilirea sarcinilor sale, inclusiv în cadrul soluționării plângerilor(18), această marjă constituind expresia autonomiei sale.
46.      Calificarea drept „persoană împuternicită de operator” trebuie de asemenea înlăturată în lipsa oricărei subordonări în ceea ce privește stabilirea scopurilor și a mijloacelor, autoritatea neintervenind la instrucțiunile unui terț, ci în exercitarea unor prerogative care îi sunt proprii. În special, autoritatea de supraveghere nu acționează nicidecum în numele operatorului vizat de plângere, ci exercită o competență publică care îi este conferită pentru a asigura respectarea dreptului Uniunii.
47.      În timp ce prelucrarea în cauză se întemeiază, ca regulă generală, pe articolul 6 alineatul (1) litera (e) din RGPD coroborat cu articolul 57 alineatul (1) literele (f) și (h) din acest regulament, existența unui temei juridic asigură numai legalitatea prelucrării, fără a exclude calitatea de „operator”. Dimpotrivă, faptul că legea încredințează autorității executarea unor atribuții de supraveghere confirmă că aceasta prelucrează datele în îndeplinirea propriilor obligații legale și potrivit modalităților pe care ea însăși le definește. Prin urmare, în calitate de „operator”, ea rămâne în principiu supusă obligațiilor generale din RGPD, în special principiilor enunțate la articolul 5 și drepturilor persoanelor enumerate în capitolul III din regulamentul respectiv, cu condiția ca acestea să nu fi fost restricționate în mod valabil printr‑o dispoziție legală suficient de clară și de proporțională, în conformitate cu articolul 23 din RGPD.
48.      Independența autorităților de supraveghere, consacrată la articolul 52 din RGPD și reafirmată în considerentul (117), impune ca acestea să fie calificate drept „operatori” pentru operațiunile privind datele cu caracter personal pe care le efectuează în cadrul îndeplinirii sarcinilor lor legale. Numai stabilirea autonomă a scopurilor și a mijloacelor de prelucrare în cauză, însoțită de răspunderea care decurge din acestea, le permite să își exercite competențele de supraveghere și de asigurare a conformității în deplină independență față de entitățile pe care le supraveghează. A le considera, în cadrul gestionării reclamațiilor, ca simple executante ale unor scopuri definite de terți le‑ar compromite autonomia instituțională, le‑ar plasa într‑un raport de dependență față de operatorii examinați și ar goli de conținut cerința răspunderii prevăzută de dreptul Uniunii. Prin urmare, autoritatea de supraveghere trebuie să își asume în nume propriu răspunderea pentru prelucrările de date cu caracter personal efectuate în cadrul procedurii de plângere, drepturile persoanelor vizate prevăzute de RGPD aplicându‑se pe deplin în privința sa(19).
49.      În sfârșit, dacă autoritatea de supraveghere nu ar fi calificată drept „operator” în cadrul soluționării plângerilor, persoana vizată ar fi în mare măsură lipsită de protecție în privința unui element central al prelucrării datelor sale. Astfel, drepturile persoanelor vizate prevăzute la articolele 12-22 din RGPD, în special dreptul de acces menționat la articolul 15, nu pot fi exercitate decât împotriva operatorului. Fără această calificare, persoana vizată nu ar fi în măsură să cunoască datele pe care autoritatea le colectează și le prelucrează în cadrul plângerii și nici să solicite rectificarea, ștergerea sau restricționarea acestora. Prelucrarea datelor efectuată de autoritate ar fi astfel exclusă de la orice cerință de transparență și de răspundere, chiar dacă această autoritate este însărcinată tocmai să asigure protecția drepturilor persoanelor vizate. Lipsa calificării drept „operator” ar crea, așadar, o lacună structurală de protecție, privând persoana vizată, în relația sa cu autoritatea de supraveghere, de garanțiile fundamentale prevăzute de RGPD(20).
50.      Rezultă că o autoritate de supraveghere, în cadrul soluționării plângerilor depuse în temeiul articolului 77 din RGPD, decide cu privire la scopurile și mijloacele prelucrării și nu se limitează doar să primească sau să administreze date stabilite de un terț. Ea acționează ca actor autonom, care colectează, organizează, analizează și utilizează datele cu caracter personal ca temei al unor decizii care țin de exercitarea autorității publice. Prin urmare, ea trebuie să fie calificată „operator” în sensul definiției largi enunțate la articolul 4 punctul 7 din RGPD(21).
51.      Din motive de exhaustivitate, trebuie arătat că faptul că legiuitorul Uniunii nu a prevăzut în mod expres ipoteza potrivit căreia o autoritate de supraveghere acționează, în cadrul unei proceduri de plângere, în același timp în calitate de „operator” în sensul articolului 4 punctul 7 din RGPD nu constituie un argument pertinent de natură să se opună unei asemenea calificări. Elementul determinant constă, dimpotrivă, în faptul de a ști dacă această autoritate îndeplinește condițiile materiale prevăzute de respectiva dispoziție. Or, astfel cum reiese din analiza care precedă, aceasta este în mod vădit situația în speță.
52.      În acest context, nici argumentul formulat de Landesamt potrivit căruia anumite dispoziții ale RGPD ar presupune în mod necesar o distincție strictă între autoritatea de supraveghere, pe de o parte, și „operator”, pe de altă parte, nu poate fi admis. Aceste dispoziții se raportează numai la situația de principiu avută în vedere de legiuitorul Uniunii, în care aceste două roluri nu se confundă. Ele nu exclud însă posibilitatea ca o autoritate de supraveghere, în anumite împrejurări – precum cele în discuție în litigiul principal
–, să îndeplinească simultan condițiile necesare pentru a fi calificată drept „operator”.
53.      În măsura în care anumite dispoziții ale RGPD prevăd o „cooperare” sau o „consultare” între „operator” și autoritatea de supraveghere, printre altele la articolele 31 și 36, eventualul conflict care poate rezulta dintr‑o suprapunere a acestor roluri poate fi soluționat prin intermediul unei interpretări teleologice a regulamentului respectiv. O asemenea interpretare presupune ca procedurile interne ale autorității de supraveghere să fie organizate și coordonate astfel încât să garanteze realizarea efectivă a obiectivelor urmărite de dispozițiile în cauză.
3.      Cu privire la existența unui drept de acces al reclamantului întemeiat pe articolul 15 din RGPD
54.      Astfel cum s‑a arătat în prezentele concluzii, calificarea autorității de supraveghere drept „operator” implică pentru aceasta obligația de a asigura respectarea drepturilor recunoscute persoanelor vizate de capitolul III din RGPD. Printre aceste drepturi figurează în special dreptul de acces consacrat la articolul 15 din regulamentul amintit.
55.      În cadrul unei proceduri inițiate în temeiul articolului 77 din RGPD, reclamantul are în principiu și calitatea de „persoană vizată” în sensul regulamentului menționat. În acest temei, el poate solicita autorității de supraveghere să îi confirme dacă sunt prelucrate date cu caracter personal care îl privesc. În ipoteza unui răspuns afirmativ, dreptul de acces cuprinde de asemenea toate informațiile enumerate în mod exhaustiv la articolul 15 alineatul (1) literele (a)-(h) din RGPD, printre care figurează în special scopurile prelucrării, categoriile de date vizate, destinatarii sau categoriile de destinatari, durata stocării, precum și informațiile referitoare la drepturile de care dispune persoana vizată.
a)      Dreptul de a obține o „copie” în temeiul articolului 15 alineatul (3) din RGPD
56.      Dreptul de acces implică, între altele, dreptul persoanei vizate de a obține o copie a datelor în temeiul articolului 15 alineatul (3) din RGPD. Această dispoziție impune operatorului să comunice persoanei interesate o reproducere a datelor sale cu caracter personal într‑o formă inteligibilă, care să permită înțelegerea exactă a întinderii și a modalităților de prelucrare a acestora. Scopul dreptului respectiv constă în a permite persoanei vizate să verifice care dintre datele care o privesc sunt prelucrate, să identifice sursa lor, să înțeleagă scopurile și să cunoască eventualii destinatari ai acestora(22).
57.      Curtea a statuat că copia trebuie să fie furnizată în condiții care să permită un control efectiv al legalității prelucrării, precum și exercitarea utilă a celorlalte drepturi consacrate de RGPD(23). Termenul „copie” se raportează nu la un document ca atare, ci la datele cu caracter personal pe care le conține; ceea ce contează este faptul că aceste date sunt comunicate în mod complet, clar și în măsură să
le fie
redată semnificația. Pentru a garanta efectivitatea acestui drept, reproducerea unor extrase din documente – sau chiar a unor documente întregi – ori, în plus, a unor extrase din baze de date care conțin printre altele date cu caracter personal care fac obiectul prelucrării se poate dovedi indispensabilă(24).
58.      Întinderea acestui drept rămâne însă strict delimitată de funcția sa. Ea se extinde numai la „datele cu caracter personal” ale persoanei vizate și include orice informație care se referă la aceasta sau care permite identificarea sa, în sensul articolului 4 punctul 1 din RGPD. Atunci când contextul în care apar aceste date este necesar pentru înțelegerea lor deplină, obligația de comunicare poate implica transmiterea unui extras adecvat sau a unei prezentări contextualizate, în măsura necesară pentru a îndeplini cerințele de transparență. Dreptul de a obține o copie constituie astfel un element central al mecanismului de autodeterminare informațională instituit prin RGPD, în măsura în care garantează persoanei vizate un control substanțial asupra prelucrării datelor sale și îi permite să verifice conformitatea acesteia cu cerințele dreptului Uniunii.
b)      Articolul 15 din RGPD nu prevede un „drept general de acces la dosarul administrativ”
59.      Totuși, acest drept de acces prevăzut la articolul 15 din RGPD, specific regimului de protecție a datelor cu caracter, nu poate fi asimilat unui drept general de acces la dosarul administrativ, nici unei cerințe de transparență administrativă cu aplicabilitate generală. Dispoziția menționată urmărește exclusiv să garanteze transparența prelucrărilor pentru a permite persoanei vizate să controleze legalitatea acestora și să exercite în mod util drepturile care decurg de aici, în special dreptul la rectificare, dreptul la ștergerea datelor („dreptul de a fi uitat”), dreptul la restricționarea prelucrării sau dreptul de opoziție(25). Aceasta nu consacră, în schimb, nici un drept general de acces la informațiile deținute de administrație, nici un drept de consultare a documentelor interne, nici, a fortiori, un drept la divulgarea elementelor care fac parte din procesul intern de deliberare sau de decizie al autorității publice. Acest lucru devine evident atunci când dreptul de acces prevăzut la articolul 15 din RGPD este comparat cu alte drepturi de acces consacrate de dreptul Uniunii și de dreptul național.
60.      În primul rând, articolul 15 și articolul 77 alineatul (2) din RGPD răspund unor scopuri distincte și, prin urmare, trebuie să fie distinse în mod riguros. Articolul 77 alineatul (2) instituie un drept procedural de a fi informat cu privire la evoluția și rezultatul soluționării plângerii, dar nu conferă un drept de acces la date sau la documente întemeiate pe reglementarea referitoare la protecția datelor. Astfel, în timp ce articolul 15 urmărește să garanteze controlul persoanei asupra propriilor date cu caracter personal, articolul 77 alineatul (2) este legat de cerința transparenței procedurale în soluționarea administrativă a plângerilor. Aceste dispoziții, autonome în obiectul și domeniul lor de aplicare, nu pot fi confundate și nici nu se pot substitui una celeilalte. Este vorba despre regimuri juridice independente care răspund unor logici normative diferite, se supun unor condiții de exercitare proprii și nu au vocația de a se suprapune și nici de a se substitui una celeilalte.
61.      În al doilea rând, articolul 15 din RGPD instituie exclusiv un drept de acces la date cu caracter personal și nu consacră nici un drept de acces la dosarul administrativ, nici un drept de consultare a unor documente deținute de autoritate(26). Domeniul de aplicare material al acestuia se limitează la comunicarea datelor cu caracter personal care fac obiectul unei prelucrări și nu vizează nici transparența administrativă, nici accesul la procesele decizionale interne. Dreptul de acces la dosar rămâne astfel – cu excepția dispozițiilor sectoriale ale dreptului Uniunii – de competența normativă a statelor membre în care este reglementat în general de legislațiile referitoare la procedura administrativă generală, de regimuri procedurale speciale, de legi privind libertatea de informare și transparența sau chiar de norme profesionale sau sectoriale specifice(27).
62.      Rezultă că articolul 15 din RGDP nu constituie temeiul niciunui drept la comunicare sau la consultarea dosarului administrativ ca atare. În special, domeniul de aplicare al dreptului de acces nu se extinde la analize juridice interne, la avize, la adnotări, la note de serviciu, la documente pregătitoare și nici, mai general, la elemente care țin de procesul de elaborare sau de motivare internă a deciziei administrative. Atunci când un document deținut de autoritate conține date cu caracter personal referitoare la reclamant, obligația de acces se limitează la comunicarea acestor date ca atare, iar nu la redarea sau la reproducerea integrală a suportului documentar care le conține. În sfârșit, informațiile lipsite de orice legătură de identificare directă sau indirectă cu persoana vizată sunt excluse, prin natura lor, din domeniul de aplicare material al articolului 15 din RGPD.
63.      În plus, trebuie amintit că dreptul de acces prevăzut la articolul 15 din RGPD poate face obiectul anumitor restricții în temeiul articolului 23 alineatul (1) din regulamentul amintit, în măsura în care sunt îndeplinite condițiile prevăzute de acesta. Acest aspect face obiectul celei de a doua întrebări preliminare, pe care o vom aborda în secțiunea următoare.
4.      Concluzie intermediară
64.      Având în vedere considerațiile care precedă, apreciem că este necesar să se răspundă la prima întrebare că articolul 15 coroborat cu articolul 4 punctul 7 din RGPD trebuie interpretat în sensul că o autoritate de supraveghere în sensul articolului 4 punctului 21 din acest regulament, atunci când acționează în cadrul unei proceduri de plângere întemeiate pe articolul 77 din regulamentul menționat, are și calitatea de „operator” în sensul aceluiași regulament și este, așadar, obligată să asigure persoanei vizate dreptul de acces prevăzut la articolul 15 din RGPD.
C.      Cu privire la a doua întrebare
1.      Restricțiile privind dreptul de acces la datele cu caracter personal enumerate la articolul 23 din RGPD
65.      Prin intermediul celei de a doua întrebări, instanța de trimitere solicită clarificarea raportului existent între articolul 23 din RGPD și o dispoziție națională care, la fel ca articolul 20 alineatul (2) din BayDSG, exclude în general orice drept de acces sau de consultare în fața
autorității de supraveghere în materie de protecție a datelor. Răspunsul la această întrebare necesită o analiză aprofundată a economiei RGPD, astfel cum reiese din modul său de redactare, din finalitatea sa și din considerentele relevante, precum și punerea în aplicare a principiilor stabilite de Curte cu privire la restricțiile care pot fi aduse drepturilor persoanelor vizate.
66.      Articolul 23 din RGPD prevede că măsurile legislative ale Uniunii sau ale dreptului intern care se aplică operatorului de date pot restricționa, printre altele, dreptul de acces garantat la articolul 15 din acest regulament, cu condiția ca o astfel de restricție să respecte esența drepturilor și libertăților fundamentale și să constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura realizarea unuia dintre obiectivele legitime enumerate la literele (a)-(j) ale acestei dispoziții. Articolul 23 alineatul (1) din RGPD nu poate fi însă interpretat în sensul că permite legiuitorului național să substituie în mod liber propriului regim dispozițiile articolelor 12-22 din regulamentul menționat. Această dispoziție stabilește, dimpotrivă, un catalog limitativ de clauze de deschidere, care permit legiuitorului național, pentru motivele enumerate cu precizie, să prevadă restricții în ceea ce privește drepturile persoanelor vizate, precum și obligațiile care revin operatorului în temeiul acestor articole(28).
67.      Articolul 23 din RGPD instituie astfel un regim derogatoriu pentru domeniile pe care le vizează, care privesc în esență exercitarea unor atribuții publice și urmărirea unor imperative de interes general care pot justifica o atenuare a drepturilor persoanelor vizate în raport cu alte sectoare de activitate. În această privință, trebuie să se țină seama de considerentul (4) prima și a doua teză al RGPD, care impune realizarea unei evaluări comparative între drepturile fundamentale în cauză și asigurarea faptului că limitările avute în vedere sunt justificate, necesare și proporționale în raport cu drepturile și interesele concurente.
68.      Din decizia de trimitere reiese că, deși expunerea de motive a legii bavareze menționează în mod expres articolul 23 din RGPD ca temei juridic al articolului 20 alineatul (2) din BayDSG, ea nu se referă la niciunul dintre obiectivele enumerate de această dispoziție. Ea
se limitează să indice că norma respectivă reflectă cerința specifică privind finalitatea informațiilor obținute în cadrul activităților de supraveghere în materie de protecție a datelor. Instanța de trimitere arată totuși că, potrivit observațiilor formulate de Landesamt în cadrul procedurii principale, dispoziția menționată ar urmări în realitate două obiective principale: pe de o parte, păstrarea confidențialității datelor cu caracter personal ale terților și, pe de altă parte, garantarea bunei funcționări și a independenței autorității de supraveghere.
69.      În conformitate cu principiile care reglementează mecanismul de cooperare instituit prin articolul 267 TFUE între instanța Uniunii și instanțele naționale – în temeiul cărora interpretarea dreptului intern este exclusiv de competența instanțelor de trimitere(29), iar Curtea este obligată să se bazeze pe precizările aduse de acestea în ceea ce privește conținutul și domeniul de aplicare al dreptului respectiv(30) – vom considera aceste elemente drept temei al analizei noastre.
2.      Compatibilitatea cu articolul 23 din RGPD a unei excluderi generale a dreptului de acces prevăzut la articolul 15 din acest regulament
70.      În continuarea prezentelor concluzii, vom stabili dacă o excludere generală a dreptului de acces prevăzut la articolul 15 din RGPD poate fi justificată în lumina obiectivelor legislative menționate mai sus. Vom analiza de asemenea aspectul dacă o astfel de reglementare îndeplinește cerințele suplimentare pe care articolul 23 din RGPD le impune oricărei restrângeri a acestui drept.
a)      Existența unui obiectiv legitim
1)      Protecția confidențialității datelor cu caracter personal ale terților
71.      Protecția confidențialității datelor cu caracter personal ale terților constituie un obiectiv legitim în sensul RGPD, de natură să justifice, în principiu, restrângeri ale drepturilor conferite persoanelor vizate. În această privință, trebuie arătat că, referitor la dreptul de acces prevăzut la articolul 15 din RGPD, în considerentul (63) al acestui regulament se precizează că „[a]cest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora”. Prin urmare, se ține seama de faptul că, după cum reiese din considerentul (4) al regulamentului menționat, dreptul la protecția datelor cu caracter personal nu este un drept absolut, întrucât el trebuie apreciat în raport cu funcția sa în societate și trebuie echilibrat cu alte drepturi fundamentale(31).
72.      Articolul 23 alineatul (1) litera (i) din RGPD face în mod expres referire la protecția „drepturilor și libertăților altora”, astfel cum confirmă considerentul (73) al acestui regulament. În consecință, atunci când sunt în discuție date cu caracter personal ale unor agenți ai administrației sau ale unor persoane private, legiuitorul național se poate întemeia în mod valabil pe faptul că divulgarea lor ar aduce atingere drepturilor referitoare la personalitate și că există o nevoie de protecție care trebuie echilibrată cu dreptul de acces al reclamantului.
2)      Protecția bunei funcționări și a independenței autorităților de supraveghere
73.      Menținerea bunei funcționări și a independenței decizionale a autorităților de supraveghere constituie de asemenea un obiectiv legitim în sensul articolului 23 alineatul (1) din RGPD. Legiuitorul Uniunii le conferă astfel un rol pivot în cadrul sistemului european de protecție a datelor, după cum dovedesc, pe de o parte, articolul 52 din regulamentul amintit, care garantează independența deplină și completă a acestora, și, pe de altă parte, întinderea competențelor de investigare și a prerogativelor corective prevăzute la articolele 57 și 58 din regulamentul menționat(32). În această privință, Curtea a subliniat în jurisprudența sa că buna funcționare a autorităților respective trebuie să fie garantată, în special asigurându‑se faptul că aceasta nu este împiedicată de plângeri în mod vădit nefondate sau excesive, în sensul articolului 57 alineatul (4) din RGPD(33).
74.      Prin urmare, având în vedere articolul 23 alineatul (1) litera (h) din RGPD, care permite adoptarea de restricții atunci când acestea sunt necesare pentru îndeplinirea unor funcții de „monitorizare” și de „inspectare” asociate exercitării autorității oficiale, o restrângere a dreptului de acces poate, în principiu, să fie justificată. De altfel, ținând seama de paralelele existente, trebuie de asemenea luat în considerare obiectivul menționat la articolul 23 alineatul (1) litera (f) din RGPD, astfel cum se precizează în considerentul (73) al acestui regulament, care urmărește să
asigure independența puterii judiciare
și protecția desfășurării procedurilor judiciare. Desigur, autoritățile de supraveghere nu fac parte din sistemul judiciar; cu toate acestea, asemenea organelor de stat însărcinate cu aplicarea legii, ele au un rol esențial în identificarea și sancționarea încălcărilor legislației în materie de protecție a datelor cu caracter personal. Rezultă că o aplicare prin analogie a acestei dispoziții poate fi, în orice caz, avută în vedere.
3)      Protecția securității publice
75.      Din motive de exhaustivitate, trebuie arătat că decizia de trimitere evocă de asemenea protecția securității publice, în sensul articolului 23 alineatul (1) litera (c) din RGPD, ca motiv eventual de justificare, fără a furniza însă informații mai precise. Trebuie totuși să fim de acord cu aprecierea instanței de trimitere și a Comisiei, potrivit căreia un asemenea argument nu este întemeiat. Astfel, având în vedere situația de fapt din cauza principală, așa cum a fost prezentată de instanța de trimitere, o asemenea restricție nu pare în mod vădit pertinentă. În consecință, această justificare va fi exclusă din analiza care urmează.
b)      Cerințele impuse de cadrul de reglementare al RGPD
76.      Pe de o parte, este necesar să se constate că interesul legat de confidențialitatea datelor cu caracter personal ale terților este luat în considerare în mod corespunzător de o reglementare națională precum articolul 20 alineatul (2) din BayDSG, în măsura în care aceasta interzice în mod categoric comunicarea unor astfel de date. În plus, nu se poate exclude că lipsa de cooperare a autorităților de supraveghere în cadrul examinării cererilor de acces poate conduce la o realocare a resurselor umane și materiale către alte domenii de activitate de natură, dacă este cazul, să determine anumite creșteri în eficiență.
77.      Pe de altă parte, asemenea împrejurări ridică îndoieli cu privire la conformitatea lor cu cadrul normativ instituit de legiuitorul Uniunii la data adoptării RGPD și în special cu economia generală a acestui regulament, care se bazează pe un echilibru între mai multe interese: transparența prelucrării datelor, păstrarea confidențialității atunci când aceasta se impune și protecția efectivă a intereselor respective de către autoritățile de supraveghere. O reglementare națională care nu reflectă în mod adecvat evaluarea comparativă a acestor interese nu poate îndeplini, prin urmare, cerințele prevăzute la articolul 23 alineatul (1) din RGPD. Situația este aceeași atunci când se constată că pot fi avute în vedere măsuri care afectează mai puțin drepturile fundamentale, dar la fel de eficiente pentru atingerea obiectivelor urmărite(34).
78.      În această privință, trebuie amintit că RGPD a conceput dreptul de acces prevăzut la articolul 15 din acesta ca un element esențial al principiului transparenței. Această calificare reiese în mod clar din considerentul (63) al regulamentului respectiv, potrivit căruia persoana vizată trebuie să fie „informată cu privire la prelucrare” pentru a se garanta efectivitatea drepturilor care îi sunt conferite de regulamentul menționat. Curtea a confirmat în mai multe rânduri această concepție, arătând că dreptul de acces ocupă un loc central în economia generală a regimului instituit prin același regulament. Prin urmare, o dispoziție națională care privează persoana vizată de acest drept în mod general și nediferențiat aduce atingere esenței înseși a sistemului de protecție instituit de legiuitorul Uniunii.
79.      Deși este adevărat că RGPD autorizează la articolul 23 restricții privind drepturile persoanelor vizate, inclusiv dreptul de acces, din motive de interes public, acesta impune în același timp ca astfel de restricții să se bazeze pe un temei juridic care prezintă un grad suficient de precizie. Acest temei trebuie să definească în mod clar natura, domeniul de aplicare și limitele restricției, precum și garanțiile necesare pentru a preveni riscurile de abuz. Considerentul (41) al respectivului regulament precizează în acest sens că orice restrângere a unui drept garantat de regulamentul menționat trebuie să fie „clară și precisă” și „previzibilă” pentru persoana vizată, care trebuie să fie în măsură să stabilească domeniul de aplicare al restricțiilor care pot fi aduse drepturilor sale(35). O dispoziție națională care prevede o excludere absolută a dreptului de acces fără a determina domeniul său de aplicare material sau personal sau fără a prevedea măsuri de protecție nu poate îndeplini cerințele astfel prevăzute.
80.      În plus, considerentul (60) al RGPD amintește că transparența constituie un principiu fundamental al prelucrării datelor cu caracter personal, aplicabil inclusiv acțiunii autorităților publice. Deși anumite informații pot fi temporar excluse de la comunicare în cadrul unei proceduri de plângere, în special pentru a nu pune în pericol prevenirea, depistarea sau investigarea infracțiunilor(36), o astfel de rezervă trebuie să rămână strict necesară și proporțională și nu poate conduce la neutralizarea totală a transparenței față de persoana vizată. Prin urmare, o dispoziție națională care exclude orice formă de acces, fără a distinge între datele cu caracter personal și documentele interne, încalcă economia RGPD.
81.      Curtea a statuat de asemenea, în lumina articolului 52 alineatul (1) din cartă, că restrângerile care pot fi impuse unui drept fundamental trebuie să fie conforme nu numai cu principiile legalității și proporționalității, ci și cu principiul care impune respectarea „substanței” dreptului în cauză(37). Considerentul (4) al RGPD reafirmă că protecția datelor cu caracter personal constituie un drept fundamental, consacrat la articolul 8 din cartă, ale cărui restrângeri nu pot fi făcute decât cu respectarea principiului proporționalității. Excluderea totală a dreptului de acces conduce însă la privarea persoanei vizate de însăși esența acestui drept, împiedicând‑o să controleze, chiar și în mod minim, prelucrările care
o privesc.
82.      Considerentul (75) al RGPD subliniază, în mod complementar, că lipsa de transparență sau insuficiența acesteia constituie în sine un risc care poate afecta grav drepturile și libertățile persoanelor vizate. O reglementare care privează în întregime persoana vizată de posibilitatea de a cunoaște prelucrările efectuate în privința sa creează tocmai situația de risc pe care legiuitorul a intenționat să o evite.
83.      Trebuie adăugat că considerentul (129) al RGPD definește autoritățile de supraveghere ca fiind organisme independente, însărcinate să asigure aplicarea acestui regulament și să protejeze drepturile persoanelor vizate. Respectiva misiune, precum și locul pe care ele îl ocupă în mecanismul de control instituit prin RGPD, nu le scutește însă de toate obligațiile care decurg din acesta. Dimpotrivă, RGPD creează un cadru juridic coerent în care autoritățile de supraveghere, deși își exercită prerogativele, rămân pe deplin supuse normelor pe care le stabilește, în special celor referitoare la drepturile persoanelor vizate. O dispoziție națională care exclude în totalitate orice comunicare a datelor referitoare la persoana vizată compromite acest echilibru și aduce atingere cerinței privind răspunderea care revine autorităților de supraveghere.
84.      O excludere absolută a dreptului de acces pare, în plus, incompatibilă cu obiectivul urmărit de RGPD de a asigura un nivel ridicat de protecție a datelor pentru persoanele fizice, după cum se amintește în considerentul (10) al acestui regulament(38). Nivelul de protecție astfel urmărit se întemeiază în esență pe transparență și pe posibilitatea ca persoana vizată să verifice operațiunile de prelucrare care o privesc. Dreptul de acces prevăzut la articolul 15 din regulamentul menționat constituie în această privință un element indispensabil, întrucât stă la baza exercitării efective a tuturor celorlalte drepturi ale persoanelor vizate(39). Excluderea în general a dreptului amintit ar însemna eliminarea anumitor prelucrări de la orice control individual și ar compromite, așadar, efectivitatea nivelului ridicat de protecție urmărit de legiuitorul Uniunii.
85.      În ceea ce privește obiectivul de protecție a drepturilor și libertăților terților, invocat pentru a justifica o restrângere a dreptului de acces, trebuie amintit că Curtea a statuat că, în caz de conflict între dreptul de acces și drepturile sau libertățile altor persoane, autoritățile trebuie să pună în balanță interesele existente. Reiese în mod expres din considerentul (63) al RGPD că această punere în balanță nu poate, în niciun caz, să justifice lipsirea totală de acces(40). Modalități adaptate, cum ar fi divulgarea parțială, ocultarea sau anonimizarea datelor, protecția identității autorilor raportărilor, un tratament diferențiat în funcție de categoriile de documente sau comunicarea de informații structurate neindividualizate, permit concilierea intereselor în cauză fără a elimina în întregime dreptul de acces.
86.      În ceea ce privește necesitatea invocată de a garanta exercitarea independentă și eficientă a sarcinilor autorităților de supraveghere, nu rezultă în ce mod exercitarea dreptului de acces prevăzut la articolul 15 din RGPD ar fi de natură să compromită acest obiectiv. Trebuie să fim de acord cu aprecierea instanței de trimitere potrivit căreia independența autorităților de supraveghere nu înseamnă nicidecum că legalitatea prelucrării datelor cu caracter personal pe care o pun în aplicare trebuie să fie exclusă de la controlul persoanei vizate. Riscul unei eventuale „influențe” care poate fi favorizată de un acces la informații, astfel cum a fost invocat de Landesamt, trebuie, așadar, să fie înlăturat.
87.      Pe de altă parte, după cum s‑a arătat în prezentele concluzii, articolul 15 din RGPD nu consacră un drept general de acces la dosar(41), astfel încât sarcina administrativă care rezultă din acesta ar trebui să rămână limitată. Independent de aceasta, trebuie să se arate că regulamentul menționat pune la dispoziția autorităților de supraveghere, la articolul 12 alineatul (5) din acesta, un instrument adecvat pentru a face față cererilor abuzive sau excesive(42). Ele sunt de asemenea abilitate să adopte diverse măsuri de gestionare, cum ar fi să se abțină temporar să furnizeze informații în cursul procedurii, să excludă anumite documente interne de la divulgare, să distingă diferite tipuri de proceduri, să comunice
doar informațiile referitoare la etape deja încheiate sau să instituie mecanisme organizaționale care să asigure că procesele interne nu sunt perturbate de cererile de acces. Astfel de măsuri permit asigurarea bunei funcționări a autorităților de supraveghere fără a exclude însă în totalitate dreptul de acces prevăzut la articolul 15 din RGPD.
88.      Trebuie amintit de asemenea că eficacitatea autorităților de supraveghere depinde în mod decisiv de punerea la dispoziția acestora a mijloacelor necesare, și anume a resurselor umane, tehnice și financiare, precum și a unui sediu și a infrastructurilor
indispensabile pentru exercitarea efectivă a sarcinilor și competențelor lor(43). Articolul 52 alineatul (4) din RGPD impune în mod expres statelor membre să asigure o asemenea dotare. Din această perspectivă, chestiunea funcționalității autorităților de supraveghere nu poate fi redusă doar la numărul de cereri de acces întemeiate pe articolul 15 din RGPD. O dotare insuficientă a autorităților nu trebuie, în niciun caz, să se exprime printr‑o diminuare a nivelului de protecție a datelor cu caracter personal.
89.      Din decizia de trimitere reiese că articolul 20 alineatul (2) din BayDSG constituie o singularitate în ordinea juridică germană, niciun alt land neprevăzând o excludere comparabilă a dreptului de acces. O astfel de izolare pe plan normativ constituie un indiciu clar că o restricție de o asemenea amploare nu poate fi considerată necesară sau proporțională în sensul articolului 23 alineatul (1) din RGPD. Din moment ce toate celelalte autorități de supraveghere își îndeplinesc sarcinile fără a recurge la o eliminare generală a drepturilor persoanelor vizate, pare dificil să se susțină că o astfel de măsură ar fi indispensabilă pentru buna funcționare a autorității sau pentru protecția drepturilor terților. O reglementare specifică unui singur land, care restrânge în mod semnificativ mai intens drepturile garantate de RGPD decât cele adoptate în celelalte părți ale teritoriului național, nu pare să îndeplinească cerințele de coerență, de necesitate și de proporționalitate care decurg din dreptul Uniunii.
90.      Prin urmare, trebuie să se constate că, pentru cele două obiective invocate – protecția drepturilor terților și menținerea bunei executări a sarcinilor autorităților de supraveghere
–, măsuri mai puțin restrictive, diferențiate și conforme cu dreptul Uniunii permit să se ajungă la rezultatele urmărite fără a înlătura esența dreptului de acces, fără a elimina transparența necesară față de persoana vizată și fără a împiedica posibilitatea de a controla legalitatea prelucrărilor efectuate.
91.      Un alt aspect critic constă în faptul că articolul 20 alineatul (2) din BayDSG nu permite identificarea obiectivului urmărit de legiuitorul național. Astfel cum reiese din indicațiile furnizate de instanța de trimitere, lucrările pregătitoare se limitează să menționeze articolul 23 din RGPD ca temei juridic, fără a se referi însă la unul dintre obiectivele enumerate de dispoziția menționată. Or, acest articol 23 impune ca scopul restricției să reiasă în mod clar din dispoziția însăși, condiție necesară pentru un control efectiv al respectării principiilor necesității și proporționalității.
92.      Această cerință de claritate nu poate fi remediată prin justificări prezentate ex post de o parte la procedura preliminară în temeiul articolului 267 TFUE, în special atunci când această parte este cea care beneficiază de restricția în cauză. A admite o asemenea posibilitate ar însemna a substitui voinței legiuitorului responsabil în mod democratic o construcție argumentativă elaborată într‑un cadru contencios, ceea ce ar fi incompatibil cu cerințele de previzibilitate, de transparență normativă și de securitate juridică care decurg din articolul 23 alineatele (1) și (2) din RGPD.
93.      În aceste condiții, trebuie să se concluzioneze că o excludere generală și nediferențiată a dreptului de acces, precum cea prevăzută la articolul 20 alineatul (2) din BayDSG, nu este conformă cu cerințele articolului 23 din RGPD, întrucât nu conține niciunul dintre elementele impuse în mod expres la alineatul (2) al acestuia și nu respectă nici economia, nici scopul regulamentului menționat, astfel cum rezultă din considerentele relevante. O asemenea dispoziție pare disproporționată, insuficient determinată și de natură să priveze dreptul de acces de substanța sa.
3.      Concluzie intermediară
94.      Pentru motivele prezentate mai sus, considerăm că articolul 23 din RGPD trebuie interpretat în sensul că se opune unei reglementări naționale precum articolul 20 alineatul (2) din BayDSG, în măsura în care exclude ca atare existența unui drept de acces, întemeiat pe articolul 15 din regulamentul menționat, în fața autorității de supraveghere.
VI.    Concluzie
95.      Având în vedere considerațiile care precedă, propunem Curții să răspundă la întrebările preliminare adresate de Bayerisches Verwaltungsgericht Ansbach (Tribunalul Administrativ Bavarez din Ansbach, Germania) după cum urmează:
1)      Articolul 15 coroborat cu articolul 4 punctul 7 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că
o autoritate de supraveghere în sensul articolului 4 punctul 21 din acest regulament, atunci când acționează în cadrul unei proceduri de plângere întemeiate pe articolul 77 din regulamentul menționat, are și calitatea de „operator” în sensul aceluiași regulament și este, așadar, obligată să asigure persoanei vizate dreptul de acces prevăzut la articolul 15 din același Regulament 2016/679.
2)      Articolul 23 din Regulamentul 2016/679
trebuie interpretat în sensul că
se opune unei dispoziții naționale, precum cea prevăzută la articolul 20 alineatul (2) din Legea bavareză privind protecția datelor, care exclude ca atare existența unui drept de acces, întemeiat pe articolul 15 din acest regulament, în fața
autorității bavareze pentru protecția datelor.
1      Limba originală: franceza.
2      JO 2016, L 119, p. 1.
3      A se vedea punctul 24 și urm. din prezentele concluzii.
4      A se vedea punctul 65 și urm. din prezentele concluzii.
5      A se vedea Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629, punctele 65 și 66).
6      Curtea chiar a statuat că o persoană fizică sau juridică care, în scopuri proprii, exercită o influență asupra prelucrării datelor cu caracter personal și care participă astfel la stabilirea scopurilor și a mijloacelor prelucrării respective poate fi calificată drept „operator” [a se vedea Hotărârea din 10 iulie 2018, Jehovan todistajat, C‑25/17 (EU:C:2018:551, punctul 68), și Hotărârea din 29 iulie 2019, Fashion ID, C‑40/17 (EU:C:2019:629, punctul 68)].
7      RGPD nu definește în mod explicit ce este o „plângere”, dar modul de redactare a articolului 77 oferă o primă indicație în acest sens. Potrivit orientărilor Comitetului european pentru protecția datelor (CEPD), o plângere corespunde unei sesizări adresate unei autorități de supraveghere de către o persoană fizică identificată – sau de către un organism care îndeplinește condițiile prevăzute la articolul 80 – care consideră că prelucrarea datelor sale încalcă RGPD. CEPD precizează că această noțiune nu se limitează la atingerile aduse drepturilor prevăzute în capitolul III, ci acoperă în sens mai larg orice încălcare a regulamentului care rezultă din prelucrarea datelor cu caracter personal ale reclamantului (CEPD, „Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints”, adoptat la 15 decembrie 2020, p. 3).
8      A se vedea Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958, punctul 58), Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 35), și Hotărârea din 9 ianuarie 2025, Österreichische Datenschutzbehörde (Cereri excesive) (C‑416/23, EU:C:2025:3, punctul 39).
9      A se vedea Hotărârea Curții AELS din 10 decembrie 2020, Adpublisher AG/J & K
(cauzele conexate E-11/19 și E-12/19, punctul 45).
10      A se vedea Hotărârea din 6 octombrie 2015, Schrems (C‑362/14, EU:C:2015:650, punctul 63), Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctul 107), Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958, punctul 56), și Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 32).
11      În acest context, trebuie amintite Concluziile avocatului general Pikamäe prezentate în cauzele conexate SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:222, punctul 42), în care acesta a subliniat că legiuitorul Uniunii nu a urmărit să facă din procedura privind plângerea un mecanism asimilabil unei simple „petiții”. Obiectivul urmărit a fost, dimpotrivă, de a crea un mecanism capabil să protejeze în mod eficient drepturile și interesele persoanelor care depun plângeri. În special, obligațiile prevăzute la articolul 57 alineatul (1) litera (f) din RGPD care revin autorității de supraveghere în contextul tratării acestor plângeri și țin de principiul „bunei administrări” atestă intenția legiuitorului de a conferi procedurii respective substanța „unei veritabile căi de atac administrative”.
12      A se vedea Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 42).
13      A se vedea Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958, punctul 70), și Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 49).
14      Nu există dispoziții uniforme în dreptul Uniunii în ceea ce privește soluționarea concretă a plângerilor de către autoritățile de supraveghere. În consecință, practica administrativă prezintă unele divergențe între statele membre. Cu toate acestea, CEPD depune eforturi, prin intermediul orientărilor și al elaborării unor „bune practici”, să asigure un anumit grad de armonizare a activității de supraveghere, precum și a modalităților procedurale, în special în ceea ce privește admiterea sau arhivarea plângerilor, constatarea unor soluționări amiabile etc. (a se vedea în această privință CEPD, „Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints”, adoptat la 15 decembrie 2020).
15      Astfel cum a arătat Curtea AELS în Hotărârea din 10 decembrie 2020, Adpublisher AG/J & K (cauzele conexate E-11/19 și E-12/19, punctul 60), autoritatea de supraveghere este abilitată, în temeiul articolului 57 alineatul (1) litera (h) din RGPD, să desfășoare investigații din oficiu. Prin urmare, în cadrul examinării unei plângeri, aceasta se poate pronunța cu privire la alte pretenții sau la un alt obiect al litigiului decât cele invocate de reclamant. Eficacitatea procedurii privind plângerea impune ca autoritatea de supraveghere să nu fie limitată, în exercitarea competențelor sale de investigare, de modul în care reclamantul a formulat chestiunile de drept relevante în plângerea sa.
16      Autoritățile de supraveghere par să trateze plângerile fie pe baza dispozițiilor de drept național, fie potrivit propriei marje de apreciere. Pare de asemenea să existe diferențe în ceea ce privește tratarea plângerilor pe baza unor criterii pragmatice sau în cadrul unei proceduri simplificate (a se vedea în această privință González Fuster, G., și alții, „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022, p. 30).
17      A se vedea Hotărârea din 11 ianuarie 2024, État belge (Date prelucrate de un jurnal oficial) (C‑231/22, EU:C:2024:7, punctul 39), și Hotărârea din 27 februarie 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, punctul 49).
18      La cererea Curții, Landesamt și‑a prezentat practica administrativă în materie de soluționare a plângerilor. Ea a precizat în această privință că autorii acestor plângeri pot adresa cereri, inclusiv pe cale electronică, agenților competenți ai Landesamt și pot solicita accesul la dosar. Reiese în mod clar din această prezentare că modalitățile conform cărora Landesamt tratează plângerile, în special în ceea ce privește datele colectate, măsurile organizatorice adoptate și investigațiile efectuate, țin de autonomia pe care i‑o conferă RGPD în exercitarea sarcinilor sale.
19      Möhle, J.-P., „Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht”, Die Öffentliche Verwaltung, 2023, nr. 3, p. 108, explică faptul că numai persoana care este efectiv în măsură să exercite o influență poate fi ținută de obligațiile care decurg din dreptul la protecția datelor (precum obligațiile de informare, de responsabilitate sau de cooperare), și anume cea care este în măsură să prevină în viitor încălcările normelor de protecție a datelor. În opinia noastră, nu există nicio îndoială că, în cadrul unei proceduri de plângere, numai autoritatea de supraveghere poate corespunde acestei definiții.
20      Or, astfel cum a statuat Curtea, obiectivul urmărit prin definiția largă a noțiunii de „operator” este tocmai asigurarea unei protecții eficiente și complete a persoanelor în cauză [a se vedea Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12 (EU:C:2014:317, punctul 34), Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629, punctul 66), și Hotărârea din 5 iunie 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punctul 28)].
21      A se vedea în acest sens Kunert,
J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art.
20
II BayDSG”, GRUR‑Prax, 2025, nr. 9, p. 324.
22      A se vedea Hotărârea din 22 iunie 2023, Pankki S (C‑579/21, EU:C:2023:501, punctul 50).
23      A se vedea Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF (C‑487/21, EU:C:2023:369, punctele 33 și 34).
24      A se vedea Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF (C‑487/21, EU:C:2023:369, punctul 41).
25      A se vedea Hotărârea din 20 decembrie 2017, Nowak (C‑434/16, EU:C:2017:994, punctul 57), Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal) (C‑154/21, EU:C:2023:3, punctul 38), și Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF (C‑487/21, EU:C:2023:369, punctul 35).
26      Zanfir‑Fortuna, G., „Article 15. Right of access by the data subject”, în
Kuner, C., Bygrave, L. A. & Docksey, C. (ed.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, p. 452, subliniază că este important să se facă distincție între dreptul de acces la propriile date cu caracter personal, consacrat la articolul 15 din RGPD, și dreptul de acces la informații publice. Aceste două drepturi se bazează pe finalități normative diferite: primul urmărește să garanteze transparența față de persoana ale cărei date sunt colectate și prelucrate de un operator (transparență inter partes), în timp ce al doilea urmărește să asigure transparența față de public cu privire la informațiile care au o valoare sau un interes public (transparența erga omnes).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, vol. 13, nr. 2 (2023), p. 210, face trimitere la legile în vigoare privind libertatea de acces la informații.
28      Schemmer,
F., „Der Auskunftsanspruch der DS‑GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art.
15 DS‑GVO und dessen Grenzen”, Zeitschrift für das gesamte Informationsrecht, 2024, nr. 5, p. 210.
29      A se vedea Hotărârea din 6 martie 2007, Placanica ș.a. (C‑338/04, C‑359/04 și C‑360/04, EU:C:2007:133, punctul 34), și Hotărârea din 21 iunie 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punctul 240).
30      A se vedea Hotărârea din 25 octombrie 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, punctul 10), și Hotărârea din 14 noiembrie 2024, S. (Modificarea completului de judecată) (C‑197/23, EU:C:2024:956, punctul 43).
31      A se vedea Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctul 172), Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal) (C‑154/21, EU:C:2023:3, punctul 47), și Hotărârea din 21 martie 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, punctul 75).
32      Giurgiu,
A., și Larsen,
T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?”, European Data Protection Law Review, nr. 3, 2016, p. 352, consideră autoritățile de supraveghere ca fiind principalii garanți ai drepturilor persoanelor, din
cauza rolului lor central în supravegherea și aplicarea normelor de protecție a datelor prevăzute de RGPD. Ei subliniază importanța dotării acestor autorități cu resurse suficiente, atât în ceea ce privește personalul, cât și în ceea ce privește mijloacele financiare, pentru a‑și putea îndeplini sarcinile în mod eficient.
33      A se vedea Hotărârea din 9 ianuarie 2025, Österreichische Datenschutzbehörde (Cereri excesive) (C‑416/23, EU:C:2025:3, punctul 40).
34      A se vedea Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, punctul 85).
35      A se vedea Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale) (C‑175/20, EU:C:2022:124, punctul 56).
36      A se vedea în această privință CEPD, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), adoptate la 13 octombrie 2021, punctele 65-67 și 82, care recomandă restricții temporare privind exercitarea anumitor drepturi ale persoanelor vizate pentru a nu afecta investigațiile administrative.
37      A se vedea Hotărârea din 8 aprilie 2014, Digital Rights Ireland ș.a. (C‑293/12 și C‑594/12, EU:C:2014:238, punctul 38), Hotărârea din 6 octombrie 2015, Schrems (C‑362/14, EU:C:2015:650, punctul 94), Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctul 174), și Hotărârea din 6 octombrie 2020, La Quadrature du Net ș.a. (C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 121).
38      Curtea a amintit în jurisprudența sa constantă acest obiectiv și a subliniat că protecția datelor cu caracter personal este garantată atât la articolul 16 TFUE, cât și la articolul 8 din cartă, consacrând astfel acest drept în două dispoziții de drept primar al Uniunii (a se vedea Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 43).
39      A se vedea Hotărârea din 22 iunie 2023, Pankki S (C‑579/21, EU:C:2023:501, punctul 53 și urm.).
40      A se vedea Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF (C‑487/21, EU:C:2023:369, punctul 44).
41      A se vedea punctul 59 și urm. din prezentele concluzii.
42      A se vedea Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal) (C‑154/21, EU:C:2023:3, punctul 49). Astfel cum a subliniat Curtea, revine operatorului sarcina de a demonstra caracterul vădit nefondat sau excesiv al unei cereri de acces în sensul articolului 12 alineatul (5) din RGPD.
43      A se vedea în această privință Agenția pentru Drepturi Fundamentale a Uniunii Europene (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxemburg, 11 iunie 2024, p. 21, care descrie disponibilitatea resurselor autorităților de supraveghere de‑a lungul anilor ca fiind „în general insuficientă”. În urma primei evaluări de către Comisie a aplicării RGPD, Parlamentul European a adoptat o rezoluție prin care solicită statelor membre să își îndeplinească obligația prevăzută la articolul 52 alineatul (4) din RGPD de a pune la dispoziția autorităților de supraveghere resurse suficiente pentru a le permite să își îndeplinească sarcinile în cel mai bun mod posibil și pentru a asigura condiții echitabile de aplicare a RGPD la nivel european.