62021CC0129
NÁVRHY GENERÁLNEHO ADVOKÁTA
ANTHONY MICHAEL COLLINS
prednesené 28. apríla 2022 (
1
)
Vec C‑129/21
Proximus NV
(Verejné elektronické telefónne zoznamy)
proti
Gegevensbeschermingsautoriteit
[návrh na začatie prejudiciálneho konania, ktorý podal Hof van beroep te Brussel (Odvolací súd Brusel, Belgicko)]
„Návrh na začatie prejudiciálneho konania – Spracovávanie osobných údajov a ochrana súkromia v sektore elektronických komunikácií – Smernica 2002/58/ES – Článok 12 – Telefónne zoznamy a informačné služby o účastníckych číslach – Súhlas dotknutej osoby – Nariadenie (EÚ) 2016/679 – Definícia súhlasu – Článok 17 – Právo na vymazanie (právo ‚na zabudnutie‘) – Článok 5 ods. 2, článok 17 ods. 2, článok 19 a článok 24 – Informačné povinnosti a zodpovednosť prevádzkovateľa“
I. Úvod
1.
Prejednávaný návrh na začatie prejudiciálneho konania, ktorý podal Hof van beroep te Brussel (Odvolací súd Brusel, Belgicko), bol podaný v konaní o žiadosti osoby, ktorá je účastníkom telekomunikačnej služby, aby sa jej kontaktné údaje už neuvádzali vo verejných elektronických telefónnych zoznamoch ani neboli dostupné v informačných službách o účastníckych číslach. Nastoľuje dôležité otázky týkajúce sa výkladu nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (
2
), smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (
3
) a vzťahu medzi týmito dvomi aktmi.
2.
Nariadenie 2016/679 ukladá každému prevádzkovateľovi všeobecnú povinnosť získať súhlas dotknutej osoby so spracúvaním jej údajov. Smernica 2002/58 mení túto požiadavku týkajúcu sa spracovania údajov poskytovateľmi elektronických telefónnych zoznamov a informačných služieb o účastníckych číslach v tom zmysle, že na povolenie spracovania údajov účastníka postačuje jediný súhlas účastníka s používaním jeho údajov. Účastník tak poskytne jediný súhlas s uvádzaním svojich kontaktných údajov v telefónnych zoznamoch, pričom ostatní poskytovatelia telefónnych zoznamov sa môžu na účely zaradenia týchto kontaktných údajov do svojich zoznamov opierať o ten istý súhlas. Čo sa stane, keď si účastník želá, aby boli jeho kontaktné údaje odstránené zo všetkých takýchto zoznamov? Vznikajú minimálne dve otázky. Prvou otázkou je, či má účastník adresovať žiadosť telekomunikačnému operátorovi, s ktorým má uzavretú zmluvu, alebo poskytovateľovi, resp. poskytovateľom telefónnych zoznamov, alebo každému z nich. Druhou otázkou je, či je poskytovateľ telefónnych zoznamov povinný postúpiť žiadosť o odstránenie kontaktných údajov tretím osobám, akými sú telekomunikačný operátor účastníka, iný poskytovateľ, resp. poskytovatelia telefónnych zoznamov a poskytovatelia vyhľadávačov.
II. Skutkový stav
3.
Spoločnosť Proximus je poskytovateľom telekomunikačných služieb. Kontaktné údaje svojich účastníkov, ako aj údaje získané od iných telekomunikačných operátorov zaraďuje do dvoch belgických elektronických telefónnych zoznamov, www.1207.be a www.1307.be, a do dvoch informačných služieb o účastníckych číslach, 1207 a 1307, ktoré tiež poskytuje. Tieto kontaktné údaje postupuje ďalšiemu poskytovateľovi telefónnych zoznamov.
4.
Proximus vysvetľuje, že jej databázy a databázy tretích osôb rozlišujú medzi účastníkmi, ktorých kontaktné údaje majú byť uvádzané v telefónnych zoznamoch, a účastníkmi, ktorých kontaktné údaje sa v nich nemajú uvádzať. Ak sa kontaktné údaje majú uvádzať, príslušným parametrom v zázname účastníka je „NNNNN“. Ak sa kontaktné údaje nemajú uvádzať, príslušným parametrom je „XXXXX“.
5.
Sťažovateľ je účastníkom telefónnej služby poskytovanej spoločnosťou Telenet, ktorá je telekomunikačným operátorom na trhu v Belgicku. Telenet neposkytuje telefónne zoznamy. Kontaktné údaje svojich účastníkov poskytuje okrem iného spoločnosti Proximus.
6.
Dňa 13. januára 2019 sťažovateľ zaslal prostredníctvom formulára dostupného na webovej stránke www.1207.be spoločnosti Proximus túto žiadosť: „Prosím o nezaradenie tohto čísla do ‚Witte Gids‘, na 1207.be…“
7.
Proximus na základe tejto žiadosti 28. januára 2019 zmenila príslušný parameter v zázname sťažovateľa z „NNNNN“ na „XXXXX“. V ten istý deň zamestnanec spoločnosti Proximus odpovedal na žiadosť sťažovateľa takto: „Číslo [x] sa v súčasnosti neuvádza vo vydaní ‚Gids‘. Táto informácia nie je dostupná ani v informačných službách o účastníckych číslach (1207) a na webovej stránke (1207.be). Poslednú aktualizáciu všetkých zverejnených záznamov nájdete na našej webovej stránke www.1207.be“.
8.
Dňa 31. januára 2019 Proximus dostala od spoločnosti Telenet pravidelnú aktualizáciu údajov účastníkov. Táto aktualizácia obsahovala nové kontaktné údaje sťažovateľa. Uvádzala tiež informáciu, že kontaktné údaje sťažovateľa majú byť zaradené do telefónnych zoznamov („NNNNN“). Proximus automaticky spracovala túto aktualizáciu. V dôsledku toho sa kontaktné údaje sťažovateľa stali verejne prístupné.
9.
Dňa 14. augusta 2019 sťažovateľ po tom, čo zistil, že jeho telefónne číslo sa nachádza v elektronických telefónnych zoznamoch www.1207.be a www.1307.be a v niekoľkých ďalších elektronických telefónnych zoznamoch, kontaktoval spoločnosť Proximus prostredníctvom kontaktného formulára na webovej stránke www.1207.be a požiadal ju, aby „neuvádzala“ jeho telefónne číslo „na [svojej] webovej stránke, resp. webových stránkach http://www.1207.be“.
10.
V ten istý deň zamestnanec spoločnosti Proximus odpovedal: „Na základe Vašej žiadosti sme vymazali Váš záznam, takže Vaše údaje (telefónne číslo, meno, adresa) sa už nebudú používať v telefónnych zoznamoch alebo informačných službách o účastníckych číslach. V priebehu niekoľkých dní Vaše údaje už nebudú dostupné na stránkach www.1207.be – www.1307.be a v informačných službách o účastníckych číslach (1207 – 1307). Budeme tiež kontaktovať spoločnosť Google, aby odstránila príslušné odkazy na našu webovú stránku. V súlade s právnymi predpismi boli Vaše údaje zaslané aj iným telefónnym zoznamom alebo informačným službám o účastníckych číslach, ktoré požiadali [spoločnosť Proximus] o poskytnutie údajov účastníkov, konkrétne www.wittegids.be, www.infobel.com, www.de1212.be a www.opendi.be. Prostredníctvom mesačných aktualizácií budú tiež informovaní o Vašej žiadosti o ďalšie nepoužívanie Vašich údajov.“
11.
Sťažovateľ súčasne podal sťažnosť na Gegevensbeschermingsautoriteit (Orgán na ochranu údajov, Belgicko; ďalej len „GBA“). Táto sťažnosť obsahovala tento text: „Napriek mojej písomnej a výslovnej žiadosti… o nezaradenie môjho (úplne nového) telefónneho čísla… a údajov do Witte Gids, na 1207.be…, som dnes po telefonáte od firmy, ktorá nemá moje telefónne číslo, [zistil,] že moje telefónne číslo je napriek tomu uvedené na webových stránkach www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, ww.de1212.be a veľmi pravdepodobne aj v príslušných informačných službách o účastníckych číslach 1207, 1307, ako aj v papierových vydaniach Witte Gids(en) a www.opendi.be“.
12.
Dňa 27. augusta 2019 kontaktné miesto GBA vyhlásilo sťažnosť za prípustnú a postúpilo ju Geschillenkamer van de Gegevensbeschermingsautoriteit (Sporový senát orgánu na ochranu údajov, Belgicko; ďalej len „sporový senát GBA“).
III. Relevantné právne predpisy
A.
Právo Európskej únie
1. Charta základných práv Európskej únie
13.
Článok 8 Charty základných práv Európskej únie (ďalej len „Charta“), ktorý má názov „Ochrana osobných údajov“, v odsekoch 1 a 2 stanovuje:
„1.   Každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
2.   Tieto údaje musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom. Každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu.“
2. Všeobecné nariadenie o ochrane údajov
14.
Pojem súhlas je kľúčovým prvkom fungovania nariadenia 2016/679. Podľa článku 4 ods. 11 tohto nariadenia je súhlas akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.
15.
V príslušnej časti odseku 1 článku 5 nariadenia 2016/679, ktorý má názov „Zásady spracúvania osobných údajov“, sa uvádza:
„Osobné údaje musia byť:
a)
spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘)“.
16.
V článku 5 ods. 2 nariadenia 2016/679 je uvedené:
„Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
17.
Článok 6 nariadenia 2016/679, ktorý má názov „Zákonnosť spracúvania“, stanovuje:
„1.   Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a)
dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…“.
18.
Článok 7 nariadenia 2016/679, ktorý má názov „Podmienky vyjadrenia súhlasu“, v príslušných odsekoch uvádza:
„1.   Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
…
3.   Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
…“.
19.
V rozsahu relevantnom pre prejednávanú vec článok 17 nariadenia 2016/679, ktorý má názov „Právo na vymazanie (právo ‚na zabudnutie‘)“, stanovuje:
„1.   Dotknutá osoba má tiež právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú, a prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z týchto dôvodov:
…
b)
dotknutá osoba odvolá súhlas, na základe ktorého sa spracúvanie vykonáva, podľa článku 6 ods. 1 písm. a) alebo článku 9 ods. 2 písm. a), a ak neexistuje iný právny základ pre spracúvanie;
…
2.   Ak prevádzkovateľ zverejnil osobné údaje a podľa odseku 1 je povinný vymazať osobné údaje, so zreteľom na dostupnú technológiu a náklady na vykonanie opatrení podnikne primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí vykonávajú spracúvanie osobných údajov, že dotknutá osoba ich žiada, aby vymazali všetky odkazy na tieto osobné údaje, ich kópiu alebo repliky.
…“.
20.
Článok 19 nariadenia 2016/679, ktorý má názov „Oznamovacia povinnosť v súvislosti s opravou alebo vymazaním osobných údajov alebo obmedzením spracúvania“, stanovuje:
„Prevádzkovateľ oznámi každému príjemcovi, ktorému boli osobné údaje poskytnuté, každú opravu alebo vymazanie osobných údajov alebo obmedzenie spracúvania uskutočnené podľa článku 16, článku 17 ods. 1 a článku 18, pokiaľ sa to neukáže ako nemožné alebo si to nevyžaduje neprimerané úsilie. Prevádzkovateľ o týchto príjemcoch informuje dotknutú osobu, ak to dotknutá osoba požaduje.“
21.
Článok 24 nariadenia 2016/679, ktorý má názov „Zodpovednosť prevádzkovateľa“, v odseku 1 stanovuje:
„S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.“
22.
Článok 95 nariadenia 2016/679, ktorý má názov „Vzťah k smernici 2002/58/ES“, stanovuje:
„Týmto nariadením sa fyzickým či právnickým osobám neukladajú dodatočné povinnosti, pokiaľ ide o spracúvanie v súvislosti s poskytovaním verejne dostupných elektronických komunikačných služieb vo verejných komunikačných sieťach v Únii, v prípadoch, keď podliehajú konkrétnym povinnostiam s rovnakým cieľom stanoveným v smernici [2002/58].“
3. Smernica 2002/58/ES
23.
Odôvodnenie 17 smernice 2002/58 stanovuje:
„Na účely tejto smernice súhlas užívateľa alebo účastníka, bez ohľadu na to či je účastník fyzickou alebo právnickou osobou, by mal mať rovnaký význam ako súhlas dátového subjektu definovaného a ďalej špecifikovaného [súhlas dotknutej osoby definovanej a ďalej špecifikovanej – neoficiálny preklad] v [smernici 95/46]. Súhlas môže byť vyjadrený akýmkoľvek vhodným spôsobom umožňujúcim vyjadrenie špecifického želania, ktoré nastane na základe slobodného a vecného rozhodnutia užívateľa, vrátane označenia poľa na webovej stránke internetu.“
24.
Pokiaľ nie je stanovené inak, na účely smernice 2002/58 platia definície v smernici 95/46 (
4
) a v smernici Európskeho parlamentu a Rady 2002/21/ES zo 7. marca 2002 o spoločnom regulačnom rámci pre elektronické komunikačné siete a služby (rámcová smernica) (
5
). V článku 2 písm. f) smernice 2002/58 je „súhlas“ užívateľa alebo účastníka vymedzený odkazom na súhlas dotknutej osoby v súlade so smernicou 95/46. Z toho vyplýva, že na účely smernice 2002/58 je definícia súhlasu totožná s definíciou uvedenou v článku 4 ods. 11 nariadenia 2016/679, ktorého znenie je uvedené v bode 14 týchto návrhov.
25.
V článku 12 ods. 2 a 3 smernice 2002/58 sa uvádza:
„2.   Členské štáty zabezpečia[,] aby mali účastníci možnosť určiť, či ich osobné údaje budú zaradené do verejného telefónneho zoznamu[,] a ak áno, ktoré budú zaradené, pokiaľ sú tieto údaje relevantné účelom zoznamu stanoveným poskytovateľom zoznamu, a možnosť overiť, opraviť alebo odstrániť také údaje. Nezaradenie do telefónneho zoznamu účastníkov, overenie, opravy alebo odstránenie takých údajov zo zoznamu musí byť bezplatné.
3.   Členské štáty môžu požadovať, aby pre akýkoľvek účel verejného telefónneho zoznamu, iný než je vyhľadanie kontaktných údajov osôb na základe ich mena prípadne minima ďalších identifikačných údajov, bol potrebný dodatočný súhlas účastníkov.“
B.
Belgické právo
26.
Prostredníctvom Wet van 13 juni 2005 betreffende de elektronische communicatie (zákon z 13. júna 2005 o elektronickej komunikácii) sa do belgického právneho poriadku preberá okrem iného smernica 2002/58. (
6
) Článkom 133 ods. 1 tohto zákona sa vykonáva článok 12 ods. 2 smernice 2002/58. Ďalšie ustanovenia WEC, ktoré sú relevantné pre navrhované odpovede na otázky položené vnútroštátnym súdom, sú uvedené nižšie.
IV. Konanie vo veci samej a konanie na Súdnom dvore
27.
Pokiaľ ide o skutkové okolnosti relevantné pre návrh na začatie prejudiciálneho konania podaný na Súdny dvor, 30. júla 2020 sporový senát GBA nariadil spoločnosti Proximus, aby i) bezodkladne prijala primerané opatrenia vzhľadom na odvolanie súhlasu sťažovateľa, a teda splnila požiadavky týkajúce sa spracúvania osobných údajov, ktoré stanovuje nariadenie 2016/679, ii) vyhovela žiadosti sťažovateľa o výkon jeho práva „na zabudnutie“ a iii) ukončila nezákonné spracúvanie údajov spočívajúce v odovzdávaní osobných údajov tretím poskytovateľom telefónnych zoznamov. Spoločnosti Proximus tiež vytkol nedodržanie článku 24 nariadenia 2016/679. Sporový senát GBA uložil spoločnosti Proximus pokutu vo výške 20000 eur za porušenia článkov 6, 7 a 12 nariadenia 2016/679 (ďalej len „napadnuté rozhodnutie“).
28.
Proximus podala proti napadnutému rozhodnutiu odvolanie na Hof van beroep te Brussel (Odvolací súd Brusel), ktorý položil Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Má sa článok 12 ods. 2 smernice 2002/58 v spojení s článkom 2 písm. f) tejto smernice a s článkom 95 [nariadenia 2016/679] vykladať v tom zmysle, že umožňuje, aby vnútroštátny dozorný orgán, ak vnútroštátne právne predpisy nestanovujú inak, vyžadoval ‚súhlas‘ účastníka v zmysle [nariadenia 2016/679] ako základ pre zverejnenie jeho osobných údajov vo verejných telefónnych zoznamoch a informačných službách o účastníckych číslach, ktoré zverejňuje tak samotný prevádzkovateľ, ako aj tretí poskytovatelia?
2.
Má sa právo na vymazanie podľa článku 17 [nariadenia 2016/679] vykladať v tom zmysle, že bráni tomu, aby vnútroštátny dozorný orgán kvalifikoval žiadosť účastníka o odstránenie z verejných telefónnych zoznamov a informačných služieb o účastníckych číslach ako žiadosť o vymazanie v zmysle článku 17 [nariadenia 2016/679]?
3.
Majú sa článok 24 a článok 5 ods. 2 [nariadenia 2016/679] vykladať v tom zmysle, že bránia tomu, aby vnútroštátny dozorný orgán vyvodil z povinnosti zodpovednosti upravenej v tomto nariadení záver, že prevádzkovateľ musí prijať vhodné technické a organizačné opatrenia na informovanie tretích prevádzkovateľov, konkrétne poskytovateľa telefonických služieb a iných poskytovateľov telefónnych zoznamov a informačných služieb o účastníckych číslach, ktorí získali údaje od tohto prvého prevádzkovateľa, o odvolaní súhlasu dotknutou osobou v súlade s článkom 6 v spojení s článkom 7 [nariadenia 2016/679]?
4.
Má sa článok 17 ods. 2 [nariadenia 2016/679] vykladať v tom zmysle, že bráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi verejných telefónnych zoznamov a informačných služieb o účastníckych číslach, ktorému bola predložená žiadosť o ukončenie zverejňovania údajov určitej osoby, prijať primerané opatrenia na informovanie prevádzkovateľov vyhľadávačov o uvedenej žiadosti o vymazanie?“
29.
Písomné pripomienky predložili Proximus, GBA, talianska, lotyšská, portugalská a rumunská vláda, ako aj Európska komisia.
30.
Proximus, GBA a Komisia predniesli ústne pripomienky a odpovedali na otázky Súdneho dvora na pojednávaní, ktoré sa konalo 9. februára 2022.
V. Posúdenie
A.
Prípustnosť prejudiciálnych otázok
31.
Proximus na úvod tvrdí, že časť prvej otázky, ktorá sa týka povinností telekomunikačných operátorov, na rozdiel od povinností uložených poskytovateľom telefónnych zoznamov, ako aj druhá a štvrtá otázka sú hypotetické a/alebo irelevantné vo vzťahu k otázkam, o ktorých má rozhodnúť vnútroštátny súd, a preto sú neprípustné.
32.
Podľa ustálenej judikatúry Súdneho dvora v rámci konania podľa článku 267 ZFEÚ prislúcha výlučne vnútroštátnemu súdu, ktorému bol spor predložený a ktorý musí prevziať zodpovednosť za vydávané súdne rozhodnutie, aby s prihliadnutím na osobitosti veci posúdil tak nevyhnutnosť prejudiciálneho rozhodnutia pre vydanie svojho rozsudku, ako aj relevantnosť otázok, ktoré kladie Súdnemu dvoru. Preto pokiaľ sa položené otázky týkajú výkladu práva Únie, Súdny dvor je v zásade povinný rozhodnúť. (
7
)
33.
Súdny dvor však môže odmietnuť rozhodovať o prejudiciálnej otázke, ktorú položil vnútroštátny súd, ak je zjavné, že požadovaný výklad práva Únie nemá nijaký vzťah k realite alebo k predmetu sporu vo veci samej, ak ide o problém hypotetickej povahy, alebo tiež vtedy, ak Súdny dvor nemá k dispozícii skutkové alebo právne podklady nevyhnutné na užitočné zodpovedanie otázok, ktoré sú mu položené. (
8
)
34.
V reakcii na tvrdenia spoločnosti Proximus o neprípustnosti navrhujem uviesť hlavné tvrdenia účastníkov konania predložené Súdnemu dvoru s cieľom posúdiť, či sú štyri položené prejudiciálne otázky natoľko vzdialené od predmetu sporu prejednávaného na vnútroštátnom súde, že nemajú nijaký vzťah k realite alebo k predmetu sporu vo veci samej, takže sú v celom rozsahu alebo čiastočne neprípustné.
35.
Proximus sa domnieva, že nie je povinná získať súhlas sťažovateľa na zaradenie jeho kontaktných údajov do svojich telefónnych zoznamov ani poskytnúť mu možnosť určiť, či jeho osobné údaje budú zaradené do týchto zoznamov. Podľa spoločnosti Proximus za tieto záležitosti zodpovedá telekomunikačný operátor (v tomto prípade spoločnosť Telenet). Z toho vyplýva, že sťažovateľ mal svoju žiadosť o odstránenie svojich kontaktných údajov z telefónnych zoznamov spoločnosti Proximus adresovať spoločnosti Telenet. Subsidiárne sa Proximus domnieva, že ustanovenia nariadenia 2016/679 týkajúce sa práva „na zabudnutie“ sú irelevantné, keďže odstránenie kontaktných údajov spočíva v zmene parametra „NNNNN“ v príslušnom zázname na „XXXXX“. Ide o opravu, nie o vymazanie údajov. Rovnako je neprimerané vyžadovať, aby Proximus informovala poskytovateľov vyhľadávačov o žiadosti sťažovateľa, keďže nie je isté, či títo poskytovatelia získali jeho kontaktné údaje od spoločnosti Proximus alebo od iného poskytovateľa telefónnych zoznamov.
36.
GBA zastáva názor, že zaradenie kontaktných údajov sťažovateľa do telefónnych zoznamov si vyžadovalo jeho predchádzajúci súhlas. Po tom, čo sťažovateľ informoval spoločnosť Proximus, že si už neželá takéto uvádzanie svojich údajov, sa ich ďalšie uvádzanie vo všetkých takýchto zoznamoch stalo nezákonným. Žiadosť sťažovateľa bola odvolaním jeho súhlasu a výkonom jeho práva „na zabudnutie“ v zmysle článku 17 nariadenia 2016/679. Podľa článku 17 ods. 2 nariadenia 2016/679 bola Proximus povinná informovať poskytovateľov vyhľadávačov o tejto žiadosti. Článok 5 ods. 2 a článok 24 nariadenia 2016/679 tiež umožňujú GBA vyžadovať, aby Proximus informovala telekomunikačného operátora a iných poskytovateľov telefónnych zoznamov o tejto žiadosti.
37.
Pripomienky talianskej vlády a Komisie sa vo veľkej miere zhodujú s pripomienkami, ktoré predložil GBA. Pripomienky lotyšskej, portugalskej a rumunskej vlády síce vychádzajú z podobného prístupu, obsahujú však aj nasledujúce výhrady. Lotyšská vláda poukazuje na to, že neexistuje nijaký právny základ, ktorý by umožňoval vyžadovať od každého poskytovateľa telefónnych zoznamov získanie samostatných súhlasov: jednotliví poskytovatelia, ktorí používajú údaje na ten istý účel, musia mať možnosť opierať sa o jediný súhlas udelený dotknutou osobou. Rumunská vláda sa domnieva, že na článok 5 ods. 2 a článok 24 nariadenia 2016/679 sa nemožno odvolávať spôsobom, ktorý presadzuje GBA, lebo tieto ustanovenia neukladajú prevádzkovateľom povinnosť nadviazať dialóg s inými prevádzkovateľmi. Portugalská vláda sa domnieva, že povinnosť prevádzkovateľa informovať tretie osoby vrátane poskytovateľov vyhľadávačov o žiadostiach o vymazanie údajov vyplýva z článku 19 nariadenia 2016/679, a nie z článku 17 ods. 2 tohto nariadenia.
38.
Na základe tohto stručného prehľadu hlavných tvrdení účastníkov konania predložených Súdnemu dvoru som presvedčený, že všetky štyri otázky položené vnútroštátnym súdom súvisia s predmetom sporu, ktorý mu bol predložený, a sú tak úzko prepojené, že žiadnu časť týchto otázok nemožno vyhlásiť za neprípustnú. Z tohto dôvodu navrhujem, aby Súdny dvor zamietol námietku neprípustnosti prejudiciálnych otázok vznesenú spoločnosťou Proximus.
B.
O veci samej
1. O prvej prejudiciálnej otázke
39.
Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa podľa článku 12 ods. 2 smernice 2002/58 v spojení s článkom 2 písm. f) tejto smernice a s článkom 95 nariadenia 2016/679 vyžaduje súhlas účastníka, ako je vymedzený v nariadení 2016/679, na zaradenie jeho kontaktných údajov do telefónnych zoznamov zverejnených telekomunikačným operátorom a/alebo inými poskytovateľmi telefónnych zoznamov.
40.
Článok 12 ods. 2 smernice 2002/58 vyžaduje, aby mali účastníci možnosť určiť, či ich osobné údaje budú zaradené do verejného telefónneho zoznamu. Z tejto požiadavky implicitne vyplýva zodpovedajúca povinnosť poskytnúť účastníkom možnosť výslovne sa rozhodnúť, či si želajú, aby ich údaje boli zaradené do takýchto zoznamov. Článok 12 ods. 3 smernice 2002/58 navyše uvádza, že na akýkoľvek účel verejného telefónneho zoznamu iný, než je vyhľadanie kontaktných údajov osôb na základe ich mena, sa môže požadovať „dodatočný súhlas“ účastníkov. (
9
) Z odkazu na „dodatočný súhlas“ v článku 12 ods. 3 tiež vyplýva, že článok 12 ods. 2 vyžaduje získanie súhlasu s takýmto zverejnením na úrovni prvého prevádzkovateľa.
41.
Ako sa uvádza v bodoch 23 a 24 týchto návrhov, na účely článku 2 písm. f) smernice 2002/58 sa pod pojmom „súhlas“ rozumie akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.
42.
Výraz „potvrdzujúci úkon“ v definícii súhlasu na účely smernice 2002/58 je ďalším náznakom toho, že účastníkom musí byť poskytnutá možnosť „vysloviť súhlas“ („opt‑in“) so zaradením svojich osobných údajov do verejného telefónneho zoznamu. V rozpore s tvrdením spoločnosti Proximus poskytovatelia telefónnych zoznamov nemôžu predpokladať, že účastník štandardne súhlasí so zaradením svojich kontaktných údajov do verejného telefónneho zoznamu, čo by sa tiež dalo označiť ako prístup založený na „vyslovení nesúhlasu“ („opt‑out“).
43.
Okrem toho Súdny dvor rozhodol, že z kontextového a systematického výkladu článku 12 smernice 2002/58 vyplýva, že súhlas v zmysle druhého odseku tohto článku sa vzťahuje na účel zverejnenia osobných údajov vo verejnom zozname, a nie na totožnosť konkrétneho poskytovateľa zoznamu. Súhlas udelený podľa článku 12 ods. 2 smernice 2002/58 sa teda vzťahuje na akékoľvek neskoršie spracovanie údajov inými podnikmi pôsobiacimi na trhu verejne prístupných telefónnych informačných služieb a telefónnych zoznamov, ak toto spracovanie údajov sleduje rovnaký účel. (
10
)
44.
Z toho vyplýva, že na účely zaradenia osobných údajov účastníka do telefónnych zoznamov zverejnených telekomunikačným operátorom a/alebo tretími poskytovateľmi zoznamov sa vyžaduje súhlas účastníka, ako je vymedzený v článku 4 ods. 11 nariadenia 2016/679. Ak takéto zverejnenie slúži na rovnaký účel, telekomunikačný operátor a/alebo tretí poskytovateľ, resp. poskytovatelia sa môžu opierať o ten istý súhlas.
45.
Dodávam, že článok 7 ods. 1 nariadenia 2016/679 stanovuje, že ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov. Poskytovateľ telefónnych zoznamov, akým je Proximus, nemôže predpokladať, že účastník udelil svoj súhlas, aj keď sa môže opierať o súhlas, ktorý účastník poskytol inému prevádzkovateľovi.
46.
Proximus sa odvoláva na odôvodnenia 38 a 39 smernice 2002/58 s cieľom podporiť tvrdenia, že akúkoľvek povinnosť: i) informovať účastníkov o účele telefónnych zoznamov, v ktorých sa majú uviesť ich osobné údaje, a ii) poskytnúť im možnosť určiť, či ich osobné údaje budú zaradené do verejného telefónneho zoznamu, má výlučne telekomunikačný operátor, s ktorým má účastník uzavretú zmluvu. Znenie uvedených odôvodnení nepodporuje toto tvrdenie. Odôvodnenie 38 poukazuje na to, že „poskytovatelia verejných zoznamov“ musia „svojich účastníkov zahrnutých v zoznamoch informovať o účele zoznamu…“. V odôvodnení 39 sa uvádza, že „povinnosť informovať účastníkov o účele verejných telefónnych zoznamov, v ktorých sa majú uviesť ich osobné údaje, by mala byť uložená subjektu, ktorý zhromažďuje také údaje“.
47.
Keďže Telenet nezverejňuje telefónne zoznamy, nevzťahuje sa na ňu ani jedno z týchto odôvodnení. Hoci telekomunikačný operátor môže získať súhlas účastníkov na účely zaradenia ich údajov do zoznamov poskytovaných tretími osobami a tieto tretie osoby sa následne môžu opierať o tento súhlas a vedieť preukázať, že takýto súhlas bol udelený telekomunikačnému operátorovi, z odôvodnení 38 a 39 smernice 2002/58 nevyplýva, že povinnosť získať tento súhlas majú len telekomunikační operátori, v dôsledku čoho sú tretí poskytovatelia telefónnych zoznamov zbavení povinností a zodpovednosti, ktoré v tejto súvislosti majú.
48.
Napokon, keďže smernica 2002/58 výslovne preberá definíciu súhlasu uvedenú v nariadení 2016/679, diskusia vyvolaná spoločnosťou Proximus v súvislosti s výkladom článku 95 nariadenia 2016/679 a vzťahom medzi nariadením 2016/679 a smernicou 2002/58, ktorý charakterizovala ako vzťah „lex generalis/lex specialis“, je irelevantná.
49.
Preto navrhujem, aby Súdny dvor odpovedal na prvú prejudiciálnu otázku tak, že podľa článku 12 ods. 2 smernice 2002/58 v spojení s článkom 2 písm. f) tejto smernice a s článkom 95 nariadenia 2016/679 sa na účely zaradenia kontaktných údajov účastníka do telefónnych zoznamov zverejnených telekomunikačným operátorom a/alebo inými poskytovateľmi telefónnych zoznamov vyžaduje „súhlas“ účastníka, ako je vymedzený v článku 4 ods. 11 nariadenia 2016/679.
2. O druhej prejudiciálnej otázke
50.
Druhou otázkou sa vnútroštátny súd pýta, či žiadosť účastníka o odstránenie jeho údajov z telefónnych zoznamov predstavuje výkon „práva na vymazanie“ stanoveného v článku 17 nariadenia 2016/679.
51.
Proximus tvrdí, že tretí poskytovateľ telefónnych zoznamov nie je povinný vybaviť žiadosť účastníka o odstránenie údajov zo zoznamov, keďže článok 17 nariadenia 2016/679 sa na túto tretiu osobu nevzťahuje. Účastník by mal svoju žiadosť adresovať telekomunikačnému operátorovi, s ktorým má uzavretú zmluvu. Proximus opäť tvrdí, že vzťah medzi nariadením 2016/679 a smernicou 2002/58 je vzťahom lex generalis/lex specialis.
52.
Proximus subsidiárne uvádza, že žiadosť sťažovateľa o „nezaradenie telefónneho čísla… do 1207.be“ je žiadosťou o opravu v zmysle článku 16 nariadenia 2016/679, a nie žiadosťou o vymazanie podľa článku 17 nariadenia 2016/679, keďže príslušný parameter v zázname sťažovateľa sa len zmení z „NNNNN“ na „XXXXX“.
53.
Článok 12 ods. 2 smernice 2002/58 stanovuje, že účastníci musia mať možnosť „opraviť alebo odstrániť“ osobné údaje, vo vzťahu ku ktorým udelili súhlas na zaradenie do telefónnych zoznamov. Smernica 2002/58 nedefinuje pojmy „opraviť alebo odstrániť“. Je preto potrebné zohľadniť obvyklý význam týchto slov v kontexte, v ktorom sú použité, t. j. v kontexte zaradenia kontaktných údajov účastníkov do telefónnych zoznamov. Slovo „opraviť“ sa jednoznačne vzťahuje na situácie, keď si účastník želá zmeniť spôsob, akým sú jeho údaje uvedené v zozname, napríklad opravou pravopisu mena alebo nepresnosti v adrese. Táto situácia sa líši od situácie, ktorá nastala v prejednávanej veci, keď si sťažovateľ želá, aby sa jeho kontaktné údaje už neuvádzali vo verejných telefónnych zoznamoch. V rámci významov slova „odstrániť“ sa uvádza „dať preč“, „zrušiť“ alebo „vyradiť“. Možno konštatovať, že sťažovateľ tým, že už nesúhlasil so spracúvaním svojich údajov prostredníctvom zaradenia do telefónnych zoznamov, požiadal o odstránenie svojich osobných údajov v zmysle článku 12 ods. 2 smernice 2002/58.
54.
Ako zdôrazňuje lotyšská vláda, smernica 2002/58 neobsahuje nijaké ďalšie zmienky o spôsoboch, vybavovaní a dôsledkoch žiadostí o „odstránenie“ osobných údajov. Ustanovenia nariadenia 2016/679 sa teda uplatňujú priamo, v dôsledku čoho tvrdenie spoločnosti Proximus založené na vzťahu týchto aktov ako vzťahu lex generalis/lex specialis nemôže obstáť. Podľa článku 7 ods. 3 nariadenia 2016/679 má dotknutá osoba právo kedykoľvek odvolať svoj súhlas. Článok 6 ods. 1 písm. a) nariadenia 2016/679 stanovuje, že po odvolaní súhlasu spracúvanie údajov účastníka na konkrétny účel zaradenia do telefónnych zoznamov už nie je zákonné. To následne vedie k uplatneniu článku 17 nariadenia 2016/679.
55.
Proximus tvrdí, že tento výklad nemôže byť správny, lebo by znamenal, že tak ona, ako aj spoločnosť Telenet by boli povinné vymazať záznam sťažovateľa zo všetkých svojich databáz. GBA a ostatní účastníci konania, ktorí predložili pripomienky Súdnemu dvoru, sa domnievajú, že žiadosť sťažovateľa sa obmedzuje na odstránenie jeho údajov z telefónnych zoznamov, a nie na ich vymazanie z databázy účastníkov spoločnosti Telenet.
56.
Sťažovateľ sa usiluje zabrániť spracúvaniu svojich údajov na účely súvisiace s telefónnymi zoznamami. Článok 17 ods. 1 písm. b) nariadenia 2016/679, ktorý umožňuje odvolať súhlas, na základe ktorého sa spracúvanie vykonáva, uľahčuje splnenie jeho želania. Súhlas, ktorý sa má získať od účastníka podľa článku 12 ods. 2 smernice 2002/58, sa týka spracovania údajov konkrétnym spôsobom, a to na účely zverejnenia v telefónnych zoznamoch. Keď dôjde k odvolaniu tohto súhlasu, tento konkrétny spôsob spracúvania údajov účastníka sa stáva nezákonným. V opačnom prípade by účastník nemohol odvolať svoj súhlas na účely zverejnenia v telefónnych zoznamoch bez toho, aby súčasne nevypovedal zmluvu o poskytovaní telekomunikačných služieb.
57.
Preto navrhujem, aby Súdny dvor odpovedal na druhú prejudiciálnu otázku tak, že žiadosť účastníka o odstránenie jeho údajov z telefónnych zoznamov predstavuje výkon „práva na vymazanie“ stanoveného v článku 17 nariadenia 2016/679.
3. O tretej prejudiciálnej otázke
58.
Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či podľa článku 5 ods. 2 a článku 24 nariadenia 2016/679 môže vnútroštátny dozorný orgán dospieť k záveru, že prevádzkovateľ musí prijať vhodné technické a organizačné opatrenia na informovanie tretích prevádzkovateľov, konkrétne telekomunikačného operátora a iných poskytovateľov telefónnych zoznamov, ktorí získali údaje od tohto prvého prevádzkovateľa, o odvolaní súhlasu dotknutou osobou v súlade s článkom 6 v spojení s článkom 7 nariadenia 2016/679.
59.
V rámci tejto otázky je „prevádzkovateľom“ Proximus a „tretími prevádzkovateľmi“ sú: i) telekomunikačný operátor – Telenet –, s ktorou má sťažovateľ uzavretú účastnícku zmluvu o telefónnych službách, a ii) poskytovateľ, resp. poskytovatelia telefónnych zoznamov, ktorým Proximus poskytuje údaje účastníkov vrátane údajov získaných od spoločnosti Telenet.
60.
Keďže telekomunikačný operátor neposkytuje telefónne zoznamy a na zaradenie kontaktných údajov účastníkov do telefónnych zoznamov je potrebné získať súhlas, vzniká otázka, prečo by malo byť relevantné informovať telekomunikačného operátora o odvolaní súhlasu účastníka s použitím jeho údajov na tento účel.
61.
WEC vyžaduje, aby telekomunikační operátori poskytovali kontaktné údaje účastníkov poskytovateľom telefónnych zoznamov. (
11
) Aby im však umožnili získať kópiu telefónneho zoznamu, musia „oddelene uchovávať“ kontaktné údaje účastníkov, ktorí uviedli, že si neželajú byť zaradení do tohto zoznamu. (
12
) Ako sa uvádza v bode 4 týchto návrhov, odvolanie súhlasu sa uskutočňuje prostredníctvom úpravy parametrov v zázname účastníka. Proximus po prijatí oznámenia o odvolaní súhlasu aktualizuje svoju databázu. Táto aktualizácia sa však prepíše, keď Proximus dostane od telekomunikačného operátora ďalší súbor údajov účastníkov na účely zaradenia týchto údajov do telefónnych zoznamov a telekomunikačný operátor nebol informovaný o žiadosti účastníka, aby sa jeho údaje neuvádzali vo verejnom telefónnom zozname. Proximus teda musí nielen aktualizovať svoju vlastnú databázu s cieľom zohľadniť odvolanie súhlasu účastníka, ale musí tiež informovať telekomunikačného operátora o tomto odvolaní súhlasu.
62.
Proximus tak tvrdí, že je len „príjemcom, ktorému boli osobné údaje poskytnuté“ v zmysle článku 19 nariadenia 2016/679. Preto sa na ňu nevzťahuje povinnosť prevádzkovateľov prijať primerané opatrenia na informovanie ostatných prevádzkovateľov o žiadostiach o vymazanie, ktorá je zakotvená v článku 17 ods. 2 nariadenia 2016/679. Podľa spoločnosti Proximus z toho vyplýva, že je nesprávne vykladať článok 5 ods. 2 a článok 24 nariadenia 2016/679 tak, že jej ukladajú povinnosť informovať telekomunikačného operátora a iných poskytovateľov telefónnych zoznamov o žiadostiach o vymazanie, ktoré sú jej doručené.
63.
Ťažko môžem súhlasiť s tým, že Proximus je len príjemcom osobných údajov. Hoci mohla získať kontaktné údaje sťažovateľa od spoločnosti Telenet, zverejnenie týchto údajov v jej telefónnych zoznamoch predstavuje spracúvanie údajov v zmysle článku 4 ods. 2 nariadenia 2016/679. V tomto kontexte Proximus koná ako prevádzkovateľ v zmysle článku 4 ods. 7 nariadenia 2016/679. (
13
) Podľa článku 5 ods. 2 a článku 24 nariadenia 2016/679 sa na prevádzkovateľov vzťahujú povinnosti týkajúce sa zodpovednosti a prijímania vhodných opatrení, aby zabezpečili, že spracúvanie sa vykonáva v súlade s nariadením 2016/679.
64.
Článok 5 ods. 1 písm. a) nariadenia 2016/679 stanovuje, že osobné údaje musia byť spracúvané zákonným spôsobom. Podľa článku 6 ods. 1 písm. a) uvedeného nariadenia je spracúvanie zákonné iba vtedy a iba v tom rozsahu, keď dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely. Z rozhodnutia vnútroštátneho súdu vyplýva, že sťažovateľ v zmysle článku 7 nariadenia 2016/679 odvolal svoj súhlas so spracúvaním jeho osobných údajov na účely zverejňovania v telefónnych zoznamoch. Takéto spracúvanie vrátane spracúvania vykonávaného inými poskytovateľmi telefónnych zoznamov na ten istý účel nie je v súlade s nariadením 2016/679. Je teda nezákonné.
65.
V súlade s týmto konštatovaním, ako aj s požiadavkami na informácie stanovenými v článku 17 ods. 2 a článku 19 nariadenia 2016/679 vnútroštátny dozorný orgán môže z povinnosti zodpovednosti upravenej v článku 5 ods. 2 nariadenia 2016/679 a z povinnosti zabezpečiť a byť schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením, upravenej v článku 24 nariadenia 2016/679, vyvodiť záver, že prevádzkovateľ musí prostredníctvom vhodných technických a organizačných opatrení informovať iných prevádzkovateľov, konkrétne poskytovateľa telekomunikačných služieb a iných poskytovateľov telefónnych zoznamov, ktorí získali údaje od tohto prvého prevádzkovateľa, o odvolaní súhlasu dotknutou osobou v súlade s článkom 6 v spojení s článkom 7 nariadenia 2016/679.
66.
Rumunská vláda poznamenáva, že článok 17 ods. 2 nariadenia 2016/679 obsahuje požiadavky na informácie požadované od poskytovateľov vyhľadávačov pri podaní žiadosti o vymazanie. Bolo by teda neprimerané, aby sa vnútroštátny dozorný orgán opieral o článok 5 ods. 2 a článok 24 nariadenia 2016/679, a to najmä preto, že tieto ustanovenia neobsahujú konkrétne povinnosti upravujúce poskytovanie informácií tretím osobám.
67.
Podľa môjho názoru článok 5 ods. 2 a článok 24 nariadenia 2016/679 ukladajú prevádzkovateľom všeobecné povinnosti týkajúce sa zodpovednosti a dodržiavania predpisov. Ich široká formulácia a rozsah pôsobnosti umožňuje zjednodušiť postup vnútroštátnemu dozornému orgánu, ktorý chce uložiť prevádzkovateľom informačné povinnosti voči tretím osobám. Je pravda, že článok 17 ods. 2 a článok 19 nariadenia 2016/679 stanovujú konkrétne informačné povinnosti, pokiaľ ide o „prevádzkovateľov“ (vo vzťahu k údajom, ktoré boli zverejnené a ktoré sú predmetom žiadosti o vymazanie) a „príjemcov“. Tieto ustanovenia sa však nevzťahujú na posudzovanú skutkovú situáciu, keď z dôvodu interakcie databáz rôznych dotknutých strán vzniká potreba informovať telekomunikačného operátora o odvolaní súhlasu, bez ktorého Proximus a poskytovatelia používajúci údaje účastníkov získané od spoločnosti Proximus v konečnom dôsledku spracúvajú údaje nezákonným spôsobom.
68.
Tento výklad nariadenia 2016/679 vedie k tomu, že účastník môže oznámiť odvolanie svojho súhlasu (v prejednávanej veci žiadosť o nezaradenie kontaktných údajov do telefónnych zoznamov) ktorémukoľvek subjektu, ktorý zaraďuje tieto informácie do telefónnych zoznamov, alebo ktorémukoľvek subjektu (vrátane telekomunikačného operátora), ktorý poskytuje tieto informácie na ten istý účel iným subjektom. Subjekt, na ktorý sa účastník rozhodne obrátiť, sa stáva zodpovedným za postúpenie jeho žiadosti o vymazanie ostatným prevádzkovateľom v rozsahu potrebnom na zabezpečenie toho, aby sa údaje nespracúvali nezákonným spôsobom. Takýto výklad je v súlade s povinnosťou uľahčiť dotknutým osobám výkon ich práv podľa článkov 15 až 22 nariadenia 2016/679, ktorú prevádzkovateľom ukladá článok 12 ods. 2 nariadenia 2016/679. Odzrkadľuje tiež požiadavku uvedenú v článku 7 ods. 3 poslednej vete nariadenia 2016/679, podľa ktorej odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie. Keďže poskytovateľ telefónnych zoznamov sa môže opierať o súhlas na spracúvanie údajov, ktorý účastník udelil na tento účel inému poskytovateľovi, vyplýva z toho, že účastník musí mať na účely odvolania súhlasu možnosť obrátiť sa na ktoréhokoľvek poskytovateľa telefónnych zoznamov alebo telekomunikačného operátora s cieľom dosiahnuť odstránenie svojich kontaktných údajov z telefónnych zoznamov zverejnených všetkými subjektmi, ktoré sa opierajú o jeho jediný súhlas.
69.
Navrhujem teda odpovedať na tretiu prejudiciálnu otázku tak, že podľa článku 5 ods. 2 a článku 24 nariadenia 2016/679 vnútroštátny dozorný orgán môže dospieť k záveru, že prevádzkovateľ musí prijať vhodné technické a organizačné opatrenia na informovanie tretích prevádzkovateľov, konkrétne telekomunikačného operátora a iných poskytovateľov telefónnych zoznamov, ktorí získali údaje od tohto prvého prevádzkovateľa, o odvolaní súhlasu dotknutou osobou v súlade s článkom 6 v spojení s článkom 7 nariadenia 2016/679.
4. O štvrtej prejudiciálnej otázke
70.
Svojou štvrtou otázkou sa vnútroštátny súd v podstate pýta, či článok 17 ods. 2 nariadenia 2016/679 bráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi telefónnych zoznamov informovať poskytovateľov vyhľadávačov o žiadostiach o vymazanie, ktoré mu boli doručené.
71.
Z tejto otázky implicitne vyplýva názor vnútroštátneho súdu, že sťažovateľ si už neželal, aby boli jeho kontaktné údaje prístupné verejnosti na internete prostredníctvom vyhľadávačov.
72.
Ako sa uvádza v bode 62 týchto návrhov, Proximus zastáva názor, že článok 17 ods. 2 nariadenia 2016/679 sa na ňu nevzťahuje, lebo je len príjemcom osobných údajov. Proximus subsidiárne tvrdí, že podľa článku 17 ods. 2 nariadenia 2016/679 je povinná prijať primerané opatrenia len na účely informovania prevádzkovateľov o tom, že dotknutá osoba žiada o vymazanie svojich údajov. (
14
) V prípade, že Proximus nesprístupní údaje priamo poskytovateľom vyhľadávačov, „nie je stopercentne isté“, že títo poskytovatelia získali kontaktné údaje sťažovateľa od spoločnosti Proximus, a mohli ich získať od iného poskytovateľa telefónnych zoznamov. Za týchto okolností by bolo neprimerané vyžadovať od spoločnosti Proximus, aby po doručení žiadosti sťažovateľa priamo kontaktovala poskytovateľov vyhľadávačov.
73.
Z mnou navrhovanej odpovede na druhú prejudiciálnu otázku vyplýva, že žiadosť účastníka o odstránenie údajov z telefónnych zoznamov vedie k uplatneniu povinnosti, ktorú článok 17 ods. 2 nariadenia 2016/679 ukladá prevádzkovateľovi, prijať len primerané opatrenia, aby informoval prevádzkovateľov spracúvajúcich osobné údaje, že dotknutá osoba žiada o vymazanie všetkých odkazov na tieto osobné údaje, ich kópie alebo repliky.
74.
Vzniká teda otázka, či sú poskytovatelia vyhľadávačov prevádzkovateľmi. Indexovanie a sprístupnenie osobných údajov používateľom internetu v zozname výsledkov vyhľadávania predstavuje spracúvanie osobných údajov v zmysle článku 4 ods. 2 nariadenia 2016/679. Keďže poskytovatelia vyhľadávačov rozhodujú o spôsobe indexovania týchto údajov a sú zodpovední za vývoj algoritmu, ktorý určuje poradie, v akom sa zobrazujú výsledky vyhľadávania, určujú účely a prostriedky spracúvania osobných údajov, čím konajú ako prevádzkovatelia na účely článku 4 ods. 7 nariadenia 2016/679. (
15
)
75.
Stále platí požiadavka, aby Proximus prijala len primerané opatrenia vrátane technických opatrení s cieľom informovať poskytovateľov vyhľadávačov o žiadosti o vymazanie údajov.
76.
Na účely posúdenia primeranosti prijatých opatrení sa v článku 17 ods. 2 nariadenia 2016/679 stanovuje, že sa má zohľadniť dostupná technológia a náklady na vykonanie opatrení, pričom táto úloha prináleží predovšetkým orgánu príslušnému v týchto veciach a podlieha súdnemu preskúmaniu. V bode 10 týchto návrhov sa uvádza, že Proximus oznámila sťažovateľovi, že bude informovať spoločnosť Google o jeho žiadosti o vymazanie. GBA vo svojich pripomienkach predložených Súdnemu dvoru uviedol, že v druhom štvrťroku 2020 existoval v Belgicku obmedzený počet poskytovateľov vyhľadávačov na čele so spoločnosťou Google, ktorej podiel na trhu sa pohyboval od 90 % (pokiaľ ide o vyhľadávanie na počítačoch) do 99 % (pokiaľ ide o vyhľadávanie na smartfónoch a tabletoch) (
16
). Už len na základe tejto skutočnosti sa javí ako neopodstatnený záver, že by bolo neprimerané požadovať od spoločnosti Proximus, aby informovala poskytovateľov vyhľadávačov o takýchto žiadostiach o vymazanie, ktoré sú jej doručené.
77.
V každom prípade nie som presvedčený o tom, že pri posudzovaní „primeranosti“ opatrení, ktoré má Proximus prijať na informovanie konkrétneho poskytovateľa vyhľadávača v zmysle článku 17 ods. 2 nariadenia 2016/679, sa má zohľadniť skutočnosť, či bolo „stopercentne isté“, že príslušný poskytovateľ vyhľadávača získal údaje, ktoré sa majú vymazať, od spoločnosti Proximus. Za presvedčivé nepovažujem ani tvrdenie, že vzhľadom na to, že nie je „stopercentne isté“, že poskytovatelia vyhľadávačov získali údaje sťažovateľa od spoločnosti Proximus, bolo by neprimerané vyžadovať od spoločnosti Proximus, aby prijala všetky opatrenia na dodržanie článku 17 ods. 2 nariadenia 2016/679.
78.
Keby sa prevádzkovateľom umožnilo vyhnúť sa zodpovednosti za spracovanie osobných údajov na základe možnosti, že predmetné údaje neboli získané od nich, v mnohých situáciách, keď sú údaje prepojené odkazmi alebo skopírované na internete, by akákoľvek povinnosť v tejto súvislosti bola zbavená potrebného účinku. Takýto prístup by dokonca mohol byť nepriaznivým stimulom na šírenie údajov s cieľom vyhnúť sa uplatneniu tejto povinnosti. Okrem toho, ak by sa argumentácia spoločnosti Proximus dotiahla do logického záveru, nijaký poskytovateľ zoznamov by nebol zodpovedný za dodržiavanie článku 17 ods. 2 nariadenia 2016/679 prostredníctvom informovania poskytovateľov vyhľadávačov o žiadosti sťažovateľa, lebo všetci títo poskytovatelia by sa mohli spoliehať na akúkoľvek neistotu týkajúcu sa pôvodu údajov. Okrem toho, keďže Telenet nezverejňuje telefónne zoznamy, poskytovatelia vyhľadávačov nemohli získať údaje od telekomunikačného operátora. To znamená, že účastník by musel zistiť, kde sú jeho kontaktné údaje dostupné, a adresovať žiadosť o vymazanie každému subjektu, ktorý ich zverejňuje. Takýto prístup by bol zjavne nezlučiteľný s článkom 7 ods. 3 nariadenia 2016/679, ktorý stanovuje, že odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
79.
Preto navrhujem, aby Súdny dvor odpovedal na štvrtú prejudiciálnu otázku tak, že článok 17 ods. 2 nariadenia 2016/679 nebráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi telefónnych zoznamov informovať poskytovateľov vyhľadávačov o žiadostiach o vymazanie, ktoré mu boli doručené.
VI. Návrh
80.
Preto navrhujem, aby Súdny dvor odpovedal na prejudiciálne otázky, ktoré mu položil Hof van beroep te Brussel (Odvolací súd Brusel, Belgicko), takto:
1.
Podľa článku 12 ods. 2 smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 týkajúcej sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) v spojení s článkom 2 písm. f) tejto smernice a s článkom 95 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), sa na účely zaradenia kontaktných údajov účastníka do telefónnych zoznamov zverejnených telekomunikačným operátorom a/alebo inými poskytovateľmi telefónnych zoznamov vyžaduje „súhlas“ účastníka, ako je vymedzený v článku 4 ods. 11 všeobecného nariadenia o ochrane údajov.
2.
Žiadosť účastníka o odstránenie jeho údajov z telefónnych zoznamov predstavuje výkon „práva na vymazanie“ stanoveného v článku 17 všeobecného nariadenia o ochrane údajov.
3.
Podľa článku 5 ods. 2 a článku 24 všeobecného nariadenia o ochrane údajov vnútroštátny dozorný orgán môže dospieť k záveru, že prevádzkovateľ musí prijať vhodné technické a organizačné opatrenia na informovanie tretích prevádzkovateľov, konkrétne telekomunikačného operátora a iných poskytovateľov telefónnych zoznamov, ktorí získali údaje od tohto prvého prevádzkovateľa, o odvolaní súhlasu dotknutou osobou v súlade s článkom 6 v spojení s článkom 7 všeobecného nariadenia o ochrane údajov.
4.
Článok 17 ods. 2 všeobecného nariadenia o ochrane údajov nebráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi telefónnych zoznamov informovať poskytovateľov vyhľadávačov o žiadostiach o vymazanie, ktoré mu boli doručené.
(
1
)	Jazyk prednesu: angličtina.
(
2
)	Ú. v. EÚ L 119, 2016, s. 1 (ďalej len „nariadenie 2016/679“). Nariadením 2016/679 bola zrušená a nahradená smernica Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355).
(
3
)	Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514, naposledy zmenená smernicou Európskeho parlamentu a Rady 2009/136/ES (Ú. v. EÚ L 337, 2009, s. 11).
(
4
)	Článkom 94 nariadenia 2016/679 bola zrušená a nahradená smernica 95/46/ES. Článok 94 ods. 2 nariadenia 2016/679 stanovuje, že odkazy na smernicu 95/46/ES majú považovať za odkazy na nariadenie 2016/679.
(
5
)	Ú. v. ES L 108, 2002, s. 33; Mim. vyd. 13/029, s. 349. Pozri článok 2 smernice 2002/58.
(
6
)	Belgisch Staatsblad, 20. jún 2005, s. 28070 (ďalej len „WEC“).
(
7
)	Rozsudky z 1. apríla 2008, Vláda Francúzskeho spoločenstva a valónska vláda (C‑212/06, EU:C:2008:178, bod 28); z 22. októbra 2009, Zurita García a Choque Cabrera (C‑261/08 a C‑348/08, EU:C:2009:648, bod 34), a z 19. novembra 2009, Filipiak (C‑314/08, EU:C:2009:719, bod 40).
(
8
)	Rozsudok z 22. októbra 2009, Zurita García a Choque Cabrera (C‑261/08 a C‑348/08, EU:C:2009:648, bod 35).
(
9
)	V rovnakom zmysle pozri odôvodnenie 39 smernice 2002/58, v ktorom je vysvetlená požiadavka „nového súhlasu“ v prípade, ak sa údaje majú použiť na „iné účely než sú tie, na ktoré boli zhromažďované“.
(
10
)	Rozsudok z 5. mája 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, body 61 až 67).
(
11
)	Článok 45 ods. 2 a článok 46 ods. 2 WEC.
(
12
)	Článok 45 ods. 3 WEC.
(
13
)	Podľa článku 4 ods. 7 nariadenia 2016/679 je „prevádzkovateľ“ fyzická alebo právnická osoba, ktorá určí účely a prostriedky spracúvania osobných údajov. Článok 4 ods. 2 nariadenia 2016/679 stanovuje, že „spracúvanie“ osobných údajov zahŕňa ich „poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom“.
(
14
)	Alebo opravu, ako uvádza Proximus.
(
15
)	Pozri tiež odôvodnenie 66 nariadenia 2016/679, ktoré potvrdzuje, že cieľom týchto ustanovení je posilniť právo na zabudnutie v online prostredí. Tento záver je podporený rozsudkom z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje) (C‑136/17, EU:C:2019:773, body 34 a 35).
(
16
)	Pre ďalšie informácie pozri: https://www.pure‑im.nl/blog/marktaandelen‑zoekmachines‑q2‑2020/.