62023CC0169
CONCLUZIILE AVOCATULUI GENERAL
DOAMNA LAILA MEDINA
prezentate la 6 iunie 2024 (
1
)
Cauza C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
împotriva
UC
[cerere de decizie preliminară formulată de Kúria (Curtea Supremă, Ungaria)]
„Cerere de decizie preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Prelucrarea datelor pentru eliberarea unui certificat COVID-19 – Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată – Articolul 14 alineatul (1) – Derogări de la obligația de a furniza informații – Obținerea sau divulgarea prevăzută în mod expres de legislația Uniunii sau a statului membru – Măsuri corespunzătoare pentru protecția intereselor legitime ale persoanei vizate – Articolul 14 alineatul (5) litera (c) – Dreptul de a depune plângere la o autoritate de supraveghere – Articolul 77”
I. Introducere
1.
Una dintre cele mai importante obligații ale operatorului de date este obligația de a furniza informații persoanei vizate. În Concluziile sale prezentate în cauza Bara, avocatul general Gruz Villallón a exprimat acest lucru în mod elocvent atunci când a afirmat că cerința informării persoanelor vizate „garantează transparența oricărei prelucrări“ (
2
). Obligația de informare corespunde unui drept esențial al persoanei vizate de a primi informații despre prelucrarea datelor sale. În doctrină se observă (
3
) că dreptul la informare „ilustrează” principiul transparenței și „reprezintă punctul central” pentru toate celelalte drepturi. Într‑adevăr, cerințele extinse în materie de informare permit persoanei vizate să își exercite alte drepturi importante recunoscute de Regulamentul (UE) 2016/679 (
4
).
2.
Prezenta cauză se înscrie în contextul eliberării certificatelor COVID-19. Ea invită Curtea, pentru prima dată, să interpreteze o derogare importantă de la obligația de informare a operatorului de date, prevăzută la articolul 14 alineatul (5) litera (c) din RGPD. Derogarea pertinentă va fi analizată în raport cu competențele autorității de supraveghere în contextul unei plângeri depuse de persoana vizată.
II. Cadrul juridic
A.
Dreptul Uniunii Europene
3.
Articolul 14 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată”, prevede la alineatele (1), (2) și (5):
„(1)   În cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul furnizează persoanei vizate următoarele informații:
(a)
identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia;
(b)
datele de contact ale responsabilului cu protecția datelor, după caz;
(c)
scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;
(d)
categoriile de date cu caracter personal vizate;
(e)
destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz;
(f)
dacă este cazul, intenția operatorului de a transfera date cu caracter personal către un destinatar dintr‑o țară terță sau o organizație internațională și existența sau absența unei decizii a Comisiei [Europene] […]
(2)   Pe lângă informațiile menționate la alineatul (1), operatorul furnizează persoanei vizate următoarele informații necesare pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată:
(a)
perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;
(b)
în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță;
(c)
existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării și a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor;
(d)
atunci când prelucrarea se bazează pe articolul 6 alineatul (1) litera (a) sau pe articolul 9 alineatul (2) litera (a), existența dreptului de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia;
(e)
dreptul de a depune o plângere în fața unei autorități de supraveghere;
(f)
sursa din care provin datele cu caracter personal și, dacă este cazul, dacă acestea provin din surse disponibile public;
(g)
existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.
[…]
(5)   Alineatele (1)-(4) nu se aplică dacă și în măsura în care:
[…]
(c)
obținerea sau divulgarea datelor este prevăzută în mod expres de dreptul Uniunii sau de dreptul intern sub incidența căruia intră operatorul și care prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate;
[…]”
4.
Articolul 32 din RGPD, intitulat „Securitatea prelucrării”, prevede la alineatul (1):
„Având în vedere stadiul actual al dezvoltării, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu diferite grade de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc […]
[…]”
5.
Articolul 77 din RGPD, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede la alineatul (1):
„Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.”
B.
Dreptul maghiar
6.
Articolul 2 alineatul (1) literele (a)-(g) din a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (Decretul guvernamental 60/2021 din 12 februarie 2021 privind certificatul de imunitate împotriva coronavirusului, denumit în continuare „Decretul 60/2021”), în versiunea aplicabilă litigiului principal, prevede:
„Certificatul de imunitate trebuie să conțină:
a)
numele persoanei vizate;
b)
numărul pașaportului persoanei în cauză, dacă este disponibil;
c)
numărul și elementele de identificare din cartea de identitate permanentă a persoanei în cauză, dacă sunt disponibile;
d)
numărul de serie al certificatului de imunitate;
e)
în cazul în care se face dovada vaccinării, data vaccinării;
f)
în cazul în care se face dovada vindecării de infecție, data de valabilitate a dovezii;
g)
un cod de stocare a datelor care poate fi citit pe dispozitive informatice, generat pe baza datelor menționate la literele a)-f);
[…]”
7.
Potrivit articolului 2 alineatele (6) și (7) din Decretul 60/2021, certificatul de imunitate trebuia eliberat de Budapest Főváros Kormányhivatala (Serviciile Administrative din Budapesta‑Capitală, Ungaria, denumite în continuare „Serviciile Administrative din Budapesta”) persoanei fizice îndreptățite, fie din oficiu, fie la cerere.
8.
Articolul 3 alineatul (3) din Decretul 60/2021 prevede:
„În cazurile menționate la articolul 2 alineatul (6) literele c) și d), [Serviciile Administrative din Budapesta] colectează, prin transmiterea automată de informații – dacă este necesar, prin intermediul serviciilor competente ale összerendelési nyilvántartás [(Registrul de gestionare electronică a datelor de identificare, Ungaria)] –
a)
de la operatorul EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (Spațiul Serviciilor Electronice de Sănătate)]: numărul de asigurare socială al persoanei în cauză, datele menționate la articolul 2 alineatul (1) literele e) și g), precum și datele menționate la alineatul (1);
b)
de la organismul responsabil cu înregistrarea datelor cu caracter personal și a adreselor: numele, elementele de identificare din pașaport și din cartea de identitate permanentă și adresa persoanei în cauză.”
III. Litigiul principal și întrebările preliminare
9.
UC, persoană fizică, a primit de la Serviciile Administrative din Budapesta un certificat de imunitate care confirmă vaccinarea sa împotriva COVID-19.
10.
La 30 aprilie 2021, UC a depus o plângere în temeiul articolului 77 alineatul (1) din RGPD la Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoritatea Națională pentru Protecția Datelor și Libertatea de Informare, Ungaria, denumită în continuare „autoritatea de supraveghere maghiară”). UC a solicitat acestei autorități să oblige Serviciile Administrative din Budapesta la respectarea RGPD în ceea ce privește operațiunile sale de prelucrare a datelor sale. În plângerea sa, UC a susținut printre altele că Serviciile Administrative din Budapesta nu au întocmit și nu au publicat o notă de confidențialitate privind prelucrarea datelor referitoare la eliberarea certificatelor de imunitate și că nu existau suficiente informații cu privire la scopul și la temeiul juridic al prelucrării și nici cu privire la drepturile de care beneficiau persoanele vizate și la modul în care le puteau exercita.
11.
În cadrul procedurii inițiate ca urmare a depunerii plângerii, Serviciile Administrative din Budapesta au declarat că își exercitau atribuțiile referitoare la eliberarea certificatelor de imunitate în temeiul articolului 2 din Decretul 60/2021, temeiul juridic al prelucrării fiind articolul 6 alineatul (1) litera (e) din RGPD și, în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal, articolul 9 alineatul (2) punctul (i) din RGPD.
12.
Mai mult, Serviciile Administrative din Budapesta au precizat că, în conformitate cu articolul 3 alineatele (2) și (3) din Decretul 60/2021, colectaseră datele care urmau să fie prelucrate prin transmiterea automată de informații de la operatorul Spațiului Serviciilor Electronice de Sănătate și de la organismul responsabil cu înregistrarea datelor cu caracter personal și a adreselor. Ele au arătat că, în temeiul articolului 14 alineatul (5) litera (c) din RGPD, nu erau obligate să furnizeze informații privind prelucrarea. Totuși, au elaborat o notă de confidențialitate privind prelucrarea pertinentă și au publicat‑o pe site‑ul lor internet.
13.
Prin decizia din 15 noiembrie 2021 autoritatea de supraveghere maghiară a respins plângerea pentru motivul că Serviciile Administrative din Budapesta nu erau obligate să furnizeze informații, deoarece prelucrării în cauză trebuia să i se aplice derogarea prevăzută la articolul 14 alineatul (5) litera (c) din RGPD. Mai precis, această autoritate de supraveghere a considerat că Decretul 60/2021 constituia temeiul juridic al prelucrării și că Serviciile Administrative din Budapesta nu au obținut datele de la înseși persoanele vizate. În plus, ea a afirmat că articolul 3 alineatul (1) din Decretul 60/2021 impune în mod expres Serviciilor Administrative din Budapesta să colecteze datele. Faptul că Serviciile Administrative din Budapesta au publicat pe site‑ul lor internet informații privind prelucrarea datelor, chiar dacă nu erau obligate din punct de vedere juridic să facă acest lucru, constituie o bună practică.
14.
Autoritatea de supraveghere maghiară a examinat din oficiu chestiunea măsurilor adecvate pentru a proteja interesele legitime ale persoanei vizate, menționate la articolul 14 alineatul (5) litera (c) din RGPD, și a considerat că articolele 2 și 3 și 5-7 din Decretul 60/2021 trebuie considerate ca fiind astfel de măsuri.
15.
UC a contestat decizia autorității de supraveghere maghiare la Fővárosi Törvényszék (Înalta Curte din Budapesta, Ungaria). Această instanță a admis acțiunea, a anulat decizia autorității de supraveghere maghiare și a obligat‑o să inițieze o nouă procedură.
16.
În motivarea hotărârii sale, Fővárosi Törvényszék (Înalta Curte din Budapesta) a arătat că derogarea prevăzută la articolul 14 alineatul (5) litera (c) din RGPD nu era aplicabilă, deoarece unele dintre datele legate de certificatele de imunitate nu erau colectate de la un alt organism, ci au fost generate de către operatorul respectiv. Este vorba printre altele despre numărul de serie al certificatului de imunitate, perioada de valabilitate a certificatului, codul QR inclus în certificat, codul de bare și alte coduri alfanumerice generate de operator în timpul procedurii.
17.
Autoritatea de supraveghere maghiară a declarat un recurs extraordinar împotriva acestei hotărâri definitive a Fővárosi Törvényszék (Înalta Curte din Budapesta) în fața Kúria (Curtea Supremă, Ungaria).
18.
Cu privire la aplicarea derogării prevăzute la articolul 14 alineatul (5) litera (c) din RGPD, instanța de trimitere consideră că aceasta poate acoperi toate tipurile de prelucrare care nu privesc datele obținute de la persoana vizată în sensul articolului 13 din RGPD, inclusiv datele generate de operator.
19.
În cazul adoptării acestei interpretări a articolului 14 alineatul (5) litera (c) din RGPD, instanța de trimitere are îndoieli cu privire la întinderea competențelor corective ale autorităților naționale de supraveghere în contextul unei plângeri depuse în temeiul articolului 77 alineatul (1) din RGPD. Mai precis, instanța de trimitere are îndoieli în legătură cu aspectul dacă, în contextul unei asemenea plângeri, autoritatea de supraveghere are competența de a examina problema măsurilor adecvate prevăzute de dreptul național pentru a proteja interesele legitime ale persoanei vizate, la care se referă articolul 14 alineatul (5) litera (c) din RGPD.
20.
Dacă s‑ar considera că autoritatea de supraveghere deține această competență, instanța de trimitere nu este sigură care este sensul exact al noțiunii de „măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate”. În această privință, ea observă că se poate constata faptul că „măsurile adecvate” implică, pe de o parte, transpunerea în dreptul național a aspectelor enumerate la articolul 14 alineatul (1) literele (a)-(f) din RGPD. Pe de altă parte, măsurile respective ar putea implica dreptul de a solicita o examinare a securității prelucrării, reglementată de articolul 32 din RGPD. Totuși, această interpretare a noțiunii de „măsuri adecvate” ar risca să împovăreze legislația cu dispozițiile tehnice, ceea ce ar aduce atingere cerinței privind caracterul inteligibil și clar al textelor normative. Ar putea fi de asemenea o garanție suficientă respectarea măsurilor de securitate a datelor, chiar dacă nu au fost transpuse în mod specific.
21.
În acest context, Kúria (Curtea Supremă), a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„(1)
Articolul 14 alineatul (5) litera (c) coroborat cu articolul 14 alineatul (1) și cu considerentul (62) al [RGPD] trebuie interpretat în sensul că excepția prevăzută la articolul 14 alineatul (5) litera (c) nu se referă la datele generate de operator în cadrul propriei proceduri, ci numai la datele pe care operatorul le‑a obținut în mod expres de la o altă persoană?
(2)
În cazul în care articolul 14 alineatul (5) litera (c) din RGPD se aplică de asemenea datelor generate de operator în cadrul propriei proceduri, dreptul de a depune o plângere la o autoritate de supraveghere, prevăzut la articolul 77 alineatul (1) din RGPD, trebuie să fie interpretat în sensul că o persoană fizică ce invocă o încălcare a obligației de informare poate solicita, în exercitarea dreptului său de a depune o plângere, să se verifice dacă, în conformitate cu articolul 14 alineatul (5) litera (c) din RGPD, legislația statului membru prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate?
(3)
În cazul unui răspuns afirmativ la a doua întrebare, articolul 14 alineatul (5) litera (c) din RGPD poate fi interpretat în sensul că «măsurile adecvate» menționate în cuprinsul dispoziției respective implică faptul că legiuitorul național trebuie să transpună (prin intermediul unor norme juridice) măsurile privind securitatea datelor prevăzute la articolul 32 din RGPD?”
22.
UC, autoritatea de supraveghere maghiară, guvernul maghiar, precum și Comisia au depus observații scrise. În conformitate cu articolul 23 din Statutul Curții de Justiție a Uniunii Europene, Curtea a adresat întrebări cu solicitare de răspuns scris părților și părților interesate, la care au răspuns UC, guvernul ceh, guvernul maghiar și Comisia.
IV. Apreciere
A.
Observații introductive privind obligația de informare și derogarea de la articolul 14 alineatul (5) litera (c) din RGPD
23.
Furnizarea de informații persoanelor vizate este un element central al principiului transparenței prevăzut la articolul 5 alineatul (1) litera (a) din RGPD. Transparența „permite persoanelor vizate să tragă la răspundere operatorii de date și persoanele împuternicite de operatori”, întrucât le sporește posibilitatea de a exercita controlul asupra datelor lor (
5
). Într‑adevăr, după cum se afirmă în Hotărârea Bara și alții, „această cerință a informării persoanelor vizate de prelucrarea datelor lor cu caracter personal este cu atât mai importantă cu cât este o condiție necesară exercitării de către aceste persoane a dreptului lor de acces și de rectificare a datelor prelucrate” (
6
). Dispozițiile‑cheie în această privință sunt articolele 12, 13 și 14 din RGPD.
24.
Potrivit articolului 12 alineatul (1) din RGPD, operatorul trebuie să ia măsuri adecvate pentru a furniza informațiile menționate la articolele 13 și 14 „într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu”. De regulă, informațiile sunt comunicate în cadrul unei politici de confidențialitate, al unei note de confidențialitate sau al unei declarații de confidențialitate (
7
).
25.
Conținutul și domeniul de aplicare al obligației de informare sunt prevăzute la articolele 13 și 14 din RGPD. Articolul 13 reglementează informațiile care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată (colectarea directă), în timp ce articolul 14 reglementează informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată (colectarea indirectă) (
8
). Informațiile care trebuie furnizate în temeiul acestor două dispoziții se suprapun în mod semnificativ (
9
).
26.
În ceea ce privește colectarea indirectă de date, articolul 14 alineatul (1) din RGPD include în „catalogul de informații standard” (
10
) informațiile despre identitatea operatorului de date, scopurile prelucrării, destinatarii datelor și eventualul transfer al datelor către un destinatar dintr‑o țară terță. Printre informațiile suplimentare necesare pentru a garanta o prelucrare echitabilă și transparentă, articolul 14 alineatul (2) din RGPD face referire în mod expres la perioada pentru care sunt stocate datele cu caracter personal, interesele legitime urmărite de operator (
11
) sau existența dreptului de a solicita operatorului accesul la datele cu caracter personal, rectificarea sau ștergerea acestora.
27.
Obligația operatorului de date de a furniza informații în cazul unei colectări indirecte în temeiul articolului 14 din RGPD face obiectul a patru derogări, prevăzute la alineatul (5) din acesta. Derogarea pertinentă pentru cauza care face obiectul procedurii principale este cea stabilită la articolul 14 alineatul (5) litera (c), care conține o „clauză de deschidere” (
12
). Operatorul este scutit de obligația de a furniza informații atunci când și în măsura în care „obținerea sau divulgarea datelor este prevăzută în mod expres de dreptul Uniunii sau de dreptul intern sub incidența căruia intră operatorul” și legislația stabilește „măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate”.
28.
Versiunea în limba engleză a articolului 14 alineatul (5) litera (c) din RGPD, la fel ca alte versiuni lingvistice (
13
), nu face referire expresă la obiectul acțiunii de „obținere sau divulgare”. Mai multe alte versiuni lingvistice se referă în mod explicit la obținerea sau divulgarea de „date” (
14
). Se pare că numai versiunea în limba franceză se referă la obținerea sau la divulgarea de „informații” (
15
).
29.
Totuși, întrucât tuturor versiunilor lingvistice ale unui act al Uniunii trebuie, în principiu, să li se recunoască aceeași valoare, în caz de neconcordanță între aceste versiuni, dispoziția în cauză trebuie să fie interpretată în funcție de finalitatea și de economia generală a reglementării din care face parte (
16
).
30.
În această privință, din economia generală a normelor din care face parte articolul 14 alineatul (5) litera (c) din RGPD reiese cu claritate că obținerea sau divulgarea are ca obiect date cu caracter personal (iar nu informații). Din titlul articolului 14 rezultă deja că informațiile sunt „furnizate”, în timp ce acțiunea de obținere se referă la „date cu caracter personal”. Această interpretare este confirmată de considerentul (61), care menționează „datele cu caracter personal” obținute din altă sursă, și de considerentul (62), care menționează înregistrarea sau divulgarea „datelor cu caracter personal”. Mai mult, având în vedere sensul larg al noțiunii de „prelucrare” de la articolul 4 punctul 2 din RGPD, definită ca fiind orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal (
17
), „obținerea” sau „divulgarea” trebuie să fie calificată drept o operațiune de prelucrare efectuată asupra datelor cu caracter personal.
31.
În ceea ce privește scopul normelor din care face parte articolul 14 alineatul (5) litera (c), premisa pe care se întemeiază derogarea pertinentă pare a fi aceea că legislația Uniunii sau a statului membru înlocuiește obligația impusă în mod normal operatorului de a furniza informații privind obținerea sau divulgarea datelor sau se substituie acestei obligații (
18
). În virtutea legislației relevante, persoanele vizate vor avea deja cunoștințe suficiente despre obținerea sau divulgarea datelor (
19
). O astfel de legislație sub incidența căreia intră operatorul trebuie să privească în mod expres obținerea sau divulgarea datelor, iar obținerea sau divulgarea în cauză trebuie să fie obligatorie pentru operatorul de date (
20
).
32.
Prin urmare, din cele de mai sus rezultă în mod clar că obiectul derogării privind obținerea sau divulgarea privește datele cu caracter personal.
33.
Având în vedere aceste observații, vom examina în continuare derogarea prevăzută la articolul 14 alineatul (5) litera (c) din RGPD în contextul analizei întrebărilor preliminare.
B.
Prima întrebare
34.
Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 14 alineatul (5) litera (c) din RGPD trebuie interpretat în sensul că derogarea de la obligația operatorului de date de a furniza informații persoanei vizate există numai în cazul datelor pe care operatorul le‑a obținut în mod expres de la o altă persoană, cu excluderea datelor generate de operator în cadrul propriei proceduri.
35.
Această întrebare decurge din faptul că, în cauza care face obiectul procedurii principale, anumite date cuprinse în certificatele COVID-19 nu au fost obținute de un alt organism, ci au fost generate de Serviciile Administrative din Budapesta (
21
).
36.
Prin urmare, trebuie să se stabilească dacă noțiunea de „obținere” utilizată la articolul 14 alineatul (5) litera (c) din RGPD exclude datele generate de operator.
37.
Pentru a răspunde la această întrebare, trebuie amintit, cu titlu introductiv, că interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte (
22
).
38.
În conformitate cu modul de redactare a articolului 14 alineatul (5) litera (c) din RGPD, această dispoziție nu prevede o limitare în ceea ce privește un anumit tip de prelucrare sau metoda exactă prin care operatorul de date obține datele respective. Datele pot fi obținute printr‑o procedură tehnică, cum ar fi generarea datelor de către operator.
39.
Interpretarea în sens larg a noțiunii de „obținere” este confirmată de considerentul (62) al RGPD. Acest considerent utilizează noțiunea de „înregistrare” a datelor, operațiune care, după cum a arătat instanța de trimitere, se referă la un grup mai larg de operațiuni de prelucrare care pot fi efectuate de operatorul de date. Prin urmare, articolul 14 alineatul (5) litera (c) nu poate fi interpretat ca fiind aplicabil numai pentru datele obținute de la o altă entitate, iar nu și pentru datele generate de operator.
40.
Această interpretare a articolului 14 alineatul (5) litera (c) din RGPD este confirmată și de contextul în care apare dispoziția respectivă, precum și de obiectivele și scopul dispoziției în cauză.
41.
În această privință, trebuie să se arate că derogările prevăzute la articolul 14 alineatul (5) se referă la alineatele (1)-(4) ale aceluiași articol. Domeniul de aplicare material al articolului 14 (din care face parte derogarea pertinentă) este definit în mod negativ în raport cu articolul 13. În timp ce articolul 13 reglementează informațiile care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată, articolul 14 reglementează informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată. Din dihotomia dintre colectarea directă și indirectă a datelor rezultă că toate situațiile în care datele nu sunt obținute de la persoana vizată intră în domeniul de aplicare material al articolului 14. Este lipsit de relevanță aspectul dacă datele sunt generate de operator în măsura în care ele nu sunt obținute de la persoana vizată. Domeniul de aplicare material larg al articolului 14 este confirmat și de considerentul (61), care menționează datele „obținute din altă sursă”, și anume o altă sursă decât persoana vizată.
42.
Mai mult, după cum au observat Comisia și autoritatea de supraveghere maghiară, în esență, normele prevăzute la articolele 13 și 14 din RGPD formează un sistem cuprinzător care reglementează furnizarea de informații către persoana vizată în toate situațiile posibile. Dacă noțiunea de „obținere” de la articolul 14 alineatul (5) litera (c) din RGPD trebuie să fie interpretată în sensul că exclude datele generate de operator, această dispoziție ar avea un domeniu de aplicare mai restrictiv decât articolul 14, din care face parte.
43.
În ceea ce privește scopul specific al derogării pertinente, după cum s‑a arătat în observațiile introductive din prezentele concluzii, scutirea operatorului de furnizarea informațiilor se întemeiază pe premisa că legislația înlocuiește obligația impusă în mod normal operatorului de a furniza informații (
23
). Derogarea prevăzută la articolul 14 alineatul (5) litera (c) acordă statelor membre o marjă de apreciere pentru a prevedea o cale diferită de informare a persoanei vizate și pentru a asigura o prelucrare echitabilă și transparentă în raport cu informațiile furnizate de operator la nivel individual. Calea legală diferită trebuie să conducă însă la același rezultat. Legislația care înlocuiește obligația de informare impusă operatorilor trebuie să permită persoanei vizate să aibă controlul asupra datelor sale și să își exercite drepturile care îi revin în temeiul RGPD (
24
).
44.
Interpretarea articolului 14 alineatul (5) litera (c) în sensul că exclude din domeniul său de aplicare generarea datelor de către operator ar restrânge marja de apreciere lăsată statelor membre pe baza unui motiv care nu pare pertinent pentru protejarea intereselor legitime ale persoanei vizate.
45.
În plus, o interpretare diferită – care ar introduce o excepție de la derogarea prevăzută la articolul 14 alineatul (5) litera (c) atunci când datele sunt generate de către operatorul de date – ar risca să adauge un nivel suplimentar de complexitate pentru persoana vizată. Persoana vizată trebuie să aibă posibilitatea de a cunoaște din ce sursă va obține informații despre prelucrarea datelor sale în cazul în care aceste date nu sunt colectate de la persoana vizată însăși. Legislația relevantă trebuie să facă previzibilă prelucrarea pentru persoana vizată în toate situațiile de acest tip (
25
).
46.
Din cele de mai sus rezultă că articolul 14 alineatul (5) litera (c) din RGPD trebuie interpretat în sensul că derogarea de la obligația operatorului de a furniza informații persoanei vizate se aplică tuturor datelor pe care operatorul nu le‑a obținut de la persoana vizată. În această privință, nu este relevant aspectul dacă datele sunt obținute în mod expres de la o altă entitate sau sunt generate de operator în cadrul propriei proceduri.
C.
A doua întrebare
47.
Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 77 alineatul (1) din RGPD trebuie interpretat în sensul că, în contextul unei proceduri de soluționare a unei plângeri, autoritatea de supraveghere are competența de a examina dacă legislația statului membru sub incidența căreia intră operatorul prevede măsuri adecvate pentru protejarea intereselor legitime ale persoanei vizate, în vederea aplicării derogării prevăzute la articolul 14 alineatul (5) litera (c) din acest regulament.
48.
În această privință, trebuie amintit că, în primul rând, potrivit articolului 77 alineatul (1) din RGPD, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă acest regulament (
26
).
49.
În al doilea rând, potrivit articolului 55 alineatul (1) din regulamentul menționat, fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu același regulament pe teritoriul statului membru de care aparține (
27
). Mai mult, în conformitate cu articolul 57 alineatul (1) litera (a) din RGPD, autoritățile naționale de supraveghere sunt responsabile de monitorizarea și asigurarea aplicării RGPD.
50.
Dispozițiile citate la cele două puncte de mai sus nu exclud din sfera de competență a autorităților naționale de supraveghere condițiile de aplicare a derogării prevăzute la articolul 14 alineatul (5) litera (c) din RGPD.
51.
Astfel, după cum au susținut guvernul maghiar și Comisia, în esență, în contextul unei plângeri depuse în temeiul articolului 77 alineatul (1) din RGPD, autoritățile de supraveghere au competența de a verifica dacă sunt îndeplinite toate condițiile stabilite la articolul 14 alineatul (5) litera (c). După cum rezultă din prima teză a articolului 14 alineatul (5), toate derogările pe care le prevede se aplică „dacă și în măsura în care” sunt îndeplinite condițiile prevăzute în cadrul său.
52.
În această privință, autoritățile de supraveghere trebuie să aibă competența de a examina, mai precis, în primul rând, aspectul dacă legea se adresează în mod direct operatorului și dacă obținerea sau divulgarea datelor este obligatorie pentru operator (
28
). În al doilea rând, autoritățile de supraveghere trebuie să poată examina dacă legislația invocată de operator prevede „măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate” și dacă operatorul de date este în măsură să demonstreze că obținerea sau divulgarea datelor cu caracter personal este conformă cu aceste măsuri (
29
).
53.
Autoritatea de supraveghere maghiară susține că examinarea aspectului dacă dreptul național prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate ar depăși sarcinile și competențele care îi revin în temeiul articolelor 57 și, respectiv, 58 din RGPD. Această autoritate consideră că dispozițiile respective nu conferă autorităților de supraveghere competențe corective asupra legislației naționale și că nu este posibil să se exercite asemenea competențe în raport cu un operator care doar a respectat dreptul național.
54.
În această privință, trebuie subliniat faptul că examinarea de către o autoritate națională de supraveghere a aspectului dacă sunt îndeplinite toate cerințele pentru aplicarea derogării prevăzute la articolul 14 alineatul (5) litera (c) nu implică, după cum în mod corect a observat Comisia, examinarea validității legislației naționale. Autoritatea de supraveghere examinează numai aspectul dacă operatorul de date are dreptul să invoce derogarea în raport cu o anumită persoană vizată într‑o anumită situație.
55.
Prin urmare, revine autorității naționale de supraveghere sarcina de a examina cererea prin care o persoană vizată solicită să se stabilească faptul că operatorul de date nu trebuie să fie scutit de obligația de a furniza informații pentru motivul că legislația relevantă nu prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.
56.
Dacă autoritatea națională de supraveghere ajunge la concluzia că cererea menționată este nefondată, persoana care a introdus cererea și care contestă această apreciere trebuie, după cum reiese cu claritate din articolul 78 din RGPD, să aibă acces la căile de atac judiciare care îi permit să conteste o asemenea decizie în fața instanțelor naționale.
57.
În cazul în care autoritatea națională de supraveghere consideră că cererea este fondată și că nu sunt îndeplinite condițiile pentru derogare, aceasta are competența, după cum au susținut în esență guvernul maghiar și Comisia, de a obliga operatorul să se conformeze cererii persoanei vizate. În această situație, operatorul trebuie să furnizeze informațiile în conformitate cu articolul 14 alineatele (1)-(4).
58.
Ca răspuns la întrebările scrise adresate de Curte, guvernul ceh a susținut că examinarea caracterului adecvat al măsurilor de protecție a intereselor legitime ale persoanei vizate nu este posibilă atunci când dreptul național prevede, în mod specific, cu privire la o situație concretă, o excepție de la obligația de informare. Invocând Hotărârea Schrems (
30
), acest guvern observă în esență că examinarea compatibilității unui izvor de drept cu un alt izvor de drept este de competența exclusivă a instanțelor judecătorești, iar nu și a unei autorități administrative.
59.
În această privință, trebuie amintit că una dintre principalele probleme ridicate în cauza Schrems se referă la competențele autorităților naționale de supraveghere de a examina cererea unei persoane privind protecția drepturilor și libertăților sale în raport cu o decizie a Comisiei prin care se constată că o țară terță asigură un nivel adecvat de protecție (
31
). Curtea a statuat în esență că, cu ocazia examinării unei asemenea cereri, ele nu sunt abilitate să constate ele însele nevaliditatea unei astfel de decizii (
32
). În ipoteza în care autoritatea națională de supraveghere consideră întemeiate motivele invocate de persoana care a sesizat‑o cu o cerere, aceeași autoritate trebuie să aibă competența de a acționa în justiție (
33
).
60.
Totuși, Hotărârea Schrems nu pare să prezinte o relevanță directă pentru problema competențelor autorităților de supraveghere legate de examinarea derogării prevăzute la articolul 14 alineatul (5) litera (c) din RGDP. Este necesar să se sublinieze de la bun început că, în contextul acestei examinări, autoritatea de supraveghere nu aduce atingere obligației legale de obținere sau de divulgare a datelor cu caracter personal care este impusă operatorului de date. Altfel spus, autoritatea de supraveghere nu obligă operatorul să se abțină de la aplicarea unei cerințe legale de obținere sau de divulgare pe care operatorul respectiv trebuie să o respecte în continuare. După cum au susținut Comisia și guvernul maghiar, în esență, într‑o asemenea situație, competența autorității naționale de supraveghere constă în a da dispoziții operatorului să furnizeze informațiile necesare în nota sa de confidențialitate (
34
) dacă nu sunt îndeplinite condițiile pentru derogarea pertinentă. Asemenea dispoziții, după cum s‑a arătat mai sus, nu aduc atingere validității măsurii legale sub incidența căreia intră operatorul respectiv.
61.
Competența autorității de supraveghere de a da dispoziții operatorului să furnizeze informații nu aduce atingere competenței care revine autorității respective, în cazul în care consideră că măsura legală în cauză este nevalidă, de a se implica în proceduri judiciare prevăzute în acest scop de dreptul național, în temeiul articolului 58 alineatul (5) din RGPD.
62.
În sfârșit, la un nivel mai sistemic, după cum au susținut toate părțile interesate, autoritatea de supraveghere are competența de a recomanda legiuitorului sau executivului să modifice măsura legală relevantă dacă consideră că aceasta nu prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate. În această privință, trebuie amintit faptul că autoritățile de supraveghere au sarcina de a oferi consiliere parlamentului național și guvernului, precum și altor instituții și organisme, în conformitate cu articolul 57 alineatul (1) litera (c) din RGPD. Ele beneficiază totodată de competențele de consiliere prevăzute la articolul 58 alineatul (3) litera (b) din RGPD.
63.
Din cele de mai sus rezultă că articolul 77 alineatul (1) din RGPD trebuie interpretat în sensul că, în contextul unei proceduri de soluționare a unei plângeri, autoritatea de supraveghere are competența de a examina dacă sunt respectate toate condițiile prevăzute la articolul 14 alineatul (5) litera (c) din regulamentul respectiv. Mai precis, ea are competența de a examina aspectul dacă legislația statului membru sub incidența căreia intră operatorul prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.
D.
A treia întrebare
64.
Prin intermediul celei de treia întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 14 alineatul (5) litera (c) din RGPD poate fi interpretat în sensul că „măsurile adecvate” menționate în cuprinsul dispoziției respective impun legiuitorului național să transpună măsurile privind securitatea datelor prevăzute la articolul 32 din regulamentul în cauză.
65.
În această privință, trebuie amintit, pe de o parte, că aplicabilitatea derogării de la obligația de a furniza informații în conformitate cu articolul 14 alineatul (5) litera (c) din RGPD depinde de instituirea unor „măsuri adecvate” pentru a proteja interesele legitime ale persoanei vizate. Pe de altă parte, din articolul 32 din RGPD rezultă că operatorul și persoana împuternicită de acesta trebuie să implementeze „măsuri tehnice și organizatorice adecvate” pentru a asigura securitatea prelucrării datelor.
66.
Totuși, după cum susține Comisia, articolele 14 și 32 au un domeniu de aplicare distinct. Domeniul de aplicare al noțiunii de „măsuri adecvate” trebuie examinat în contextul articolului 14 din RGPD. Prin urmare, nu este posibil să se stabilească una dintre condițiile pentru aplicarea derogării prevăzute la articolul 14 alineatul (5) litera (c) prin transpunerea noțiunii de „măsuri tehnice și organizatorice adecvate” utilizate în cealaltă dispoziție. Mai mult, în contextul articolului 32 din RGPD, nu pare relevant dacă operatorul este cel care furnizează informațiile sau dacă obținerea sau divulgarea lor este prevăzută de lege. În consecință, obiectul examinării efectuate de autoritatea de supraveghere trebuie să se limiteze la domeniul de aplicare al articolului 14.
67.
Conținutul exact al noțiunii de „măsuri adecvate” nu este specificat la articolul 14 alineatul (5) litera (c) din RGPD. Acesta este suficient de larg pentru a acoperi orice măsură pe care legiuitorul o consideră necesară și adecvată. Noțiunea de „măsuri adecvate” trebuie interpretată, după cum a susținut în esență Comisia, din perspectiva principiului transparenței instituit la articolul 5 alineatul (1) litera (a) din RGPD. În această privință, este important să se țină seama de faptul că legislația relevantă, astfel cum se subliniază în observațiile introductive din prezentele concluzii (
35
), este un „substitut” pentru obligația de informare care revine în mod normal operatorului. Revine legiuitorului sarcina de a stabili măsurile adecvate, de exemplu în funcție de categoria de date obținute și de contextul în care are loc prelucrarea.
68.
Guvernul ceh a susținut, în răspunsul la întrebarea adresată de Curte, că domeniul de aplicare al noțiunii de măsuri adecvate este mai larg decât lista de informații prevăzute la articolul 14 alineatele (1), (2) și (4) din RGPD.
69.
Suntem de acord că caracterul adecvat al măsurilor nu poate fi apreciat numai prin intermediul unei comparații „mecanice” cu obligațiile de informare ale operatorului armonizate prin RGPD. Ar părea lipsit de sens să se prevadă o „clauză de deschidere” la articolul 14 alineatul (5) litera (c) (
36
) și să se impună totodată exact aceleași obligații fără a lăsa nicio marjă de apreciere legiuitorului. Acestea fiind spuse, legislația relevantă trebuie să asigure un standard de prelucrare echitabilă și transparentă care să fie echivalent cu cel asigurat de articolul 14 alineatele (1)-(4) (
37
). Pentru ca persoana vizată să evalueze orice risc legat de obținerea datelor și prelucrarea acestora (
38
), trebuie să devină clar prin simpla citire a dispoziției legale relevante cine prelucrează datele, din ce motiv și în ce mod (
39
). După cum am arătat mai sus (
40
), calea legală diferită trebuie să conducă la același rezultat, care constă în punerea persoanei vizate în situația de a avea controlul asupra datelor sale și de a‑și exercita drepturile care îi revin în temeiul RGPD.
70.
Temeiul juridic concret al prelucrării influențează de asemenea stabilirea „măsurilor adecvate” pentru împrejurările concrete ale prelucrării datelor. În această privință, trebuie amintit că din articolul 6 alineatul (1) literele (c) și (e) din RGPD rezultă că prelucrarea este legală dacă și în măsura în care este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului și atunci când este necesară pentru îndeplinirea unei sarcini care servește unui interes public. Pentru o astfel de prelucrare, în conformitate cu articolul 6 alineatul (2), statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor RGPD în ceea ce privește prelucrarea prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile (
41
). Mai mult, potrivit articolului 9 alineatul (2) litera (i) din RGPD, atunci când prelucrarea este necesară din motive de interes public în domeniul sănătății publice, dreptul Uniunii sau dreptul intern trebuie să prevadă măsuri adecvate și specifice pentru protejarea drepturilor și libertăților persoanei vizate.
71.
În cauza care face obiectul procedurii principale, obținerea datelor a fost impusă prin Decretul 60/2021, care, astfel cum reiese din dosar, a fost adoptat în temeiul articolului 6 alineatul (1) literele (c) și (e) din RGPD. Guvernul maghiar susține că Decretul 60/2021 – pe lângă garanțiile generale care se aplică în temeiul cadrului juridic adoptat pentru a se asigura legalitatea prelucrării – a prevăzut garanții suplimentare. În această privință, guvernul respectiv a afirmat că una dintre aceste garanții consta în faptul că subcontractanții desemnați prin decretul menționat sunt deținuți de stat și trebuie să respecte cadrul legislativ în materie de securitate a datelor aplicabil organismelor de stat și autorităților administrative locale. Revine instanței de trimitere responsabilitatea de a examina aceste argumente și de a aprecia dacă legislația națională prevede măsuri adecvate din perspectiva considerațiilor de mai sus.
72.
Având în vedere cele de mai sus, considerăm că articolul 14 alineatul (5) litera (c) din RGPD trebuie interpretat în sensul că noțiunea de „măsuri adecvate” utilizată în această dispoziție nu impune ca legiuitorul național să transpună măsurile referitoare la securitatea datelor prevăzute la articolul 32 din acest regulament.
V. Concluzie
73.
Având în vedere toate considerațiile precedente, propunem Curții să răspundă la întrebările preliminare adresate de Kúria (Curtea Supremă, Ungaria) după cum urmează:
1)
Articolul 14 alineatul (5) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că derogarea de la obligația operatorului de date de a furniza informații persoanei vizate se aplică tuturor datelor pe care operatorul nu le‑a obținut de la persoana vizată. În această privință, nu este relevant aspectul dacă datele sunt obținute în mod expres de la o altă entitate sau sunt generate de operator în cadrul propriei proceduri.
(2)
Articolul 77 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că, în contextul unei proceduri de soluționare a unei plângeri, autoritatea de supraveghere are competența de a examina dacă sunt respectate toate condițiile prevăzute la articolul 14 alineatul (5) litera (c) din regulamentul respectiv. Mai precis, ea are competența de a examina aspectul dacă legislația statului membru sub incidența căreia intră operatorul prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.
(3)
Articolul 14 alineatul (5) litera (c) din Regulamentul 2016/679
trebuie interpretat în sensul că noțiunea de „măsuri adecvate” utilizată în această dispoziție nu impune ca legiuitorul național să transpună măsurile referitoare la securitatea datelor prevăzute la articolul 32 din regulamentul în cauză.
(
1
)	Limba originală: engleza.
(
i
)	Numele din prezenta cauză este un nume fictiv. Acesta nu corespunde numelui real al niciuneia dintre părțile la procedură.
(
2
)	Concluziile avocatului general Cruz Villalón prezentate în cauza Bara și alții (C‑201/14, EU:C:2015:461, punctul 74) (sublinierea noastră).
(
3
)	Vrabec, U.H., „Data Subject Rights under the GDPR”, Oxford University Press, Oxford, 2021, p. 64.
(
4
)	Regulamentul (UE) al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1; denumit în continuare „RGPD”).
(
5
)	A se vedea Grupul de lucru „Articolul 29” pentru protecția datelor, Orientările privind transparența în temeiul Regulamentului 2016/679, adoptate la 29 noiembrie 2017, 17/EN WP260 rev. 01 (denumite în continuare „Orientările privind transparența”), punctul 4. Acest grup de lucru a fost înlocuit ulterior de Comitetul European pentru Protecția Datelor (CEPD). Totuși, orientările privind transparența rămân valabile. A se vedea și CEPD, Orientări 03/2020 privind prelucrarea datelor referitoare la sănătate în scopul cercetării științifice în contextul epidemiei COVID-19, adoptate la 21 aprilie 2020, punctul 5.1.2.4.
(
6
)	Hotărârea din 1 octombrie 2015, Bara și alții (C‑201/14, EU:C:2015:638, punctul 33), care citează Concluziile avocatului general Cruz Villalón prezentate în această cauză.
(
7
)	Orientările privind transparența, punctul 24. A se vedea și Vrabec, U. H., Data Subject Rights under the GDPR, op. cit. mai sus la nota de subsol 3, p. 84.
(
8
)	A se vedea, Zanfir‑Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject” în Kuner, C., Bygrave, L.A., și Docksey, C. (editori), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford, Oxford University Press, 2020, p. 435-448, la p. 436.
(
9
)	Ibidem., p. 444.
(
10
)	Vrabec, U. H., Data Subject Rights under the GDPR, op. cit. mai sus la nota de subsol 3, p. 68.
(
11
)	Atunci când prelucrarea se întemeiază pe articolul 6 alineatul (1) litera (f) din RGPD.
(
12
)	Fiind o dispoziție care conține o clauză de deschidere, aceasta dă posibilitatea ca statele membre să prevadă norme naționale suplimentare, mai stricte sau derogatorii și lasă acestora o marjă de apreciere asupra modului în care pot fi puse în aplicare aceste dispoziții (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctul 51). A se vedea Knyrim, R., „IV. Ausnahme von der Informationspflicht’ in Ehmann, E., Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, ediția a doua, 2018, articolul 14, punctele 42-48, la punctul 47.
(
13
)	Și anume versiunile în limbile bulgară, daneză, germană, greacă, spaniolă, italiană, letonă, polonă, slovacă și suedeză.
(
14
)	Acest lucru este valabil mai ales în ceea ce privește versiunile în limbile estonă („isikuandmed”), lituaniană („duomenų”), maghiară („adat”), neerlandeză („gegevens”), portugheză („dados”), română („datelor”) și finlandeză („tietojen”).
(
15
)	În doctrina franceză se observă că versiunea în limba franceză ar fi trebuit să utilizeze noțiunea de „date” în locul celei de „informații”, precum în cadrul dispoziției care a precedat articolul 14 alineatul (5) litera (c) din RGPD, și anume articolul 11 alineatul (2) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10) (a se vedea de Terwangne, C., și Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant’ în Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, prima ediție, 2018, p. 409-432, nota de subsol 132).
(
16
)	A se vedea în acest sens Hotărârea din 21 martie 2024, Cobult (C‑76/23, EU:C:2024:253, punctul 25 și jurisprudența citată).
(
17
)	A se vedea în acest sens Hotărârea din 5 octombrie 2023, Ministerstvo zdravotnictví (aplicația mobilă COVID-19) (C‑659/22, EU:C:2023:745, punctul 27).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS‑GVO – Eine kritische Analyse, Nomos, Baden‑Baden, 2022, p. 272-298, la p. 280. Acest autor observă totodată (la p. 281), că scutirea operatorului de furnizarea informațiilor în situația prevăzută la articolul 14 alineatul (5) litera (c) este un mijloc de evitare a riscului de „oboseală” sau de „supraîncărcare” informațională; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)” în Simitis, S., Hornung, G., și Spiecker, I., Datenschutzrecht DS‑GVO mit BDSG Großkommentar, Beck, München, 2019, punctele 27 și 28, la punctul 27, care face referire la legislația relevantă ca fiind un „surogat suficient” („hinreichendes Surrogat”) pentru informațiile obligatorii furnizate de operator.
(
19
)	Dix, A., op. cit. mai sus la nota de subsol 18.
(
20
)	Orientările privind transparența, p. 66. În consecință, operatorii de date trebuie să poată demonstra modul în care legislația în cauză le este aplicabilă și le impune fie să obțină, fie să divulge datele cu caracter personal aflate în discuție.
(
21
)	A se vedea punctul 16 din prezentele concluzii.
(
22
)	Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958, punctul 48 și jurisprudența citată).
(
23
)	A se vedea punctul 31 de mai sus.
(
24
)	A se vedea punctul 23 de mai sus.
(
25
)	Dix, A., in Simitis, S., Hornung, G., și Spiecker, I., op. cit. la nota de subsol 18, și Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. la nota de subsol 18, p. 281.
(
26
)	Hotărârea din 16 ianuarie 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, punctul 61).
(
27
)	Ibidem.
(
28
)	A se vedea Orientările privind transparența, punctul 66.
(
29
)	Ibidem.
(
30
)	Hotărârea din 6 octombrie 2015, Schrems (C‑362/14, EU:C:2015:650, punctul 65).
(
31
)	Adoptată în temeiul articolului 25 alineatul (6) din Directiva 95/46.
(
32
)	A se vedea în acest sens Hotărârea din 6 octombrie 2015, Schrems (C‑362/14, EU:C:2015:650, punctul 62).
(
33
)	Ibidem, punctul 65.
(
34
)	Acest lucru nu aduce atingere oricăror restricții ale dreptului la informare care ar putea fi impuse de Uniune sau de legislația statului membru în condițiile prevăzute la articolul 23 din RGPD.
(
35
)	Punctul 31 din prezentele concluzii.
(
36
)	A se vedea punctul 27 din prezentele concluzii.
(
37
)	A se vedea în acest sens Ebner, K., „6. Ausschluss der Informationspflicht’, op. cit. la nota de subsol 18, p. 281, care face referire la un nivel comparabil de protecție („vergleichbares Schutzniveau”); Mester, B.-A., „DS‑GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, în Taeger, J., și Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, punctul 26; Paal, B. și Hennemann, M., „DS‑GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, în Paal, B. și Pauly, D., Datenschutz‑Grundverordnung Bundesdatenschutzgesetz: DS‑GVO BDSG, Beck, München, 2021, punctul 42.
(
38
)	Mester, B.-A., în Taeger, J., și Gabel, D., op. cit. la nota de subsol 37.
(
39
)	Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. la nota de subsol 18, p. 281.
(
40
)	Punctul 43 din prezentele concluzii.
(
41
)	Aceste dispoziții specifice pot conține elementele prevăzute la articolul 6 alineatul (3) din RGPD, printre altele: condițiile generale care reglementează legalitatea prelucrării, tipurile de date care fac obiectul prelucrării, entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate, limitările legate de scop, perioadele de stocare și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX din RGPD.