SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA

PRIITA PIKAMÄEJA,

predstavljeni 31. marca 2022 ( 1 )

Zadeva C‑77/21

Digi Távközlési és Szolgáltató Kft.

proti

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Fővárosi Törvényszék (županijsko sodišče v Budimpešti, Madžarska))

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 5(1)(b) in (e) – Načelo omejitve namena – Načelo omejitve hrambe – Osebni podatki strank, ki so bili zakonito zbrani in shranjeni – Ustvaritev druge posebne interne podatkovne zbirke po tehnični okvari – Naknadno preverjanje namenov obdelave – Dvojni namen – Neenotnost namenov obdelave in namenov zbiranja podatkov – Združljivost obdelave z nameni zbiranja – Člen 6(4) – Neizbris podatkovne zbirke po odpravi tehnične napake – Doseganje namenov obdelave“

1. Pod katerimi pogoji lahko ponudnik dostopa do interneta in televizije osebne podatke svojih strank, ki so že bili zakonito zbrani in shranjeni, hrani na dodatnem internem nosilcu brez njihovega izrecnega soglasja, vendar za odpravo tehnične napake?

2. To je eno od vprašanj, ki se postavljajo v tej zadevi, ki bo Sodišču omogočilo, da dopolni svojo vse bolj obširno sodno prakso v zvezi z Uredbo (EU) 2016/679 ( 2 ), zlasti glede načel omejitve namena in hrambe iz člena 5(1)(b) in (e) tega akta.

I. Pravni okvir

3. V okviru te zadeve so upoštevni členi od 4 do 6 ter člena 13 in 32 SUVP.

II. Spor o glavni stvari in vprašanji za predhodno odločanje

4. Digi Távközlési és Szolgáltató Kft. (v nadaljevanju: Digi) je eden od glavnih ponudnikov internetnih in televizijskih storitev na Madžarskem.

5. Družba Digi je aprila 2018 po tehnični okvari, ki je vplivala na delovanje strežnika, ustvarila podatkovno zbirko, imenovano „testna“, v katero je kopirala osebne podatke približno tretjine svojih zasebnih strank.

6. Družba Digi je 23. septembra 2019 izvedela, da je „etični heker“ dostopil do osebnih podatkov približno 322.000 oseb. O napadu je družbo pisno po elektronski pošti z dne 21. septembra 2019 obvestil sam heker, ki je kot dokaz za to posredoval enega od vnosov iz testne podatkovne zbirke. Družba Digi je nato napako odpravila, z etičnim hekerjem sklenila pogodbo o zaupnosti in mu ponudila nagrado.

7. Po izbrisu testne podatkovne zbirke je družba Digi 25. septembra 2019 obvestila Nemzeti Adatvédelmi és Információszabadság Hatóság (nacionalni organ za varstvo podatkov in svobodo obveščanja, v nadaljevanju: organ) o kršitvi varnosti osebnih podatkov, zaradi česar je ta uvedel preiskavo.

8. Organ je z odločbo z dne 18. maja 2020 zlasti ugotovil, po eni strani, da je družba Digi kršila člen 5(1)(b) in (e) SUVP, ker po izvedbi potrebnih testov in odpravi napak ni izbrisala testne podatkovne zbirke, tako da je bilo veliko število osebnih podatkov, shranjenih v tej testni podatkovni zbirki, skoraj 18 mesecev hranjenih v datoteki, ki omogoča identifikacijo posameznikov, na katere se ti osebni podatki nanašajo, pri čemer je to, da ta podatkovna zbirka ni bila izbrisana, omogočilo kršitev varstva osebnih podatkov. Po drugi strani je organ menil, da je družba Digi kršila člen 32(1) in (2) SUVP. V teh okoliščinah je organ družbi Digi naložil globo v višini 100.000.000 madžarskih forintov (HUF) (približno 270.000 EUR).

9. Družba Digi je zakonitost te odločbe izpodbijala pred predložitvenim sodiščem.

10. Zadnjenavedeno sodišče ugotavlja, da so bili osebni podatki, ki jih je družba Digi kopirala v testno zbirko podatkov, zbrani za namene sklenitve naročniških pogodb in da organ ni izpodbijal zakonitosti zbiranja podatkov. Predložitveno sodišče se vseeno sprašuje, ali je bil namen zbiranja in obdelave podatkov spremenjen, ker so bili podatki, zbrani za določen namen, kopirani v drugo podatkovno zbirko. Dodaja, da je treba tudi ugotoviti, ali sta vzpostavitev testne podatkovne zbirke in nadaljnja obdelava podatkov o strankah na ta način združljivi z namenom zbiranja teh podatkov. V zvezi s tem naj iz načela omejitve namena ne bi bile razvidne jasne usmeritve glede tega, v katerih svojih internih sistemih ima upravljavec pravico obdelovati podatke, ki so bili zbrani zakonito, niti glede tega, ali lahko navedeni upravljavec take podatke kopira v testno podatkovno zbirko, ne da bi se spremenil namen zbiranja podatkov.

11. Če vzpostavitev testne podatkovne zbirke ne bi bila združljiva z namenom zbiranja podatkov, se predložitveno sodišče sprašuje tudi, ali je treba potrebno obdobje shranjevanja določiti glede na čas, ki je potreben za odpravo napak, oziroma glede na čas, potreben za izpolnitev pogodbenih obveznosti, če namen obdelave podatkov o strankah v drugi podatkovni zbirki ni odpravljanje napak, temveč sklepanje pogodb.

12. V teh okoliščinah je Fővárosi Törvényszék (županijsko sodišče v Budimpešti, Madžarska) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji: „1. Ali je treba pojem ‚omejitev namena‘, opredeljen v členu 5(1)(b) [SUVP] […], razlagati tako, da je s tem pojmom še naprej skladno to, da upravljavec nekatere osebne podatke, ki so sicer bili zbrani in shranjeni zakonito, z omejenim namenom, vzporedno hrani tudi v drugi podatkovni zbirki, ali pa, nasprotno, glede vzporedne podatkovne zbirke zakonit, omejen namen zbiranja podatkov ni več podan? 2. Če se na prvo vprašanje za predhodno odločanje odgovori, da vzporedno hranjenje podatkov samo po sebi ni združljivo z načelom ‚omejitve namena‘, ali je skladno z načelom ‚omejitve [hrambe]‘ iz člena 5(1)(e) [SUVP] to, da upravljavec vzporedno v drugi podatkovni zbirki hrani nekatere osebne podatke, ki so sicer bili zbrani in shranjeni zakonito, z omejenim namenom?“

III. Postopek pred Sodiščem

13. Pisna stališča so predložile tožeča stranka in tožena stranka iz postopka v glavni stvari, madžarska, češka in portugalska vlada ter Evropska komisija. Na obravnavi 17. januarja 2022 so tožeča in tožena stranka iz postopka v glavni stvari ter madžarska vlada in Komisija tudi ustno predstavile svoja stališča.

IV. Analiza

A. Dopustnost

14. Organ in madžarska vlada sta izrazila dvome glede dopustnosti predloga za sprejetje predhodne odločbe, ker naj predložena vprašanja ne bi odražala dejanskega stanja zadeve v postopku v glavni stvari in naj ne bi bila neposredno upoštevna za njeno rešitev.

15. Iz ustaljene sodne prakse Sodišča izhaja, da izključno nacionalno sodišče, ki odloča o sporu in mora prevzeti odgovornost za izdano sodno odločbo, glede na značilnosti zadeve presodi nujnost pridobitve predhodne odločbe, da bi lahko izdalo sodbo, in upoštevnost vprašanj, ki jih zastavi Sodišču. Zato Sodišče načeloma mora odločati, če se predložena vprašanja nanašajo na razlago ali veljavnost pravila prava Unije. Iz tega sledi, da za vprašanja, ki jih postavijo nacionalna sodišča, velja domneva upoštevnosti. Sodišče lahko odgovor na vprašanje za predhodno odločanje, ki ga je postavilo nacionalno sodišče, zavrne le, če je očitno, da zahtevana razlaga ni v nikakršni zvezi z dejanskim stanjem ali predmetom spora o glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo pravnih in dejanskih okoliščin, ki jih potrebuje, da bi lahko na postavljena vprašanja dalo koristne odgovore. V obravnavanem primeru predlog za sprejetje predhodne odločbe vsebuje dejanske in pravne elemente, ki zadostujejo za razumevanje obsega vprašanj za predhodno odločanje. Poleg tega in predvsem, na podlagi nobenega elementa iz spisa, ki ga ima na voljo Sodišče, ni mogoče šteti, da zahtevana razlaga prava Unije nima zveze z dejanskim stanjem ali predmetom spora o glavni stvari ali da je hipotetična. ( 3 )

16. V zvezi s tem je treba poudariti, da je pri predložitvenem sodišču vložena tožba za razglasitev ničnosti odločbe o kaznovanju družbe Digi kot upravljavca zaradi domnevne kršitve načel omejitve namena in hrambe iz člena 5(1)(b) in (e) SUVP, na katerega se nanaša predlog tega sodišča glede razlage. Zato je treba predlog za sprejetje predhodne odločbe šteti za dopusten.

B. Pravni okvir analize

17. Treba je ugotoviti, da se predlog za sprejetje predhodne odločbe nanaša izključno na razlago člena 5 SUVP v okviru spora o glavni stvari glede zakonitosti obdelave osebnih podatkov, ki jo je izvedla družba Digi, ki je eden glavnih ponudnikov internetnih in televizijskih storitev na Madžarskem in torej operater, ki ponuja dostop do javnih spletnih komunikacijskih storitev.

18. Poudariti je treba, da Direktiva 2002/58 ( 4 ) v svojem členu 1(1) določa uskladitev določb držav članic, ki je med drugim potrebna za zagotovitev enakovredne ravni varstva temeljnih pravic in svoboščin ter zlasti pravice do zasebnosti in zaupnosti v zvezi z obdelavo osebnih podatkov na področju elektronskih komunikacij. Poleg tega člen 3 Direktive 2002/58 določa, da se ta direktiva uporablja za obdelavo osebnih podatkov v zvezi z zagotavljanjem javno razpoložljivih elektronskih komunikacijskih storitev v javnih komunikacijskih omrežjih v Uniji, vključno z javnimi komunikacijskimi omrežji, ki podpirajo zbiranje podatkov in identifikacijske naprave. Zato je treba šteti, da navedena direktiva ureja dejavnosti ponudnikov teh storitev. ( 5 )

19. V skladu s členom 1(2) Direktive 2002/58 določbe te direktive podrobno opredeljujejo in dopolnjujejo Direktivo 95/46/ES ( 6 ) za namene, navedene v odstavku 1 tega člena, ob upoštevanju, da je treba v skladu s členom 94(2) SUVP sklicevanja v Direktivi 2002/58 na Direktivo 95/46 razumeti kot sklicevanja na to uredbo. ( 7 ) V skladu z uvodno izjavo 10 Direktive 2002/58 se na področju elektronskih komunikacij Direktiva 95/46/ES uporablja zlasti za vse zadeve v zvezi z varstvom temeljnih pravic in svoboščin, ki niso izrecno zajete v določbah Direktive 2002/58, vključno z obveznostmi preglednika in pravicami posameznikov. ( 8 )

20. Iz predloga za sprejetje predhodne odločbe je razvidno, da se spor o glavni stvari ne nanaša na uporabo elektronskih komunikacijskih storitev naročnikov družbe Digi ter s tem na varstvo tako opravljenega sporočanja in z njim povezanih podatkov o prometu, ki jih ureja Direktiva 2002/58, ampak spada v okvir internega delovanja te družbe. Ni sporno, da je družba Digi leta 2018 po tehnični okvari strežnika, ki je povzročila nedostopnost prvotne podatkovne zbirke njenih naročnikov, ustvarila datoteko, imenovano „test“, v katero je kopirala osebne podatke dela svojih strank. ( 9 ) Potem ko je družba Digi to napako odpravila, se je hramba podatkov v dodatni podatkovni zbirki nadaljevala do septembra 2019, ko je prišlo do vdora v računalniški sistem, ki je vplival na to podatkovno zbirko. Dejavnost, ki jo je tako razvila družba Digi, pomeni „obdelavo osebnih podatkov“, za katero je ta družba „upravljavec“ v smislu opredelitev iz člena 4(2) in (7) SUVP. Poleg tega je organ družbo Digi kaznoval prav v tej vlogi, ker je s tem kršila obveznosti iz člena 5(1)(b) in (e) SUVP.

21. V zvezi s tem je treba opozoriti, da je treba s pridržkom odstopanj, dovoljenih v členu 23 SUVP, pri vsaki obdelavi osebnih podatkov spoštovati načela, ki urejajo obdelavo osebnih podatkov, in pravice posameznika, na katerega se nanašajo osebni podatki, navedene v poglavjih II oziroma III te uredbe. Natančneje, vsaka obdelava osebnih podatkov mora, prvič, biti v skladu z načeli iz člena 5 navedene uredbe in, drugič, ustrezati pogojem za zakonitost, navedenim v členu 6 iste uredbe. ( 10 )

22. V skladu s členom 5 SUVP mora upravljavec zagotoviti, da so osebni podatki „obdelani zakonito, pošteno in na pregleden način“ (a), „zbrani za določene, izrecne in zakonite namene ter se ne [obdelujejo nadalje] na način, ki ni združljiv s temi nameni“ (b), „ustrezni, relevantni in [nepretirani glede] na to, kar je potrebno za namene, za katere se obdelujejo [in/ali nadalje obdelujejo]“ (c), „točni in, kadar je to potrebno, posodobljeni“ (d) ter, nazadnje, „hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki [zbirajo in/ali nadalje obdelujejo] (e)“, pri čemer za obdelavo podatkov za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene veljajo posebne določbe. V teh okoliščinah mora ta upravljavec uporabiti vse primerne ukrepe za zagotovitev, da se podatki, ki ne izpolnjujejo zahtev iz te določbe, izbrišejo ali popravijo. ( 11 )

C. Obseg predloga za sprejetje predhodne odločbe

23. Predložitveno sodišče prosi Sodišče Evropske unije za smernice glede tega, kako je treba razlagati načeli omejitve namena in omejitve hrambe iz člena 5(1)(b) in (e) SUVP, zaradi česar je zastavilo dve ločeni vprašanji za predhodno odločanje v zvezi s tema določbama. Drugo vprašanje, ki se nanaša na načelo omejitve hrambe podatkov, je sicer zastavljeno le pogojno, če zadevna obdelava ni združljiva z načelom omejitve namena.

24. Vendar je treba poudariti, da so zahteve v zvezi z obdelavo osebnih podatkov iz člena 5 SUVP očitno kumulativne in medsebojno neodvisne. ( 12 ) Vprašanje spoštovanja načela omejitve hrambe je pravno neodvisno od vprašanja načela omejitve namena. Organ v odločbi, ki je predmet postopka v glavni stvari, meni, da je hramba podatkov na internem dodatnem nosilcu vzrok za kršitev dveh zgoraj navedenih ločenih načel.

25. Čeprav je predložitveno sodišče svoje drugo vprašanje formalno omejilo s pogojnostjo, to Sodišča ne ovira, da predložitvenemu sodišču zagotovi vse elemente razlage, ki bi mu lahko koristili pri presoji zadeve v glavni stvari, in sicer tako, da iz vseh elementov, ki jih je to sodišče predložilo, zlasti iz obrazložitve predložitvene odločbe, izloči elemente prava Unije, za katere je ob upoštevanju predmeta spora potrebna razlaga. ( 13 )

D. Zakonitost obdelave glede na načeli omejitve namena in hrambe

1. Uvodne ugotovitve

26. Menim, da je treba najprej analizirati obseg načel iz člena 5(1)(b) in (e) SUVP, in sicer v povezavi s pojmom hrambe, uporabljenim v predložitveni odločbi in stališčih zainteresiranih strank, za opis očitanega dejanja obdelave z dveh zornih kotov. Prvo načelo se nanaša samo na dejavnost hrambe ali varnostnega kopiranja podatkov, v tem primeru na shranjevanje kopije podatkov dela naročnikov družbe Digi v dodatni interni podatkovni zbirki. Drugo načelo zadeva hrambo v smislu daljše ohranitve te podatkovne zbirke. Postavlja se torej vprašanje, kako dolgo se podatki smejo hraniti. V zvezi s tem zgoraj navedena časovna problematika po mojem mnenju ne spada na področje načela omejitve namena, temveč izključno na področje načela omejitve hrambe.

27. Načelo omejitve namena iz člena 5(1)(b) SUVP ima dvojno komponento: osebni podatki se morajo po eni strani zbirati za „določene, izrecne in zakonite“ namene, po drugi strani pa se ne smejo „nadalje obdelovati na način, ki ni združljiv“ s temi nameni. Namen tega načela je čim jasneje opredeliti uporabo osebnih podatkov z vzpostavitvijo ravnovesja med spoštovanjem temeljnih pravic posameznikov, na katere se nanašajo osebni podatki, kar zadeva zasebnost in varstvo podatkov, ter priznavanjem določene prožnosti upravljavca pri upravljanju takih podatkov, ki jo zahtevajo digitalno življenje in njegova tveganja.

28. V drugem delu, ki nas v obravnavani zadevi posebej zanima, je namen navedenega načela opredeliti meje, v katerih se osebni podatki, zbrani za določen namen, lahko ponovno uporabijo. V skladu s členom 5(1)(b) SUVP se vsaka obdelava po zbiranju šteje za „nadaljnjo obdelavo“ in mora zato, razen izjemoma, izpolnjevati zahtevo glede združljivosti. ( 14 ) Združljivost izraža potrebo po konkretni, logični in dovolj tesni povezavi med namenom zbiranja podatkov in nadaljnjo obdelavo teh podatkov. Povedano drugače, taka obdelava ne sme biti nepovezana s prvotnim namenom zbiranja podatkov ali v nasprotju z njim; njena vsebina mora biti usklajena z namenom zbiranja, ne glede na časovno problematiko.

29. Načelo omejitve namena v nasprotju z načelom omejitve hrambe iz člena 5(1)(e) SUVP ni izraz načela sorazmernosti v pravem pomenu besede. Kot je navedlo Sodišče, iz zahtev, določenih v tem členu, izhaja, da celo izvorno zakonita obdelava podatkov lahko sčasoma postane nezdružljiva s to uredbo, če ti podatki niso več potrebni za namene, zaradi katerih so bili zbrani ali obdelani. To med drugim velja, če so ti podatki neprimerni, neustrezni oziroma ne več ustrezni ali pretirani glede na te namene in pretečen čas. ( 15 )

30. Zato je treba v okviru načela omejitve hrambe opraviti presojo sorazmernosti obdelave glede na njen namen ob upoštevanju pretečenega časa. V nasprotju s tem načelom bi bila hramba podatkov v obdobju, ki je daljše, kot je potrebno, torej ki presega čas, potreben za dosego namena, za katerega so bili podatki shranjeni. ( 16 ) Ko so nameni te obdelave doseženi, je treba podatke izbrisati. ( 17 ) Načelo omejitve hrambe se tako nanaša na vprašanje, kdaj shranjevanje podatkov na dodatnem internem nosilcu družbe Digi ni bilo več upravičeno.

31. Ob upoštevanju zgornjih ugotovitev bom preučil zakonitost zadevne obdelave glede na zgoraj navedeni načeli.

2. Načelo omejitve namena

32. Preverjanje skladnosti s takim načelom v drugem delu zahteva predhodno določitev namena oziroma namenov zadevnega zbiranja podatkov. Iz spisa, predloženega Sodišču, je razvidno, da je družba Digi te podatke zbrala za sklenitev in izvajanje naročniških pogodb, ki jih ponuja kot ponudnik internetnih in televizijskih storitev, ter da zakonitost te prve obdelave ni predmet razprave strank v postopku v glavni stvari. Enako velja za neizogibno nadaljnje dejanje obdelave, ki je vključevalo shranjevanje navedenih podatkov na namenskem nosilcu, ki se lahko označi kot izvirna podatkovna zbirka. ( 18 ) V tem okviru želi predložitveno sodišče med drugim dobiti odgovor na vprašanje, ali je določen, izrecen in zakonit namen zbiranja podatkov „spremenjen“, ker so bili podatki kopirani v podatkovno zbirko poleg prvotno hranjenih podatkov, ki med strankama niso sporni.

33. V skladu s sodno prakso Sodišča se s SUVP zahteva spoštovanje predpisov v zvezi z varstvom takih podatkov glede vsakršne obdelave, kot je določeno v členu 2 te uredbe. ( 19 ) Zdi se mi, da zgoraj navedeno vprašanje odraža neupoštevanje zahteve po individualni presoji vseh dejanj obdelave podatkov po njihovem zbiranju, kakršno je to na podlagi člena 5(1)(b) SUVP.

34. Povedano drugače, vsak primer nadaljnje uporabe teh podatkov je treba preučiti, da se preverita njegov poseben namen in – kadar je to primerno – njegova skladnost z namenom zbiranja. Zakonitost zadnjenavedene in prve hrambe podatkov ne more z učinkom prelivanja samodejno vplivati na spoštovanje načela omejitve namenov z drugo dejavnostjo nadaljnje obdelave, ne glede na to, da se ta nanaša na iste podatke. Kot trdi madžarska vlada, ni mogoče šteti, da ima upravljavec možnost shranjevanja osebnih podatkov v več datotekah in brez omejitev, če so bili ti podatki prvotno zbrani in obdelani zakonito.

35. Zato je treba preučiti vprašanje združljivosti namenov zbiranja podatkov in nadaljnje obdelave teh podatkov, kot se zahteva v členu 5(1)(b) SUVP. Vendar se to vprašanje logično postavlja le, če se taka obdelava izvaja za drugačne namene, kot so tisti, ki so bili prvotno določeni.

36. Tako bi morala biti v skladu z uvodno izjavo 50 te uredbe obdelava osebnih podatkov „za druge namene“ kot tiste, za katere so bili ti podatki prvotno zbrani, dovoljena le, kadar je združljiva z nameni, za katere so bili osebni podatki prvotno zbrani. Zgoraj navedeno ugotovitev potrjuje tudi besedilo člena 6(4) te uredbe. Ta določba vsebuje neizčrpen seznam meril za presojo, ali je obdelava „za drug namen“ v dani konfiguraciji združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani. Zato bi ugotovitev enakosti namena zbiranja podatkov in njihove nadaljnje obdelave, kot jo navaja družba Digi, povzročila brezpredmetnost vprašanja glede združljivosti in omogočila ugotovitev, da je ta obdelava glede na načelo omejitve namena zakonita. ( 20 )

a) Namen obdelave

37. Iz spisa, predloženega Sodišču, in natančneje iz izjav družbe Digi je razvidno, da je ta družba po tehnični okvari strežnika, ki je privedla do nedostopnosti prvotne podatkovne zbirke, kopijo podatkov dela naročnikov shranila v dodatni interni podatkovni zbirki, imenovani „testna“, da bi odpravila tehnično težavo in zagotovila dostop do podatkov v skladu z obveznostjo, ki je upravljavcu naložena s členom 5(1)(f) in podrobno opisana v členu 32 SUVP. ( 21 ) Družba Digi trdi, da naj bi to dejanje obdelave prispevalo tudi k doseganju namena zbiranja podatkov, in sicer zagotavljanju pogodbeno zagotovljene storitve. V teh okoliščinah očitano shranjevanje ni povezano z ločenim namenom, kar naj bi izključilo vsako kršitev člena 5(1)(b) te uredbe.

38. Čeprav je očitno, da je naloga predložitvenega sodišča, da preveri zakonitost zgoraj navedenega dejanja obdelave, se mu lahko v ta namen predloži več informacij, zlasti ob upoštevanju zahtev iz člena 5 SUVP in vseh okoliščin obravnavane zadeve.

39. Na prvem mestu, ugotavljam, da se družba Digi v bistvu sklicuje na obstoj dvojnega namena očitane obdelave, v smislu, da je glavni in poseben cilj odprave napake na strežniku in zagotavljanja razpoložljivosti podatkov o naročnikih spadal v okvir drugotnega in splošnega cilja v zvezi z izvajanjem naročniških pogodb, ki je sovpadal s prvotnim ciljem zbiranja podatkov.

40. V praksi je povsem mogoče, da se osebni podatki lahko zbirajo ali nadalje obdelujejo za več namenov, kar se v SUVP jasno predvideva in priznava, kot je razvidno iz besedila členov 5(1)(b) in 6(1)(a) ter uvodnih izjav 32 in 50 te uredbe. S tem pristopom se izpolnjuje potreba po pragmatizmu in prožnosti, ki sta potrebna zaradi zapletene in nelinearne obdelave osebnih podatkov v digitalni dobi. Vendar se mora pri tem pristopu upoštevati zahteva po natančnosti namena, ki je ključni element pri izvajanju evropske ureditve varstva osebnih podatkov.

41. Zadostna natančnost namena je torej temeljno jamstvo v smislu predvidljivosti in pravne varnosti, ker prispeva k pravilnemu razumevanju posameznika, na katerega se nanašajo osebni podatki, glede možne uporabe njegovih podatkov in temu omogoča, da se odloča ob popolnem poznavanju dejstev. Ta predvidljivost je bistvena za presojo združljivosti namena zbiranja podatkov in nadaljnje obdelave podatkov, s čimer se zmanjša tveganje izkrivljanja med razumnimi pričakovanji posameznikov, na katere se nanašajo osebni podatki, glede morebitne uporabe njihovih podatkov v prihodnosti in dejanji, ki jih izvaja upravljavec. Opredelitev namena je potrebna tudi za uporabo drugih zahtev glede kakovosti podatkov, vključno z ustreznostjo, relevantnostjo, sorazmernostjo in točnostjo zbranih podatkov, ter zahtev glede trajanja njihove hrambe v skladu s členom 5(1)(c), (d) in (e) SUVP.

42. Ta zahteva po natančnosti torej velja, kot je poudarjeno v mnenju št. 3/2013 delovne skupine iz člena 29 ( 22 ), za vse postopke obdelave in ne le v začetni fazi zbiranja podatkov. Zanimiva je ugotovitev, da je obdelava podatkov na podlagi privolitve posameznika, na katerega se nanašajo osebni podatki, v skladu s členom 6(1)(a) SUVP zakonita le, če je posameznik privolil v to obdelavo v enega ali več „določenih“ namenov.

43. V teh okoliščinah, v katerih ima lahko določen postopek obdelave dva namena, mora biti vsak od teh namenov natančen ter objektivno in dovolj tesno povezan z zadevnim dejanjem obdelave.

44. Na drugem mestu, navesti je treba poseben okvir, v katerem je treba opraviti presojo namena oziroma namenov zadevne nadaljnje obdelave.

45. V skladu z uvodnima izjavama 60 in 61 SUVP načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in njegovih namenih, o obdelavi njegovih osebnih podatkov pa ga je treba obvestiti v trenutku zbiranja podatkov od tega posameznika. V zvezi s tem člen 13(1)(c) te uredbe določa, da kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, upravljavec zadevnemu posamezniku takrat, ko pridobi zadevne osebne podatke, zagotovi informacije o namenih, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo.

46. Vendar tudi če ima upravljavec v času načrtovanja obdelave karseda natančen in premišljen načrt, morda ne bo mogel upoštevati in določiti narave in natančnega obsega vseh dejanj v verigi obdelave podatkov. Podobno je obravnavana zadeva odlična ponazoritev problema obvladovanja tehnične napake, ki je po definiciji nenapovedana, in nadaljnje izvedbe določene vrste obdelave podatkov za namen, ki prvotno ni bil določen.

47. V okviru presoje zakonitosti take obdelave, ki jo opravita nadzorni organ in nato sodišče, ki obravnava tožbo zoper odločbo zadevnega organa, kot v obravnavani zadevi, je ta namen predmet naknadnega preverjanja glede na informacije, ki jih je upravljavec predložil v upravnem postopku. Upravljavec, ki je načrtoval zadevno dejanje obdelave, pa mora v skladu z načelom odgovornosti iz člena 5(2) SUVP dokazati resničnost zatrjevanega namena in po potrebi združljivost te obdelave z namenom zbiranja podatkov. ( 23 )

48. V zvezi s tem se lahko pri preverjanju tega cilja upoštevata dva konkretna in objektivna elementa. Prvič, člen 13(3) SUVP določa, da mora pri zbiranju osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, upravljavec, kadar namerava nadalje obdelovati osebne podatke za namen, ki ni namen, za katerega so bili ti podatki zbrani, posamezniku, na katerega se navedeni podatki nanašajo, pred tako nadaljnjo obdelavo podatkov zagotoviti informacije o tem drugem namenu ( 24 ) in vse nadaljnje relevantne informacije iz odstavka 2 te določbe. Drugič, v skladu s členom 30(1) SUVP mora vsak upravljavec v pisni obliki, vključno z elektronsko obliko, voditi evidenco dejavnosti obdelave v okviru svoje odgovornosti in nadzornemu organu na zahtevo omogočiti dostop do te evidence. Ta evidenca vsebuje različne informacije, vključno z informacijami o namenih obdelave.

49. V obravnavani zadevi se zdi očitno, da družba Digi ni obvestila nobenega od zadevnih naročnikov o svoji nameri, da bo podvojila njihove podatke in jih shranila na internem nosilcu, namenjenem testiranju in odpravi napak, ker je ta upravljavec menil, da to dejanje obdelave nima ločenega namena od namena zbiranja podatkov in zato ne spada na področje uporabe člena 13(3) SUVP. ( 25 ) Poleg tega na podlagi spisa, predloženega Sodišču, ni mogoče ugotoviti, ali je družba Digi oproščena vodenja evidenc, določenega v členu 30(5) te uredbe. ( 26 )

50. Vsekakor ugotavljam, da je družba Digi na obravnavi jasno navedla, da tehnična napaka, do katere je prišlo leta 2018, ni povzročila prekinitve pogodbeno zagotovljene storitve, saj je bila očitana hramba izvedena zgolj zaradi tveganja take prekinitve. Te navedbe je treba povezati z objektivnimi vsebinskimi ugotovitvami glede izbire imena podatkovne zbirke, imenovane „test“, s tem, da podatkovna zbirka ni vsebovala podatkov vseh naročnikov, ampak le tretjine, in da je bila ta zbirka, potem ko je družba Digi v 18 mesecih po odpravi prvotne tehnične težave nanjo pozabila, takoj po vdoru v računalniški sistem septembra 2019, ki je vplival na varnost podatkov, izbrisana.

51. V teh okoliščinah se zdi mogoče ugotoviti, da je z očitano obdelavo izpolnjen edini, konkreten in določen cilj, in sicer začasno zavarovanje dela podatkov naročnikov v okviru odprave tehnične napake, ki je vplivala na delovanje strežnika, kar je po mojem mnenju namen, ki je drugačen od cilja zbiranja podatkov.

52. Komisija in družba Digi pa trdita, da za tako obdelavo, ki je namenjena spoštovanju obveznosti zagotavljanja varnosti, ki je upravljavcu naložena s členom 5(1)(f) SUVP in je podrobno opisana v členu 32 SUVP, ni mogoče šteti, da ima nov ali ločen namen, sicer bi ogrozila učinkovitost tega akta in privedla do zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, brez kakršnega koli praktičnega pomena.

53. Menim, da je ta abstrakten in sistematičen pristop v nasprotju z zahtevo po presoji zakonitosti vsakega dejanja obdelave glede na vse upoštevne okoliščine obravnavane zadeve. To dejansko vodi v odvzem polnega učinka obveznosti zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, iz člena 13(3) SUVP, pri čemer gre za informacije, ki jih mora upravljavec tem posameznikom zagotoviti, da se zagotovi poštena obdelava podatkov. ( 27 ) Ta obveznost je nujna, če se obdelava kot v obravnavani zadevi izvede v okviru izvajanja pogodbe in temelji na členu 6(1)(b) SUVP, ki se nanaša na potrebo po izvajanju pogodbe, ne da bi bilo za to potrebno soglasje sopogodbenikov. Nazadnje, z navedenim pristopom se ne upošteva namen člena 5(1)(b) SUVP, in sicer da nadaljnja obdelava, ki se izvaja za namen, ki se razlikuje od namena zbiranja podatkov, ni nujno nezakonita, saj zgolj njena združljivost z zadnjenavedenim zadostuje za izpolnitev te določbe.

b) Združljivost obdelave

54. Člen 5(1)(b) SUVP ne vsebuje nobenih navedb glede pogojev, pod katerimi se nadaljnja obdelava, katere namen se razlikuje od prvotnega namena zbiranja podatkov, lahko šteje za združljivo z njim. V zvezi s tem se je treba sklicevati na člen 6(4) SUVP v povezavi z uvodno izjavo 50 tega akta, katerih vsebina odraža povezavo med načelom omejitve namena in pravno podlago zadevne obdelave.

55. Ta določba tako zahteve po združljivosti razlikuje glede na to, ali obdelava osebnih podatkov za drug namen kot za tistega, za katerega so bili ti podatki zbrani, temelji na privolitvi posameznika, na katerega se navedeni podatki nanašajo, ali na pravu Unije oziroma pravu države članice, ki predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1) SUVP.

56. Če je odgovor pritrdilen, je upravljavcu v skladu z drugim odstavkom uvodne izjave 50 SUVP dovoljeno, da nadalje obdeluje osebne podatke ne glede na združljivost namenov. ( 28 ) To odstopanje od zahteve po združljivosti je v bistvu utemeljeno z obstojem drugih pravil za varstvo posameznikov, na katere se nanašajo osebni podatki, zlasti tistih, ki se nanašajo na zagotavljanje –posameznikom, na katere se ti osebni podatki nanašajo – informacij o drugih namenih in pravici do ugovora obdelavi. ( 29 )

57. Če ni tako in gre za položaj, ki ustreza obravnavani zadevi, člen 6(4) SUVP določa,: „[…] upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva: (a) kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave; (b) okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem; (c) naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10; (d) morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki; (e) obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo.“

58. Ker družba Digi ob zbiranju podatkov ni formalno navedla, da je načrtovana nadaljnja obdelava in kateri je njen namen, se je treba omejiti na vsebinski pristop, ki po mojem mnenju pripelje do ugotovitve, da je obdelava združljiva.

59. V zvezi s tem nesporno obstaja povezava med namenom prvotnega zbiranja podatkov, in sicer izvajanjem pogodbe o naročnini na internet in televizijo, ter obdelavo za zavarovanje teh podatkov v dodatni interni podatkovni zbirki in izvedbo testov za varno odpravo tehnične napake, ki bi lahko škodovala zagotavljanju pogodbeno zagotovljene storitve. Ta namena sta, ne da bi se prekrivala, kot je navedeno zgoraj, logično povezana.

60. Treba je poudariti, da se pri tej obdelavi ne odstopa od legitimnih pričakovanj naročnikov glede nadaljnje uporabe njihovih podatkov. Dodatnega shranjevanja podatkov na internem nosilcu podatkov zaradi potrebe po odpravi tehnične napake, ki vpliva na dostopnost podatkov iz prvotne podatkovne zbirke, dejansko ni mogoče šteti za presenetljivega ali malo verjetnega. Poleg tega je zadevne podatke še naprej obdeloval isti upravljavec in niso bili razkriti tretjim osebam, kar a priori kaže na neobstoj vsakršne škode. Dejstvo, da je heker, ki je vdrl v računalniški sistem družbe Digi, lahko dostopal do podatkov, vsebovanih na tem nosilcu, po mojem mnenju ne vodi do retroaktivne ugotovitve nezdružljivosti zadevne obdelave.

3. Načelo omejitve hrambe

61. V skladu s členom 5(1)(e) SUVP morajo biti podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, ( 30 ) le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) te uredbe, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz navedene uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se ti osebni podatki nanašajo.

62. Kot je bilo navedeno, načelo omejitve hrambe izraža načelo sorazmernosti in načelo „najmanjšega obsega podatkov“, v skladu s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. ( 31 ) V okviru načela omejitve hrambe je vprašanje potrebnosti obdelave s časovnega vidika povezano z vprašanjem, ali ima ta obdelava še vedno svoj namen.

63. Opozoriti je treba tudi, da upoštevanje zahteve po sorazmernosti pomeni, da se morajo odstopanja od varstva osebnih podatkov in njegove omejitve določiti v mejah tega, kar je nujno potrebno. ( 32 ) Sodišče je jasno navedlo, da je namen člena 5(1)(e) SUVP varstvo posameznikov, na katere se nanašajo osebni podatki. ( 33 )

64. Poleg tega je v uvodni izjavi 39 SUVP izrecno navedeno, da mora biti obdobje hrambe podatkov omejeno na „najkrajše mogoče obdobje“ in da bi moral upravljavec za zagotovitev tega določiti roke za izbris ali občasno preverjanje. Člen 13(2)(a) SUVP določa, da mora upravljavec poleg informacij iz odstavka 1 tega člena takrat, ko pridobi osebne podatke, posamezniku, na katerega se ti podatki nanašajo, zagotoviti dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave, vključno z obdobjem hrambe teh podatkov ali – kadar to ni mogoče – merili, ki se uporabijo za določitev tega obdobja. ( 34 )

65. V tem okviru je treba glede na vse okoliščine obravnavane zadeve ( 35 ) ugotoviti, v katerem trenutku bi bilo mogoče šteti, da je namen shranjevanja kopije podatkov dela naročnikov v dodatni interni podatkovni zbirki, kadar je to primerno, uresničen, s čimer ta obdelava ne bi imela več smisla in bi bila družba Digi obvezana te podatke izbrisati. Očitno je, da mora upravljavec v skladu z načelom odgovornosti iz člena 5(2) SUVP dokazati zakonitost obdelave glede na načelo omejitve hrambe in načelo omejitve namena.

66. V obravnavani zadevi družba Digi šteje, da je očitana hramba ustrezala cilju varovanja podatkov in s tem prispevala k uresničitvi cilja izvajanja naročniške pogodbe, zato meni, da je bilo obdobje hrambe podatkov v testni podatkovni zbirki enako obdobju izpolnjevanja njenih pogodbenih obveznosti, s čimer je izključena vsakršna kršitev člena 5(1)(e) SUVP.

67. Glede določitve namena ali namenov se sklicujem na vse ugotovitve in presoje, podane v okviru odgovora na vprašanje spoštovanja načela omejitve namena, iz katerih je razvidno, da ni mogoče šteti, da ima zadevna obdelava dvojni namen, ki vključuje izvajanje naročniških pogodb. ( 36 )

68. Vsekakor pa bi morala biti obdelava podatkov v obliki shranjevanja v dodatni interni datoteki, ne glede na vrsto predvidenega namena oziroma namenov, časovno omejena na to, kar je bilo nujno potrebno. Povedano drugače, ko je bila začetna napaka odpravljena, je okoliščina, ki upravičuje dejanje hrambe in njenega vzdrževanja, izginila. Neposredni in primarni cilj varovanja podatkov v okviru odprave tehnične napake, obravnavan ločeno ali celo v kombinaciji s posrednim ciljem, ki je vezan na izvajanje naročniške pogodbe, v teh okoliščinah ne bi mogel več zajemati nadaljnje obdelave.

69. Ugotoviti je treba, da je družba Digi nedvoumno navedla, da je namen testne podatkovne zbirke zagotoviti dostop do podatkov o naročnikih, „dokler se napaka ne odpravi“, in da te zbirke pomotoma ni izbrisala, ko po odpravi napake njena hramba ni bila več upravičena, ( 37 ) kar pomeni, da očitana obdelava ni bila več potrebna in zato ni imela namena. Ali je mogoče šteti, da ima interna podatkovna zbirka, ki jo je upravljavec pozabil za eno leto in pol, še vedno dejanski namen? Menim, da je odgovor nujno nikalen.

V. Predlog

70. Glede na navedeno Sodišču predlagam, naj na vprašanji za predhodno odločanje, ki ju je postavilo Fővárosi Törvényszék (županijsko sodišče v Budimpešti, Madžarska), odgovori: 1. Člen 5(1)(b) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da v njem navedeno načelo ne nasprotuje hrambi osebnih podatkov, ki so bili zakonito zbrani in shranjeni v dodatni interni zbirki, kadar ima taka obdelava iste namene kot zbiranje ali – če jih nima – kadar je s temi nameni združljiva, kar mora dokazati upravljavec, tudi kadar je pri obdelavi izpolnjena obveznost upravljavca glede zagotavljanja ustrezne varnosti osebnih podatkov iz člena 5(1)(f) navedene uredbe. Če navedena obdelava osebnih podatkov za drug namen kot za tistega, za katerega so bili ti podatki zbrani, ne temelji na privolitvi posameznika, na katerega se navedeni podatki nanašajo, ali na pravu Unije oziroma pravu države članice v skladu s členom 23(1) Uredbe 2016/679, je treba njeno združljivost ugotoviti zlasti ob upoštevanju meril iz člena 6(4) te uredbe. 2. Člen 5(1)(e) Uredbe 2016/679 je treba razlagati tako, da v njem navedeno načelo nasprotuje hrambi podatkov v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, ki so bili zakonito zbrani in shranjeni v dodatni interni zbirki s ciljem odprave tehnične napake in začasnega zavarovanja teh podatkov, v daljšem obdobju, kot je potrebno za dosego tega cilja, in torej po odpravi te napake, tudi kadar je navedeni, neposredni in prvotni cilj mogoče povezati s posrednim dodatnim ciljem izvajanja pogodbeno zagotovljenih storitev.

( 1 ) Jezik izvirnika: francoščina.

( 2 ) Uredba Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2016, L 127, str. 2, v nadaljevanju: SUVP).

( 3 ) Sodba z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, EU:C:2020:559, točki 73 in 74).

( 4 ) Direktiva Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 29, str. 514).

( 5 ) Sodba z dne 6. oktobra 2020, Privacy International (C‑623/17, EU:C:2020:790, točki 34 in 36).

( 6 ) Direktiva Evropskega parlamenta in Sveta z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).

( 7 ) Treba je spomniti, da se – ker je bila Direktiva 95/46 s SUVP razveljavljena in nadomeščena ter ker je obseg upoštevnih določb te uredbe v bistvu enak obsegu upoštevnih določb te direktive – sodna praksa Sodišča v zvezi z navedeno direktivo načeloma uporablja tudi v zvezi z navedeno uredbo (sodba z dne 17. junija 2021, M. I. C. M.,C‑597/19, EU:C:2021:492, točka 107).

( 8 ) Glej sodbo z dne 11. novembra 2020, Orange Romania (C‑61/19, EU:C:2020:901), glede izključnega izvajanja določb Direktive 95/46 in SUVP v zadevi, ki se nanaša na soglasje strank družbe Orange România, ponudnika mobilnih telekomunikacijskih storitev na romunskem trgu, v zvezi z zbiranjem in hrambo kopij njihovih osebnih dokumentov.

( 9 ) Iz točke 2 stališč Komisije je razvidno, da so bili ti podatki naslednji: ime, kraj in datum rojstva, naslov, številka osebne izkaznice, včasih osebna številka, elektronski naslov, stacionarna številka in številka mobilnega telefona posameznikov, na katere se nanašajo osebni podatki.

( 10 ) Sodba z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 208).

( 11 ) Glej po analogiji sodbo z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 72).

( 12 ) Neodvisnost obveznosti upravljavca, kot so opredeljene v členu 5 SUVP, ne izključuje obstoja povezave med temi obveznostmi, ki je v obravnavani zadevi pojem namena. Preverjanje narave in namenov dejavnosti obdelave je nujno za presojo spoštovanja načel iz te določbe ter zlasti načel omejitve namena in hrambe podatkov, na kateri se nanaša spor o glavni stvari.

( 13 ) Sodba z dne 22. aprila 2021, Profi Credit Slovakia (C‑485/19, EU:C:2021:313, točka 50).

( 14 ) Nadaljnjo obdelavo v namene arhiviranja v javnem interesu, znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene je treba šteti za zakonito obdelavo podatkov, ki je združljiva s prvotnimi nameni iz člena 5(1)(b) SUVP, kar pa ne ustreza okoliščinam zadeve iz postopka v glavni stvari.

( 15 ) Glej po analogiji sodbo z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 93).

( 16 ) Glej v tem smislu sodbi z dne 7. maja 2009, Rijkeboer (C‑553/07, EU:C:2009:293, točka 33), in z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 92).

( 17 ) Glej v tem smislu sodbo z dne 7. maja 2009, Rijkeboer (C‑553/07, EU:C:2009:293, točka 33).

( 18 ) Glede na naravo teh dejanj obdelave se zdi, da je ustrezna pravna podlaga člen 6(1)(a) in (b) SUVP, ki poleg tega v obravnavani zadevi ni predmet razprave.

( 19 ) Glej po analogiji sodbo z dne 20. maja 2003, Österreichischer Rundfunk in drugi (C‑465/00, C‑138/01 in C‑139/01, EU:C:2003:294, točka 40).

( 20 ) Dejanje zbiranja osebnih podatkov strank in njihovega shranjevanja v izvirni zbirki podatkov ima isti namen, in sicer zagotavljanje pogodbeno zagotovljene storitve.

( 21 ) Glej točko 13 stališč družbe Digi.

( 22 ) Neodvisen svetovalni organ, ustanovljen v skladu s členom 29 Direktive 95/46, ki ga je od sprejetja SUVP nadomestil Evropski odbor za varstvo podatkov.

( 23 ) Glej po analogiji sodbo z dne 11. novembra 2020, Orange Romania (C‑61/19, EU:C:2020:901, točki 51 in 52).

( 24 ) Vsebina člena 13(3) SUVP podpira pristop, da zahteva po natančnosti namena ne velja le v fazi zbiranja podatkov, ampak se nanaša na vsa dejanja obdelave.

( 25 ) Ta določba odraža prožnost upravljanja v korist upravljavca, ki sam presodi, kako bo izvedel obveznost zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki. Ta možnost zahteva strogo preverjanje namenov obdelave s strani nadzornega organa, kar je bistveno za preverjanje zakonitosti nadaljnje obdelave in zlasti skladnosti z zahtevo glede združljivosti.

( 26 ) Obseg te obveznosti se zmanjša z izvzetjem podjetij ali organizacij, ki zaposlujejo manj kot 250 oseb, razen če je verjetno, da obdelava, ki jo izvajajo, predstavlja tveganje za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, če obdelava ni občasna ali če vključuje posebne vrste podatkov iz člena 9(1) SUVP oziroma osebne podatke v zvezi s kazenskimi obsodbami in prekrški iz člena 10 SUVP.

( 27 ) Sodba z dne 11. novembra 2020, Orange Romania (C‑61/19, EU:C:2020:901, točka 48). Z zanimanjem ugotavljam, da se izvzetje iz obveznosti upravljavca, da zagotovi informacije, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, kot je določeno v členu 14(5)(b) SUVP, če se izkaže, da je zagotavljanje takih informacij nemogoče ali bi vključevalo nesorazmeren napor, ne uporablja za okoliščine, ki jih ureja člen 13 te uredbe.

( 28 ) Poudariti je treba, da dejanja obdelave, ki so izvzeta iz zahteve po združljivosti, ne vključujejo dejanj, ki temeljijo na členu 6(1)(c) SUVP, ki se nanaša na obdelavo, potrebno za izpolnitev zakonske obveznosti, ki velja za upravljavca, in zlasti obveznosti iz člena 5(1)(f) te uredbe, ki se nanaša na zagotavljanje ustrezne varnosti podatkov.

( 29 ) Naj spomnim, da je v skladu s členom 6(1)(a) SUVP obdelava zakonita, če in kolikor je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov „v enega ali več določenih namenov“.

( 30 ) Ta pogoj v obravnavani zadevi ni sporen.

( 31 ) Glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2021:504, točka 98).

( 32 ) Sodba z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 210).

( 33 ) Glej po analogiji sodbo z dne 7. maja 2009, Rijkeboer (C‑553/07, EU:C:2009:293, točka 35).

( 34 ) Glede na pogoje, v katerih se je izvajala očitana obdelava, se ta določba v obravnavani zadevi ne uporablja.

( 35 ) Sodba z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 94).

( 36 ) Naj samo spomnim, da je ugotovitev, da je bila testna podatkovna zbirka izbrisana takoj po „etičnem“ vdoru v računalniški sistem družbe Digi, ne glede na nadaljevanje pogodbenih razmerij z zadevnimi naročniki, v popolnem nasprotju s trditvijo, da je bila ta zbirka ohranjena zaradi izvajanja naročniških pogodb.

( 37 ) Glej zlasti točko 22 stališč družbe Digi.