CELEX: 62021CC0077
Language: sk
Date: 2022-03-31
Title: Návrhy prednesené 31. marca 2022 – generálny advokát P. Pikamäe.###

Predbežné znenie
NÁVRHY  GENERÁLNEHO  ADVOKÁTA
PRIIT  PIKAMÄE
prednesené  31. marca 2022(1)

Vec C‑77/21

Digi Távközlési és Szolgáltató Kft.

proti

Nemzeti Adatvédelmi és Információszabadság Hatóság

[návrh  na  začatie  prejudiciálneho  konania,  ktorý  podal  Fővárosi  Törvényszék  (Súd  hlavného  mesta  Budapešť,  Maďarsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 ods. 1 písm. b) a e) – Zásada obmedzenia účelu – Zásada minimalizácie uchovávania – Zákonne získané a uložené osobné údaje zákazníkov – Vytvorenie ďalšej špecifickej internej databázy v nadväznosti na technickú poruchu – Následné overenie účelov spracúvania – Dvojaký účel – Neexistencia totožnosti účelov spracúvania s účelmi získania údajov – Zlučiteľnosť spracúvania s účelmi získania – Článok 6 ods. 4 – Nevymazanie databázy po oprave technickej poruchy – Dosiahnutie účelov spracúvania“

1.        Za  akých  podmienok  môže  poskytovateľ  prístupu  na internet a k televíznemu  vysielaniu  uchovávať  osobné  údaje  svojich  zákazníkov,  ktoré  boli  získané a už  uložené v súlade  so  zákonom,  na  ďalšom  internom  nosiči  bez  ich  výslovného  súhlasu,  aby  napravil  technickú  poruchu?

2.        To  je  jedna z otázok  nastolených  v prejednávanej  veci,  ktorá  umožní  Súdnemu  dvoru  doplniť  jeho  čoraz  bohatšiu  judikatúru  týkajúcu  sa  nariadenia  (EÚ)  2016/679(2),  pokiaľ  ide  konkrétnejšie o zásady  obmedzenia  účelu a minimalizácie  uchovávania  formulované v článku 5 ods. 1 písm. b) a e)  tohto  aktu.
I.      Právny rámec

3.        V prejednávanej  veci  sú  relevantné články 4 až  6,  13 a 32  GDPR.
II.    Spor vo veci samej a prejudiciálne otázky

4.        Spoločnosť  Digi  Távközlési  és  Szolgáltató  Kft.  (ďalej  len  „Digi“)  je  jedným z hlavných  poskytovateľov  internetových  služieb a služieb  televízneho  vysielania v Maďarsku.

5.        V apríli  2018 v nadväznosti  na  technickú  poruchu,  ktorá  ovplyvnila  fungovanie  servera,  Digi  vytvorila  tzv.  „testovaciu“  databázu,  do  ktorej  skopírovala  osobné  údaje  približne  tretiny  svojich  súkromných  zákazníkov.

6.        Dňa  23. septembra  2019  sa  Digi  dozvedela o tom,  že  „etický  hacker“  získal  prístup k osobným  údajom  približne  322 000  osôb.  Na  útok  písomne  upozornil  samotný  hacker v e‑maile  zaslanom  tomuto  podniku  21. septembra  2019,  pričom  ako  dôkaz  extrahoval  jeden  riadok z testovacej  databázy.  Digi  chybu  opravila a s touto  osobou,  ktorej  ponúkla  odmenu,  uzavrela  dohodu o mlčanlivosti.

7.        Po  vymazaní  testovacej  databázy  Digi  25. septembra  2019  oznámila  porušenie  osobných  údajov  na  Nemzeti  Adatvédelmi  és  Információszabadság  Hatóság  (Národný  úrad  na  ochranu  údajov a slobodu  informácií,  ďalej  len  „Úrad“), v nadväznosti  na  čo  tento  Úrad  začal  vyšetrovanie.

8.        V rozhodnutí z 18. mája  2020  Úrad  najmä  dospel k záveru  na  jednej  strane,  že  Digi  porušila článok 5 ods. 1 písm. b) a e)  GDPR  tým,  že  po  vykonaní  nevyhnutných  testov a odstránení  problémov  nevymazala  testovaciu  databázu,  takže  veľké  množstvo  osobných  údajov  bolo v tejto  databáze  uchovávaných  bez  akéhokoľvek  účelu  takmer  18  mesiacov v súbore,  ktorý  mohol  umožňovať  identifikáciu  dotknutých  osôb,  pričom  nevymazanie  tejto  databázy  umožnilo  porušenie  osobných  údajov.  Na  druhej  strane  sa  Úrad  domnieval,  že  Digi  porušila článok 32 ods. 1 a 2  GDPR.  Za  týchto  okolností  Úrad  uložil  spoločnosti  Digi  pokutu  vo  výške  100 000 000  maďarských  forintov  (HUF)  (približne  270 000  eur).

9.        Digi  napadla  zákonnosť  tohto  rozhodnutia  na  vnútroštátnom  súde.

10.      Tento  súd  uvádza,  že  osobné  údaje,  ktoré  Digi  skopírovala  do  testovacej  databázy,  boli  získané  na  účely  uzavretia  zmlúv o predplatenej  službe a že  zákonnosť  získania  údajov  Úrad  nespochybnil.  Chce  však  vedieť,  či  sa  účel  získania a spracúvania  údajov  zmenil  tým,  že  údaje  získané  na  konkrétne  určený  účel  boli  skopírované  do  inej  databázy.  Dodáva,  že  musí  tiež  určiť,  či  vytvorenie  testovacej  databázy a ďalšie  spracúvanie  údajov  zákazníkov  týmto  spôsobom  sú  zlučiteľné s účelom  získania  týchto  údajov. V tejto  súvislosti  zásada  obmedzenia  účelu  neposkytuje  jasné  usmernenia k otázke, v akých  interných  systémoch  má  prevádzkovateľ  právo  spracúvať  zákonne  získané  údaje  ani  či  môže  skopírovať  tieto  údaje  do  testovacej  databázy  bez  zmeny  účelu  získania  údajov.

11.      Ak  by  vytvorenie  testovacej  databázy  bolo  nezlučiteľné s účelom  získania  údajov,  vnútroštátny  súd  sa  tiež  pýta,  či v prípade,  že  účelom  spracúvania  zákazníckych  údajov v inej  databáze  nie  je  oprava  chýb,  ale  uzavretie  zmlúv,  musí  sa  nevyhnutá  doba  uchovávania  údajov  zhodovať s dobou  nevyhnutnou  na  opravu  chýb  alebo  skôr s dobou  nevyhnutnou  na  plnenie  zmluvných  povinností.

12.      Za  týchto  okolností  Fővárosi  Törvényszék  (Súd  hlavného  mesta  Budapešť,  Maďarsko)  rozhodol  prerušiť  konanie a položiť  Súdnemu  dvoru  tieto  prejudiciálne  otázky:
„1.      Má  sa  zásada  ‚obmedzenie  účelu‘  vymedzená v článku 5 ods. 1 písm. b)  [GDPR]…  vykladať v tom  zmysle,  že  je v súlade s uvedenou  zásadou,  ak  prevádzkovateľ  súbežne  uchováva v inej  databáze  osobné  údaje,  ktoré  boli  inak  získané a uchovávané  na  obmedzený  legitímny  účel,  alebo  naopak,  pokiaľ  ide o paralelnú  databázu  údajov,  už  nie  je  platný  obmedzený  legitímny  účel  získania  údajov?
2.      Ak  sa  odpovie  na  prvú  prejudiciálnu  otázku v tom  zmysle,  že  súbežné  uchovávanie  údajov  je  samo osebe nezlučiteľné  so  zásadou  ‚obmedzenia  účelu‘,  je  zlučiteľné  so  zásadou  ‚minimalizácie  uchovávania‘  stanovenou v článku 5 ods. 1 písm. e)  [GDPR],  ak  prevádzkovateľ  súbežne  uchováva v inej  databáze  osobné  údaje,  ktoré  boli  inak  získané a uchovávané  na  obmedzený  legitímny  účel?“
III. Konanie na Súdnom dvore

13.      Žalobkyňa a žalovaný  vo  veci  samej,  maďarská,  česká a portugalská  vláda,  ako  aj Európska  komisia  podali  písomné  pripomienky.  Na  pojednávaní,  ktoré  sa  konalo  17. januára  2022,  boli  vypočuté  aj  ústne  pripomienky  žalobkyne a žalovaného  vo  veci  samej,  ako  aj  maďarskej  vlády a Komisie.
IV.    Analýza

A.      O prípustnosti

14.      Úrad,  ako  aj  maďarská  vláda,  vyjadrili  pochybnosti o prípustnosti  návrhu  na  začatie  prejudiciálneho  konania z dôvodu,  že  položené  otázky  neodrážajú  skutkový  stav  veci  samej a nie  sú  priamo  relevantné  pre  jej  výsledok.

15.      Z ustálenej  judikatúry  Súdneho  dvora  vyplýva,  že  prináleží  iba  vnútroštátnemu  súdu,  ktorý  prejednáva  spor a nesie  zodpovednosť  za  následné  súdne  rozhodnutie,  aby  so  zreteľom  na  osobitosti  veci  posúdil  tak  potrebu  rozhodnutia v prejudiciálnom  konaní  na  vydanie  svojho  rozsudku,  ako  aj  relevantnosť  otázok,  ktoré  kladie  Súdnemu  dvoru.  Pokiaľ  sa  teda  položené  otázky  týkajú  výkladu  alebo  platnosti  právneho  pravidla  Únie,  Súdny  dvor  je v zásade  povinný  rozhodnúť. Z toho  vyplýva,  že  pri  otázkach  položených  vnútroštátnymi  súdmi  platí  prezumpcia  relevantnosti.  Súdny  dvor  môže  odmietnuť  rozhodnúť o prejudiciálnej  otázke  položenej  vnútroštátnym  súdom  len  vtedy,  ak  je  zjavné,  že  požadovaný  výklad  nemá  nijakú  súvislosť s existenciou  alebo  predmetom  sporu  vo  veci  samej,  ak  ide o hypotetický  problém  alebo  ak  Súdny  dvor  nedisponuje  skutkovými  ani  právnymi  informáciami  potrebnými  na  užitočnú  odpoveď  na  uvedené  otázky. V tomto  prípade  návrh  na  začatie  prejudiciálneho  konania  obsahuje  skutkové a právne  okolnosti,  ktoré  sú  dostatočné  na  pochopenie  rozsahu  prejudiciálnych  otázok.  Okrem  toho a predovšetkým  žiadna  skutočnosť v spise,  ktorý  má  Súdny  dvor k dispozícii,  neumožňuje  domnievať  sa,  že  požadovaný  výklad  práva  Únie  nemá  súvislosť s existenciou  alebo  predmetom  sporu  vo  veci  samej,  alebo  že  ide o hypotetický  problém.(3)

16.      V tejto  súvislosti  treba  uviesť,  že  na  vnútroštátny  súd  je  podaná  žaloba, v ktorej  sa  navrhuje  zrušenie  rozhodnutia,  ktorým  bola  spoločnosti  Digi  uložená  sankcia  ako  prevádzkovateľovi z dôvodu  údajného  porušenia  zásad  obmedzenia  účelu a minimalizácie  uchovávania  uvedených v článku 5 ods. 1 písm. b) a e)  GDPR,  ktorého  sa  týka  žiadosť  tohto  súdu o výklad.  Návrh  na  začatie  prejudiciálneho  konania  treba  preto  považovať  za  prípustný.
B.       O právnom rámci analýzy

17.      Treba  uviesť,  že  návrh  na  začatie  prejudiciálneho  konania  sa  týka  výlučne  výkladu článku 5 GDPR v kontexte  sporu  vo  veci  samej, v ktorom  ide o zákonnosť  spracúvania  osobných  údajov  zo  strany  spoločnosti  Digi,  jedného z hlavných  poskytovateľov  internetových a televíznych  služieb v Maďarsku,  ktorý  je v dôsledku  toho  operátorom  ponúkajúcim  verejnosti  prístup  ku  komunikačným  službám  online.

18.      Treba  však  zdôrazniť,  že článok 1 smernice  2002/58/ES(4) vo  svojom  odseku  1  uvádza,  že  táto  smernica  upravuje  harmonizáciu  vnútroštátnych  ustanovení  požadovaných  najmä  na  zabezpečenie  rovnocennej  úrovne  ochrany  základných  práv a slobôd a najmä  práva  na  súkromie a dôvernosť, z hľadiska  spracovávania  osobných  údajov v elektronickom  komunikačnom  sektore.  Navyše článok 3 smernice  2002/58  uvádza,  že  táto  smernica  sa  vzťahuje  na  spracovávanie  osobných  údajov v súvislosti s poskytovaním  verejne  dostupných  elektronických  komunikačných  služieb  vo  verejných  komunikačných  sieťach v Únii,  vrátane  verejných  komunikačných  sietí,  ktoré  podporujú  zariadenia  na  zber  údajov a identifikáciu.  Treba  sa  preto  domnievať,  že  uvedená  smernica  upravuje  činnosti  poskytovateľov  takých  služieb.(5)

19.      Smernica  2002/58 v súlade s jej článkom 1 ods. 2  spresňuje a dopĺňa  smernicu  95/46/ES(6) na  účely  uvedené v odseku  1,  pričom  podľa článku 94 ods. 2  GDPR  sa  odkazy  na  smernicu  95/46,  obsiahnuté v smernici  2002/58,  považujú  za  odkazy  na  toto  nariadenie.(7) Podľa  odôvodnenia  10  smernice  2002/58  sa v elektronickom  komunikačnom  sektore  smernica  95/46  uplatňuje  najmä  na  všetky  aspekty  ochrany  základných  práv a slobôd,  ktoré  nie  sú  výslovne  predmetom  ustanovení  smernice  2002/58,  vrátane  povinností  prevádzkovateľa  osobných  údajov a práv  jednotlivcov.(8)

20.      Z návrhu  na  začatie  prejudiciálneho  konania  vyplýva,  že  spor  vo  veci  samej  sa  netýka  využívania  elektronických  komunikačných  služieb  predplatiteľmi  spoločnosti  Digi a teda  ochrany  takto  prenášaných  správ a príslušných  prevádzkových  dát  upravenej  smernicou  2002/58,  ale interného  fungovania  tohto  podniku.  Nie  je  sporné,  že  Digi v roku  2018 v nadväznosti  na  technickú  poruchu  servera,  ktorá  sa  prejavila  nedostupnosťou  pôvodnej  databázy  jej  predplatiteľov,  vytvorila  súbor  nazvaný  „test“,  do  ktorého  skopírovala  osobné  údaje  časti  svojich  zákazníkov.(9) Keď  Digi  opravila  túto  poruchu,  údaje  zostali  uložené v dodatočnej  databáze  až  do  septembra  2019,  keď  došlo k hackerskému  útoku  na  túto  databázu.  Činnosť,  ktorú  takto  Digi  vykonávala,  má  povahu  „spracúvania  osobných  údajov“, v prípade  ktorého  je  tento  podnik  „prevádzkovateľom“ v zmysle  definícií  poskytnutých v článku 4 ods. 2 a 7  GDPR.  Navyše  Úrad  uložil  spoločnosti  Digi  sankciu  práve  ako  prevádzkovateľovi  za  to,  že  pri  tejto  príležitosti  porušila  svoje  povinnosti  vyplývajúce  najmä z článku 5 ods. 1 písm. b) a e)  GDPR.

21.      V tejto  súvislosti  treba  pripomenúť,  že  okrem  výnimiek  prípustných  podľa článku 23  GDPR  musí  každé  spracúvanie  osobných  údajov  dodržiavať  zásady  spracúvania,  ako  aj  práva  dotknutej  osoby  formulované v kapitolách II a III  tohto  nariadenia.  Konkrétne  musí  každé  spracúvanie  osobných  údajov  na  jednej  strane  byť v súlade  so  zásadami  stanovenými v článku 5 uvedeného  nariadenia a na  druhej  strane  spĺňať  podmienky  zákonnosti  vymenované v článku 6 toho  istého  nariadenia.(10)

22.      Podľa článku 5 GDPR  je  povinnosťou  prevádzkovateľa  zabezpečiť,  že  osobné  údaje  sú  „spracúvané  zákonným  spôsobom,  spravodlivo a transparentne“  [písmeno  a)],  že  sú  „získavané  na  konkrétne  určené,  výslovne  uvedené a legitímne  účely a [nebudú]  sa  ďalej  spracúvať  spôsobom,  ktorý  nie  je  zlučiteľný s týmito  účelmi“  [písmeno  b)],  že  sú  „primerané,  relevantné a [nie  nadbytočné]  vzhľadom  na  účely,  na  ktoré  sa  [získavajú a ďalej  spracúvajú]“  [písmeno c)],  že  sú  „správne a podľa  potreby  aktualizované“  [písmeno d)] a napokon,  že  sú  „uchovávané  vo  forme,  ktorá  umožňuje  identifikáciu  dotknutých  osôb  najviac  dovtedy,  kým  je  to  potrebné  na  [dosiahnutie  účelov],  na  ktoré  sa  osobné  údaje  [získavajú  alebo  ďalej  spracúvajú]“  [písmeno e)],  pričom  spracúvanie  údajov  na  historické,  štatistické  alebo  vedecké  účely  upravujú  osobitné  ustanovenia. V tejto  súvislosti  musí  tento  prevádzkovateľ  prijať  všetky  primerané  opatrenia,  aby  sa  údaje,  ktoré  nespĺňajú  požiadavky  tohto  ustanovenia,  vymazali  alebo  opravili.(11)
C.      O rozsahu návrhu na začatie prejudiciálneho konania

23.      Vnútroštátny  súd  chce  získať  od  Súdneho  dvora  usmernenia k výkladu  zásad  obmedzenia  účelu a minimalizácie  uchovávania  zakotvených v článku 5 ods. 1 písm. b) a e)  GDPR,  čo  sa  odráža  vo  formulácii  dvoch  odlišných  prejudiciálnych  otázok  týkajúcich  sa  týchto  ustanovení.  Napriek  tomu  je  druhá  otázka  týkajúca  sa  zásady  minimalizácie  uchovávania  formulovaná  iba  pod  podmienkou,  že  je  dotknuté  spracúvanie  údajov  nezlučiteľné  so  zásadou  obmedzenia  účelu.

24.      Treba  však  zdôrazniť,  že  požiadavky  týkajúce  sa  spracúvania  osobných  údajov  formulované v článku 5 GDPR  sú  zjavne  kumulatívne a navzájom  nezávislé.(12) Otázka  dodržania  zásady  minimalizácie  uchovávania  je  právne  nezávislá  od  otázky  týkajúcej  sa  zásady  obmedzenia  účelu. V rozhodnutí,  ktoré  je  predmetom  konania  vo  veci  samej,  sa  Úrad  domnieva,  že  uloženie  údajov  na  dodatočnom  internom  nosiči  viedlo k porušeniu  oboch  vyššie  uvedených  odlišných  zásad.

25.      Hoci  vnútroštátny  súd  formálne  obmedzil  svoju  druhú  otázku  jej  podmienečnou  povahou,  táto  okolnosť  nebráni  tomu,  aby  mu  Súdny  dvor  poskytol  všetky  výkladové  pomôcky,  ktoré  môžu  byť  užitočné  pre  rozsudok  vo  veci  samej, a aby  zo  všetkých  informácií  poskytnutých  týmto  súdom, a najmä z odôvodnenia  rozhodnutia  vnútroštátneho  súdu,  abstrahoval  tie  prvky  práva  Únie,  ktoré  si  vzhľadom  na  predmet  sporu vyžadujú  výklad.(13)
D.      O zákonnosti spracúvania so zreteľom na zásady obmedzenia účelu a minimalizácie uchovávania

1.      Úvodné úvahy

26.      Považujem  za  potrebné  na  úvod  preskúmať  pôsobnosť  zásad  definovaných v článku 5 ods. 1 písm. b) a e)  GDPR, a to v súvislosti s pojmom  uchovávania,  ktorý  bol v rozhodnutí  vnútroštátneho  súdu a v písomnostiach  zainteresovaných  strán  použitý  na  opis  vytýkanej  spracovateľskej  operácie z dvoch  uhlov  pohľadu.  Prvý  uhol  pohľadu  sa  týka  samotného  úkonu  uchovania  alebo  zálohovania  údajov, v tomto  prípade  uloženia  kópie  údajov  časti  predplatiteľov  spoločnosti  Digi  do  dodatočnej  internej  databázy.  Druhý  uhol  pohľadu  zohľadňuje  uchovávanie v zmysle  udržiavania  tejto  databázy  počas  určitého  času.  Položená  otázka  je  teda  otázkou  trvania  uloženia  údajov. V tejto  súvislosti  sa  na  vyššie  uvedenú  časovú  otázku  podľa  môjho  názoru  nevzťahuje  zásada  obmedzenia  účelu,  ale  výlučne  zásada  minimalizácie  uchovávania.

27.      Zásada  obmedzenia  účelu  upravená v článku 5 ods. 1 písm. b)  GDPR  má  dvojakú  zložku:  osobné  údaje  musia  byť  na  jednej  strane  získané  na  „konkrétne  určené,  výslovne  uvedené a legitímne  účely“ a na  druhej  strane  sa  nesmú  ďalej  „spracúvať  spôsobom,  ktorý  nie  je  zlučiteľný“ s týmito  účelmi.  Táto  zásada  má  čo  najjasnejšie  vymedziť  používanie  osobných  údajov  zaručením  rovnováhy  medzi  rešpektovaním  základných  práv  dotknutých  osôb v oblasti  súkromného  života a ochrany  údajov a priznaním  určitej  flexibility  prevádzkovateľovi  pri  správe  týchto  údajov,  ako  to  vyžaduje  digitálny  život a jeho  náhody.

28.      Vo  svojej  druhej  zložke,  ktorá  nás v tomto  prípade  zvlášť  zaujíma,  má  uvedená  zásada  definovať  rámec, v ktorom  osobné  údaje  získané  na  daný  účel  možno  použiť  opakovane. V súlade s článkom 5 ods. 1 písm. b)  GDPR  treba  každé  spracúvanie  po  získaní  údajov  považovať  za  „ďalšie  spracúvanie“,  ktoré  preto v prípade,  ak  sa  naň  nevzťahuje  výnimka,  musí  spĺňať  požiadavku  zlučiteľnosti.(14) Táto  požiadavka  vyjadruje  potrebu  konkrétnej,  logickej a dostatočne  úzkej  súvislosti  medzi  účelom  získania  údajov a ich  ďalším  spracúvaním.  Inak  povedané,  toto  spracúvanie  nesmie  byť  odtrhnuté  od  pôvodného  účelu  získania  údajov  alebo  sa s ním  dostať  do  rozporu,  pričom  jeho  obsah  musí  byť  bez  ohľadu  na  akýkoľvek  časový  aspekt  zlučiteľný s dôvodom,  na  ktorý  boli  údaje  získané.

29.      Zásada  obmedzenia  účelu  nepredstavuje  vo  vlastnom  zmysle slova  výraz  zásady  proporcionality  na  rozdiel  od  zásady  minimalizácie  uchovávania  formulovanej v článku 5 ods. 1 písm. e)  GDPR.  Ako  spresnil  Súdny  dvor, z požiadaviek  upravených v tomto  článku  vyplýva,  že  aj  spracúvanie  údajov,  ktoré  bolo  pôvodne v súlade s právnymi  predpismi,  sa  môže  časom  stať  nezlučiteľným s týmto  nariadením,  keď  už  tieto  údaje  nie  sú  nevyhnutné  na  účely,  na  ktoré  boli  získané  alebo  spracúvané.  To  platí  najmä v prípade,  keď  sa  tieto  údaje  javia  ako  neprimerané,  keď  nie  sú  alebo  už  nie  sú  relevantné,  alebo  keď  sú  nadbytočné  vo  vzťahu k týmto  účelom a k uplynutému  času.(15)

30.      V rámci  zásady  minimalizácie  uchovávania  teda  ide o posúdenie  proporcionality  spracúvania  vo  vzťahu k jeho  účelu  so  zreteľom  na  plynutie  času.  Túto  zásadu  poruší  uchovávanie  údajov  počas  doby,  ktorá  presahuje  nevyhnutnú  dobu,  teda  uchovávanie  po  dobu  dlhšiu,  ako  je  doba  nevyhnutná  na  dosiahnutie  účelu,  na  ktorý  boli  tieto  údaje  uchovávané.(16) Pokiaľ  je  účel  tohto  spracúvania  dosiahnutý,  údaj treba vymazať.(17) Zásada  minimalizácie  uchovávania  tak  poskytuje  odpoveď  na  otázku,  kedy  už  uloženie  údajov  na  dodatočnom  internom  nosiči  spoločnosti  Digi  nebolo  viac  odôvodnené.

31.      S prihliadnutím  na  prechádzajúce  úvahy  preskúmam  zákonnosť  predmetného  spracúvania z hľadiska  dvoch  vyššie  uvedených  zásad.
2.      O zásade obmedzenia účelu

32.      Overenie  dodržania  tejto  zásady v jej  druhej  zložke  si  vyžaduje  najprv  určiť  účel  alebo  účely  získania  daných  údajov.  Zo  spisu  predloženého  Súdnemu  dvoru  vyplýva,  že  tieto  údaje  Digi  získala  na  účely  uzavretia a plnenia  zmlúv o predplatených  službách,  ktoré  ponúka  ako  poskytovateľ  prístupu  na internet a k televíznemu  vysielaniu, a že  zákonnosť  tohto  prvého  spracúvania  nie  je  medzi  účastníkmi  konania  vo  veci  samej  predmetom  diskusie.  To  platí  aj  pre  následnú  spracovateľskú  operáciu,  ktorej  sa  nedalo  vyhnúť a ktorá  spočívala v uložení  uvedených  údajov  na  vyhradený  nosič,  ktorý  budem  označovať  ako  pôvodná  databáza.(18) V tomto  kontexte  chce  vnútroštátny  súd  najmä  získať  odpoveď  na  otázku,  či  je  konkrétne  určený,  výslovne  uvedený a legitímny  účel  získania  údajov  „zmenený“  tým,  že  tieto  údaje  boli  skopírované  do  databázy  pridanej k prvému  uloženiu,  ktoré  medzi  účastníkmi  konania  nie  je  sporné.

33.      Podľa  judikatúry  Súdneho  dvora  musia  byť  pravidlá  ochrany  osobných  údajov  obsiahnuté v GDPR  dodržané  pri  každom  spracúvaní  osobných  údajov  definovanom v článku 2 tohto  nariadenia.(19) Myslím  si,  že  vyššie  uvedená  otázka  vyjadruje  nepochopenie  požiadavky  individuálneho  posúdenia  všetkých  spracovateľských  operácií  vykonávaných s údajmi  po  ich  získaní,  ktorá v tomto  prípade  vyplýva z článku 5 ods. 1 písm. b)  GDPR.

34.      Inými  slovami,  každý  prípad  ďalšieho  použitia  týchto  údajov  musí  byť  preskúmaný s cieľom  overiť  jeho  osobitný  účel a prípadne  jeho  zlučiteľnosť s účelom  získania.  Zákonnosť  získania a prvého  uloženia  údajov  nemôže  mať  reťazovito  automatický  vplyv  na  dodržanie  zásady  obmedzenia  účelu  ďalšou  spracovateľskou  činnosťou, a to  bez  ohľadu  na  to,  že  sa  táto  činnosť  vzťahuje  na  tie  isté  údaje.  Ako  tvrdí  maďarská  vláda,  nemožno  sa  domnievať,  že  prevádzkovateľ  má  možnosť  uložiť  osobné  údaje  vo  viacerých  súboroch a bez  obmedzení  pod  podmienkou,  že  ich  pôvodne  získal a spracúval  zákonným  spôsobom.

35.      Treba  preto  preskúmať  otázku,  či  je  účel  získania  údajov  zlučiteľný s účelom  ich  ďalšieho  spracúvania,  ako  vyžaduje článok 5 ods. 1 písm. b)  GDPR.  Táto  otázka  je však  legitímna  iba v prípade,  keď  má  toto  spracúvanie  iné  než  pôvodne  špecifikované  účely.

36.      Podľa  odôvodnenia  50  tohto  nariadenia  by  tak  spracúvanie  osobných  údajov  „na  iné  účely“  ako  na  účely,  na  ktoré  boli  osobné  údaje  pôvodne  získané,  malo  byť  umožnené  len  vtedy,  ak  je  zlučiteľné s účelmi  tohto  získania.  Aj  znenie článku 6 ods. 4  uvedeného  nariadenia  potvrdzuje  vyššie  uvedený  záver.  Toto  ustanovenie  upravuje  demonštratívny  zoznam  kritérií  umožňujúcich v danej  situácii  posúdiť,  či  je  spracúvanie  „na  iný  účel“  zlučiteľné s účelom,  na  ktorý  boli  osobné  údaje  pôvodne  získané.  Zistenie,  že  účel  získania  údajov a účel  ich  ďalšieho  spracúvania  je  totožný,  ako  to  tvrdí  Digi,  by  teda  malo  za  následok,  že  otázka  zlučiteľnosti  by  bola  bezpredmetná a umožňovalo  by  dospieť k záveru o zákonnosti  tohto  spracúvania  so  zreteľom  na  zásadu  obmedzenia  účelu.(20)
a)      O účeloch spracúvania

37.      Zo  spisu  predloženého  Súdnemu  dvoru a konkrétnejšie z vyhlásení  spoločnosti  Digi  vyplýva,  že v nadväznosti  na  technickú  poruchu  servera,  ktorá  spôsobila  nedostupnosť  pôvodnej  databázy,  tento  podnik  uložil  kópiu  údajov  časti  predplatiteľov  do  dodatočnej  internej  databázy,  nazývanej  „testovacia“  databáza,  aby  napravil  technický  problém a zabezpečil  prístup k údajom v súlade s povinnosťou  uloženou  prevádzkovateľovi v článku 5 ods. 1 písm. f) a podrobne  upravenou v článku 32  GDPR.(21) Digi  tvrdí,  že  aj  táto  spracovateľská  operácia  tak  prispela k tomu,  aby  bol  dosiahnutý  účel  získania  údajov,  teda  poskytovanie  zmluvne  dohodnutej  služby.  Za  týchto  okolností  vytýkané  uloženie  nemá  odlišný  účel,  čo  vylučuje  akékoľvek  porušenie článku 5 ods. 1 písm. b)  tohto  nariadenia.

38.      Hoci  overenie  zákonnosti  vyššie  uvedenej  spracovateľskej  operácie  najmä  so  zreteľom  na  požiadavky  stanovené v článku 5 GDPR a všetky  okolnosti,  ktorými  sa  vyznačuje  daný  prípad,  je  celkom  evidentne  úlohou  vnútroštátneho  súdu,  možno  mu  na  tento  účel  poskytnúť  viaceré  usmernenia.

39.      V prvom  rade  zdôrazňujem,  že  Digi v podstate  uvádza,  že  vytýkané  spracúvanie  malo  dvojaký  účel v tom  zmysle,  že  prvý a konkrétny  cieľ,  ktorým  bola  oprava  poruchy  servera a zabezpečenie  dostupnosti  údajov  predplatiteľov,  sám  osebe  spadá  do  rámca  druhého a všeobecného  cieľa  súvisiaceho s plnením  zmlúv o predplatenej  službe,  ktorý  je  zhodný s cieľom,  na  ktorý  boli  pôvodne  získané  údaje.

40.      V praxi  je  úplne  pochopiteľné,  že  osobné  údaje  môžu  byť  získané  alebo  ďalej  spracúvané  na  viaceré  účely,  čo  GDPR  predvída a jasne  pripúšťa,  ako  to  preukazuje  znenie  jeho článku 5 ods. 1 písm. b) a článku 6 ods. 1 písm. a),  ako  aj  jeho  odôvodnenia  32 a 50.  Tento  prístup  zodpovedá  potrebe  pragmatizmu a flexibility,  ktoré  si  vyžaduje  zložité a málo  priamočiare  spracúvanie  osobných  údajov v digitálnej  dobe.  Tento  prístup  však  musí  zohľadňovať  požiadavku  presnosti  účelu,  ktorá  je  kľúčová  pri  zavedení  európskeho  režimu  ochrany  osobných  údajov.

41.      Dostatočný  stupeň  presnosti  účelu  tak  predstavuje  základnú  záruku  predvídateľnosti a právnej  istoty v tom  zmysle,  že  prispieva k tomu,  aby  dotknutá  osoba  správne  chápala  možné  použitie  jej  údajov, a umožňuje  jej  rozhodnúť  sa s plnou  znalosťou  veci.  Táto  predvídateľnosť  je  podstatná  pri  posúdení  zlučiteľnosti  účelu  získania  údajov s účelom  ich  ďalšieho  spracúvania,  čím  znižuje  riziko  narušenia  rovnováhy  medzi  odôvodnenými  očakávaniami  dotknutých  osôb  týkajúcimi  sa  možného  použitia  ich  údajov v budúcnosti a spracovateľskými  operáciami  vykonávanými  prevádzkovateľom.  Špecifikácia  účelu  sa  vyžaduje  aj  pre  uplatnenie  ďalších  požiadaviek v oblasti  kvality  údajov,  vrátane  primeranosti,  relevantnosti,  proporcionality a správnosti  získaných  údajov,  ako  aj  požiadaviek  týkajúcich  sa  doby  ich  uchovávania v súlade s článkom 5 ods. 1 písm. c),  d) a e)  GDPR.

42.      Ako  sa  zdôrazňuje v stanovisku  3/2013,  ktoré  vydala  pracovná  skupina  podľa článku 29(22),  táto  požiadavka  presnosti  platí  pre  každú  spracovateľskú  operáciu a nie  iba v pôvodnom  štádiu  získavania  údajov.  Je  zaujímavé  uviesť,  že v prípade  spracúvania  údajov  na  základe  súhlasu  dotknutej  osoby,  bude  toto  spracúvanie v súlade s článkom 6 ods. 1 písm. a)  GDPR  zákonné  iba  vtedy,  ak  táto  osoba  súhlasila s týmto  spracúvaním  na  jeden  alebo  viacero  „konkrétnych“  účelov.

43.      Za  týchto  okolností  platí,  že  hoci  dané  spracúvanie  môže  sledovať  naplnenie  dvoch  účelov,  každý z nich  musí  byť  presný a mať  objektívny a dostatočne  úzky  vzťah s danou  spracovateľskou  operáciou.

44.      V druhom  rade  treba  pripomenúť  osobitný  kontext, v ktorom  sa  musí  posúdiť  účel  alebo  účely  ďalšieho  spracúvania, o ktoré  ide v tejto  veci.

45.      V súlade s odôvodneniami  60 a 61  GDPR  si  zásada  spravodlivého a transparentného  spracúvania  vyžaduje,  aby  dotknutá  osoba  bola  informovaná o existencii  spracovateľskej  operácie a jej  účeloch,  pričom  informácie o spracúvaní  jej  osobných  údajov  sa  musia  dotknutej  osobe  poskytnúť v čase  ich  získavania  od  dotknutej  osoby. V tejto  súvislosti článok 13 ods. 1 písm. c)  tohto  nariadenia  stanovuje,  že  keď  sa  od  dotknutej  osoby  získavajú  osobné  údaje,  ktoré  sa  jej  týkajú,  poskytne  jej  prevádzkovateľ  pri  získavaní  osobných  údajov  účely  spracúvania,  na  ktoré  sú  osobné  údaje  určené,  ako  aj  právny  základ  spracúvania.

46.      Napriek  tomu,  akokoľvek  prezieravý a rozvážny  môže  byť  prevádzkovateľ,  je  možné,  že  nebude  schopný  od  začiatku  spracúvania  predvídať a určiť  povahu a presný  rozsah  všetkých  spracovateľských  operácií  tvoriacich  reťazec  spracúvania  údajov.  Prejednávaná  vec  je  dokonalým  príkladom  problému  spojeného  so  zvládnutím  technickej  poruchy,  vo  svojej  podstate  neočakávanej, a následnej  realizácie  určitého  typu  spracúvania  údajov  na  účel,  ktorý  nebol  pôvodne  špecifikovaný.

47.      Pri  posúdení  zákonnosti  takéhoto  spracúvania  dozorným  orgánom a potom  súdom  prejednávajúcim  žalobu  podanú  proti  jeho  rozhodnutiu,  ako v tomto  prípade,  je  tento  účel  následne  overený  so  zreteľom  na  informácie  poskytnuté  prevádzkovateľom v správnom  konaní.  Práve  tomuto  prevádzkovateľovi,  ktorý  dal  podnet k dotknutej  spracovateľskej  operácii,  prináleží,  aby  na  základe  zásady  zodpovednosti  upravenej v článku 5 ods. 2  GDPR  preukázal  existenciu  uvádzaného  účelu a prípadne  zlučiteľnosť  spracúvania s cieľom  získania  údajov.(23)

48.      V tejto  súvislosti  možno v rámci  overenia  tohto  účelu  zohľadniť  dve  konkrétne a objektívne  skutočnosti.  Po  prvé článok 13 ods. 3  GDPR  stanovuje,  že  keď  sú  osobné  údaje  týkajúce  sa  dotknutej  osoby  získané  od  tejto  osoby a prevádzkovateľ  má v úmysle  ďalej  spracúvať  osobné  údaje  na  iný  účel,  ako  bol  účel  ich  získania,  poskytne  tento  prevádzkovateľ  dotknutej  osobe  pred  takýmto  ďalším  spracúvaním  informácie o tomto  inom  účele(24) a ďalšie  relevantné  informácie  uvedené v odseku  2  tohto  ustanovenia.  Po  druhé článok 30 ods. 1  GDPR  ukladá  každému  prevádzkovateľovi  povinnosť  viesť v písomnej  podobe  vrátane  elektronickej  podoby  záznamy o spracovateľských  činnostiach,  za  ktoré  je  zodpovedný a na  požiadanie  ich  sprístupniť  dozornému  orgánu.  Tieto  záznamy  obsahujú  rôzne  informácie  vrátane  informácií o účeloch  spracúvania.

49.      V tomto  prípade  sa  zdá  preukázané,  že  Digi  neinformovala  žiadneho z dotknutých  predplatiteľov o svojom  úmysle  skopírovať  ich  údaje a uložiť  ich  na  interný  nosič  určený  na  vykonanie  testov a opravu  chýb,  keďže  sa  domnievala,  že  táto  spracovateľská  operácia  nemala  účel  odlišný  od  účelu  získania  údajov a teda  nepatrila  do  pôsobnosti článku 13 ods. 3  GDPR.(25) Spis  predložený  Súdnemu  dvoru  navyše  neumožňuje  určiť,  či  je  Digi v takej  situácii,  že  môže  využiť  oslobodenie  od  povinnosti  viesť  záznamy  upravenej v článku 30 ods. 5  tohto  nariadenia.(26)

50.      V každom  prípade  zdôrazňujem,  že  na  pojednávaní  Digi  jasne  uviedla,  že  technická  porucha,  ku  ktorej  došlo v roku  2018,  nemala  za  následok  prerušenie  zmluvnej  dohodnutej  služby,  pričom k vytýkanému  uloženiu  údajov  došlo  iba s ohľadom na riziko  takéhoto  prerušenia.  Tieto  vyhlásenia  treba  spojiť s objektívnymi  vecnými  zisteniami  týkajúcimi  sa  výberu  názvu  databázy,  nazývanej  „testovacia“  databáza,  skutočnosti,  že  táto  databáza  neobsahovala  údaje  všetkých  predplatiteľov,  ale  iba  tretiny z nich, a že  po  tom,  čo  na  ňu  Digi  zabudla  počas  18  mesiacov  po  vyriešení  pôvodnej  technickej  poruchy,  bola  uvedená  databáza  okamžite  vymazaná  po  hackerskom  útoku v septembri  2019,  ktorý  sa  dotkol  bezpečnosti  údajov.

51.      Za  týchto  okolností  možno  konštatovať,  že  vytýkané  spracúvanie  plnilo  jediný  konkrétny a špecifický  cieľ,  ktorým  bolo  dočasné  zabezpečenie  časti  údajov  predplatiteľov v súvislosti s opravou  technickej  poruchy,  ktorá  ovplyvnila  fungovanie  servera,  teda  cieľ,  ktorý  je  podľa  môjho  názoru  odlišný  od  cieľa  získania  údajov.

52.      Komisia a Digi  naopak  tvrdia,  že  takéto  spracúvanie,  ktorého  cieľom  je  dodržať  povinnosť  bezpečnosti  uloženú  prevádzkovateľovi v článku 5 ods. 1 písm. f)  GDPR a podrobne  upravenú v jeho článku 32,  nemožno  považovať  za  sledujúce  nový  alebo  odlišný  účel,  inak  by  bol  narušený  potrebný  účinok  tohto  aktu a informovanie  dotknutých  osôb  zbavené  praktického  významu.

53.      Tento  abstraktný a automatický  prístup  sa  mi  zdá  byť v rozpore s požiadavkou  posúdenia  zákonnosti  každej  spracovateľskej  operácie  so  zreteľom  na  všetky  relevantné  okolností  danej  veci.  Práve  tento  prístup v skutočnosti  zbavuje  potrebného  účinku  povinnosť  upravenú v článku 13 ods. 3  GDPR, a to  poskytnúť  dotknutým  osobám  informácie,  ktoré  im  prevádzkovateľ  musí  poskytnúť,  aby  vo  vzťahu k nim  zabezpečil  spravodlivé  spracúvanie  údajov.(27) Táto  povinnosť  má  záväznú  povahu  vtedy,  keď  sú  osobné  údaje  spracúvané  tak,  ako v tomto  prípade, v rámci  zmluvného  vzťahu a na  základe článku 6 ods. 1 písm. b)  tohto  aktu,  ktorý  sa  týka  nevyhnutnosti  plniť  zmluvu,  bez  toho,  aby  sa  vyžadoval  súhlas  druhej  zmluvnej  strany.  Napokon  uvedený  prístup  nezohľadňuje  dôvod  existencie článku 5 ods. 1 písm. b)  GDPR, t. j. že  ďalšie  spracúvanie  sledujúce  účel  odlišný  od  účelu  získania  údajov  nie  je  nevyhnutne  nezákonné,  keďže  na  dodržanie  uvedeného  ustanovenia  stačí  iba  jeho  zlučiteľnosť s týmto  účelom.
b)      O zlučiteľnosti spracúvania

54.      Článok 5 ods. 1 písm. b)  GDPR  neobsahuje  žiadnu  informáciu k podmienkam,  za  ktorých  možno  ďalšie  spracúvanie  plniace  cieľ  odlišný  od  účelu  pôvodného  získania  údajov  považovať  za  zlučiteľné s týmto  účelom. V tejto  súvislosti  treba  odkázať  na článok 6 ods. 4  GDPR v spojení s odôvodnením  50  tohto  aktu,  ktorého  obsah  vyjadruje  vzťah  medzi  zásadou  obmedzenia  účelu a právnym  základom  dotknutého  spracúvania.

55.      Toto  ustanovenie  tak v prípade  požiadavky  zlučiteľnosti  robí  rozdiel v závislosti  od  toho,  či  spracúvanie  na  iný  účel  ako  na  účel,  na  ktorý  boli  údaje  získané,  je  alebo  nie  je  založené  na  súhlase  dotknutej  osoby  alebo  na  práve  Únie  alebo  práve  členského  štátu,  ktoré  predstavuje  potrebné a primerané  opatrenie v demokratickej  spoločnosti  na  ochranu  cieľov  uvedených v článku 23 ods. 1  GDPR.

56.      V prípade,  ak  existuje  takýto  základ,  je  prevádzkovateľ  podľa  odôvodnenia  50  ods. 2  GDPR  oprávnený  ďalej  spracúvať  osobné  údaje  bez  ohľadu  na  zlučiteľnosť  účelov.(28) Táto  výnimka z požiadavky  zlučiteľnosti  je v podstate  odôvodnená  existenciou  iných  pravidiel  chrániacich  dotknuté  osoby a konkrétnejšie  pravidiel  upravujúcich  informovanie  dotknutých  osôb o iných  účeloch a o práve  namietať  proti  spracúvaniu.(29)

57.      V prípade,  ak  takýto  základ  neexistuje,  čo  je  situácia,  ktorá  zodpovedá  prejednávanej  veci,  potom  podľa článku 6 ods. 4  GDPR:
„…
prevádzkovateľ  na  zistenie  toho,  či  je  spracúvanie  na  iný  účel  zlučiteľné s účelom,  na  ktorý  boli  osobné  údaje  pôvodne  získané,  okrem  iného  zohľadní:
a)      akékoľvek  prepojenie  medzi  účelmi,  na  ktoré  sa  osobné  údaje  získali, a účelmi  zamýšľaného  ďalšieho  spracúvania;
b)      okolnosti,  za  akých  sa  osobné  údaje  získali,  najmä  týkajúce  sa  vzťahu  medzi  dotknutými  osobami a prevádzkovateľom;
c)      povahu  osobných  údajov,  najmä  či  sa  spracúvajú  osobitné  kategórie  osobných  údajov  podľa článku 9 alebo  osobné  údaje  týkajúce  sa  uznania  viny  za  trestné  činy a priestupky  podľa článku 10;
d)      možné  následky  zamýšľaného  ďalšieho  spracúvania  pre  dotknuté  osoby;
e)      existenciu  primeraných  záruk,  ktoré  môžu  zahŕňať  šifrovanie  alebo  pseudonymizáciu.“

58.      Vzhľadom  na  to,  že  Digi v čase  získania  údajov  neposkytla  žiadnu  formálnu  informáciu o zamýšľanom  ďalšom  spracúvaní a jeho  účele,  treba  sa  pridržiavať  vecného  prístupu,  ktorý  podľa  môjho  názoru  vedie k zisteniu  zlučiteľnosti  spracúvania.

59.      V tejto  súvislosti  nepopierateľne  existuje  prepojenie  medzi  účelom  pôvodného  získania  údajov,  teda  plnením  zmluvy o predplatených  službách  internetu a televízneho  vysielania, a spracúvaním,  ktoré  malo  zaistiť  bezpečnosť  týchto  údajov v dodatočnej  internej  databáze a bezpečné  vykonanie  testov  určených  na  nápravu  technickej  poruchy  potenciálne  škodlivej  pre  poskytovanie  zmluvne  dohodnutej  služby.  Hoci  tieto  účely  sa  nezhodujú,  ako  je  uvedené  vyššie,  sú  logicky  prepojené.

60.      Treba  zdôrazniť,  že  toto  spracúvanie  sa  neodkláňa  od  legitímnych  očakávaní  predplatiteľov  týkajúcich  sa  ďalšieho  použitia  ich  údajov.  Dodatočné  uloženie  údajov  na  internom  nosiči,  odôvodnené  nevyhnutnosťou  vyriešiť  technickú  poruchu,  ktorá  ovplyvnila  dostupnosť  údajov  pôvodnej  databázy,  nemožno  totiž  považovať  za  prekvapivé  alebo  nepravdepodobné.  Navyše  dotknuté  údaje  naďalej  spracúval  ten  istý  prevádzkovateľ a neboli  sprístupnené  tretím  osobám,  čo  a priori  preukazuje  neexistenciu  negatívneho  vplyvu.  Skutočnosť,  že  pri  hackerskom  útoku,  ktorého  obeťou  bola  Digi,  bol  hacker  schopný  získať  prístup k údajom  nachádzajúcim  sa  na  tomto  nosiči,  neumožňuje  podľa  môjho  názoru  viesť k spätnému  záveru o nezlučiteľnosti  daného  spracúvania.
3.      O zásade minimalizácie uchovávania

61.      V súlade s článkom 5 ods. 1 písm. e)  GDPR  musia  byť  údaje  uchovávané  vo  forme,  ktorá  umožňuje  identifikáciu  dotknutých  osôb,(30) najviac  dovtedy,  kým  je  to  potrebné  na  účely,  na  ktoré  sa  osobné  údaje  spracúvajú;  osobné  údaje  sa  môžu  uchovávať  dlhšie,  pokiaľ  sa  budú  spracúvať  výlučne  na  účely  archivácie  vo  verejnom  záujme,  na  účely  vedeckého  alebo  historického  výskumu  či  na  štatistické  účely v súlade s článkom 89 ods. 1  tohto  nariadenia  za  predpokladu  prijatia  primeraných  technických a organizačných  opatrení  vyžadovaných  uvedeným  nariadením  na  ochranu  práv a slobôd  dotknutých  osôb.

62.      Ako  už  bolo  uvedené,  zásada  minimalizácie  uchovávania  je  výrazom  zásady  proporcionality,  ako  aj  zásady  „minimalizácie  údajov“,  podľa  ktorej  musia  byť  osobné  údaje  primerané,  relevantné a obmedzené  na  rozsah,  ktorý  je  nevyhnutný  vzhľadom  na  účely,  na  ktoré  sa  spracúvajú.(31) V rámci  zásady  minimalizácie  uchovávania  otázka  nevyhnutnosti  spracúvania,  posudzovaná z časového  hľadiska,  súvisí s otázkou  trvania  jeho  účelu.

63.      Treba  rovnako  pripomenúť,  že  dodržanie  požiadavky  proporcionality  vyžaduje,  aby  sa  výnimky z ochrany  osobných  údajov a jej  obmedzenia  robili v medziach  toho,  čo  je  striktne  nevyhnutné.(32) Súdny  dvor  jasne  uviedol,  že článok 5 ods. 1 písm. e)  GDPR  má  chrániť  dotknuté  osoby.(33)

64.      Odôvodnenie  39  GDPR  tiež  výslovne  uvádza,  že  obdobie,  počas  ktorého  sa  údaje  uchovávajú,  musí  byť  „obmedzené  na  nevyhnutný  rozsah“ a že  na  tento  účel  by  mal  prevádzkovateľ  stanoviť  lehoty  na  ich  vymazanie  alebo  pravidelné  preskúmanie. Článok 13 ods. 2 písm. a)  GDPR  stanovuje,  že  prevádzkovateľ  musí  poskytnúť  dotknutej  osobe  pri  získavaní  osobných  údajov  okrem  informácií  uvedených v odseku  1  tohto  článku  ďalšie  informácie,  ktoré  sú  nevyhnutné  na  zabezpečenie  spravodlivého a transparentného  spracúvania,  vrátane  doby  uchovávania  osobných  údajov  alebo,  ak  to  nie  je  možné,  kritérií  na  jej  určenie.(34)

65.      V tomto  kontexte  treba  so  zreteľom  na  všetky  okolnosti,  ktorými  sa  vyznačuje  prejednávaná  vec,(35) určiť  okamih,  keď  bolo  prípadne  možné  považovať  účely,  ktoré  plnilo  uloženie  kópie  údajov  časti  predplatiteľov v dodatočnej  internej  databáze,  za  dosiahnuté, v dôsledku  čoho  by  bolo  toto  spracúvanie  zbavené  dôvodu  svojej  existencie a Digi  by  bola  povinná  vymazať  údaje.  Je  zjavné,  že  prináleží  prevádzkovateľovi  na  základe  zásady  zodpovednosti  upravenej v článku 5 ods. 2  GDPR,  aby  predložil  dôkaz,  že  spracúvanie  je  so  zreteľom  na  zásadu  minimalizácie  uchovávania  zákonné,  rovnako  ako v prípade  zásady  obmedzenia  účelu.

66.      Keďže v tomto  prípade  vytýkané  uloženie  plnilo  cieľ  zaistenia  bezpečnosti  údajov, a tým  prispievalo k dosiahnutiu  cieľa  spočívajúceho v plnení  zmluvy o predplatenej  službe,  Digi  tvrdí,  že  doba  uchovávania  údajov  nachádzajúcich  sa v testovacej  databáze  sa  zhodovala s dobou  plnenia  jej  zmluvných  povinností,  čo  vylučuje  akékoľvek  porušenie článku 5 ods. 1 písm. e)  GDPR.

67.      Pokiaľ  ide o určenie  účelu  alebo  účelov,  odkazujem  na  všetky  zistenia a skutkové  posúdenia  urobené v rámci  odpovede  poskytnutej  na  otázku  dodržania  zásady  obmedzenia  účelu, z ktorých  vyplýva,  že  sa  nemožno  domnievať,  že  dané  spracúvanie  sledovalo  dvojaký  účel  zahŕňajúci  plnenie  zmlúv o predplatenej  službe.(36)

68.      Bez  ohľadu  na  povahu  zohľadneného  účelu  alebo  účelov  malo  byť  spracúvanie  údajov  vo  forme  uloženia v dodatočnom  internom  súbore v každom  prípade  časovo  obmedzené  na  to,  čo  bolo  striktne  nevyhnutné.  Inými  slovami,  po  vyriešení  pôvodnej  poruchy  zanikla  okolnosť,  ktorá  odôvodňovala  uloženie  údajov a jeho  trvanie.  Bezprostredný a prvoradý  cieľ,  ktorým  bolo  zaistenie  bezpečnosti  údajov v súvislosti s opravou  technickej  poruchy,  či  už  zohľadňovaný  samostatne  alebo v spojení s nepriamym a druhoradým  cieľom  spočívajúcim v plnení  zmluvy o predplatenej  službe,  už  za  týchto  okolností  nemohol  odôvodniť  ďalšie  spracúvanie.

69.      Treba  uviesť,  že  Digi  jednoznačne  uviedla,  že  testovacia  databáza  mala  zaručiť  prístup k údajom  predplatiteľov  „až  do  opravenia  chyby“ a že  ju  nevymazala  nedopatrením,  hoci  oprava  chýb  ju  už  neodôvodňovala,(37) čo  znamená,  že  vytýkané  spracúvanie  už  nebolo  potrebné, a teda  nemalo  účel.  Možno  sa  domnievať,  že  interná  databáza,  na  ktorú  sa  podľa  priznania  prevádzkovateľa  zabudlo  počas  roka a pol,  ešte  môže  plniť  skutočný  účel?  Myslím  si,  že  odpoveď  je  nevyhnutne  záporná.
V.      Návrh

70.      S prihliadnutím  na  predchádzajúce  úvahy  navrhujem  Súdnemu  dvoru,  aby  Fővárosi  Törvényszék  (Súd  hlavného  mesta  Budapešť,  Maďarsko)  odpovedal  takto:
1.      Článok 5 ods. 1 písm. b)  nariadenia  Európskeho  parlamentu a Rady  (EÚ)  2016/679 z 27. apríla  2016 o ochrane  fyzických  osôb  pri  spracúvaní  osobných  údajov a o voľnom  pohybe  takýchto  údajov,  ktorým  sa  zrušuje  smernica  95/46/ES  (všeobecné  nariadenie o ochrane  údajov),  sa  má  vykladať v tom  zmysle,  že v ňom  uvedená  zásada  nebráni  uchovávaniu  zákonne  získaných a uložených  osobných  údajov v dodatočnej  internej  databáze,  pokiaľ  toto  spracúvanie  sleduje  rovnaké  účely,  ako  boli  účely  získania  údajov,  alebo v prípade,  že  to  tak  nie  je,  je  zlučiteľné s týmito  účelmi,  čo  musí  preukázať  prevádzkovateľ, a to  aj v prípade,  keď  spracúvaním  plní  svoju  povinnosť  zaručiť  primeranú  bezpečnosť  osobných  údajov  upravenú v článku 5 ods. 1 písm. f)  uvedeného  nariadenia.
Ak  uvedené  spracúvanie  na  iný  účel  ako  na  účel,  na  ktorý  boli  údaje  získané,  nie  je  založené  na  súhlase  dotknutej  osoby  alebo  na  legislatívnom  akte  Únie  alebo  členského  štátu,  na  ktorý  sa  vzťahuje článok 23 ods. 1  nariadenia  2016/679,  musí  byť  jeho  zlučiteľnosť  preukázaná  najmä  so  zreteľom  na  kritériá  formulované v článku 6 ods. 4  tohto  nariadenia.
2.      Článok 5 ods. 1 písm. e)  nariadenia  2016/679  sa  má  vykladať v tom  zmysle,  že v ňom  uvedená  zásada  bráni  uchovávaniu  zákonne  získaných a uložených  údajov  vo  forme  umožňujúcej  identifikáciu  dotknutých  osôb v dodatočnej  internej  databáze,  ktorej  cieľom  je  oprava  technickej  chyby a dočasné  zaistenie  bezpečnosti  týchto  údajov  počas  doby,  ktorá  je  dlhšia  než  doba  nevyhnutná  na  dosiahnutie  tohto  cieľa, a teda  po  vyriešení  tejto  poruchy, a to  aj  vtedy,  keď  uvedený  bezprostredný a prvoradý  cieľ  možno  spojiť s nepriamym a druhoradým  cieľom  spočívajúcim v poskytovaní  zmluvne  dohodnutej  služby.

1      Jazyk prednesu: francúzština.

2      Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

3      Rozsudok zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, body 73 a 74).

4      Smernica Európskeho parlamentu a Rady z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514).

5      Rozsudok zo 6. októbra 2020, Privacy International (C‑623/17, EU:C:2020:790, body 34 a 36).

6      Smernica Európskeho parlamentu a Rady 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355).

7      Treba pripomenúť, že keďže GDPR zrušilo a nahradilo smernicu 95/46 a relevantné ustanovenia tohto nariadenia majú v podstate rovnaký rozsah ako relevantné ustanovenia tejto smernice, judikatúra Súdneho dvora týkajúca sa uvedenej smernice je v zásade uplatniteľná aj na uvedené nariadenie (rozsudok zo 17. júna 2021, M.I.C.M., C‑597/19, EU:C:2021:492, bod 107).

8      Pozri rozsudok z 11. novembra 2020, Orange Romania (C‑61/19, EU:C:2020:901), k výhradnému uplatneniu ustanovení smernice 95/46 a GDPR vo veci týkajúcej sa súhlasu zákazníkov spoločnosti Orange România, poskytovateľa telekomunikačných mobilných služieb na rumunskom trhu, so získaním a uchovávaním kópií ich dokladov totožnosti.

9      Z bodu 2 pripomienok Komisie vyplýva, že tieto údaje zodpovedali týmto informáciám: meno, miesto a dátum narodenia, adresa, číslo preukazu totožnosti, v niektorých prípadoch osobné číslo, emailová adresa, číslo pevnej linky a číslo mobilného telefónu dotknutých osôb.

10      Rozsudok zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208).

11      Pozri analogicky rozsudok z 13. mája 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 72).

12      Nezávislosť povinností, ktoré má prevádzkovateľ podľa článku 5 GDPR, nevylučuje existenciu súvislosti medzi nimi, ktorú v tomto prípade tvorí pojem účel. Overenie povahy a účelov spracúvania je podstatné na posúdenie dodržania zásad formulovaných v tomto ustanovení a najmä zásady obmedzenia účelu a zásady minimalizácie uchovávania údajov, ktorých sa týka spor vo veci samej.

13      Rozsudok z 22. apríla 2021, Profi Credit Slovakia (C‑485/19, EU:C:2021:313, bod 50).

14      Ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého či historického výskumu alebo na štatistické účely treba považovať za zákonné spracúvanie zlučiteľné s pôvodnými účelmi podľa článku 5 ods. 1 písm. b) GDPR, čo je situácia, ktorá nezodpovedá okolnostiam vo veci samej.

15      Pozri analogicky rozsudok z 13. mája 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 93).

16      Pozri v tomto zmysle rozsudky zo 7. mája 2009, Rijkeboer (C‑553/07, EU:C:2009:293, bod 33), a z 13. mája 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 92).

17      Pozri v tomto zmysle rozsudok zo 7. mája 2009, Rijkeboer (C‑553/07, EU:C:2009:293, bod 33).

18      Vzhľadom na povahu týchto spracovateľských operácií sa ich vhodným právnym základom zdá byť článok 6 ods. 1 písm. a) a b) GDPR, čo navyše v tomto prípade nie je predmetom diskusie.

19      Pozri analogicky rozsudok z 20. mája 2003, Österreichischer Rundfunk a i. (C‑465/00, C‑138/01 a C‑139/01, EU:C:2003:294, bod 40).

20      Získanie osobných údajov zákazníkov a ich uloženie v pôvodnej databáze plnia súčasne ten istý účel, ktorým je poskytovanie zmluvne dohodnutej služby.

21      Pozri bod 13 pripomienok spoločnosti Digi.

22      Nezávislý poradný orgán zriadený podľa článku 29 smernice 95/46 a od prijatia GDPR nahradený Európskym výborom pre ochranu údajov.

23      Pozri analogicky rozsudok z 11. novembra 2020, Orange Romania (C‑61/19, EU:C:2020:901, body 51 a 52).

24      Obsah článku 13 ods. 3 GDPR potvrdzuje prístup, podľa ktorého sa požiadavka presnosti účelu neuplatňuje iba v štádiu získavania údajov, ale týka sa každej spracovateľskej operácie.

25      Toto ustanovenie vyjadruje flexibilitu riadenia priznanú prevádzkovateľovi, ktorého posúdenie je výlučne rozhodujúce pre plnenie povinnosti poskytnúť informácie dotknutým osobám. Táto možnosť si vyžaduje zodpovedajúce dôsledné overenie účelov spracúvania dozorným orgánom, ktoré je podstatné pre zabezpečenie zákonnosti ďalšieho spracúvania a najmä dodržanie požiadavky zlučiteľnosti.

26      Rozsah tejto povinnosti je totiž obmedzený oslobodením v prospech podnikov alebo organizácií, ktoré zamestnávajú menej ako 250 osôb, pokiaľ nie je pravdepodobné, že spracúvanie, ktoré vykonávajú, povedie k riziku pre práva a slobody dotknutej osoby, pokiaľ je toto spracúvanie príležitostné alebo nezahŕňa osobitné kategórie údajov podľa článku 9 ods. 1 GDPR alebo osobných údajov týkajúcich sa odsúdení za trestné činy a priestupky podľa článku 10 tohto aktu.

27      Rozsudok z 11. novembra 2020, Orange Romania (C‑61/19, EU:C:2020:901, bod 48). So záujmom poznamenávam, že oslobodenie od informačnej povinnosti, ktorú má prevádzkovateľ vtedy, keď osobné údaje neboli získané od dotknutej osoby, upravené v článku 14 ods. 5 písm. b) GDPR v prípade, keď sa poskytnutie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie, sa nevzťahuje na situácie upravené článkom 13 tohto nariadenia.

28      Treba uviesť, že medzi spracúvaniami oslobodenými od požiadavky zlučiteľnosti sa nenachádza spracúvanie založené na článku 6 ods. 1 písm. c) GDPR, ktorý upravuje spracúvanie nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa, a najmä povinnosti uvedenej v článku 5 ods. 1 písm. f) tohto nariadenia týkajúcej sa zaručenia primeranej bezpečnosti údajov.

29      Pripomínam, že podľa článku 6 ods. 1 písm. a) GDPR je spracovanie je zákonné iba vtedy a iba v tom rozsahu, keď dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na „jeden alebo viaceré konkrétne účely“.

30      Táto podmienka nie je v tomto prípade predmetom diskusie.

31      Pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) (C‑439/19, EU:C:2021:504, bod 98).

32      Rozsudok zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 210).

33      Pozri analogicky rozsudok zo 7. mája 2009, Rijkeboer (C‑553/07, EU:C:2009:293, bod 35).

34      Vzhľadom na okolnosti, za ktorých došlo k vytýkanému spracúvaniu, sa toto ustanovenie v tomto prípade neuplatnilo.

35      Rozsudok z 13. mája 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 94).

36      Iba pripomínam, že zistenie, že k vymazaniu testovacej databázy došlo okamžite po „etickom“ hackerskom útoku, ktorého obeťou bola Digi, bez ohľadu na pokračovanie zmluvných vzťahov s dotknutými predplatiteľmi, radikálne odporuje tvrdeniu o zachovaní tejto databázy odôvodnenému plnením zmlúv o predplatenej službe.

37      Pozri najmä bod 22 pripomienok spoločnosti Digi.