CELEX: 62021CC0077
Language: lv
Date: 2022-03-31
Title: Ģenerāladvokāta Pikamäe secinājumi, 2022. gada 31. marts.###

Pagaidu versija
ĢENERĀLADVOKĀTA PRĪTA PIKAMĒES [PRIIT PIKAMÄE]
SECINĀJUMI,
sniegti 2022. gada 31. martā (1)

Lieta C‑77/21

Digi Távközlési és Szolgáltató Kft.

pret

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Fővárosi Törvényszék (Galvaspilsētas Budapeštas tiesa, Ungārija) lūgums sniegt prejudiciālu nolēmumu)
Lūgums sniegt prejudiciālu nolēmumu – Fizisku personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 5. panta 1. punkta b) un e) apakšpunkts – Nolūka ierobežojuma princips – Glabāšanas ierobežojuma princips – Likumīgi savākti un uzglabāti klientu personas dati – Citas iekšējas specifiskas datubāzes izveide pēc tehniskas kļūmes – Apstrādes nolūka pārbaude a posteriori – Divējāds nolūks – Identiskuma nepastāvēšana starp datu apstrādes nolūku un datu vākšanas nolūku – Apstrādes saderība ar vākšanas nolūku – 6. panta 4. punkts – Datubāzes neizdzēšana pēc tehniskās kļūmes labošanas – Apstrādes nolūka īstenošana

1.        Kādos apstākļos interneta un televīzijas pakalpojumu sniedzējs var glabāt savu klientu personas datus, kas ir likumīgi savākti un jau tiek glabāti, papildu iekšējā datu nesējā bez viņu skaidras piekrišanas, bet lai novērstu tehnisku kļūmi?

2.        Tāds ir viens no izvirzītajiem jautājumiem šajā lietā, kas ļaus Tiesai papildināt tās arvien plašāko judikatūru par Regulu (ES) 2016/679 (2), it īpaši attiecībā uz šī tiesību akta 5. panta 1. punkta b) un e) apakšpunktā noteikto nolūka ierobežojuma principu un glabāšanas ierobežojuma principu.
I.      Atbilstošās tiesību normas

3.        Šajā lietā nozīme ir VDAR 4.–6. pantam, 13. un 32. pantam.
II.    Pamatlieta un prejudiciālie jautājumi

4.        Digi Távközlési és Szolgáltató Kft. (turpmāk tekstā – “Digi”) ir viens no galvenajiem interneta un televīzijas pakalpojumu sniedzējiem Ungārijā.

5.        2018. gada aprīlī pēc tehniskas kļūmes, kas ietekmēja servera darbību, Digi izveidoja tā saukto “testa” datubāzi, kurā tas nokopēja aptuveni vienas trešdaļas tā individuālo klientu personas datus.

6.        2019. gada 23. septembrī Digi uzzināja, ka “ētisks datorpirāts” ir ieguvis piekļuvi aptuveni 322 000 personu personas datiem. Pats datorpirāts 2019. gada 21. septembra elektroniskā pasta vēstulē rakstveidā paziņoja šim uzņēmumam par uzbrukumu un nosūtīja kā pierādījumu vienu rindiņu no testa datubāzes. Digi kļūdu laboja un noslēdza konfidencialitātes līgumu ar šo personu, kurai piedāvāja atlīdzību.

7.        Pēc testa datubāzes dzēšanas Digi 2019. gada 25. septembrī paziņoja par personas datu aizsardzības pārkāpumu Nemzeti Adatvédelmi és Információszabadság Hatóság (Datu aizsardzības un informācijas brīvības valsts iestāde, turpmāk tekstā – “Iestāde”), kura pēc tam sāka izmeklēšanu.

8.        Ar 2020. gada 18. maija lēmumu Iestāde tostarp paziņoja, ka Digi ir pārkāpis VDAR 5. panta 1. punkta b) un e) apakšpunktu, jo pēc tam, kad bija veikti vajadzīgie testi un labojumi, tas neizdzēsa testa datubāzi, tādējādi ievērojams skaits šajā testa datubāzē glabāto personas datu tika glabāti bez nolūka gandrīz pusotru gadu datnē, kas ļāva identificēt datu subjektus, un tas, ka šī datubāze netika dzēsta, radīja iespēju, ka tiek pieļauts personas datu aizsardzības pārkāpums. Otrkārt, Iestāde uzskatīja, ka Digi ir pārkāpis VDAR  32. panta 1. un 2. punktu. Šādos apstākļos Iestāde uzņēmumam Digi noteica naudas sodu 100 000 000 Ungārijas forintu (HUF) apmērā (aptuveni 270 000 EUR).

9.        Digi apstrīdēja šī lēmuma likumību iesniedzējtiesā.

10.      Pēdējā minētā norāda, ka personas dati, ko Digi pārkopēja testa datubāzē, tika vākti, lai noslēgtu abonēšanas līgumus, un ka Iestāde nav apšaubījusi datu vākšanas likumību. Tomēr tā vēloties zināt, vai datu vākšanas un apstrādes nolūku maina tas, ka ierobežotā nolūkā savāktie dati tika pārkopēti citā datubāzē. Tā piebilst, ka tai ir arī jānosaka, vai testa datubāzes izveide un klientu datu apstrādes turpināšana šādā veidā ir saderīgas ar datu vākšanas nolūku. Šajā ziņā nolūka ierobežojuma princips nesniedzot skaidras norādes par to, kādās iekšējās sistēmās pārzinim ir atļauts apstrādāt likumīgi savāktos datus, ne arī to, vai pārzinis šos datus var pārkopēt testa datubāzē, nemainot datu vākšanas nolūku.

11.      Gadījumā, ja testa datubāzes izveide nav saderīga ar datu vākšanas nolūku, iesniedzējtiesa arī jautā, vai, tā kā klientu datu apstrādes citā datubāzē nolūks nav kļūdu labošana, bet gan līgumu slēgšana, nepieciešamais glabāšanas ilgums ir jāpielāgo ilgumam, kas nepieciešams kļūdu labošanai, vai drīzāk ilgumam, kas nepieciešams līgumsaistību izpildei.

12.      Šādos apstākļos Fővárosi Törvényszék (Galvaspilsētas Budapeštas tiesa, Ungārija) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1)      Vai [..] [VDAR] [..] 5. panta 1. punkta b) apakšpunktā definētais jēdziens “nolūka ierobežojums” ir jāinterpretē tādējādi, ka ar minēto jēdzienu ir saderīgs tas, ka pārzinis vienlaicīgi citā datubāzē glabā personas datus, kuri ir savākti un glabāti ar ierobežotu likumīgu nolūku, vai arī, gluži otrādi, attiecībā uz vienlaicīgi izveidoto datubāzi vairs nav spēkā datu vākšanas ierobežotais likumīgais nolūks?
2)      Ja uz pirmo prejudiciālo jautājumu ir jāatbild tādējādi, ka vienlaicīga datu glabāšana pati par sevi nav saderīga ar “nolūka ierobežojuma” principu, – vai ar [VDAR] 5. panta 1. punkta e) apakšpunktā noteikto “glabāšanas ierobežojuma” principu ir saderīgi tas, ka pārzinis vienlaicīgi citā datubāzē glabā tādus personas datus, kuri ir savākti un glabāti ar ierobežotu likumīgu nolūku?”
III. Tiesvedība Tiesā

13.      Prasītājs un atbildētāja pamatlietā, Ungārijas, Čehijas un Portugāles valdības, kā arī Eiropas Komisija iesniedza rakstiskus apsvērumus. Tiesas sēdē, kas notika 2022. gada 17. janvārī, prasītājs un atbildētāja pamatlietā, Ungārijas valdība un Komisija sniedza savus mutvārdu apsvērumus.
IV.    Vērtējums

A.      Par pieņemamību

14.      Iestāde, kā arī Ungārijas valdība ir paudušas šaubas par lūguma sniegt prejudiciālu nolēmumu pieņemamību, pamatojoties uz to, ka uzdotie jautājumi neatspoguļojot pamatlietas faktus un tiem neesot tiešas nozīmes lietas atrisinājumā.

15.      No Tiesas pastāvīgās judikatūras izriet, ka tikai valsts tiesai, kas izskata lietu un kas ir atbildīga par pieņemamo tiesas nolēmumu, ņemot vērā lietas īpašo raksturu, ir jānovērtē gan tas, cik lielā mērā prejudiciālais nolēmums ir nepieciešams tās sprieduma taisīšanai, gan arī Tiesai uzdoto jautājumu atbilstība. Līdz ar to, ja uzdotie jautājumi attiecas uz Savienības tiesību normas interpretāciju vai spēkā esamību, Tiesai principā ir par tiem jālemj. No tā izriet, ka uz valsts tiesu uzdotajiem jautājumiem ir attiecināms atbilstības pieņēmums. Tiesa var atteikties lemt par valsts tiesas uzdotu prejudiciālo jautājumu vienīgi tad, ja ir acīmredzams, ka lūgtajai interpretācijai nav nekāda sakara ar pamatlietas faktisko situāciju vai tās priekšmetu, ja izvirzītā problēma ir hipotētiska vai ja Tiesai nav zināmi faktiskie un tiesiskie apstākļi, kas nepieciešami, lai sniegtu noderīgu atbildi uz šiem jautājumiem. Šajā gadījumā lēmumā par prejudiciālu jautājumu uzdošanu ir ietverta pietiekama informācija par faktiskajiem un tiesību apstākļiem, lai varētu izprast prejudiciālo jautājumu tvērumu. Turklāt un galvenokārt – nekas Tiesas rīcībā esošajos lietas materiālos neļauj uzskatīt, ka lūgtajai Savienības tiesību interpretācijai nebūtu nekāda sakara ar pamatlietas faktisko situāciju vai priekšmetu vai ka tā būtu hipotētiska (3).

16.      Šajā ziņā ir jānorāda, ka iesniedzējtiesā ir iesniegta prasība atcelt lēmumu, ar kuru Digi kā pārzinim ir uzlikts sods par nolūka ierobežojuma un glabāšanas ierobežojuma principu, kas minēti VDAR 5. panta 1. punkta b) un e) apakšpunktā, uz kuru attiecas šīs tiesas lūgums sniegt interpretāciju, apgalvotu pārkāpumu. Līdz ar to lūgums sniegt prejudiciālu nolēmumu ir uzskatāms par pieņemamu.
B.      Par vērtējuma atbilstošajām tiesību normām

17.      Ir jākonstatē, ka lūgums sniegt prejudiciālu nolēmumu attiecas vienīgi uz VDAR 5. panta interpretāciju saistībā ar pamatlietu par personas datu apstrādes likumību, ko veicis Digi, kas ir viens no galvenajiem interneta un televīzijas pakalpojumu sniedzējiem Ungārijā un tādējādi ir operators, kas sniedz sabiedrībai piekļuvi tiešsaistes komunikāciju pakalpojumiem.

18.      Jāatzīmē, ka Direktīvas 2002/58/EK (4) 1. panta 1. punktā ir noteikts, ka šajā direktīvā ir paredzēta valstu to noteikumu saskaņošana, ar kuriem tostarp jānodrošina pamattiesību un pamatbrīvību līdzvērtīgs aizsardzības līmenis, un jo īpaši attiecībā uz tiesībām uz privāto dzīvi saistībā ar personas datu apstrādi elektronisko komunikāciju nozarē. Turklāt Direktīvas 2002/58 3. pantā ir noteikts, ka šī direktīva attiecas uz personas datu apstrādi saistībā ar publiski pieejamu elektronisko komunikāciju pakalpojumu sniegšanu publiskos komunikāciju tīklos Savienībā, tostarp publiskos komunikāciju tīklos, kuros var izmantot datu vākšanas un identifikācijas ierīces. Līdz ar to minētā direktīva ir jāuzskata par tādu, kas reglamentē šādu pakalpojumu sniedzēju darbības (5).

19.      Saskaņā ar Direktīvas 2002/58 1. panta 2. punktu ar šo direktīvu tiek precizēta un papildināta Direktīva 95/46/EK (6) minētajā 1. punktā paredzētajam nolūkam, ņemot vērā, ka saskaņā ar VDAR 94. panta 2. punktu Direktīvā 2002/58 veiktās atsauces uz Direktīvu 95/46 uzskata par atsaucēm uz šo regulu (7). Saskaņā ar Direktīvas 2002/58 10. apsvērumu telekomunikāciju [elektronisko komunikāciju] nozarē, jo īpaši uz visiem ar pamattiesību un pamatbrīvību aizsardzību saistītajiem jautājumiem, uz ko konkrēti neattiecas Direktīvas 2002/58 noteikumi, tostarp uz personas datu apstrādātāju [pārziņu] pienākumiem un fizisku personu tiesībām, attiecas Direktīva 95/46 (8).

20.      No lūguma sniegt prejudiciālu nolēmumu izriet, ka pamatlieta nav saistīta ar to, ka Digi abonenti izmanto elektronisko komunikāciju pakalpojumus, un līdz ar to nav saistīta ar šādi veiktu komunikāciju un ar to saistīto datu plūsmas aizsardzību, ko reglamentē Direktīva 2002/58, bet gan attiecas uz šī uzņēmuma iekšējo darbību. Nav apstrīdams, ka 2018. gadā un pēc servera tehniskas kļūmes, kas izpaudās kā nespēja piekļūt uzņēmuma sākotnējai abonentu datubāzei, Digi izveidoja tā saukto “testa” datni, kurā tas pārkopēja vienas daļas savu klientu personas datus (9). Kad Digi bija izlabojis šo darbības traucējumu, datu uzglabāšana papildu datubāzē turpinājās līdz 2019. gada septembrim, kad notika datorpirāta uzbrukums, kas skāra šo datubāzi. Darbība, ko šādi veica Digi, ir “personas datu apstrāde”, kurā šis uzņēmums ir “pārzinis” šīs regulas 4. panta 2. un 7. punktā sniegto definīciju nozīmē. Un tieši ņemot vērā šo Digi statusu, Iestāde piemēroja Digi sodu par to, ka tas šajā gadījumā netika pildījis savus pienākumus, kas tostarp izriet no VDAR 5. panta 1. punkta b) un e) apakšpunkta.

21.      Šajā ziņā ir jāatgādina, ka, ievērojot VDAR 23. pantā pieļautās atkāpes, jebkurai personas datu apstrādei ir jāatbilst principiem, kas reglamentē datu apstrādi, kā arī, to veicot, ir jāievēro attiecīgi šīs regulas II un III nodaļā noteiktās datu subjekta tiesības. Konkrētāk, jebkurai personas datu apstrādei, pirmkārt, ir jāatbilst minētās regulas 5. pantā noteiktajiem principiem un, otrkārt, jāatbilst šīs pašas regulas 6. pantā uzskaitītajiem likumības nosacījumiem (10).

22.      Saskaņā ar VDAR 5. pantu personas datu apstrādātājam [pārzinim] ir jānodrošina, ka personas datiem jābūt apstrādātiem “godīgi un likumīgi” (a) apakšpunkts), ka tiem jābūt “vāktiem konkrētiem, precīzi formulētiem un likumīgiem nolūkiem, un tos nedrīkst tālāk apstrādāt ar šiem nolūkiem nesavienojamā veidā” (b) apakšpunkts), tiem jābūt “adekvātiem, attiecīgiem un ne pārmērīgā apjomā attiecībā uz nolūkiem, kādiem tie savākti un/vai tālāk apstrādāti” (c) apakšpunkts), tiem jābūt “precīziem un nepieciešamības gadījumā atjauninātiem” (d) apakšpunkts) un, visbeidzot, “saglabātiem veidā, kas pieļauj datu subjektu identifikāciju ne ilgāk, kā tas nepieciešams nolūkiem, kuriem datus vāca vai kuriem tos turpmāk apstrādā” (e) apakšpunkts), turklāt uz datu apstrādi vēsturiskām, statistiskām vai zinātniskām vajadzībām attiecas specifiskas tiesību normas. Šajā sakarā šim datu apstrādātājam ir jāveic visi piemērotie pasākumi, lai nodrošinātu, ka datus, kas neatbilst šīs tiesību normas prasībām, dzēš vai izlabo (11).
C.      Par lūguma sniegt prejudiciālu nolēmumu tvērumu

23.      Iesniedzējtiesa vēlas no Tiesas saņemt norādes par to, kā interpretēt nolūka ierobežojuma principu un glabāšanas ierobežojuma principu, kas noteikti attiecīgi VDAR 5. panta 1. punkta b) un e) apakšpunktā, kā rezultātā tā ir formulējusi divus atsevišķus prejudiciālos jautājumus par šīm tiesību normām. Tomēr otrais jautājums, kas attiecas uz datu glabāšanas ierobežojuma principu, ir formulēts tikai nosacīti – gadījumā, ja attiecīgā apstrāde nav saderīga ar nolūka ierobežojuma principu.

24.      Tomēr ir jāuzsver, ka VDAR 5. pantā noteiktās personas datu apstrādes prasības ir acīmredzami kumulatīvas un viena no otras neatkarīgas (12). Jautājums par glabāšanas ierobežojuma principa ievērošanu ir juridiski neatkarīgs no jautājuma par nolūka ierobežojuma principu. Lēmumā, uz kuru attiecas pamatlieta, Iestāde uzskata, ka datu glabāšana iekšējā papildu datu nesējā ir izraisījusi divu iepriekš minēto atšķirīgo principu pārkāpumu.

25.      Pat ja iesniedzējtiesa savu otro jautājumu ir formāli ierobežojusi ar tā nosacīto raksturu, šis apstāklis neliedz Tiesai sniegt valsts tiesai visus interpretācijas elementus, kas var būt noderīgi pamatlietas izspriešanai, no visas šīs tiesas iesniegtās informācijas, it īpaši no iesniedzējtiesas nolēmuma pamatojuma izdalot tos Savienības tiesību elementus, kuriem ir nepieciešama interpretācija, ņemot vērā pamatlietas priekšmetu (13).
D.      Par apstrādes likumību, ņemot vērā nolūka ierobežojuma un glabāšanas ierobežojuma principus

1.      Ievada apsvērumi

26.      Uzskatu, ka vispirms ir jāanalizē VDAR 5. panta 1. punkta b) un e) apakšpunktā noteikto principu attiecīgais tvērums saistībā ar jēdzienu “glabāšana”, kas izmantots lēmumā par prejudiciālu jautājumu uzdošanu un attiecīgo lietas dalībnieku procesuālajos rakstos, lai aprakstītu apstrīdēto apstrādes darbību, raugoties no diviem skatupunktiem. Pirmais attiecas uz pašu datu glabāšanas vai saglabāšanas darbību, šajā gadījumā uz vienas daļas Digi abonentu datu kopijas uzglabāšanu iekšējā papildu datubāzē. Otrais attiecas uz glabāšanu tādā nozīmē, ka šī datubāze tiek saglabāta laika gaitā. Tādējādi jautājums ir par datu uzglabāšanas ilgumu. Šajā ziņā uz iepriekš minēto laika jautājumu, manuprāt, neattiecas nolūka ierobežojuma princips, bet gan vienīgi glabāšanas ierobežojuma princips.

27.      VDAR 5. panta 1. punkta b) apakšpunktā paredzētajam nolūka ierobežojuma principam ir divi aspekti: personas dati, pirmkārt, “tiek vākti konkrētos, skaidros un leģitīmos nolūkos” un, otrkārt, “to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā”. Šī principa mērķis ir pēc iespējas skaidrāk noteikt personas datu izmantošanas robežas, nodrošinot līdzsvaru starp datu subjektu pamattiesību ievērošanu attiecībā uz privāto dzīvi un datu aizsardzību un zināmas elastības atzīšanu pārzinim šo datu pārvaldībā, kā to prasa digitālā vide un tās riski.

28.      Ar otro aspektu, kas mūs šajā gadījumā īpaši interesē, minētā principa mērķis ir noteikt robežas, kādās var atkārtoti izmantot konkrētā nolūkā savāktus personas datus. Saskaņā ar VDAR 5. panta 1. punkta b) apakšpunktu jebkura apstrāde pēc datu savākšanas ir jāuzskata par “turpmāku apstrādi”, un tāpēc, ja vien nav paredzēts izņēmums, tai ir jāatbilst prasībai par saderību (14). Šī prasība atspoguļo nepieciešamību pēc konkrētas, loģiskas un pietiekami ciešas saiknes starp datu vākšanas nolūku un šo datu turpmāko apstrādi. Citiem vārdiem sakot, šī apstrāde nedrīkst būt atrauta no datu vākšanas sākotnējā mērķa vai būt pretrunā tam, un tās saturam ir jābūt saderīgam ar [datu] vākšanas iemeslu neatkarīgi no jebkuras ar laiku saistītas problemātikas.

29.      Nolūka ierobežojuma princips būtībā nav samērīguma principa izpausme, atšķirībā no glabāšanas ierobežojuma principa, kas noteikts VDAR 5. panta 1. punkta e) apakšpunktā. Kā Tiesa ir precizējusi, no minētajā pantā noteiktajām prasībām izriet, ka pat sākotnēji likumīga datu apstrāde ar laiku var kļūt nesaderīga ar šo regulu, ja šie dati vairs nav nepieciešami saistībā ar mērķiem, kādēļ tie tikuši savākti vai apstrādāti. Tā it īpaši ir gadījumā, ja tie izrādās neadekvāti, neatbilstoši vai vairs neatbilstoši, vai pārmērīgi saistībā ar šiem mērķiem vai ar pagājušo laiku (15).

30.      Tādēļ glabāšanas ierobežojuma principa ietvaros ir jānovērtē apstrādes samērīgums saistībā ar tās nolūku, ņemot vērā pagājušo laiku. Datu glabāšana ilgāk nekā tas nepieciešams – proti, ilguma, kas nepieciešams to mērķu sasniegšanai, kuriem šie dati ir glabāti, pārsniegšana – ir pretrunā šim principam (16). Tiklīdz šie apstrādes mērķi ir sasniegti, dati ir jādzēš (17). Tādējādi glabāšanas ierobežojuma princips sniedz atbildi uz jautājumu, kad datu uzglabāšana Digi papildu iekšējā datu nesējā vairs nebija pamatota.

31.      Ņemot vērā iepriekš minētos apsvērumus, pārbaudīšu attiecīgās apstrādes likumību, ņemot vērā abus iepriekš minētos principus.
2.      Par nolūka ierobežojuma principu

32.      Lai pārbaudītu, vai ir ievērots šī principa otrais aspekts, ir iepriekš jānosaka attiecīgo datu vākšanas nolūks vai nolūki.  No Tiesai iesniegtajiem lietas materiāliem izriet, ka Digi šos datus ievāca, lai noslēgtu un izpildītu abonēšanas līgumus, ko tas piedāvā kā interneta un televīzijas pakalpojumu sniedzējs, un ka pamatlietas puses neapstrīd šīs pirmās apstrādes likumību. Tas pats attiecas uz neizbēgamo turpmākās apstrādes darbību, kas ietver minēto datu uzglabāšanu atsevišķā datu nesējā, ko sauksim par sākotnējo datubāzi (18). Šajā kontekstā iesniedzējtiesa it īpaši vēlas saņemt atbildi uz jautājumu, vai datu vākšanas konkrēto, skaidro un leģitīmo nolūku “maina” fakts, ka dati tika pārkopēti datubāzē papildus sākotnējai uzglabāšanai, kuru puses neapstrīd.

33.      Saskaņā ar Tiesas judikatūru VDAR ietvertie noteikumi par personas datu aizsardzību ir jāievēro attiecībā uz jebkādu šo datu apstrādi, kā tas ir definēts šīs regulas 2. pantā (19). Iepriekš minētais jautājums, šķiet, atspoguļo to, ka netiek ievērota prasība par visu datu apstrādes darbību, kuras veiktas pēc to savākšanas, individuālu novērtējumu, kas šajā gadījumā izriet no VDAR 5. panta 1. punkta b) apakšpunkta.

34.      Citiem vārdiem sakot, katrs šo datu turpmākas izmantošanas gadījums ir jāpārbauda, lai pārliecinātos par tā konkrēto nolūku un, attiecīgā gadījumā, par tā saderību ar datu vākšanas nolūku. Datu vākšanas un datu sākotnējās uzglabāšanas likumība noteiktas ietekmes izplatīšanās rezultātā nevar automātiski ietekmēt nolūka ierobežojuma principa ievērošanu, veicot citu turpmāku apstrādes darbību, neatkarīgi no tā, ka pēdējā minētā attiecas uz tiem pašiem datiem. Kā apgalvo Ungārijas valdība, nevar uzskatīt, ka pārzinim ir iespēja uzglabāt personas datus vairākās datnēs un bez ierobežojumiem tikai tādēļ, ka viņš tos ir sākotnēji ievācis un apstrādājis likumīgi.

35.      Tāpēc ir jāizskata jautājums par datu vākšanas nolūka saderību ar turpmāku datu apstrādi, kā tas prasīts VDAR 5. panta 1. punkta b) apakšpunktā. Tomēr šis jautājums loģiski rodas tikai gadījumā, ja apstrāde netiek veikta sākotnēji norādītajā nolūkā.

36.      Tādējādi saskaņā ar minētās regulas 50. apsvērumu personas datu apstrāde “nolūkos, kas nav tie”, kādos tie sākotnēji tika vākti, būtu jāatļauj tikai tad, ja apstrāde ir saderīga ar šīs vākšanas nolūkiem. Arī minētās regulas 6. panta 4. punkta formulējums apstiprina iepriekš minēto secinājumu. Šajā tiesību normā ir izveidots neizsmeļošs to kritēriju saraksts, kas konkrētā situācijā ļauj novērtēt, vai apstrāde “citā nolūkā” ir saderīga ar nolūku, kādā personas dati tika vākti sākotnēji. Tādēļ, ja tiek konstatēts, ka datu vākšanai un to turpmākai apstrādei ir identisks nolūks, kā to apgalvo Digi, jautājums par saderību zaudētu priekšmetu un šī konstatācija ļautu secināt, ka šī apstrāde ir likumīga, ņemot vērā nolūka ierobežojuma principu (20).
a)      Par apstrādes nolūku

37.      No Tiesai iesniegtajiem lietas materiāliem, it īpaši no Digi paziņojumiem, izriet, ka pēc tehniskas kļūmes serverī, kuras rezultātā sākotnējā datubāze kļuva nepieejama, šis uzņēmums uzglabāja vienas abonentu daļas datu kopijas papildu iekšējā datubāzē, ko tas sauc par “testa” datubāzi, lai izlabotu tehnisko incidentu un nodrošinātu piekļuvi datiem saskaņā ar VDAR 5. panta 1. punkta f) apakšpunktā pārzinim noteikto pienākumu, kas detalizēts VDAR 32. pantā (21). Digi apgalvo, ka šī apstrādes darbība tostarp un tādējādi veicināja datu vākšanas mērķa sasniegšanu, proti, līgumā noteiktā pakalpojuma sniegšanu. Šādos apstākļos apstrīdētā uzglabāšana neesot saistīta ar atšķirīgu nolūku,  un šis fakts izslēdzot šīs regulas 5. panta 1. punkta b) apakšpunkta pārkāpumu.

38.      Lai arī iesniedzējtiesai, acīmredzami, ir jāpārbauda iepriekš minētās apstrādes darbības likumība, it īpaši ņemot vērā VDAR 5. pantā noteiktās prasības un visus šo lietu raksturojošos apstākļus, tai šajā nolūkā var sniegt vairākas norādes.

39.      Pirmkārt, ir jānorāda, ka Digi būtībā apgalvo, ka pārmestajai apstrādei bija divējāds nolūks tādējādi, ka servera kļūmes labošanas un abonentu datu pieejamības drošības garantijas primārais un specifiskais mērķis bija daļa no sekundārā un vispārējā mērķa, kas saistīts ar abonēšanas līgumu izpildi un kas sakrīt ar datu sākotnējās vākšanas mērķi.

40.      Praksē ir pilnīgi iespējams iedomāties, ka personas datus var vākt vai turpmāk apstrādāt vairākos nolūkos, un VDAR tas ir skaidri paredzēts un pieļauts, kā par to liecina 5. panta 1. punkta b) apakšpunkta un 6. panta 1. punkta a) apakšpunkta, kā arī 32. un 50. apsvēruma formulējums. Šāda pieeja atbilst pragmatisma un elastīguma prasībām, kas jāievēro sarežģītajā un nelineārajā personas datu apstrādē digitālajā laikmetā. Tomēr tajā ir jāņem vērā prasība par nolūka precizitāti, kam ir izšķiroša nozīme Eiropas personas datu aizsardzības režīma īstenošanā.

41.      Tādējādi pietiekama nolūka precizitāte ir pamatgarantija, raugoties no paredzamības un tiesiskās drošības aspekta, jo tā palīdz datu subjektam pienācīgi saprast viņa datu iespējamo izmantošanu un ļauj viņam pieņemt lēmumu, pilnībā apzinoties visus apstākļus. Šī paredzamība ir būtiska, lai novērtētu datu vākšanas nolūka un datu turpmākās apstrādes saderību, tādējādi samazinot risku, ka pastāv izkropļojums starp datu subjektu saprātīgām gaidām attiecībā uz viņu datu iespējamo izmantošanu nākotnē un pārziņa veiktajām darbībām. Nolūka precizēšana ir nepieciešama arī, lai piemērotu citas prasības saistībā ar datu īpašībām, piemēram, savākto datu adekvātums, atbilstība, samērīgums un precizitāte, kā arī prasības par datu glabāšanas ilgumu saskaņā ar VDAR 5. panta 1. punkta c), d) un e) apakšpunktu.

42.      Kā uzsvērts 29. panta darba grupas (22) Atzinumā 3/2013, šī precizitātes prasība ir spēkā attiecībā uz jebkuru apstrādes darbību, nevis tikai datu vākšanas sākotnējā posmā. Ir jāpiebilst, ka gadījumā, ja datu apstrāde ir balstīta uz datu subjekta sniegtu piekrišanu, saskaņā ar VDAR 6. panta 1. punkta a) apakšpunkta normām tā būs likumīga tikai tad, ja datu subjekts ir devis piekrišanu šai apstrādei vienam vai vairākiem “konkrētiem” nolūkiem.

43.      Šādos apstākļos, ja ar konkrētu apstrādi var censties īstenot divus nolūkus, katram no šiem nolūkiem jābūt konkrētam un objektīvi un pietiekami cieši saistītam ar attiecīgo apstrādi.

44.      Otrkārt, ir jāpiemin konkrētais konteksts, kurā ir jāizvērtē attiecīgās turpmākās apstrādes nolūks vai nolūki.

45.      Saskaņā ar VDAR 60. un 61. apsvērumu godprātīgas un pārredzamas apstrādes principi prasa to, ka datu subjekts ir informēts par apstrādes darbības esamību un tās nolūkiem un informācija par viņa personas datu apstrādi [ir] tam jāsniedz datu ieguves no datu subjekta brīdī. Šajā ziņā minētās regulas 13. panta 1. punkta c) apakšpunktā ir paredzēts, ka tad, ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz informāciju par apstrādes nolūkiem, kam tie paredzēti, kā arī par apstrādes juridisko pamatu.

46.      Tomēr, lai arī cik tālredzīgs un apdomīgs varētu būt pārzinis, ir iespējams, ka, plānojot apstrādi, viņš nevar paredzēt un noteikt visu datu apstrādes ķēdi veidojošo darbību veidu un precīzo apjomu. Tāpat šī lieta lieliski ilustrē problemātiku, kas saistīta ar tehniskas kļūmes, kura pēc definīcijas ir negaidīta, pārvaldību un tai sekojošu noteikta veida datu apstrādes īstenošanu sākotnēji nenoteiktā nolūkā.

47.      Šādas apstrādes likumības izvērtēšanas ietvaros, kā šajā lietā, ko veic uzraudzības iestāde un pēc tam tiesa, kura izskata prasību par tās lēmumu, šis nolūks tiek pārbaudīts a posteriori, ņemot vērā administratīvā procesa laikā pārziņa sniegto informāciju. Un šim pēdējam minētajam kā attiecīgās apstrādes izstrādātājam saskaņā ar VDAR 5. panta 2. punktā paredzēto atbildības principu, ir jāpierāda apgalvotā nolūka patiesums un, attiecīgā gadījumā, apstrādes saderība ar datu vākšanas nolūku (23).

48.      Šajā ziņā, pārbaudot šo nolūku, var ņemt vērā divus konkrētus un objektīvus faktorus. Pirmkārt, VDAR 13. panta 3. punktā ir noteikts, ka tad, ja datu subjekta personas datus vāc no datu subjekta un ja pārzinis paredz [datus] turpmāk apstrādāt citā nolūkā, kas nav [datu] vākšanas nolūks, šis pārzinis pirms minētās turpmākās apstrādes informē datu subjektu par minēto citu nolūku (24) un sniedz tam visu attiecīgo papildu informāciju, kā minēts šīs tiesību normas 2. punktā. Otrkārt, saskaņā ar VDAR 30. panta 1. punktu katram pārzinim ir pienākums uzturēt rakstisku, tostarp elektronisku reģistru par apstrādes darbībām, kas veiktas viņa pakļautībā, un pēc pieprasījuma nodrošināt reģistra pieejamību uzraudzības iestādei. Minētajā reģistrā ir iekļauta dažāda informācija, tostarp informācija par apstrādes nolūkiem.

49.      Šajā gadījumā, šķiet, ir pierādīts, ka Digi neinformēja nevienu no attiecīgajiem abonentiem par savu nodomu kopēt viņu datus un uzglabāt tos iekšējā datu nesējā, kas paredzēts testēšanai un kļūdu labošanai, jo šis operators uzskatīja, ka šīs apstrādes darbības nolūks neatšķiras no datu vākšanas nolūka un ka tādēļ uz to neattiecas VDAR 13. panta 3. punkta piemērošanas joma (25). Turklāt no Tiesai iesniegtajiem lietas materiāliem nav iespējams noteikt, vai Digi var izmantot šīs regulas 30. panta 5. punktā paredzēto atbrīvojumu attiecībā uz pienākumu uzturēt reģistru (26).

50.      Jebkurā gadījumā ir jānorāda, ka tiesas sēdē Digi skaidri norādīja, ka 2018. gadā notikusī tehniskā kļūme neizraisīja līgumā paredzētā pakalpojuma pārtraukumu, jo apstrīdētā uzglabāšana tika ieviesta, ņemot vērā tikai šāda pārtraukuma risku. Šie apgalvojumi ir jāsaista ar objektīviem materiāliem konstatējumiem par tā sauktās “testa” datubāzes nosaukuma izvēli, par faktu, ka tā nesaturēja visu abonentu datus, bet tikai vienas trešdaļas abonentu datus, un par to, ka pēc tam, kad Digi bija par to piemirsis 18 mēnešus pēc sākotnējā tehniskā incidenta atrisināšanas, minētā datubāze tika nekavējoties dzēsta pēc 2019. gada septembrī notikušās elektroniskās uzlaušanas, kas ietekmēja datu drošību.

51.      Šādos apstākļos, šķiet, var secināt, ka apstrīdētajai apstrādei bija tikai viens konkrēts un īpašs mērķis – uz laiku nodrošināt vienas daļas abonentu datu drošību saistībā ar tehniska incidenta, kurš ietekmēja servera darbību, labošanu, kas, manuprāt, ir mērķis, kurš atšķiras no datu vākšanas mērķa.

52.      Savukārt Komisija un Digi apgalvo, ka šādu apstrādi, kuras mērķis ir ievērot drošības pienākumu, kas pārzinim ir noteikts VDAR 5. panta 1. punkta f) apakšpunktā un ir detalizēts šīs regulas 32. pantā, nevar uzskatīt par tādu, kurai ir jauns vai atšķirīgs nolūks, jo pretējā gadījumā tiktu apdraudēta minētā tiesību akta lietderīgā iedarbība un rezultātā datu subjekti tiktu informēti, lai gan šai informēšanai nav praktiskas intereses.

53.      Šāda abstrakta un sistemātiska pieeja, manuprāt, ir pretrunā prasībai izvērtēt katras apstrādes darbības likumību, ņemot vērā visus konkrētās lietas būtiskos apstākļus. Tieši šāda pieeja patiesībā izraisa to, ka tiek laupīta lietderīgā iedarbība VDAR 13. panta 3. punktā paredzētajam pienākumam sniegt informāciju datu subjektiem – informāciju, kas personas pārzinim ir jāsniedz šīm personām, lai tām nodrošinātu godprātīgu datu apstrādi (27). Šis pienākums ir imperatīvs gadījumā, ja apstrāde, kā šajā lietā, notiek līgumattiecību ietvaros un tās pamatā ir šī tiesību akta 6. panta 1. punkta b) apakšpunkts par nepieciešamību izpildīt līgumu bez vajadzības saņemt līgumslēdzēju pušu piekrišanu. Visbeidzot, ar šādu pieeju netiek ievērots VDAR 5. panta 1. punkta b) apakšpunkta pamats, proti, ka turpmāka apstrāde, kas veikta citā, nevis datu vākšanas nolūkā, nav obligāti prettiesiska, jo pietiek tikai ar tās saderību ar pēdējo minēto nolūku, lai nodrošinātu atbilstību minētajai tiesību normai.
b)      Par apstrādes saderību

54.      VDAR 5. panta 1. punkta b) apakšpunktā nav nevienas norādes par nosacījumiem, ar kādiem turpmāku apstrādi, kura veikta ar citu mērķi, kas atšķiras no sākotnējās datu vākšanas nolūka, var uzskatīt par saderīgu ar sākotnējās datu vākšanas nolūku. Šajā ziņā ir jāatsaucas uz VDAR 6. panta 4. punktu, lasot to kopsakarā ar šī tiesību akta 50. apsvērumu, kura saturs atspoguļo saikni starp nolūka ierobežojuma principu un attiecīgās apstrādes juridisko pamatu.

55.      Tādējādi šajā tiesību normā attiecībā uz prasību par saderību ir noteikta atšķirība atkarībā no tā, vai apstrāde citā nolūkā, nevis tajā, kādā [personas] dati tika vākti, ir vai nav balstīta uz datu subjekta piekrišanu vai uz Savienības vai dalībvalsts tiesību aktiem, kas demokrātiskā sabiedrībā ir vajadzīgs un samērīgs pasākums, lai aizsargātu VDAR 23. panta 1. punktā minētos mērķus.

56.      Apstiprinošas atbildes gadījumā, saskaņā ar VDAR 50. apsvēruma otro daļu pārzinim ir atļauts turpināt personas datu apstrādi [veikt turpmāku personas datu apstrādi] neatkarīgi no saderības ar nolūkiem (28). Šo atkāpi no prasības par saderību būtībā pamato tas, ka pastāv citas normas, kas aizsargā datu subjektus, it īpaši normas, kas attiecas uz šo personu informēšanu par citiem nolūkiem un par tiesībām iebilst pret apstrādi (29).

57.      Noliedzošas atbildes gadījumā, un tāda ir situācija šajā lietā, saskaņā ar VDAR 6. panta 4. punkta formulējumu:
“[..]
pārzinis, lai pārliecinātos, vai apstrāde citā nolūkā ir savietojama ar nolūku, kādā personas dati sākotnēji tika vākti, cita starpā ņem vērā:
a)      jebkuru saikni starp nolūkiem, kādos personas dati ir vākti, un paredzētās turpmākās apstrādes nolūkiem;
b)      kontekstu, kādā personas dati ir vākti, jo īpaši saistībā ar datu subjektu un pārziņa attiecībām;
c)      personas datu raksturu, jo īpaši to, vai ir apstrādātas īpašas personas datu kategorijas, ievērojot 9. pantu, vai to, vai ir apstrādāti personas dati, kas attiecas uz sodāmību un pārkāpumiem, ievērojot 10. pantu;
d)      paredzētās turpmākās apstrādes iespējamās sekas datu subjektiem;
e)      atbilstošu garantiju esamību, kas var ietvert šifrēšanu vai pseidonimizāciju.”

58.      Tā kā datu vākšanas laikā Digi nav sniedzis nevienu formālu norādi par paredzēto turpmāko apstrādi un tās nolūku, ir jāievēro materiālā pieeja, kas, manuprāt, ļauj secināt, ka apstrāde ir saderīga.

59.      Šajā ziņā neapšaubāmi pastāv saikne starp sākotnējās datu vākšanas nolūku, proti, interneta un televīzijas abonēšanas līguma izpildi, un apstrādi, kuras mērķis ir nodrošināt šo datu drošību papildu iekšējā datubāzē un veikt testus pilnīgā drošībā, lai novērstu tehnisku kļūmi, kas, iespējams, varētu kaitēt līgumā noteiktā pakalpojuma sniegšanai. Lai gan tie nepārklājas, kā norādīts iepriekš, šie nolūki ir loģiski saistīti.

60.      Jāuzsver, ka ar šo apstrādi netiek pārkāpta abonentu tiesiskā paļāvība attiecībā uz viņu datu turpmāku izmantošanu. Datu papildu uzglabāšanu iekšējā datu nesējā, ko pamato vajadzība atrisināt tehnisku kļūmi, kura ietekmē sākotnējā datubāzē esošo datu pieejamību, nevar uzskatīt par pārsteidzošu vai mazticamu. Turklāt attiecīgos datus turpināja apstrādāt tas pats pārzinis un tie netika izpausti trešām personām, kas a priori liecina par negatīvas ietekmes neesamību. Tas, ka Digi elektroniskās uzlaušanas ietvaros šīs uzlaušanas veicējs varēja piekļūt šajā datu nesējā esošajiem datiem, manuprāt, neļauj izdarīt secinājumu ar atpakaļejošu spēku, ka attiecīgā apstrāde ir nesaderīga.
3.      Par glabāšanas ierobežojuma principu

61.      Saskaņā ar VDAR 5. panta 1. punkta e) apakšpunktu personas dati ir jāglabā veidā, kas pieļauj datu subjektu identifikāciju (30), ne ilgāk kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā; personas datus var glabāt ilgāk, ciktāl personas datus apstrādās tikai arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos saskaņā ar šīs regulas 89. panta 1. punktu, ar noteikumu, ka tiek īstenoti atbilstoši tehniski un organizatoriski pasākumi, kas šajā regulā paredzēti, lai aizsargātu datu subjekta tiesības un brīvības.

62.      Kā tika minēts iepriekš, glabāšanas ierobežojuma princips pauž samērīguma principu, kā arī “datu minimizēšanas” principu, saskaņā ar kuru personas datiem jābūt adekvātiem, atbilstīgiem un jāietver tikai to, kas nepieciešams to apstrādes nolūkos (31). Glabāšanas ierobežojuma principa kontekstā jautājums par apstrādes nepieciešamību, to aplūkojot no laika aspekta, ir saistīts ar apstrādes nolūka saglabāšanos [laikā].

63.      Tāpat ir jāatgādina, ka samērīguma prasības ievērošana nozīmē, ka atkāpes no personas datu aizsardzības un to ierobežojumi ir jāīsteno tikai, ciktāl tas ir absolūti nepieciešams (32). Tiesa ir skaidri norādījusi, ka VDAR 5. panta 1. punkta e) apakšpunkta mērķis ir aizsargāt datu subjektus (33).

64.      Tikpat skaidri VDAR 39. apsvērumā ir noteikts, ka [personas] datu glabāšanas laikposmam ir jābūt “stingri ierobežot[am] līdz minimumam” un ka tādēļ pārzinim būtu jānosaka termiņi, kad dati ir jādzēš vai periodiski jāpārskata. VDAR 13. panta 2. punkta a) apakšpunktā ir noteikts, ka pārzinim, papildus šī panta 1. punktā minētajai informācijai, personas datu iegūšanas laikā ir jāsniedz datu subjektam papildu informācija, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi, tostarp informācija par laikposmu, cik ilgi personas dati tiks glabāti, vai, ja tas nav iespējams, kritēriji, ko izmanto minētā laikposma noteikšanai (34).

65.      Šajā kontekstā, ņemot vērā visus šīs lietas apstākļus (35), ir jānosaka, kurā brīdī vienas daļas abonentu datu kopijas uzglabāšanas papildu iekšējā datubāzē mērķus varēja attiecīgi uzskatīt par sasniegtiem, tādējādi atņemot šai apstrādei tās iemeslu un uzliekot pienākumu Digi datus dzēst. Ir acīmredzams, ka saskaņā ar VDAR 5. panta 2. punktā paredzēto atbildības principu pārzinim ir jāpierāda apstrādes likumība, ņemot vērā glabāšanas ierobežojuma principu, kā arī nolūka ierobežojuma principu.

66.      Šajā gadījumā, ņemot vērā, ka apstrīdētā uzglabāšana atbilda datu drošības mērķim un tādējādi veicināja abonēšanas līguma izpildes mērķa sasniegšanu, Digi apgalvo, ka datu glabāšanas ilgums testa datubāzē tika pielāgots tā līgumsaistību izpildes termiņam, kas izslēdz VDAR 5. panta 1. punkta e) apakšpunkta pārkāpumu.

67.      Attiecībā uz nolūka vai nolūku noteikšanu es atsaukšos uz visiem konstatējumiem un novērtējumiem, kas izdarīti, sniedzot atbildi uz jautājumu par nolūka ierobežojuma principa ievērošanu, no kuriem izriet, ka nevar uzskatīt, ka attiecīgajai apstrādei bija divējāds nolūks, tostarp abonēšanas līgumu izpilde (36).

68.      Jebkurā gadījumā, lai arī kāds bija nolūks vai nolūki, laikposmam, kurā tika veikta datu apstrāde, uzglabājot datus papildu iekšējā datnē, tomēr vajadzēja būt stingri ierobežotam līdz minimumam. Citiem vārdiem sakot, tiklīdz sākotnējais darbības traucējums tika atrisināts, apstāklis, kas pamatoja uzglabāšanas darbību un tās turpināšanu, zuda. Tiešais un primārais datu drošības mērķis saistībā ar tehniskā incidenta labošanu, ja to aplūko atsevišķi vai pat kopā ar netiešo un papildu abonēšanas līguma izpildes mērķi, šādos apstākļos vairs nevarēja pamatot apstrādes turpināšanu.

69.      Jākonstatē, ka Digi nepārprotami norādīja, ka testa datubāze bija paredzēta, lai garantētu piekļuvi abonentu datiem “līdz brīdim, kad kļūda būs izlabota”, un ka tas neizdzēsa datubāzi neuzmanības dēļ, lai gan kļūdu izlabošana vairs nepamatoja tās pastāvēšanu (37), kas nozīmē, ka apstrīdētā apstrāde vairs nebija lietderīga un tādējādi tai nebija nolūka. Vai var uzskatīt, ka iekšēja datubāze, attiecībā uz kuru pats pārzinis atzīst, ka par to tika aizmirsts pusotru gadu, joprojām kalpo faktiskam nolūkam? Man šķiet, ka atbilde noteikti ir noliedzoša.
V.      Secinājumi

70.      Ņemot vērā iepriekš minētos apsvērumus, ierosinu Tiesai uz Fővárosi Törvényszék (Galvaspilsētas Budapeštas tiesa, Ungārija) jautājumiem atbildēt šādi:
1)      Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula), 5. panta 1. punkta b) apakšpunkts ir jāinterpretē tādējādi, ka ar tajā paredzēto principu tiek pieļauta likumīgi iegūtu un uzglabātu personas datu glabāšana papildu iekšējā datubāzē, ja vien šī apstrāde tiek veikta tādā pašā nolūkā, kādā dati tika vākti, vai – ja tas tā nav – ja šī apstrāde ir saderīga ar datu vākšanas nolūku, un tas ir jāpierāda pārzinim, tostarp gadījumā, ja apstrāde tiek veikta, ņemot vērā minētās regulas 5. panta 1. punkta f) apakšpunktā noteikto pārziņa pienākumu nodrošināt atbilstošu personas datu drošību.
Ja minētā apstrāde citā nolūkā, nevis tajā, kādā personas dati tika vākti, nav balstīta uz datu subjekta piekrišanu vai uz Savienības vai dalībvalsts tiesību aktu, uz kuru attiecas Regulas 2016/679 23. panta 1. punkts, tās saderība ir jānosaka, ņemot vērā it īpaši šīs regulas 6. panta 4. punktā minētos kritērijus.
2)      Regulas 2016/679 5. panta 1. punkta e) apakšpunkts ir jāinterpretē tādējādi, ka ar tajā noteikto principu netiek pieļauta likumīgi savāktu un uzglabātu datu glabāšana papildu iekšējā datubāzē veidā, kas ļauj identificēt datu subjektus, ja šīs glabāšanas mērķis ir izlabot tehnisku anomāliju un garantēt šo datu īslaicīgu drošību, ilgāk nekā nepieciešams šā mērķa sasniegšanai un tādējādi arī pēc minētā incidenta novēršanas, tostarp tad, ja minētais tiešais un primārais mērķis var būt saistīts ar netiešo un papildu mērķi izpildīt līgumā paredzētā pakalpojuma sniegšanu.

1      Oriģinālvaloda – franču.

2      Eiropas Parlamenta un Padomes Regula (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”).

3      Spriedums, 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 73. un 74. punkts).

4      Eiropas Parlamenta un Padomes Direktīva (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (OV 2002, L 201, 37. lpp.).

5      Spriedums, 2020. gada 6. oktobris, Privacy International (C‑623/17, EU:C:2020:790, 34. un 36. punkts).

6      Eiropas Parlamenta un Padomes Direktīva (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.).

7      Jāatgādina – tā kā ar VDAR ir atcelta un aizstāta Direktīva 95/46 un tā kā attiecīgo šīs regulas normu tvērums būtībā ir identisks šīs direktīvas attiecīgo normu tvērumam, Tiesas judikatūra attiecībā uz minēto direktīvu principā ir piemērojama arī attiecībā uz minēto regulu (spriedums, 2021. gada 17. jūnijs, M.I.C.M. (C‑597/19, EU:C:2021:492, 107. punkts)).

8      Skat. 2020. gada 11. novembra  spriedumu  Orange Romania (C‑61/19, EU:C:2020:901) par Direktīvas 95/46 un VDAR tiesību normu ekskluzīvu īstenošanu lietā par sabiedrības Orange România, mobilo telekomunikāciju pakalpojumu sniedzēja Rumānijas tirgū, klientu piekrišanu attiecībā uz viņu personu apliecinošu dokumentu kopiju vākšanu un glabāšanu.

9      No Komisijas apsvērumu 2. punkta izriet, ka šie dati attiecās uz šādu informāciju: datu subjektu vārds, uzvārds, dzimšanas vieta un datums, adrese, personu apliecinoša dokumenta numurs, dažkārt personas kods, e‑pasta adrese, fiksētā un mobilā tālruņa numurs.

10      Spriedums, 2020. gada 6. oktobris, La Quadrature du Net u.c. (C‑511/18, C‑512/18 un C‑520/18, EU:C:2020:791, 208. punkts).

11      Pēc analoģijas skat. spriedumu, 2014. gada 13. maijs, Google Spain un Google (C‑131/12, EU:C:2014:317, 72. punkts).

12      VDAR 5. pantā noteikto pārziņa pienākumu autonomija neizslēdz saiknes pastāvēšanu starp šiem pienākumiem, ko šajā gadījumā veido jēdziens “nolūks”. Apstrādes darbības veida un nolūka pārbaude ir būtiska, lai novērtētu, vai ir ievēroti šajā tiesību normā minētie principi, it īpaši nolūka ierobežojuma princips un datu glabāšanas ierobežojuma princips, uz kuriem attiecas pamatlieta.

13      Spriedums, 2021. gada 22. aprīlis, Profi Credit Slovakia (C‑485/19, EU:C:2021:313, 50. punkts).

14      Turpmāka apstrāde arhivēšanas nolūkos sabiedrības interesēs, zinātniskās vai vēstures pētniecības nolūkos, vai statistikas nolūkos ir jāuzskata par likumīgu apstrādes darbību, kas ir saderīga ar sākotnējiem nolūkiem saskaņā ar VDAR 5. panta 1. punkta b) apakšpunkta formulējumu, kas ir situācija, kura neatbilst pamatlietas apstākļiem.

15      Pēc analoģijas skat. spriedumu, 2014. gada 13. maijs, Google Spain un Google (C‑131/12, EU:C:2014:317, 93. punkts).

16      Šajā nozīmē skat. spriedumus, 2009. gada 7. maijs, Rijkeboer (C‑553/07, EU:C:2015:293, 33. punkts), un 2014. gada 13. maijs, Google Spain un Google (C‑131/12, EU:C:2014:317, 92. punkts).

17      Šajā nozīmē skat. spriedumu, 2009. gada 7. maijs, Rijkeboer (C‑553/07, EU:C:1999:293, 33. punkts).

18      Ņemot vērā šo apstrādes darbību veidu, šķiet, ka VDAR 6. panta 1. punkta a) un b) apakšpunkts ir to atbilstošs juridiskais pamats – tas šajā lietā turklāt netiek apstrīdēts.

19      Pēc analoģijas skat. spriedumu, 2003. gada 20. maijs, Österreichischer Rundfunk u.c. (C‑465/00, C‑138/01 un C‑139/01, EU:C:2003:294, 40. punkts).

20      Klientu personas datu vākšanai un šo datu uzglabāšanai sākotnējā datubāzē ir vienāds nolūks, proti, līgumā noteiktā pakalpojuma sniegšana.

21      Skat. Digi apsvērumu 13. punktu.

22      Neatkarīga konsultatīva iestāde, kura izveidota saskaņā ar Direktīvas 95/46 29. pantu un kura kopš VDAR pieņemšanas ir aizstāta ar Eiropas Datu aizsardzības kolēģiju.

23      Pēc analoģijas skat. spriedumu, 2020. gada 11. novembris, Orange Romania (C‑61/19, EU:C:2017:901, 51. un 52. punkts).

24      VDAR 13. panta 3. punkta saturs atbalsta pieeju, saskaņā ar kuru prasība par nolūka precizitāti attiecas ne tikai uz datu vākšanas posmu, bet arī uz jebkuru apstrādes darbību.

25      Šī tiesību norma atspoguļo pārvaldības elastību, kas atzīta pārzinim, kurš pats izvērtē, kā īstenot pienākumu sniegt informāciju datu subjektiem. Šī iespēja attiecīgi nozīmē, ka uzraudzības iestādei ir jāveic rūpīga apstrādes nolūku pārbaude, kas ir būtiska, lai nodrošinātu, ka turpmākā apstrāde ir likumīga un it īpaši, ka ir ievērota saderības prasība.

26      Šī pienākuma tvērums ir samazināts, paredzot atbrīvojumu uzņēmumiem vai organizācijām, kurās ir mazāk nekā 250 darba ņēmēju, izņemot, ja to veiktā apstrāde var radīt risku datu subjektu tiesībām un brīvībām, ja tai nepiemīt gadījuma raksturs vai ja tā it īpaši attiecas uz VDAR 9. panta 1. punktā minētajiem īpašu kategoriju datiem vai uz personas datiem par sodāmību un pārkāpumiem, kas minēti šī akta 10. pantā.

27      Spriedums, 2020. gada 11. novembris, Orange Romania (C‑61/19, EU:C:2020:901, 48. punkts). Jānorāda, ka VDAR 14. panta 5. punkta b) apakšpunktā paredzētais atbrīvojums no pārziņa pienākuma sniegt informāciju, ja personas dati nav iegūti no datu subjekta, gadījumos, kad šādas informācijas sniegšana nav iespējama vai tā prasītu nesamērīgi lielas pūles, nav piemērojams situācijām, uz kurām attiecas minētās regulas 13. pants.

28      Jānorāda, ka apstrādes darbības, uz kurām neattiecas prasība par saderību, neietver apstrādi, kas pamatota ar VDAR 6. panta 1. punkta c) apakšpunktu attiecībā uz apstrādi, kas vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu, un it īpaši šīs regulas 5. panta 1. punkta f) apakšpunktā paredzēto pienākumu nodrošināt atbilstošu personas datu drošību.

29      Jāatgādina, ka saskaņā ar VDAR 6. panta 1. punkta a) apakšpunktu apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja datu subjekts ir devis piekrišanu savu personas datu apstrādei “vienam vai vairākiem konkrētiem nolūkiem”.

30      Par šo nosacījumu šajā lietā strīda nav.

31      Šajā nozīmē skat. spriedumu, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti) (C‑439/19, EU:C:1999:504, 98. punkts).

32      Spriedums, 2020. gada 6. oktobris, La Quadrature du Net u.c. (C‑511/18, C‑512/18 un C‑520/18, EU:C:2020:791, 210. punkts).

33      Pēc analoģijas skat. spriedumu, 2009. gada 7. maijs, Rijkeboer (C‑553/07, EU:C:2009:293, 35. punkts).

34      Ņemot vērā nosacījumus, kādos tika īstenota apstrīdētā apstrāde, šī tiesību norma šajā lietā netika piemērota.

35      Spriedums, 2014. gada 13. maijs, Google Spain un Google (C‑131/12, EU:C:2014:317, 94. punkts).

36      Jāatgādina, ka konstatējums, ka testa datubāze tika dzēsta uzreiz pēc tam, kad “ētiskais” datorpirāts uzbruka Digi, neatkarīgi no līgumisko attiecību turpināšanās ar attiecīgajiem abonentiem, ir krasā pretrunā apgalvojumam, ka šīs datubāzes uzturēšana bija pamatota ar abonēšanas līgumu izpildi.

37      Skat. it īpaši Digi apsvērumu 22. punktu.