CELEX: 62021CC0077
Language: pl
Date: 2022-03-31
Title: Opinia rzecznika generalnego Pikamäe przedstawiona w dniu 31 marca 2022 r.###

Wydanie tymczasowe
OPINIA RZECZNIKA GENERALNEGO
PRIITA PIKAMÄE
przedstawiona w dniu 31 marca 2022 r.(1)

Sprawa C‑77/21

Digi Távközlési és Szolgáltató Kft.

przeciwko

Nemzeti Adatvédelmi és Információszabadság Hatóság

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Fővárosi Törvényszék (sąd dla miasta stołecznego Budapeszt, Węgry)]
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. b) i e) – Zasada ograniczenia celu – Zasada ograniczenia przechowywania – Dane osobowe klientów zebrane i przechowywane zgodnie z prawem – Utworzenie innej szczególnej wewnętrznej bazy danych po wystąpieniu usterki technicznej – Weryfikacja a posteriori celów przetwarzania– Podwójny cel – Brak tożsamości celów przetwarzania z celami zbierania danych – Zgodność przetwarzania z celami zbierania – Artykuł 6 ust. 4 – Nieusunięcie bazy danych po naprawieniu usterki technicznej – Realizacja celów przetwarzania

1.        W jakich okolicznościach dostawca dostępu do Internetu i telewizji może przechowywać dane osobowe swoich klientów, gromadzone i już przechowywane zgodnie z prawem, na dodatkowym wewnętrznym nośniku, bez ich wyraźnej zgody, ale w celu naprawienia usterki technicznej?

2.        To jedna z kwestii podniesionych w niniejszej sprawie, która pozwoli Trybunałowi na uzupełnienie coraz obszerniejszego orzecznictwa dotyczącego rozporządzenia (UE) 2016/679(2), w szczególności w odniesieniu do zasad ograniczenia celu i przechowywania, o których mowa w art. 5 ust. 1 lit. b) i e) tego aktu.
I.      Ramy prawne

3.        W niniejszej sprawie istotne są art. 4–6, 13 i 32 RODO.
II.    Spór w postępowaniu głównym i pytania prejudycjalne

4.        Digi Távközlési és Szolgáltató Kft. (zwana dalej „spółką Digi”) jest jednym z głównych dostawców usług internetowych i telewizji na Węgrzech.

5.        W kwietniu 2018 r., w wyniku usterki technicznej, która miała wpływ na funkcjonowanie serwera, spółka Digi stworzyła bazę danych o nazwie „test”, do której skopiowała dane osobowe około jednej trzeciej swoich klientów indywidualnych.

6.        W dniu 23 września 2019 r.  spółka Digi powzięła wiadomość o tym, że „uczciwy haker” uzyskał dostęp do danych osobowych około 322 000 osób. O ataku zawiadomił na piśmie sam haker w wiadomości wysłanej do tego przedsiębiorstwa pocztą elektroniczną w dniu 21 września 2019 r., przedstawiając, jako dowód, jeden z rekordów testowej bazy danych. Spółka Digi poprawiła błąd, zawarła z tą osobą umowę o zachowaniu poufności i zaproponowała jej nagrodę.

7.        Po usunięciu testowej bazy danych spółka Digi powiadomiła Nemzeti Adatvédelmi és Információszabadság Hatóság (krajowy organ ochrony danych i wolności informacji, zwany dalej „krajowym organem”) w dniu 25 września 2019 r. o naruszeniu ochrony danych osobowych, w następstwie czego organ ten wszczął dochodzenie.

8.        Decyzją z dnia 18 maja 2020 r.  krajowy organ stwierdził w szczególności, po pierwsze, że spółka Digi naruszyła art. 5 ust. 1 lit. b) i e) RODO, ponieważ po przeprowadzeniu wymaganych testów i skorygowaniu błędów nie usunęła ona testowej bazy danych, w związku z czym duża liczba danych osobowych była przechowywana w tej testowej bazie danych bez żadnego celu przez prawie 18 miesięcy w zbiorze danych pozwalającym na identyfikację osób, których dane dotyczyły, a nieusunięcie tej bazy danych doprowadziło do wystąpienia naruszenia ochrony danych osobowych. Po drugie, krajowy organ uznał, że spółka Digi naruszyła art. 32 ust. 1 i 2 RODO. W tych okolicznościach krajowy organ nałożył na spółkę Digi grzywnę w wysokości 100 000 000 forintów węgierskich (HUF) (około 270 000 EUR).

9.        Spółka Digi zakwestionowała zgodność z prawem tej decyzji przed sądem odsyłającym.

10.      Sąd ów wskazuje, że dane osobowe skopiowane przez spółkę Digi do testowej bazy danych zostały zgromadzone w celu zawarcia umów abonenckich oraz że zgodność z prawem gromadzenia danych nie została przez krajowy organ zakwestionowana. Sąd ten pragnąłby  jednak ustalić, czy cel gromadzenia i przetwarzania danych ulega zmianie ze względu na fakt, że zgromadzone dane zostały skopiowane do innej bazy danych. Dodaje on, że należy również ustalić, czy stworzenie testowej bazy danych i dalsze przetwarzanie danych klientów w ten sposób jest zgodne z celem gromadzenia tych danych. W tym względzie zasada ograniczenia celu nie daje jasnych wskazówek co do tego, w jakich systemach wewnętrznych administrator danych może przetwarzać dane zgromadzone zgodnie z prawem, lub czy może skopiować te dane do testowej bazy danych bez zmiany celu gromadzenia danych.

11.      Na wypadek gdyby utworzenie testowej bazy danych było niezgodne z celem gromadzenia, sąd odsyłający zastanawia się również, czy skoro celem przetwarzania danych klientów w innej bazie danych nie jest usuwanie błędów, lecz zawarcie umów, konieczny okres przechowywania powinien zostać dostosowany do okresu koniecznego do skorygowania błędów, czy raczej do okresu koniecznego do wypełnienia zobowiązań umownych.

12.      W tych okolicznościach Fővárosi Törvényszék (sąd dla miasta stołecznego Budapeszt, Węgry) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)      Czy pojęcie »ograniczenia celu« określone w art. 5 ust. 1 lit. b) [RODO] należy interpretować w ten sposób, że jest zgodne z tym pojęciem postępowanie polegające na tym, iż administrator przechowuje równolegle w innej bazie danych dane osobowe, które były zebrane i przechowywane w prawnie uzasadnionym ograniczonym celu, czy też przeciwnie, w przypadku równoległej bazy danych prawnie uzasadniony ograniczony cel zbierania danych już nie występuje?
2)      W przypadku udzielenia na pierwsze pytanie prejudycjalne odpowiedzi, że równoległe przechowywanie danych samo w sobie jest niezgodne z zasadą »ograniczenia celu«: Czy z zasadą »ograniczenia przechowywania« określoną w art. 5 ust. 1 lit. e) [RODO] jest zgodne postępowanie polegające na tym, że administrator przechowuje równolegle w innej bazie danych dane osobowe, które były zebrane i przechowywane w prawnie uzasadnionym ograniczonym celu?”.
III. Postępowanie przed Trybunałem

13.      Strony skarżąca i pozwana w postępowaniu głównym, rządy węgierski, czeski i portugalski oraz Komisja Europejska przedstawiły uwagi na piśmie. Na rozprawie, która odbyła się w dniu 17 stycznia 2022 r., zostały również wysłuchane uwagi ustne strony skarżącej i strony pozwanej w postępowaniu głównym, a także rządu węgierskiego i Komisji.
IV.    Analiza

A.      W przedmiocie dopuszczalności

14.      Krajowy organ oraz rząd węgierski wyraziły wątpliwości co do dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym, ponieważ przedstawione pytania nie odzwierciedlają okoliczności faktycznych sprawy w postępowaniu głównym i nie mają bezpośredniego znaczenia dla rozstrzygnięcia tej sprawy.

15.      Z utrwalonego orzecznictwa Trybunału wynika, że jedynie do sądu krajowego, przed którym zawisł spór i na którym spoczywa odpowiedzialność za mające zapaść rozstrzygnięcie, należy ustalenie, czy, w celu wydania rozstrzygnięcia i przy uwzględnieniu specyfiki danej sprawy, zachodzi potrzeba uzyskania orzeczenia w trybie prejudycjalnym, jak i zasadności zadawanych Trybunałowi pytań. W konsekwencji jeśli postawione pytania dotyczą wykładni lub ważności prawa Unii, Trybunał jest co do zasady zobowiązany do wydania orzeczenia. Wynika stąd, że pytania zadane przez sądy krajowe korzystają z domniemania posiadania znaczenia dla sprawy. Odmowa wydania przez Trybunał orzeczenia w trybie prejudycjalnym, o które wnioskował sąd krajowy, jest możliwa tylko wtedy, gdy okazuje się, że wykładnia, o którą się zwrócono, nie ma żadnego związku ze stanem faktycznym lub przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego niezbędnymi do udzielenia użytecznej odpowiedzi na pytania. W niniejszym przypadku wniosek o wydanie orzeczenia w trybie prejudycjalnym zawiera w zakresie stanu faktycznego i prawnego informacje, które są wystarczające dla zrozumienia zakresu zadanych pytań. Ponadto, co najważniejsze, żaden pozostający do dyspozycji Trybunału element akt sprawy nie pozwala uznać, że żądana wykładnia prawa Unii nie ma związku ze stanem faktycznym lub przedmiotem sporu w postępowaniu głównym lub ma charakter hipotetyczny(3).

16.      W tym względzie należy zauważyć, że sąd odsyłający rozpatruje skargę o stwierdzenie nieważności decyzji nakładającej karę na spółkę Digi jako administratora danych z powodu podnoszonego naruszenia zasad ograniczenia celu i przechowywania, o których mowa w art. 5 ust. 1 lit. b) i e) RODO i których dotyczy wniosek o wykładnię złożony przez ten sąd. Wniosek o wydanie orzeczenia w trybie prejudycjalnym należy zatem uznać za dopuszczalny.
B.      W przedmiocie ram prawnych analizy

17.      Należy stwierdzić, że wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wyłącznie wykładni art. 5 RODO w ramach sporu w postępowaniu głównym dotyczącego zgodności z prawem przetwarzania danych osobowych dokonywanego przez spółkę Digi, jednego z głównych dostawców usług internetowych i telewizyjnych na Węgrzech, która jest w związku z tym operatorem oferującym dostęp do publicznie dostępnych usług łączności elektronicznej.

18.      Tymczasem należy zauważyć, że art. 1 dyrektywy 2002/58/WE(4) stanowi w ust. 1, iż dyrektywa ta przewiduje harmonizację przepisów krajowych wymaganych między innymi do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej. Ponadto art. 3 dyrektywy 2002/58 stanowi, że dyrektywa ta ma zastosowanie do przetwarzania danych osobowych w związku z dostarczaniem publicznie dostępnych usług łączności elektronicznej w publicznych sieciach łączności w Unii, włącznie z publicznymi sieciami łączności służącymi do zbierania danych i obsługi urządzeń identyfikacyjnych. Co za tym idzie, należy uznać, że wspomniana dyrektywa reguluje działalność dostawców tych usług(5).

19.      Zgodnie z art. 1 ust. 2 dyrektywy 2002/58 dyrektywa ta dookreśla i uzupełnia dyrektywę 95/46/WE(6) zgodnie z celami przedstawionymi w owym ust. 1, przy czym na podstawie art. 94 ust. 2 RODO odesłania w dyrektywie 2002/58 do dyrektywy 95/46 należy traktować jako odesłania do tego rozporządzenia(7). Zgodnie z motywem 10 dyrektywy 2002/58 w sektorze łączności elektronicznej dyrektywę 95/46 stosuje się w szczególności do wszystkich spraw dotyczących ochrony podstawowych praw i wolności, które nie są szczegółowo objęte przepisami dyrektywy 2002/58, włączając w to zobowiązania nałożone na administratora danych osobowych oraz prawa jednostek(8).

20.      Z wniosku o wydanie orzeczenia w trybie prejudycjalnym wynika, że spór w postępowaniu głównym nie dotyczy korzystania z usług łączności elektronicznej przez abonentów spółki Digi i, co za tym idzie, ochrony realizowanej w ten sposób komunikacji i związanych z nią danych o ruchu regulowanej dyrektywą 2002/58, lecz wpisuje się w ramy wewnętrznego funkcjonowania tego przedsiębiorstwa. Bezsporne jest, że w 2018 r., w wyniku usterki technicznej serwera, która spowodowała brak dostępu do pierwotnej bazy danych jej abonentów, spółka Digi utworzyła zbiór danych  nazwany „test”, do którego skopiowała dane osobowe części swych klientów(9). Po naprawieniu usterki przez spółkę Digi przechowywanie danych w dodatkowej bazie danych trwało nadal do września 2019 r., kiedy to haker uzyskał dostęp do tej bazy. Działania podjęte w ten sposób przez spółkę Digi miały charakter „przetwarzania danych osobowych”, w odniesieniu do którego przedsiębiorstwo to jest „administratorem” w rozumieniu definicji zawartych w art. 4 ust. 2 i 7  RODO. Co więcej, spółka Digi została ukarana przez krajowy organ właśnie w tym charakterze za to, że w tej sytuacji naruszyła swoje obowiązki wynikające w szczególności z art. 5 ust. 1 lit. b) i e) RODO.

21.      W tym względzie należy przypomnieć, że z zastrzeżeniem odstępstw dopuszczalnych na podstawie art. 23 RODO każde przetwarzanie danych osobowych musi respektować zasady dotyczące ich przetwarzania oraz prawa osoby, której dane dotyczą,  które są określone, odpowiednio, w rozdziałach II i III tego rozporządzenia. W szczególności każde przetwarzanie danych osobowych powinno, po pierwsze, być zgodne z zasadami określonymi w art. 5 wspomnianego rozporządzenia, a po drugie, spełniać przesłanki zgodności z prawem wymienione w art. 6 tego rozporządzenia(10).

22.      Zgodnie z art. 5 RODO na administratorze danych ciąży obowiązek zapewnienia, by dane osobowe były „przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty” [lit. a)], były „zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami” [lit. b)], były „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” [lit. c)], były  „prawidłowe i w razie potrzeby uaktualniane” [lit. d)] i wreszcie były „przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane” [lit. e)], przy czym przetwarzanie danych do celów historycznych, statystycznych lub naukowych podlega przepisom szczególnym. W tym kontekście ten administrator danych musi podjąć wszelkie racjonalne działania konieczne do tego, aby zapewnić usunięcie lub poprawienie danych niespełniających określonych w tym przepisie wymogów(11).
C.      W przedmiocie zakresu wniosku o wydanie orzeczenia w trybie prejudycjalnym

23.      Sąd odsyłający zwraca się do Trybunału o udzielenie wskazówek co do wykładni zasad ograniczenia celu i ograniczenia przechowywania  ustanowionych, odpowiednio, w art. 5 ust. 1 lit. b) i e) RODO, co znajduje odzwierciedlenie w treści dwóch odrębnych pytań prejudycjalnych dotyczących tych przepisów. Pozostaje faktem, że pytanie drugie, dotyczące zasady ograniczenia przechowywania danych, zostało sformułowane jedynie warunkowo, w przypadku niezgodności rozpatrywanego przetwarzania z zasadą ograniczenia celu.

24.      Należy podkreślić, że wymogi dotyczące przetwarzania danych osobowych ustanowione w art. 5 RODO są oczywiście kumulatywne i niezależne od siebie(12). Problematyka przestrzegania zasady ograniczenia przechowywania jest niezależna pod względem prawnym od problematyki dotyczącej zasady ograniczenia celu. W decyzji będącej przedmiotem postępowania głównego krajowy organ uznał, że przechowywanie danych na dodatkowym nośniku wewnętrznym leży u podstaw naruszenia dwóch ww. odrębnych zasad.

25.      Chociaż sąd odsyłający formalnie ograniczył pytanie drugie ze względu na jego warunkowy charakter, okoliczność ta nie sprzeciwia się temu, by Trybunał dostarczył temu sądowi wszystkich elementów wykładni, które mogą być użyteczne dla rozstrzygnięcia zawisłej przed nim sprawy, wyprowadzając z całości informacji przedstawionych mu przez sąd odsyłający, a w szczególności z uzasadnienia postanowienia odsyłającego, te aspekty prawa Unii, które wymagają wykładni w świetle przedmiotu sporu(13).
D.      W przedmiocie zgodności z prawem przetwarzania danych w świetle zasad ograniczenia celu i ograniczenia przechowywania

1.      Rozważania wstępne

26.      Na wstępie wydaje mi się konieczne przeanalizowanie zakresu zasad określonych, odpowiednio, w art. 5 ust. 1 lit. b) i e) RODO w związku z pojęciem przechowywania użytym w postanowieniu odsyłającym i w pismach zainteresowanych stron dla opisania kwestionowanej  operacji przetwarzania, w dwóch aspektach. Pierwszy z nich dotyczy samego przechowywania lub tworzenia zapasowych kopii  danych, w tym przypadku – przechowywania w dodatkowej wewnętrznej bazie danych kopii danych części abonentów spółki Digi. Drugi odnosi się do przechowywania w znaczeniu zachowania tej bazy danych w czasie. Przedstawione pytanie dotyczy zatem okresu przechowywania danych. W tym względzie wspomniana problematyka czasowa nie jest moim zdaniem objęta zasadą ograniczenia celu, lecz wyłącznie zasadą ograniczenia przechowywania.

27.      Zasada ograniczenia celu przewidziana w art. 5 ust. 1 lit. b) RODO ma dwa komponenty: dane osobowe, po pierwsze,  muszą być zbierane w „konkretnych, wyraźnych i prawnie uzasadnionych” celach, a po drugie – „nieprzetwarzane dalej w sposób niezgodny” z tymi celami. Zasada ta ma na celu wyznaczenie w jak najbardziej jasny sposób granic wykorzystywania danych osobowych poprzez zapewnienie równowagi między poszanowaniem praw podstawowych osób, których dane dotyczą, w dziedzinie życia prywatnego i ochrony danych, a uznaniem pewnej elastyczności na korzyść administratora danych w zarządzaniu tymi danymi, wymaganej w gospodarce cyfrowej i związanych z nią nieprzewidzianych sytuacjach.

28.      Jeśli chodzi o ten drugi komponent, który interesuje nas w szczególności w niniejszej sprawie, wspomniana zasada ma na celu określenie granic, w jakich dane osobowe zebrane w danym celu mogą być ponownie wykorzystane. Zgodnie z art. 5 ust. 1 lit. b) RODO każde przetwarzanie po zebraniu musi być uznane za „dalsze przetwarzanie”, a zatem, z zastrzeżeniem wyjątków, musi spełniać wymóg zgodności(14). Ten ostatni wymóg oznacza konieczność konkretnego, logicznego i dostatecznie ścisłego związku pomiędzy celem zbierania danych a ich dalszym przetwarzaniem. Innymi słowy – przetwarzanie to nie powinno być oderwane od pierwotnego celu zbierania danych ani z nim sprzeczne, a jego treść należy pogodzić z racją bytu zbierania danych, niezależnie od wszelkiej problematyki czasowej.

29.      Zasada ograniczenia celu nie stanowi, ściśle rzecz biorąc, wyrazu  zasady proporcjonalności, w odróżnieniu od zasady ograniczania przechowywania ustanowionej w art. 5 ust. 1 lit. e) RODO. Jak wyjaśnił Trybunał, z wymogów przewidzianych w tym artykule wynika, że nawet początkowo zgodne z prawem przetwarzanie danych może wraz z upływem czasu stać się niezgodne z tym rozporządzeniem, jeśli dane te nie są już potrzebne do realizacji celów, ze względu na które były one zbierane i przetwarzane. Ma to miejsce w szczególności wówczas, gdy należy uznać je za niewłaściwe, (już) niestosowne czy też nadmierne w stosunku do celów, dla których są one przetwarzane, czy też ze względu na upływ czasu(15).

30.      Chodzi zatem, w ramach zasady ograniczenia przechowywania, o dokonanie oceny proporcjonalności przetwarzania w stosunku do jego celu w kontekście upływu czasu. Sprzeczne z tą zasadą byłoby przechowywanie danych przez okres dłuższy niż konieczny, to znaczy wykraczający poza czas niezbędny do realizacji celów, dla których dane te były przechowywane(16). Jeżeli cele tego przetwarzania zostały osiągnięte, dane muszą zostać usunięte(17). Zasada ograniczenia przechowywania odpowiada zatem na pytanie o to, kiedy przechowywanie danych na dodatkowym wewnętrznym nośniku spółki Digi nie było już uzasadnione.

31.      To właśnie w świetle powyższych rozważań zbadam zgodność z prawem rozpatrywanego przetwarzania z punktu widzenia dwóch wyżej wymienionych zasad.
2.      W przedmiocie zasady ograniczenia celu

32.      Weryfikacja poszanowania tej zasady w odniesieniu do jej drugiego komponentu wymaga uprzedniego określenia celu lub celów rozpatrywanego zbierania  danych.  Z akt sprawy przedłożonych Trybunałowi wynika, że dane te zostały zebrane  przez spółkę Digi w celu zawarcia i wykonania umów abonenckich, które oferowała ona jako dostawca dostępu do Internetu i telewizji, oraz że zgodność z prawem tego pierwszego przetwarzania nie jest przedmiotem dyskusji między stronami w postępowaniu głównym. To samo dotyczy nieodzownej operacji późniejszego przetwarzania, polegającej na przechowywaniu wspomnianych danych na przeznaczonym do tego celu nośniku, który można zakwalifikować jako pierwotną bazę danych(18). W tym kontekście sąd odsyłający chciałby w szczególności uzyskać odpowiedź na pytanie, czy konkretny, wyraźny i prawnie uzasadniony cel zbierania danych ulega „zmianie” ze względu na fakt, że zostały one skopiowane do bazy danych dodatkowej w stosunku do pierwotnego przechowywania bezspornego między stronami.

33.      Zgodnie z orzecznictwem Trybunału zasady ochrony danych osobowych zawarte w RODO muszą być przestrzegane w odniesieniu do każdego ich przetwarzania określonego w art. 2 tego rozporządzenia(19). Wydaje się, że powyższe pytanie odnosi się do naruszenia wymogu indywidualnej oceny wszystkich operacji przetwarzania danych następujących po ich  zebraniu, który w niniejszym przypadku wynika z art. 5 ust. 1 lit. b) RODO.

34.      Innymi słowy – każdy przypadek późniejszego wykorzystania tych danych należy zbadać w celu zweryfikowania jego szczególnego celu oraz, w odpowiednim przypadku, jego zgodności z celem  zbierania. Zgodność z prawem celu zbierania i pierwotnego przechowywania danych nie może mieć, na zasadzie  efektu domina, automatycznego wpływu na przestrzeganie zasady ograniczenia celu przez inną czynność dalszego przetwarzania, niezależnie od tego, że dotyczy ona tych samych danych. Jak podnosi rząd węgierski, nie można uznać, że administrator danych ma możliwość przechowywania danych osobowych w wielu zbiorach danych i bez ograniczeń, jeśli tylko pierwotnie gromadził je i przetwarzał zgodnie z prawem.

35.      Należy zatem zbadać kwestię zgodności między celami gromadzenia danych a ich dalszym przetwarzaniem, czego wymaga art. 5 ust. 1 lit. b) RODO. Jednakże logiczne jest, że kwestia ta pojawia się tylko w sytuacji, gdy przetwarzanie to dokonywane jest do celów innych niż pierwotnie określone.

36.      I tak, zgodnie z motywem 50 tego rozporządzenia, przetwarzanie danych osobowych „do celów innych” niż cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone tylko wtedy, gdy jest zgodne z celami tego  zbierania. Brzmienie art. 6 ust. 4 wspomnianego rozporządzenia potwierdza również powyższy wniosek. Przepis ten ustanawia niewyczerpującą listę kryteriów pozwalających w danej sytuacji ocenić, czy przetwarzanie „w innym celu” jest zgodne z celem, w którym dane osobowe zostały pierwotnie  zebrane. W związku z tym stwierdzenie tożsamości celów gromadzenia danych i celów ich późniejszego przetwarzania, takiej jak podnoszona przez spółkę Digi, uczyniłoby bezprzedmiotowym pytanie o zgodność z prawem i pozwalałoby na stwierdzenie zgodności z prawem tego przetwarzania w świetle zasady ograniczenia celu(20).
a)      W przedmiocie celów przetwarzania

37.      Z akt sprawy przedłożonych Trybunałowi, a w szczególności z oświadczeń spółki Digi wynika, że w następstwie usterki technicznej serwera, która doprowadziła do braku dostępu do pierwotnej bazy danych, przedsiębiorstwo to umieściło kopię danych części abonentów w dodatkowej wewnętrznej bazie,  nazwanej „test”, w celu zaradzenia incydentowi technicznemu i zapewnienia dostępu do danych zgodnie z obowiązkiem nałożonym na administratora danych w art. 5 ust. 1 lit. f) i opisanym szczegółowo w art. 32 RODO(21). Spółka Digi twierdzi, że ta czynność przetwarzania przyczyniła się również w ten sposób do realizacji celu zbierania  danych, czyli świadczenia usługi przewidzianej w umowie. W tych okolicznościach kwestionowane  przechowywanie nie jest związane z odrębnym celem, co wyklucza jakiekolwiek naruszenie art. 5 ust. 1 lit. b) tego rozporządzenia.

38.      Choć oczywiście to do sądu odsyłającego należy zbadanie zgodności z prawem ww. operacji przetwarzania, w szczególności w świetle wymogów ustanowionych w art. 5 RODO i wszystkich okoliczności charakteryzujących dany przypadek, to można mu w tym celu udzielić kilku wskazówek.

39.      W pierwszej kolejności  pragnę zauważyć, że spółka Digi wskazuje zasadniczo na istnienie podwójnego celu kwestionowanego  przetwarzania, w tym znaczeniu, że pierwszy szczególny cel, w postaci naprawienia usterki serwera i zabezpieczenia dostępności danych abonentów, sam wpisywał się w ramy drugiego ogólnego celu związanego z wykonaniem umów abonenckich, który pokrywa się z celem pierwotnego zbierania  danych.

40.      W praktyce jest całkiem zrozumiałe, że dane osobowe mogą być zbierane  lub przetwarzane dalej w wielu celach, co RODO przewiduje i wyraźnie dopuszcza, o czym świadczy brzmienie art. 5 ust. 1 lit. b) i art. 6 ust. 1 lit. a) oraz motywy 32 i 50 tego rozporządzenia. Podejście to odpowiada potrzebie pragmatyzmu i elastyczności wymaganej przez kompleksowe i mało liniowe przetwarzanie danych osobowych w epoce cyfrowej. Powinno ono jednak brać pod uwagę wymóg precyzyjności celu, który jest kluczowym elementem przy wdrażaniu europejskiego systemu ochrony danych osobowych.

41.      Wystarczający stopień precyzyjności celu stanowi zatem podstawową gwarancję w zakresie przewidywalności i pewności prawa, w tym znaczeniu, że przyczynia się on do prawidłowego zrozumienia przez osobę, której dane dotyczą, możliwego wykorzystania jej danych i pozwala jej na podejmowanie decyzji z pełną znajomością rzeczy. Ta przewidywalność ma zasadnicze znaczenie przy ocenie zgodności pomiędzy celem zbierania danych a ich dalszym przetwarzaniem, zmniejszając w ten sposób ryzyko rozbieżności między uzasadnionymi oczekiwaniami osób, których dane dotyczą, co do możliwego wykorzystania ich danych w przyszłości a operacjami dokonywanymi przez administratora danych. Określenie celu jest również wymagane dla stosowania innych wymogów dotyczących jakości danych, w tym stosownego charakteru, adekwatności, proporcjonalności i prawidłowości zebranych  danych, a także wymogów dotyczących okresu ich przechowywania zgodnie z art. 5 ust. 1 lit. c), d) i e) RODO.

42.      Ten wymóg precyzyjności obowiązuje zatem, jak podkreślono w opinii 3/2013 grupy roboczej „Artykuł 29”(22), dla każdej operacji przetwarzania, a nie tylko na wstępnym etapie zbierania danych. Warto zauważyć, że w przypadku przetwarzania danych w oparciu o zgodę osoby, której dane dotyczą, jest ono zgodne z prawem na podstawie brzmienia art. 6 ust. 1 lit. a) RODO jedynie wówczas, gdy osoba ta wyraziła zgodę na to przetwarzanie  względem jednego lub większej liczby „określonych” celów.

43.      W tych okolicznościach o ile dane przetwarzanie może realizować dwa cele, o tyle każdy z tych celów musi mieć precyzyjny charakter i wykazywać obiektywny i wystarczająco ścisły związek z daną operacją przetwarzania.

44.      W drugiej kolejności należy przywołać szczególny kontekst, w jakim należy dokonać oceny celu lub celów dalszego rozpatrywanego przetwarzania danych.

45.      Zgodnie z motywami 60 i 61 RODO zasady rzetelnego i przejrzystego przetwarzania wymagają, by osoba, której dane dotyczą, była informowana o prowadzeniu operacji przetwarzania i o jej celach, przy czym informacje o przetwarzaniu jej danych osobowych należy jej przekazać w momencie zbierania od niej danych. W tym względzie w art. 13 ust. 1 lit. c) tego rozporządzenia przewidziano, że jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania rozpatrywanych danych wskazuje jej cele przetwarzania, do którego będą wykorzystywane te dane, oraz podstawę prawną przetwarzania.

46.      Jednakże jakkolwiek przewidujący i zapobiegliwy nie byłby administrator danych, może on nie być w stanie w fazie projektowania przetwarzania przewidzieć i określić charakteru i dokładnego zakresu wszystkich operacji stanowiących łańcuch przetwarzania danych. Podobnie niniejsza sprawa jest doskonałym przykładem problematyki związanej z zarządzaniem usterką techniczną, z definicji nieprzewidzianą, oraz późniejszego stosowania pewnego rodzaju przetwarzania danych w celu, który nie został pierwotnie określony.

47.      W ramach oceny, jak w niniejszej sprawie, zgodności z prawem takiego przetwarzania przez organ nadzorczy, a następnie przez sąd rozpoznający skargę na decyzję tego organu, cel ten jest przedmiotem kontroli a posteriori w świetle wskazówek dostarczonych przez administratora danych w toku postępowania administracyjnego. To ten ostatni, będący projektantem danej operacji przetwarzania, powinien, zgodnie z zasadą odpowiedzialności przewidzianą w art. 5 ust. 2 RODO, wykazać rzeczywisty charakter podnoszonego celu oraz, w stosownym przypadku, zgodność przetwarzania z celem zbierania  danych(23).

48.      W tym względzie można w ramach weryfikacji tego celu wziąć pod uwagę dwa konkretne i obiektywne elementy. Po pierwsze, w art. 13 ust. 3 RODO przewidziano, że w przypadku gdy dane osobowe dotyczące danej osoby są zbierane od tej osoby, a administrator danych ma zamiar dokonać dalszego przetwarzania w celu innym niż cel, w którym zostały zebrane, administrator ten przekazuje uprzednio osobie, której dane dotyczą, informacje dotyczące tego innego celu(24) i wszelkie inne istotne informacje, o których mowa w ust. 2 tego przepisu. Po drugie, w art. 30 ust. 1 RODO na każdego administratora danych nałożono obowiązek prowadzenia rejestru, w formie pisemnej, w tym w formie elektronicznej, czynności przetwarzania, za które odpowiada, i udostępniania go na żądanie organu nadzorczego. Rejestr ten zawiera różne informacje, w tym informacje dotyczące celów przetwarzania.

49.      W niniejszym przypadku wydaje się bezsporne, że spółka Digi nie poinformowała żadnego z zainteresowanych abonentów o swoim zamiarze skopiowania ich danych i przechowywania ich na wewnętrznym nośniku przeznaczonym do wykonywania testów i poprawienia błędów, ponieważ ta operacja przetwarzania została uznana przez tego operatora za pozbawioną celu innego niż cel, w którym dane zostały  zebrane, i w związku z tym za nieobjętą zakresem stosowania art. 13 ust. 3 RODO(25). Akta sprawy przedłożone Trybunałowi nie pozwalają ponadto na ustalenie, czy spółka Digi jest w stanie skorzystać ze zwolnienia z przewidzianego w art. 30 ust. 5 tego rozporządzenia obowiązku prowadzenia rejestru(26).

50.      Pragnę w każdym razie zauważyć, że na rozprawie spółka Digi wyraźnie wskazała, iż usterka techniczna, która wystąpiła w 2018 r., nie doprowadziła do przerwania świadczenia usługi przewidzianej w umowie, ponieważ kwestionowane przechowywanie zostało dokonane wyłącznie z uwagi na ryzyko takiego przerwania. Te deklaracje należy powiązać z obiektywnymi ustaleniami materialnymi dotyczącymi wyboru nazwy bazy danych – „test”, z faktem, że ta baza danych nie zawierała danych wszystkich abonentów, lecz jedynie jednej trzeciej tych abonentów, oraz z okolicznością, że rzeczona baza,  zapomniana przez spółkę Digi przez  18 miesięcy od zażegnania pierwotnego incydentu technicznego, została natychmiast usunięta po ataku hakerskim we wrześniu 2019 r., który zagrażał bezpieczeństwu danych.

51.      W tych okolicznościach wydaje się możliwe przyjęcie, że kwestionowane przetwarzanie służyło jednemu, konkretnemu, określonemu celowi, polegającemu na tymczasowym zabezpieczeniu części danych abonentów w związku z naprawą incydentu technicznego mającego wpływ na funkcjonowanie serwera, czyli, moim zdaniem, celowi, który różni się od celu zbierania  danych.

52.      Komisja i spółka Digi twierdzą natomiast, że takie przetwarzanie, mające na celu przestrzeganie nałożonego na administratora danych w art. 5 ust. 1 lit. f) RODO i opisanego szczegółowo w art. 32 RODO obowiązku zapewnienia bezpieczeństwa, nie może być uważane za realizujące nowy i odrębny cel, gdyż w przeciwnym razie doszłoby do naruszenia skuteczności (effet utile) tego aktu i do informowania osób, których dane dotyczą, pozbawionego praktycznego znaczenia.

53.      To abstrakcyjne i systemowe podejście wydaje się sprzeczne z wymogiem oceny zgodności z prawem każdej operacji przetwarzania z uwzględnieniem wszystkich istotnych okoliczności danej sprawy. To właśnie ono w rzeczywistości prowadzi do pozbawienia skuteczności (effet utile) obowiązku informowania osób, których dane dotyczą, przewidzianego w art. 13 ust. 3 RODO, dotyczącego informacji, które administrator danych musi przekazać tym osobom w celu zapewnienia im rzetelnego przetwarzania danych(27). Obowiązek ten ma charakter nadrzędny, w sytuacji gdy, jak w niniejszej sprawie, przetwarzanie odbywa się w ramach stosunku umownego i znajduje podstawę w art. 6 ust. 1 lit. b) tego rozporządzenia, w myśl którego jest ono  niezbędne do wykonania umowy bez konieczności uzyskania zgody stron umowy. Wreszcie wspomniane podejście podważa rację bytu art. 5 ust. 1 lit. b) RODO, a mianowicie, tego że dalsze przetwarzanie w celu odmiennym niż cel, w którym dane zostały zebrane, niekoniecznie jest niezgodne z prawem, ponieważ sama jego zgodność z tym ostatnim celem jest wystarczająca do spełnienia wymogów wyżej wspomnianego przepisu.
b)      W przedmiocie zgodności przetwarzania

54.      Artykuł 5 ust. 1 lit. b) RODO nie zawiera żadnej wskazówki co do warunków, w jakich dalsze przetwarzanie odpowiadające celowi odmiennemu od celu pierwotnego zbierania  danych może zostać uznane za zgodne z tym ostatnim celem. W tym względzie należy odwołać się do art. 6 ust. 4 RODO w związku z motywem 50 tego aktu, którego treść odzwierciedla związek między zasadą ograniczenia celu a podstawą prawną danego przetwarzania.

55.      Przepis ten wprowadza zatem rozróżnienie w odniesieniu do wymogu zgodności w zależności od tego, czy przetwarzanie danych w celu innym niż cel, w którym dane zostały  zebrane, odbywa się na podstawie zgody osoby, której dane dotyczą, lub prawa Unii bądź prawa państwa członkowskiego, stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1 RODO, czy też nie.

56.      W przypadku odpowiedzi twierdzącej administrator danych jest upoważniony, zgodnie z motywem 50 akapit drugi RODO, do dalszego przetwarzania danych osobowych bez względu na zgodność celów(28). To odstępstwo od wymogu zgodności jest w istocie uzasadnione istnieniem innych przepisów chroniących osoby, których dane dotyczą, a w szczególności przepisów dotyczących informowania tych osób o innych celach i prawie do sprzeciwienia się przetwarzaniu(29).

57.      W przypadku odpowiedzi przeczącej – a ta sytuacja ma miejsce w niniejszej sprawie – zgodnie z brzmieniem art. 6 ust. 4 RODO:
„[…]  administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:
a)      wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania;
b)      kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem;
c)      charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10;
d)      ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą;
e)      istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji”.

58.      Wobec braku jakiejkolwiek formalnej wskazówki ze strony spółki Digi w momencie zbierania danych co do planowanego dalszego przetwarzania i jego celu należy poprzestać na podejściu materialnoprawnym, które wydaje się prowadzić do stwierdzenia zgodności przetwarzania.

59.      W tym względzie niezaprzeczalnie istnieje związek pomiędzy celem pierwotnego zbierania  danych, a mianowicie wykonaniem umowy abonamentu internetowego i telewizyjnego, a przetwarzaniem mającym na celu zabezpieczenie tych danych w dodatkowej wewnętrznej bazie danych i przeprowadzenie bezpiecznych testów, aby  zaradzić usterce technicznej mogącej negatywnie wpłynąć na świadczenie  usługi przewidzianej w umowie. Cele te, które, jak wcześniej wskazałem,  nie pokrywają się ze sobą, są logicznie powiązane.

60.      Należy podkreślić, że przetwarzanie to nie odbiega od uzasadnionych oczekiwań abonentów co do dalszego wykorzystywania ich danych. Dodatkowe przechowywanie danych na nośniku wewnętrznym uzasadnione koniecznością naprawienia usterki technicznej mającej wpływ na dostępność danych pierwotnej bazy nie może bowiem zostać uznane za zaskakujące lub nieprawdopodobne. Ponadto dane te były nadal przetwarzane przez tego samego administratora danych i nie zostały ujawnione osobom trzecim, co przekłada się a priori na brak negatywnych skutków. Okoliczność, że w ramach ataku hakerskiego, którego spółka Digi padła ofiarą, jego autor mógł uzyskać dostęp do danych znajdujących się na tym nośniku, nie pozwala moim zdaniem na wsteczne  wyciągnięcie wniosku o niezgodności rozpatrywanego przetwarzania.
3.      W przedmiocie zasady ograniczenia przechowywania

61.      Zgodnie z art. 5 ust. 1 lit. e) RODO dane muszą być przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą(30), przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub  historycznych lub do celów statystycznych na mocy art. 89 ust. 1 tego rozporządzenia, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy wspomnianego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą.

62.      Jak już wspomniano, zasada ograniczenia przechowywania stanowi wyraz zasady proporcjonalności, podobnie jak zasada „minimalizacji danych”, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane(31). W ramach zasady ograniczenia przechowywania kwestia konieczności przetwarzania, rozważana w aspekcie czasowym, towarzyszy kwestii dalszego istnienia jego celu.

63.      Należy również przypomnieć, że przestrzeganie wymogu proporcjonalności oznacza, iż odstępstwa od ochrony danych osobowych i jej ograniczenia muszą ograniczać się do tego, co ściśle niezbędne(32).  Trybunał wyraźnie wskazał, że art. 5 ust. 1 lit. e) RODO ma na celu ochronę osób, których dane dotyczą(33).

64.      Podobnie równie wyraźnie motyw 39 RODO stanowi, że okres przechowywania danych powinien być ograniczony „do ścisłego minimum” i że w tym celu administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. Artykuł 13 ust. 2 lit. a) RODO stanowi, że administrator danych jest zobowiązany do podania osobie, której dane dotyczą, podczas pozyskiwania danych osobowych, informacji uzupełniających względem tych, o których mowa w ust. 1 tego artykułu, niezbędnych do zapewnienia rzetelności i przejrzystości przetwarzania, w tym dotyczących okresu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe – kryteriów ustalania tego okresu(34).

65.      W tym kontekście należy ustalić, w świetle wszystkich okoliczności charakteryzujących dany przypadek(35), w którym momencie cele przechowywania kopii danych części abonentów w dodatkowej wewnętrznej bazie mogły w danym wypadku zostać uznane za naruszenie, pozbawiając tym samym to przetwarzanie racji bytu i zmuszając spółkę Digi do usunięcia danych. Oczywiste jest, że zgodnie z zasadą odpowiedzialności przewidzianą w art. 5 ust. 2 RODO administrator danych jest zobowiązany przedstawić dowód zgodności z prawem przetwarzania danych w świetle zasady ograniczenia przechowywania, podobnie jak w odniesieniu do zasady ograniczenia celu.

66.      W niniejszym przypadku, biorąc pod uwagę fakt, że kwestionowane przechowywanie służyło celowi zabezpieczenia danych, a tym samym przyczyniało się do realizacji celu wykonania umowy abonenckiej, spółka Digi twierdzi, iż okres przechowywania danych zawartych w bazie testowej powinien pokrywać się z okresem wykonywania jej zobowiązań umownych, co wyklucza jakiekolwiek naruszenie art. 5 ust. 1 lit. e) RODO.

67.      Co się tyczy określenia celu lub celów, odwołam się do wszystkich ustaleń i ocen dokonanych w ramach odpowiedzi udzielonej na pytanie o poszanowanie zasady ograniczenia celu, z których wynika, że nie można uznać, iż rozpatrywane przetwarzanie miało podwójny cel, obejmujący wykonanie umów abonenckich(36).

68.      W każdym  wypadku, niezależnie od charakteru przyjętego celu lub celów, przetwarzanie danych w formie przechowywania w dodatkowym zbiorze wewnętrznym powinno jednak ograniczyć się w czasie do tego, co ściśle niezbędne. Innymi słowy – po usunięciu pierwotnych zakłóceń funkcjonowania okoliczność uzasadniająca operację przechowywania i jej utrzymanie ustała. Bezpośredni pierwotny cel zabezpieczenia danych w związku z naprawą incydentu technicznego, rozpatrywany odrębnie lub nawet w połączeniu z pośrednim i akcesoryjnym celem wykonania umowy abonenckiej, nie mógłby już w tych okolicznościach obejmować dalszego przetwarzania.

69.      Należy stwierdzić, że spółka Digi w sposób jednoznaczny wskazała, iż testowa baza danych miała na celu zapewnienie dostępu do danych abonentów „do czasu naprawienia błędu” i że nie usunęła ona tej bazy przez niedopatrzenie, podczas gdy  naprawa błędów już jej istnienia nie uzasadniała(37), co oznacza, że kwestionowane  przetwarzanie nie było już użyteczne, a zatem było pozbawione celu. Czy można uznać, że wewnętrzna baza danych, zapomniana – jak przyznaje administrator danych – przez półtora roku, może jeszcze odpowiadać rzeczywistemu celowi?  Wydaje się, że odpowiedź musi być przecząca.
V.      Wnioski

70.      W świetle powyższych rozważań proponuję, aby Trybunał udzielił Fővárosi Törvényszék (sądowi dla miasta stołecznego Budapeszt, Węgry) następującej odpowiedzi:
1)      Artykuł 5 ust. 1 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) należy interpretować w ten sposób, że wskazana w nim zasada nie stoi na przeszkodzie przechowywaniu danych osobowych, zebranych i przechowywanych zgodnie z prawem, w dodatkowej wewnętrznej bazie danych, o ile przetwarzanie to zmierza do tych samych celów co ich  zbieranie, a jeżeli nie, to jest z tymi celami  zgodne, czego wykazanie należy do administratora danych, również w przypadku gdy przetwarzanie stanowi  wypełnienie przez administratora obowiązku zapewnienia odpowiedniego bezpieczeństwa danych osobowych przewidzianego w art. 5 ust. 1 lit. f) wspomnianego rozporządzenia.
Jeżeli wspomniane przetwarzanie w celu innym niż ten, w którym dane zostały  zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, lub aktu ustawodawczego Unii lub państwa członkowskiego, o których mowa w art. 23 ust. 1 rozporządzenia 2016/679, jego zgodność należy ustalić w szczególności w świetle kryteriów określonych w art. 6 ust. 4 tego rozporządzenia.
2)       Artykuł 5 ust. 1 lit. e) rozporządzenia 2016/679 należy interpretować w ten sposób, że wskazana w nim zasada stoi na przeszkodzie przechowywaniu danych w formie umożliwiającej identyfikację osób, których dane dotyczą, zebranych i przechowywanych zgodnie z prawem, w dodatkowej wewnętrznej bazie służącej naprawieniu usterki technicznej i tymczasowemu zabezpieczeniu tych danych dłużej niż przez okres niezbędny do realizacji tego celu, a zatem już po usunięciu tego incydentu, również wtedy, gdy wspomniany cel, bezpośredni i pierwotny, można powiązać z pośrednim i akcesoryjnym celem świadczenia usługi przewidzianej w umowie.

1      Język oryginału: francuski.

2      Rozporządzenie Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowania: Dz.U. 2021, L 74, s. 35; Dz.U. 2018, L 127, s. 2; zwane dalej „RODO”).

3      Wyrok z dnia 16 lipca 2020 r., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, pkt 73, 74).

4      Dyrektywa Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. 2002, L 201, s. 37).

5      Wyrok z dnia 6 października 2020 r., Privacy International (C‑623/17, EU:C:2020:790, pkt 34, 36).

6      Dyrektywa Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31).

7      Należy przypomnieć, że ze względu na to, iż RODO uchyliło i zastąpiło dyrektywę 95/46, a właściwe przepisy tego rozporządzenia mają w istocie zakres identyczny jak właściwe przepisy tej dyrektywy, orzecznictwo Trybunału dotyczące wspomnianej dyrektywy znajduje również co do zasady zastosowanie w odniesieniu do tego rozporządzenia (wyrok z dnia 17 czerwca 2021 r., M.I.C.M., C‑597/19, EU:C:2021:492, pkt 107).

8      Zobacz wyrok z dnia 11 listopada 2020 r., Orange Romania (C‑61/19, EU:C:2020:901), dotyczący wyłącznego zastosowania przepisów dyrektywy 95/46 i RODO w sprawie dotyczącej zgody klientów spółki Orange România, dostawcy usług telekomunikacji ruchomej na rynku rumuńskim, w przedmiocie zbierania i przechowywania kopii ich dokumentów tożsamości.

9      Z pkt 2 uwag Komisji wynika, że dane te obejmowały następujące informacje: nazwisko, miejsce i datę urodzenia, adres, numer dowodu tożsamości, czasami numer pesel, adres e‑mail, numery telefonu stacjonarnego i komórkowego zainteresowanych osób.

10      Wyrok z dnia 6 października 2020 r., La Quadrature du Net i in. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 208).

11      Zobacz analogicznie wyrok z dnia 13 maja 2014 r., Google Spain i Google (C‑131/12, EU:C:2014:317, pkt 72).

12      Autonomiczny charakter obowiązków ciążących na administratorze danych określonych w art. 5 RODO nie wyklucza istnienia między nimi związku, który w niniejszym przypadku stanowi pojęcie celów. Weryfikacja charakteru i celów czynności przetwarzania ma zasadnicze znaczenie dla oceny przestrzegania zasad ustanowionych w tym przepisie, a w szczególności zasad ograniczenia celu i przechowywania danych, których dotyczy spór w postępowaniu głównym.

13      Wyrok z dnia 22 kwietnia 2021 r., Profi Credit Slovakia (C‑485/19, EU:C:2021:313, pkt 50).

14      Dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub  historycznych lub do celów statystycznych należy uznać za zgodną z prawem operację przetwarzania, która jest zgodna z pierwotnymi celami na podstawie brzmienia art. 5 ust. 1 lit. b) RODO,  ale która to sytuacja nie odpowiada okolicznościom sprawy rozpatrywanej w postępowaniu głównym.

15      Zobacz analogicznie wyrok z dnia 13 maja 2014 r., Google Spain i Google (C‑131/12, EU:C:2014:317, pkt 93).

16      Zobacz podobnie wyroki: z dnia 7 maja 2009 r., Rijkeboer (C‑553/07, EU:C:2009:293, pkt 33); z dnia 13 maja 2014 r., Google Spain i Google (C‑131/12, EU:C:2014:317, pkt 92).

17      Zobacz podobnie wyrok z dnia 7 maja 2009 r., Rijkeboer (C‑553/07, EU:C:2009:293, pkt 33).

18      W świetle charakteru tych operacji przetwarzania wydaje się, że art. 6 ust. 1 lit. a) i b) RODO stanowi właściwą podstawę prawną, która zresztą nie jest przedmiotem żadnej debaty w niniejszym przypadku.

19      Zobacz analogicznie wyrok z dnia 20 maja 2003 r., Österreichischer Rundfunk i in. (C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, pkt 40).

20      Operacja zbierania danych osobowych klientów i przechowywanie tych danych w pierwotnej bazie danych służy jednocześnie temu samemu celowi, a mianowicie świadczeniu usługi przewidzianej w umowie.

21      Zobacz pkt 13 uwag spółki Digi.

22      Niezależny organ doradczy ustanowiony na mocy art. 29 dyrektywy 95/46 i zastąpiony od czasu przyjęcia RODO przez Europejski Komitet ds. Ochrony Danych.

23      Zobacz analogicznie wyrok z dnia 11 listopada 2020 r., Orange Romania (C‑61/19, EU:C:2020:901, pkt 51, 52).

24      Treść art. 13 ust. 3 RODO potwierdza podejście, zgodnie z którym wymóg określoności celu ma zastosowanie nie tylko na etapie zbierania danych, lecz dotyczy każdej operacji przetwarzania.

25      Przepis ten odzwierciedla elastyczność zarządzania przyznaną administratorowi danych, od którego wyłącznej oceny zależy wykonanie obowiązku poinformowania osób, których dane dotyczą. Uprawnienie to wymaga jednocześnie dokonywania rygorystycznej weryfikacji celów przetwarzania przez organ nadzorczy, co ma zasadnicze znaczenie dla sprawdzenia zgodności z prawem dalszego przetwarzania, a w szczególności przestrzegania wymogu zgodności.

26      Zakres tego obowiązku jest bowiem ograniczony przez zwolnienie na rzecz przedsiębiorstw lub podmiotów zatrudniających mniej niż 250 osób, chyba że przetwarzanie, którego dokonują, może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 RODO, lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych, o czym mowa w art. 10 tego aktu.

27      Wyrok z dnia 11 listopada 2020 r., Orange Romania (C‑61/19, EU:C:2020:901, pkt 48). Z zainteresowaniem odnotowałem, że przewidziane w art. 14 ust. 5 lit. b) RODO zwolnienie z obowiązku przekazania informacji ciążącego na administratorze danych, jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą, w przypadku gdy udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, nie znalazło zastosowania do sytuacji uregulowanych w art. 13 tego rozporządzenia.

28      Należy zauważyć, że do przetwarzania zwolnionego z wymogu zgodności nie zalicza się przetwarzania na podstawie art. 6 ust. 1 lit. c) RODO dotyczącego przetwarzania niezbędnego do wypełnienia obowiązku prawnego ciążącego na  administratorze danych oraz w szczególności przetwarzania przewidzianego w art. 5 ust. 1 lit. f) tego rozporządzenia dotyczącego zapewnienia odpowiedniego bezpieczeństwa danych.

29      Przypomnijmy, że zgodnie z art. 6 ust. 1 lit. a) RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych „w jednym lub większej liczbie określonych celów”.

30      Warunek ten nie jest przedmiotem rozważań w niniejszej sprawie.

31      Zobacz podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 98.

32      Wyrok z dnia 6 października 2020 r., La Quadrature du Net i in. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 210).

33      Zobacz analogicznie wyrok z dnia 7 maja 2009 r., Rijkeboer (C‑553/07, EU:C:2009:293, pkt 35).

34      Z uwagi na okoliczności, w jakich zostało przeprowadzone kwestionowane przetwarzanie, przepis ten nie został zastosowany w niniejszej sprawie.

35      Wyrok z dnia 13 maja 2014 r., Google Spain i Google (C‑131/12, EU:C:2014:317, pkt 94).

36      Pragnę jedynie przypomnieć, że stwierdzenie usunięcia testowej bazy danych bezpośrednio po ataku „uczciwego” hakera, którego ofiarą padła spółka Digi, niezależnie od kontynuowania stosunków umownych z abonentami, których dane dotyczą, zdecydowanie przeczy twierdzeniu o utrzymywaniu tej bazy uzasadnionym wykonaniem umów abonenckich.

37      Zobacz w szczególności pkt 22 uwag spółki Digi.