CELEX: 62021CC0077
Language: bg
Date: 2022-03-31 00:00:00
Title: Заключение на генералния адвокат P. Pikamäe, представено на 31 март 2022 г.###

Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
P. PIKAMÄE
представено на 31 март 2022 година(1)

Дело C‑77/21

Digi Távközlési és Szolgáltató Kft.

срещу

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Преюдициално запитване, отправено от Fővárosi Törvényszék (Градски съд Будапеща, Унгария)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 5, параграф 1, букви б) и д) — Принцип на ограничение на целите — Принцип на ограничение на съхранението — Лични данни на клиенти, законосъобразно събрани и съхранявани — Създаване на друга специална вътрешна база данни вследствие на техническа неизправност — Последваща проверка на целите на обработването — Двойна цел — Липса на идентичност на целите на обработването с целите на събирането на данните — Съвместимост на обработването с целите на събирането — Член 6, параграф 4 — Непремахване на базата данни след отстраняване на техническата неизправност — Осъществяване на целите на обработването“

1.        При какви условия доставчик на услуги за достъп до интернет и на телевизия може да съхранява на допълнителен вътрешен носител личните данни на своите клиенти, законосъобразно събрани и съхранявани, без изричното им съгласие, но с цел коригиране на техническа неизправност?

2.        Такъв е един от поставените по настоящото дело въпроси, който ще позволи на Съда да допълни все по-богатата си практика относно Регламент (ЕС) 2016/679(2), по-специално що се отнася до принципите на ограничение на целите и на съхранението, закрепени в член 5, параграф 1, букви б) и д) от този акт.
I.      Правна уредба

3.        За настоящото дело са релевантни членове 4—6, 13 и 32 от ОРЗД.
II.    Спорът в главното производство и преюдициалните въпроси

4.        Digi Távközlési és Szolgáltató Kft. (наричано по-нататък „Digi“) е един от основните доставчици на интернет услуги и на телевизия в Унгария.

5.        През април 2018 г. вследствие на техническа неизправност, която засяга функционирането на сървър, Digi създава база данни, наречена „тестова база данни“, в която копира личните данни на приблизително една трета от неговите частни клиенти. 

6.        На 23 септември 2019 г. Digi разбира, че „етичен хакер“ е получил достъп до личните данни на приблизително 322 000 лица. Самият хакер уведомява писмено предприятието за атаката с електронно съобщение от 21 септември 2019 г., като за демонстрация взема един от записите в тестовата база данни. Digi коригира грешката и сключва споразумение за поверителност с етичния хакер и му предоставя възнаграждение.

7.        След като на 25 септември 2019 г. премахва тестовата база данни Digi уведомява Nemzeti Adatvédelmi és Információszabadság Hatóság (Национален орган за защита на данните и свободата на информация, наричан по-нататък „националният орган“), след което последният започва процедура по контрол.

8.        С решение от 18 май 2020 г. националният орган приема по‑специално, от една страна, че Digi е нарушило член 5, параграф 1, букви б) и д) от ОРЗД, като след извършването на необходимите тестове и след коригирането на грешките не е премахнало тестовата база данни, така че в тестовата база данни са били съхранени голямо количество лични данни през период от близо 18 месеца без никаква цел и в регистър, позволяващ идентифицирането на субектите на данни, както и че непремахването на тази база данни е допринесло за нарушаването на сигурността на личните данни. От друга страна, националният орган приема, че Digi е нарушило член 32, параграфи 1 и 2 от ОРЗД. При тези условия националният орган налага на Digi имуществена санкция в размер на 100 000 000 HUF  (унгарски форинта) (около 270 000 EUR).

9.        Digi оспорва законосъобразността на това решение пред запитващата юрисдикция.

10.      Тази юрисдикция отбелязва, че копираните личните данни от Digi в тестовата база данни са били събрани за целите на сключването на абонаментни договори и че законосъобразността на събирането на данни не е поставена под въпрос от националния орган. Запитващата юрисдикция иска обаче да установи дали при копирането в друга база данни на данни, които са събрани с определена цел, се променя целта на събирането и на обработването на данните. Тя добавя, че следва да се определи дали създаването на тестова база данни и по-нататъшното обработване на данните за клиенти по този начин са съвместими с целта на събирането на данните. В това отношение принципът на ограничение на целите не дава ясни насоки по въпроса кои са вътрешните системи на администратора, в които същият има право да обработва законосъобразно събрани данни, нито по въпроса дали този администратор може да копира такива данни в тестова база данни, без да се променя целта на събирането на данни.

11.      Ако създаването на тестова база данни е несъвместимо с целта на събирането, запитващата юрисдикция поставя въпроса дали, доколкото целта на обработването на данните за клиенти в друга база данни не е била коригирането на грешки, а сключването на договори, необходимият период на съхранение се определя от периода, който е необходим за коригирането на грешките, или по-скоро от времето, което е необходимо за изпълнението на договорните задължения.

12.      При тези обстоятелства Fővárosi Törvényszék (Градски съд Будапеща, Унгария) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1)      Трябва ли понятието „ограничение на целите“ по член 5, параграф 1, буква б) от [ОРЗД] […] да се тълкува в смисъл, че паралелното съхранение от страна на администратора в друга база данни на лични данни, които иначе са били събрани и съхранени с ограничена легитимна цел е в съответствие с посоченото понятие, или напротив, тази ограничена легитимна цел на събирането на данни вече не важи по отношение на паралелната база данни?
2)      Ако на първия преюдициален въпрос се отговори в смисъл, че паралелното съхранение на данни само по себе си е несъвместимо с принципа на „ограничение на целите“, съвместимо ли е с принципа на „ограничение на съхранението“, закрепен в член 5, параграф 1, буква д) от [ОРЗД], паралелното съхранение от страна на администратора в друга база данни на лични данни, които иначе са били събрани и съхранени с ограничена легитимна цел?“.
III. Производството пред Съда

13.      Писмени становища представят жалбоподателят и ответникът в главното производство, унгарското, чешкото и португалското правителство, както и Европейската комисия. В съдебното заседание, проведено на 17 януари 2022 г., са изслушани и устните становища на жалбоподателя и на ответника в главното производство, на унгарското правителство и на Комисията.
IV.    Анализ

А.      По допустимостта 

14.      Националният орган и унгарското правителство изразяват съмнения относно допустимостта на преюдициалното запитване, тъй като поставените въпроси не отразяват фактите по главното производство и не са пряко релевантни за разрешаването на спора.

15.      Видно от постоянната съдебна практика, само националният съд, който е сезиран със спора и трябва да поеме отговорността за последващото му съдебно решаване, може да прецени — предвид особеностите на делото — както необходимостта от преюдициално решение, за да може да се произнесе, така и релевантността на въпросите, които поставя на Съда. Следователно, след като тези въпроси се отнасят до тълкуването или валидността на норма от правото на Съюза, Съдът по принцип е длъжен да се произнесе. Оттук следва, че поставените от националните юрисдикции въпроси се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само ако е видно, че исканото тълкуване няма никаква връзка с действителността или с предмета на спора в главното производство, ако проблемът е от хипотетично естество или още ако Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на посочените въпроси. В случая преюдициалното запитване съдържа достатъчно данни от фактическа и правна страна, за да се разбере обхватът на преюдициалните въпроси. Освен това и преди всичко нищо в преписката, с която разполага Съдът, не позволява да се приеме, че исканото тълкуване на правото на Съюза няма връзка с действителността или с предмета на спора в главното производство или е от хипотетично естество(3).

16.      В това отношение следва да се отбележи, че от запитващата юрисдикция се иска да отмени решение, с което на Digi в качеството му на администратор се налага имуществена санкция за твърдяно нарушение на принципите на ограничение на целите и на съхранението по член 5, параграф 1, букви б) и д) от ОРЗД, за който се отнася искането за тълкуване на тази юрисдикция. Следователно преюдициалното запитване трябва да се приеме за допустимо.
Б.      По правната уредба, предмет на анализ

17.      Налага се изводът, че преюдициалното запитване се отнася само до тълкуването на член 5 от ОРЗД в рамките на спор в главното производство относно законосъобразността на обработване на лични данни, извършено от Digi — един от основните доставчици на интернет и телевизионни услуги в Унгария, който следователно е оператор, който предоставя достъп до обществени съобщителни услуги в интернет.

18.      Следва обаче да се отбележи, че член 1, параграф 1 от Директива 2002/58/ЕО(4) гласи, че тази директива предвижда да се хармонизират националните разпоредби, необходими по-специално за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработването на лични данни в електронно съобщителния сектор. Освен това член 3 от Директива 2002/58 предвижда, че тя се прилага при обработването на лични данни във връзка с предоставянето на обществено достъпни електронни съобщителни услуги в обществени съобщителни мрежи в Съюза, включително обществени съобщителни мрежи, поддържащи събиране на данни и устройства за идентификация. Споменатата директива трябва следователно да се разглежда като уреждаща дейността на доставчиците на такива услуги(5).

19.      Съгласно член 1, параграф 2 Директива 2002/58 конкретизира и допълва Директива 95/46/ЕО(6) за целите, упоменати в посочения параграф 1, като следва да се отбележи, че съгласно член 94, параграф 2 от ОРЗД позоваванията в Директива 2002/58 на Директива 95/46 се считат за позовавания на този регламент(7). Съгласно съображение 10 от Директива 2002/58 в сектора на електронни комуникации се прилага Директива 95/46, по-специално по всички въпроси, засягащи защита на основни права и свободи, които не са обхванати специално от разпоредбите на Директива 2002/58, включително задълженията на администратора и правата на лицата(8).

20.      Видно от преюдициалното запитване, спорът в главното производство не се отнася до ползването на електронни съобщителни услуги от абонатите на Digi, а оттам и до защитата на поверителността на осъществените електронни комуникации и на свързаните с тях данни за трафик, уредени с Директива 2002/58, а е свързан с вътрешното функциониране на това предприятие. Безспорно е, че през 2018 г. и вследствие на техническа неизправност на сървъра, която води до недостъпност до първоначалната база данни за неговите абонати, Digi създава регистър с лични данни, наричан „тестов“, в който копира личните данни на част от своите клиенти(9). След като Digi отстранява грешките, които са в основата на проблема във функционирането, данните продължават да се съхраняват в допълнителната база данни до септември 2019 г. — когато хакерска атака засяга тази база данни. По този начин Digi извършва „обработване на лични данни“, на което е „администратор“ по смисъла на определенията, съдържащи се в член 4, параграфи 2 и 7 от ОРЗД. Освен това националният орган налага санкции на Digi именно в това му качество за това, че във връзка със случая не е изпълнило задълженията си, произтичащи по-специално от член 5, параграф 1, букви б) и в) от ОРЗД.

21.      В това отношение следва да се отбележи, че при спазване на допустимите съгласно член 23 от ОРЗД изключения всяко обработване на лични данни трябва да зачита принципите, уреждащи обработването на личните данни, както и правата на субекта на данните, установени съответно в глави II и III от този регламент. По-конкретно всяко обработване на лични данни, от една страна, трябва да е в съответствие с принципите, прогласени в член 5 от посочения регламент, и от друга страна, да отговаря на изискванията за законосъобразност, изброени в член 6 от същия(10).

22.      Съгласно член 5 от ОРЗД администраторът следва да гарантира, че личните данни са „обработвани законосъобразно, добросъвестно и по прозрачен начин“ (буква a), че са „събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели“ (буква б), че са „подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се [събират и/или обработват допълнително]“ (буква в), че са „точни и при необходимост [са] поддържани в актуален вид“ (буква г), и накрая, че са „съхранявани във форма, която […] позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се [събират и/или обработват допълнително] личните данни“ (буква д), като обработването за исторически, статистически или научни цели е предмет на специални разпоредби. В този контекст посоченият администратор трябва да предприеме всички възможни разумни мерки, за да се гарантира, че данни, които не отговарят на изискванията на тази разпоредба, се изтриват или коригират(11).
В.      По обхвата на преюдициалното запитване

23.      Запитващата юрисдикция иска Съдът да даде указания относно тълкуването на принципите на ограничение на целите и на съхранението, закрепени съответно в член 5, параграф 1, букви б) и д) от ОРЗД, в резултат на което формулира два отделни преюдициални въпроса, свързани с тези разпоредби. Въпреки това вторият въпрос, отнасящ се до принципа на ограничение на съхранението на данни, е формулиран само под условие в хипотезата на несъвместимост на разглежданото обработване с принципа на ограничение на целите.

24.      Трябва да се подчертае обаче, че изискванията относно обработването на лични данни, предвидени в член 5 от ОРЗД, очевидно са кумулативни и автономни едно спрямо друго(12). Въпросът за зачитането на принципа на ограничение на съхранението от правна гледна точка е отделен от въпроса за принципа на ограничение на целите. В решението, което е предмет на главното производство, националният орган приема, че в основата на нарушението на посочените два различни принципа е съхраняването на данните в допълнителен вътрешен носител за съхранение.

25.      Въпреки че запитващата юрисдикция формално ограничава втория си въпрос поради неговата условност, това обстоятелство не е пречка Съдът да ѝ предостави всички насоки за тълкуване, които могат да бъдат полезни по делото в главното производство, като извлече от цялата информация, предоставена от запитващата юрисдикция, и по-специално от мотивите на акта за преюдициално запитване, разпоредбите от правото на Съюза, които изискват тълкуване предвид предмета на спора(13).
Г.      По законосъобразността на обработването с оглед на принципите на ограничение на целите и на съхранението

1.      Предварителни бележки

26.      Най-напред, считам за необходимо да разгледам съответния обхват на принципите, установени в член 5, параграф 1, букви б) и д) от ОРЗД, при това във връзка с понятието за съхранение, използвано в акта за преюдициално запитване и в писмените изявления на заинтересованите страни, с което се описва операцията по разглежданото обработване в две направления. Първото се отнася до самото действие по съхранение или запазване на данните, в случая съхраняването в допълнителна вътрешна база данни на копие от данните за една част от абонатите на Digi. При второто се предвижда съхраняване в смисъл на запазване във времето на тази база данни. При това положение възниква въпросът за продължителността на съхраняване на данните. В това отношение според мен посоченият въпрос за срока за съхранение не попада в обхвата на принципа на ограничение на целите, а само в обхвата на принципа на ограничение на съхранението.

27.      Принципът на ограничение на целите по член 5, параграф 1, буква б) от ОРЗД има два аспекта: личните данни трябва, от една страна, да се събират за „конкретни, изрично указани и легитимни“ цели, и от друга страна, да „не се обработват по-нататък по начин, несъвместим“ с тези цели. Този принцип е предназначен да очертае възможно най-ясно използването на личните данни, като гарантира баланс между спазването на основните права на неприкосновеност на личния живот и на защита на личните данни на субектите на данни и признаването на известна гъвкавост в полза на администратора при управлението на тези данни, изисквана от дигиталния начин на живот и свързаната с него непредвидимост.

28.      По отношение на втория аспект, който по специално е от значение за целите на настоящото производство, посоченият принцип цели да се определят границите, в които личните данни, събирани за конкретна цел, могат да бъдат използвани повторно. Съгласно член 5 параграф 1, буква б) от ОРЗД всяко обработване след първоначалното събиране на данни трябва да се счита за „по-нататъшно обработване“ и следователно трябва да отговаря на изискването за съвместимост, освен ако не е предвидено друго(14). Последното изискване отразява необходимостта от конкретна, логическа и достатъчно тясна връзка между целта на събирането на данните и по-нататъшното им обработване. С други думи, това обработване трябва да е свързано с първоначалната цел на събирането на данните или да не е в противоречие с тази цел, съдържанието му трябва да е съвместимо с основанието за събирането на данните, независимо от какъвто и да е въпрос за срока за съхранение.

29.      Строго погледнато, принципът на ограничение на целите не е израз на принципа на пропорционалност, за разлика от принципа на ограничение на съхранението, закрепен в член 5, параграф 1, буква д) от ОРЗД. Както уточнява Съдът, от изискванията, предвидени в този член следва, че дори обработване на данни, което първоначално е било законосъобразно, може с времето да стане несъвместимо с този регламент, когато данните вече не са необходими за целите, за които са събирани или обработвани. Такъв е по-специално случаят, когато е видно, че тези данни не са адекватни, че не са или вече не са релевантни или че са прекомерни по отношение на целите и на изтеклия срок(15).

30.      Следователно в рамките на принципа на ограничение на съхранението следва да се извърши преценка на пропорционалността на обработването на данни по отношение на неговата цел и на изтеклия срок. Съхраняването на данни за срок по-дълъг от необходимото, тоест за срок по-дълъг от необходимия за осъществяване на целите, за които са съхранявани, противоречи на този принцип(16). Данните трябва да се заличат, доколкото целите на обработването са осъществени(17). В този смисъл принципът на ограничение на съхранението отговаря на въпроса кога съхраняването на данните от Digi на допълнителен вътрешен носител за съхранение повече не е оправдано.

31.      Именно с оглед на гореизложените съображения ще разгледам законосъобразността на разглежданото обработване на данни от гледна точка на посочените два принципа.
2.      По принципа на ограничение на целите

32.      Проверката дали е спазен този принцип във втория му аспект предполага да се определи/определят предварително целта или целите на събирането на съответните данни. Видно от представената на Съда преписка, тези данни се събират от Digi за целите на сключването и изпълнението на абонаментни договори, предлагани в качеството му на доставчик на услуги за достъп до интернет и на телевизия, и че законосъобразността на това първо обработване не е предмет на спор между страните в главното производство. Същото се отнася и за неизбежната последваща операция по обработване, състояща се в съхраняването на тези данни на съответен носител, който ще се разглежда като първоначална база данни(18). В този контекст запитващата юрисдикция иска по-специално да получи отговор на въпроса дали при копирането на данни в друга база данни в допълнение към първоначалното съхраняване на данните, за което между страните няма спор, „се променя“ конкретната, изрично указана и легитимна цел на събирането на данни.

33.      Съгласно практиката на Съда съдържащите се в ОРЗД правила за защита на личните данни трябва да се спазват по отношение на всяко обработване на такива данни, както то е дефинирано в член 2 от посочения регламент(19). Струва ми се, че поставеният по‑горе въпрос отразява неспазване на изискването за индивидуална преценка на всички операции по обработване на данни след тяхното събиране, произтичащо в случая от член 5, параграф 1, буква б) от ОРЗД.

34.      С други думи, всяко по-нататъшно използване на тези данни трябва да се преценява с оглед на конкретната му цел и евентуално на съвместимостта му с целта на събирането им. Законосъобразността на събирането на данни и на първото им съхраняване не може поради верижен ефект да има автоматично отражение върху спазването на принципа на ограничение на целите от друго действие по по-нататъшно обработване, независимо от това, че то се отнася до същите данни. Както отбелязва унгарското правителство, не може да се приеме, че администраторът има право да съхранява личните данни в няколко регистъра с лични данни  и без ограничения, когато тези данни първоначално са събрани и обработвани законосъобразно.

35.      Поради това следва да се разгледа въпросът за съвместимостта между целите на събирането на данни и по-нататъшно им обработване, която се изисква в член 5 параграф 1, буква б) от ОРЗД. Този въпрос обаче логично се поставя само в хипотезата, че обработването се извършва за цели, различни от първоначално установените.

36.      Така съгласно съображение 50 от този регламент обработването на лични данни за „цели, различни“ от целите, за които първоначално са събрани данните, следва да бъде разрешено единствено когато обработването е съвместимо с целите на това събиране. Текстът на член 6, параграф 4 от посочения регламент също подкрепя горния извод. В тази разпоредба се съдържа неизчерпателен списък на критерии, позволяващи в определена конфигурация да се прецени дали обработването „за други цели“ е съвместимо с първоначалната цел, за която са били събрани личните данни. Ето защо констатирането на идентичност на целите на събирането на данните и на по-нататъшно им обработване, както твърди Digi, обезсмисля въпроса за съвместимостта и позволява да се направи извод за законосъобразността на обработването с оглед на принципа на ограничение на целите(20).
а)      По целите на обработването

37.      Видно от предоставената на Съда преписка, и по-специално от изявленията на Digi, вследствие на техническа неизправност на сървъра, довела до недостъпност до първоначалната база данни, предприятието съхранява копие от данните на част от абонатите си в допълнителна вътрешна база, наречена „тестова“ база данни, за да отстрани техническия инцидент и да гарантира достъпа до данните в съответствие със задължението, наложено на администратора с член 5, параграф 1, буква е) и описано в член 32 от ОРЗД(21). Digi твърди, че тази операция по обработване на данни допринася също така и за постигане на целта на събирането на данни, а именно предоставяне на предвидената по договор услуга. При тези обстоятелства разглежданото съхранение на данни не било свързано с отделна цел, което изключвало каквото и да било нарушение на член 5, параграф 1, буква б) от този регламент.

38.      Макар очевидно запитващата юрисдикция да трябва да провери законосъобразността на посочената операция по обработване с оглед по-специално на изискванията по член 5 от ОРЗД и на всички обстоятелства по конкретния случай, редица указания могат да ѝ бъдат предоставени за целта.

39.      Ще отбележа, на първо място, че Digi изтъква по същество наличието на двойна цел за разглежданото обработване в смисъл, че първата и специфична цел за отстраняване на техническата неизправност на сървъра и за обезпечаване на достъпността до данните на абонатите се вписвала в рамките на втора и обща цел, свързана с изпълнението на абонаментни договори, която съвпада с целта за първоначалното събиране на данните.

40.      На практика е напълно възможно лични данни да могат да бъдат събирани или обработвани по-нататък за няколко цели, което ОРЗД предвижда и ясно допуска, както свидетелства текстът на член 5, параграф 1, буква б) и на член 6, параграф 1, буква a) от този регламент, и съображения 32 и 50. Този подход отговоря на нуждата от прагматизъм и гъвкавост, която се изисква при комплексно и не дотам линейно обработване на лични данни в ерата на цифровите технологии. Такъв подход трябва все пак да отчита изискването за точност на целта, която е ключов елемент при прилагане на режима на ЕС за защита на личните данни. 

41.      В този смисъл достатъчната точност на целта е съществена гаранция по отношение на предвидимостта и правната сигурност, тъй като допринася за правилното разбиране от субекта на данни на възможното използване на неговите данни и му позволява да вземе информирано решение. Тази предвидимост е от съществено значение при преценката на съвместимостта между целта на събиране на данните и по-нататъшно им обработване, с което се намалява и рискът от пораждане на неравновесие между основателните очаквания на субектите на данните относно възможното използване на данните им в бъдеще и извършваните от администратора операции. Конкретизирането на целта се изисква и за прилагането на други изисквания във връзка с качеството на данните — сред които са адекватността, релевантността, пропорционалността и точността на събраните данни — както и изискванията относно срока, за който те ще се съхраняват съгласно член 5, параграф 1, букви в), г) и д) от ОРЗД.

42.      Следователно, както се подчертава в Становище 3/2013 на работната група по член 29(22), това изискване за точност се прилага за всяка операция по обработване, а не само на първоначалния етап на събирането на данните. Интересно е да се посочи, че когато обработване на данни се извършва въз основа на съгласието на субекта на данните, съгласно член 6, параграф 1, буква ) от ОРЗД то е законосъобразно, само ако субектът на данните е дал съгласие за това обработване за една или повече „конкретни“ цели.

43.      При тези обстоятелства, макар с дадено обработване да се преследва постигането на две цели, всяка от тях трябва да има точен характер и обективна и достатъчно тясна връзка със съответната операция по обработване.

44.      На второ място, следва да се посочи особеният контекст, в който трябва да се направи преценка на целта или целите на въпросното по-нататъшно обработване.

45.      Съгласно съображения 60 и 61 от ОРЗД принципите на добросъвестно и прозрачно обработване изискват субектът на данни да бъде информиран за съществуването на операция по обработване и за нейните цели и информацията за обработването на неговите лични данни следва да му бъде предоставена в момента на събирането им от субекта на данните. В това отношение член 13 параграф 1, буква в) от този регламент предвижда, че когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните информация за целите на обработването, за което личните данни са предназначени, както и правното основание за обработването.

46.      Въпреки това, колкото и предвидлив и разумен да е даден администратор, възможно е веднага след проектирането на обработването той да не е в състояние да предвиди и да определи естеството както и точния обхват на всички операции по веригата за обработване на данни. По подобен начин настоящото дело е отличен пример за проблематиката, свързана с управление на техническа неизправност, по дефиниция неочаквана, и с последващото прилагане на обработване на данни за цел, която не е предварително посочена.

47.      При преценката за законосъобразност на такова обработване, както е в настоящия случай, от надзорния орган, а след това от съответния съд, който разглежда жалбата, насочена срещу решението на надзорния орган, тази цел е предмет на последваща проверка с оглед на предоставената от администратора информация в хода на административното производство. Съгласно принципа на отчетност по член 5, параграф 2 от ОРЗД именно администраторът, разработил съответната операция по обработване, трябва да докаже действителната твърдяна цел и евентуално съвместимостта на обработването с целта за събиране на данните(23).

48.      В това отношение две конкретни и обективни доказателства могат да бъдат взети предвид за проверката на тази цел. Първо, член 13, параграф 3 от ОРЗД предвижда, че когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, и когато администраторът възнамерява по-нататък да обработва личните данни за цел, различна от тази, за която са събрани, той предоставя на субекта на данните преди това по‑нататъшно обработване информация за тази друга цел(24) и всякаква друга необходима информация, както е посочено в параграф 2 от тази разпоредба. Второ, член 30, параграф 1 от ОРЗД задължава всеки администратор да поддържа в писмена форма, включително в електронен формат, регистър на дейностите по обработване, за които отговаря, и да го да предоставя на надзорния орган при поискване. Този регистър съдържа различна информация, сред която и информация относно целите на обработването.

49.      В случая, изглежда, се потвърждава, че Digi не е уведомило нито един от съответните абонати за намерението си да копира данните им и да ги съхранява на вътрешен носител, предназначен за провеждане на тестове и отстраняване на грешки, тъй като този оператор счита, че целта на посочената операция по обработване не е различна от целта за събиране на данните и следователно не попада в приложното поле на член 13, параграф 3 от ОРЗД(25). Освен това представената на Съда преписка не позволява да се определи дали Digi може да се ползва от предвиденото в член 30, параграф 5 от този регламент освобождаване от задължението за водене на регистър(26).

50.      При всички положения, отбелязвам, че в съдебното заседание Digi ясно посочва, че техническата неизправност, настъпила през 2018 г., не е довела до прекъсване на предвидената в договора услуга, тъй като разглежданото съхраняване на данните е осъществено единствено с оглед на риска от такова прекъсване. Това изявление трябва да се свърже с обективните материални констатации относно избора на наименованието на базата данни, наречена „тестова“ база данни, с обстоятелството, че същата не съдържа данните на всички абонати, а само на една трета от тях, че след като е била забравена от Digi в продължение на 18‑те месеца след отстраняването на първоначалния технически инцидент, тази база данни е незабавно премахната след хакерската атака през септември 2019 г., която е засегнала сигурността на данните.

51.      При тези обстоятелства изглежда възможно да се приеме, че разглежданото обработване отговаря само на конкретната и специална цел за временно обезпечаване на сигурността на част от данните на абонатите във връзка с отстраняването на технически инцидент, засегнал функционирането на сървъра, тоест цел, която според мен е различна от целта за събиране на данните.

52.      За разлика от това, Комисията и Digi твърдят, че подобно обработване, което има за цел спазване на задължението за сигурност, наложено на администратора с член 5, параграф 1, буква е) от ОРЗД и описано в член 32 от същия, не може да се счита, че преследва нова или различна цел, тъй като това би накърнило полезното действие на този акт и би довело до предоставяне на субектите на данните на информация, лишена от практически интерес.

53.      Този абстрактен и систематичен подход ми се струва, че противоречи на изискването за преценка на законосъобразността на всяка операция по обработване с оглед на всички релевантни обстоятелства по случая. В действителност, именно операцията по обработване води до лишаване от полезно действие на задължението за информиране на субектите на данни, предвидено в член 13, параграф 3 от ОРЗД — информация, която администраторът трябва да предостави на тези субекти, за да им гарантира добросъвестно обработване на данните(27). Това задължение има императивен характер в хипотезата, в която, както е в настоящия случай, обработването се извършва в рамките на договорно правоотношение и се основава на член 6, параграф 1, буква б) от този акт, отнасящ се до необходимостта от изпълнението на договора, без да бъде поискано съгласие от субектите съдоговорители. Накрая, посоченият подход не отчита смисъла на член 5, параграф 1, буква б) от ОРЗД, а именно че по‑нататъшно обработване, което е подчинено на цел, различна от целта на събирането на данни, не е непременно незаконосъобразно, тъй като съвместимостта му с последната цел е достатъчна, за да се изпълни предвиденото в посочената разпоредба.
б)      По съвместимостта на обработването

54.      Член 5, параграф 1, буква б) от ОРЗД не съдържа никаква насока за условията, при които по-нататъшно обработване, което отговаря на цел, различна от целта на първоначалното събиране на данни, може да се счита за съвместимо с последната цел. В това отношение трябва да се направи препращане към член 6, параграф 4 от ОРЗД във връзка със съображение 50 от същия акт, чието съдържание разкрива връзка между принципа на ограничение на целите и правното основание на съответното обработване.

55.      В този смисъл в посочената разпоредба се прави разграничение, що се отнася до изискването за съвместимост в зависимост от това дали обработването за цел, която е различна от целта, за която данните са събрани, се основава на съгласието на субекта на данните или на правото на Съюза или на правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантират целите, посочени в член 23, параграф 1 от ОРЗД.

56.      Ако това е така, съгласно съображение 50, втора алинея от ОРЗД на администратора е позволено да обработва по-нататък личните данни, независимо от съвместимостта на целите(28). Тази дерогация по отношение на изискването за съвместимост по същество е оправдана от наличието на други защитни правила на субектите на данни, и по-специално на тези относно информирането на последните за други цели и за право да се направи възражение срещу обработването(29).

57.      Ако това не е така, а това е положението, което съответства на настоящия случай, съгласно член 6, параграф 4 от ОРЗД:
„[…] администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:
a)      всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;
б)      контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;
в)      естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10;
г)      възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;
д)      наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация“.

58.      Предвид липсата на каквато и да е изрична информация от страна на Digi в момента на събиране на данните относно предвижданото по-нататъшно обработване и неговата цел, трябва да се прилага съдържателен подход, който според мен може да доведе до извода за съвместимост на обработването.

59.      В това отношение несъмнено съществува връзка между целта на първоначалното събиране на данните, а именно изпълнението на абонаментен договор за интернет и телевизия, и обработване, с което се цели да се гарантира сигурността на тези данни в допълнителна вътрешна база данни и безопасното провеждане на тестове, предназначени за коригиране на грешки вследствие на техническа неизправност, която оказва потенциално неблагоприятно влияние върху предоставянето на предвидената в договора услуга. Без да се припокриват, както бе посочено по-горе, тези цели са логически свързани.

60.      Важно е да се подчертае, че това обработване не се отдалечава от оправданите правни очаквания на абонатите, що се отнася до по-нататъшното използване на техните данни. Всъщност допълнителното съхраняване на данни на вътрешен носител, обосновано от необходимостта да се отстрани техническа неизправност, която засяга достъпността до данните в първоначалната база данни, не може да се счита за изненадващо или малко вероятно. Освен това обработването на съответните данни продължава да се извършва от същия администратор и те не са разкрити на трети лица, което a priori показва липса на каквото и да е отрицателно въздействие. Фактът, че при хакерската атака, на която е било обект Digi, извършителят ѝ е успял да получи достъп до съдържащите се в този носител данни, според мен не позволява да се направи обратен извод за несъвместимост на разглежданото обработване.
3.      По принципа на ограничение на съхранението

61.      Съгласно член 5, параграф 1, буква д) от ОРЗД данните са съхранявани във форма, която да позволява идентифицирането на субекта на данните(30) за период, не по-дълъг от необходимото за целите, за които се обработват; личните данни могат да се съхраняват за по-дълги срокове, доколкото ще бъдат обработвани единствено за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1 от този регламент, при условие че бъдат приложени подходящите технически и организационни мерки, предвидени в посочения регламент с цел да бъдат гарантирани правата и свободите на субекта на данните.

62.      Както бе посочено, принципът на ограничение на съхранението дава израз на принципа на пропорционалност, както и на принципа на „свеждане на данните до минимум“, съгласно който личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват(31). В контекста на принципа на ограничение на съхранението въпросът за необходимостта от обработването, разгледан във времеви аспект, се отнася до въпроса за запазване на неговата цел.

63.      Следва също да се припомни, че спазването на изискването за пропорционалност предполага дерогациите и ограниченията на защитата на личните данни да се въвеждат в границите на строго необходимото(32). Съдът ясно посочва, че член 5, параграф 1, буква д) от ОРЗД цели да защити субектите на данни(33).

64.      Също така изрично в съображение 39 от ОРЗД се посочва, че срокът, за който личните данни се съхраняват, трябва да е „ограничен до строг минимум“ и че за целта администраторът следва да установи срокове за тяхното изтриване или периодичен преглед. Член 13, параграф 2, буква а) от ОРЗД гласи, че в момента на получаване на личните данни администраторът трябва да предоставя на субекта на данните информация в допълнение на посочената в параграф 1 от този член, която е необходима за осигуряване на добросъвестно и прозрачно обработване, сред която информация за срока, за който ще се съхраняват личните данни, а ако това е невъзможно, критериите, използвани за определяне на този срок(34).

65.      В този контекст с оглед на всички обстоятелства по конкретния случай(35) следва да се определи в кой момент целите на съхранението на копия от данни на част от абонатите в допълнителна вътрешна база данни може евентуално да се считат за постигнати, като по този начин обработването би било лишено от смисъла си и би принудило Digi да заличи данните. Очевидно е, че съгласно принципа на отчетност по член 5, параграф 2 от ОРЗД администраторът трябва да докаже законосъобразността на обработването с оглед на принципа на ограничение на съхранението, както и на принципа на ограничение на целите.

66.      В конкретния случай, като се има предвид, че разглежданото съхранение отговаря на целта за обезпечаване на сигурността на данните и по този начин допринася за осъществяване на целта за изпълнение на абонаментен договор, Digi твърди, че срокът, за който се съхраняват данните, съдържащи се в тестовата база данни, е свързан със срока за изпълнение на договорните му задължения, което изключва всякакво нарушение на член 5, параграф 1, буква д) от ОРЗД.

67.      Що се отнася до определянето на целта или целите, препращам към всички съображения и изводи, направени в рамките на отговора на въпроса за спазването на принципа на ограничение на целите, от който следва, че не може да се приеме, че разглежданото обработване има двойна цел, която включва изпълнението на абонаментни договори(36).

68.      Във всеки случай, независимо от естеството на приетата/приетите цел или цели, обработването на данните под форма на съхраняване на допълнителен вътрешен регистър с лични данни  е трябвало да бъде ограничено във времето до строго необходимото. С други думи, след отстраняване на първоначалната техническа неизправност обстоятелството, послужило като основание за операцията по съхраняване и продължаването ѝ, е престанало да съществува. При тези обстоятелства пряката и първоначална цел за обезпечаване на сигурността на данните във връзка с отстраняването на техническия инцидент — сама по себе си или дори във връзка с непряката и свързана цел за изпълнение на абонаментен договор — вече не може да обхваща продължаването на обработването.

69.      Налага се изводът, че Digi недвусмислено посочва, че тестовата база данни е предназначена да гарантира достъпа до данните на абонати, „докато не бъде отстранена грешката“, и че по невнимание не е премахната, при положение че коригирането на грешките вече не оправдава запазването ѝ(37), което означава, че разглежданото обработване вече не носи ползи и следователно е лишено от цел. Може ли вътрешна база данни, която по признание на самия администратор е забравена в продължение на година и половина, да се счита, че може да отговаря на действителна цел? Според мен на този въпрос безусловно трябва да се даде отрицателен отговор.
V.      Заключение

70.      С оглед на изложените съображения предлагам на Съда да отговори на Fővárosi Törvényszék (Градски съд Будапеща, Унгария) по следния начин:
„1)      Член 5, параграф 1, буква б) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че посоченият в него принцип допуска запазването на лични данни, законосъобразно събрани и съхранявани в допълнителна вътрешна база данни, при условие че обработването на данните има същите цели като целите на събирането им, ако това не е така, да е съвместимо с посочените цели — обстоятелство, което администраторът на лични данни трябва да докаже, включително когато обработването отговаря на задължението му да гарантира подходящо ниво на сигурност на личните данни, предвидено в член 5, параграф 1, буква е) от посочения регламент.
Когато обработването за цел, различна от целта, за която данните са събрани, не се основава на съгласието на субекта на данни или на законодателен акт на Съюза или на държава членка, който попада в обхвата на член 23, параграф 1 от Регламент 2016/679, съвместимостта на обработването трябва да се установи с оглед по-специално на критериите по член 6, параграф 4 от този регламент.
2)      Член 5, параграф 1, буква д) от Регламент 2016/679 трябва да се тълкува в смисъл, че посоченият в него принцип не допуска запазване на данни, законосъобразно събрани и съхранявани в допълнителна вътрешна база данни, отговаряща на целта за отстраняване на техническа неизправност и за временно обезпечаване на сигурността на данните за срок, по-дълъг от необходимия за осъществяване на тази цел, във форма, която позволява идентифицирането на субектите на данни, и съответно след отстраняването на техническия инцидент, включително когато пряката и първоначална цел може да обуславя непряката и свързана цел за изпълнение на предоставянето предвидената в договор услуга“.

1      Език на оригиналния текст: френски.

2      Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

3      Решение от 16 юли 2020 г., Facebook Ireland и Schrems (C‑311/18, EU:C:2020:559, т. 73 и 74).

4      Директива на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63).

5      Решение от 6 октомври 2020 г., Privacy International (C‑623/17, EU:C:2020:790, т. 34 и 36).

6      Директива на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).

7      Следва да се припомни, че след като ОРЗД отменя и заменя Директива 95/46 и съответните разпоредби на този регламент по същество са идентични със съответните разпоредби на тази директива, практиката на Съда по същата директива по принцип е приложима и по отношение на този регламент (решение от 17 юни 2021 г., M.I.C.M. (C‑597/19, EU:C:2021:492, т. 107).

8      Вж. решение от 11 ноември 2020 г., Orange Romania (C‑61/19, EU:C:2020:901) относно прилагането единствено на разпоредбите на Директива 95/46 и на ОРЗД по дело, отнасящо се до съгласието на клиентите на дружеството Orange România, доставчик на мобилни далекосъобщителни услуги на румънския пазар, за събирането и съхраняването на копия на документите им за самоличност.

9      От точка 2 от становището на Комисията е видно, че тези данни обхващат следната информация: име, място и дата на раждане, адрес, номер на лична карта, понякога личен номер, имейл адрес, стационарен и мобилен телефонен номер на субектите на данни.

10      Решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 208).

11      Вж. по аналогия решение от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 72).

12      Самостоятелността на задълженията на администратора, дефинирана в член 5 от ОРЗД, не изключва наличието на връзка между тях, в чиято основа в случая е понятието за цели. Изследването на естеството и целта на дадена дейност по обработване е от съществено значение за преценката на спазването на принципите, закрепени в тази разпоредба, и по-специално на принципите на ограничение на целите и на съхранение на данните, за които се отнася делото в главното производство.

13      Решение от 22 април 2021 г., Profi Credit Slovakia (C‑485/19, EU:C:2021:313, т. 50).

14      По-нататъшно обработване за целите на архивирането в обществен интерес, за целите на научни или исторически изследвания или за статистически цели трябва да се счита за законосъобразна операция по обработване, съвместима с първоначалните цели съгласно член 5, параграф 1, буква б) от ОРЗД — положение, което не съответства на обстоятелствата по делото в главното производство.

15      Вж. по аналогия решение от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 93).

16      Вж. в този смисъл решения от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 33), и от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 92).

17      Вж. в този смисъл решение от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 33).

18      С оглед на естеството на тези операции по обработване на лични данни член 6, параграф 1, букви a) и б) от ОРЗД, изглежда, е подходящото правно основание, което впрочем не е предмет на обсъждане в настоящия случай. 

19      Вж. по аналогия решение от 20 май 2003 г., Österreichischer Rundfunk и др. (C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 40).

20      Операцията по събирането на лични данни на клиентите и тази по съхраняването на тези данни в първоначалната база данни имат едновременно една и съща цел, а именно предоставяне на предвидената по договор услуга.

21      Вж. точка 13 от становището на Digi.

22      Независим консултативен орган, създаден на основание член 29 от Директива 95/46 и заменен след приемането на ОРЗД от Европейския комитет по защита на данните.

23      Вж. по аналогия решение от 11 ноември 2020 г., Orange Romania (C‑61/19, EU:C:2020:901, т. 51 и 52).

24      Съдържанието на член 13, параграф 3 от ОРЗД подкрепя подход, при който изискването за точност на целта не се прилага само на етапа на събирането на данните, а се отнася за всяка операция по обработване.

25      Тази разпоредба отразява гъвкавостта при управление, призната в полза на администратора, чиято преценка определя изпълнението на задължението за предоставяне на информация на субектите на данни. Съответно това право изисква строга проверка на целите на обработването от надзорния орган, която е от съществено значение, за да има той възможност да се увери в законосъобразността на по-нататъшното обработване, и по-специално дали е спазено изискването за съвместимост.

26      Всъщност обхватът на това задължение се намалява от освобождаването в полза на предприятията или организациите с по-малко от 250 служители, освен ако извършваното от тях обработване може да изложи на риск правата и свободите на субектите на данни, ако не е случайно обработване или ако се отнася по-специално до специални категории данни, визирани в член 9, параграф 1 от ОРЗД, или до лични данни, свързани с присъди и нарушения, посочени в член 10 от този акт. 

27      Решение от 11 ноември 2020 г., Orange Romania (C‑61/19, EU:C:2020:901, т. 48). Отбелязвам с интерес, че освобождаването от задължението за информиране на администратора, когато личните данни не са събрани от субекта на данни, както е предвидено в член 14, параграф 5, буква б) от ОРЗД, когато предоставянето на информация се оказва невъзможно или изисква непропорционални усилия, не е приложимо в ситуации, уредени с член 13 от този регламент.

28      Трябва да се отбележи, че сред видовете обработване, освободени от изискването за съвместимост, не фигурират основаните на член 6, параграф 1, буква в) от ОРЗД, отнасящ се до обработване, необходимо за спазването на правно задължение, което се прилага спрямо администратора, и по-специално до това по член 5, параграф 1, буква е) от този регламент относно подходяща гаранция за сигурност на данните.

29      Следва да се припомни, че съгласно член 6, параграф 1, буква а) от ОРЗД обработването е законосъобразно, само ако и доколкото субектът на данните е дал съгласие за обработване на личните му данни „за една или повече конкретни цели“.

30      Това условие не е предмет на спор в случая.

31      Вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 98).

32      Решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 210).

33      Вж. по аналогия решение от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 35).

34      Предвид условията, при които е извършено разглежданото обработване, тази разпоредба не се прилага в случая.

35      Решение от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 94).

36      Само напомням, че условието за премахване на тестовата база данни непосредствено след „етичното“ хакерство, на което е било обект Digi, независимо от продължаването на договорните отношения със съответните абонати, напълно противоречи на твърдението за запазване на тази база данни, оправдано с изпълнението на абонаментни договори.

37      Вж. по-специално точка 22 от становището на Digi.