CELEX: 62021CC0077
Language: lt
Date: 2022-03-31
Title: Generalinio advokato Pikamäe išvada, pateikta 2022 m. kovo 31 d.###

Laikina versija
GENERALINIO ADVOKATO
PRIIT PIKAMÄE IŠVADA,
pateikta 2022 m. kovo 31 d.(1)

Byla C-77/21

Digi Távközlési és Szolgáltató Kft.

prieš

Nemzeti Adatvédelmi és Információszabadság Hatóság

(Fővárosi Törvényszék (Sostinės apygardos teismas, Vengrija) pateiktas prašymas priimti prejudicinį sprendimą)
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 5 straipsnio 1 dalies b ir e punktai – Tikslo apribojimo principas – Saugojimo apribojimo principas – Teisėtai renkami ir saugomi klientų asmens duomenys – Kitos specialios vidaus duomenų bazės sukūrimas įvykus techniniam gedimui – Tvarkymo tikslų patikrinimas a posteriori – Dvejopas tikslas – Duomenų tvarkymo tikslų ir duomenų rinkimo tikslų nesutapimas – Tvarkymo suderinamumas su rinkimo tikslais – 6 straipsnio 4 dalis – Duomenų bazės neištrynimas pašalinus techninį gedimą – Tvarkymo tikslų įgyvendinimas“

1.        Kokiomis sąlygomis interneto ir televizijos paslaugų teikėjas gali teisėtai surinktus ir saugomus savo klientų asmens duomenis saugoti papildomoje vidaus  laikmenoje, neturėdamas jų aiškaus sutikimo, bet siekdamas pašalinti techninį gedimą?

2.        Tai yra vienas iš šioje byloje iškeltų klausimų, į kurį atsakydamas Teisingumo Teismas turės galimybę papildyti  vis gausesnę  savo jurisprudenciją, susijusią su  Reglamentu  (ES) 2016/679(2), visų pirma dėl šio akto 5 straipsnio 1 dalies b ir e punktuose nustatytų  tikslo apribojimo ir saugojimo trukmės apribojimo principų.
I.      Teisinis pagrindas

3.        Šiai bylai svarbūs BDAR 4–6, 13 ir 32 straipsniai.
II.    Pagrindinė byla ir prejudiciniai klausimai

4.        Bendrovė Digi Távközlési és Szolgáltató Kft. (toliau – Digi) yra viena pagrindinių interneto ir televizijos paslaugų teikėjų Vengrijoje.

5.        2018 m. balandžio mėn., įvykus techniniam gedimui, turėjusiam įtakos serverio veikimui, Digi sukūrė vadinamąją bandomąją duomenų bazę, į kurią nukopijavo apie trečdalio savo privačių klientų asmens duomenis.

6.        2019 m. rugsėjo 23 d. Digi sužinojo, kad vienas „etiškas programišius“ buvo įgijęs prieigą prie maždaug 322 000 žmonių asmens duomenų. Pats programišius 2019 m. rugsėjo 21 d. išsiųstu elektroniniu laišku pranešė pareiškėjai apie įsilaužimą ir kaip įrodymą pateikė vieną bandomosios duomenų bazės eilutę. Tuomet pareiškėja ištaisė gedimą ir sudarė konfidencialumo susitarimą su šiuo asmeniu,  taip pat  pasiūlė jam tam tikrą atlygį.

7.        Ištrynusi bandomąją duomenų bazę, 2019 m. rugsėjo 25 d. Digi pranešė apie asmens duomenų saugumo pažeidimą Nemzeti Adatvédelmi és Információszabadság Hatóság (Nacionalinė duomenų apsaugos ir informacijos laisvės institucija, toliau – Institucija), o ši, atsižvelgdama į šį pažeidimą, pradėjo tyrimą.

8.        Viename 2020 m. gegužės 18 d. sprendime Institucija, be kita ko, konstatavo, kad Digi pažeidė BDAR 5 straipsnio 1 dalies b ir e punktus, nes, atlikusi būtinus bandymus ir pašalinusi problemas, ji neištrynė bandomosios duomenų bazės, todėl didelė šioje bazėje saugomų asmens duomenų dalis beveik 18 mėnesių buvo be jokio tikslo saugoma faile, iš kurio galima nustatyti duomenų subjektų asmens tapatybę; dėl to, kad ši duomenų bazė nebuvo ištrinta, padarytas asmens duomenų pažeidimas. Antra, Institucija nusprendė, kad Digi pažeidė BDAR 32 straipsnio 1 ir 2 dalis. Šiomis aplinkybėmis Institucija skyrė Digi 100 000 000 Vengrijos forintų (HUF) (apie 270 000 eurų) baudą.

9.        Digi ginčijo šio sprendimo teisėtumą prašymą priimti prejudicinį sprendimą pateikusiame teisme. 

10.      Šis teismas  nurodo, kad Digi į bandomąją duomenų bazę nukopijuotus asmens duomenis rinko siekdama sudaryti abonentines sutartis ir kad Institucija nekvestionavo  šių duomenų rinkimo teisėtumo. Vis dėlto  jis norėtų sužinoti, ar dėl to, kad konkrečiam tikslui surinkti duomenys buvo nukopijuoti į kitą duomenų bazę, pasikeičia duomenų rinkimo ir tvarkymo tikslas. Jis priduria, kad taip pat nori  išsiaiškinti, ar bandomosios duomenų bazės sukūrimas ir taip toliau tęsiamas klientų duomenų tvarkymas atitinka šių duomenų rinkimo tikslą. Remiantis tikslo apribojimo principu, neaišku, kokiose savo vidaus sistemose duomenų valdytojas turi teisę tvarkyti teisėtai surinktus duomenis arba ar jis gali kopijuoti šiuos duomenis į bandomąją duomenų bazę, nepakeisdamas duomenų rinkimo tikslo.

11.      Tuo atveju, jei bandomosios duomenų bazės sukūrimas būtų  nesuderinamas su duomenų rinkimo tikslu, prašymą priimti prejudicinį sprendimą pateikęs  teismas taip pat klausia, ar atsižvelgiant į tai, kad klientų duomenų tvarkymo kitoje duomenų bazėje tikslas yra ne klaidų ištaisymas, o sutarčių sudarymas, būtina saugojimo trukmė turi būti nustatoma atsižvelgiant į laiką, reikalingą klaidoms ištaisyti,  ar į laiką, būtiną  sutartiniams įsipareigojimams įvykdyti.

12.      Šiomis aplinkybėmis Fővárosi Törvényszék (Sostinės teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
„1.      Ar <...> [BDAR] <...> 5 straipsnio 1 dalies b punkte apibrėžta sąvoka „tikslo apribojimas“ turi būti aiškinama taip, kad su šia sąvoka suderinama tai, kad duomenų valdytojas lygiagrečiai kitoje duomenų bazėje saugo asmens duomenis, kurie, be to, buvo surinkti ribotu teisėtu tikslu ir saugomi šį tikslą atitinkančiu būdu, ar, atvirkščiai, kad teisėtu tikslu, kuriuo buvo surinkti atitinkami duomenys, jau negalima remtis dėl lygiagrečiai kitoje duomenų bazėje saugomų duomenų?
2.      Jei į pirmąjį klausimą būtų atsakyta taip, kad lygiagretus duomenų saugojimas savaime nesuderinamas su „tikslo apribojimo“ principu, ar toks saugojimas suderinamas su [BDAR] 5 straipsnio 1 dalies e punkte nustatytu „saugojimo trukmės apribojimo“ principu, jei duomenų valdytojas kitoje duomenų bazėje lygiagrečiai saugo asmens duomenis, kurie, be to, buvo surinkti ir saugomi ribotu teisėtu tikslu?“
III. Procesas Teisingumo Teisme

13.      Pareiškėja ir atsakovė pagrindinėje byloje, Vengrijos, Čekijos ir Portugalijos vyriausybės bei Europos Komisija pateikė rašytines pastabas. 2022 m. sausio 17 d. vykusiame posėdyje taip pat buvo išklausytos pareiškėjos ir atsakovės pagrindinėje byloje, Vengrijos vyriausybės ir Komisijos kalbos.
IV.    Analizė

A.      Dėl priimtinumo 

14.      Institucija ir Vengrijos vyriausybė išreiškė abejonių dėl prašymo priimti prejudicinį sprendimą priimtinumo, motyvuodamos tuo, kad pateikti klausimai neatspindi pagrindinės bylos faktinių aplinkybių ir nėra tiesiogiai susiję su ginčo sprendimu.

15.      Pagal Teisingumo Teismo suformuotą jurisprudenciją tik bylą nagrinėjantis nacionalinis teismas, atsakingas už sprendimo priėmimą, atsižvelgdamas į konkrečias bylos aplinkybes turi įvertinti tai, ar jo sprendimui priimti būtinas prejudicinis sprendimas, ir Teisingumo Teismui pateikiamų klausimų svarbą. Todėl iš principo tuo atveju, kai pateikiami klausimai susiję su Sąjungos teisės nuostatos išaiškinimu ar galiojimu, Teisingumo Teismas turi priimti sprendimą. Tuo remiantis  darytina išvada, kad nacionalinių teismų pateiktiems klausimams taikoma svarbos prezumpcija. Teisingumo Teismas gali atsisakyti priimti sprendimą dėl pateikto prejudicinio klausimo  tik tuo atveju, jei paaiškėja, kad prašomas išaiškinimas nesusijęs su pagrindinėje byloje nagrinėjamo ginčo aplinkybėmis ar dalyku, jeigu problema hipotetinė arba jeigu Teisingumo Teismas neturi informacijos apie faktines ir teisines  aplinkybes, būtinos tam, kad naudingai atsakytų  į minėtus klausimus. Nagrinėjamu atveju prašyme priimti prejudicinį sprendimą nurodytos informacijos apie faktines ir teisines aplinkybes pakanka, kad būtų galima suprasti prejudicinių klausimų turinį. Be to, bylos medžiagoje nėra jokios informacijos, kuri leistų manyti, jog prašomas Sąjungos teisės išaiškinimas nesusijęs su pagrindinėje byloje nagrinėjamo ginčo aplinkybėmis ar dalyku arba yra hipotetinis(3).

16.      Šiuo klausimu reikia pažymėti, kad prašymą priimti prejudicinį sprendimą pateikusiam teismui pateiktas  skundas su prašymu panaikinti sprendimą, kuriuo Digi, kaip duomenų valdytojai, buvo skirta sankcija už tariamą BDAR 5 straipsnio (jį šis teismas ir prašo išaiškinti) 1 dalies b ir e punktuose nurodytų tikslo ir saugojimo trukmės apribojimo principų pažeidimą. Taigi  prašymą priimti prejudicinį sprendimą reikia laikyti priimtinu.
B.      Dėl nagrinėtino teisinio pagrindo

17.      Reikia konstatuoti, kad prašymas priimti prejudicinį sprendimą pateiktas  tik dėl BDAR 5 straipsnio išaiškinimo ir jis susiję su  pagrindinėje byloje nagrinėjamu ginču  dėl to, ar teisėtas Digi, kuri yra viena pagrindinių interneto ir televizijos paslaugų teikėjų Vengrijoje, todėl laikoma operatore, siūlančia prieigą prie viešųjų ryšių paslaugų internetu,    vykdytas  asmens duomenų tvarkymas.

18.      Pažymėtina, kad Direktyvos 2002/58/EB(4) 1 straipsnio 1 dalyje nustatyta, jog šia direktyva  suderinamos  valstybių narių nuostatos, užtikrinančios  vienodo lygio pagrindinių teisių ir laisvių, ypač teisės į privatumą ir konfidencialumą, apsaugą, kai  elektroninių ryšių sektoriuje tvarkomi asmens duomenys. Be to, Direktyvos 2002/58 3 straipsnyje numatyta, kad ši direktyva taikoma asmens duomenų tvarkymui, kai Sąjungoje teikiamos viešai prieinamos elektroninių ryšių paslaugos viešaisiais ryšių tinklais, įskaitant viešuosius ryšių tinklus, palaikančius duomenų rinkimo ir atpažinimo įrenginius. Taigi minėta direktyva turi būti vertinama kaip reglamentuojanti tokių paslaugų teikėjų veiklą(5).

19.      Kaip matyti iš  Direktyvos 2002/58 1 straipsnio 2 dalies,  šios direktyvos  nuostatose šio straipsnio 1 dalyje nurodytais tikslais smulkiau išaiškinama ir papildoma Direktyva 95/46/EB(6); taip pat atkreiptinas dėmesys į tai, jog, kaip nurodyta BDAR 94 straipsnio 2 dalyje, Direktyvoje 2002/58 daromos nuorodos į Direktyvą 95/46 turi būti suprantamos kaip nuorodos į šį reglamentą(7). Remiantis Direktyvos 2002/58 10 konstatuojamąja dalimi, elektroninių ryšių sektoriuje Direktyva 95/46 taikoma visiems pagrindinių teisių ir laisvių apsaugos klausimams, kuriems konkrečiai netaikomos Direktyvos 2002/58 nuostatos, įskaitant asmens duomenų valdytojo įsipareigojimus ir fizinių asmenų teises(8).

20.      Iš prašymo priimti prejudicinį sprendimą matyti, kad pagrindinėje byloje nagrinėjamas ginčas susijęs ne su Digi abonentų naudojimusi elektroninių ryšių paslaugomis, taigi ir su tokiu būdu perduodamų pranešimų bei su jais susijusių srauto duomenų apsauga, reglamentuojama Direktyva 2002/58, o su šios įmonės vidaus veikla. Neginčijama, kad 2018 m., įvykus techniniam serverio gedimui, dėl kurio pirminė abonentų duomenų bazė tapo neprieinama, Digi sukūrė failą, pavadintą „test“, į kurį  nukopijavo dalies savo klientų asmens duomenis(9). Digi  pašalinus  šį gedimą, duomenys papildomoje duomenų bazėje buvo saugomi iki 2019 m. rugsėjo mėn., kai įsilaužta į šią  bazę. Tokia Digi  vykdyta  veikla yra „asmens duomenų tvarkymas“, kurio atžvilgiu ši bendrovė yra „duomenų valdytoja“, kaip nurodyta  BDAR 4 straipsnio 2 ir 7 punktuose pateiktose apibrėžtyse. Be to, būtent dėl šio Digi statuso Institucija jai skyrė sankcijas už tai, kad ji nevykdė savo pareigų pagal, inter alia, BDAR 5 straipsnio 1 dalies b ir e punktus.

21.      Šiuo klausimu reikia priminti, kad, nepažeidžiant BDAR 23 straipsnyje numatytų  nukrypti leidžiančių nuostatų, tvarkant asmens duomenis visada turi būti paisoma jiems taikomų principų ir duomenų subjekto teisių, numatytų atitinkamai to reglamento II ir III skyriuose. Konkrečiai kalbant, bet koks asmens duomenų tvarkymas turi, pirma, atitikti minėto reglamento 5 straipsnyje nurodytus principus ir, antra, tenkinti jo 6 straipsnyje numatytas teisėtumo sąlygas(10).

22.      Pagal BDAR 5 straipsnį duomenų valdytojas privalo užtikrinti, kad asmens duomenys būtų „tvarkomi teisėtu, sąžiningu ir skaidriu būdu“ (a punktas), „renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu“ (b punktas), būtų „adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi“ (c punktas), „tikslūs ir prireikus atnaujinami“ (d punktas) ir, galiausiai, būtų „laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi“ (e punktas), o duomenų tvarkymui mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais taikomos specialios nuostatos. Šiomis aplinkybėmis duomenų valdytojas turi imtis visų reikalingų priemonių, kad šioje nuostatoje nurodytų reikalavimų neatitinkantys duomenys būtų ištrinti arba ištaisyti(11).
C.      Dėl prašymo priimti prejudicinį sprendimą apimties

23.      Prašymą priimti prejudicinį sprendimą pateikęs teismas siekia, kad Teisingumo Teismas nurodytų, kaip reikia aiškinti atitinkamai BDAR 5 straipsnio 1 dalies b ir e punktuose įtvirtintus tikslo apribojimo ir saugojimo trukmės apribojimo principus, todėl tuo tikslu pateikė du atskirus prejudicinius klausimus dėl šių nuostatų. Antrasis klausimas, susijęs su duomenų saugojimo trukmės apribojimo principu, suformuluotas tik sąlygiškai, darant prielaidą, kad nagrinėjamas duomenų tvarkymas gali būti  nesuderinamas su tikslo apribojimo principu.

24.      Svarbu pažymėti, kad BDAR 5 straipsnyje nustatyti asmens duomenų tvarkymo reikalavimai yra aiškiai kumuliatyvūs ir nepriklauso vienas nuo kito(12). Saugojimo trukmės apribojimo principo laikymosi klausimas ir tikslo apribojimo principo laikymosi klausimas teisiškai vienas nuo kito nepriklauso. Pagrindinėje byloje nagrinėjamame sprendime Institucija išreiškė nuomonę, kad duomenų saugojimas papildomoje vidaus  laikmenoje yra dviejų minėtų skirtingų principų pažeidimo priežastis.

25.      Nors prašymą priimti prejudicinį sprendimą pateikęs teismas formaliai apribojo savo antrąjį klausimą dėl jo sąlygiškumo, ši aplinkybė netrukdo Teisingumo Teismui pateikti jam visapusį  išaiškinimą, kuris  gali būti naudingas  priimant sprendimą pagrindinėje byloje, iš visos  šio teismo pateiktos  informacijos, ypač iš sprendimo ar nutarties dėl prašymo  priimti prejudicinį sprendimą motyvuojamosios dalies atrenkant aiškintinus Sąjungos teisės klausimus, atsižvelgiant į ginčo dalyką(13).
D.      Dėl duomenų tvarkymo teisėtumo atsižvelgiant į tikslo ir saugojimo trukmės apribojimo principus

1.      Pirminės pastabos

26.      Manau, kad pirmiausia būtina išanalizuoti BDAR 5 straipsnio 1 dalies b ir e punktuose nustatytų principų taikymo sritį, atsižvelgiant į  sąvoką  „saugojimas“, kuri nutartyje  dėl prašymo  priimti prejudicinį sprendimą ir suinteresuotųjų šalių pareiškimuose vartojama siekiant apibūdinti duomenų tvarkymą, dėl kurio kilo ginčas, dviem  aspektais. Pirmasis susijęs su pačiu duomenų saugojimo ar išsaugojimo  veiksmu, nagrinėjamu atveju – dalies Digi abonentų duomenų kopijos saugojimu papildomoje vidaus duomenų bazėje. Antrasis susijęs su tuo, kad saugojimas suprantamas kaip duomenų bazės išlaikymas laikui bėgant. Tada iškyla klausimas dėl duomenų saugojimo trukmės. Mano nuomone, toks laiko klausimas patenka ne į tikslo  apribojimo principo, o tik į saugojimo trukmės apribojimo principo taikymo sritį.

27.      BDAR 5 straipsnio 1 dalies b punkte numatytas tikslo  apribojimo principas turi dvi sudedamąsias dalis: pirma, asmens duomenys turi būti renkami „nustatytais, aiškiai apibrėžtais bei teisėtais tikslais“, antra, jie turi būti „toliau netvarkomi su tais tikslais nesuderinamu būdu“. Šio principo paskirtis – kuo aiškiau apibrėžti asmens duomenų naudojimą, užtikrinant pusiausvyrą tarp pagarbos duomenų subjektų pagrindinėms teisėms, susijusioms su privatumu ir duomenų apsauga, ir  tam tikro  duomenų valdytojo lankstumo  (jis būtinas dėl skaitmeninio gyvenimo ypatybių ir pavojų) valdant šiuos duomenis pripažinimo.

28.      Antrąja minėto principo sudedamąja dalimi, kuri mus ypač domina nagrinėjamu atveju, siekiama apibrėžti ribas, kurių laikantis tam tikru tikslu surinkti asmens duomenys gali būti naudojami pakartotinai. Pagal BDAR 5 straipsnio 1 dalies b punktą bet koks surinktų duomenų tvarkymas turi būti laikomas „tolesniu duomenų tvarkymu“, todėl, jei nenumatytos  išimtys, turi atitikti suderinamumo reikalavimą(14). Taigi būtinas  konkretus, logiškas  ir pakankamai glaudus ryšys  tarp tikslo, kuriam duomenys buvo surinkti, ir tolesnio duomenų tvarkymo. Kitaip tariant, šis tvarkymas neturi būti atsietas nuo pirminio duomenų rinkimo tikslo ar jam prieštarauti, o jo turinys turi būti suderinamas su duomenų rinkimo priežastimi, neatsižvelgiant į jokius laiko aspektus.

29.      Kalbant konkrečiai, tikslo apribojimo principas, kitaip nei BDAR 5 straipsnio 1 dalies e punkte nustatytas saugojimo apribojimo principas, nėra proporcingumo principo išraiška. Kaip nurodė Teisingumo Teismas, iš šiame straipsnyje numatytų reikalavimų matyti, kad, praėjus tam tikram laikui, net pradžioje buvęs teisėtas duomenų tvarkymas gali nebeatitikti šio reglamento, kai šie duomenys nebėra reikalingi tiems tikslams, dėl kurių buvo surinkti arba tvarkomi. Taip, be kita ko, yra tuo atveju, kai tie duomenys  atrodo neadekvatūs, nereikšmingi ar nebereikšmingi arba pertekliniai, atsižvelgiant  į tuos tikslus ir praėjusį laiką(15).

30.      Todėl taikant duomenų saugojimo apribojimo principą reikia, atsižvelgiant į praėjusį laiką, įvertinti duomenų tvarkymo proporcingumą jo tikslui. Duomenų saugojimas ilgiau, nei būtina, t. y. ilgiau, nei reikia tikslams, dėl kurių duomenys buvo saugomi, įgyvendinti, prieštarauja šiam principui(16). Pasiekus duomenų tvarkymo tikslus, duomenys turi būti ištrinti(17). Taigi saugojimo apribojimo principas atsako į klausimą, kada duomenų saugojimas papildomoje Digi  vidaus laikmenoje nebebuvo pateisinamas.

31.      Atsižvelgdamas į tai, kas išdėstyta, nagrinėjamo duomenų tvarkymo teisėtumą nagrinėsiu pagal du pirma  nurodytus    principus.
2.      Dėl tikslo apribojimo principo

32.      Norint patikrinti, ar buvo paisyta šio principo, atsižvelgiant į   jo antrąją sudedamąją dalį,  reikia iš anksto nustatyti atitinkamų duomenų rinkimo tikslą ar tikslus.  Iš Teisingumo Teismui pateiktos bylos medžiagos matyti, kad Digi šiuos duomenis surinko siekdama sudaryti ir vykdyti abonentines sutartis, kurias ji siūlė kaip interneto ir televizijos prieigos paslaugų teikėja, ir kad pagrindinės bylos šalys nesiginčija dėl šios pirmosios duomenų tvarkymo operacijos teisėtumo. Tas pats pasakytina ir apie neišvengiamą tolesnio duomenų tvarkymo operaciją, kurią sudaro minėtų duomenų saugojimas tam skirtoje laikmenoje, kurią  vadinsiu pirmine duomenų baze(18). Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikęs teismas visų pirma norėtų gauti atsakymą į klausimą, ar konkretus, aiškus ir teisėtas duomenų rinkimo tikslas „iš dalies pasikeičia“ dėl to, kad duomenys buvo nukopijuoti į duomenų bazę, kuri buvo papildoma, palyginti su šalių neginčijamu pirminiu saugojimu.

33.      Kaip nurodyta Teisingumo Teismo jurisprudencijoje, BDAR nustatytų asmens duomenų apsaugos taisyklių būtina laikytis visais atvejais tvarkant šiuos duomenis, kaip apibrėžta šio reglamento 2 straipsnyje(19). Mano nuomone, pirma  nurodytas  klausimas rodo, jog reikalavimas individualiai įvertinti visas surinktų duomenų tvarkymo operacijas, nagrinėjamu atveju kylantis pagal BDAR 5 straipsnio 1 dalies b punktą, yra neaiškus.

34.      Kitaip tariant, kiekvienas tolesnis šių duomenų naudojimo atvejis turi būti nagrinėjamas siekiant patikrinti konkretų jo tikslą ir, jeigu reikia, jo suderinamumą su duomenų rinkimo tikslu. Pastarojo ir pirminio duomenų saugojimo teisėtumas negali persiduoti taip, kad automatiškai darytų įtakos tikslo apribojimo principo laikymuisi vykdant kitą tolesnio duomenų tvarkymo veiklą, nors ir tvarkomi  tie patys duomenys. Kaip teigia Vengrijos vyriausybė, negalima manyti, kad duomenų valdytojas gali laisvai ir be apribojimų saugoti asmens duomenis keliose rinkmenose vien dėl to, kad jie iš pradžių buvo surinkti ir tvarkomi teisėtai.

35.      Todėl būtina, kaip reikalaujama pagal BDAR 5 straipsnio 1 dalies b punktą, išnagrinėti duomenų rinkimo ir tolesnio šių duomenų tvarkymo tikslų suderinamumo klausimą. Vis dėlto šis klausimas logiškai kyla tik tuo atveju, jei duomenys tvarkomi kitais tikslais nei iš pradžių nurodyti.

36.      Taigi, pagal šio reglamento 50 konstatuojamąją dalį, asmens duomenų tvarkymas „kitais tikslais“ nei tie, kuriais iš pradžių buvo rinkti asmens duomenys, turėtų būti leidžiamas tik tuo atveju, jei yra suderinamas su šio duomenų rinkimo tikslais. Šią išvadą taip pat patvirtina minėto reglamento 6 straipsnio 4 dalies formuluotė. Šioje nuostatoje pateikiamas nebaigtinis kriterijų sąrašas, kuris tam tikru  atveju padeda  įvertinti, ar duomenų tvarkymas „kitais tikslais“ yra suderinamas su tikslu, kuriam asmens duomenys buvo renkami nuo pradžių. Todėl nustačius, kad duomenų rinkimo ir tolesnio jų tvarkymo tikslai yra tapatūs (tokios nuomonės yra Digi), suderinamumo vertinimas  taptų neaktualus ir būtų galima daryti išvadą, jog pagal tikslo apribojimo principą šis duomenų tvarkymas yra teisėtas(20).
a)      Dėl duomenų tvarkymo tikslų

37.      Iš Teisingumo Teismui pateiktos bylos medžiagos ir konkrečiai iš Digi pareiškimų matyti, kad po serverio techninio gedimo, dėl kurio pirminė duomenų bazė tapo neprieinama, Digi saugojo kai kurių abonentų duomenų kopijas papildomoje vidaus  duomenų bazėje, vadinamoje „bandomąja“ duomenų baze, siekdama pašalinti  techninį gedimą ir užtikrinti prieigą prie duomenų vykdydama BDAR 5 straipsnio 1 dalies f punkte nustatytą ir 32 straipsnyje išsamiai aprašytą duomenų valdytojo pareigą(21). Digi teigia, kad ši duomenų tvarkymo operacija taip pat padėjo įgyvendinti duomenų rinkimo tikslą, t. y. teikti sutartyje numatytą paslaugą. Tokiomis aplinkybėmis duomenų saugojimas, dėl kurio kilo ginčas, nėra susijęs su atskiru tikslu, todėl reikėtų atmesti bet kokią  šio reglamento 5 straipsnio 1 dalies b punkto pažeidimo galimybę.

38.      Nors būtent prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti minėtos duomenų tvarkymo operacijos teisėtumą, atsižvelgdamas visų pirma į BDAR 5 straipsnyje nustatytus reikalavimus ir visas nagrinėjamam atvejui būdingas aplinkybes, šiuo tikslu jam galima  pateikti kelias gaires.

39.      Pirmiausia atkreipiu dėmesį į tai, kad Digi iš esmės teigia, jog duomenų tvarkymo, dėl kurio  kilo ginčas, tikslas buvo dvejopas, nes pirmiausia ir konkrečiai siekta pašalinti serverio gedimą ir užtikrinti abonentų duomenų prieinamumą, o šis tikslas buvo antraeilio bendrojo tikslo, susijusio su abonentinių sutarčių vykdymu, kuris sutampa su pirminio duomenų rinkimo tikslu, dalis.

40.      Praktikoje visiškai įmanoma, kad asmens duomenys gali būti renkami arba toliau tvarkomi dėl kelių tikslų, o tai, kaip matyti iš BDAR 5 straipsnio 1 dalies b punkto, 6 straipsnio 1 dalies a punkto ir 32 bei 50 konstatuojamųjų dalių formuluočių, aiškiai numatyta ir pripažįstama. Toks požiūris atitinka pragmatiškumo ir lankstumo poreikį, kurį lemia sudėtingas ir nevienodas  asmens duomenų tvarkymas skaitmeniniame amžiuje. Vis dėlto būtina atsižvelgti ir į tikslo tikslumo reikalavimą, kuris yra pagrindinis Europos  asmens duomenų apsaugos tvarkos įgyvendinimo elementas.

41.      Taigi  pakankamai tikslus tikslo nurodymas  yra pagrindinė garantija siekiant numatomumo ir teisinio tikrumo, nes padeda duomenų subjektui tinkamai suprasti galimą jo duomenų panaudojimą ir priimti visapusiškai pagrįstą sprendimą. Šis nuspėjamumas yra labai svarbus vertinant duomenų rinkimo tikslo ir tolesnio duomenų tvarkymo tikslo suderinamumą, nes taip sumažinama  duomenų subjektų pagrįstų lūkesčių, susijusių su galimu jų duomenų panaudojimu ateityje ir duomenų valdytojo vykdomomis operacijomis, iškraipymo rizika. Tikslo nurodymas taip pat reikalingas taikant kitus duomenų kokybės reikalavimus, įskaitant surinktų duomenų tinkamumo, aktualumo, proporcingumo ir tikslumo reikalavimus, taip pat BDAR 5 straipsnio 1 dalies c, d ir e punktuose nustatytus reikalavimus dėl duomenų saugojimo trukmės.

42.      Vadinasi, kaip pažymėta  29 straipsnio darbo grupės nuomonėje 3/2013(22), šis tikslumo reikalavimas taikomas bet kuriai duomenų tvarkymo operacijai, o ne tik pirminiu duomenų rinkimo etapu. Svarbu pažymėti, kad, jeigu duomenys tvarkomi remiantis duomenų subjekto sutikimu, pagal BDAR 6 straipsnio 1 dalies a punktą tas tvarkymas  yra teisėtas  tik tuo atveju, jei duomenų subjektas sutiko, kad duomenys būtų tvarkomi vienu ar keliais „konkrečiais“ tikslais.

43.      Nors tokiomis aplinkybėmis tam tikra duomenų tvarkymo operacija gali būti siekiama dviejų tikslų, kiekvienas iš šių tikslų turi būti konkretus ir objektyviai bei pakankamai glaudžiai susijęs su atitinkama duomenų tvarkymo operacija.

44.      Antra, reikia nurodyti konkretų kontekstą, kuriame turi būti vertinamas tolesnio duomenų tvarkymo tikslas ar tikslai.

45.      Remiantis BDAR 60 ir 61 konstatuojamosiomis dalimis, pagal sąžiningo ir skaidraus duomenų tvarkymo principą reikalaujama, kad duomenų subjektas būtų informuotas apie vykdomą asmens duomenų tvarkymo operaciją ir jos tikslus ir kad informacija apie jo asmens duomenų tvarkymą jam būtų pateikiama tuo metu, kai iš jo renkami duomenys. Šiuo aspektu to reglamento 13 straipsnio 1 dalies c punkte numatyta, kad kai iš duomenų subjekto renkami su juo susiję asmens duomenys, duomenų valdytojas tuo metu, kai duomenys gaunami, informuoja jį apie duomenų tvarkymo tikslus ir teisinį pagrindą.

46.      Vis dėlto, kad ir koks įžvalgus bei rūpestingas būtų duomenų valdytojas, pradėdamas duomenų tvarkymo grandinę sudarančias operacijas jis gali būti nepajėgus numatyti ir nustatyti visų jų pobūdį ir tikslią apimtį. Beje, nagrinėjamas  atvejis puikiai iliustruoja problemą, susijusią su techniniu gedimu, kuris iš principo yra netikėtas, ir tolesniu tam tikros rūšies duomenų tvarkymu iš pradžių nenurodytu tikslu.

47.      Priežiūros institucijai, o vėliau – ir už skundo dėl priežiūros institucijos sprendimo nagrinėjimą atsakingam teismui vertinant tokio duomenų tvarkymo teisėtumą, kaip šiuo atveju, šis tikslas tikrinamas a posteriori, atsižvelgiant į duomenų valdytojo per administracinę procedūrą  pateiktą informaciją. Pastarasis, kaip atitinkamos duomenų tvarkymo operacijos vykdytojas, turi įrodyti nurodyto tikslo realumą ir prireikus duomenų tvarkymo suderinamumą su duomenų rinkimo tikslu, taikant BDAR 5 straipsnio 2 dalyje numatytą atsakomybės principą(23).

48.      Šiuo atžvilgiu tikrinant šį tikslą galima atsižvelgti į du konkrečius objektyvius elementus. Pirma, BDAR 13 straipsnio 3 dalyje numatyta, kad, kai iš duomenų subjekto renkami su juo susiję asmens duomenys ir kai duomenų valdytojas ketina juos toliau tvarkyti kitu tikslu nei tas, kuriuo jie buvo surinkti, jis iš anksto pateikia duomenų subjektui informaciją apie tą kitą tikslą(24) ir bet kokią kitą svarbią informaciją, nurodytą šios nuostatos 2 dalyje. Antra, BDAR 30 straipsnio 1 dalyje reikalaujama, kad kiekvienas duomenų valdytojas tvarkytų rašytinį, įskaitant elektroninį, duomenų tvarkymo veiklos, už kurią jis atsakingas, registrą ir, gavęs prašymą, pateiktų jį priežiūros institucijai. Šiame registre fiksuojama  įvairi informacija, įskaitant informaciją, susijusią su duomenų tvarkymo tikslais.

49.      Nagrinėjamu atveju atrodo akivaizdu, kad Digi neinformavo nė vieno atitinkamo abonento apie ketinimą kopijuoti jų duomenis ir saugoti juos bandymams bei klaidų taisymui atlikti skirtoje vidaus laikmenoje, nes manė, kad šios duomenų tvarkymo operacijos tikslas nesiskyrė nuo duomenų rinkimo tikslo ir dėl to nepateko  į BDAR 13 straipsnio 3 dalies taikymo sritį(25). Be to, iš Teisingumo Teismui pateiktos bylos medžiagos negalima nustatyti, ar Digi gali pasinaudoti reglamento 30 straipsnio 5 dalyje numatyta pareigos tvarkyti registrą išimtimi(26).

50.      Bet kuriuo atveju atkreipiu dėmesį į tai, kad per posėdį Digi aiškiai nurodė, jog dėl 2018 m. įvykusio techninio gedimo sutartyje numatytos paslaugos teikimas nebuvo nutrauktas, o saugojimas, dėl kurio kilo ginčas, buvo vykdytas  tik atsižvelgiant į tokio nutraukimo riziką. Šie teiginiai turi būti siejami su objektyviais faktiniais duomenimis: tai, kad pasirinktas vadinamosios bandomosios duomenų bazės pavadinimas, kad joje buvo saugomi ne visų, o tik trečdalio abonentų duomenys ir kad nors minėta duomenų bazė Digi buvo pamiršta 18 mėnesių nuo tada, kai pašalintas pirminis  techninis incidentas, ji buvo nedelsiant ištrinta po 2019 m. rugsėjo mėn. programišiaus įvykdyto įsilaužimo, turėjusio įtakos duomenų saugumui.

51.      Tokiomis aplinkybėmis galima daryti išvadą, kad duomenų tvarkymas, dėl kurio kilo ginčas, buvo vykdomas tik konkrečiu ir specifiniu tikslu – užtikrinti laikiną dalies abonentų duomenų apsaugą, kol buvo šalinamas techninis  gedimas, turėjęs  įtakos serverio veikimui, o šis tikslas, mano nuomone, skiriasi nuo duomenų rinkimo tikslo.

52.      Tačiau Komisija ir Digi tvirtina, kad toks duomenų tvarkymas, kai siekiama laikytis BDAR 5 straipsnio 1 dalies f punkte nustatyto ir jo 32 straipsnyje išsamiai aprašyto duomenų valdytojo įpareigojimo užtikrinti duomenų tvarkymo saugumą, negali būti laikomas nauju ar atskiru tikslu, nes taip būtų pakenkta šio teisės akto veiksmingumui ir duomenų subjektų informavimas taptų praktiškai nenaudingas.

53.      Man atrodo, kad toks abstraktus ir sisteminis požiūris prieštarauja reikalavimui įvertinti kiekvienos duomenų tvarkymo operacijos teisėtumą, atsižvelgiant į visas svarbias konkretaus atvejo aplinkybes. Būtent dėl tokio  požiūrio  BDAR 13 straipsnio 3 dalyje nustatyta pareiga informuoti duomenų subjektus, kurią duomenų valdytojas turi vykdyti, kad užtikrintų sąžiningą jų duomenų tvarkymą, gali tapti  neveiksminga(27). Ši pareiga yra privaloma tuo atveju, kai, kaip nagrinėjamoje byloje, duomenų tvarkymas vykdomas remiantis sutartiniais santykiais ir grindžiamas šio akto 6 straipsnio 1 dalies b punkto nuostata, susijusia su būtinybe vykdyti sutartį nereikalaujant sutarties šalių sutikimo. Galiausiai laikantis tokio požiūrio neatsižvelgiama į BDAR 5 straipsnio 1 dalies b punkto logiką, t. y. kad tolesnis duomenų tvarkymas kitu tikslu nei tas, kuriuo jie buvo surinkti, nebūtinai yra neteisėtas, nes vien suderinamumo su duomenų rinkimo tikslu pakanka, kad minėtos nuostatos būtų laikomasi.
b)      Dėl duomenų tvarkymo suderinamumo

54.      BDAR 5 straipsnio 1 dalies b punkte nenurodoma, kokiomis sąlygomis tolesnis duomenų tvarkymas kitu tikslu nei pirminio duomenų rinkimo tikslas gali būti laikomas suderinamu su pirminiu duomenų rinkimo tikslu. Šiuo aspektu reikia daryti nuorodą į BDAR 6 straipsnio 4 dalį, siejamą su jo 50 konstatuojamąja dalimi, iš kurių matyti, kad yra tikslų apribojimo principo ir atitinkamos duomenų tvarkymo operacijos teisinio pagrindo ryšys.

55.      Taigi šioje nuostatoje, atsižvelgiant į suderinamumo reikalavimą, daromas skirtumas atsižvelgiant į tai, ar duomenų tvarkymas kitu tikslu nei tas, kuriuo duomenys buvo surinkti, yra, ar nėra grindžiamas duomenų subjekto sutikimu, Sąjungos teise arba valstybės narės teise, ir tai yra demokratinėje visuomenėje būtina ir  proporcinga priemonė siekiant užtikrinti BDAR 23 straipsnio 1 dalyje nurodytų tikslų įgyvendinimą.

56.      Jeigu atsakymas yra teigiamas, duomenų valdytojui pagal BDAR 50 konstatuojamosios dalies antrą pastraipą leidžiama toliau tvarkyti asmens duomenis, neatsižvelgiant į tikslų suderinamumą(28). Ši suderinamumo reikalavimo išimtis iš esmės pateisinama kitomis duomenų subjektų apsaugos taisyklėmis, konkrečiau – nuostatomis, susijusiomis su tų subjektų  informavimu apie kitus tikslus ir teise pasipriešinti duomenų tvarkymui(29).

57.      Jeigu atsakymas yra neigiamas, – o tokia situacija susiklostė nagrinėjamoje byloje, –  BDAR 6 straipsnio 4 dalies numatyta:
„<...> duomenų valdytojas siekdamas įsitikinti, ar duomenų tvarkymas kitu tikslu yra suderinamas su tikslu, dėl kurio iš pradžių asmens duomenys buvo surinkti, atsižvelgia, inter alia, į:
a)      visas sąsajas tarp tikslų, kuriais asmens duomenys buvo surinkti, ir numatomo tolesnio duomenų tvarkymo tikslų;
b)      aplinkybes, kuriomis asmens duomenys buvo surinkti, visų pirma, susijusias su duomenų subjektų ir duomenų valdytojo tarpusavio santykiu;
c)      asmens duomenų pobūdį, visų pirma, ar tvarkomi specialių kategorijų asmens duomenys pagal 9 straipsnį, ar tvarkomi asmens duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas pagal 10 straipsnį;
d)      numatomo tolesnio duomenų tvarkymo galimas pasekmes duomenų subjektams;
e)      tinkamų apsaugos priemonių, kurios gali apimti šifravimą ar pseudonimų suteikimą, buvimą.“

58.      Kadangi rinkdama duomenis Digi oficialiai nenurodė, kaip ir kokiu tikslu jie bus tvarkomi toliau, reikia vadovautis esme grindžiamu požiūriu, kuris, mano nuomone, yra pagrindas daryti išvadą, kad duomenų tvarkymas atitinka reikalavimus.

59.      Šiuo aspektu  neabejotinai egzistuoja ryšys tarp pirminio duomenų rinkimo tikslo, t. y. interneto ir televizijos abonentinės sutarties vykdymo, ir duomenų tvarkymo operacijos, kuria siekiama apsaugoti šiuos duomenis papildomoje vidaus duomenų bazėje ir visiškai saugiai atlikti bandymus, skirtus techniniam gedimui, kuris galėtų pakenkti sutartyje numatytos paslaugos teikimui, pašalinti. Nors, kaip jau nurodyta, šie tikslai nesutampa, jie yra logiškai susiję.

60.      Svarbu pažymėti, kad taip tvarkant duomenis nenukrypstama nuo teisėtų abonentų lūkesčių dėl tolesnio jų duomenų naudojimo. Papildomas duomenų saugojimas vidaus  laikmenoje, grindžiamas poreikiu pašalinti techninį gedimą, turintį įtakos pirminės duomenų bazės duomenų prieinamumui, iš tikrųjų negali būti laikomas netikėtu ar neįtikėtinu. Be to, atitinkamus duomenis toliau tvarkė tas pats duomenų valdytojas ir jie nebuvo atskleisti trečiosioms šalims, o tai a priori  reikštų neigiamo poveikio nebuvimą. Aplinkybė, kad įsilaužęs į Digi sistemą programišius galėjo pasiekti toje laikmenoje esančius duomenis, mano nuomone, nėra pagrindas atgaline data daryti išvadą, jog nagrinėjamas duomenų tvarkymas neatitiko reikalavimų.
3.      Dėl saugojimo trukmės apribojimo principo

61.      BDAR 5 straipsnio 1 dalies e punkte numatyta, kad  asmens duomenys turi būti laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti(30) ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; asmens duomenis galima saugoti ilgesnius laikotarpius, jeigu asmens duomenys bus tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal šio reglamento 89 straipsnio 1 dalį, įgyvendinus atitinkamas technines ir organizacines priemones, kurių reikalaujama tuo  reglamentu siekiant apsaugoti duomenų subjekto teises ir laisves.

62.      Kaip buvo nurodyta, saugojimo trukmės apribojimo principu išreiškiamas proporcingumo principas, taip pat duomenų kiekio mažinimo principas, pagal kurį asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi(31). Atsižvelgiant į saugojimo apribojimo principą, duomenų tvarkymo būtinumo klausimas, vertinant iš laiko perspektyvos, yra susijęs su duomenų tvarkymo tikslo išlikimu.

63.      Taip pat reikia priminti, kad, laikantis proporcingumo principo, nukrypti nuo asmens duomenų apsaugos leidžiančios nuostatos ir šios apsaugos apribojimai negali viršyti to, kas griežtai būtina(32). Teisingumo Teismas aiškiai nurodė, kad BDAR 5 straipsnio 1 dalies d punktu siekiama apsaugoti suinteresuotuosius asmenis(33).

64.      Be to, BDAR 39 konstatuojamojoje dalyje aiškiai nurodyta, kad duomenų saugojimo laikotarpis turi būti „tikrai minimalus“ ir kad šiuo tikslu duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės peržiūros terminus. BDAR 13 straipsnio 2 dalies a punkte nustatyta, kad duomenų valdytojas, gaudamas asmens duomenis, be šio straipsnio 1 dalyje nurodytos informacijos, privalo pateikti duomenų subjektui papildomos informacijos, kuri yra būtina sąžiningam ir skaidriam duomenų tvarkymui užtikrinti, įskaitant laiką, kurį asmens duomenys bus saugomi, arba, jeigu tai neįmanoma, kriterijus, pagal kuriuos tas laikas nustatomas(34).

65.      Turint tai omenyje ir atsižvelgiant į visas nagrinėjamos bylos aplinkybes(35), būtina nustatyti, kada kai kurių abonentų duomenų kopijos saugojimo papildomoje vidaus  duomenų bazėje tikslai prireikus galėjo būti laikomi pasiektais ir dėl to šis duomenų tvarkymas nebeteko savo tikslo, o Digi privalėjo ištrinti duomenis. Akivaizdu, kad taikant BDAR 5 straipsnio 2 dalyje numatytą atsakomybės principą, duomenų valdytojas  turi įrodyti duomenų tvarkymo teisėtumą pagal saugojimo trukmės apribojimo principą ir  tikslo apribojimo principą.

66.      Nagrinėjamu atveju manydama, kad duomenų saugojimas, dėl kurio kilo ginčas, atitiko duomenų apsaugos tikslą ir taip padėjo įgyvendinti abonentinės sutarties vykdymo tikslą, Digi teigia, jog duomenų saugojimo bandomojoje duomenų bazėje laikotarpis atitiko jos sutartinių įsipareigojimų vykdymo laikotarpį, o tuo remiantis galima teigti, kad nepadarytas joks BDAR 5 straipsnio 1 dalies e punkto pažeidimas.

67.      Dėl tikslo ar tikslų nustatymo reikia pažymėti, kad remiuosi visomis išvadomis ir vertinimais, pateiktais atsakant į klausimą dėl tikslo apribojimo principo laikymosi, iš kurių matyti, kad negalima pripažinti, jog nagrinėjamu duomenų tvarkymu buvo siekiama dvejopo tikslo, apimančio ir  abonentinės sutarties vykdymą(36).

68.      Bet kuriuo atveju, kad ir koks būtų tikslo ar tikslų pobūdis, duomenų tvarkymas saugant juos papildomoje vidaus  rinkmenoje vis dėlto turėtų būti ne ilgesnis, nei iš tikrųjų būtina. Kitaip tariant, pašalinus pirminį gedimą, aplinkybė, kuria buvo grindžiama saugojimo operacija ir jos pratęsimas, išnyko. Tokiomis aplinkybėmis tiesioginis ir pagrindinis tikslas užtikrinti duomenų saugumą, susijusį su techninio incidento pašalinimu, – atskirai ar net kartu su netiesioginiu ir papildomu tikslu vykdyti abonentinę  sutartį – nebegali būti laikomas tolesnį duomenų tvarkymą pateisinančiu pagrindu.

69.      Reikia konstatuoti, kad Digi  vienareikšmiškai  nurodė, jog bandomoji duomenų bazė buvo skirta prieigai prie abonentų duomenų užtikrinti, „kol klaida bus ištaisyta“, ir kad ji netyčia jos neištrynė, nors to nebebuvo galima pateisinti klaidų ištaisymu(37), o tai reiškia, kad duomenų tvarkymas, dėl kurio kilo ginčas, nebebuvo reikalingas, taigi, nebeturėjo tikslo. Ar galima manyti, kad vidaus duomenų bazė, kuri, kaip pripažįsta duomenų valdytojas, pusantrų metų buvo pamiršta, vis dar gali atitikti  veiksmingą tikslą? Man atrodo, atsakymas bet kuriuo atveju  turi būti neigiamas.
V.      Išvada

70.      Atsižvelgdamas į visa tai, kas pirma išdėstyta, siūlau Teisingumo Teismui taip atsakyti Fővárosi Törvényszék (Sostinės apygardos teismas):
1.      2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 5 straipsnio 1 dalies b punktas turi būti aiškinamas taip, kad pagal jame įtvirtintą principą  nedraudžiama  teisėtai surinktų ir saugomų asmens duomenų laikyti  papildomoje vidaus duomenų bazėje, jeigu tokiu duomenų tvarkymu siekiama tų pačių tikslų, kuriems tie duomenys buvo surinkti, arba, jeigu taip nėra, jis atitinka šiuos tikslus, o tai turi įrodyti duomenų valdytojas, taip pat ir tuo atveju, kai duomenų tvarkymas atitinka duomenų valdytojo pareigą tinkamai užtikrinti asmens duomenų saugumą, kaip numatyta šio reglamento 5 straipsnio 1 dalies f punkte.
Kai minėtas duomenų tvarkymas kitu tikslu nei tas, kuriam duomenys buvo surinkti, nėra grindžiamas duomenų subjekto sutikimu ar Sąjungos ar valstybės narės teisės aktu, patenkančiu į Reglamento 2016/679 23 straipsnio 1 dalies taikymo sritį, jo suderinamumas turi būti nustatomas visų pirma atsižvelgiant į šio reglamento 6 straipsnio 4 dalyje nustatytus kriterijus.
2.      Reglamento 2016/679 5 straipsnio 1 dalies e punktas turi būti aiškinamas taip, kad pagal jame įtvirtintą principą draudžiama teisėtai surinktus ir saugomus duomenis saugoti tokia forma, kuri  leidžia nustatyti duomenų subjektų tapatybę, papildomoje vidaus duomenų bazėje, sukurtoje siekiant  pašalinti techninį gedimą ir laikinai apsaugoti šiuos duomenis, ilgiau, nei tai būtina šiam tikslui pasiekti, taigi ir jau pašalinus šį  gedimą, įskaitant atvejus, kai šis tikslas, kuris yra tiesioginis ir pagrindinis, gali būti susietas su netiesioginiu ir papildomu tikslu teikti sutartyje numatytą paslaugą.

1      Originalo kalba: prancūzų.

2      2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, klaidų ištaisymas OL L 127, 2018, p. 2, ir OL L 74, 2021, p. 35) (toliau – BDAR).

3      2020 m. liepos 16 d. Sprendimas Facebook Ireland ir Schrems (C-311/18, EU:C:2020:559, 73 ir 74 punktai).

4      2002 m. liepos 12 d. Europos Parlamento ir Tarybos direktyva dėl asmens duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl privatumo ir elektroninių ryšių) (OL L 201, 2002, p. 37; 2004 m. specialusis leidimas lietuvių k., 13 sk., 29 t., p. 514).

5      2020 m. spalio 6 d. Sprendimas, Privacy International (C-623/17, EU:C:2020:790, 34 ir 36 punktai).

6      1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355).

7      Reikia priminti, kad BDAR panaikinta ir pakeista Direktyva 95/46 ir reikšmingų šio reglamento nuostatų taikymo sritis yra iš esmės tapati reikšmingų šios direktyvos nuostatų taikymo sričiai, todėl Teisingumo Teismo jurisprudencija, susijusi su šia direktyva, iš principo taip pat taikytina minėtam reglamentui (2021 m. birželio 17 d. Sprendimas M.I.C.M. (C-597/19, EU:C:2021:492, 107 punktą).

8      Žr. 2020 m. lapkričio 11 d. Sprendimą Orange Romania (C-61/19, EU:C:2020:901) dėl Direktyvos 95/46 ir BDAR nuostatų išimtinio įgyvendinimo byloje dėl mobiliojo ryšio paslaugas Rumunijos rinkoje teikiančios bendrovės Orange România klientų sutikimo, kad ji rinktų ir saugotų jų asmens tapatybės dokumentų kopijas.

9      Iš Komisijos pastabų 2 punkto matyti, kad šiuos duomenis sudaro ši informacija: duomenų subjekto vardas, pavardė, gimimo vieta ir data, adresas, asmens tapatybės kortelės numeris, kartais asmens kodas, el. pašto adresas, fiksuoto ir mobiliojo telefono numeriai.

10      2020 m. spalio 6 d. Sprendimo La Quadrature du Net ir kt. (C-511/18, C-512/18 ir C-520/18, EU:C:2020:791, 208 punktas).

11      Pagal analogiją žr. 2014 m. gegužės 13 d. Sprendimą Google Spain ir Google (C-131/12, EU:C:2014:317, 72 punktas).

12      Nepaisant duomenų valdytojo pareigų, nustatytų BDAR 5 straipsnyje, savarankiškumo, nedraudžiama, kad šias pareigas sietų tam tikras ryšys, kuris nagrinėjamu atveju grindžiamas sąvoka „tikslai“. Duomenų tvarkymo veiklos pobūdžio ir tikslų patikrinimas yra labai svarbus siekiant įvertinti, ar laikomasi šioje nuostatoje įtvirtintų principų, visų pirma tikslo ir duomenų saugojimo trukmės apribojimo principų, kurie svarbūs pagrindinėje byloje nagrinėjamo ginčo atveju.

13      2021 m. balandžio 22 d. Sprendimas Profi Credit Slovakia (C-485/19, EU:C:2021:313, 50 punktas).

14      Tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais turi būti laikomas teisėtu duomenų tvarkymo tvarkymu, suderinamu su pirminiais tikslais pagal BDAR 5 straipsnio 1 dalies b punktą, o tokia situacija neatitinka pagrindinės bylos aplinkybių.

15      Pagal analogiją žr. 2014 m. gegužės 13 d. Sprendimą Google Spain ir Google (C-131/12, EU:C:2014:317, 93 punktas).

16      Šiuo klausimu žr. 2009 m. gegužės 7 d. Sprendimą Rijkeboer(C-553/07, EU:C:2009:293, 33 punktas) ir 2014 m. gegužės 13 d. Sprendimą Google Spain ir Google (C-131/12, EU:C:2014:317, 92 punktas).

17      Šiuo klausimu žr. 2009 m. gegužės 7 d. Sprendimą Rijkeboer (C-553/07, EU:C:2009:293, 33 punktas).

18      Atsižvelgiant į šių duomenų tvarkymo operacijų pobūdį, atrodo, kad RGPD 6 straipsnio 1 dalies a ir b punktai yra tinkamas jų teisinis pagrindas, dėl kurio nagrinėjamoje byloje visiškai nesiginčijama.

19      Pagal analogiją žr. 2003 m. gegužės 20 d. Sprendimą Österreichischer Rundfunk ir kt. (C-465/00, C-138/01 et C-139/01, EU:C:2003:294, 40 punktas).

20      Renkant kliento asmens duomenis ir juos saugant pirminėje duomenų bazėje, tuo pat metu siekiama to paties tikslo, t. y. teikti sutartyje numatytą paslaugą.

21      Žr. Digi pastabų 13 punktą.

22      Nepriklausoma patariamoji įstaiga, įsteigta pagal Direktyvos 95/46 29 straipsnį, kurią priėmus BDAR pakeitė Europos duomenų apsaugos valdyba.

23      Pagal analogiją žr. 2020 m. lapkričio 11 d. Sprendimą Orange Romania (C-61/19, EU:C:2020:901, 51 ir 52 punktai).

24      BDAR 13 straipsnio 3 dalies turinys patvirtina požiūrį, kad tikslingumo reikalavimas taikomas ne tik duomenų rinkimo etapui, bet ir bet kuriai duomenų tvarkymo operacijai.

25      Ši nuostata atspindi duomenų valdytojui suteiktą valdymo lankstumą, nes tik nuo jo diskrecijos priklauso pareigos suteikti informaciją duomenų subjektams įgyvendinimas. Dėl šios galimybės priežiūros institucija turi atlikti griežtą duomenų tvarkymo tikslų patikrinimą, kuris būtinas siekiant užtikrinti, kad tolesnis duomenų tvarkymas būtų teisėtas ir visų pirma atitiktų suderinamumo reikalavimą.

26      Šios pareigos taikymo sritis iš tikrųjų susiaurinta dėl to, kad ji netaikoma įmonei arba organizacijai, kurioje dirba mažiau nei 250 darbuotojų, išskyrus atvejus, kai dėl jos vykdomo duomenų tvarkymo gali kilti pavojus duomenų subjektų teisėms ir laisvėms, kai duomenų tvarkymas nėra nereguliarus arba apima konkrečių kategorijų asmens duomenis, kaip nurodyta BDAR 9 straipsnio 1 dalyje, arba kai tvarkomi šio teisės akto 10 straipsnyje nurodyti asmens duomenys apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas.

27      2020 m. lapkričio 11 d. Sprendimas Orange Romania (C-61/19, EU:C:2020:901, 48 punktas). Įdomu tai, kad BDAR 14 straipsnio 5 dalies b punkte numatyta išimtis, pagal kurią duomenų valdytojas neprivalo teikti informacijos, kai asmens duomenys nebuvo gauti iš duomenų subjekto, tais atvejais, kai informacijos pateikti neįmanoma arba kai tai pareikalautų neproporcingų pastangų, netaikoma šio reglamento 13 straipsnyje reglamentuojamiems atvejams.

28      Reikia pažymėti, kad prie duomenų tvarkymo operacijų, kurioms netaikomas suderinamumo reikalavimas, nepriskiriamas duomenų tvarkymas, grindžiamas BDAR 6 straipsnio 1 dalies c punktu, kai duomenų tvarkymas būtinas siekiant vykdyti duomenų valdytojui taikomą teisinę pareigą, visų pirma reglamento 5 straipsnio 1 dalies f punkte nustatytą pareigą tinkamai užtikrinti duomenų saugumą. 

29      Primintina, kad pagal BDAR 6 straipsnio 1 dalies a punktą duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu duomenų subjektas sutiko, kad jo asmens duomenys būtų tvarkomi „vienu ar keliais konkrečiais tikslais“.

30      Nagrinėjamu atveju dėl šios sąlygos nesiginčyta.

31      Šiuo klausimu žr. 2021 m. birželio 22 d. Sprendimą Latvijas Republikas Saeima (Baudos taškai) (C-439/19, EU:C:2021:504, 98 punktas).

32      2020 m. spalio 6 d. Sprendimo La Quadrature du Net ir kt. (C-511/18, C-512/18 ir C-520/18, EU:C:2020:791, 210 punktas).

33      Pagal analogiją žr. 2009 m. gegužės 7 d. Sprendimą Rijkeboer (C-553/07, EU:C:2009:293, 35 punktas).

34      Atsižvelgiant į sąlygas, kuriomis buvo vykdomas duomenų tvarkymas, dėl kurio kilo ginčas, ši nuostata nagrinėjamu atveju netaikoma.

35      2014 m. gegužės 13 d. Sprendimas Google Spain ir Google (C-131/12, EU:C:2014:317, 94 punktai).

36      Norėčiau tik pažymėti, kad tai, jog bandomoji duomenų bazė buvo ištrinta iš karto po „etiško“ programišiaus įsilaužimo, dėl kurio nukentėjo Digi, neatsižvelgiant į sutartinių santykių su atitinkamais abonentais tęstinumą, iš esmės prieštarauja teiginiui, jog šios duomenų bazės išsaugojimas buvo grindžiamas abonentinių sutarčių vykdymu.

37      Žr., be kita ko, Digi pastabų 22 punktą.