CELEX: 62021CC0077
Language: ro
Date: 2022-03-31
Title: Concluziile avocatului general P. Pikamäe prezentate la 31 martie 2022.###

Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL PRIIT PIKAMÄE
prezentate la 31 martie 2022(1)

Cauza C‑77/21

Digi Távközlési és Szolgáltató Kft.

împotriva

Nemzeti Adatvédelmi és Információszabadság Hatóság

[cerere de decizie preliminară formulată de Fővárosi Törvényszék (Curtea din Budapesta‑Capitală, Ungaria)]
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 5 alineatul (1) literele (b) și (e) – Principiul limitărilor legate de scop – Principiul limitărilor legate de stocare – Datele cu caracter personal ale clienților colectate și stocate în mod legal – Crearea unei alte baze de date interne specifice în urma unei defecțiuni tehnice – Verificare a posteriori a scopurilor prelucrării – Dublu scop – Lipsă de identitate între scopurile prelucrării și cele ale colectării datelor – Compatibilitatea prelucrării cu scopurile colectării – Articolul 6 alineatul (4) – Omisiunea de a șterge baza de date după corectarea defecțiunii tehnice – Realizarea scopurilor prelucrării”

1.        În ce condiții un furnizor de acces la internet și la televiziune poate păstra datele cu caracter personal ale clienților săi, colectate și stocate deja în mod legal, pe un suport intern suplimentar, fără consimțământul lor expres, dar pentru a remedia o defecțiune tehnică?

2.        Aceasta este una dintre problemele ridicate de prezenta cauză care va permite Curții să își completeze jurisprudența din ce în ce mai bogată cu privire la Regulamentul (UE) 2016/679(2), în special în ceea ce privește principiile limitărilor legate de scop și de stocare prevăzute la articolul 5 alineatul  (1) literele (b) și (e) din acest act.
I.      Cadrul juridic

3.        Relevante în prezenta cauză sunt articolele 4-6, 13 și 32 din RGPD.
II.    Litigiul principal și întrebările preliminare

4.        Digi Távközlési és Szolgáltató Kft. (denumită în continuare „Digi”) este unul dintre principalii furnizori de servicii de internet și de televiziune din Ungaria.

5.        În luna aprilie 2018, în urma unei defecțiuni tehnice care a afectat funcționarea unui server, Digi a creat o bază de date denumită „de testare”, în care a copiat datele cu caracter personal ale aproximativ unei treimi din clienții săi privați.

6.        La 23 septembrie 2019, Digi a luat cunoștință de faptul că un „hacker etic” a avut acces la datele personale ale aproximativ 322 000 de persoane. Atacul a fost semnalat în scris chiar de hacker printr‑un e‑mail adresat acestei întreprinderi la 21 septembrie 2019, extrăgând, cu titlu demonstrativ, o linie din baza de date de testare. Digi a corectat eroarea și a încheiat un acord de confidențialitate cu această persoană căreia i‑a oferit o recompensă.

7.        La 25 septembrie 2019, după ce a șters baza de date de testare, Digi a notificat Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoritatea Națională pentru Protecția Datelor și Libertatea de Informare, denumită în continuare „Autoritatea”) cu privire la încălcarea securității datelor cu caracter personal, motiv pentru care aceasta din urmă a deschis o investigație.

8.        Printr‑o decizie din 18 mai 2020, Autoritatea a concluzionat printre altele, pe de o parte, că Digi a încălcat articolul  5 alineatul  (1) literele (b) și (e) din RGPD, întrucât, după efectuarea testelor necesare și corectarea problemelor, aceasta nu a șters baza de date de testare, astfel încât un număr mare de date cu caracter personal au fost stocate în această bază de date de testare fără niciun scop, timp de aproape 18 luni, într‑un sistem de evidență care putea permite identificarea persoanelor vizate, omisiunea de a șterge această bază de date permițând încălcarea securității datelor cu caracter personal. Pe de altă parte, Autoritatea a considerat că Digi a încălcat articolul  32 alineatele (1) și (2) din RGPD. În aceste condiții, Autoritatea a aplicat Digi o amendă de 100 000 000 de forinți maghiari (HUF) (aproximativ 27 000 de euro).

9.        Digi a contestat legalitatea acestei decizii la instanța de trimitere.

10.      Aceasta din urmă arată că datele cu caracter personal copiate de Digi în baza de date de testare au fost colectate în scopul încheierii contractelor de abonament și că legalitatea colectării datelor nu a fost contestată de Autoritate. Instanța de trimitere ar dori totuși să afle dacă scopul colectării și al prelucrării datelor este modificat ca urmare a faptului că datele colectate cu un anumit scop au fost copiate într‑o altă bază de date. Aceasta adaugă că trebuie de asemenea să se stabilească dacă crearea unei baze de date de testare și continuarea prelucrării în acest mod a datelor clienților sunt compatibile cu scopul colectării acestor date. În această privință, principiul limitărilor legate de scop nu ar oferi indicații clare cu privire la problema sistemelor interne în care operatorul are dreptul de a prelucra datele colectate în mod legal sau dacă el poate copia aceste date într‑o bază de date de testare fără a modifica scopul colectării datelor.

11.      În ipoteza în care crearea bazei de date de testare ar fi incompatibilă cu scopul colectării, instanța de trimitere ridică de asemenea problema dacă, din moment ce scopul prelucrării datelor clienților într‑o altă bază de date nu este corectarea erorilor, ci încheierea contractelor, perioada de stocare necesară trebuie să corespundă perioadei necesare pentru corectarea erorilor sau mai curând perioadei necesare executării obligațiilor contractuale.

12.      În aceste condiții, Fővárosi Törvényszék (Curtea din Budapesta‑Capitală, Ungaria) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1)      Noțiunea de «limitări legate de scop», astfel cum este definită la articolul 5 alineatul (1) litera (b) din [RGDP], trebuie interpretată în sensul că este conform cu aceasta faptul că operatorul stochează în paralel, într‑o altă bază de date, anumite date cu caracter personal, care de altfel au fost colectate și stocate cu un scop legitim limitat, sau, dimpotrivă, în ceea ce privește baza de date paralelă, nu mai este valabil scopul legitim limitat al colectării datelor?
2)      În cazul în care se răspunde la prima întrebare preliminară în sensul că păstrarea paralelă a datelor este în sine incompatibilă cu principiul «limitărilor legate de scop», faptul că operatorul stochează în paralel, într‑o altă bază de date, anumite date cu caracter personal, care de altfel au fost colectate și stocate cu un scop legitim limitat, este compatibil cu principiul «limitării legate de stocare», prevăzut la articolul 5 alineatul (1) litera (e) din [RGDP]?”
III. Procedura în fața Curții

13.      Reclamanta și pârâta din litigiul principal, guvernele maghiar, ceh și portughez, precum și Comisia Europeană au depus observații scrise. În ședința care a avut loc la 17 ianuarie 2022, au fost ascultate de asemenea observațiile orale ale reclamantei și ale pârâtei din litigiul principal, precum și ale guvernului maghiar și ale Comisiei.
IV.    Analiză

A.      Cu privire la admisibilitate

14.      Autoritatea, precum și guvernul maghiar au exprimat îndoieli cu privire la admisibilitatea cererii de decizie preliminară pentru motivul că întrebările adresate nu ar reflecta situația de fapt din cauza principală și nu ar fi relevante în mod direct pentru soluționarea acesteia.

15.      Din jurisprudența constantă a Curții rezultă că numai instanțele naționale care sunt sesizate cu soluționarea litigiului și care trebuie să își asume răspunderea pentru hotărârea judecătorească ce urmează a fi pronunțată au competența să aprecieze, luând în considerare particularitățile cauzei, atât necesitatea unei decizii preliminare, pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții. În consecință, în cazul în care întrebările adresate privesc interpretarea sau validitatea unei norme a dreptului Uniunii, Curtea este, în principiu, obligată să se pronunțe. Rezultă că întrebările adresate de instanțele naționale beneficiază de o prezumție de pertinență. Curtea poate refuza să se pronunțe asupra unei întrebări preliminare adresate de o instanță națională numai dacă rezultă că interpretarea solicitată nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, dacă problema este de natură ipotetică ori Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util întrebărilor respective. În speță, cererea de decizie preliminară conține elemente de fapt și de drept suficiente pentru a înțelege sensul întrebărilor preliminare. În plus și mai ales, niciun element din dosarul de care dispune Curtea nu permite să se considere că interpretarea solicitată a dreptului Uniunii nu ar avea legătură cu realitatea sau cu obiectul litigiului principal sau ar fi de natură ipotetică(3).

16.      În această privință, trebuie să se arate că instanța de trimitere este sesizată cu o acțiune în anulare  a unei decizii de sancționare a Digi, în calitatea sa de operator, ca urmare a unei pretinse încălcări a principiilor limitărilor legate de scop și de stocare prevăzute la articolul  5 alineatul  (1) literele (b) și (e) din RGPD, care face obiectul cererii de interpretare a acestei instanțe. În consecință, cererea de decizie preliminară trebuie considerată admisibilă.
B.      Cu privire la cadrul juridic de analiză

17.      Trebuie să se constate că cererea de decizie preliminară privește exclusiv interpretarea articolului  5 din RGPD în cadrul unui litigiu principal privind legalitatea unei prelucrări a datelor cu caracter personal efectuate de Digi, unul dintre principalii furnizori de servicii de internet și de televiziune din Ungaria, care este, în consecință, un operator care oferă acces la servicii de comunicații publice online.

18.      Or, trebuie să se arate că articolul  1 din Directiva 2002/58/CE(4) prevede la alineatul (1) că această directivă urmărește armonizarea dispozițiilor naționale, lucru necesar printre altele în vederea asigurării unui nivel echivalent de protecție a drepturilor și a libertăților fundamentale, mai ales a dreptului la confidențialitate și la respectarea vieții private, în domeniul prelucrării de date personale în sectorul comunicațiilor electronice. În plus, articolul  3 din Directiva 2002/58 precizează că această directivă se aplică prelucrării de date personale legate de furnizarea de servicii de comunicații electronice destinate publicului prin intermediul rețelelor de comunicații din cadrul Uniunii, inclusiv al rețelelor publice de comunicații care presupun colectarea de date și dispozitive de identificare. Prin urmare, trebuie să se considere că directiva menționată reglementează activitățile furnizorilor de astfel de servicii(5).

19.      În conformitate cu articolul 1 alineatul (2) din Directiva 2002/58, aceasta precizează și completează Directiva 95/46/CE(6) în scopurile menționate la alineatul (1), reținându‑se că, potrivit articolului 94 alineatul (2) din RGPD, trimiterile din Directiva 2002/58 la Directiva 95/46 se interpretează ca trimiteri la acest regulament(7). Potrivit considerentului (10) al Directivei 2002/58, în sectorul comunicațiilor electronice, Directiva 95/46 se aplică în special acelor chestiuni care privesc protejarea drepturilor și libertăților fundamentale care nu sunt acoperite în mod anume de dispozițiile Directivei 2002/58, inclusiv obligațiile de control și drepturile persoanelor individuale(8).

20.      Din cererea de decizie preliminară reiese că litigiul principal nu privește utilizarea serviciilor de comunicații electronice de către abonații Digi și, prin urmare, protejarea comunicațiilor astfel efectuate și a datelor de transfer aferente, reglementată de Directiva 2002/58, ci se înscrie în contextul funcționării interne a acestei întreprinderi. Este cert că, în anul 2018, în urma unei defecțiuni tehnice a serverului care a dus la inaccesibilitatea bazei de date originale a abonaților săi, Digi a creat un sistem de evidență denumit „de testare” în care a copiat datele cu caracter personal ale unei părți din clienții săi(9). După corectarea acestei disfuncționalități de către Digi, stocarea datelor în baza suplimentară a continuat până în luna septembrie 2019, perioadă în care o piratare informatică a afectat această bază. Activitatea astfel desfășurată de Digi prezintă caracterul unei „prelucrări de date cu caracter personal”, pentru care această întreprindere este „operator”, în sensul definițiilor prevăzute la articolul  4 punctele (2) și (7) din RGPD. În plus, Digi a fost sancționată în această calitate de Autoritate pentru că și‑a încălcat, cu această ocazie, obligațiile care rezultă printre altele din articolul  5 alineatul  (1) literele (b) și (e) din RGPD.

21.      În această privință, trebuie amintit că, sub rezerva derogărilor admise în temeiul articolului  23 din RGPD, orice prelucrare a datelor cu caracter personal trebuie să respecte principiile care le reglementează, precum și drepturile persoanei în cauză prevăzute în capitolele II și, respectiv, III din acest regulament. În special, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile enunțate la articolul 5 din regulamentul menționat și, pe de altă parte, să îndeplinească condițiile de legalitate enumerate la articolul 6 din același regulament(10).

22.      Potrivit articolului  5 din RGPD, incumbă operatorului obligația de a asigura că datele cu caracter personal sunt „prelucrate în mod legal, echitabil și transparent” [litera (a)], că sunt „colectate în scopuri determinate, explicite și legitime și [nu sunt] prelucrate ulterior într‑un mod incompatibil cu aceste scopuri” [litera (b)], că sunt „adecvate, relevante și [neexcesive] în raport cu scopurile în care sunt [colectate și prelucrate ulterior]” [litera (c)], că sunt „exacte și, în cazul în care este necesar, actualizate” [litera (d)] și, în sfârșit, că sunt „păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară  îndeplinirii scopurilor în care sunt  [colectate sau prelucrate ulterior]” [litera (d)], prelucrarea datelor în scopuri istorice, statistice sau științifice făcând obiectul unor dispoziții specifice. În acest context, operatorul respectiv trebuie să ia toate măsurile necesare pentru ca datele care nu îndeplinesc cerințele impuse de această dispoziție să fie șterse sau rectificate(11).
C.      Cu privire la conținutul cererii de decizie preliminară

23.      Instanța de trimitere urmărește să obțină din partea Curții indicații cu privire la interpretarea principiilor limitărilor legate de scop și limitărilor legate de stocare consacrate la articolul  5 alineatul (1) litera (b) și, respectiv, litera (e) din RGPD, ceea ce a condus la formularea a două întrebări preliminare distincte referitoare la aceste dispoziții. Este adevărat că a doua întrebare, care privește principiul limitărilor legate de stocarea datelor, este formulată doar  sub condiție, în ipoteza unei incompatibilități a prelucrării în cauză cu principiul limitărilor legate de scop.

24.      Or, trebuie să se sublinieze că cerințele referitoare la prelucrarea datelor cu caracter personal prevăzute la articolul  5 din RGPD sunt, în mod evident, cumulative și autonome unele în raport cu celelalte(12). Problematica respectării principiului limitărilor legate de stocare este independentă din punct de vedere juridic de cea referitoare la principiul limitărilor legate de scop. În decizia care face obiectul procedurii principale, Autoritatea consideră că stocarea datelor pe un suport suplimentar intern stă la baza încălcării celor două principii distincte sus‑menționate.

25.      Chiar dacă instanța de trimitere și‑a limitat formal a doua întrebare prin caracterul său condițional, această împrejurare nu împiedică Curtea să îi furnizeze toate elementele de interpretare care pot fi utile pentru soluționarea cauzei principale, extrăgând din ansamblul elementelor furnizate de această instanță, în special din motivarea deciziei de trimitere, elementele de drept al Uniunii care necesită o interpretare având în vedere obiectul litigiului(13).
D.      Cu privire la legalitatea prelucrării în raport cu principiile limitărilor legate de scop și de stocare

1.      Considerații introductive

26.      Considerăm că este necesar, cu titlu introductiv, să se analizeze domeniul de aplicare al principiilor definite la articolul  5 alineatul  (1) literele (b) și (e) din RGPD, prin raportare la noțiunea de stocare utilizată în decizia de trimitere și la înscrisurile părților în cauză pentru a descrie operațiunea de prelucrare incriminată din două perspective. Prima privește chiar acțiunea de stocare sau de salvare a datelor, în speță stocarea într‑o bază suplimentară internă a unei copii a datelor unei părți din abonații Digi. A doua are în vedere stocarea în sensul păstrării în timp a acestei baze de date. Întrebarea adresată este astfel cea privind perioada de stocare a datelor. În această privință, problematica temporală sus‑menționată nu ține, în opinia noastră, de principiul limitărilor legate de scop, ci exclusiv de principiul limitărilor legate de stocare.

27.      Principiul limitărilor legate de scop, prevăzut la articolul 5 alineatul (1) litera (b) din RGPD, are două componente: datele cu caracter personal trebuie, pe de o parte, să fie colectate în scopuri „determinate, explicite și legitime” și, pe de altă parte, să nu fie „prelucrate ulterior într‑un mod incompatibil” cu aceste scopuri. Acest principiu are vocația de a delimita cât mai clar posibil utilizarea datelor cu caracter personal prin asigurarea unui echilibru între respectarea drepturilor fundamentale ale persoanelor vizate în materie de confidențialitate  și de protecție a datelor și recunoașterea unei anumite flexibilități în favoarea operatorului în cadrul gestionării acestor date, astfel cum este impusă de viața digitală și de riscurile acesteia.

28.      În a doua componentă, care ne interesează în mod deosebit în speță, principiul menționat urmărește să definească limitele în care datele cu caracter personal colectate pentru un anumit scop pot fi reutilizate. În conformitate cu articolul 5 alineatul (1) litera (b) din RGPD, orice prelucrare după colectare trebuie considerată o „prelucrare ulterioară” și, prin urmare, trebuie să îndeplinească, cu anumite excepții, cerința de compatibilitate(14). Aceasta din urmă reflectă necesitatea unei legături concrete, logice și suficient de strânse între scopul colectării datelor și prelucrarea lor ulterioară. Cu alte cuvinte, această prelucrare nu trebuie să fie deconectată de scopul original al colectării datelor sau să intre în contradicție cu acesta, iar conținutul său trebuie să fie conciliabil cu rațiunea de a fi a colectării, independent de orice problematică temporală.

29.      Principiul limitărilor legate de scop nu constituie, la drept vorbind, o expresie a principiului proporționalității, spre deosebire de cel al limitărilor legate de stocare prevăzut la articolul  5 alineatul  (1) litera (e) din RGPD. Astfel cum a precizat Curtea, rezultă din cerințele prevăzute la acest articol că inclusiv o prelucrare a unor date licită inițial poate deveni cu timpul incompatibilă cu acest regulament în cazul în care datele respective nu mai sunt necesare în raport cu scopurile pentru care au fost colectate sau prelucrate. Aceasta este situația în special atunci când ele sunt inadecvate, atunci când nu sunt sau nu mai sunt pertinente ori sunt excesive în raport cu scopurile amintite și cu timpul care s‑a scurs(15).

30.      Prin urmare, în cadrul principiului limitărilor legate de stocare, trebuie efectuată o apreciere a caracterului proporțional al prelucrării în raport cu scopul său, având în vedere trecerea timpului. Stocarea datelor pentru o perioadă mai lungă decât cea necesară, cu alte cuvinte pentru o perioadă mai lungă decât este necesar în vederea atingerii scopurilor pentru care au fost stocate aceste date, ar fi contrară acestui principiu(16). În măsura în care scopurile acestei prelucrări au fost atinse, datele trebuie să fie șterse(17). Principiul limitărilor legate de stocare răspunde astfel la întrebarea când nu se mai justifica stocarea datelor pe un suport suplimentar intern al Digi.

31.      În lumina considerațiilor care precedă vom examina legalitatea prelucrării în discuție în raport cu cele două principii sus‑menționate.
2.      Cu privire la principiul limitărilor legate de scop

32.      Verificarea respectării unui astfel de principiu, în ceea ce privește a doua componentă a acestuia, presupune determinarea în prealabil a scopului sau a scopurilor colectării datelor în cauză.  Din dosarul prezentat Curții reiese că aceste date au fost colectate de Digi în vederea încheierii și a executării contractelor de abonamente oferite în calitatea sa de furnizor de acces la internet și la televiziune și că legalitatea acestei prime prelucrări nu face obiectul unei dezbateri între părțile din litigiul principal. Același lucru este valabil și pentru operațiunea  inevitabilă de prelucrare subsecventă care constă în stocarea datelor menționate pe un suport dedicat pe care îl vom califica drept baza de date originală(18). În acest context, instanța de trimitere ar urmări, printre altele, să obțină un răspuns la întrebarea dacă scopul determinat, explicit și legitim al colectării datelor este „modificat” prin faptul că acestea din urmă au fost copiate într‑o bază de date care se adaugă la o primă stocare necontestată de părți.

33.      Potrivit jurisprudenței Curții, normele privind protecția datelor cu caracter personal care sunt cuprinse în RGPD trebuie să fie respectate cu privire la orice prelucrare a acestora, astfel cum este definită la articolul 2 din acest regulament(19). Întrebarea sus‑menționată reflectă, în opinia noastră, o nerespectare a cerinței de apreciere individuală a tuturor operațiunilor de prelucrare a datelor ulterioare colectării lor, astfel cum rezultă în speță din articolul 5 alineatul (1) litera (b) din RGPD.

34.      Cu alte cuvinte, fiecare caz de utilizare ulterioară a acestor date trebuie să fie examinat pentru a verifica scopul specific al acesteia și, dacă este cazul, compatibilitatea sa cu scopul colectării. Legalitatea colectării  și a unei prime stocări a datelor nu poate să aibă automat o incidență, printr‑un fel de efect de contagiune, asupra respectării principiului limitărilor legate de scop printr‑o altă activitate de prelucrare ulterioară, independent de faptul că prelucrarea ulterioară privește aceleași date. Astfel cum arată guvernul maghiar, nu se poate considera că operatorul are posibilitatea de a stoca datele cu caracter personal în mai multe sisteme de evidență și fără limitări, atât timp cât le‑a colectat și le‑a prelucrat inițial în mod legal.

35.      În consecință, trebuie examinată problema compatibilității dintre scopurile colectării datelor și prelucrarea lor ulterioară, impusă de articolul  5 alineatul (1) litera (b) din RGPD. Totuși, această problemă nu se ridică în mod logic decât în ipoteza în care această prelucrare este efectuată în scopuri diferite de cele specificate inițial.

36.      Astfel, potrivit considerentului (50) al acestui regulament, prelucrarea datelor cu caracter personal „în alte scopuri” decât scopurile în care au fost inițial colectate ar trebui să fie permisă numai dacă prelucrarea este compatibilă cu scopurile acestei colectări. Modul de redactare a articolului  6 alineatul  (4) din regulamentul menționat confirmă de asemenea concluzia sus‑menționată. Această dispoziție stabilește o listă neexhaustivă de criterii care permit, într‑o anumită configurație, să se aprecieze dacă prelucrarea „în alt scop” este compatibilă cu scopul în care datele cu caracter personal au fost inițial colectate. Prin urmare, constatarea unei identități de scop între colectarea datelor și prelucrarea lor ulterioară, astfel cum susține Digi, ar face ca întrebarea privind compatibilitatea să rămână fără obiect și ar permite să se constate legalitatea acestei prelucrări în raport cu principiul limitărilor legate de scop(20).
a)      Cu privire la scopurile prelucrării

37.      Din dosarul prezentat Curții și în special din declarațiile Digi reiese că, în urma unei defecțiuni tehnice a serverului care a condus la inaccesibilitatea bazei de date originale, această întreprindere a stocat o copie a datelor unei părți a abonaților într‑o bază suplimentară internă, denumită bază „de testare”, pentru a remedia incidentul tehnic și a garanta accesul la date în conformitate cu obligația impusă operatorului de articolul  5 alineatul  (1) litera (f) și detaliată la articolul  32 din RGPD(21). Digi afirmă că această operațiune de prelucrare contribuia de asemenea la realizarea scopului colectării datelor, și anume furnizarea serviciului prevăzut prin contract. În aceste împrejurări, stocarea incriminată nu ar avea legătură cu un scop distinct, ceea ce ar exclude orice încălcare a articolului  5 alineatul  (1) litera (b) din acest regulament.

38.      Deși este evidentă  sarcina instanței de trimitere să verifice legalitatea operațiunii de prelucrare sus‑menționate, printre altele în raport cu cerințele prevăzute la articolul  5 din RGPD și cu ansamblul împrejurărilor care caracterizează speța, acesteia îi pot fi furnizate mai multe indicații în acest sens.

39.      Arătăm, în primul rând, că Digi menționează în esență existența unui dublu scop pentru prelucrarea incriminată, în sensul că scopul principal și specific de corectare a defecțiunii serverului și de securizare a disponibilității datelor abonaților se înscria el însuși în cadrul unui obiectiv secundar și general legat de executarea contractelor de abonament, care coincide cu cel al colectării inițiale a datelor.

40.      În practică, este foarte posibil ca datele cu caracter personal să poată fi colectate sau prelucrate ulterior în mai multe scopuri, ceea ce RGPD are în vedere și admite în mod clar, astfel cum o dovedește modul de redactare a articolului  5 alineatul  (1) litera (b) și a articolului 6 alineatul (1) litera (a), precum și a considerentelor (32) și (50) ale acestuia. Această abordare răspunde necesității de pragmatism și de flexibilitate impuse de prelucrările complexe și puțin liniare ale datelor cu caracter personal în era digitală. Ea trebuie totuși să ia în considerare cerința privind precizarea scopului, care este un element‑cheie în punerea în aplicare a regimului european de protecție a datelor cu caracter personal.

41.      Un grad suficient de precizare a scopului constituie astfel o garanție fundamentală în ceea ce privește previzibilitatea și securitatea juridică, în sensul că ea contribuie la buna înțelegere de către persoana vizată a utilizării posibile a datelor sale și îi permite să ia o decizie în deplină cunoștință de cauză. Această previzibilitate este esențială la aprecierea compatibilității dintre scopul colectării datelor și prelucrarea lor ulterioară, reducând astfel riscul de distorsiune între așteptările rezonabile ale persoanelor vizate în ceea ce privește utilizarea posibilă a datelor lor în viitor și operațiunile efectuate de operator. Specificarea scopului este de asemenea necesară pentru aplicarea celorlalte cerințe în materie de calitate a datelor, printre care caracterul adecvat, relevanța, proporționalitatea și exactitatea datelor colectate, precum și cerințele referitoare la perioada de stocare a acestora, în conformitate cu articolul  5 alineatul  (1) literele (c), (d) și (e) din RGPD.

42.      Prin urmare, această cerință privind precizarea este valabilă, astfel cum se subliniază în Avizul 3/2013 al grupului de lucru „Articolul  29”(22), pentru orice operațiune de prelucrare, iar nu doar în etapa inițială a colectării datelor. Este interesant de arătat că, în ipoteza unei prelucrări de date efectuate pe baza consimțământului persoanei vizate, aceasta nu va fi legală, în conformitate cu articolul  6 alineatul  (1) litera (a) din RGPD, decât dacă persoana și‑a dat consimțământul pentru această prelucrare pentru unu sau mai multe scopuri „specifice”.

43.      În aceste împrejurări, deși o anumită prelucrare poate urmări îndeplinirea a două scopuri, fiecare dintre acestea trebuie să aibă un caracter precis și să prezinte o legătură obiectivă și suficient de strânsă cu operațiunea de prelucrare în cauză.

44.      În al doilea rând, este necesar să se evoce contextul special în care trebuie apreciat sau apreciate scopul sau scopurile prelucrării ulterioare în cauză.

45.      Având în vedere considerentele (60) și (61) ale RGPD, persoana vizată este, conform principiilor prelucrării echitabile și transparente, informată cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia, iar informațiile în legătură cu prelucrarea datelor sale cu caracter personal trebuie să îi fie furnizate la momentul colectării acestora. În această privință, articolul  13 alineatul (1) litera (c) din acest regulament prevede că, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul îi comunică, în momentul obținerii acestor date cu caracter personal, scopurile în care ele  sunt prelucrate și temeiul juridic al prelucrării.

46.      Este adevărat că, oricât de prevăzător și de grijuliu ar fi un operator, este posibil ca acesta să nu fie în măsură, din momentul conceperii prelucrării, să preconizeze  și să determine natura și întinderea exactă a tuturor operațiunilor care constituie lanțul de prelucrare a datelor. De asemenea, prezenta cauză este o ilustrare perfectă a problematicii legate de gestionarea unei defecțiuni tehnice, prin definiție inopinată, și a aplicării subsecvente a unui anumit tip de prelucrare a datelor într‑un scop care nu a fost specificat inițial.

47.      La aprecierea legalității unei astfel de prelucrări, precum în speță, de către autoritatea de supraveghere și ulterior de către instanța sesizată cu acțiunea îndreptată împotriva deciziei acesteia, scopul menționat face obiectul unei verificări a posteriori, în raport cu indicațiile furnizate de operator în cursul procedurii administrative. Iar  operatorul, fiind cel care concepe operațiunea de prelucrare în cauză, are obligația, în temeiul principiului responsabilității prevăzut la articolul  5 alineatul (2) din RGPD, să demonstreze caracterul real al scopului invocat și, dacă este cazul, compatibilitatea prelucrării cu obiectivul colectării datelor(23).

48.      În această privință, două elemente concrete și obiective pot fi luate în considerare la verificarea acestui scop. În primul rând, articolul  13 alineatul  (3) din RGPD prevede că, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, iar operatorul intenționează să le prelucreze ulterior într‑un alt scop decât cel al colectării, acest operator furnizează persoanei vizate, înainte de această prelucrare ulterioară, informații privind scopul secundar respectiv(24) și orice informații suplimentare relevante, în conformitate cu alineatul (2) al acestei dispoziții. În al doilea rând, articolul  30 alineatul  (1) din RGPD impune fiecărui operator să păstreze o evidență, în scris, inclusiv în format electronic, a activităților de prelucrare desfășurate sub responsabilitatea lor și să o pună la dispoziția autorității de supraveghere la cererea acesteia. Respectiva evidență cuprinde diferite informații, printre care cele referitoare la scopurile prelucrării.

49.      În speță, pare dovedit că Digi nu a informat niciunul dintre abonații vizați cu privire la intenția sa de a copia datele lor și de a le stoca pe un suport intern destinat realizării unor teste și corectării unor erori, întrucât operatorul menționat a considerat că această operațiune de prelucrare nu are un scop distinct de cel al colectării datelor și că, prin urmare, nu intră în domeniul de aplicare al articolului  13 alineatul  (3) din RGPD(25). În plus, dosarul înaintat Curții nu permite să se stabilească dacă Digi se află în situația de a beneficia de exonerarea de obligația de a păstra o evidență, prevăzută la articolul  30 alineatul  (5) din acest regulament(26).

50.      Arătăm în orice caz că, în ședință, Digi a indicat în mod clar că defecțiunea tehnică survenită în anul 2018 nu a condus la o întrerupere a serviciului prevăzut în contract, stocarea incriminată fiind pusă în aplicare doar în considerarea riscului unei astfel de întreruperi. Aceste declarații trebuie corelate cu constatări materiale obiective în ceea ce privește alegerea denumirii bazei de date, și anume bază de date „de testare”, faptul că aceasta din urmă nu conținea datele tuturor abonaților, ci numai ale unei treimi din aceștia,  și că, după ce a fost uitată de Digi timp de 18 luni după rezolvarea incidentului tehnic inițial, baza menționată a fost ștearsă imediat după piratarea informatică din luna septembrie 2019 care a afectat securitatea datelor.

51.      În aceste împrejurări, pare posibil să se rețină că prelucrarea incriminată răspundea numai obiectivului, concret și specific, de a securiza temporar o parte din datele abonaților în legătură cu corectarea unui incident tehnic care a afectat funcționarea serverului, cu alte cuvinte un scop, în opinia noastră, distinct de cel al colectării datelor.

52.      Comisia și Digi susțin, în schimb, că nu se poate considera că o asemenea prelucrare, care vizează respectarea obligației de securitate impusă operatorului de articolul  5 alineatul  (1) litera (f) din RGPD și detaliată la articolul  32 din acesta din urmă, urmărește un scop nou sau distinct, în caz contrar existând riscul de a aduce atingere efectului util al acestui act și de a determina o informare a persoanelor în cauză lipsită de interes practic.

53.      În opinia noastră, această abordare abstractă și sistematică este contrară cerinței privind aprecierea legalității fiecărei operațiuni de prelucrare prin luarea în considerarea a tuturor împrejurărilor relevante ale cauzei. În realitate, aceasta este cea care conduce la privarea de efect util a obligației de informare a persoanelor vizate prevăzută la articolul 13 alineatul (3) din RGPD, operatorul trebuind să furnizeze informațiile persoanelor menționate pentru a asigura față de acestea o prelucrare corectă a datelor(27). Această obligație are un caracter imperativ în ipoteza în care prelucrarea se efectuează, precum în speță, în cadrul unui raport contractual și își are temeiul în articolul 6 alineatul (1) litera (b) din acest act referitor la necesitatea de a executa contractul fără să fie necesar consimțământul persoanelor cocontractante. În sfârșit, abordarea menționată încalcă rațiunea de a fi a articolului  5 alineatul  (1) litera (b) din RGPD, și anume că o prelucrare ulterioară care are un scop distinct de cel al colectării datelor nu este neapărat nelegală, simpla sa compatibilitate cu aceasta din urmă fiind suficientă pentru a respecta dispoziția citată anterior.
b)      Cu privire la compatibilitatea prelucrării

54.      Articolul  5 alineatul  (1) litera (b) din RGPD nu cuprinde nicio indicație cu privire la condițiile în care o prelucrare ulterioară care răspunde unui obiectiv diferit de scopul colectării inițiale a datelor poate fi considerată compatibilă cu aceasta din urmă. În această privință, trebuie să se facă referire la articolul  6 alineatul  (4) din RGPD coroborat cu considerentul (50) al acestui act, al cărui conținut reflectă o legătură între principiul limitărilor legate de scop și temeiul juridic al prelucrării în cauză.

55.      Astfel, această dispoziție face distincție, în ceea ce privește cerința privind compatibilitatea, după cum prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate se bazează sau nu pe consimțământul persoanei vizate ori pe dreptul Uniunii sau pe dreptul intern, care constituie o măsură necesară și proporțională într‑o societate democratică pentru a proteja obiectivele menționate la articolul 23 alineatul (1) din RGPD.

56.      În caz afirmativ, potrivit considerentului (50) al doilea paragraf al RGPD, operatorul are posibilitatea de a prelucra în continuare datele cu caracter personal, indiferent de compatibilitatea scopurilor(28). Această derogare de la cerința privind compatibilitatea este justificată în esență de existența unor alte norme de protecție a persoanelor vizate și în special a celor referitoare la informarea acestora din urmă cu privire la alte scopuri și la dreptul de a se opune prelucrării(29).

57.      În caz negativ, și aceasta este situația care corespunde prezentei cauze, potrivit articolului  6 alineatul  (4) din RGPD:
„[…]  operatorul, pentru a stabili dacă prelucrarea în alt scop este compatibilă cu scopul pentru care datele cu caracter personal au fost colectate inițial, ia în considerare, printre altele:
(a)      orice legătură dintre scopurile în care datele cu caracter personal au fost colectate și scopurile prelucrării ulterioare preconizate;
(b)      contextul în care datele cu caracter personal au fost colectate, în special în ceea ce privește relația dintre persoanele vizate și operator;
(c)      natura datelor cu caracter personal, în special în cazul prelucrării unor categorii speciale de date cu caracter personal, în conformitate cu articolul  9, sau în cazul în care sunt prelucrate date cu caracter personal referitoare la condamnări penale și infracțiuni, în conformitate cu articolul  10;
(d)      posibilele consecințe asupra persoanelor vizate ale prelucrării ulterioare preconizate;
(e)      existența unor garanții adecvate, care pot include criptarea sau pseudonimizarea.”

58.      În lipsa oricărei indicații formale din partea Digi, la momentul colectării datelor, în ceea ce privește prelucrarea ulterioară preconizată și scopul său, trebuie să ne limităm la o abordare materială care, în opinia noastră, conduce la constatarea unei compatibilități a prelucrării.

59.      În această privință, există în mod incontestabil o legătură între scopul colectării inițiale a datelor, și anume executarea contractului de abonament la internet și la televiziune, și o prelucrare care urmărește securizarea acestor date într‑o bază suplimentară internă și realizarea unor teste, în condiții de securitate, destinate să remedieze o defecțiune tehnică potențial prejudiciabilă pentru furnizarea serviciului prevăzut în contract. Fără a se suprapune, după cum s‑a arătat anterior, aceste scopuri sunt în mod logic legate.

60.      Trebuie să se sublinieze că această prelucrare nu se îndepărtează de așteptările legitime ale abonaților în ceea ce privește utilizarea ulterioară a datelor lor. Astfel, nu se poate considera că o stocare suplimentară de date pe un suport intern motivată de necesitatea de a rezolva o defecțiune tehnică care afectează accesibilitatea la datele din baza originală este surprinzătoare sau improbabilă. În plus, datele în cauză au continuat să fie prelucrate de același operator și nu au fost divulgate unor terți, ceea ce reflectă a priori  lipsa unui impact negativ. Faptul că, în cadrul piratării informatice la care a fost supusă Digi, autorul său a avut acces la datele care figurau pe acest suport nu permite, în opinia noastră, să se ajungă la o concluzie retroactivă privind existența unei incompatibilități a prelucrării în cauză.
3.      Cu privire la principiul limitărilor legate de stocare 

61.      În conformitate cu articolul  5 alineatul  (1) litera (e) din RGPD, datele sunt păstrate într‑o formă care permite identificarea persoanelor vizate(30) pentru o perioadă care nu depășește perioada necesară atingerii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pentru perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1) din acest regulament, sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate impuse de prezentul regulament pentru a garanta drepturile  și libertățile persoanei vizate.

62.      Astfel cum s‑a menționat, principiul limitărilor legate de stocare constituie expresia principiului proporționalității, precum și a principiului „reducerii la minimum a datelor”, potrivit căruia datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate(31). În cadrul principiului limitărilor legate de stocare, problema necesității prelucrării, avută în vedere sub un aspect temporal, este raportată la dăinuirea scopului său.

63.      Trebuie amintit de asemenea că respectarea cerinței privind proporționalitatea presupune ca derogările de la protecția datelor cu caracter personal și limitările acestora să fie aplicate în limitele strictului necesar(32). Curtea a indicat în mod clar că articolul  5 alineatul  (1) litera (e) din RGPD urmărește să protejeze persoanele vizate(33).

64.      De asemenea, în mod explicit, considerentul (39) al RGPD enunță că perioada pentru care datele cu caracter personal sunt stocate trebuie să fie „limitată strict la minimum” și că, în acest scop, operatorul ar trebui să stabilească termene pentru ștergere sau revizuirea periodică. Articolul  13 alineatul  (2) litera (a) din RGPD prevede că, în momentul în care datele cu caracter personal sunt obținute, operatorul trebuie să furnizeze persoanei vizate informații suplimentare față de cele menționate la alineatul (1) al acestui articol, care sunt necesare pentru a asigura o prelucrare echitabilă și transparentă, printre care se numără perioada de stocate a datelor cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă(34).

65.      În acest context, este necesar să se stabilească, având în vedere ansamblul împrejurărilor caracteristice speței(35), momentul în care se putea considera eventual că scopurile stocării unei copii a datelor unei părți a abonaților într‑o bază internă suplimentară au fost atinse, lipsind astfel această prelucrare de rațiunea de a fi și obligând Digi la ștergerea datelor. Este evident că revine operatorului, în temeiul principiului responsabilității prevăzut la articolul  5 alineatul  (2) din RGPD, sarcina de a face dovada legalității prelucrării în raport cu principiul limitărilor legate de stocare, precum și în ceea ce privește principiul limitărilor legate de scop.

66.      În speță, considerând că stocarea incriminată răspundea obiectivului de securizare a datelor și contribuia astfel la realizarea obiectivului privind executarea contractului de abonament, Digi pretinde că perioada de stocare a datelor care figurează în baza de testare corespundea cu cea a executării obligațiilor sale contractuale, ceea ce exclude orice încălcare a articolului  5 alineatul  (1) litera (e) din RGPD.

67.      În ceea ce privește determinarea scopului sau a scopurilor, ne referim la toate constatările și aprecierile făcute în cadrul răspunsului dat la întrebarea privind respectarea principiului limitărilor legate de scop din care rezultă că nu se poate considera că prelucrarea în discuție urmărea un dublu scop care includea executarea contractelor de abonament(36).

68.      În orice caz, indiferent de natura scopului sau a scopurilor reținute, prelucrarea datelor sub forma unei stocări într‑un sistem de evidență intern suplimentar trebuia totuși să se limiteze în timp la ceea ce era strict necesar. Cu alte cuvinte, după rezolvarea disfuncționalității inițiale, a dispărut împrejurarea care a justificat operațiunea de stocare și menținerea acesteia. Obiectivul direct și principal de securizare a datelor în legătură cu corectarea incidentului tehnic, luat în considerare izolat sau chiar coroborat cu cel indirect și accesoriu de executare a contractului de abonament, nu mai putea, în aceste împrejurări, să acopere continuarea prelucrării.

69.      Trebuie să se constate că Digi a indicat, în mod univoc, că baza de date de testare avea menirea să garanteze accesul la datele abonaților „până când eroarea va fi corectată” și că din greșeală nu a șters‑o, în condițiile în care corectarea erorilor nu o mai justifica(37), ceea ce înseamnă că prelucrarea incriminată nu mai avea utilitate și era, prin urmare, lipsită de scop. Se poate considera că o bază de date internă uitată, astfel cum recunoaște chiar operatorul, timp de un an și jumătate este încă susceptibilă să răspundă unui scop efectiv? Considerăm că răspunsul este în mod necesar negativ.
V.      Concluzie

70.      În lumina considerațiilor care precedă, propunem Curții să răspundă Fővárosi Törvényszék (Curtea din Budapesta‑Capitală, Ungaria) după cum urmează:
1)      Articolul  5 alineatul  (1) litera (b) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că principiul prevăzut la acest articol nu se opune stocării de date cu caracter personal, colectate și stocate în mod legal, într‑o bază internă suplimentară, în măsura în care această prelucrare urmărește aceleași scopuri precum cele ale colectării sau, în caz contrar, este compatibilă cu acestea din urmă, ceea ce revine în sarcina operatorului să demonstreze, inclusiv în cazul în care prelucrarea răspunde obligației acestuia de a asigura securitatea adecvată a datelor cu caracter personal prevăzută la articolul 5 alineatul (1) litera (f) din regulamentul menționat.
În cazul în care prelucrarea respectivă în alt scop decât cel pentru care datele au fost colectate nu se bazează pe consimțământul persoanei vizate sau pe un act legislativ al Uniunii ori al unui stat membru care intră sub incidența articolului  23 alineatul  (1) din Regulamentul 2016/679, compatibilitatea sa trebuie să fie stabilită având în vedere, printre altele, criteriile prevăzute la articolul  6 alineatul  (4) din acest regulament.
2)      Articolul  5 alineatul  (1) litera (e) din Regulamentul 2016/679 trebuie interpretat în sensul că principiul prevăzut la acest articol se opune păstrării unor date colectate și stocate în mod legal,  sub o formă care permite identificarea persoanelor vizate, într‑o bază internă suplimentară care răspunde unui obiectiv de corectare a unei anomalii tehnice și de securizare temporară a acestor date, peste perioada necesară realizării acestui obiectiv și, prin urmare, după rezolvarea acestui incident, inclusiv în cazul în care obiectivul menționat, direct și principal, poate fi legat de cel, indirect și accesoriu, al furnizării serviciului prevăzut în contract.

1      Limba originală: franceza.

2      Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

3      Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctele 73 și 74).

4      Directiva Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO 2002, L 201, p. 37, Ediție specială, 13/vol. 36, p. 63).

5      Hotărârea din 6 octombrie 2020, Privacy International (C‑623/17, EU:C:2020:790, punctele 34 și 36).

6      Directiva Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10).

7      Trebuie amintit că, din moment ce RGPD a abrogat și a înlocuit Directiva 95/46, iar dispozițiile relevante ale acestui regulament au un conținut în esență identic cu cel al dispozițiilor relevante din această directivă, jurisprudența Curții referitoare la directiva menționată este de asemenea aplicabilă, în principiu, în ceea ce privește regulamentul menționat [Hotărârea din 17 iunie 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, punctul 107]).

8      A se vedea Hotărârea din 11 noiembrie 2020, Orange Romania (C‑61/19, EU:C:2020:901), pentru o punere în aplicare exclusivă a dispozițiilor Directivei 95/46 și ale RGPD într‑o cauză privind consimțământul clienților societății Orange România, furnizor de servicii de telecomunicații mobile pe piața românească, cu privire la colectarea și la stocarea unor copii ale actelor lor de identitate.

9      Din cuprinsul punctului 2 din observațiile Comisiei rezultă că aceste date corespundeau următoarelor informații: numele, locul și data nașterii, adresa, numărul cărții de identitate, uneori numărul personal, adresa de e‑mail, numerele de telefon fix și mobil ale persoanelor vizate.

10      Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții (C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 208).

11      A se vedea prin analogie Hotărârea din 13 mai 2014, Google Spain și Google (C‑131/12, EU:C:2014:317, punctul 72).

12      Autonomia obligațiilor care revin operatorului definită la articolul 5 din RGPD nu exclude existența unei legături între acestea reprezentată, în speță, de noțiunea de scopuri. Verificarea naturii și a scopurilor unei activități de prelucrare este esențială pentru aprecierea respectării principiilor enunțate la această dispoziție și în special a principiilor limitărilor legate de scop și de stocare în ceea ce privește datele vizate în litigiul principal.

13      Hotărârea din 22 aprilie 2021, Profi Credit Slovakia (C‑485/19, EU:C:2021:313, punctul 50).

14      O prelucrare ulterioară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice trebuie considerată o operațiune de prelucrare legală compatibilă cu scopurile inițiale, potrivit articolului 5 alineatul (1) litera (b) din RGPD, situație care nu corespunde împrejurărilor cauzei principale.

15      A se vedea prin analogie Hotărârea din 13 mai 2014, Google Spain și Google (C‑131/12, EU:C:2014:317, punctul 93).

16      A se vedea în acest sens Hotărârea din 7 mai 2009, Rijkeboer (C‑553/07, EU:C:2009:293, punctul 33), și Hotărârea din 13 mai 2014, Google Spain și Google (C‑131/12, EU:C:2014:317, punctul 92).

17      A se vedea în acest sens Hotărârea din 7 mai 2009, Rijkeboer (C‑553/07, EU:C:2009:293, punctul 33).

18      Având în vedere natura acestor operațiuni de prelucrare, articolul 6 alineatul (1) literele (a) și (b) din RGPD pare să constituie temeiul juridic adecvat al acestora, care nu face de altfel obiectul niciunei dezbateri în prezenta cauză.

19      A se vedea prin analogie Hotărârea din 20 mai 2003, Österreichischer Rundfunk și alții (C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294, punctul 40).

20      Colectarea datelor cu caracter personal ale clienților și stocarea lor în baza de date originală răspund simultan aceluiași scop, și anume furnizarea serviciului prevăzut prin contract.

21      A se vedea punctul 13 din observațiile Digi.

22      Organ consultativ independent instituit în temeiul articolului  29 din Directiva 95/46 și înlocuit de la adoptarea RGPD de Comitetul european pentru protecția datelor.

23      A se vedea prin analogie Hotărârea din 11 noiembrie 2020, Orange Romania (C‑61/19, EU:C:2020:901, punctele 51 și 52).

24      Conținutul articolului  13 alineatul  (3) din RGPD confirmă abordarea potrivit căreia cerința privind precizarea scopului nu se aplică numai în faza colectării datelor, ci privește orice operațiune de prelucrare.

25      Această dispoziție reflectă flexibilitatea gestionării recunoscută în favoarea operatorului a cărui apreciere este singura care determină punerea în aplicare a obligației de informare a persoanelor vizate. Această posibilitate impune în mod corelativ o verificare riguroasă a scopurilor prelucrării de către autoritatea de supraveghere, care este esențială pentru a se asigura legalitatea prelucrării ulterioare și în special respectarea cerinței privind compatibilitatea.

26      Astfel, întinderea acestei obligații este diminuată de o exonerare în favoarea întreprinderilor sau a organizațiilor cu mai puțin de 250 de angajați, cu excepția cazului în care prelucrarea pe care ele o efectuează este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate, prelucrarea nu este ocazională sau prelucrarea include categorii speciale de date avute în vedere la articolul 9 alineatul (1) din RGPD ori date cu caracter personal referitoare la condamnări penale și infracțiuni, avute în vedere la articolul 10 din acest act.

27      Hotărârea din 11 noiembrie 2020, Orange Romania (C‑61/19, EU:C:2020:901, punctul 48). Observăm cu interes că exonerarea de obligația de informare care revine operatorului atunci când datele cu caracter personal nu au fost obținute de la persoana vizată, astfel cum este prevăzută la articolul  14 alineatul  (5) litera (b) din RGPD, în cazul în care furnizarea informațiilor se dovedește a fi imposibilă sau ar implica eforturi disproporționate, nu este aplicabilă situațiilor reglementate de articolul  13 din acest regulament.

28      Trebuie să se arate că printre prelucrările exonerate de cerința privind compatibilitatea  nu figurează cele întemeiate pe articolul  6 alineatul  (1) litera (c) din RGPD referitoare la prelucrările necesare în vederea îndeplinirii unei obligații legale care îi revine operatorului și în special cea prevăzută la articolul  5 alineatul  (1) litera (f) din acest regulament privind asigurarea unei securități adecvate a datelor.

29      Amintim că, potrivit articolului  6 alineatul  (1) litera (a) din RGPD, o prelucrare este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal „pentru unu sau mai multe scopuri specifice”.

30      Această condiție nu face obiectul discuției în speță.

31      A se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504, punctul 98).

32      Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții (C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 210).

33      A se vedea prin analogie Hotărârea din 7 mai 2009, Rijkeboer (C‑553/07, EU:C:2009:293, punctul 35).

34      Ținând seama de condițiile în care a fost pusă în aplicare prelucrarea incriminată, această dispoziție nu a fost în speță aplicată.

35      Hotărârea din 13 mai 2014, Google Spain și Google (C‑131/12, EU:C:2014:317, punctul 94).

36      Amintim numai că constatarea ștergerii bazei de date de testare imediat după piratarea „etică” la care a fost supusă Digi, independent de continuarea raporturilor contractuale cu abonații vizați, contrazice radical afirmația privind menținerea acestei baze justificată prin executarea contractelor de abonamente.

37      A se vedea în special punctul 22 din observațiile formulate de Digi.