CELEX: 62021CC0129
Language: bg
Date: 2022-04-28 00:00:00
Title: Заключение на генералния адвокат A. M. Collins, представено на 28 април 2022 г.###

Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
А. COLLINS
представено на 28 април 2022 година(1)

Дело C‑129/21

Proximus NV

(Публичнодостъпни електронни указатели)

срещу

Gegevensbeschermingsautoriteit

(Преюдициално запитване, отправено от Hof van beroep te Brussel (Апелативен съд Брюксел, Белгия)
„Преюдициално запитване — Обработка на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации — Директива 2002/58/EО — Член 12 — Указатели и справочни услуги — Съгласие на субекта на данните — Регламент (ЕС) 2016/679 — Определение за съгласие — Член 17 — Право на изтриване („право да бъдеш забравен“) — Член 5, параграф 2, член 17, параграф 2, членове 19 и 24 — Задължения за уведомяване и отговорност на администратора“

I.      Въведение

1.        Настоящото преюдициално запитване от Hof van beroep te Brussel (Апелативен съд Брюксел, Белгия) се основава на искане на лице — абонат на телекомуникационна услуга, данните му за контакт да не фигурират повече в публичнодостъпни електронни телефонни указатели и да не бъдат достъпни за телефонни справочни услуги. То повдига важни въпроси относно тълкуването на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)(2), Директива  2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации)(3) и връзката между тези два акта.

2.        ОРЗД установява общо изискване към всеки администратор да получи съгласието на субекта на данни за обработване на данните му. Директива  2002/58 изменя това изискване по отношение на обработката на данни от доставчици на електронни телефонни указатели и на телефонни справочни услуги, в смисъл че е достатъчно абонатът да даде еднократно съгласие за използването на неговите данни, за да позволи обработването им за тази цел. Така, след като абонатът еднократно даде съгласие данните му за контакт да бъдат включени в указатели, други доставчици на указатели могат да включат тези данни за контакт в своите указатели, позовавайки се на същото това съгласие. Какво се случва, когато абонатът пожелае данните му за контакт да бъдат премахнати от всички такива указатели? Възникват най-малко два въпроса. Първо, трябва ли абонатът да отправи искане до далекосъобщителния оператор, с който е сключил договор, или до доставчика (доставчиците) на указатели, или пък до всеки един от тях? Второ, доставчикът на указатели длъжен ли е да препрати искането за заличаване на данни за контакт на трети лица, като например далекосъобщителния оператор на абоната, други доставчици на указатели и доставчици на търсачки?
II.    Фактическа обстановка

3.        Proximus предоставя далекосъобщителни услуги. То включва данните за контакт на собствените си абонати, както и данните, получени от други далекосъобщителни оператори, в два белгийски електронни указателя — www.1207.be и www.1307.be — и в две предлагани също от него телефонни справочни услуги — 1207 и 1307. Proximus предава тези данни за контакт на друг доставчик на указатели.

4.        То обяснява, че неговите бази данни и тези на трети лица провеждат разграничение между абонатите, чиито данни за контакт трябва да се включат в указатели, и тези, които следва да се изключат. Когато данните за контакт трябва да се включат, съответният параметър в записа на абоната е „NNNNN“. Когато данните за контакт следва се изключат, съответният параметър е „XXXXX“.

5.        Жалбоподателят е абонат на телефонна услуга, предоставяна от Telenet — далекосъобщителен оператор на пазара в Белгия. Telenet не предоставя указатели. То предоставя данните за контакт на абонатите си по-специално на Proximus.

6.        На 13 януари 2019 г., използвайки формуляра за връзка, предоставен на уебсайта www.1207.be, жалбоподателят отправя към Proximus следното искане: „Моля да не включвате този номер във „Witte Gids“ на 1207.be, […]“.

7.        Въз основа на това искане на 28 януари 2019 г. Proximus променя съответния параметър в записа на жалбоподателя от „NNNNN“ на „XXXXX“. На същата дата служител на Proximus отговаря на жалбоподателя следното: „Номер [x] понастоящем не е включен в изданието на „Gids“. Информацията също така не е налична в телефонните справочни услуги (1207), нито на уебсайта (1207.be). Последната актуализация на всички публикувани записи ще намерите на нашия уебсайт www.1207.be“.

8.        На 31 януари 2019 г. Proximus получава рутинна актуализация на данните за абонатите от Telenet. Тази актуализация съдържа нови данни за контакт с жалбоподателя. Освен това тя показва, че данните за контакт с жалбоподателя следва да бъдат включени в указатели („NNNNN“). Proximus автоматично обработва тази актуализация. В резултат на това данните за контакт на жалбоподателя стават публично достъпни.

9.        На 14 август 2019 г., след като узнава, че телефонният му номер е посочен в електронните телефонни указатели — www.1207.be и www.1307.be, както и в няколко други електронни телефонни указателя, жалбоподателят се свързва с Proximus чрез формуляра за контакт, достъпен на сайта www.1207.be, с молба към Proximus „да не се споменава“ телефонния му номер „на вашия уебсайт (уебсайтове) http://www.1207.be“.

10.      На същата дата служител на Proximus отговаря, че: „Съгласно искането Ви заличихме Вашия запис, така че данните Ви (телефонен номер, име, адрес) повече няма да се използват в телефонни указатели или в телефонни справочни услуги. До няколко дни данните Ви вече няма да бъдат достъпни на www.1207.be — www.1307.be, както и в справочните услуги (1207—1307). Освен това ще се свържем с Google, за да бъдат заличени съответните връзки към нашия уебсайт. В съответствие със законовите разпоредби Вашите данни са били предадени и на други телефонни указатели или телефонни справочни услуги, които са поискали от [Proximus] да им предостави данни за абонати, а именно  www.wittegids.be, www.infobel.com, www.de1212.be и www.opendi.be. Чрез месечните актуализации те също ще бъдат информирани за Вашето искане да не използват повече Вашите данни“.

11.      Едновременно с това жалбоподателят сезира Gegevensbeschermingsautoriteit (Орган за защита на данните, наричан по-нататък „ОЗД“). Жалбата съдържа следния текст: „Въпреки изричното ми писмено искане […] моят (съвсем нов) телефонен номер […] и данните ми да не се включват във Witte Gids, на 1207.be, […], днес, след телефонно обаждане от дружество, което няма моя телефонен номер [забелязах], че телефонният ми номер все пак е включен в www.1207.be, www.1307.be, www.wittegids.be, www.infobel.be, ww.de1212.be, а най-вероятно и в съответните телефонни справочни услуги 1207, 1307 и в хартиените издания на Witte Gids(en) и www.opendi.be“.

12.      На 27 август 2019 г. приемната служба на ОЗД обявява жалбата за допустима и я препраща на Geschillenkamer van de Gegevensbeschermingsautoriteit (Състав за уреждане на спорове на органа за защита на данните, Белгия; наричан по-нататък „Съставът за уреждане на спорове на ОЗД“).
III. Релевантна правна уредба

А.      Правото на Европейския съюз

1.      Хартата на основните права на Европейския съюз 

13.      Съгласно член 8, параграфи  1 и 2 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“), озаглавен „Защита на личните данни“:
„1.      Всеки има право на защита на неговите лични данни.
2.      Тези данни трябва да бъдат обработвани добросъвестно, за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание. Всеки има право на достъп до събраните данни, отнасящи се до него, както и правото да изиска поправянето им“.
2.      Общият регламент относно защитата на данните 

14.      Понятието за съгласие е от основно значение за действието на ОРЗД. Съгласно член 4, точка 11 от него „съгласие“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени.

15.      Член 5, параграф 1 от ОРЗД, озаглавен „Принципи, свързани с обработването на лични данни“, в относимата си част гласи:
„Личните данни са: 
а)      обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“)“.

16.      Член 5, параграф 2 от ОРЗД гласи: 
„Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.

17.      Член 6 от ОРЗД, озаглавен „Законосъобразност на обработването“, предвижда: 
„1.      „Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
а)      субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели.
[…]“.

18.      Член 7 от ОРЗД, озаглавен „Условия за даване на съгласие“,  в относимите параграфи посочва: 
„1.      Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.
[…]
3.      Субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне. Преди да даде съгласие, субектът на данни бива информиран за това. Оттеглянето на съгласие е също толкова лесно, колкото и даването му.
[…]“.

19.      Доколкото е релевантен в настоящия случай, член 17 от ОРЗД, озаглавен „Право на изтриване (право „да бъдеш забравен“)“, предвижда:
„1.      Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените по-долу основания:
[…]
б)      субектът на данните оттегля своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а) или член 9, параграф 2, буква а), и няма друго правно основание за обработването;
[…]
2.      Когато администраторът е направил личните данни обществено достояние и е задължен съгласно параграф 1 да изтрие личните данни, той, като отчита наличната технология и разходите по изпълнението, предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че субектът на данните е поискал изтриване от тези администратори на всички връзки, копия или реплики на тези лични данни.
[…]“.

20.      Член 19 от ОРЗД, озаглавен „Задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването“, предвижда:
„Администраторът съобщава за всяко извършено в съответствие с член 16, член 17, параграф 1 и член 18 коригиране, изтриване или ограничаване на обработване на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това“.

21.      Съгласно член 24, параграф 1 от ОРЗД, озаглавен „Отговорност на администратора“:
„Като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент. Тези мерки се преразглеждат и при необходимост се актуализират“.

22.      Член 95 от ОРЗД, озаглавен „Връзка с Директива  2002/58/ЕО“, гласи:
„Настоящият регламент не налага допълнителни задължения на физическите или юридическите лица по отношение на обработването във връзка с предоставянето на обществено достъпни електронни съобщителни услуги в обществени съобщителни мрежи в Съюза, по отношение на въпроси, за които са им наложени специални задължения със същата цел, установени в [Директива  2002/58]“.
3.      Директива 2002/58 

23.      Съображение 17 от Директива  2002/58 гласи:
„За целите на настоящата директива съгласието на потребителя или абоната, независимо дали последният е физическо или юридическо лице, трябва да има същото значение, както данните — обект на съгласие, както са определени и допълнително уточнени в [Директива 95/46]. Съгласие може да бъде дадено по всеки подходящ начин, позволяващ свободно да се посочи специфичен и уведомителен знак за желанията на потребителя, включително чрез отбелязване в графа, при посещение на интернет страница“.

24.      Освен ако не е предвидено друго, Директива  2002/58 прилага дефинициите от Директива  95/46(4) и от Директива  2002/21/ЕО на Европейския парламент и на Съвета от 7 март 2002 година относно общата регулаторна рамка за електронните  съобщителни мрежи и услуги (Рамкова директива)(5). Съгласно член 2, буква е) от Директива  2002/58 понятието „съгласие“ на потребител или абонат отговаря на съгласието на заинтересованото лице по Директива  95/46. Следователно за целите на Директива  2002/58 определението за съгласие съвпада с определението, което се съдържа в член 4, точка 11 от ОРЗД, чийто текст е възпроизведен в точка 14 от настоящото заключение.

25.      Член 12, параграфи  2 и  3 от Директива  2002/58 предвижда:
„2.      Държавите членки следят на абонатите да бъде дадена възможност да определят дали техните лични данни да бъдат включени в публичен указател и, ако е така, кои данни, до степен достатъчна за целите на указателя, както е определено от доставчика на указателя, както и да провери, коригира или оттегли такива данни. Невключването в публичния указател на абонати, проверката, коригирането или оттеглянето на лични данни от него трябва бъде безплатно.
3.      Държавите членки могат да изискват за всяка цел на публичен указател, освен тази за търсене на координати на лица на база техните имена и когато е необходимо минимален брой други идентификатори, да бъде поискано допълнително съгласие от абонатите“.
Б.      Белгийското право

26.      Wet van 13 juni 2005 betreffende de elektronische communicatie (Закон от 13 юни 2005 г. за електронните комуникации) транспонира по-специално Директива  2002/58 в белгийското право(6). Член 133, параграф 1 от него транспонира член 12, параграф 2 от Директива  2002/58. По-долу са посочени и други разпоредби на WEC, които са релевантни за предлаганите отговори на поставените от запитващата юрисдикция въпроси.
IV.    Националното съдебно производство и производството пред Съда

27.      Доколкото е относимо към запитването до Съда, на 30 юли 2020 г. Съставът  за уреждане на спорове на ОЗД разпорежда на Proximus: i) да вземе незабавни подходящи мерки, за да отрази оттеглянето на съгласието на жалбоподателя и така да се съобрази с наложените от ОРЗД изисквания относно обработката на лични данни, ii) да изпълни искането на жалбоподателя да упражни своето „право да бъде забравен“ и iii) да прекрати незаконосъобразното обработване на данни, което се състои в предаване на лични данни на трети страни — доставчици на указатели. Освен това упреква Proximus за неспазването на член 24 от ОРЗД. Съставът за уреждане на спорове на ОЗД налага на Proximus глоба в размер на 20 000 EUR за нарушения на членове 6, 7 и 12 от ОРЗД (наричано по-нататък „спорното решение“).

28.      Proximus обжалва спорното решение пред Hof van beroep te Brussel (Апелативен съд, Брюксел), който отправя до Съда следните преюдициални въпроси:
„1)      Трябва ли член 12, параграф 2 от Директива 2002/58 във връзка с член 2, буква е) от тази директива и член 95 от [ОРЗД] да се тълкува в смисъл, че е допустимо национален надзорен орган при липса на национална правна разпоредба в обратен смисъл да изисква „съгласие“ на абоната по смисъла на [ОРЗД] като основание за публикуването на неговите лични данни в публичнодостъпни указатели на абонати и телефонни справочни услуги, предоставяни от самия оператор или от други доставчици?
2)      Трябва ли правото на изтриване по член 17 от [ОРЗД] да се тълкува в смисъл, че не допуска национален надзорен орган да квалифицира искане на абонат за изтриване от публичнодостъпни указатели на абонати и телефонни справочни услуги като искане за изтриване по смисъла на член 17 от [ОРЗД]?
3)      Трябва ли член 24 и член 5, параграф 2 от [ОРЗД] да се тълкуват в смисъл, че не допускат национален надзорен орган да изведе от предвиденото в него задължение за отчетност, че администраторът трябва да вземе подходящи технически и организационни мерки, за да информира други администратори, а именно доставчика на телефонни услуги и други доставчици на указатели на абонати и телефонни справочни услуги, които са получили данните от първия администратор, за оттеглянето на съгласието от съответното физическо лице съгласно член 6 във връзка с член 7 от [ОРЗД]?
4)      Трябва ли член 17, параграф 2 от [ОРЗД] да се тълкува в смисъл, че не допуска национален надзорен орган да разпореди на доставчик на публичнодостъпни указатели на абонати и телефонни справочни услуги, от когото се иска вече да не публикува данните на дадено лице, да предприеме разумни мерки, за да информира търсачките за това искане за изтриване?“.

29.      Писмени становища представят Proximus, ОЗД, италианското, латвийското, португалското и румънското правителство, както и Европейската комисия.

30.      В съдебното заседание от 9 февруари 2022 г. са изслушани устните изявления на Proximus, ОЗД и Комисията и отговорите им на въпросите, поставени от Съда.
V.      Анализ

А.      По допустимостта на преюдициалните въпроси

31.      Като предварително уточнение Proximus заявява, че частта от първия въпрос, която се отнася до задълженията на далекосъобщителните оператори, за разлика от тези на доставчиците на указатели, както и вторият и четвъртият въпрос са хипотетични и/или нямат отношение към въпросите, по които следва да се произнесе запитващата юрисдикция, поради което са недопустими.

32.      Според постоянната съдебна практика в рамките на производството, въведено с член 267 ДФЕС, само националният съд, който е сезиран със спора и трябва да поеме отговорността за последващото му съдебно решаване, може да прецени — предвид особеностите на делото — както необходимостта от преюдициално заключение, за да може да постанови решението си, така и релевантността на въпросите, които поставя на Съда. Следователно, след като поставените въпроси се отнасят до тълкуването на правото на Съюза, Съдът по принцип е длъжен да се произнесе(7).

33.      Въпреки това, Съдът може да не се произнесе по отправеното от национална юрисдикция запитване, ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора по главното производство, когато проблемът е от хипотетично естество или ако Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси(8).

34.      За да се отговори на твърденията на Proximus за недопустимост, предлагам да бъдат изложени основните доводи на страните пред Съда, за да се прецени дали четирите преюдициални въпроса са толкова отдалечени от предмета на висящия пред запитващата юрисдикция спор, че нямат никаква връзка с действителността или с предмета на спора по главното производство, поради което всички или част от тях са недопустими.

35.      Proximus счита, че не е длъжно да получи съгласието на жалбоподателя, за да включи неговите данни за контакт в указателите си, нито да му даде възможност да определи дали личните му данни да бъдат включени в тях. Според Proximus по тези въпроси отговорност носи далекосъобщителният оператор (в случая Telenet). Следователно жалбоподателят е трябвало да отправи искането си за премахване на координатите му от указателите на Proximus към Telenet. При условията на евентуалност Proximus счита, че разпоредбите на ОРЗД относно „правото да бъдеш забравен“ са ирелевантни, тъй като премахването на данните за контакт се състои в промяна на параметъра „NNNNN“ на „XXXXX“ в съответния запис. Ставало въпрос за коригиране, а не за изтриване на данни. Освен това било неуместно да се изисква от Proximus да информира доставчиците на търсачки за искането на жалбоподателя, тъй като не било сигурно дали последните са получили координатите му за връзка от Proximus или от друг доставчик на указатели.

36.      ОЗД счита, че включването на данните за контакт на жалбоподателя в указатели е изисквало неговото предварително съгласие. След като жалбоподателят уведомява Proximus, че не желае повече данните му да бъдат включвани по такъв начин, продължаващото им включване във всички подобни справочници ставало незаконосъобразно. Искането на жалбоподателя представлявало оттегляне на неговото съгласие и упражняване на „правото му да бъде забравен“ по смисъла на член 17 от ОРЗД. Член 17, параграф 2 от ОРЗД задължавал Proximus да информира доставчиците на търсачки за това искане. Член 5, параграф 2 и член 24 от ОРЗД също така позволявали на ОЗД да изисква от Proximus да информира далекосъобщителния оператор и другите доставчици на указатели за това искане.

37.      Становищата на италианското правителство и на Комисията до голяма степен се основават на същите доводи като изложените от ОЗД. Макар в становищата си латвийското, португалското и румънското правителство да възприемат подобен подход, те правят и следните уговорки. Латвийското правителство изтъква, че липсва правно основание да се изисква от всеки доставчик на указатели да получи отделно съгласие: различните доставчици, които използват данните за една и съща цел, трябва да могат да се позовават на еднократното съгласие, дадено от субекта на данните. Румънското правителство счита, че не може да се прави позоваване на член 5, параграф 2 и член 24 от ОРЗД по посочения от ОЗД начин, тъй като тези разпоредби не задължават администраторите да влизат в диалог с други администратори. Португалското правителство счита, че задължението на администраторите да информират трети лица, включително доставчиците на търсачки, относно искания за изтриване произтича от член 19 от ОРЗД, а не от член 17, параграф 2 от ОРЗД.

38.      От този кратък преглед на основните доводи на страните пред Съда се убеждавам, че и четирите въпроса, поставени от запитващата юрисдикция, са относими към предмета на спора в главното производство и са така тясно свързани, че нито една част от тях не може да се приеме за недопустима. Поради това предлагам на Съда да отхвърли възраженията на Proximus относно допустимостта на преюдициалните въпроси.
Б.      Анализ по същество

1.      По първия въпрос

39.      С първия си въпрос запитващата юрисдикция по същество иска да се установи дали съгласно член 12, параграф 2 от Директива  2002/58 във връзка с член 2, буква е) от тази директива и член 95 от ОРЗД се изисква съгласието на абоната по смисъла на ОРЗД, за да бъдат включени данните му за контакт в указатели на абонати, публикувани от далекосъобщителен оператор и/или други доставчици на указатели.

40.      Член 12, параграф 2 от Директива  2002/58 изисква на абонатите да бъде дадена възможност да определят дали техните лични данни да бъдат включени в публичен указател. Това изискване имплицитно включва съответно задължение да се даде възможност на абонатите да направят изричен избор дали желаят данните им да бъдат включени в такива указатели. Освен това в член 12, параграф 3 от Директива  2002/58 се посочва, че „допълнително съгласие“ от абонатите може да бъде поискано за всяка цел на публичен указател, освен тази за търсене на координати на лица на база техните имена(9). Изразът „допълнително съгласие“ в член 12, параграф 3 също означава, че в член 12, параграф 2 се изисква най-напред да се получи съгласие за такова публикуване.

41.      Както е посочено в точки 23 и 24 от настоящото заключение, за целите на член 2, буква е) от Директива 2002/58 „съгласие“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени.

42.      Изразът „потвърждаващо действие“ в определението на съгласие по смисъла на Директива  2002/58 е още едно указание, че абонатите трябва да имат възможност да упражнят „opt-in“ и да изберат личните им данни да бъдат включени в публичен указател. Противно на твърдението на Proximus, доставчиците на указатели не могат да приемат, че абонатът по подразбиране е съгласен личните му данни да бъдат включени в публичен указател, тоест това, което може да се опише като подход „opt-out“.

43.      Освен това Съдът е постановил, че при тълкуването на член 12 от Директива  2002/58 с оглед на контекста и систематичното място на тази разпоредба се налага изводът, че съгласието по смисъла на член 12, параграф 2 от тази директива се отнася до целта на публикуването на личните данни в публичния указател, а не до издаването им от конкретен доставчик. Затова даденото в съответствие с член 12, параграф 2 от Директива  2002/58 съгласие обхваща всяко следващо обработване на данните от трети предприятия, които извършват дейност на пазара на публичните телефонни справочни услуги и указатели, стига обработването да се извършва със същата цел(10).

44.      Следователно съгласието на абоната, както е определено в член 4, точка 11 от ОРЗД, е необходимо, за да бъдат включени личните му данни в указатели, публикувани от далекосъобщителния оператор и/или трети лица —  доставчици на указатели. Когато такова публикуване се извършва със същата цел, далекосъобщителният оператор и/или трето  лице —  доставчик (трети лица — доставчици)  може (могат) да се позове (позоват) на същото съгласие. 

45.      Бих добавил, че съгласно член 7, параграф 1 от ОРЗД, когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни. Доставчик на указатели като Proximus не може да презумира, че абонатът е дал съгласието си, дори ако може да се позове на съгласието, дадено от абоната на друг администратор.

46.      Proximus се позовава на съображения  38 и 39 от Директива  2002/58 в подкрепа на твърденията си, че задължението: i) да се информират абонатите за целта на указателите, в които техните лични данни ще бъдат включени, и ii) да им се предостави възможност да определят дали техните лични данни ще бъдат включени в указател, принадлежи единствено на далекосъобщителния оператор, с който абонатът е сключил договор. Текстът на посочените съображения не подкрепя това схващане. Съображение 38 се отнася до задължението на „доставчиците на публични указатели“ „да информират абонатите, които ще бъдат включени в такива указатели, за целите на указателя […]“. Съображение 39 гласи, че „[з]адължението да се информират абонатите за целта/целите на публичните указатели, в които техните лични данни ще бъдат включени, трябва да се наложи на страните, събиращи данните за такова включване“.

47.      Тъй като Telenet не публикува указатели, никое от тези съображения не се прилага спрямо него. Въпреки че далекосъобщителен оператор може да получи съгласието на абонатите с цел включване на техните данни в указатели, предоставяни от трети лица, и тези трети лица могат впоследствие да се позоват на това съгласие и да докажат, че такова е било дадено на далекосъобщителния оператор, съображения  38 и 39 от Директива  2002/58 не предполагат, че единствено далекосъобщителните оператори имат задължение да получат това съгласие, освобождавайки по този начин третите лица —  доставчици на указатели, от техните задължения и отговорността им в това отношение.

48.      Накрая, доколкото в Директива  2002/58 изрично е възприето определението за съгласие, което се съдържа в ОРЗД, повдигнатите от Proximus въпроси относно тълкуването на член 95 от ОРЗД и съотношението между ОРЗД и Директива  2002/58, което Proximus определя като съотношение „lex generalis/lex specialis“, са ирелевантни.

49.      Поради това предлагам на Съда да отговори на първия въпрос, като постанови, че съгласно член 12, параграф 2 от Директива  2002/58 във връзка с член 2, буква е) от тази директива и член 95 от ОРЗД се изисква „съгласието“ на абоната по смисъла на член 4, точка 11 от ОРЗД, за да бъдат включени данните му за контакт в указатели на абонати, публикувани от далекосъобщителен оператор и/или от други доставчици на указатели.
2.      По втория въпрос

50.      С втория си въпрос запитващата юрисдикция цели да се установи дали искането на абоната за премахване на данните му от указатели на абонати представлява упражняване на установеното в член 17 от ОРЗД „право на изтриване“.

51.      Proximus твърди, че трето лице — доставчик на указатели, не е длъжно да изпълни искане на абонат за премахване на данни от указатели, тъй като член 17 от ОРЗД не се прилага за това трето лице. Абонатът трябвало да отправи искането си до далекосъобщителния оператор, с когото е сключил договор. Proximus отново изтъква, че съотношението между ОРЗД и Директива  2002/58 е съотношение на lex generalis към lex specialis.

52.      При условията на евентуалност, Proximus посочва, че искането на жалбоподателя „да не се включва телефонен номер […] в 1207.be“ представлява искане за коригиране по смисъла на член 16 от ОРЗД, а не искане за изтриване по член 17 от ОРЗД, тъй като съответният параметър в записа на абоната само е променен от „NNNNN“ на „XXXXX“.

53.      Член 12, параграф 2 от Директива 2002/58 посочва, че на абонатите трябва да бъде дадена възможност да „коригира[т] или оттегля[т]“ личните данни, за които са дали съгласие да се включат в указатели. Директива  2002/58 не дава определение на понятията „коригира или оттегля“. Следователно е редно да се има предвид обичайното значение на тези думи в контекста, в който се срещат, а именно включването на координатите на абонати в указатели. Думата „коригира“ очевидно се отнася до случаи, в които абонатите желаят да променят начина, по който техните данни за контакт са представени в указателя, например да поправят изписването на име или неточност в адрес. Тази хипотеза се различава от разглеждания случай, в който жалбоподателят желае неговите данни за контакт да не фигурират повече в публични указатели. Сред значенията на думата „оттегля“ са „премахва“, „отдръпва“ или „отменя“. Може да се каже, че заявявайки несъгласието си за продължаване на обработката на данните му чрез включването им в указатели, жалбоподателят е поискал оттеглянето на личните си данни по смисъла на член 12, параграф 2 от Директива 2002/58.

54.      Както изтъква латвийското правителство, Директива  2002/58 не съдържа никакви други указания относно условията, изпълнението и последиците на исканията за „оттегляне“ на лични данни. Следователно разпоредбите на ОРЗД се  прилагат пряко, поради което доводът на Proximus, изведен от съотношението на lex specialis  към lex generalis между двата акта,  e несъстоятелен. Съгласно член 7, параграф 3 от ОРЗД абонатът има право да оттегли съгласието си по всяко време. Съгласно член 6, параграф 1, буква а) от ОРЗД обработването на данните на абоната с конкретната цел да бъдат включени в указатели вече е незаконосъобразно. Това на свой ред води до прилагането на член 17 от ОРЗД.

55.      Proximus твърди, че това тълкуване не може да бъде правилно, тъй като би означавало, че то и Telenet ще са длъжни да заличат записа на жалбоподателя от всички свои бази данни. ОЗД и другите страни, представили становища пред Съда, са на мнение, че искането на жалбоподателя се свежда до оттеглянето на данните му от указателите, а не до изтриването им от базата данни на абонатите на Telenet.

56.      Жалбоподателят иска да предотврати обработването на данните му за цели, свързани с указатели. Желанието му се улеснява от член 17, параграф 1, буква б) от ОРЗД, който разрешава оттеглянето на съгласието, върху което се основава обработването. Съгласието, което трябва да бъде получено от абоната в съответствие с член 12, параграф 2 от Директива 2002/58, се отнася за определен начин на обработка на данните, а именно за целите на публикуването им в указатели. След оттеглянето на това съгласие този конкретен начин на обработване на данните на абоната става незаконосъобразен. Ако това не беше така, абонатът не би могъл да оттегли съгласието си за целите на публикуването в указатели, без едновременно с това да прекрати договора си за предоставяне на далекосъобщителни услуги.

57.      Поради това предлагам на Съда да отговори на втория въпрос, че искането на абоната за премахване на данните му от указатели на абонати представлява упражняване на установеното в член 17 от ОРЗД „право на изтриване“.
3.      По третия въпрос

58.      С третия си въпрос запитващата юрисдикция по същество иска да установи дали съгласно член 5, параграф 2 и член 24 от ОРЗД национален надзорен орган може да направи извод, че администраторът трябва да вземе подходящи технически и организационни мерки, за да уведоми други администратори, а именно далекосъобщителния оператор и други доставчици на указатели, които са получили данните от първия администратор, за оттеглянето на съгласието от субекта на данните съгласно член 6 от ОРЗД във връзка с член 7 от ОРЗД.

59.      В рамките на този въпрос „администраторът“ е Proximus, а „други администратори“ са: i) далекосъобщителният оператор Telenet, към когото жалбоподателят има телефонен абонамент, и ii) доставчик (доставчици) на указатели, на който (които) Proximus предоставя данни за абонатите, включително получените от Telenet данни.

60.      Доколкото далекосъобщителният оператор не предоставя указатели и за включването на координатите на абонатите в указатели е нужно тяхното съгласие, възниква въпросът защо би било от значение да се информира далекосъобщителният оператор, че абонатът е оттеглил съгласието си за използване на данните му за тази цел.

61.      WEC задължава далекосъобщителните оператори да предават данните за контакт на абонатите на доставчиците на указатели(11). Те обаче трябва да „държат отделно“ данните за контакт на абонатите, които са посочили, че не желаят да бъдат включени в указател, за да им дадат възможност да получат копие от този указател(12). Както посочих в точка 4 от настоящото заключение, оттеглянето на съгласието се извършва чрез коригиране на параметрите в записа на абоната. Proximus актуализира своята база данни при получаване на волеизявление за оттегляне на съгласие. Тази актуализация обаче се заличава, когато Proximus получи друг набор от данни за абонати от далекосъобщителния оператор с цел включването на тези данни в указатели на абонати, а далекосъобщителният оператор не е бил уведомен за искането на абоната данните му да не се включват в публичен указател. Следователно, за да отрази оттеглянето на съгласието на абоната, Proximus трябва не само да актуализира собствената си база данни, но и да информира далекосъобщителния оператор за това оттегляне.

62.      Proximus твърди, че е само „получател, на когото личните данни са били разкрити“ по смисъла на член 19 от ОРЗД. Следователно задължението по член 17, параграф 2 от ОРЗД за администраторите да предприемат разумни мерки, за да информират другите администратори за исканията за изтриване, не се прилагало за него. Затова според Proximus е неправилно член 5, параграф 2 и член 24 от ОРЗД да се тълкуват в смисъл, че го задължават да информира далекосъобщителния оператор и другите доставчици на указатели за получаваните от него искания за изтриване.

63.      Трудно мога да се съглася, че Proximus е само получател на лични данни. Въпреки че то може да е получило данните за контакт на жалбоподателя от Telenet, публикуването на тези данни в неговите указатели представлява обработване на данни по смисъла на член 4, точка 2 от ОРЗД. В този контекст Proximus действа като администратор по смисъла на член 4, точка 7 от ОРЗД(13). Съгласно член 5, параграф 2 и член 24 от ОРЗД администраторите имат задължения във връзка с отчетността и предприемането на подходящи  стъпки, за да гарантират, че обработването на данните се извършва в съответствие с ОРЗД.

64.      Член 5, параграф 1, буква а) от ОРЗД предвижда, че личните данни се обработват законосъобразно. Съгласно член 6, параграф 1, буква а) от същия  регламент обработването е законосъобразно само ако и доколкото субектът на данните е дал съгласие за обработване на данните му за една или повече конкретни цели. От акта за преюдициално запитване е видно, че жалбоподателят е оттеглил своето съгласие по смисъла на член 7 от ОРЗД личните му данни да бъдат обработвани с цел публикуването им в указатели. Такова обработване, включително от други доставчици на указатели за същата цел, не съответства на ОРЗД. Следователно то е незаконосъобразно.

65.      В съответствие с тази констатация, заедно с изискванията за уведомяване по член 17, параграф 2 и член 19 от ОРЗД, националният надзорен орган може да направи извод от предвиденото в член 5, параграф 2 от ОРЗД задължение за отчетност и от задължението по член 24 от ОРЗД да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този регламент, че администраторът трябва да уведоми чрез подходящи технически и организационни мерки другите администратори, а именно доставчика на далекосъобщителни услуги и други доставчици на указатели, които са получили данни от този първи администратор, за оттеглянето на съгласието на субекта на данните в съответствие с член 6 ОРЗД във връзка с член 7 ОРЗД.

66.      Румънското правителство отбелязва, че член 17, параграф 2 от ОРЗД съдържа изискванията за уведомяване, които доставчиците на търсачки трябва да изпълнят при направени искания за изтриване. Следователно би било неуместно национален надзорен орган да се позовава на член 5, параграф 2 и на член 24 от ОРЗД, по-специално доколкото тези разпоредби не съдържат конкретни задължения относно предаването на информация на трети лица.

67.      Според мен член 5, параграф 2 и член 24 от ОРЗД налагат на администраторите общи изисквания за отчетност и съответствие. Широката им формулировка и обхват позволяват да се улесни национален надзорен орган, който иска да наложи изисквания за уведомяване на трети лица от страна на администратора. Действително член 17, параграф 2 и член 19 от ОРЗД установяват конкретни задължения за уведомяване по отношение съответно на „администраторите“ (за данни, които са направени обществено достояние и чието изтриване е поискано) и на „получателите“. Тези разпоредби обаче не обхващат разглежданото фактическо положение, при което поради взаимодействието на базите данни на различните участници възниква необходимостта да се уведоми далекосъобщителният оператор за оттеглянето на съгласието, без което Proximus и доставчиците, използващи получени от Proximus данни за абонатите, в крайна сметка обработват данните незаконосъобразно.

68.      Това тълкуване на ОРЗД води до положение, при което абонатът може да съобщи за оттеглянето на съгласието си (в случая искане да не се включват данни за контакт в указатели) на всеки субект, който включва тези данни в указатели, или на всеки субект (включително далекосъобщителния оператор), който съобщава такива данни за контакт на други лица със същата цел. Субектът, към когото абонатът избере да се обърне, отговаря за предаването на това искане за изтриване на други администратори, доколкото е необходимо, за да се гарантира, че данните не се обработват незаконосъобразно. Подобно тълкуване съответства на наложеното с член 12, параграф 2 от ОРЗД задължение на администраторите да съдействат за упражняването на правата на субектите на данните по членове 15—22 от ОРЗД. То също така отразява изискването на член 7, параграф 3, последно изречение от ОРЗД, че оттеглянето на съгласие за обработване на лични данни е също толкова лесно, колкото и даването му. След като доставчик на указатели може да се позове на съгласието на абонат за обработване на данните му за тази цел, дадено на друг доставчик, за оттегляне на съгласието трябва да е възможно абонатът да се свърже с който и да е от доставчиците на указатели или с далекосъобщителния оператор, за да бъдат премахнати данните му за контакт от указатели, публикувани от всички субекти, които се основават на еднократно даденото от него съгласие.

69.      Ето защо предлагам на третия въпрос да се отговори в смисъл, че съгласно член 5, параграф 2 и член 24 от ОРЗД национален надзорен орган може да направи извод, че администраторът трябва да предприеме подходящи технически и организационни мерки, за да уведоми други администратори, а именно далекосъобщителния оператор и други доставчици на указатели, които са получили данни от първия администратор, за оттеглянето на съгласието от субекта на данните съгласно член 6 от ОРЗД във връзка с член 7 от ОРЗД.
4.      По четвъртия въпрос 

70.      С четвъртия си въпрос запитващата юрисдикция по същество иска да се установи дали член 17, параграф 2 от ОРЗД не допуска национален надзорен орган да разпореди на доставчик на указатели да информира доставчиците на търсачки за получените от него искания за изтриване.

71.      В този въпрос имплицитно се съдържа становището на запитващата юрисдикция, че жалбоподателят повече не желае данните му за контакт да бъдат публичнодостъпни в интернет чрез търсачките.

72.      Както посочих в точка 62 от настоящото заключение, според Proximus член 17, параграф 2 от ОРЗД не се прилага спрямо него, тъй като то било само получател на лични данни. При условията на евентуалност Proximus твърди, че съгласно член 17, параграф 2 от ОРЗД то е длъжно да предприеме разумни стъпки само за да информира администраторите, че субектът на данните е поискал изтриване на неговите данни(14). Тъй като Proximus не е разкривало данни пряко на доставчиците на търсачки, „не е 100 % сигурно“, че тези доставчици са получили данните за контакт на абоната от Proximus, а би могло да са ги получили от друг доставчик на указатели. При тези обстоятелства би било неразумно да се изисква от Proximus след получаване на искането на жалбоподателя да се свърже директно с доставчиците на търсачки.

73.      От предложения от мен отговор на втория въпрос следва, че искането на абонат за премахване на неговите данни от указатели води до прилагане на предвиденото в член 17, параграф 2 от ОРЗД задължение на администратора да предприеме разумни стъпки само за да уведоми администраторите, обработващи личните данни, че субектът на данните е поискал изтриване на всички връзки, копия или реплики на тези лични данни.

74.      Тогава изниква въпросът дали доставчиците на търсачки са администратори. Индексирането на лични данни и предоставянето им на разположение на потребителите на интернет в списък с резултати от търсенето представлява обработване на лични данни по смисъла на член 4, точка 2 от ОРЗД. Доколкото доставчиците на интернет търсачки решават как да индексират тези данни и отговарят за разработването на алгоритъма, който определя реда на появяване на резултатите от търсенето, те определят целите и средствата за обработване на лични данни, при което действат като администратори по смисъла на член 4, точка 7 от ОРЗД(15).

75.      Остава изискването Proximus да предприеме разумни стъпки, включително технически мерки, само за да уведоми доставчиците на интернет търсачки относно искането за изтриване на данни.

76.      За да се прецени дали предприетите стъпки са разумни, член 17, параграф 2 от ОРЗД предвижда да се отчита наличната технология и разходите по изпълнението, като тази задача се възлага преди всичко на компетентния по тези въпроси орган и подлежи на съдебен контрол. В точка 10 от настоящото заключение посочих, че Proximus е заявило на жалбоподателя, че ще уведоми Google за неговото искане за изтриване. В своето становище пред Съда ОЗД посочва, че към второто тримесечие на 2020 г. в Белгия е имало ограничен брой доставчици на интернет търсачки, начело с Google, чийто пазарен дял е бил между 90 % (за търсения от настолни компютри) и 99 % (за търсения от смартфони и таблети)(16). Изглежда необосновано само въз основа на това да се направи извод, че би било неразумно да се изисква от Proximus да информира доставчиците на търсачки за получените от него искания за изтриване.

77.      Във всеки случай, не съм убеден, че за преценката дали стъпките, които Proximus трябва да предприеме, за да уведоми конкретен доставчик на търсачка, са „разумни“ по смисъла на член 17, параграф 2 от ОРЗД трябва да се вземе предвид дали е било „100 % сигурно“, че въпросният доставчик на търсачка е получил от Proximus данните, които трябва да бъдат изтрити. Не ме впечатлява и доводът, че би било неразумно да се изисква от Proximus да предприеме каквито и да било стъпки, за да се съобрази с член 17, параграф 2 от ОРЗД, тъй като не е „100 % сигурно“, че доставчиците на интернет търсачки са получили от Proximus данните за контакт на жалбоподателя.

78.      Възможността администраторите да избегнат отговорност за обработването на лични данни, обосновавайки се с вероятността въпросните данни да не са получени от тях, би лишила всяко задължение в това отношение от ефективност в многобройните случаи, когато данните са достъпни чрез връзка или са копирани в интернет. Такъв подход дори би могъл да насърчи порочното разпространение на данни, за да се избегне бремето на това задължение. Освен това, от довода на Proximus следва логическият извод, че нито един доставчик на указатели не би бил длъжен да спази член 17, параграф 2 от ОРЗД, като уведоми доставчиците на търсачки за искането на жалбоподателя, тъй като всички тези доставчици биха могли да се позоват на някаква неяснота относно произхода на данните. Нещо повече, доколкото Telenet не публикува указатели на абонати, няма как доставчиците на търсачки да са получили данните от далекосъобщителния оператор. Това означава, че абонатът ще трябва да открие къде са достъпни неговите данни за контакт и да изпрати искания за изтриване до всеки субект, който ги публикува. Такъв подход би бил в явно противоречие с член 7, параграф 3 от ОРЗД, който предвижда, че оттеглянето на съгласие е също толкова лесно, колкото и даването му.

79.      Ето защо предлагам на Съда да отговори на четвъртия въпрос в смисъл, че член 17, параграф 2 от ОРЗД допуска национален надзорен орган да разпореди на доставчик на указатели да информира доставчиците на търсачки за получените от него искания за изтриване.
VI.    Заключение

80.      Поради гореизложените съображения предлагам на Съда да отговори на поставените от Hof van beroep te Brussel (Апелативен съд Брюксел, Белгия) преюдициални въпроси по следния начин:
„1)      Съгласно член 12, параграф 2 от Директива  2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) във връзка с член 2, буква е) от тази директива и член 95 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) се изисква „съгласието“ на абоната по смисъла на член 4, точка 11 от Общия регламент относно защитата на данните, за да бъдат включени данните му за контакт в указатели на абонати, публикувани от далекосъобщителен оператор и/или от други доставчици на указатели.
2)      Искането на абоната за премахване на данните му от указатели на абонати представлява упражняване на установеното в член 17 от Общия регламент относно защитата на данните „право на изтриване“.
3)      Съгласно член 5, параграф 2 и член 24 от Общия регламент относно защитата на данните национален надзорен орган може да направи извод, че администраторът трябва да предприеме подходящи технически и организационни мерки, за да уведоми други администратори, а именно далекосъобщителния оператор и други доставчици на указатели, които са получили данни от първия администратор, за оттеглянето на съгласието от субекта на данните съгласно член 6 от Общия регламент относно защитата на данните във връзка с член 7 от същия регламент.
4)      Член 17, параграф 2 от Общия регламент относно защитата на данните допуска национален надзорен орган да разпореди на доставчик на указатели да информира доставчиците на търсачки за получените от него искания за изтриване“.

1      Език на оригиналния текст: английски.

2      OB L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“. ОРЗД отменя и заменя Директива  95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (OB L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10). 

3      OB L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63, наскоро изменена с Директива  2009/136/ЕО на Европейския парламент и на Съвета (OB L 337, 2009 г., стр. 11).

4      С член 94 от ОРЗД се отменя и заменя Директива  95/46/ЕО. Член 94, параграф 2 от ОРЗД предвижда, че позоваванията на Директива  95/46/ЕО се тълкуват като позовавания на ОРЗД.

5      ОВ L 108, 2002 г., стр. 33; Специално издание на български език, 2007 г., глава 13, том 35, стр. 195. Вж. член 2 от Директива  2002/58.

6      Belgisch Staatsblad, 20 юни 2005 г., стр. 28070, наричан по-нататък „WEC“.

7      Решения от 1 април 2008 г.,  Правителство на Френската общност и Валонско правителство (C‑212/06, EU:C:2008:178, т. 28), от 22 октомври 2009 г., Zurita García и Choque Cabrera (C‑261/08 и C‑348/08, EU:C:2009:648, т. 34), и от 19 ноември 2009 г., Filipiak  (C‑314/08, EU:C:2009:719, т. 40).

8      Решение от 22 октомври 2009 г., Zurita García и Choque Cabrera  (C‑261/08 и C‑348/08, EU:C:2009:648, т. 35).

9      Вж. в същия смисъл съображение 39 от Директива  2002/58, което пояснява изискването за „подновено съгласие“, ако данните се използват „за други цели, освен за тези, за които са събрани“.

10      Решение от 5 май 2011 г., Deutsche Telekom (C‑543/09, EU:C:2011:279, т. 61—67).

11      Член 45, параграф 2 и член 46, параграф 2 от WEC.

12      Член 45, параграф 3 от WEC.

13      Съгласно член 4, точка 7 от ОРЗД „администратор“ означава физическо или юридическо лице, което определя целите и средствата за обработването на лични данни. Съгласно член 4, точка 2 от ОРЗД „обработването“ включва „разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни“.

14      Или коригиране, според Proximus.

15      Вж. в този смисъл съображение 66 от ОРЗД, което потвърждава, че тези разпоредби целят утвърждаване на „правото да бъдеш забравен“ в онлайн средата. Този извод се затвърждава от решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене) (C‑136/17, EU:C:2019:773, т. 34 и 35).

16      За допълнителна информация вж: https://www.pure-im.nl/blog/marktaandelen-zoekmachines-q2‑2020/.