# data[].attributes.headline
CJEU confirms preparatory acts can be automated individual decisions: the SCHUFA cases

# data[].attributes.subject
CJEU confirms preparatory acts can be automated individual decisions: the SCHUFA cases

# data[].attributes.attachment_link.title
CJEU confirms preparatory acts can be automated individual decisions: the SCHUFA cases

# data[].attributes.attachment_link.description
On 7 December, the Court of Justice of the European Union issued its judgment in the SCHUFA case (case C-634/21). The CJEU ruled that a credit reference agency engages in automated individual decision- making when it creates credit repayment probability scores as a result of automated processing and where lenders rely heavily on these scores (to establish, implement, or terminate contracts).

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Marea Cameră)

4 iulie 2023(*)

CUPRINS

„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Rețele sociale online - Abuz de poziție dominantă al operatorului unei astfel de rețele - Abuz care constă în prelucrarea datelor cu caracter personal ale utilizatorilor acestei rețele prevăzută de condițiile generale de utilizare a acesteia - Competențele unei autorități de concurență a unui stat membru de a constata neconformitatea acestei prelucrări cu regulamentul menționat - Corelare cu competențele autorităților naționale de supraveghere a protecției datelor cu caracter personal - Articolul 4 alineatul (3) TUE - Principiul cooperării loiale - Articolul 6 alineatul (1) primul paragraf literele (a)-(f) din Regulamentul 2016/679 - Legalitatea prelucrării - Articolul 9 alineatele (1) și (2) - Prelucrare a unor categorii speciale de date cu caracter personal - Articolul 4 punctul 11 - Noțiunea de "consimțământ""

În cauza C‑252/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf, Germania), prin decizia din 24 martie 2021, primită de Curte la 22 aprilie 2021, în procedura

Meta Platforms Inc., fostă Facebook Inc.,

Meta Platforms Ireland Ltd, fostă Facebook Ireland Ltd,
Facebook Deutschland GmbH
împotriva
Bundeskartellamt,
cu participarea:
Verbraucherzentrale Bundesverband eV,
CURTEA (Marea Cameră),

compusă din domnul K. Lenaerts, președinte, domnul L. Bay Larsen, vicepreședinte, doamnele A. Prechal și K. Jürimäe, domnii C. Lycourgos, M. Safjan, doamna L. S. Rossi (raportoare), domnul D. Gratsias și doamna M. L. Arastey Sahún, președinți de cameră, domnii J.‑C. Bonichot, S. Rodin, F. Biltgen, M. Gavalec, Z. Csehi și doamna O. Spineanu‑Matei, judecători,

avocat general: domnul A. Rantos,

grefier: domnul D. Dittert, șef de unitate,

având în vedere procedura scrisă și în urma ședinței din 10 mai 2022,

luând în considerare observațiile prezentate:

- pentru Meta Platforms Inc., fostă Facebook Inc., Meta Platforms Ireland Ltd, fostă Facebook Ireland Ltd, și Facebook Deutschland GmbH, de M. Braun, M. Esser, L. Hesse, J. Höft și H.‑G. Kamann, Rechtsanwälte;

- pentru Bundeskartellamt, de J. Nothdurft, K. Ost, I. Sewczyk și J. Topel, în calitate de agenți;

- pentru Verbraucherzentrale Bundesverband eV, de S. Louven, Rechtsanwalt;

- pentru guvernul german, de J. Möller și P.‑L. Krüger, în calitate de agenți;

- pentru guvernul ceh, de M. Smolek și J. Vláčil, în calitate de agenți;

- pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de E. De Bonis și P. Gentili, avvocati dello Stato;

- pentru guvernul austriac, de A. Posch, J. Schmoll și G. Kunnert, în calitate de agenți;

- pentru Comisia Europeană, de F. Erlbacher, H. Kranenborg și G. Meessen, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 20 septembrie 2022,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 4 alineatul (3) TUE, precum și a articolului 6 alineatul (1), a articolului 9 alineatele (1) și (2), a articolului 51 alineatul (1) și a articolului 56 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD").

2 Această cerere a fost formulată în cadrul unui litigiu între Meta Platforms Inc., fostă Facebook Inc., Meta Platforms Ireland Ltd, fostă Facebook Ireland Ltd, și Facebook Deutschland GmbH, pe de o parte, și Bundeskartellamt (Oficiul Federal al Concurenței, Germania), pe de altă parte, în legătură cu decizia acestuia din urmă de a interzice societăților respective să prelucreze anumite date cu caracter personal după cum prevăd condițiile generale de utilizare a rețelei sociale Facebook (denumite în continuare „condițiile generale").

Cadrul juridic

Dreptul Uniunii

Regulamentul (CE) nr. 1/2003

3 Articolul 5 din Regulamentul (CE) nr. 1/2003 al Consiliului din 16 decembrie 2002 privind punerea în aplicare a normelor de concurență prevăzute la articolele [101] și [102 TFUE] (JO 2003, L 1, p. 1, Ediție specială, 08/vol. 1, p. 167), intitulat „Competențele autorităților de concurență ale statelor membre", prevede:

„Autoritățile de concurență ale statelor membre sunt competente să aplice articolele [101 și 102 TFUE] în cazuri individuale. În acest scop, acționând din oficiu sau ca urmare a unei plângeri, ele pot lua următoarele decizii:

- să solicite încetarea unei încălcări;

- să dispună măsuri provizorii;

- să accepte angajamente;

- să impună amenzi, penalități cu titlu cominatoriu sau orice alte sancțiuni prevăzute de dreptul lor național.

Atunci când, pe baza informațiilor de care dispun, condițiile de interdicție nu sunt îndeplinite, ele pot decide de asemenea că nu există motive pentru a interveni."

RGPD

4 Considerentele (1), (4), (38), (42), (43), (46), (47), (49) și (51) ale RGPD au următorul cuprins:

„(1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene ("carta") și articolul 16 alineatul (1) [TFUE] prevăd dreptul oricărei persoane la protecția datelor cu caracter personal care o privesc.

[...]

(4) Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în cartă astfel cum sunt consacrate în tratate, în special respectarea vieții private și de familie, a reședinței și a comunicațiilor, a protecției datelor cu caracter personal, a libertății de gândire, de conștiință și de religie, a libertății de exprimare și de informare, a libertății de a desfășura o activitate comercială, dreptul la o cale de atac eficientă și la un proces echitabil, precum și diversitatea culturală, religioasă și lingvistică.

[...]

(38) Copiii au nevoie de o protecție specifică a datelor lor cu caracter personal, întrucât pot fi mai puțin conștienți de riscurile, consecințele, garanțiile în cauză și drepturile lor în ceea ce privește prelucrarea datelor cu caracter personal. Această protecție specifică ar trebui să se aplice în special utilizării datelor cu caracter personal ale copiilor în scopuri de marketing sau pentru crearea de profiluri de personalitate sau de utilizator și la colectarea datelor cu caracter personal privind copiii în momentul utilizării serviciilor oferite direct copiilor. Consimțământul titularului răspunderii părintești nu ar trebui să fie necesar în contextul serviciilor de prevenire sau consiliere oferite direct copiilor.

[...]

(42) În cazul în care prelucrarea se bazează pe consimțământul persoanei vizate, operatorul ar trebui să fie în măsură să demonstreze faptul că persoana vizată și‑a dat consimțământul pentru operațiunea de prelucrare. [...] Pentru ca acordarea consimțământului să fie în cunoștință de cauză, persoana vizată ar trebui să fie la curent cel puțin cu identitatea operatorului și cu scopurile prelucrării pentru care sunt destinate datele cu caracter personal. Consimțământul nu ar trebui considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată.

(43) Pentru a garanta faptul că a fost acordat în mod liber, consimțământul nu ar trebui să constituie un temei juridic valabil pentru prelucrarea datelor cu caracter personal în cazul particular în care există un dezechilibru evident între persoana vizată și operator, în special în cazul în care operatorul este o autoritate publică, iar acest lucru face improbabilă acordarea consimțământului în mod liber în toate circumstanțele aferente respectivei situații particulare. Consimțământul este considerat a nu fi acordat în mod liber în cazul în care aceasta nu permite să se acorde consimțământul separat pentru diferitele operațiuni de prelucrare a datelor cu caracter personal, deși acest lucru este adecvat în cazul particular, sau dacă executarea unui contract, inclusiv furnizarea unui serviciu, este condiționată de consimțământ, în ciuda faptului că consimțământul în cauză nu este necesar pentru executarea contractului.

[...]

(46) Prelucrarea datelor cu caracter personal ar trebui, de asemenea, să fie considerată legală în cazul în care este necesară în scopul asigurării protecției unui interes care este esențial pentru viața persoanei vizate sau pentru viața unei alte persoane fizice. Prelucrarea datelor cu caracter personal care are drept temei interesele vitale ale unei alte persoane fizice ar trebui, în principiu, să fie efectuată numai în cazul în care prelucrarea nu se poate baza în mod evident pe un alt temei juridic. Unele tipuri de prelucrare pot servi atât unor motive importante de interes public, cât și intereselor vitale ale persoanei vizate, de exemplu în cazul în care prelucrarea este necesară în scopuri umanitare, inclusiv în vederea monitorizării unei epidemii și a răspândirii acesteia sau în situații de urgențe umanitare, în special în situații de dezastre naturale sau provocate de om.

(47) Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul. [...] În orice caz, existența unui interes legitim ar necesita o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Interesele și drepturile fundamentale ale persoanei vizate ar putea prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară. [...] Prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim.

[...]

(49) Prelucrarea datelor cu caracter personal în măsura strict necesară și proporțională în scopul asigurării securității rețelelor și a informațiilor, și anume capacitatea unei rețele sau a unui sistem de informații de a face față, la un anumit nivel de încredere, evenimentelor accidentale sau acțiunilor ilegale sau rău intenționate care compromit disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor cu caracter personal stocate sau transmise, precum și securitatea serviciilor conexe oferite de aceste rețele și sisteme sau accesibile prin intermediul acestora [...] constituie un interes legitim al operatorului de date în cauză.

[...]

(51) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. Aceste date cu caracter personal ar trebui să includă datele cu caracter personal care dezvăluie originea rasială sau etnică, utilizarea termenului "origine rasială" în prezentul regulament neimplicând o acceptare de către Uniune[a] [Europeană] a teoriilor care urmăresc să stabilească existența unor rase umane separate. Prelucrarea fotografiilor nu ar trebui să fie considerată în mod sistematic ca fiind o prelucrare de categorii speciale de date cu caracter personal, întrucât fotografiile intră sub incidența definiției datelor biometrice doar în cazurile în care sunt prelucrate prin mijloace tehnice specifice care permit identificarea unică sau autentificarea unei persoane fizice. Asemenea date cu caracter personal nu ar trebui prelucrate, cu excepția cazului în care prelucrarea este permisă în cazuri specifice prevăzute de prezentul regulament, ținând seama de faptul că dreptul statelor membre poate prevedea dispoziții specifice cu privire la protecția datelor în scopul adaptării aplicării normelor din prezentul regulament în vederea respectării unei obligații legale sau a îndeplinirii unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul. Pe lângă cerințele specifice pentru o astfel de prelucrare, ar trebui să se aplice principiile generale și alte norme prevăzute de prezentul regulament, în special în ceea ce privește condițiile pentru prelucrarea legală. Ar trebui prevăzute în mod explicit derogări de la interdicția generală de prelucrare a acestor categorii speciale de date cu caracter personal, printre altele atunci când persoana vizată își dă consimțământul explicit sau în ceea ce privește nevoile specifice în special atunci când prelucrarea este efectuată în cadrul unor activități legitime de către anumite asociații sau fundații al căror scop este de a permite exercitarea libertăților fundamentale."

5 Articolul 4 din acest regulament prevede:

„În sensul prezentului regulament:

1. "date cu caracter personal" înseamnă orice informații privind o persoană fizică identificată sau identificabilă ("persoana vizată"); [...]

2. "prelucrare" înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

[...]

7. "operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;

[...]

11. "consimțământ" al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;

[...]

23. "prelucrare transfrontalieră" înseamnă:

(a) fie prelucrarea datelor cu caracter personal care are loc în contextul activităților sediilor din mai multe state membre ale unui operator sau ale unei persoane împuternicite de operator pe teritoriul Uniunii, dacă operatorul sau persoana împuternicită de operator are sedii în cel puțin două state membre; [...]

(b) fie prelucrarea datelor cu caracter personal care are loc în contextul activităților unui singur sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii, dar care afectează în mod semnificativ sau este susceptibilă de a afecta în mod semnificativ persoane vizate din cel puțin două state membre;

[...]"

6 Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal ", prevede la alineatele (1) și (2):

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată ("legalitate, echitate și transparență");

(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; [...]

(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate ("reducerea la minimum a datelor");

[...]

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

7 Articolul 6 din același regulament, intitulat „Legalitatea prelucrării", prevede următoarele:

„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;

(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;

(c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;

(d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;

(e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;

(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.

[...]

(3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:

(a) dreptul Uniunii sau

(b) dreptul intern care se aplică operatorului.

[...]

[...] Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit."

8 Articolul 7 din RGPD, intitulat „Condiții privind consimțământul", prevede:

„(1) În cazul în care prelucrarea se bazează pe consimțământ, operatorul trebuie să fie în măsură să demonstreze că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal.

[...]

(4) Atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de faptul că, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract."

9 Articolul 9 din acest regulament, intitulat „Prelucrarea de categorii speciale de date cu caracter personal", prevede:

„(1) Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.

(2) Alineatul (1) nu se aplică în următoarele situații:

(a) persoana vizată și‑a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate;

[...]

(e) prelucrarea se referă la date cu caracter personal care sunt făcute publice în mod manifest de către persoana vizată;

(f) prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în instanță sau ori de câte ori instanțele acționează în exercițiul funcției lor judiciare;

[...]"

10 Articolul 13 din regulamentul menționat, privind „[i]nformații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată", prevede la alineatul (1) următoarele:

„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[...]

(c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;

(d) în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță;

[...]"

11 Capitolul VI din RGPD, referitor la „[a]utorități de supraveghere independente", cuprinde articolele 51-59 din acest regulament.

12 Articolul 51 din regulamentul menționat, intitulat „Autoritatea de supraveghere", prevede la alineatele (1) și (2):

„(1) Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii [...]

(2) Fiecare autoritate de supraveghere contribuie la aplicarea coerentă a prezentului regulament în întreaga Uniune. În acest scop, autoritățile de supraveghere cooperează atât între ele, cât și cu Comisia [Europeană], în conformitate cu capitolul VII."

13 Potrivit articolului 55 din același regulament, intitulat „Competența":

„(1) Fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu prezentul regulament pe teritoriul statului membru de care aparține.

(2) În cazul în care prelucrarea este efectuată de autorități publice sau de organisme private care acționează pe baza literei (c) sau (e) de la articolul 6 alineatul (1), este [competentă] autoritatea de supraveghere din statul membru respectiv. În astfel de cazuri, nu se aplică articolul 56."

14 Articolul 56 din RGPD, intitulat „Competența autorității de supraveghere principale", prevede la alineatul (1):

„Fără a aduce atingere articolului 55, autoritatea de supraveghere a sediului principal sau a sediului unic al operatorului sau al persoanei împuternicite de operator este competentă să acționeze în calitate de autoritate de supraveghere principală pentru prelucrarea transfrontalieră efectuată de respectivul operator sau respectiva persoană împuternicită în cauză în conformitate cu procedura prevăzută la articolul 60."

15 Articolul 57 din acest regulament, intitulat „Sarcini", prevede la alineatul (1):

„Fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament, fiecare autoritate de supraveghere, pe teritoriul său:

(a) monitorizează și asigură aplicarea prezentului regulament;

[...]

(g) cooperează, inclusiv prin schimb de informații, cu alte autorități de supraveghere și își oferă asistență reciprocă pentru a asigura coerența aplicării și respectării prezentului regulament;

[...]"

16 Articolul 58 din regulamentul menționat stabilește la alineatul (1) lista competențelor de investigare pe care le are fiecare autoritate de supraveghere și prevede la alineatul (5) că „fiecare stat membru prevede, pe cale legislativă, faptul că autoritatea sa de supraveghere are competența de a aduce în fața autorităților judiciare cazurile de încălcare a prezentului regulament și, după caz, de a iniția sau de a se implica într‑un alt mod în proceduri judiciare, în scopul de a asigura aplicarea dispozițiilor prezentului regulament".

17 Secțiunea 1, intitulată „Cooperare", din capitolul VII din RGPD, care poată denumirea de „Cooperare și coerență", cuprinde articolele 60-62 din acest regulament. Articolul 60, privind „[c]ooperarea dintre autoritatea de supraveghere principală și celelalte autorități de supraveghere vizate", prevede la alineatul (1):

„Autoritatea de supraveghere principală cooperează cu celelalte autorități de supraveghere vizate, în conformitate cu prezentul articol, în încercarea de a ajunge la un consens. Autoritatea de supraveghere principală și autoritățile de supraveghere vizate își comunică reciproc toate informațiile relevante."

18 Articolul 61 din RGPD, intitulat „Asistență reciprocă", prevede la alineatul (1):

„Autoritățile de supraveghere își furnizează reciproc informații relevante și asistență pentru a pune în aplicare prezentul regulament în mod coerent și instituie măsuri de cooperare eficace între ele. Asistența reciprocă se referă, în special, la cereri de informații și măsuri de supraveghere, cum ar fi cereri privind autorizări și consultări prealabile, inspecții și investigații."

19 Articolul 62 din acest regulament, intitulat „Operațiuni comune ale autorităților de supraveghere", prevede la alineatele (1) și (2):

„(1) După caz, autoritățile de supraveghere desfășoară operațiuni comune, inclusiv investigații comune și măsuri comune de aplicare a legii, în care sunt implicați membri sau personal din autoritățile de supraveghere ale altor state membre.

(2) În cazul în care operatorul sau persoana împuternicită de operator deține sedii în mai multe state membre sau dacă un număr semnificativ de persoane vizate din mai multe state membre sunt susceptibile de a fi afectate în mod semnificativ de operațiuni de prelucrare, o autoritate de supraveghere din fiecare dintre statele membre respective are dreptul de a participa la operațiunile comune. [...]"

20 Secțiunea 2, intitulată „Asigurarea coerenței", din capitolul VII din RGPD cuprinde articolele 63-67 din acest regulament. Articolul 63, intitulat „Mecanismul pentru asigurarea coerenței", are următorul cuprins:

„Pentru a contribui la aplicarea coerentă a prezentului regulament în întreaga Uniune, autoritățile de supraveghere cooperează între ele și, după caz, cu Comisia prin mecanismul pentru asigurarea coerenței, astfel cum se prevede în prezenta secțiune."

21 În temeiul articolului 64 alineatul (2) din acest regulament:

„Orice autoritate de supraveghere, președintele [C]omitetului [European pentru Protecția Datelor] sau Comisia poate solicita ca orice chestiune de aplicare generală sau care produce efecte în mai mult de un stat membru să fie examinată de [C]omitet[ul] [European pentru Protecția Datelor] în vederea obținerii unui aviz, în special în cazul în care o autoritate de supraveghere competentă nu respectă obligațiile privind asistența reciprocă în conformitate cu articolul 61 sau privind operațiunile comune în conformitate cu articolul 62."

22 Articolul 65 din regulamentul menționat, intitulat „Soluționarea litigiilor de către comitet", prevede la alineatul (1):

„Pentru a asigura aplicarea corectă și coerentă a prezentului regulament în cazuri individuale, [C]omitetul [European pentru Protecția Datelor] adoptă o decizie obligatorie în următoarele cazuri:

(a) atunci când, în unul dintre cazurile menționate la articolul 60 alineatul (4), o autoritate de supraveghere vizată a formulat o obiecție relevantă și motivată la un proiect de decizie a autorității principale sau autoritatea principală a respins o astfel de obiecție ca nefiind relevantă sau motivată. Decizia obligatorie se referă la toate chestiunile vizate de obiecția relevantă și motivată, în special la chestiunea dacă prezentul regulament a fost încălcat;

(b) în cazul în care există opinii divergente cu privire la care dintre autoritățile de supraveghere vizate deține competența pentru sediul principal;

[...]"

Dreptul german

23 Articolul 19 alineatul (1) din Gesetz gegen Wettbewerbsbeschränkungen (Legea împotriva restricțiilor aduse concurenței), în versiunea sa din 26 iunie 2013 (BGBl. 2013 I, p. 1750, 3245), care a fost ultima dată modificată prin articolul 2 din legea din 16 iulie 2021 (BGBl. 2021 I, p. 2959) (denumită în continuare „GWB"), prevede:

„Abuzul de poziție dominantă pe piață săvârșit de una sau mai multe întreprinderi este interzis."

24 Potrivit articolului 32 alineatul (1) din GWB:

„Autoritatea de concurență poate obliga întreprinderile sau asociațiile de întreprinderi să înceteze încălcarea unei dispoziții cuprinse în această parte sau la articolele 101 ori 102 din Tratatul privind funcționarea Uniunii Europene."

25 Articolul 50f din GWB prevede la alineatul (1):

„Autoritățile de concurență, autoritățile de reglementare, responsabilul federal pentru protecția datelor și libertatea de informare, responsabilii regionali pentru protecția datelor, precum și autoritățile competente în sensul articolului 2 din EU‑Verbraucherschutzdurchführungsgesetz [(Legea privind punerea în aplicare a dreptului Uniunii Europene privind protecția consumatorilor)] pot, indiferent de procedura aleasă, să facă schimb de informații, inclusiv de date cu caracter personal și de secrete comerciale și de afaceri, în măsura în care acest lucru este necesar pentru îndeplinirea sarcinilor lor, precum și să utilizeze informațiile respective în cadrul procedurilor lor. [...]"

Litigiul principal și întrebările preliminare

26 Meta Platforms Ireland gestionează oferta rețelei sociale online Facebook în Uniune și promovează, în special la adresa www.facebook.com, servicii care sunt gratuite pentru utilizatorii privați. Alte întreprinderi din grupul Meta oferă, în Uniune, alte servicii online, printre care Instagram, WhatsApp, Oculus și - până la 13 martie 2020 - Masquerade.

27 Modelul de afaceri al rețelei sociale online Facebook se bazează pe finanțarea prin publicitate online, care este adaptată utilizatorilor individuali ai rețelei sociale, în special în funcție de atitudinile lor de consum, de interesele, de puterea lor de cumpărare și de situația lor personală. O astfel de publicitate este posibilă din punct de vedere tehnic prin alcătuirea automată a unor profiluri foarte detaliate ale utilizatorilor rețelei și ale serviciilor online oferite la nivelul grupului Meta. În acest scop, pe lângă datele pe care utilizatorii le furnizează în mod direct cu ocazia înregistrării la serviciile online în cauză, sunt colectate și alte date despre utilizatorii menționați și despre dispozitivele lor din cadrul și din afara rețelei sociale și a serviciilor online furnizate de grupul Meta și sunt asociate cu diferitele conturi de utilizator. Aceste date, în ansamblu, permit să se desprindă concluzii detaliate cu privire la preferințele și interesele acelorași utilizatori.

28 Pentru prelucrarea datelor menționate, Meta Platforms Ireland se întemeiază pe contractul de utilizare la care aderă utilizatorii rețelei sociale Facebook prin activarea butonului „Înregistrare" și prin care aceștia acceptă condițiile generale stabilite de această societate. Acceptarea acestor condiții este necesară pentru a putea utiliza rețeaua socială Facebook. În ceea ce privește prelucrarea datelor cu caracter personal, condițiile generale fac trimitere la politicile de utilizare a datelor și a modulelor cookie stabilite de societatea respectivă. În temeiul acestora, Meta Platforms Ireland colectează date referitoare la utilizatori și la dispozitive privind activitățile utilizatorilor în cadrul și în afara rețelei sociale și asociază aceste date conturilor Facebook ale utilizatorilor respectivi. În ceea ce privește aceste din urmă date, referitoare la activitățile desfășurate în afara rețelei sociale (denumite în continuare și „datele off Facebook"), este vorba, pe de o parte, despre date privind consultarea unor pagini de internet și a unor aplicații terțe, care sunt conectate la Facebook prin intermediul interfețelor de programare - „Facebook Business Tools" - și, pe de altă parte, despre datele referitoare la utilizarea celorlalte servicii online care aparțin grupului Meta, printre care Instagram, WhatsApp, Oculus și - până la 13 martie 2020 - Masquerade.

29 Oficiul Federal al Concurenței a inițiat o procedură împotriva Meta Platforms, Meta Platforms Ireland și Facebook Deutschland, în urma căreia, prin decizia din 6 februarie 2019, întemeiată pe articolul 19 alineatul (1) și pe articolul 32 din GWB, le‑a interzis în esență ca, în condițiile generale, să subordoneze utilizarea rețelei sociale Facebook de către utilizatori privați care au reședința în Germania de prelucrarea datelor lor off Facebook și să prelucreze, fără consimțământul lor, aceste date pe baza condițiilor generale în vigoare la acel moment. În plus, le‑a impus să adapteze aceste condiții generale astfel încât să reiasă cu claritate că datele menționate nu vor fi colectate, nici asociate cu conturile de utilizatori Facebook, nici utilizate fără consimțământul utilizatorului în cauză și a clarificat faptul că un asemenea consimțământ nu este valid atunci când reprezintă o condiție pentru utilizarea rețelei sociale.

30 Oficiul Federal al Concurenței și‑a motivat decizia prin faptul că prelucrarea datelor utilizatorilor în cauză, astfel cum este prevăzută de condițiile generale și realizată de Meta Platforms Ireland, constituia o exploatare abuzivă a poziției dominante a acestei societăți pe piața rețelelor sociale pentru utilizatorii privați din Germania, în sensul articolului 19 alineatul (1) din GWB. În special, potrivit Oficiului Federal al Concurenței, aceste condiții generale, ca emanație a respectivei poziții dominante, ar fi abuzive din moment ce prelucrarea datelor off Facebook pe care o prevăd nu ar fi conformă cu valorile care stau la baza RGPD și în special nu ar putea fi justificată în raport cu articolul 6 alineatul (1) și cu articolul 9 alineatul (2) din acest regulament.

31 La 11 februarie 2019, Meta Platforms, Meta Platforms Ireland și Facebook Deutschland au introdus o acțiune împotriva deciziei Oficiului Federal al Concurenței la Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf, Germania).

32 La 31 iulie 2019, Meta Platforms Ireland a introdus noi condiții generale prin care se indica în mod expres că utilizatorul, în loc să plătească pentru utilizarea produselor Facebook, declară că acceptă anunțurile publicitare.

33 În plus, începând cu 28 ianuarie 2020, Meta Platforms oferă la nivel mondial „Off‑Facebook‑Activity", care le permite utilizatorilor rețelei sociale Facebook să primească un rezumat al informațiilor care îi privesc, pe care societățile din grupul Meta le obțin în legătură cu activitățile lor pe alte pagini de internet și aplicații și să disocieze, dacă doresc, aceste date de contul lor „Facebook.com", atât pentru trecut, cât și pentru viitor.

34 Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf) are îndoieli, în primul rând, cu privire la posibilitatea autorităților naționale de concurență de a monitoriza, în cadrul exercitării competențelor lor, conformitatea unei prelucrări a datelor cu caracter personal cu cerințele prevăzute în RGPD, în al doilea rând, în ceea ce privește posibilitatea unui operator al unei rețele sociale online de a prelucra datele cu caracter personal sensibile ale persoanei vizate, în sensul articolului 9 alineatele (1) și (2) din acest regulament, în al treilea rând, în ceea ce privește legalitatea prelucrării datelor cu caracter personal ale utilizatorului în cauză de către un astfel de operator, în conformitate cu articolul 6 alineatul (1) din regulamentul menționat și, în al patrulea rând, în ceea ce privește validitatea, în raport cu articolul 6 alineatul (1) primul paragraf litera (a) și cu articolul 9 alineatul (2) litera (a) din același regulament, a consimțământului dat unei întreprinderi care are o poziție dominantă pe piața națională a rețelelor sociale online, în scopul unei astfel de prelucrări.

35 În acest context, considerând că soluționarea litigiului principal depinde de răspunsul care trebuie dat la aceste întrebări, Oberlandesgericht Düsseldorf (Tribunalul Regional Superior din Düsseldorf) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) a) Este compatibil cu articolul 51 și următoarele din RGPD faptul că o autoritate națională de concurență a unui stat membru precum Oficiul Federal al Concurenței, care nu este o autoritate de supraveghere în sensul articolului 51 și următoarele din RGPD și în al cărei stat membru o întreprindere stabilită în afara Uniunii Europene deține o filială care furnizează sediului principal situat într‑un alt stat membru al acestei întreprinderi - care este unica responsabilă pentru prelucrarea datelor cu caracter personal pentru întregul teritoriu al Uniunii Europene - servicii de sprijin în domeniul publicității, al comunicării și al relațiilor publice, constată, în cadrul controlului practicilor abuzive în raport cu dreptul concurenței, o încălcare a RGPD prin condițiile contractuale ale sediului principal care privesc prelucrarea datelor și prin punerea în aplicare a acestora și emite o decizie privind încetarea acestei încălcări?

b) În cazul unui răspuns afirmativ, este compatibil cu articolul 4 alineatul (3) TUE faptul că, în același timp, autoritatea principală de supraveghere din statul membru al sediului principal, în sensul articolului 56 alineatul (1) din RGPD, supune condițiile contractuale de prelucrare a datelor ale acestui sediu unei proceduri de examinare?

În cazul unui răspuns afirmativ la întrebarea 1:

2) a) Atunci când un utilizator de internet fie doar consultă site‑uri sau aplicații care au legătură cu criteriile prevăzute la articolul 9 alineatul (1) din RGPD, cum ar fi aplicații de flirt, site‑uri de întâlniri pentru homosexuali, site‑uri ale partidelor politice, site‑uri de sănătate, fie introduce date pe aceste site‑uri, cum ar fi cu ocazia înregistrării sau a comenzilor, iar o [...] întreprindere precum [Meta Platforms Ireland], colectează date referitoare la consultarea site‑urilor și a aplicațiilor de către utilizator și pe cele introduse de el pe site‑urile respective, prin intermediul interfețelor integrate în site‑uri și în aplicații, precum "Facebook Business Tools" sau prin intermediul modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, asociază aceste date cu datele contului Facebook.com al utilizatorului și le utilizează, colectarea și/sau asocierea și/sau utilizarea reprezintă o prelucrare a unor date sensibile în sensul acestei dispoziții?

b) În cazul unui răspuns afirmativ, consultarea acestor site‑uri și aplicații și/sau introducerea unor date și/sau acționarea butoanelor integrate în aceste site‑uri sau aplicații ("plug‑inuri sociale" precum "Îmi place", "distribuie" sau "conectare Facebook" ori "account Kit") ale unui furnizor precum [Meta Platforms Ireland] echivalează cu a face publice în mod manifest datele referitoare la consultare ca atare și/sau la datele introduse de utilizator în sensul articolului 9 alineatul (2) litera (e) din RGPD?

3) O întreprindere precum [Meta Platforms Ireland], care exploatează o rețea socială digitală, finanțată din publicitate, care, în condițiile sale de utilizare, pune la dispoziție personalizarea conținuturilor și a publicității, securitatea rețelei, îmbunătățirea produselor și utilizarea coerentă și uniformă a tuturor produselor grupului, poate invoca justificarea întemeiată pe necesitatea executării contractului în conformitate cu articolul 6 alineatul (1) litera (b) din RGPD sau pe realizarea unor interese legitime în conformitate cu articolul 6 alineatul (1) litera (f) din RGPD atunci când, în aceste scopuri, întreprinderea respectivă colectează date din alte servicii ale grupului și de pe site‑uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum "Facebook Business Tools" sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, le asociază cu contul Facebook.com al utilizatorului și le utilizează?

4) Într‑o astfel de situație, pot constitui de asemenea interese legitime în sensul articolului 6 alineatul (1) [litera (f)] din RGPD:

- faptul că utilizatorii sunt minori, pentru personalizarea conținuturilor și a publicității, îmbunătățirea produselor, securitatea rețelei și comunicarea cu utilizatorul în alte scopuri decât cele legate de marketing;

- furnizarea de măsurători, de analize și de alte servicii pentru întreprinderi destinate clienților din domeniul publicității, dezvoltatorilor și altor parteneri pentru ca aceștia să își poată evalua și îmbunătăți prestațiile;

- furnizarea de comunicări de marketing către utilizator pentru a permite întreprinderii să își îmbunătățească produsele și să desfășoare marketing direct;

- cercetarea și inovarea în scopuri sociale, în vederea promovării evoluției tehnologiei sau a înțelegerii în mod științific a unor aspecte sociale importante și pentru a influența pozitiv societatea și lumea;

- informarea autorităților de aplicare a legii și de executare și răspunsul la cererile legale în vederea prevenirii, depistării și urmăririi penale a infracțiunilor, a utilizării ilicite, a încălcărilor condițiilor de utilizare și a politicilor întreprinderii, precum și a oricărui alt comportament prejudiciabil,

atunci când, în aceste scopuri, întreprinderea colectează date din alte servicii ale grupului și de pe site‑uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum "Facebook Business Tools" sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, le asociază cu contul Facebook.comal utilizatorului și le utilizează?

5) Într‑un astfel de caz, colectarea datelor provenite din alte servicii ale grupului și de pe site‑uri și aplicații terțe prin intermediul interfețelor integrate în acestea precum "Facebook Business Tools" sau al modulelor cookie instalate pe computerul sau pe echipamentul terminal mobil al utilizatorului de internet ori al unor tehnologii de stocare similare, asocierea cu contul Facebook.com al utilizatorului și utilizarea acestor date sau utilizarea unor date colectate din altă parte și asociate în mod legal pot fi justificate într‑un caz concret, inclusiv în conformitate cu articolul 6 alineatul (1) literele (c), (d) și (e) din RGPD, de exemplu pentru a răspunde unei cereri valabile din punct de vedere legal privind furnizarea anumitor date [litera (c)], pentru combaterea unui comportament prejudiciabil și pentru promovarea securității [litera (d)], pentru cercetarea în beneficiul societății și pentru promovarea protecției, a integrității și a securității [litera (e)]?

6) Poate fi exprimat un consimțământ valabil și în special liber în sensul articolului 4 punctul 11 din RGPD, în conformitate cu articolul 6 alineatul (1) litera (a) și cu articolul 9 alineatul (2) litera (a) din RGPD, față de o întreprindere aflată în poziție dominantă precum [Meta Platforms Ireland]?

În cazul unui răspuns negativ la întrebarea 1:

7) a) O autoritate națională de concurență a unui stat membru, precum Oficiul Federal al Concurenței, care nu este o autoritate de supraveghere în sensul articolului 51 și următoarele din RGPD și care examinează o încălcare săvârșită de o întreprindere aflată în poziție dominantă a interdicției practicilor abuzive în temeiul dreptului concurenței, care nu constă într‑o încălcare a RGPD prin condițiile sale de prelucrare a datelor și prin punerea în aplicare a acestora, poate face constatări, de exemplu, în cadrul evaluării comparative a intereselor, cu privire la conformitatea cu RGPD a condițiilor de prelucrare a datelor întreprinderii respective și a punerii în aplicare a acestora?

b) În cazul unui răspuns afirmativ, acest aspect este valabil în raport cu articolul 4 alineatul (3) TUE inclusiv atunci când, în același timp, autoritatea de supraveghere principală, competentă în temeiul articolului 56 alineatul (1) din RGPD, supune condițiile de prelucrare a datelor ale acestei întreprinderi unei proceduri de examinare?

În cazul unui răspuns afirmativ la a șaptea întrebarea, este necesar să se răspundă la întrebările a treia‑a cincea în ceea ce privește datele provenite din utilizarea serviciului Instagram al grupului."

Cu privire la întrebări preliminare

Cu privire la prima și la a șaptea întrebare

36 Prin intermediul primei și al celei de a șaptea întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 51 și următoarele din RGPD trebuie interpretate în sensul că o autoritate de concurență a unui stat membru poate constata, în cadrul examinării unui abuz de poziție dominantă al unei întreprinderi, în sensul articolului 102 TFUE, că nu sunt conforme cu RGPD condițiile generale de utilizare a acestei întreprinderi referitoare la prelucrarea datelor cu caracter personal și punerea lor în aplicare și, în cazul unui răspuns afirmativ, dacă articolul 4 alineatul (3) TUE trebuie interpretat în sensul că o astfel de constatare, de natură incidentală, efectuată de autoritatea de concurență este posibilă și atunci când aceste condiții sunt supuse, în același timp, unei proceduri de examinare de către autoritatea de supraveghere principală competentă, în temeiul articolului 56 alineatul (1) din RGPD.

37 Pentru a răspunde la această întrebare, trebuie amintit de la bun început că articolul 55 alineatul (1) din RGPD stabilește competența de principiu a fiecărei autorități de supraveghere de a îndeplini sarcinile și de a exercita competențele care îi sunt conferite în conformitate cu acest regulament pe teritoriul statului membru de care aparține (Hotărârea din 15 iunie 2021, Facebook Ireland și alții, C‑645/19, EU:C:2021:483, punctul 47, precum și jurisprudența citată).

38 Printre sarcinile cu care sunt învestite aceste autorități de supraveghere figurează cea de a monitoriza aplicarea RGPD și de a asigura respectarea acestuia, prevăzută la articolul 51 alineatul (1) și la articolul 57 alineatul (1) litera (a) din regulamentul menționat, în scopul de a proteja drepturile și libertățile fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal și de a facilita libera circulație a unor astfel de date în cadrul Uniunii. În plus, în conformitate cu articolul 51 alineatul (2) și cu articolul 57 alineatul (1) litera (g) din regulamentul menționat, autoritățile de supraveghere menționate cooperează între ele, inclusiv prin schimbul de informații, și își oferă asistență reciprocă pentru a asigura coerența aplicării și respectării acestui regulament.

39 În vederea îndeplinirii acestor sarcini, articolul 58 din RGPD conferă autorităților de supraveghere respective, la alineatul (1), competențe de investigare, la alineatul (2), competența de a adopta măsuri corective și, la alineatul (5), competența de a aduce în fața autorităților judiciare cazurile de încălcare a acestui regulament și, după caz, de a iniția sau de a se implica în proceduri judiciare, în scopul de a asigura aplicarea dispozițiilor acestui regulament.

40 Fără a aduce atingere normei de competență enunțate la articolul 55 alineatul (1) din RGPD, articolul 56 alineatul (1) din acest regulament prevede, pentru „prelucrările transfrontaliere", în sensul articolului 4 punctul 23 din acesta, mecanismul „ghișeului unic", întemeiat pe o repartizare a competențelor între o „autoritate de supraveghere principală" și celelalte autorități de supraveghere vizate, precum și pe o cooperare între toate aceste autorități în conformitate cu procedura de cooperare prevăzută la articolul 60 din regulamentul menționat.

41 Pe de altă parte, articolul 61 alineatul (1) din RGPD obligă autoritățile de supraveghere printre altele să își furnizeze reciproc informații relevante și asistență pentru a pune în aplicare acest regulament în mod coerent în ansamblul Uniunii. Articolul 63 din regulamentul amintit precizează că acesta este scopul pentru care este prevăzut mecanismul pentru asigurarea coerenței, stabilit la articolele 64 și 65 din acesta (Hotărârea din 15 iunie 2021, Facebook Ireland și alții, C‑645/19, EU:C:2021:483, punctul 52, precum și jurisprudența citată).

42 În consecință, trebuie arătat că normele de cooperare prevăzute în RGPD nu se adresează autorităților naționale de concurență, ci reglementează cooperarea dintre autoritățile naționale de supraveghere vizate și autoritatea de supraveghere principală, precum și, dacă este cazul, cooperarea acestor autorități cu Comitetul European pentru Protecția Datelor și cu Comisia.

43 În fapt, nici RGPD, nici alt instrument de drept al Uniunii nu prevăd norme specifice în ceea ce privește cooperarea dintre o autoritate națională de concurență și autoritățile naționale de supraveghere vizate sau autoritatea de supraveghere principală. În plus, nicio dispoziție din acest regulament nu interzice autorităților naționale de concurență să constate, în cadrul exercitării funcțiilor lor, neconformitatea cu acest regulament a unei prelucrări de date, efectuată de o întreprindere în poziție dominantă și care poate să constituie un abuz de această poziție.

44 În această privință, este necesar să se precizeze, în primul rând, că autoritățile de supraveghere, pe de o parte, și autoritățile naționale de concurență, pe de altă parte, exercită funcții diferite și urmăresc obiective, precum și sarcini care le sunt proprii.

45 Astfel, pe de o parte, după cum s‑a arătat la punctul 38 din prezenta hotărâre, în temeiul articolului 51 alineatele (1) și (2), precum și al articolului 57 alineatul (1) literele (a) și (g) din RGPD, autoritatea de supraveghere are ca sarcină principală monitorizarea aplicării acestui regulament și asigurarea respectării sale, contribuind în același timp la aplicarea sa coerentă în Uniune, în scopul de a proteja drepturile și libertățile fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal și de a facilita libera circulație a unor astfel de date în cadrul Uniunii. În acest scop, așa cum s‑a amintit la punctul 39 din prezenta hotărâre, autoritatea de supraveghere dispune de diferite competențe care îi sunt conferite în temeiul articolului 58 din RGPD.

46 Pe de altă parte, conform articolului 5 din Regulamentul nr. 1/2003, autoritățile naționale de concurență sunt competente să adopte printre altele decizii de constatare a unui abuz de poziție dominantă săvârșit de o întreprindere, în sensul articolului 102 TFUE, al căror obiectiv constă în stabilirea unui sistem care să împiedice denaturarea concurenței pe piața internă, având în vedere de asemenea consecințele unui astfel de abuz pentru consumatori pe această piață.

47 Astfel cum a arătat în esență domnul avocat general la punctul 23 din concluzii, în cadrul adoptării unei asemenea decizii, o autoritate de concurență trebuie să aprecieze, pe baza tuturor împrejurărilor specifice ale cauzei, dacă comportamentul întreprinderii în poziție dominantă are ca efect, prin recurgerea la mijloace diferite de cele care guvernează o concurență normală între produse sau servicii, să împiedice menținerea gradului de concurență existent încă pe piață sau dezvoltarea acestei concurențe (a se vedea în acest sens Hotărârea din 25 martie 2021, Deutsche Telekom/Comisia, C‑152/19 P, EU:C:2021:238, punctele 41 și 42). În această privință, conformitatea sau neconformitatea unui astfel de comportament cu dispozițiile RGPD poate constitui, dacă este cazul, un indiciu important printre împrejurările relevante ale speței pentru a stabili dacă acest comportament constituie recurgerea la mijloace care guvernează o competiție normală, precum și pentru a evalua consecințele unei anumite practici pe piață sau pentru consumatori.

48 Rezultă că, în cadrul examinării unui abuz de poziție dominantă al unei întreprinderi pe o anumită piață, se poate dovedi necesar ca autoritatea de concurență a statului membru în cauză să examineze și conformitatea comportamentului acestei întreprinderi cu alte norme decât cele care intră sub incidența dreptului concurenței, precum normele în materie de protecție a datelor cu caracter personal prevăzute de RGPD.

49 Or, ținând seama de obiectivele diferite urmărite de normele stabilite în materie de concurență, în special articolul 102 TFUE, pe de o parte, și de cele prevăzute în domeniul protecției datelor cu caracter personal în temeiul RGPD, pe de altă parte, este necesar să se constate că, atunci când o autoritate națională de concurență constată o încălcare a acestui regulament în cadrul constatării unui abuz de poziție dominantă, aceasta nu se substituie autorităților de supraveghere. În special, o asemenea autoritate națională de concurență nu monitorizează aplicarea și nici nu asigură respectarea acestui regulament în scopul menționat la articolul 51 alineatul (1) din acesta, și anume în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii. În plus, prin faptul că se limitează să semnaleze neconformitatea unei prelucrări de date cu RGPD numai în scopul de a constata un abuz de poziție dominantă și prin impunerea unor măsuri privind încetarea acestui abuz pe baza unui temei juridic rezultat din dreptul concurenței, o asemenea autoritate nu îndeplinește niciuna dintre sarcinile care figurează la articolul 57 din acest regulament și nici nu exercită competențele rezervate autorității de supraveghere în temeiul articolului 58 din regulamentul amintit.

50 Pe de altă parte, trebuie să se constate că accesul la datele cu caracter personal, precum și exploatarea acestora au o importanță majoră în cadrul economiei digitale. Această importanță este ilustrată, în cadrul litigiului principal, de modelul economic pe care se întemeiază rețeaua socială Facebook, care prevede, astfel cum s‑a amintit la punctul 27 din prezenta hotărâre, finanțarea prin comercializarea de mesaje publicitare personalizate în funcție de profilurile de utilizator stabilite pe baza datelor cu caracter personal colectate de Meta Platforms Ireland.

51 După cum a subliniat în special Comisia, accesul la datele cu caracter personal și posibilitatea prelucrării acestor date au devenit un parametru semnificativ al concurenței între întreprinderi în economia digitală. Prin urmare, excluderea normelor în materie de protecție a datelor cu caracter personal din cadrul juridic care trebuie luat în considerare de autoritățile de concurență cu ocazia examinării unui abuz de poziție dominantă nu ar respecta realitatea acestei evoluții economice și ar putea să aducă atingere efectivității dreptului concurenței în cadrul Uniunii.

52 Cu toate acestea, în al doilea rând, trebuie arătat că, în ipoteza în care o autoritate națională de concurență consideră necesar să se pronunțe, în cadrul unei decizii privind un abuz de poziție dominantă, asupra conformității sau a neconformității cu RGPD a unei prelucrări de date cu caracter personal efectuate de întreprinderea în discuție, această autoritate și autoritatea de supraveghere vizată sau, dacă este cazul, autoritatea de supraveghere principală competentă în sensul acestui regulament trebuie să coopereze între ele pentru a asigura o aplicare coerentă a regulamentului menționat.

53 Astfel, deși, după cum s‑a arătat la punctele 42 și 43 din prezenta hotărâre, nici RGPD, nici un alt instrument de drept al Uniunii nu prevăd norme specifice în această privință, nu este mai puțin adevărat că, după cum a arătat în esență domnul avocat general la punctul 28 din concluzii, atunci când aplică RGPD, toate autoritățile naționale implicate sunt ținute de principiul cooperării loiale consacrat la articolul 4 alineatul (3) TUE. În temeiul acestui principiu, potrivit unei jurisprudențe constante, în domeniile reglementate de dreptul Uniunii, statele membre, inclusiv autoritățile administrative ale acestora, trebuie să se respecte și să se ajute reciproc în îndeplinirea misiunilor care decurg din tratate, să adopte orice măsură adecvată pentru asigurarea îndeplinirii obligațiilor care rezultă în special din actele instituțiilor Uniunii, precum și să se abțină de la orice măsură care ar putea pune în pericol realizarea obiectivelor Uniunii (a se vedea în acest sens Hotărârea din 7 noiembrie 2013, UPC Nederland, C‑518/11, EU:C:2013:709, punctul 59, precum și Hotărârea din 1 august 2022, Sea Watch, C‑14/21 și C‑15/21, EU:C:2022:604, punctul 156).

54 Astfel, ținând seama de acest principiu, atunci când autoritățile naționale de concurență sunt chemate, în exercitarea competențelor lor, să examineze conformitatea unui comportament al unei întreprinderi cu dispozițiile RGPD, ele trebuie să se pună de acord și să coopereze în mod loial cu autoritățile de supraveghere naționale vizate sau cu autoritatea de supraveghere principală, toate aceste autorități fiind, așadar, obligate, în acest context, să respecte atribuțiile și competențele lor, așa încât obligațiile care decurg din RGPD, precum și obiectivele acestui regulament să fie respectate, iar efectul lor util să fie menținut.

55 Într‑adevăr, examinarea de către o autoritate de concurență a unui comportament al unei întreprinderi în lumina normelor RGPD poate implica riscul unor divergențe între aceasta și autoritățile de supraveghere în ceea ce privește interpretarea regulamentului respectiv.

56 Rezultă că, atunci când, în cadrul examinării prin care se urmărește constatarea unui abuz de poziție dominantă în sensul articolului 102 TFUE săvârșit de o întreprindere, o autoritate națională de concurență consideră că este necesar să examineze conformitatea unui comportament al acestei întreprinderi în lumina dispozițiilor RGPD, autoritatea menționată trebuie să verifice dacă acest comportament sau un comportament similar a făcut deja obiectul unei decizii din partea autorității de supraveghere naționale competente sau a autorității de supraveghere principale sau chiar a Curții. Dacă aceasta este situația, autoritatea națională de concurență nu se poate abate de la aceasta, rămânând totodată liberă să rețină propriile concluzii din perspectiva aplicării dreptului concurenței.

57 Atunci când are îndoieli cu privire la întinderea aprecierii efectuate de autoritatea națională de supraveghere competentă sau de autoritatea de supraveghere principală, atunci când comportamentul în cauză sau un comportament similar face în același timp obiectul unei examinări din partea acestor autorități sau atunci când, în lipsa unei investigații a autorităților menționate, consideră că un comportament al unei întreprinderi nu este conform cu dispozițiile RGPD, autoritatea națională de concurență trebuie să consulte aceste autorități și să le solicite cooperarea pentru a‑și înlătura îndoielile sau pentru a stabili dacă este necesar să aștepte adoptarea unei decizii de către autoritatea de supraveghere în cauză înainte de a începe propria apreciere.

58 La rândul său, atunci când autoritatea de supraveghere este solicitată de o autoritate națională de concurență, ea trebuie să răspundă la această solicitare de informații sau de cooperare într‑un termen rezonabil, comunicând acesteia din urmă informațiile de care dispune care pot permite înlăturarea îndoielilor acestei autorități cu privire la întinderea aprecierii efectuate de autoritatea de supraveghere sau, dacă este cazul, informând autoritatea națională de concurență în cazul în care intenționează să activeze procedura de cooperare cu celelalte autorități de supraveghere vizate sau cu autoritatea de supraveghere principală, în conformitate cu articolul 60 și următoarele din RGPD, pentru a ajunge la o decizie de constatare a conformității sau a neconformității comportamentului în discuție cu acest regulament.

59 În absența unui răspuns din partea autorității de supraveghere solicitate într‑un termen rezonabil, autoritatea națională de concurență își poate continua propria investigație. Situația este aceeași atunci când autoritatea națională de supraveghere competentă și autoritatea de supraveghere principală nu au obiecții cu privire la continuarea unei astfel de investigații fără a aștepta adoptarea unei decizii de către acestea.

60 În speță, din dosarul de care dispune Curtea reiese că, în cursul lunilor octombrie și noiembrie 2018, respectiv înainte de adoptarea deciziei din 6 februarie 2019, Oficiul Federal al Concurenței a contactat Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) (Comisarul Federal pentru Protecția Datelor și Libertatea de Informare, Germania), Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Comisarul pentru Protecția Datelor și Libertatea de Informare din Hamburg, Germania), competent în privința Facebook Deutschland, și Data Protection Commission (DPC) (Autoritatea pentru Protecția Datelor, Irlanda), pentru a informa aceste autorități cu privire la intervenția sa. În plus, se reține că Oficiul Federal al Concurenței a obținut confirmarea că autoritățile menționate nu au efectuat nicio investigație cu privire la fapte similare celor în discuție în litigiul principal, iar acestea nu au ridicat nicio obiecție cu privire la intervenția sa. În sfârșit, la punctele 555 și 556 din decizia din 6 februarie 2019, Oficiul Federal al Concurenței a făcut referire în mod expres la această cooperare.

61 În aceste condiții și sub rezerva verificărilor care trebuie efectuate de instanța de trimitere, Oficiul Federal al Concurenței pare să își fi îndeplinit obligațiile de cooperare loială cu autoritățile naționale de supraveghere vizate, precum și cu autoritatea de supraveghere principală.

62 Ținând seama de cele ce precedă, este necesar să se răspundă la prima și la a șaptea întrebare că articolul 51 și următoarele din RGPD, precum și articolul 4 alineatul (3) TUE trebuie interpretate în sensul că, sub rezerva respectării obligației sale de cooperare loială cu autoritățile de supraveghere, o autoritate de concurență a unui stat membru poate constata, în cadrul examinării unui abuz de poziție dominantă al unei întreprinderi, în sensul articolului 102 TFUE, că nu sunt conforme cu acest regulament condițiile generale de utilizare a acestei întreprinderi referitoare la prelucrarea datelor cu caracter personal și punerea lor în aplicare, atunci când constatarea respectivă este necesară pentru a stabili existența unui asemenea abuz.

63 Având în vedere această obligație de cooperare loială, autoritatea națională de concurență nu se poate abate de la o decizie a autorității naționale de supraveghere competente sau a autorității de supraveghere principale competente referitoare la aceste condiții generale sau la condiții generale similare. Atunci când are îndoieli cu privire la conținutul unei astfel de decizii, atunci când condițiile menționate sau condiții similare fac, în același timp, obiectul unei examinări de către aceste autorități sau atunci când, în lipsa unei investigații sau a unei decizii a autorităților menționate, autoritatea de concurență consideră că aceste condiții nu sunt conforme cu RGPD, ea trebuie să consulte aceleași autorități de supraveghere și să le solicite cooperarea pentru a‑și înlătura îndoielile sau pentru a stabili dacă este necesar să aștepte adoptarea unei decizii din partea lor înainte de a începe propria apreciere. În absența unei obiecții din partea acestora sau a unui răspuns într‑un termen rezonabil, autoritatea națională de concurență își poate continua propria investigație.

Cu privire la a doua întrebare

64 Prin intermediul celei de a doua întrebări litera a), instanța de trimitere solicită în esență să se stabilească dacă articolul 9 alineatul (1) din RGPD trebuie interpretat în sensul că, în cazul în care un utilizator al unei rețele sociale online consultă site‑uri internet sau aplicații în raport cu una sau mai multe dintre categoriile prevăzute de această dispoziție și, dacă este cazul, introduce date în aceasta înscriindu‑se sau efectuând comenzi online, prelucrarea datelor cu caracter personal de către operatorul acestei rețele sociale online, care constă în colectarea, prin intermediul unor interfețe integrate, al unor module „cookie" sau al unor tehnologii de stocare similare, a datelor provenite din consultarea acestor site‑uri și a acestor aplicații, precum și a datelor inserate de utilizator, în asocierea tuturor acestor date cu contul rețelei sociale al acestuia și în utilizarea datelor menționate de către operatorul respectiv, trebuie să fie considerată o „prelucrare de categorii speciale de date cu caracter personal", în sensul dispoziției menționate, care este în principiu interzisă, sub rezerva derogărilor prevăzute la acest articol 9 alineatul (2).

65 În cazul unui răspuns afirmativ, instanța de trimitere solicită în esență să se stabilească, prin intermediul celei de a doua întrebări litera b), dacă articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în sensul că, în cazul în care un utilizator al unei rețele sociale online consultă site‑uri internet sau aplicații care au legături cu categoriile prevăzute la articolul 9 alineatul (1) din RGPD, introduce date pe aceste site‑uri sau aplicații sau acționează butoanele integrate în aceste site‑uri, precum butoanele „Îmi place" sau „Distribuie" sau butoanele care permit utilizatorului să se identifice pe aceste site‑uri sau aplicații utilizând datele de acces legate de contul său de utilizator al rețelei sociale online, numărul său de telefon sau adresa de e‑mail, se consideră că utilizatorul a făcut publice în mod manifest, în sensul primei dintre aceste dispoziții, datele colectate cu această ocazie de operatorul rețelei sociale online prin intermediul modulelor „cookie" sau al tehnologiilor de stocare similare.

Cu privire la a doua întrebare litera a)

66 Considerentul (51) al RGPD prevede că datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. Acest considerent precizează că asemenea date cu caracter personal nu ar trebui prelucrate, cu excepția cazului în care prelucrarea este permisă în cazuri specifice prevăzute de regulamentul menționat.

67 În acest context, articolul 9 alineatul (1) din RGPD stabilește principiul interzicerii prelucrării unor categorii speciale de date cu caracter personal pe care le menționează. Acestea includ printre altele date care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase, precum și datele privind sănătatea, viața sexuală sau orientarea sexuală a unei persoane fizice.

68 În scopul aplicării articolului 9 alineatul (1) din RGPD, trebuie să se verifice, în cazul unei prelucrări de date cu caracter personal efectuate de operatorul unei rețele sociale online, dacă aceste date pot dezvălui informații care se încadrează în una dintre categoriile menționate de această dispoziție, indiferent dacă aceste informații privesc un utilizator al acestei rețele sau orice altă persoană fizică. În cazul unui răspuns afirmativ, o astfel de prelucrare a datelor cu caracter personal este atunci interzisă, sub rezerva derogărilor prevăzute la articolul 9 alineatul (2) din RGPD.

69 Așa cum a arătat în esență domnul avocat general la punctele 40 și 41 din concluzii, această interdicție de principiu, prevăzută la articolul 9 alineatul (1) din RGPD, este independentă de aspectul dacă informația dezvăluită de prelucrarea în cauză este sau nu exactă și dacă operatorul acționează în scopul de a obține informații care se încadrează în una dintre categoriile speciale vizate de această dispoziție.

70 Astfel, ținând seama de riscurile importante pentru libertățile fundamentale și drepturile fundamentale ale persoanelor vizate, generate de orice prelucrare a datelor cu caracter personal care se încadrează în categoriile vizate la articolul 9 alineatul (1) din RGPD, acesta are ca obiectiv interzicerea prelucrărilor respective, independent de scopul lor declarat.

71 În speță, prelucrarea în discuție în litigiul principal efectuată de Meta Platforms Ireland constă, mai întâi, în colectarea datelor cu caracter personal ale utilizatorilor rețelei sociale Facebook atunci când aceștia consultă site‑uri internet sau aplicații - inclusiv cele care pot dezvălui informații ce se încadrează în una sau în mai multe dintre categoriile vizate la articolul 9 alineatul (1) din RGPD - și, după caz, introduc informații înscriindu‑se sau efectuând comenzi online, apoi în asocierea acestor date cu contul rețelei sociale al acestor utilizatori și, în sfârșit, în utilizarea datelor menționate.

72 În această privință, va reveni instanței de trimitere sarcina de a stabili dacă datele astfel colectate, singure sau prin asocierea lor cu conturile de Facebook ale utilizatorilor în cauză, permit efectiv divulgarea unor asemenea informații, indiferent dacă aceste informații privesc un utilizator al rețelei respective sau orice altă persoană fizică. Cu toate acestea, ținând seama de întrebările instanței menționate, trebuie precizat că rezultă, sub rezerva verificărilor pe care trebuie să le efectueze aceasta, că prelucrarea datelor referitoare la consultarea site‑urilor internet sau a aplicațiilor în discuție poate, în anumite cazuri, să dezvăluie asemenea informații, fără a fi necesar ca utilizatorii respectivi să introducă în acestea informații înscriindu‑se sau efectuând comenzi online.

73 Ținând seama de cele ce precedă, este necesar să se răspundă la a doua întrebare litera a) că articolul 9 alineatul (1) din RGPD trebuie interpretat în sensul că, în cazul în care un utilizator al unei rețele sociale online consultă site‑uri internet sau aplicații în raport cu una sau mai multe dintre categoriile prevăzute de această dispoziție și, dacă este cazul, introduce acolo date înscriindu‑se sau efectuând comenzi online, prelucrarea datelor cu caracter personal de către operatorul acestei rețele sociale online, care constă în colectarea, prin intermediul unor interfețe integrate, al unor module „cookie" sau al unor tehnologii de stocare similare, a datelor provenite din consultarea acestor site‑uri și a acestor aplicații, precum și a datelor introduse de utilizator, în asocierea tuturor acestor date cu contul rețelei sociale al acestuia și în utilizarea datelor menționate de către operatorul respectiv, trebuie să fie considerată o „prelucrare de categorii speciale de date cu caracter personal", în sensul dispoziției menționate, care este în principiu interzisă, sub rezerva derogărilor prevăzute la acest articol 9 alineatul (2), atunci când această prelucrare de date permite să se dezvăluie informații care se încadrează în una dintre aceste categorii, indiferent dacă aceste informații privesc un utilizator al acestei rețele sau orice altă persoană fizică.

Cu privire la a doua întrebare litera b)

74 În ceea ce privește a doua întrebare litera b), astfel cum a fost reformulată la punctul 65 din prezenta hotărâre, referitoare la derogarea prevăzută la articolul 9 alineatul (2) litera (e) din RGPD, trebuie amintit că, în temeiul acestei dispoziții, interdicția de principiu a oricărei prelucrări a unor categorii speciale de date cu caracter personal, prevăzută la acest articol 9 alineatul (1), nu se aplică în ipoteza în care prelucrarea se referă la date cu caracter personal care sunt „făcute publice în mod manifest de către persoana vizată".

75 Cu titlu introductiv, este necesar să se arate că, pe de o parte, această derogare se aplică numai datelor care sunt făcute publice în mod manifest „de către persoana vizată". Prin urmare, aceasta nu este aplicabilă datelor referitoare la alte persoane decât cea care a făcut publice aceste date.

76 Pe de altă parte, în măsura în care prevede o excepție de la principiul interzicerii prelucrării categoriilor speciale de date cu caracter personal, articolul 9 alineatul (2) din RGPD trebuie interpretat în mod restrictiv (a se vedea în acest sens Hotărârea din 17 septembrie 2014, Baltic Agro, C‑3/13, EU:C:2014:2227, punctul 24 și jurisprudența citată, precum și Hotărârea din 6 iunie 2019, Weil, C‑361/18, EU:C:2019:473, punctul 43 și jurisprudența citată).

77 Rezultă că, în scopul aplicării excepției prevăzute la articolul 9 alineatul (2) litera (e) din RGPD, trebuie să se verifice dacă persoana vizată a înțeles, în mod explicit și printr‑o acțiune fără echivoc, să facă accesibile publicului larg datele cu caracter personal în discuție.

78 În acest sens, în ceea ce privește, pe de o parte, consultarea site‑urilor internet sau a aplicațiilor în raport cu una sau mai multe dintre categoriile vizate la articolul 9 alineatul (1) din RGPD, trebuie să se constate că, prin aceasta, utilizatorul în cauză nu intenționează nicidecum să facă public faptul că a consultat aceste site‑uri sau aceste aplicații și datele referitoare la această consultare care pot fi asociate cu persoana sa. Într‑adevăr, acesta din urmă se poate aștepta cel mult ca administratorul site‑ului sau al aplicației să aibă acces la aceste date și să le împărtășească, dacă este cazul și sub rezerva consimțământului explicit dat de acest utilizator, cu anumiți terți, iar nu cu publicul larg.

79 Astfel, nu se poate deduce din simpla consultare a unor asemenea site‑uri internet sau a unor asemenea aplicații de către un utilizator că datele cu caracter personal menționate ar fi fost făcute publice în mod manifest de acest utilizator, în sensul articolului 9 alineatul (2) litera (e) din RGPD.

80 Pe de altă parte, în ceea ce privește activitățile care constau în introducerea de date pe site‑urile internet menționate sau în aplicațiile menționate, precum și în acționarea unor butoane de selecție integrate în acestea, precum butoanele „Îmi place" sau „Distribuie" sau butoanele care permit utilizatorului să se identifice pe un site internet sau pe o aplicație cu ajutorul datelor de acces legate de contul său de utilizator Facebook, al numărului său de telefon sau al adresei de e‑mail, este necesar să se arate că aceste activități presupun o interacțiune între acest utilizator și site‑ul internet sau aplicația în discuție și, dacă este cazul, site‑ul internet al rețelei sociale online, interacțiune ale cărei forme de publicitate pot varia prin faptul că pot face obiectul unei configurări individuale din partea utilizatorului respectiv.

81 În aceste condiții, revine instanței de trimitere sarcina de a verifica dacă utilizatorii în cauză au posibilitatea de a decide, pe baza unei configurări efectuate în cunoștință de cauză, ca datele introduse pe site‑urile internet sau în aplicațiile în discuție, precum și datele care rezultă din acționarea butoanelor de selecție integrate în acestea să fie accesibile publicului larg sau, dimpotrivă, unui număr mai mult sau mai puțin limitat de persoane selectate.

82 Atunci când utilizatorii în cauză au efectiv o astfel de opțiune, se poate considera, în cazul în care introduc în mod voluntar date pe un site internet sau într‑o aplicație ori în cazul în care acționează butoane de selecție integrate în acestea, că fac publice în mod manifest date care îi privesc, în sensul articolului 9 alineatul (2) litera (e) din RGPD, numai în cazul în care, pe baza unei configurări individuale efectuate în deplină cunoștință de cauză, și‑au exprimat în mod clar opțiunea ca aceste date să fie accesibile unui număr nelimitat de persoane, aspect a cărui verificare revine instanței de trimitere.

83 În schimb, dacă nu este propusă o astfel de configurare individuală, trebuie să se considere, ținând seama de cele expuse la punctul 77 din prezenta hotărâre, că, atunci când utilizatorii introduc în mod voluntar date pe un site internet sau într‑o aplicație ori acționează butoane de selecție integrate în acestea, ei trebuie, pentru a se considera că au făcut publice în mod manifest aceste date, să fi consimțit în mod explicit, pe baza unei informații exprese furnizate de acest site sau de această aplicație înainte de o astfel de introducere sau acționare, ca datele menționate să poată fi vizualizate de orice persoană care are acces la site‑ul menționat sau la aplicația menționată.

84 Ținând seama de ceea ce precedă, trebuie să se răspundă la a doua întrebare litera b) că articolul 9 alineatul (2) litera (e) din RGPD trebuie interpretat în sensul că, atunci când consultă site‑uri internet sau aplicații în raport cu una sau mai multe dintre categoriile menționate la articolul 9 alineatul (1) din RGPD, un utilizator al unei rețele sociale online nu face publice în mod manifest, în sensul primei dintre aceste dispoziții, datele referitoare la consultarea menționată, colectate de operatorul acestei rețele sociale online prin intermediul modulelor „cookie" sau al tehnologiilor de stocare similare.

85 Atunci când introduce date pe astfel de site‑uri internet sau în astfel de aplicații sau atunci când acționează butoane de selecție integrate în aceste site‑uri și aplicații, cum ar fi butoanele „Îmi place" sau „Distribuie" sau butoanele care permit utilizatorului să se identifice pe aceste site‑uri sau aplicații cu ajutorul datelor de acces legate de contul său de utilizator al rețelei sociale, al numărului său de telefon sau al adresei de e‑mail, un astfel de utilizator face publice în mod manifest, în sensul acestui articol 9 alineatul (2) litera (e), datele astfel introduse sau care rezultă din acționarea acestor butoane numai în cazul în care și‑a exprimat în mod explicit opțiunea în prealabil, dacă este cazul pe baza unei configurări individuale efectuate în deplină cunoștință de cauză, de a face datele care îl privesc accesibile unui număr nelimitat de persoane.

Cu privire la întrebările a treia‑a cincea

86 Prin intermediul celei de a treia și al celei de a patra întrebări, care trebuie analizate împreună, instanța de trimitere urmărește să afle în esență dacă și în ce condiții articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD trebuie interpretat în sensul că prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a unor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate poate fi considerată necesară pentru executarea unui contract la care persoanele vizate sunt părți, în sensul literei (b), sau în scopul intereselor legitime urmărite de operator sau de un terț, în sensul literei (f). Instanța menționată ridică în special problema dacă, în acest scop, anumite interese pe care ea le citează în mod explicit constituie un „interes legitim", în sensul acestei din urmă dispoziții.

87 Prin intermediul celei de a cincea întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) primul paragraf literele (c)-(e) din RGPD trebuie interpretat în sensul că o asemenea prelucrare a datelor cu caracter personal poate fi considerată necesară pentru respectarea unei obligații legale care îi revine operatorului, în sensul literei (c), pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane fizice, în sensul literei (d), sau pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, în sensul literei (e), în cazul în care prelucrarea respectivă este efectuată pentru a răspunde unei cereri valabile din punct de vedere legal privind furnizarea anumitor date, pentru combaterea unui comportament prejudiciabil și pentru promovarea securității, pentru cercetarea în beneficiul societății și pentru promovarea protecției, a integrității și a securității.

Observații introductive

88 Cu titlu introductiv, este necesar să se observe, primo, că întrebările a treia‑a cincea sunt adresate ca urmare a faptului că, potrivit constatărilor Oficiului Federal al Concurenței din decizia sa din 6 februarie 2019, nu se poate considera că utilizatorii rețelei sociale Facebook și‑au dat consimțământul pentru prelucrarea datelor lor în discuție în litigiul principal, în sensul articolului 6 alineatul (1) primul paragraf litera (a) și al articolului 9 alineatul (2) litera (a) din RGPD. Prin urmare, acesta este contextul în care instanța de trimitere, adresând Curții cea de a șasea întrebare pornind de la această premisă, consideră că trebuie să verifice dacă prelucrarea respectivă corespunde uneia dintre celelalte condiții de legalitate, prevăzute la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din acest regulament.

89 În acest cadru, trebuie arătat că operațiunile de colectare, de asociere și de utilizare a datelor, vizate în întrebările a treia‑a cincea, sunt susceptibile să includă atât date sensibile în sensul articolului 9 alineatul (1) din RGPD, cât și date care nu sunt sensibile. Or, este necesar să se precizeze că, în cazul în care un ansamblu de date care conține atât date sensibile, cât și date care nu sunt sensibile face obiectul unor astfel de operațiuni și este colectat în bloc, fără ca datele să poată fi disociate unele de celelalte la momentul acestei colectări, prelucrarea ansamblului respectiv de date trebuie considerată interzisă, în sensul articolului 9 alineatul (1) din RGPD, atunci când cuprinde cel puțin o dată sensibilă și nu este aplicabilă niciuna dintre derogările prevăzute la articolul 9 alineatul (2) din acest regulament.

90 Secundo, pentru a răspunde la întrebările a treia‑a cincea, trebuie amintit că articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care prelucrarea de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, prelucrarea trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 99 și jurisprudența citată].

91 Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din acest regulament, prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice.

92 În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, în sensul articolului 4 punctul 11 din RGPD, o astfel de prelucrare este totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din regulament.

93 În acest context, justificările prevăzute la această din urmă dispoziție, în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive [a se vedea în acest sens Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale), C‑175/20, EU:C:2022:124, punctul 73 și jurisprudența citată).

94 În plus, după cum a statuat Curtea, atunci când este posibil să se constate că prelucrarea de date cu caracter personal este necesară în raport cu una dintre justificările prevăzute la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din RGPD, nu este necesar să se stabilească dacă această prelucrare intră de asemenea sub incidența unei alte justificări (a se vedea în acest sens Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punctul 71).

95 Trebuie să se precizeze, în sfârșit, că, în conformitate cu articolul 5 din RGPD, operatorului îi revine sarcina de a dovedi că aceste date sunt colectate în special în scopuri determinate, explicite și legitime și că sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. În plus, conform articolului 13 alineatul (1) litera (c) din acest regulament, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, revine operatorului sarcina de a o informa pe aceasta cu privire la scopurile în care sunt prelucrate datele respective, precum și cu privire la temeiul juridic al prelucrării menționate.

96 Deși revine instanței de trimitere sarcina de a stabili dacă diferitele elemente ale prelucrării în discuție în litigiul principal sunt justificate de una sau de alta dintre necesitățile prevăzute la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din RGPD, Curtea poate totuși să îi furnizeze informații utile pentru a‑i permite să soluționeze litigiul cu care este sesizată.

Cu privire la a treia și la a patra întrebare

97 În ceea ce privește, în primul rând, articolul 6 alineatul (1) primul paragraf litera (b) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă prelucrarea este „necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract".

98 În această privință, pentru ca prelucrarea de date cu caracter personal să fie considerată necesară pentru executarea unui contract, în sensul acestei dispoziții, ea trebuie să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată persoanei vizate. Operatorul trebuie astfel să fie în măsură să demonstreze în ce mod obiectul principal al contractului nu ar putea fi atins în lipsa prelucrării în cauză.

99 Faptul că o astfel de prelucrare este menționată în contract sau că este utilă doar pentru executarea acestuia este, în sine, lipsit de relevanță în această privință. Astfel, elementul determinant pentru aplicarea justificării prevăzute la articolul 6 alineatul (1) primul paragraf litera (b) din RGPD este că prelucrarea datelor cu caracter personal efectuată de operator este esențială pentru a permite executarea corectă a contractului încheiat între acesta și persoana vizată și, prin urmare, nu există alte soluții posibile și mai puțin intruzive.

100 În această privință, după cum a arătat domnul avocat general la punctul 54 din concluzii, în cazul în care contractul constă în mai multe servicii sau elemente distincte ale aceluiași serviciu care pot fi executate independent unul de celălalt, aplicabilitatea articolului 6 alineatul (1) primul paragraf litera (b) din RGPD trebuie evaluată separat în contextul fiecăruia dintre serviciile respective.

101 În speță, în cadrul justificărilor susceptibile să intre în domeniul de aplicare al acestei dispoziții, instanța de trimitere face referire, în calitate de elemente care urmăresc să asigure executarea adecvată a contractului încheiat între Meta Platforms Ireland și utilizatorii săi, la personalizarea conținuturilor, precum și la utilizarea omogenă și fluidă a serviciilor proprii grupului Meta.

102 În ceea ce privește, primo, justificarea întemeiată pe personalizarea conținuturilor, trebuie arătat că, deși o astfel de personalizare este utilă pentru utilizator, în măsura în care îi permite în special să vizualizeze un conținut care corespunde într‑o mare măsură intereselor sale, nu este mai puțin adevărat că, sub rezerva verificării care trebuie efectuată de instanța de trimitere, personalizarea conținuturilor nu este necesară pentru a oferi acestui utilizator serviciile rețelei sociale online. Serviciile respective îi pot fi furnizate, după caz, sub forma unei alternative echivalente care nu implică o asemenea personalizare, astfel încât aceasta din urmă nu este în mod obiectiv indispensabilă unei finalități care face parte integrantă din aceleași servicii.

103 În ceea ce privește, secundo, justificarea întemeiată pe utilizarea omogenă și fluidă a serviciilor proprii grupului Meta, din dosarul aflat la dispoziția Curții reiese că o persoană nu este obligată să subscrie la diferitele servicii oferite de grupul Meta pentru a‑și putea crea un cont de utilizator în rețeaua socială Facebook. Astfel, diferitele produse și servicii propuse de acest grup pot fi utilizate independent unele de celelalte, iar utilizarea fiecărui produs sau serviciu se bazează pe încheierea unui contract de utilizare distinct.

104 Prin urmare și sub rezerva verificării de către instanța de trimitere, prelucrarea datelor cu caracter personal provenite din alte servicii decât serviciul rețelei sociale online oferite de grupul Meta nu pare a fi necesară pentru a permite furnizarea acestui din urmă serviciu.

105 În ceea ce privește, în al doilea rând, articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este „necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil".

106 Astfel cum Curtea a statuat deja, această dispoziție prevede trei condiții cumulative pentru ca prelucrarea de date cu caracter personal să fie legală, și anume, primo, urmărirea unui interes legitim de către operator sau de către un terț, secundo, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, tertio, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să nu prevaleze asupra interesului legitim al operatorului sau al unui terț (Hotărârea din 17 iunie 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punctul 106 și jurisprudența citată).

107 În ceea ce privește, primo, condiția privind urmărirea unui interes legitim, este necesar să se precizeze că, în conformitate cu articolul 13 alineatul (1) litera (d) din RGPD, revine operatorului, în momentul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la această persoană, sarcina de a‑i indica interesele legitime urmărite în cazul în care prelucrarea menționată se face în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din acest regulament.

108 În ceea ce privește, secundo, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, aceasta impune instanței de trimitere să verifice dacă interesul legitim al prelucrării datelor urmărit nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 110 și jurisprudența citată].

109 În acest context, trebuie amintit de asemenea că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul „reducerii la minimum a datelor" consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate" (a se vedea în acest sens Hotărârea din 11 decembrie 2019, Asociația de Proprietari bloc M5A‑ScaraA, C‑708/18, EU:C:2019:1064, punctul 48).

110 În ceea ce privește, tertio, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, Curtea a statuat deja că aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză care depinde, în principiu, de împrejurările concrete ale cazului și că, în consecință, revine instanței de trimitere sarcina de a efectua această evaluare comparativă ținând seama de împrejurările specifice respective (Hotărârea din 17 iunie 2021, M.I.C.M., C‑597/19, EU:C:2021:492, punctul 111 și jurisprudența citată).

111 În această privință, reiese din însuși textul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD că, în contextul unei astfel de evaluări comparative, este necesar să se acorde o atenție deosebită situației în care persoana vizată este un copil. Într‑adevăr, conform considerentului (38) din acest regulament, copiii au nevoie de o protecție specifică a datelor lor cu caracter personal, întrucât pot fi mai puțin conștienți de riscurile, consecințele, garanțiile în cauză și drepturile lor în ceea ce privește prelucrarea datelor cu caracter personal. Astfel, o asemenea protecție specială trebuie să se aplice în special prelucrării datelor cu caracter personal referitoare la copii în scopuri de marketing sau pentru crearea de profiluri de personalitate sau de utilizator ori pentru propunerea de servicii care vizează în mod direct copiii.

112 În plus, așa cum reiese din considerentul (47) al RGPD, interesele și drepturile fundamentale ale persoanei vizate pot prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o astfel de prelucrare.

113 În speță, în cadrul justificărilor care pot intra în domeniul de aplicare al articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, instanța de trimitere face referire la personalizarea publicității, la securitatea rețelei, la îmbunătățirea produsului, la informarea autorităților competente pentru efectuarea urmăririi penale, precum și pentru executarea pedepselor, la faptul că utilizatorul este un minor, la cercetarea și la inovarea în scopuri sociale, precum și la oferta, destinată clienților din domeniul publicității și altor parteneri profesioniști, de servicii de comunicare comercială cu utilizatorul și de instrumente de analiză care să le permită să evalueze performanțele acestora.

114 În această privință, este necesar să se arate de la bun început că cererea de decizie preliminară nu conține nicio explicație care să permită să se înțeleagă modul în care cercetarea și inovarea în scopuri sociale sau faptul că utilizatorul este un minor ar putea justifica, în calitate de interese legitime în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, colectarea și exploatarea datelor în discuție. În consecință, Curtea nu este în măsură să se pronunțe în această privință.

115 Primo, în ceea ce privește personalizarea publicității, trebuie amintit că, potrivit considerentului (47) al acestui regulament, prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim al operatorului.

116 Cu toate acestea, se impune totodată ca o astfel de prelucrare să fie necesară pentru realizarea acestui interes și ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să nu prevaleze asupra acestuia. În cadrul acestei evaluări comparative a drepturilor și a intereselor opuse în cauză, și anume cele ale operatorului, pe de o parte, și cele ale persoanei vizate, pe de altă parte, trebuie să se țină seama, astfel cum s‑a arătat la punctul 112 din prezenta hotărâre, în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective.

117 În această privință, trebuie arătat că, în pofida gratuității serviciilor unei rețele sociale online precum Facebook, utilizatorul acesteia nu se poate aștepta în mod rezonabil ca, fără consimțământul său, operatorul respectivei rețele sociale să prelucreze datele sale cu caracter personal în scopuri de personalizare a publicității. În aceste condiții, trebuie să se considere că interesele și drepturile fundamentale ale unui asemenea utilizator prevalează asupra interesului acestui operator pentru o asemenea personalizare a publicității prin care își finanțează activitatea, astfel încât prelucrarea efectuată de acesta în asemenea scopuri nu poate intra sub incidența articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

118 Pe de altă parte, prelucrarea în discuție în litigiul principal este deosebit de extinsă din moment ce privește date potențial nelimitate și are un impact important asupra utilizatorului, ale cărui activități online, în mare parte sau chiar în cvasitotalitatea lor, sunt monitorizate de Meta Platforms Ireland, ceea ce îi poate suscita acestuia senzația unei supravegheri continue a vieții sale private.

119 Secundo, în ceea ce privește obiectivul de garantare a securității rețelei, acesta constituie, astfel cum enunță considerentul (49) al RGPD, un interes legitim al Meta Platforms Ireland, susceptibil să justifice prelucrarea în discuție în litigiul principal.

120 Totuși, în ceea ce privește necesitatea prelucrării respective pentru realizarea acestui interes legitim, instanța de trimitere va trebui să verifice dacă și în ce măsură prelucrarea datelor cu caracter personal colectate din surse din afara rețelei sociale Facebook se dovedește într‑adevăr necesară pentru a garanta că securitatea internă a acestei rețele nu este compromisă.

121 În acest context, astfel cum s‑a arătat la punctele 108 și 109 din prezenta hotărâre, ea va trebui de asemenea să verifice, pe de o parte, dacă interesul legitim al prelucrării datelor urmărite nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și la protecția datelor cu caracter personal garantate de articolele 7 și 8 din cartă, și, pe de altă parte, dacă este respectat așa‑numitul principiu al „reducerii la minimum a datelor", consacrat la articolul 5 alineatul (1) litera (c) din RGPD.

122 Tertio, în ceea ce privește obiectivul privind îmbunătățirea produsului, nu este exclus a priori ca interesul operatorului de a‑și îmbunătăți produsul sau serviciul pentru a‑l face mai performant și astfel mai atractiv să poată constitui un interes legitim care să permită justificarea unei prelucrări de date cu caracter personal și ca o asemenea prelucrare să poată fi necesară pentru urmărirea acestui interes.

123 Cu toate acestea, sub rezerva aprecierii finale care trebuie efectuată în această privință de instanța de trimitere, pare îndoielnic ca, în ceea ce privește prelucrarea datelor în discuție în litigiul principal, obiectivul privind îmbunătățirea produsului să poată, ținând seama de amploarea acestei prelucrări și de impactul important al acesteia asupra utilizatorului, precum și de împrejurarea că acesta din urmă nu se poate aștepta în mod rezonabil ca datele respective să fie prelucrate de Meta Platforms Ireland, să prevaleze asupra intereselor și a drepturilor fundamentale ale unui asemenea utilizator, cu atât mai mult în ipoteza în care acesta este un copil.

124 Quarto, în ceea ce privește obiectivul evocat de instanța de trimitere referitor la informarea autorităților competente să efectueze urmărirea penală și să execute pedepse în vederea prevenirii, a depistării și a urmăririi penale a infracțiunilor, este necesar să se constate că acest obiectiv nu poate, în principiu, să constituie un interes legitim urmărit de operator, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD. Astfel, un operator privat precum Meta Platforms Ireland nu poate invoca un asemenea interes legitim, străin de activitatea sa economică și comercială. În schimb, obiectivul menționat poate justifica prelucrarea efectuată de un asemenea operator atunci când este în mod obiectiv necesară pentru respectarea unei obligații legale care îi revine acestui operator.

125 Având în vedere tot ceea ce precedă, trebuie să se răspundă la a treia și la a patra întrebare că articolul 6 alineatul (1) primul paragraf litera (b) din RGPD trebuie interpretat în sensul că prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a altor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate poate fi considerată necesară pentru executarea unui contract la care persoanele vizate sunt părți, în sensul acestei dispoziții, numai cu condiția ca prelucrarea respectivă să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată acelorași utilizatori, astfel încât obiectul principal al contractului nu ar putea fi atins în lipsa acestei prelucrări.

126 Articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că o astfel de prelucrare poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de un terț, în sensul acestei dispoziții, numai dacă operatorul menționat a indicat utilizatorilor de la care au fost colectate datele un interes legitim urmărit prin prelucrarea lor, dacă această prelucrare este efectuată în limitele strictului necesar pentru realizarea acestui interes legitim și dacă reiese dintr‑o evaluare comparativă a intereselor opuse, în raport cu ansamblul circumstanțelor relevante, că interesele sau libertățile și drepturile fundamentale ale acestor utilizatori nu prevalează asupra interesului legitim menționat al operatorului sau al unui terț.

Cu privire la a cincea întrebare

127 În primul rând, în măsura în care această întrebare vizează articolul 6 alineatul (1) primul paragraf literele (c) și (e) din RGPD, trebuie amintit că, în temeiul literei (c), prelucrarea datelor cu caracter personal este legală dacă este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului. În plus, potrivit literei (e), este legală și prelucrarea care este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul.

128 Articolul 6 alineatul (3) din RGPD precizează printre altele, în ceea ce privește aceste două ipoteze de legalitate, că prelucrarea trebuie să se bazeze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și că acest temei juridic trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit.

129 În speță, instanța de trimitere urmărește să afle dacă o prelucrare de date cu caracter personal precum cea în discuție în litigiul principal poate fi considerată justificată în raport cu articolul 6 alineatul (1) primul paragraf litera (c) din RGPD atunci când urmărește „să răspundă unei cereri valabile din punct de vedere legal privind furnizarea anumitor date" și, în raport cu articolul 6 alineatul (1) primul paragraf litera (e) din acest regulament, atunci când are ca obiectiv „cercetarea în beneficiul societății" și „promovarea protecției, a integrității și a securității".

130 Trebuie să se constate însă că această instanță nu a furnizat Curții elemente care să îi permită să se pronunțe în mod concret în această privință.

131 Va reveni, așadar, instanței menționate sarcina de a verifica, având în vedere condițiile enunțate la punctul 128 din prezenta hotărâre, dacă prelucrarea menționată poate fi considerată justificată de scopurile invocate.

132 În special, ținând seama de cele arătate la punctul 124 din prezenta hotărâre, îi va reveni sarcina de a cerceta, în scopul aplicării articolului 6 alineatul (1) primul paragraf litera (c) din RGPD, dacă Meta Platforms Ireland este supusă în mod preventiv unei obligații legale de colectare și de stocare a datelor cu caracter personal pentru a putea răspunde oricărei cereri a unei autorități naționale prin care se urmărește obținerea anumitor date referitoare la utilizatorii săi.

133 De asemenea, va reveni instanței menționate sarcina de a aprecia, în raport cu articolul 6 alineatul (1) primul paragraf litera (e) din RGPD, dacă Meta Platforms Ireland este învestită cu o misiune de interes public sau care rezultă din exercitarea autorității publice, în special pentru cercetarea în beneficiul societății, precum și pentru promovarea protecției, a integrității și a securității, cu precizarea că, având în vedere natura și caracterul esențialmente economic și comercial al activității sale, pare puțin probabil ca acest operator privat să fie învestit cu o asemenea misiune.

134 În plus, instanța de trimitere va trebui, dacă este cazul, să verifice dacă, ținând seama de amploarea prelucrării datelor efectuate de Meta Platforms Ireland și de incidența sa importantă pentru utilizatorii rețelei sociale Facebook, această prelucrare este efectuată în limitele strictului necesar.

135 În ceea ce privește, în al doilea rând, articolul 6 alineatul (1) primul paragraf litera (d) din RGPD, această dispoziție prevede că prelucrarea datelor cu caracter personal este legală atunci când este necesară pentru protejarea intereselor vitale ale persoanei vizate sau ale unei alte persoane fizice.

136 Astfel cum reiese din considerentul (46) al acestui regulament, dispoziția menționată vizează situația particulară în care prelucrarea datelor cu caracter personal este necesară în scopul asigurării protecției unui interes care este esențial pentru viața persoanei vizate sau pentru viața unei alte persoane fizice. În acest sens, considerentul amintit enumeră cu titlu de exemple scopuri umanitare, cum ar fi monitorizarea unei epidemii și răspândirea acesteia, precum și situații de urgențe umanitare, cum ar fi situații de dezastre naturale sau provocate de om.

137 Din aceste exemple, precum și din interpretarea strictă a articolului 6 alineatul (1) primul paragraf litera (d) din RGPD care trebuie reținută reiese că, având în vedere natura serviciilor furnizate de operatorul unei rețele sociale online, un asemenea operator, a cărui activitate are un caracter esențialmente economic și comercial, nu poate invoca protecția unui interes esențial pentru viața utilizatorilor săi sau a unei alte persoane pentru a justifica, în absolut și în mod pur abstract și preventiv, legalitatea unei prelucrări de date precum cea în discuție în litigiul principal.

138 Având în vedere ceea ce precedă, trebuie să se răspundă la a cincea întrebare că articolul 6 alineatul (1) primul paragraf litera (c) din RGPD trebuie interpretat în sensul că prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑uri internet sau a unor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate este justificată, în temeiul acestei dispoziții, dacă este într‑adevăr necesară în vederea respectării unei obligații legale care îi revine operatorului, în temeiul unei dispoziții de drept al Uniunii sau al dreptului statului membru în cauză, dacă acest temei juridic urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit, iar prelucrarea respectivă este efectuată în limitele strictului necesar.

139 Articolul 6 alineatul (1) primul paragraf literele (d) și (e) din RGPD trebuie interpretat în sensul că o asemenea prelucrare a datelor cu caracter personal nu poate, în principiu și sub rezerva unei verificări care trebuie efectuată de instanța de trimitere, să fie considerată necesară pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice, în sensul literei (d), sau pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, în sensul literei (e).

Cu privire la a șasea întrebare

140 Prin intermediul celei de a șasea întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) primul paragraf litera (a) și articolul 9 alineatul (2) litera (a) din RGPD trebuie interpretate în sensul că se poate considera că un consimțământ dat de utilizatorul unei rețele sociale online operatorului unei astfel de rețele îndeplinește condițiile de validitate prevăzute la articolul 4 punctul 11 din acest regulament, în special cea potrivit căreia acest consimțământ trebuie acordat în mod liber, atunci când operatorul respectiv deține o poziție dominantă pe piața rețelelor sociale online.

141 Articolul 6 alineatul (1) primul paragraf litera (a) și articolul 9 alineatul (2) litera (a) din RGPD impun consimțământul persoanei vizate în scopul prelucrării, pentru unul sau mai multe scopuri specifice, a datelor sale cu caracter personal și, respectiv, al prelucrării unor categorii speciale de date menționate la acest articol 9 alineatul (1).

142 La rândul său, articolul 4 punctul 11 din RGPD definește noțiunea de „consimțământ" ca fiind „orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate".

143 Având în vedere întrebările instanței de trimitere, trebuie amintit în primul rând că, în conformitate cu considerentul (42) al RGPD, consimțământul nu poate fi considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să își retragă consimțământul fără a fi prejudiciată.

144 În al doilea rând, considerentul (43) al acestui regulament enunță că, pentru a garanta faptul că a fost acordat în mod liber, consimțământul nu ar trebui să constituie un temei juridic valabil pentru prelucrarea datelor cu caracter personal în cazul în care există un dezechilibru evident între persoana vizată și operator. Acest considerent prevede de asemenea că se prezumă că respectivul consimțământ nu a acordat în mod liber în cazul în care nu se poate acorda consimțământul separat pentru diferitele operațiuni de prelucrare a datelor cu caracter personal, deși acest lucru este adecvat în cazul particular.

145 În al treilea rând, articolul 7 alineatul (4) din RGPD prevede că, atunci când se evaluează dacă consimțământul este dat în mod liber, se ține seama cât mai mult de aspectul dacă, printre altele, executarea unui contract, inclusiv prestarea unui serviciu, este condiționată sau nu de consimțământul cu privire la prelucrarea datelor cu caracter personal care nu este necesară pentru executarea acestui contract.

146 Pe baza acestor considerații este necesar să se răspundă la a șasea întrebare.

147 În această privință, trebuie să se constate că, desigur, împrejurarea că operatorul unei rețele sociale online, în calitate de operator, ocupă o poziție dominantă pe piața rețelelor sociale nu se opune ca atare posibilității ca utilizatorii acestei rețele sociale să își dea în mod valabil consimțământul, în sensul articolului 4 punctul 11 din RGPD, pentru prelucrarea datelor lor cu caracter personal, efectuată de acest operator.

148 Nu este mai puțin adevărat că, după cum a arătat în esență domnul avocat general la punctul 75 din concluzii, o asemenea împrejurare trebuie să fie luată în considerare la aprecierea caracterului valabil și în special liber al consimțământului dat de utilizatorul rețelei menționate, din moment ce poate afecta libertatea de alegere a acestui utilizator, care nu ar putea fi în măsură să refuze sau să își retragă consimțământul fără a suferi un prejudiciu, astfel cum arată considerentul (42) al RGPD.

149 În plus, existența unei asemenea poziții dominante poate crea un dezechilibru vădit, în sensul considerentului (43) al RGPD, între persoana vizată și operator, acest dezechilibru favorizând printre altele impunerea unor condiții care nu sunt strict necesare pentru executarea contractului, ceea ce trebuie luat în considerare în conformitate cu articolul 7 alineatul (4) din regulamentul menționat. În acest context, trebuie amintit că, așa cum s‑a arătat la punctele 102-104 din prezenta hotărâre, nu rezultă, sub rezerva verificărilor care trebuie efectuate de instanța de trimitere, că prelucrarea în discuție în litigiul principal este strict necesară pentru executarea contractului dintre Meta Platforms Ireland și utilizatorii rețelei sociale Facebook.

150 Astfel, acești utilizatori trebuie să dispună de libertatea de a refuza în mod individual, în cadrul procesului contractual, să își dea consimțământul pentru anumite operațiuni de prelucrare de date care nu sunt necesare pentru executarea contractului, fără a fi însă obligați să renunțe integral la utilizarea serviciului oferit de operatorul rețelei sociale online, ceea ce implică faptul că respectivilor utilizatori li se oferă, dacă este cazul în schimbul unei remunerații adecvate, o alternativă echivalentă care nu este însoțită de asemenea operațiuni de prelucrare a datelor.

151 În plus, ținând seama de amploarea prelucrării datelor în cauză și de impactul important al acesteia asupra utilizatorilor rețelei respective, precum și de împrejurarea că acești utilizatori nu se pot aștepta în mod rezonabil ca alte date decât cele referitoare la comportamentul lor în cadrul rețelei sociale să fie prelucrate de operatorul acesteia, este adecvat, în sensul considerentului (43) menționat, ca un consimțământ distinct să poată fi dat pentru prelucrarea acestor din urmă date, pe de o parte, și a datelor off Facebook, pe de altă parte. Revine instanței de trimitere sarcina de a verifica existența unei asemenea posibilități, în lipsa căreia trebuie să se prezume că nu a fost dat în mod liber consimțământul utilizatorilor menționați pentru prelucrarea datelor off Facebook.

152 În sfârșit, trebuie amintit că, în temeiul articolului 7 alineatul (1) din RGPD, în cazurile în care prelucrarea se bazează pe consimțământ, sarcina de a demonstra că persoana vizată și‑a dat consimțământul pentru prelucrarea datelor cu caracter personal care o vizează revine operatorului.

153 Tocmai în lumina acestor criterii și a unei examinări detaliate a tuturor împrejurărilor speței, va reveni instanței de trimitere sarcina de a stabili dacă utilizatorii rețelei sociale Facebook și‑au dat în mod valabil și în special în mod liber consimțământul pentru prelucrarea în discuție în litigiul principal.

154 Ținând seama de ceea ce precedă, trebuie să se răspundă la a șasea întrebare că articolul 6 alineatul (1) primul paragraf litera (a) și articolul 9 alineatul (2) litera (a) din RGPD trebuie interpretate în sensul că împrejurarea că operatorul unei rețele sociale online ocupă o poziție dominantă pe piața rețelelor sociale nu se opune ca atare posibilității ca utilizatorii unei astfel de rețele să își dea în mod valabil consimțământul, în sensul articolului 4 punctul 11 din RGPD, pentru prelucrarea datelor lor cu caracter personal, efectuată de acest operator. Această împrejurare constituie însă un element important pentru a stabili dacă, într‑adevăr, consimțământul a fost dat în mod valabil și în special în mod liber, aspect care trebuie dovedit de operatorul menționat.

Cu privire la cheltuielile de judecată

155 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Marea Cameră) declară:

1) Articolul 51 și următoarele din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), precum și articolul 4 alineatul (3) TUE
trebuie interpretate în sensul că sub rezerva respectării obligației sale de cooperare loială cu autoritățile de supraveghere, o autoritate de concurență a unui stat membru poate constata, în cadrul examinării unui abuz de poziție dominantă al unei întreprinderi, în sensul articolului 102 TFUE, că nu sunt conforme cu acest regulament condițiile generale de utilizare a acestei întreprinderi referitoare la prelucrarea datelor cu caracter personal și punerea lor în aplicare, atunci când constatarea respectivă este necesară pentru a stabili existența unui asemenea abuz.
Având în vedere această obligație de cooperare loială, autoritatea națională de concurență nu se poate abate de la o decizie a autorității naționale de supraveghere competente sau a autorității de supraveghere principale competente referitoare la aceste condiții generale sau la condiții generale similare. Atunci când are îndoieli cu privire la conținutul unei astfel de decizii, atunci când condițiile menționate sau condiții similare fac, în același timp, obiectul unei examinări de către aceste autorități sau atunci când, în lipsa unei investigații sau a unei decizii a autorităților menționate, autoritatea de concurență consideră că aceste condiții nu sunt conforme cu Regulamentul 2016/679, ea trebuie să consulte aceleași autorități de supraveghere și să le solicite cooperarea pentru a‑ și înlătura îndoielile sau pentru a stabili dacă este necesar să aștepte adoptarea unei decizii din partea lor înainte de a începe propria apreciere. În absența unei obiecții din partea acestora sau a unui răspuns într‑ un termen rezonabil, autoritatea națională de concurență își poate continua propria investigație.

2) Articolul 9 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că
în cazul în care un utilizator al unei rețele sociale online consultă site‑ uri internet sau aplicații în raport cu una sau mai multe dintre categoriile prevăzute de această dispoziție și, dacă este cazul, introduce acolo date înscriindu‑ se sau efectuând comenzi online, prelucrarea datelor cu caracter personal de către operatorul acestei rețele sociale online, care constă în colectarea, prin intermediul unor interfețe integrate, al unor module „cookie" sau al unor tehnologii de stocare similare, a datelor provenite din consultarea acestor site‑ uri și a acestor aplicații, precum și a datelor introduse de utilizator, în asocierea tuturor acestor date cu contul rețelei sociale al acestuia și în utilizarea datelor menționate de către operatorul respectiv, trebuie să fie considerată o „prelucrare de categorii speciale de date cu caracter personal", în sensul dispoziției menționate, care este în principiu interzisă, sub rezerva derogărilor prevăzute la acest articol 9 alineatul (2), atunci când această prelucrare de date permite să se dezvăluie informații care se încadrează în una dintre aceste categorii, indiferent dacă aceste informații privesc un utilizator al acestei rețele sau orice altă persoană fizică.

3) Articolul 9 alineatul (2) litera (e) din Regulamentul 2016/679
trebuie interpretat în sensul că
atunci când consultă site‑ uri internet sau aplicații în raport cu una sau mai multe dintre categoriile menționate la articolul 9 alineatul (1) din acest regulament, un utilizator al unei rețele sociale online nu face publice în mod manifest, în sensul primei dintre aceste dispoziții, datele referitoare la consultarea menționată, colectate de operatorul acestei rețele sociale online prin intermediul modulelor „cookie" sau al tehnologiilor de stocare similare.

Atunci când introduce date pe astfel de site‑ uri internet sau în astfel de aplicații sau atunci când acționează butoane de selecție integrate în aceste site‑ uri și aplicații, cum ar fi butoanele „Îmi place" sau „Distribuie" sau butoanele care permit utilizatorului să se identifice pe aceste site‑ uri sau aplicații cu ajutorul datelor de acces legate de contul său de utilizator al rețelei sociale, al numărului său de telefon sau al adresei de e‑ mail, un astfel de utilizator face publice în mod manifest, în sensul acestui articol 9 alineatul (2) litera (e), datele astfel introduse sau care rezultă din acționarea acestor butoane numai în cazul în care și‑ a exprimat în mod explicit opțiunea în prealabil, dacă este cazul pe baza unei configurări individuale efectuate în deplină cunoștință de cauză, de a face datele care îl privesc accesibile unui număr nelimitat de persoane.

4) Articolul 6 alineatul (1) primul paragraf litera (b) din Regulamentul 2016/679
trebuie interpretat în sensul că
prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑ uri internet sau a unor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate poate fi considerată necesară pentru executarea unui contract la care persoanele vizate sunt părți, în sensul acestei dispoziții, numai cu condiția ca prelucrarea respectivă să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată acelorași utilizatori, astfel încât obiectul principal al contractului nu ar putea fi atins în lipsa acestei prelucrări.

5) Articolul 6 alineatul (1) primul paragraf litera (f) din Regulamentul 2016/679
trebuie interpretat în sensul că
prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑ uri internet sau a unor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de un terț, în sensul acestei dispoziții, numai dacă operatorul menționat a indicat utilizatorilor de la care au fost colectate datele un interes legitim urmărit prin prelucrarea lor, dacă această prelucrare este efectuată în limitele strictului necesar pentru realizarea acestui interes legitim și dacă reiese dintr‑ o evaluare comparativă a intereselor opuse, în raport cu ansamblul circumstanțelor relevante, că interesele sau libertățile și drepturile fundamentale ale acestor utilizatori nu prevalează asupra interesului legitim menționat al operatorului sau al unui terț.

6) Articolul 6 alineatul (1) primul paragraf litera (c) din Regulamentul 2016/679
trebuie interpretat în sensul că
prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑ uri internet sau a unor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate este justificată, în temeiul acestei dispoziții, dacă este într‑ adevăr necesară în vederea respectării unei obligații legale care îi revine operatorului, în temeiul unei dispoziții de drept al Uniunii sau al dreptului statului membru în cauză, dacă acest temei juridic urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit, iar prelucrarea respectivă este efectuată în limitele strictului necesar.

7) Articolul 6 alineatul (1) primul paragraf literele (d) și (e) din Regulamentul 2016/679
trebuie interpretat în sensul că
prelucrarea datelor cu caracter personal efectuată de un operator al unei rețele sociale online, care constă în colectarea de date ale utilizatorilor unei astfel de rețele provenite din alte servicii ale grupului din care face parte acest operator sau rezultate din consultarea de către acești utilizatori a unor site‑ uri internet sau a unor aplicații terțe, în asocierea acestor date cu contul rețelei sociale al utilizatorilor menționați și în utilizarea datelor menționate nu poate, în principiu și sub rezerva unei verificări care trebuie efectuată de instanța de trimitere, să fie considerată necesară pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice, în sensul literei (d), sau pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, în sensul literei (e).

8) Articolul 6 alineatul (1) primul paragraf litera (a) și articolul 9 alineatul (2) litera (a) din Regulamentul 2016/679
trebuie interpretate în sensul că
împrejurarea că operatorul unei rețele sociale online ocupă o poziție dominantă pe piața rețelelor sociale nu se opune ca atare posibilității ca utilizatorii acestei rețele sociale să își dea în mod valabil consimțământul, în sensul articolului 4 punctul 11 din RGPD, pentru prelucrarea datelor lor cu caracter personal, efectuată de acest operator. Această împrejurare constituie însă un element important pentru a stabili dacă, într‑ adevăr, consimțământul a fost dat în mod valabil și în special în mod liber, aspect care trebuie dovedit de operatorul menționat.

Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Marea Cameră) 4 iulie 2023(*) CUPRINS „Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Rețele sociale online - Abuz de poziție dominantă al operatorului unei astfel de rețele - Abuz care constă în prelucrarea datelor cu

# data[].attributes.attachment_link.description
Language of document : ECLI:EU:C:2023:949

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Marea Cameră)

5 decembrie 2023(*)

„Trimitere preliminară - Protecția datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 4 punctul 7 - Noțiunea de "operator" - Articolul 58 alineatul (2) - Competențele autorităților de supraveghere de a impune măsuri corective - Articolul 83 - Impunerea de amenzi administrative unei persoane juridice - Condiții - Marja de manevră a statelor membre - Cerința ca încălcarea să fie comisă intenționat sau din neglijență"

În cauza C‑807/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Kammergericht Berlin (Tribunalul Regional Superior din Berlin, Germania), prin decizia din 6 decembrie 2021, primită de Curte la 21 decembrie 2021, în procedura
Deutsche Wohnen SE
împotriva
Staatsanwaltschaft Berlin,
CURTEA (Marea Cameră),

compusă din domnul K. Lenaerts, președinte, domnul L. Bay Larsen, vicepreședinte, domnii A. Arabadjiev, C. Lycourgos, E. Regan, T. von Danwitz și Z. Csehi și doamna O. Spineanu‑Matei, președinți de cameră, domnii M. Ilešič și J.‑C. Bonichot, doamna L. S. Rossi și domnii A. Kumin, N. Jääskinen (raportor), N. Wahl și M. Gavalec, judecători,

avocat general: domnul M. Campos Sánchez‑Bordona,

grefier: domnul D. Dittert, șef de unitate,

având în vedere procedura scrisă și în urma ședinței din 17 ianuarie 2023,

luând în considerare observațiile prezentate:

- pentru Deutsche Wohnen SE, de O. Geiss, K. Mertens, N. Venn și T. Wybitul, Rechtsanwälte;

- pentru guvernul german, de J. Möller și P.‑L. Krüger, în calitate de agenți;

- pentru guvernul eston, de M. Kriisa, în calitate de agent;

- pentru guvernul neerlandez, de C. S. Schillemans, în calitate de agent;

- pentru guvernul norvegian, de L.‑M. Moen Jünge, M. Munthe‑Kaas și T. Westhagen Edell, în calitate de agenți;

- pentru Parlamentul European, de G. C. Bartram și P. López‑Carceller, în calitate de agenți;

- pentru Consiliul Uniunii Europene, de J. Bauerschmidt și K. Pleśniak, în calitate de agenți;

- pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher, H. Kranenborg și G. Meessen, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 27 aprilie 2023,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 83 alineatele (4)-(6) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD").

2 Această cerere a fost formulată în cadrul unui litigiu între Deutsche Wohnen SE (denumită în continuare „DW"), pe de o parte, și Staatsanwaltschaft Berlin (Parchetul din Berlin, Germania), pe de altă parte, în legătură cu o amendă administrativă impusă DW, în temeiul articolului 83 din RGPD, pentru încălcarea articolului 5 alineatul (1) literele (a), (c) și (e), a articolului 6, precum și a articolului 25 alineatul (1) din acest regulament.

Cadrul juridic

Dreptul Uniunii

3 Considerentele (9), (10), (11), (13), (74), (129) și (150) ale RGPD au următorul cuprins:

„(9) [...] Diferențele dintre nivelurile de protecție a drepturilor și libertăților persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal, în ceea ce privește prelucrarea datelor cu caracter personal din statele membre pot împiedica libera circulație a datelor cu caracter personal în întreaga Uniune [Europeană]. Aceste diferențe pot constitui, prin urmare, un obstacol în desfășurarea de activități economice la nivelul Uniunii, pot denatura concurența și pot împiedica autoritățile să îndeplinească responsabilitățile care le revin în temeiul dreptului Uniunii. [...]

(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. În ceea ce privește prelucrarea datelor cu caracter personal în vederea respectării unei obligații legale, a îndeplinirii unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, statelor membre ar trebui să li se permită să mențină sau să introducă dispoziții de drept intern care să clarifice într‑o mai mare măsură aplicarea normelor prezentului regulament. [...] Prezentul regulament oferă, de asemenea, statelor membre o marjă de manevră în specificarea normelor [lor], inclusiv în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal [...] În acest sens, prezentul regulament nu exclude dreptul statelor membre care stabilește circumstanțele aferente unor situații de prelucrare specifice, inclusiv stabilirea cu o mai mare precizie a condițiilor în care prelucrarea datelor cu caracter personal este legală.

(11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele de protecție a datelor cu caracter personal și sancțiuni echivalente pentru infracțiuni în statele membre.

[...]

(13) În vederea asigurării unui nivel uniform de protecție pentru persoanele fizice în întreaga Uniune și a preîntâmpinării discrepanțelor care împiedică libera circulație a datelor în cadrul pieței interne, este necesar un regulament în scopul de a furniza securitate juridică și transparență pentru operatorii economici, inclusiv microîntreprinderi și întreprinderi mici și mijlocii, precum și de a oferi persoanelor fizice în toate statele membre același nivel de drepturi, obligații și responsabilități opozabile din punct de vedere juridic pentru operatori și persoanele împuternicite de aceștia, pentru a se asigura o monitorizare coerentă a prelucrării datelor cu caracter personal, sancțiuni echivalente în toate statele membre, precum și cooperarea eficace a autorităților de supraveghere ale diferitelor state membre. [...]

[...]

(74) Ar trebui să se stabilească responsabilitatea și răspunderea operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să fie obligat să implementeze măsuri adecvate și eficace și să fie în măsură să demonstreze conformitatea activităților de prelucrare cu prezentul regulament, inclusiv eficacitatea măsurilor. Aceste măsuri ar trebui să țină seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul pentru drepturile și libertățile persoanelor fizice.

[...]

(129) Pentru a se asigura consecvența monitorizării și a aplicării prezentului regulament în întreaga Uniune, autoritățile de supraveghere ar trebui să aibă în fiecare stat membru aceleași sarcini și competențe efective, inclusiv competențe de investigare, competențe corective și [competențe de a aplica] sancțiuni [...] În special, fiecare măsură ar trebui să fie adecvată, necesară și proporțională în scopul de a asigura conformitatea cu dispozițiile prezentului regulament, luând în considerare circumstanțele fiecărui caz în parte, să respecte dreptul oricărei persoane de a fi ascultată înainte de luarea oricărei măsuri individuale care ar putea să îi aducă atingere și să evite costurile inutile și inconvenientele excesive pentru persoanele în cauză. Competențele de investigare în ceea ce privește accesul în incinte ar trebui exercitate în conformitate cu cerințele specifice din dreptul procedural național, cum ar fi obligația de a obține în prealabil o autorizare judiciară. Fiecare măsură obligatorie din punct de vedere juridic luată de autoritatea de supraveghere ar trebui să fie prezentată în scris, să fie clară și lipsită de ambiguitate, să indice autoritatea de supraveghere care a emis măsura, data emiterii măsurii, să poarte semnătura șefului sau a unui membru al autorității de supraveghere autorizat de acesta, să furnizeze motivele pentru care s‑a luat măsura și să facă trimitere la dreptul la o cale de atac eficientă. Acest lucru nu ar trebui să excludă cerințe suplimentare în conformitate cu dreptul procedural național. [...]

[...]

(150) Pentru consolidarea și armonizarea sancțiunilor administrative în cazul încălcării prezentului regulament, fiecare autoritate de supraveghere ar trebui să aibă competența de a impune amenzi administrative. Prezentul regulament ar trebui să indice încălcările, [precum] și limita maximă și criteriile pentru stabilirea amenzilor administrative aferente care ar trebui să fie stabilite de autoritatea de supraveghere competentă în fiecare caz în parte, ținând seama de toate circumstanțele relevante ale situației specifice, luându‑se în considerare în mod corespunzător, în special, natura, gravitatea și durata încălcării, precum și consecințele acesteia și măsurile luate pentru a se asigura respectarea obligațiilor în temeiul prezentului regulament și pentru a se preveni sau atenua consecințele încălcării. În cazul în care amenzile administrative sunt impuse unei întreprinderi, o întreprindere ar trebui înțeleasă ca fiind o întreprindere în conformitate cu articolele 101 și 102 TFUE în aceste scopuri. [...]"

4 În temeiul articolului 4 din acest regulament:

„În sensul prezentului regulament:

[...]

7. "operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;

8. "persoană împuternicită de operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care prelucrează datele cu caracter personal în numele operatorului;

[...]

18. "întreprindere" înseamnă o persoană fizică sau juridică ce desfășoară o activitate economică, indiferent de forma juridică a acesteia, inclusiv parteneriate sau asociații care desfășoară în mod regulat o activitate economică;

[...]"

5 Articolul 58 din regulamentul menționat, intitulat „Competențe", prevede la alineatele (2) și (4):

„(2) Fiecare autoritate de supraveghere are toate următoarele competențe corective:

(a) de a emite avertizări în atenția unui operator sau a unei persoane împuternicite de operator cu privire la posibilitatea ca operațiunile de prelucrare prevăzute să încalce dispozițiile prezentului regulament;

(b) de a emite mustrări adresate unui operator sau unei persoane împuternicite de operator în cazul în care operațiunile de prelucrare au încălcat dispozițiile prezentului regulament;

[...]

(d) de a da dispoziții operatorului sau persoanei împuternicite de operator să asigure conformitatea operațiunilor de prelucrare cu dispozițiile prezentului regulament, specificând, după caz, modalitatea și termenul‑limită pentru aceasta;

[...]

(f) de a impune o limitare temporară sau definitivă, inclusiv o interdicție asupra prelucrării;

[...]

(i) de a impune amenzi administrative în conformitate cu articolul 83, în completarea sau în locul măsurilor menționate la prezentul alineat, în funcție de circumstanțele fiecărui caz în parte;

[...]

(4) Exercitarea competențelor conferite autorității de supraveghere în temeiul prezentului articol face obiectul unor garanții adecvate, inclusiv căi de atac judiciare eficiente și procese echitabile, prevăzute în dreptul Uniunii și în dreptul intern în conformitate cu [Carta drepturilor fundamentale a Uniunii Europene]."

6 Articolul 83 din același regulament, intitulat „Condiții generale pentru impunerea amenzilor administrative", este redactat după cum urmează:

„(1) Fiecare autoritate de supraveghere asigură faptul că impunerea unor amenzi administrative în conformitate cu prezentul articol pentru încălcările prezentului regulament menționate la alineatele (4), (5) și (6) este, în fiecare caz, eficace, proporțională și disuasivă.

(2) În funcție de circumstanțele fiecărui caz în parte, amenzile administrative sunt impuse în completarea sau în locul măsurilor menționate la articolul 58 alineatul (2) literele (a)-(h) și (j). Atunci când se ia decizia dacă să se impună o amendă administrativă și decizia cu privire la valoarea amenzii administrative în fiecare caz în parte, se acordă atenția cuvenită următoarelor aspecte:

(a) natura, gravitatea și durata încălcării, ținându‑se seama de natura, domeniul de aplicare sau scopul prelucrării în cauză, precum și de numărul persoanelor vizate afectate și de nivelul prejudiciilor suferite de acestea;

(b) dacă încălcarea a fost comisă intenționat sau din neglijență;

(c) orice acțiuni întreprinse de operator sau de persoana împuternicită de operator pentru a reduce prejudiciul suferit de persoana vizată;

(d) gradul de responsabilitate al operatorului sau al persoanei împuternicite de operator ținându‑se seama de măsurile tehnice și organizatorice implementate de aceștia în temeiul articolelor 25 și 32;

(e) eventualele încălcări anterioare relevante comise de operator sau de persoana împuternicită de operator;

(f) gradul de cooperare cu autoritatea de supraveghere pentru a remedia încălcarea și a atenua posibilele efecte negative ale încălcării;

(g) categoriile de date cu caracter personal afectate de încălcare;

(g) modul în care încălcarea a fost adusă la cunoștința autorității de supraveghere, în special dacă și în ce măsură operatorul sau persoana împuternicită de operator a notificat încălcarea;

(i) în cazul în care măsurile menționate la articolul 58 alineatul (2) au fost dispuse anterior împotriva operatorului sau persoanei împuternicite de operator în cauză cu privire la același obiect, respectarea respectivelor măsuri;

(j) aderarea la coduri de conduită aprobate, în conformitate cu articolul 40, sau la mecanisme de certificare aprobate, în conformitate cu articolul 42 și

(k) orice alt factor agravant sau atenuant aplicabil circumstanțelor cazului, cum ar fi beneficiile financiare dobândite sau pierderile evitate în mod direct sau indirect de pe urma încălcării.

(3) În cazul în care un operator sau o persoană împuternicită de operator încalcă în mod intenționat sau din neglijență, pentru aceeași operațiune de prelucrare sau pentru operațiuni de prelucrare conexe, mai multe dispoziții din prezentul regulament, cuantumul total al amenzii administrative nu poate depăși suma prevăzută pentru cea mai gravă încălcare.

(4) Pentru încălcările dispozițiilor următoare, în conformitate cu alineatul (2), se aplică amenzi administrative de până la 10 000 000 [de euro] sau, în cazul unei întreprinderi, de până la 2 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare:

(a) obligațiile operatorului și ale persoanei împuternicite de operator în conformitate cu articolele 8, 11, 25-39, 42 și 43;

[...]

(5) Pentru încălcările dispozițiilor următoare, în conformitate cu alineatul (2), se aplică amenzi administrative de până la 20 000 000 [de euro] sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare:

(a) principiile de bază pentru prelucrare, inclusiv condițiile privind consimțământul, în conformitate cu articolele 5, 6, 7 și 9;

(b) drepturile persoanelor vizate în conformitate cu articolele 12-22;

[...]

(d) orice obligații în temeiul legislației naționale adoptate în temeiul capitolului IX;

(e) nerespectarea unui ordin sau a unei limitări temporare sau definitive asupra prelucrării sau a suspendării fluxurilor de date, emisă de către autoritatea de supraveghere în temeiul articolului 58 alineatul (2), sau neacordarea accesului, încălcând articolul 58 alineatul (1).

(6) Pentru încălcarea unui ordin emis de autoritatea de supraveghere în conformitate cu articolul 58 alineatul (2) se aplică, în conformitate cu alineatul (2) din prezentul articol, amenzi administrative de până la 20 000 000 [de euro] sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare.

(7) Fără a aduce atingere competențelor corective ale autorităților de supraveghere menționate la articolul 58 alineatul (2), fiecare stat membru poate prevedea norme prin care să se stabilească dacă și în ce măsură pot fi impuse amenzi administrative autorităților publice și organismelor publice stabilite în statul membru respectiv.

(8) Exercitarea de către autoritatea de supraveghere a competențelor sale în temeiul prezentului articol are loc cu condiția existenței unor garanții procedurale adecvate în conformitate cu dreptul Uniunii și cu dreptul intern, inclusiv căi de atac judiciare eficiente și dreptul la un proces echitabil.

[...]"

Dreptul german

7 Articolul 41 alineatul (1) prima teză din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 30 iunie 2017 (BGBl. 2017 I, p. 2097) prevede că, în lipsa unei dispoziții contrare în această lege, dispozițiile din Gesetz über Ordnungswidrigkeiten (Legea privind încălcările administrative) din 24 mai 1968 (BGBl. 1968 I, p. 481), în versiunea comunicată la 19 februarie 1987 (BGBl. 1987 I, p. 602), astfel cum a fost adaptată prin Legea din 19 iunie 2020 (BGBl. 2020 I, p. 1350, denumită în continuare „OWiG"), sunt aplicabile încălcărilor menționate la articolul 83 alineatele (4)-(6) din RGPD.

8 Articolul 30 din OWiG, intitulat „Amenzi aplicate persoanelor juridice și asociațiilor de persoane", prevede:

„(1) Atunci când o persoană care acționează

1. în calitate de organ abilitat să reprezinte o persoană juridică sau în calitate de membru al unui astfel de organ,

2. în calitate de președinte al unei asociații care nu are capacitate juridică sau în calitate de membru al biroului acesteia,

3. în calitate de asociat abilitat să reprezinte o societate de persoane care are capacitate juridică,

4. în calitate de mandatar general sau în exercitarea unei funcții de conducere în calitate de împuternicit sau de mandatar comercial al unei persoane juridice sau al unei asociații de persoane menționate la punctul 2 sau la punctul 3 sau

5. în calitate de persoană responsabilă în alt mod pentru conducerea unității sau a întreprinderii unei persoane juridice sau a unei asociații de persoane menționate la punctul 2 sau la punctul 3, inclusiv supravegherea gestionării activității sau orice altă exercitare a unei competențe de control într‑o funcție de conducere,

a săvârșit o infracțiune sau o contravenție, astfel încât obligațiile care revin persoanei juridice sau asociației de persoane au fost încălcate sau această persoană juridică ori această asociație de persoane s‑a îmbogățit sau se consideră că s‑a îmbogățit, se poate aplica o amendă acestei persoane juridice sau acestei asociații de persoane.

[...]

(4) În cazul în care infracțiunea sau contravenția nu duce la inițierea unei proceduri penale sau a unei proceduri contravenționale administrative ori dacă această procedură este clasată sau se renunță la orice pedeapsă, amenda poate fi aplicată în mod independent. De asemenea, legea poate prevedea posibilitatea aplicării amenzii în mod independent în alte cazuri. Cu toate acestea, aplicarea unei amenzi în mod independent persoanei juridice sau asociației de persoane este exclusă atunci când infracțiunea sau contravenția nu poate fi sancționată dintr‑un motiv juridic [...]"

9 Articolul 130 din OWiG prevede:

„(1) Orice persoană care, în calitate de proprietar al unei unități sau al unei întreprinderi, omite în mod intenționat sau din neglijență să ia măsurile de supraveghere necesare pentru a preveni, în cadrul unității sau al întreprinderii, nerespectarea obligațiilor care îi revin proprietarului și a cărei încălcare este pasibilă de o pedeapsă sau de o amendă, săvârșește o contravenție atunci când o astfel de încălcare este săvârșită în condițiile în care o supraveghere adecvată ar fi permis prevenirea sau împiedicarea în mod semnificativ a încălcării. Măsurile de supraveghere necesare includ și desemnarea, selectarea minuțioasă și controlul persoanelor responsabile cu supravegherea.

[...]

(3) Atunci când nerespectarea unei obligații este pasibilă de o pedeapsă, contravenția poate fi sancționată cu o amendă de maximum un milion de euro. Se aplică articolul 30 alineatul (2) a treia teză. Atunci când neîndeplinirea obligației este pasibilă de amendă, cuantumul maxim al amenzii aplicate pentru neîndeplinirea obligației de supraveghere se stabilește în funcție de cuantumul maxim al amenzii aplicate pentru această neîndeplinire. [...]"

Litigiul principal și întrebările preliminare

10 DW este o societate imobiliară, constituită în forma juridică de societate europeană, cotată la bursă și al cărei sediu social este la Berlin (Germania). Ea deține indirect, prin intermediul unor participații la diferite societăți, aproximativ 163 000 de unități rezidențiale și 3 000 de unități comerciale.

11 Proprietarii acestor unități sunt filiale ale DW denumite „societăți proprietare", care gestionează activitățile operaționale, în timp ce DW se concentrează pe conducerea generală a grupului pe care îl constituie printre altele cu acestea. Societățile proprietare închiriază unitățile comerciale și rezidențiale, care sunt administrate de alte societăți ale grupului menționat, denumite „societăți de servicii".

12 În cadrul activităților lor comerciale, DW și societățile grupului pe care îl conduce prelucrează date cu caracter personal ale locatarilor unităților comerciale și rezidențiale, cum ar fi de exemplu dovezi de identitate, date fiscale, sociale și de asigurări de sănătate ale acestor locatari, precum și informații privind contractele de locațiune anterioare.

13 La 23 iunie 2017, cu ocazia unei inspecții la fața locului, Berliner Beauftragte für den Datenschutz (Autoritatea de supraveghere din Berlin, denumită în continuare „autoritatea de supraveghere") a atras atenția DW că societățile din grupul său păstrau documente care conțineau date cu caracter personal ale locatarilor într‑un sistem de arhivare electronică ce nu permitea să se verifice dacă păstrarea era necesară și să se garanteze că datele care nu mai erau necesare erau șterse.

14 Autoritatea de supraveghere a solicitat DW să elimine aceste documente din sistemul său de arhivare electronică până cel mai târziu la sfârșitul anului 2017. Ca răspuns la această cerere, DW a arătat că eliminarea nu era posibilă din motive tehnice și juridice.

15 În urma unor schimburi între DW și autoritatea de supraveghere cu privire la posibilitatea de a elimina documentele în cauză, DW a informat această autoritate cu privire la intenția sa de a institui un nou sistem de păstrare, menit să îl înlocuiască pe cel care conținea documentele menționate.

16 La 5 martie 2019, autoritatea de supraveghere a efectuat un control la sediul central al grupului condus de DW. Cu ocazia acestui control, DW a informat autoritatea respectivă că sistemul de arhivare în discuție fusese deja desființat și că migrarea datelor către noul sistem de păstrare era iminentă.

17 Prin decizia din 30 octombrie 2019, autoritatea de supraveghere a impus DW o amendă administrativă de 14 385 000 de euro, pentru încălcarea deliberată a articolului 5 alineatul (1) literele (a), (c) și (e), precum și a articolului 25 alineatul (1) din RGPD (denumită în continuare „decizia în cauză"). Prin această decizie, autoritatea menționată a impus de asemenea DW 15 alte amenzi în cuantum cuprins între 3 000 și 17 000 de euro pentru încălcarea articolului 6 alineatul (1) din RGPD.

18 În decizia în cauză, autoritatea de supraveghere considera în special că DW omisese în mod deliberat, între 25 mai 2018 și 5 martie 2019, să ia măsurile necesare pentru a permite ștergerea cu regularitate a datelor cu caracter personal referitoare la locatari care nu mai erau necesare sau care fuseseră, pentru un alt motiv, păstrate în mod eronat. Ea a arătat de asemenea că DW a continuat să păstreze, fără ca un astfel de demers să fie necesar, datele cu caracter personal a cel puțin 15 locatari identificați într‑un mod mai precis.

19 DW a formulat o acțiune împotriva acestei decizii la Landgericht Berlin (Tribunalul Regional din Berlin, Germania). Această instanță a clasat procedura, considerând că decizia în cauză era afectată de vicii atât de grave încât nu putea servi drept bază pentru impunerea unei amenzi.

20 Instanța menționată a arătat printre altele că impunerea unei amenzi unei persoane juridice este reglementată în mod exhaustiv la articolul 30 din OWiG, care, potrivit articolului 41 alineatul (1) din Legea federală privind protecția datelor, s‑ar aplica încălcărilor prevăzute la articolul 83 alineatele (4)-(6) din RGPD. Or, potrivit acestui articol 30 din OWiG, o încălcare administrativă nu ar putea fi constatată decât împotriva unei persoane fizice, iar nu împotriva unei persoane juridice. În plus, numai actele membrilor organelor sau ale reprezentanților persoanei juridice ar putea fi imputate acesteia. Deși alineatul (4) al articolului 30 menționat ar permite, în anumite condiții, inițierea unei proceduri contravenționale administrative independente împotriva unei persoane juridice, nu ar fi mai puțin adevărat că, și în această ipoteză, ar fi necesar ca o încălcare administrativă să poată fi constatată față de membri ai organelor sau față de reprezentanții persoanei juridice în cauză.

21 Staatsanwaltschaft Berlin (Parchetul din Berlin) a formulat o cale de atac împotriva acestei decizii la Kammergericht Berlin (Tribunalul Regional Superior din Berlin, Germania), care este instanța de trimitere.

22 Instanța de trimitere solicită în primul rând să se stabilească dacă, în temeiul articolului 83 din RGPD, o amendă administrativă trebuie să poată fi impusă unei persoane juridice fără ca încălcarea acestui regulament să fie imputată în prealabil unei persoane fizice identificate. În acest context, instanța respectivă ridică în special problema pertinenței noțiunii de „întreprindere", în sensul articolelor 101 și 102 TFUE.

23 În această privință, instanța menționată arată că, potrivit unei jurisprudențe naționale, regimul de răspundere limitată a persoanelor juridice existent în dreptul național ar fi în contradicție cu regimul răspunderii directe a întreprinderilor prevăzut la articolul 83 din RGPD. Potrivit acestei jurisprudențe, ar reieși în special din modul de redactare a articolului 83 din RGPD, care, în conformitate cu principiul supremației dreptului Uniunii, prevalează asupra regimului național, că pot fi aplicate amenzi administrative întreprinderilor. Prin urmare, nu ar fi necesar ca aplicarea unor asemenea amenzi să fie legată de un act culpabil al organelor sau al conducerii persoanelor juridice, contrar celor impuse de dreptul național aplicabil.

24 Astfel, potrivit instanței amintite, această jurisprudență, la fel ca majoritatea doctrinei naționale, ar acorda o importanță deosebită noțiunii de „întreprindere", în sensul articolelor 101 și 102 TFUE, și, așadar, ideii potrivit căreia răspunderea este imputată entității economice în cadrul căreia a fost adoptat comportamentul nedorit, de exemplu anticoncurențial. Potrivit acestei concepții „funcționale", toate actele tuturor angajaților abilitați să acționeze în numele unei întreprinderi ar fi imputabile întreprinderii, inclusiv în cadrul unor proceduri contravenționale administrative.

25 În al doilea rând, în ipoteza în care Curtea ar trebui să considere că o amendă administrativă trebuie să poată fi impusă direct unei persoane juridice, instanța de trimitere ridică problema criteriilor care trebuie aplicate pentru a stabili răspunderea unei persoane juridice, în calitate de întreprindere, pentru o încălcare a RGPD. Ea solicită în special să se stabilească dacă o amendă administrativă poate fi aplicată unei persoane juridice în temeiul articolului 83 din acest regulament fără să se stabilească faptul că încălcarea regulamentului menționat imputată acesteia a fost comisă cu vinovăție.

26 În aceste condiții, Kammergericht Berlin (Tribunalul Regional Superior din Berlin) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Articolul 83 alineatele (4)-(6) din RGPD trebuie interpretat în sensul că transpune în dreptul național noțiunea funcțională de întreprindere și principiul entității funcționale (" Funktionsträgerprinzip") avute în vedere la articolele 101 și 102 TFUE, cu consecința că, prin extinderea principiului entității juridice (" Rechtsträgerprinzip ") care stă la baza articolului 30 din [OWiG], o procedură contravențională administrativă poate fi inițiată direct împotriva unei întreprinderi, iar aplicarea amenzii nu necesită constatarea săvârșirii unei încălcări administrative - care să întrunească, dacă este cazul, toate elementele constitutive, obiective și subiective, ale unei asemenea încălcări - de către o persoană fizică identificată?

2) În cazul unui răspuns afirmativ la prima întrebare, articolul 83 alineatele (4)-(6) din RGPD trebuie interpretat în sensul că este necesar ca întreprinderea să fi săvârșit încălcarea cu vinovăție prin intermediul unui angajat [a se vedea articolul 23 din Regulamentul (CE) nr. 1/2003 al Consiliului din 16 decembrie 2002 privind punerea în aplicare a normelor de concurență prevăzute la articolele 81 și 82 din tratat (JO 2003, L 1, p. 1, Ediție specială, 08/vol. 1, p. 167)] sau, pentru aplicarea unei amenzi întreprinderii, este în principiu suficientă o încălcare obiectivă a obligațiilor care îi este imputabilă (" strict liability ")?"

Cu privire la cererea de redeschidere a procedurii orale

27 În urma ședinței de audiere a pledoariilor care a avut loc la 17 ianuarie 2023, DW a solicitat, prin înscrisul depus la grefa Curții la 23 martie 2023, să se dispună redeschiderea fazei orale a procedurii, în temeiul articolului 83 din Regulamentul de procedură al Curții.

28 În sprijinul cererii sale, DW susține în esență că răspunsurile date de instanța de trimitere la cererea de lămuriri, adresată acesteia în temeiul articolului 101 din Regulamentul de procedură, furnizează Curții informații inexacte cu privire la dispozițiile aplicabile ale dreptului național. Or, o dezbatere exhaustivă cu privire la acest subiect în ședința din 17 ianuarie 2023 nu ar fi fost posibilă, ca urmare a faptului că părțile au luat cunoștință de aceste răspunsuri cu numai trei zile lucrătoare înaintea acestei ședințe. Astfel, un asemenea termen nu ar fi permis pregătirea ședinței în mod aprofundat.

29 Desigur, conform articolului 83 din Regulamentul de procedură, Curtea poate oricând să dispună, după ascultarea avocatului general, redeschiderea fazei orale a procedurii, în special atunci când consideră că nu este suficient de lămurită sau atunci când o parte a invocat, după închiderea acestei faze, un fapt nou de natură să aibă o influență decisivă asupra deciziei Curții sau atunci când cauza trebuie soluționată pe baza unui argument care nu a fost pus în discuția persoanelor interesate.

30 Cu toate acestea, în speță, Curtea dispune de toate elementele necesare pentru a se pronunța, iar prezenta cauză nu trebuie soluționată pe baza unor argumente care nu ar fi fost puse în discuția persoanelor interesate. În plus, cererea de redeschidere a fazei orale a procedurii nu evidențiază niciun fapt nou de natură să poată avea o influență decisivă asupra deciziei pe care Curtea este chemată să o pronunțe în această cauză.

31 În aceste condiții, Curtea consideră, după ascultarea avocatului general, că nu este necesar să dispună redeschiderea fazei orale a procedurii.

Cu privire la întrebările preliminare

Cu privire la prima întrebare

32 Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 58 alineatul (2) și articolul 83 alineatele (1)-(6) din RGPD trebuie interpretate în sensul că se opun unei reglementări naționale în temeiul căreia o amendă administrativă poate fi aplicată unei persoane juridice în calitatea sa de operator pentru o încălcare menționată la alineatele (4)-(6) ale acestui articol 83 numai în măsura în care această încălcare a fost imputată în prealabil unei persoane fizice identificate.

33 Cu titlu introductiv, este necesar să se arate că, în observațiile sale scrise, guvernul german a exprimat îndoieli cu privire la această interpretare a dreptului național de către instanța de trimitere, pentru motivul că articolul 130 din OWiG permite aplicarea unei amenzi unei persoane juridice și în afara cazurilor prevăzute la articolul 30 din OWiG. Pe de altă parte, aceste două dispoziții ar permite aplicarea unei amenzi denumite „anonimă" în cadrul unei proceduri inițiate împotriva întreprinderii, fără a fi necesar să se identifice persoana fizică autoare a încălcării în discuție.

34 Ca răspuns la o cerere de lămuriri adresată instanței de trimitere, menționată la punctul 28 din prezenta hotărâre, aceasta a arătat că articolul 130 din OWiG nu are incidență asupra primei întrebări adresate.

35 Astfel, potrivit instanței respective, această dispoziție îl vizează pe proprietarul unei exploatații sau al unei întreprinderi, care trebuie să fi încălcat cu vinovăție o obligație de supraveghere. Dovada unei asemenea neîndepliniri a obligațiilor imputabilă proprietarului întreprinderii ar fi totuși extrem de complexă și adesea imposibil de prezentat, iar problema dacă un grup de întreprinderi poate fi calificat drept „întreprindere" sau drept „proprietar de întreprinderi", în sensul dispoziției menționate, ar fi controversată la nivel național. În orice caz, prima întrebare preliminară ar fi relevantă și în acest context.

36 Trebuie amintit că, în ceea ce privește interpretarea dispozițiilor din ordinea juridică națională, Curtea este în principiu obligată să se întemeieze pe calificările care rezultă din decizia de trimitere. Astfel, potrivit unei jurisprudențe constante, Curtea nu este competentă să interpreteze dreptul intern al unui stat membru (Hotărârea din 26 ianuarie 2021, Hessischer Rundfunk, C‑422/19 și C‑423/19, EU:C:2021:63, punctul 31 și jurisprudența citată).

37 Prin urmare, este necesar să se răspundă la prima întrebare preliminară pornind de la premisa potrivit căreia, în temeiul dreptului național aplicabil, o amendă administrativă nu poate fi aplicată unei persoane juridice în calitatea sa de operator pentru o încălcare prevăzută la articolul 83 alineatele (4)-(6) din RGPD decât în condițiile prevăzute la articolul 30 din OWiG, așa cum au fost prezentate de instanța de trimitere.

38 Pentru a răspunde la această primă întrebare, este necesar să se arate mai întâi că principiile, interdicțiile și obligațiile prevăzute de RGPD se adresează în special „operatorilor" a căror responsabilitate se extinde, după cum subliniază considerentul (74) al RGPD, la orice prelucrare a datelor cu caracter personal efectuată de aceștia sau în numele lor și care sunt obligați, în acest temei, nu numai să implementeze măsuri adecvate și eficace, ci și să fie în măsură să demonstreze conformitatea activităților lor de prelucrare cu RGPD, inclusiv eficacitatea măsurilor adoptate pentru a asigura o asemenea conformitate. Această responsabilitate este cea care constituie, în cazul unor încălcări prevăzute la articolul 83 alineatele (4)-(6) din acest regulament, temeiul pentru impunerea unei amenzi administrative operatorului conform articolului 83 respectiv.

39 Articolul 4 punctul 7 din RGPD definește în sens larg noțiunea de „operator" ca vizând persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal.

40 Obiectivul acestei definiții largi a articolului 4 punctul 7 din RGPD - care include în mod expres persoanele juridice - constă, în conformitate cu cel al RGPD, în a asigura o protecție eficientă a drepturilor și a libertăților fundamentale ale persoanelor fizice, precum și în special în a realiza un nivel ridicat de protecție a dreptului oricărei persoane la protecția datelor cu caracter personal care o privesc (a se vedea în acest sens Hotărârea din 29 iulie 2019, Fashion ID, C‑40/17, EU:C:2019:629, punctul 66, și Hotărârea din 28 aprilie 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punctul 73, precum și jurisprudența citată).

41 Pe de altă parte, Curtea a statuat deja că orice persoană fizică sau juridică care influențează, în scopuri proprii, prelucrarea datelor cu caracter personal și care participă, ca urmare a acestui fapt, la stabilirea scopurilor și a mijloacelor prelucrării respective poate fi considerată operator (a se vedea în acest sens Hotărârea din 10 iulie 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punctul 68).

42 Rezultă astfel din modul de redactare și din finalitatea articolului 4 punctul 7 din RGPD că legiuitorul Uniunii nu a efectuat, în vederea stabilirii răspunderii în temeiul acestui regulament, o distincție între persoanele fizice și persoanele juridice, respectiva răspundere fiind supusă numai condiției ca acestea, singure sau împreună cu altele, să stabilească scopurile și mijloacele prelucrării datelor cu caracter personal.

43 În consecință, sub rezerva celor prevăzute la articolul 83 alineatul (7) din RGPD, referitor la autoritățile și organismele publice, orice persoană care îndeplinește această condiție - indiferent dacă este vorba despre o persoană fizică, despre o persoană juridică, despre o autoritate publică, despre o agenție sau despre un alt organism - răspunde printre altele pentru orice încălcare menționată la acest articol 83 alineatele (4)-(6), săvârșită de ea însăși sau în numele său.

44 În ceea ce privește persoanele juridice, acest lucru implică, pe de o parte, după cum a arătat în esență domnul avocat general la punctele 57-59 din concluzii, că ele răspund nu numai pentru încălcările săvârșite de reprezentanții, directorii sau administratorii lor, ci și de orice altă persoană care acționează în cadrul activității comerciale a acestor persoane juridice și în numele lor. Pe de altă parte, amenzile administrative prevăzute la articolul 83 din RGPD în cazul unor asemenea încălcări trebuie să poată fi aplicate direct unor persoane juridice atunci când acestea pot fi calificate drept operatori în cauză.

45 În continuare, trebuie arătat că articolul 58 alineatul (2) din RGPD stabilește cu precizie competențele de care dispun autoritățile de supraveghere în materia adoptării unor măsuri corective, fără a face trimitere la dreptul statelor membre și fără a lăsa o marjă de apreciere acestor state. Or, pe de o parte, aceste competențe, printre care figurează, conform alineatului (2) litera (i) al acestui articol 58, cea privind aplicarea unei amenzi administrative, vizează operatorul și, pe de altă parte, un asemenea operator poate, așa cum reiese din cuprinsul punctului 39 din prezenta hotărâre, să fie atât o persoană fizică, cât și o persoană juridică. Condițiile de fond care trebuie respectate de o autoritate de supraveghere cu ocazia aplicării unei asemenea amenzi sunt, la rândul lor, enunțate la alineatele (1)-(6) ale acestui articol 83, în mod precis și fără a lăsa statelor membre o marjă de apreciere.

46 Așadar, rezultă din coroborarea articolului 4 punctul 7, a articolului 83 și a articolului 58 alineatul (2) litera (i) din RGPD că o amendă administrativă pentru o încălcare prevăzută la respectivul articol 83 alineatele (4)-(6) poate fi impusă și împotriva unor persoane juridice din moment ce acestea au calitatea de operatori. În schimb, nicio dispoziție din RGPD nu permite să se considere că aplicarea unei amenzi administrative unei persoane juridice în calitate de operator ar fi supusă constatării prealabile că această încălcare a fost comisă de o persoană fizică identificată.

47 Desigur, reiese din articolul 58 alineatul (4) și din articolul 83 alineatul (8) din RGPD, interpretate în lumina considerentului (129) al acestui regulament, că exercitarea de către autoritatea de supraveghere a competențelor care îi sunt conferite de aceste articole este supusă unor garanții procedurale adecvate în conformitate cu dreptul Uniunii și cu dreptul statelor membre, inclusiv o cale de atac jurisdicțională eficientă și un proces echitabil.

48 Cu toate acestea, faptul că regulamentul menționat oferă astfel statelor membre posibilitatea de a prevedea cerințe privind procedura care trebuie urmată de autoritățile de supraveghere pentru a impune o amendă administrativă nu înseamnă nicidecum că acestea ar fi de asemenea abilitate să prevadă, dincolo de astfel de cerințe de natură procedurală, condiții de fond suplimentare față de cele stabilite la respectivul articol 83 alineatele (1)-(6). În plus, faptul că legiuitorul Uniunii a avut grijă să prevadă în mod expres această posibilitate, iar nu să prevadă asemenea condiții de fond suplimentare confirmă că nu a lăsat statelor membre o marjă de apreciere în această privință. Condițiile de fond menționate intră, așadar, numai sub incidența dreptului Uniunii.

49 Interpretarea literală a articolului 58 alineatul (2) și a articolului 83 alineatele (1)-(6) din RGPD care precedă este confirmată de finalitatea acestui regulament.

50 Reiese în special din considerentul (10) al RGPD că dispozițiile acestuia au printre altele ca obiective să asigure un nivel consecvent și ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii și, în acest scop, să asigure aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale acestor persoane în ceea ce privește prelucrarea unor astfel de date în întreaga Uniune. Considerentele (11) și (129) ale RGPD subliniază, pe de altă parte, necesitatea de a asigura, pentru a garanta o aplicare consecventă a acestui regulament, că autoritățile de supraveghere dispun de competențe echivalente de monitorizare și de supraveghere a respectării normelor privind protecția datelor cu caracter personal și că pot impune sancțiuni echivalente în cazul încălcării regulamentului menționat.

51 Or, a permite statelor membre să impună în mod unilateral și ca o condiție necesară pentru impunerea unei amenzi administrative în temeiul articolului 83 din RGPD unui operator care este o persoană juridică, indiferent dacă încălcarea în cauză este imputată sau imputabilă, în prealabil, unei persoane fizice identificate, ar fi contrar acestui scop al RGPD. În plus, o asemenea cerință suplimentară ar risca, în definitiv, să diminueze efectivitatea și efectul disuasiv al amenzilor administrative impuse unor persoane juridice în calitate de operatori, cu încălcarea articolului 83 alineatul (1) din RGPD.

52 În această privință, trebuie amintit că articolul 288 al doilea paragraf TFUE prevede că un regulament al Uniunii este obligatoriu în toate elementele sale și se aplică direct în toate statele membre, ceea ce exclude, cu excepția cazului în care se prevede altfel, ca statele membre să adopte dispoziții interne care afectează domeniul de aplicare al unui atare regulament. În plus, statele membre sunt ținute, în temeiul obligațiilor care decurg din TFUE, să nu împiedice aplicabilitatea directă proprie regulamentelor. În special, ele nu pot adopta un act prin care natura de drept al Uniunii a unei norme juridice și efectele care decurg din aceasta ar fi disimulate justițiabililor (Hotărârea din 15 noiembrie 2012, Al‑Aqsa/Consiliul și Țările de Jos/Al‑Aqsa, C‑539/10 P și C‑550/10 P, EU:C:2012:711, punctele 86 și 87, precum și jurisprudența citată).

53 În sfârșit, ținând seama de interogațiile instanței de trimitere, trebuie arătat că noțiunea de „întreprindere", în sensul articolelor 101 și 102 TFUE, nu are incidență asupra aspectului dacă și în ce condiții o amendă administrativă poate fi impusă în temeiul articolului 83 din RGPD unui operator care este o persoană juridică, acest aspect fiind reglementat în mod exhaustiv la articolul 58 alineatul (2) și la articolul 83 alineatele (1)-(6) din regulamentul amintit.

54 Astfel, această noțiune este relevantă numai pentru stabilirea cuantumului amenzii administrative impuse unui operator în temeiul articolului 83 alineatele (4)-(6) din RGPD.

55 După cum a arătat domnul avocat general la punctul 45 din concluzii, în acest context specific al calculului amenzilor administrative impuse pentru încălcări prevăzute la articolul 83 alineatele (4)-(6) din RGPD este necesar să se ia în considerare trimiterea, efectuată în considerentul (150) al respectivului regulament, la noțiunea de „întreprindere", în sensul articolelor 101 și 102 TFUE.

56 În această privință, trebuie subliniat că, în vederea aplicării normelor de concurență prevăzute la articolele 101 și 102 TFUE, această noțiune cuprinde orice entitate care exercită o activitate economică, independent de statutul juridic al acestei entități și de modul său de finanțare. Ea desemnează astfel o unitate economică chiar dacă, din punct de vedere juridic, această unitate economică este constituită din mai multe persoane fizice sau juridice. Această unitate economică constă într‑o organizare unitară de elemente personale, materiale și imateriale ce urmărește în mod durabil un scop economic determinat (Hotărârea din 6 octombrie 2021, Sumal, C‑882/19, EU:C:2021:800, punctul 41 și jurisprudența citată).

57 Așadar, reiese din articolul 83 alineatele (4)-(6) din RGPD, care vizează calculul amenzilor administrative pentru încălcările enumerate la aceste alineate, că, în cazul în care destinatarul amenzii administrative este sau face parte dintr‑o întreprindere, în sensul articolelor 101 și 102 TFUE, cuantumul maxim al amenzii administrative este calculat pe baza unui procent din cifra de afaceri anuală totală din exercițiul financiar precedent al întreprinderii în cauză.

58 În definitiv, așa cum a arătat domnul avocat general la punctul 47 din concluzii, numai o amendă administrativă al cărei cuantum este stabilit în funcție de capacitatea economică reală sau materială a destinatarului său și care este impusă deci de autoritatea de supraveghere întemeindu‑se, în ceea ce privește cuantumul acesteia, pe noțiunea de unitate economică în sensul jurisprudenței citate la punctul 56 din prezenta hotărâre este susceptibilă să îndeplinească cele trei condiții prevăzute la articolul 83 alineatul (1) din RGPD, și anume de a fi în același timp eficace, proporțională și disuasivă.

59 Prin urmare, atunci când o autoritate de supraveghere decide, în temeiul competențelor pe care le deține în conformitate cu articolul 58 alineatul (2) din RGPD, să impună unui operator, care este sau face parte dintr‑o întreprindere, în sensul articolelor 101 și 102 TFUE, o amendă administrativă potrivit articolului 83 din regulamentul menționat, această autoritate este obligată să se întemeieze, conform acestei din urmă dispoziții, interpretată în lumina considerentului (150) al aceluiași regulament, cu ocazia calculării amenzilor administrative pentru încălcările prevăzute la alineatele (4)-(6) ale acestui articol 83, pe noțiunea de „întreprindere", în sensul respectivelor articole 101 și 102 TFUE.

60 Având în vedere motivele care precedă, trebuie să se răspundă la prima întrebare că articolul 58 alineatul (2) litera (i) și articolul 83 alineatele (1)-(6) din RGPD trebuie interpretate în sensul că se opun unei reglementări naționale în temeiul căreia o amendă administrativă poate fi aplicată unei persoane juridice în calitatea sa de operator pentru o încălcare menționată la alineatele (4)-(6) ale acestui articol 83 numai în măsura în care această încălcare a fost imputată în prealabil unei persoane fizice identificate.

Cu privire la a doua întrebare

61 Prin intermediul celei de a doua întrebări, care este adresată în ipoteza unui răspuns afirmativ la prima întrebare, instanța de trimitere solicită în esență să se stabilească dacă articolul 83 din RGPD trebuie interpretat în sensul că o amendă administrativă poate fi impusă în temeiul acestei dispoziții numai în măsura în care se stabilește că operatorul, care este în același timp o persoană juridică și o întreprindere, a comis în mod intenționat sau din neglijență o încălcare prevăzută la alineatele (4)-(6) ale acestui articol.

62 În această privință, trebuie amintit că din articolul 83 alineatul (1) din RGPD reiese că amenzile administrative trebuie să fie eficace, proporționale și disuasive. În schimb, articolul 83 din RGPD nu precizează în mod expres că încălcările prevăzute la alineatele (4)-(6) ale acestui articol pot fi sancționate printr‑o atare amendă numai dacă au fost comise în mod intenționat sau, cel puțin, din neglijență.

63 Guvernele german, estonian și norvegian, precum și Consiliul Uniunii Europene deduc de aici în special că legiuitorul Uniunii a intenționat să lase statelor membre o anumită marjă de apreciere în punerea în aplicare a articolului 83 din RGPD, permițându‑le să prevadă impunerea unor amenzi administrative în temeiul acestei dispoziții, dacă este cazul, fără a se stabili că încălcarea RGPD sancționată prin această amendă a fost comisă în mod intenționat sau din neglijență.

64 O asemenea interpretare a articolului 83 din RGPD nu poate fi reținută.

65 În această privință, așa cum s‑a constatat la punctele 45 și 48 din prezenta hotărâre, condițiile de fond care trebuie respectate de o autoritate de supraveghere atunci când aplică o amendă administrativă unui operator intră exclusiv sub incidența dreptului Uniunii, aceste condiții fiind stabilite, în mod precis și fără a lăsa statelor membre o marjă de apreciere, la articolul 83 alineatele (1)-(6) din RGPD (a se vedea de asemenea Hotărârea din 5 decembrie 2023, Nacionalinis vizuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, punctele 64-70).

66 În ceea ce privește condițiile amintite, este necesar să se arate că articolul 83 alineatul (2) din RGPD enumeră elementele în temeiul cărora autoritatea de supraveghere impune o amendă administrativă operatorului. Printre aceste elemente figurează, la litera (b) a acestei dispoziții, cel referitor la faptul „dacă încălcarea a fost comisă intenționat sau din neglijență". În schimb, niciunul dintre elementele enumerate în cuprinsul dispoziției respective nu menționează vreo posibilitate de a trage la răspundere operatorul în lipsa unui comportament culpabil din partea sa..

67 În plus, articolul 83 alineatul (2) din RGPD trebuie interpretat în coroborare cu alineatul (3) al acestui articol, al cărui obiect este de a prevedea consecințele cazurilor de cumul de încălcări ale respectivului regulament și potrivit căruia, „[î]n cazul în care un operator sau o persoană împuternicită de operator încalcă în mod intenționat sau din neglijență, pentru aceeași operațiune de prelucrare sau pentru operațiuni de prelucrare conexe, mai multe dispoziții din prezentul regulament, cuantumul total al amenzii administrative nu poate depăși suma prevăzută pentru cea mai gravă încălcare".

68 Rezultă, așadar, din modul de redactare a articolului 83 alineatul (2) din RGPD că numai încălcările dispozițiilor acestui regulament comise în mod culpabil de operator, și anume cele comise în mod intenționat sau din neglijență, pot conduce la impunerea unei amenzi administrative acestuia din urmă în temeiul articolului menționat.

69 Economia generală și scopul RGPD confirmă această interpretare.

70 Pe de o parte, legiuitorul Uniunii a prevăzut un sistem de sancțiuni care să permită autorităților de supraveghere să impună sancțiunile cele mai adecvate în funcție de circumstanțele fiecărui caz.

71 Astfel, articolul 58 din RGPD prevede, la alineatul (2) litera (i), că aceste autorități pot impune amenzile administrative, în conformitate cu articolul 83 din acest regulament, „în completarea sau în locul" celorlalte măsuri corective enumerate la respectivul articol 58 alineatul (2), cum ar fi avertizări, mustrări sau ordine. De asemenea, considerentul (148) al regulamentului menționat enunță printre altele că autoritățile de supraveghere pot, în cazul unei încălcări minore sau în cazul în care amenda administrativă susceptibilă de a fi impusă ar constitui o sarcină disproporționată pentru o persoană fizică, să se abțină de la impunerea unei amenzi administrative și, în locul acesteia, să aplice o mustrare.

72 Pe de altă parte, după cum s‑a arătat la punctul 50 din prezenta hotărâre, dispozițiile RGPD au printre altele ca obiective să asigure un nivel consecvent și ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii și, în acest scop, să asigure aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale acestor persoane în ceea ce privește prelucrarea unor astfel de date în întreaga Uniune. În plus, pentru a asigura aplicarea consecventă a acestui regulament, autoritățile de supraveghere trebuie să dispună de competențe echivalente de monitorizare și de supraveghere a respectării normelor privind protecția datelor cu caracter personal, așa încât să poată impune sancțiuni echivalente în cazul încălcării regulamentului menționat.

73 Existența unui sistem de sancțiuni care permite să se impună, atunci când împrejurările specifice fiecărei spețe justifică acest lucru, o amendă administrativă în temeiul articolului 83 din RGPD creează, pentru operatori și pentru persoanele împuternicite de operatori, un stimulent pentru a se conforma acestui regulament. Prin efectul lor disuasiv, amenzile administrative contribuie la consolidarea protecției persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și constituie, prin urmare, un element‑cheie pentru garantarea respectării drepturilor acestor persoane, în conformitate cu scopul acestui regulament de a asigura un nivel ridicat de protecție a unor astfel de persoane în ceea ce privește prelucrarea datelor cu caracter personal.

74 Cu toate acestea, legiuitorul Uniunii nu a considerat necesar, pentru a asigura un atare nivel ridicat de protecție, să prevadă impunerea unor amenzi administrative în lipsa vinovăției. Ținând seama de faptul că RGPD vizează un nivel de protecție în același timp echivalent și omogen și că trebuie, în acest scop, să fie aplicat în mod coerent în întreaga Uniune, ar fi contrar acestui scop să se permită statelor membre să prevadă un atare regim pentru aplicarea unei amenzi în temeiul articolului 83 din regulamentul amintit. O asemenea libertate de alegere ar fi în plus de natură să denatureze concurența dintre operatorii economici în cadrul Uniunii, ceea ce ar fi contrar obiectivelor exprimate de legiuitorul Uniunii, în special în considerentele (9) și (13) ale regulamentului menționat.

75 În consecință, este necesar să se constate că articolul 83 din RGPD nu permite aplicarea unei amenzi administrative pentru o încălcare prevăzută la alineatele (4)-(6) ale acestuia fără a se stabili că respectiva încălcare a fost comisă în mod intenționat sau din neglijență de operator și că, prin urmare, o încălcare culpabilă constituie o condiție pentru impunerea unei asemenea amenzi.

76 În această privință, trebuie să se mai precizeze, în ceea ce privește aspectul dacă o încălcare a fost comisă în mod intenționat sau din neglijență și, ca urmare a acestui fapt, poate fi sancționată printr‑o amendă administrativă în temeiul articolului 83 din RGPD, că un operator poate fi sancționat pentru un comportament care intră în domeniul de aplicare al RGPD atunci când acest operator nu putea să nu cunoască natura ilicită a comportamentului său, indiferent dacă era sau nu conștient că încălca dispozițiile RGPD (a se vedea prin analogie Hotărârea din 18 iunie 2013, Schenker & Co. și alții, C‑681/11, EU:C:2013:404, punctul 37, precum și jurisprudența citată, Hotărârea din 25 martie 2021, Lundbeck/Comisia, C‑591/16 P, EU:C:2021:243, punctul 156, și Hotărârea din 25 martie 2021, Arrow Group și Arrow Generics/Comisia, C‑601/16 P, EU:C:2021:244, punctul 97).

77 În cazul în care operatorul este o persoană juridică, mai trebuie precizat că aplicarea articolului 83 din RGPD nu implică o acțiune sau măcar o cunoaștere a organului de administrare al persoanei juridice respective (a se vedea prin analogie Hotărârea din 7 iunie 1983, Musique Diffusion française și alții/Comisia, 100/80-103/80, EU:C:1983:158, punctul 97, precum și Hotărârea din 16 februarie 2017, Tudapetrol Mineralölerzeugnisse Nils Hansen/Comisia, C‑94/15 P, EU:C:2017:124, punctul 28 și jurisprudența citată).

78 Având în vedere considerațiile care precedă, este necesar să se răspundă la a doua întrebare că articolul 83 din RGPD trebuie interpretat în sensul că o amendă administrativă poate fi impusă în temeiul acestei dispoziții numai dacă se stabilește că operatorul, care este în același timp o persoană juridică și o întreprindere, a comis în mod intenționat sau din neglijență o încălcare prevăzută la alineatele (4)-(6) ale acestui articol.

Cu privire la cheltuielile de judecată

79 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Marea Cameră) declară:

1) Articolul 58 alineatul (2) litera (i) și articolul 83 alineatele (1)-(6) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretate în sensul că se opun unei reglementări naționale în temeiul căreia o amendă administrativă poate fi aplicată unei persoane juridice în calitatea sa de operator pentru o încălcare menționată la alineatele (4)-(6) ale acestui articol 83 numai în măsura în care această încălcare a fost imputată în prealabil unei persoane fizice identificate.
2) Articolul 83 din Regulamentul 2016/679
trebuie interpretat în sensul că o amendă administrativă poate fi impusă în temeiul acestei dispoziții numai dacă se stabilește că operatorul, care este în același timp o persoană juridică și o întreprindere, a comis în mod intenționat sau din neglijență o încălcare prevăzută la alineatele (4)-(6) ale acestui articol.
Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Marea Cameră) 5 decembrie 2023(*) „Trimitere preliminară - Protecția datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 4 punctul 7 - Noțiunea de "operator" - Articolul 58 alineatul (2) - Competențele autorităților de supraveghere de a impune măsuri corective - Articolul 83 - Impunerea de amenzi

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Camera întâi)

12 ianuarie 2023(*)

„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 15 alineatul (1) litera (c) - Dreptul de acces al persoanei vizate la datele sale - Informații cu privire la destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate - Restrângeri"

În cauza C‑154/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Oberster Gerichtshof (Curtea Supremă, Austria), prin decizia din 18 februarie 2021, primită de Curte la 9 martie 2021, în procedura
RW
împotriva
Österreichische Post AG,
CURTEA (Camera întâi),

compusă din domnul A. Arabadjiev, președinte de cameră, domnul L. Bay Larsen, vicepreședintele Curții, îndeplinind funcția de judecător al Camerei întâi, domnii P. G. Xuereb și A. Kumin și doamna I. Ziemele (raportoare), judecători,

avocat general: domnul G. Pitruzzella,

grefier: domnul A. Calot Escobar,

având în vedere procedura scrisă,

luând în considerare observațiile prezentate:

- pentru RW, de R. Haupt, Rechtsanwalt;

- pentru Österreichische Post AG, de R. Marko, Rechtsanwalt;

- pentru guvernul austriac, de G. Kunnert, A. Posch și J. Schmoll, în calitate de agenți;

- pentru guvernul ceh, de M. Smolek și J. Vláčil, în calitate de agenți;

- pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de M. Russo, avvocato dello Stato;

- pentru guvernul leton, de J. Davidoviča, I. Hūna și K. Pommere, în calitate de agenți;

- pentru guvernul român, de L.‑E. Bațagoi, E. Gane și A. Wellman, în calitate de agenți;

- pentru guvernul suedez, de H. Eklinder, J. Lundberg, C. Meyer‑Seitz, A. M. Runeskjöld, Salborn Hodgson, R. Shahsavan Eriksson, H. Shev și O. Simonsson, în calitate de agenți;

- pentru Comisia Europeană, de F. Erlbacher și H. Kranenborg, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 9 iunie 2022,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 15 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1) (denumit în continuare „RGPD").

2 Această cerere a fost formulată în cadrul unui litigiu între RW, pe de o parte, și Österreichische Post AG (denumită în continuare „Österreichische Post"), pe de altă parte, în legătură cu o cerere de acces la date cu caracter personal în temeiul articolului 15 alineatul (1) litera (c) din RGPD.

Cadrul juridic

3 Considerentele (4), (9), (10), (39), (63) și (74) ale RGPD au următorul cuprins:

„(4) [...] Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. [...]

[...]

(9) Obiectivele și principiile Directivei 95/46/CE [a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10)] rămân solide, dar aceasta nu a prevenit fragmentarea modului în care protecția datelor este pusă în aplicare în Uniune[a Europeană], insecuritatea juridică sau percepția publică larg răspândită conform căreia există riscuri semnificative pentru protecția persoanelor fizice, în special în legătură cu activitatea online. Diferențele dintre nivelurile de protecție a drepturilor și libertăților persoanelor fizice, în special a dreptului la protecția datelor cu caracter personal, în ceea ce privește prelucrarea datelor cu caracter personal din statele membre pot împiedica libera circulație a datelor cu caracter personal în întreaga Uniune. Aceste diferențe pot constitui, prin urmare, un obstacol în desfășurarea de activități economice la nivelul Uniunii, pot denatura concurența și pot împiedica autoritățile să îndeplinească responsabilitățile care le revin în temeiul dreptului Uniunii. Această diferență între nivelurile de protecție este cauzată de existența unor deosebiri în ceea ce privește transpunerea și aplicarea Directivei 95/46/CE.

(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. [...]

[...]

(39) Orice prelucrare de date cu caracter personal ar trebui să fie legală și echitabilă. Ar trebui să fie transparent pentru persoanele fizice că sunt colectate, utilizate, consultate sau prelucrate în alt mod datele cu caracter personal care le privesc și în ce măsură datele cu caracter personal sunt sau vor fi prelucrate. Principiul transparenței prevede că orice informații și comunicări referitoare la prelucrarea respectivelor date cu caracter personal sunt ușor accesibile și ușor de înțeles și că se utilizează un limbaj simplu și clar. [...]

[...]

(63) O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. [...] Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele, dacă este posibil perioada pentru care se prelucrează datele cu caracter personal, destinatarii datelor cu caracter personal, logica de prelucrare automată a datelor cu caracter personal și, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. [...] Acest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și, în special, drepturilor de autor care asigură protecția programelor software. Cu toate acestea, considerațiile de mai sus nu ar trebui să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate. [...]

[...]

(74) Ar trebui să se stabilească responsabilitatea și răspunderea operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să fie obligat să implementeze măsuri adecvate și eficace și să fie în măsură să demonstreze conformitatea activităților de prelucrare cu prezentul regulament, inclusiv eficacitatea măsurilor. Aceste măsuri ar trebui să țină seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul pentru drepturile și libertățile persoanelor fizice."

4 Articolul 1 din RGPD, intitulat „Obiect și obiective", prevede la alineatul (2):

„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal."

5 Articolul 5 din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal", prevede:

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată ("legalitate, echitate și transparență");

[...]

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

6 Articolul 12 din RGPD, intitulat „Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate", prevede:

„(1) Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil. Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informațiile pot fi furnizate verbal, cu condiția ca identitatea persoanei vizate să fie dovedită prin alte mijloace.

(2) Operatorul facilitează exercitarea drepturilor persoanei vizate în temeiul articolelor 15-22. În cazurile menționate la articolul 11 alineatul (2), operatorul nu refuză să dea curs cererii persoanei vizate de a‑și exercita drepturile în conformitate cu articolele 15-22, cu excepția cazului în care operatorul demonstrează că nu este în măsură să identifice persoana vizată.

[...]

(5) Informațiile furnizate în temeiul articolelor 13 și 14 și orice comunicare și orice măsuri luate în temeiul articolelor 15-22 și 34 sunt oferite gratuit. În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:

(a) fie să perceapă o taxă rezonabilă ținând cont de costurile administrative pentru furnizarea informațiilor sau a comunicării sau pentru luarea măsurilor solicitate;

(b) fie să refuze să dea curs cererii.

În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.

[...]"

7 Articolul 13 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată", prevede la alineatul (1):

„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[...]

(e) destinatarii sau categoriile de destinatari ai datelor cu caracter personal; [...]

[...]"

8 Articolul 14 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată", prevede la alineatul (1):

„În cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul furnizează persoanei vizate următoarele informații:

[...]

(e) destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz;

[...]"

9 Potrivit articolului 15 din RGPD, intitulat „Dreptul de acces al persoanei vizate":

„(1) Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

(a) scopurile prelucrării;

(b) categoriile de date cu caracter personal vizate;

(c) destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;

(d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;

(e) existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;

(f) dreptul de a depune o plângere în fața unei autorități de supraveghere;

(g) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;

(h) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.

(2) În cazul în care datele cu caracter personal sunt transferate către o țară terță sau o organizație internațională, persoana vizată are dreptul să fie informată cu privire la garanțiile adecvate în temeiul articolului 46 referitoare la transfer.

(3) Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. Pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. În cazul în care persoana vizată introduce cererea în format electronic și cu excepția cazului în care persoana vizată solicită un alt format, informațiile sunt furnizate într‑un format electronic utilizat în mod curent.

(4) Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora."

10 Articolul 16 din RGPD, intitulat „Dreptul la rectificare", prevede:

„Persoana vizată are dreptul de a obține de la operator, fără întârzieri nejustificate, rectificarea datelor cu caracter personal inexacte care o privesc. Ținându‑se seama de scopurile în care au fost prelucrate datele, persoana vizată are dreptul de a obține completarea datelor cu caracter personal care sunt incomplete, inclusiv prin furnizarea unei declarații suplimentare."

11 Potrivit articolului 17 din RGPD, intitulat „Dreptul la ștergerea datelor ("dreptul de a fi uitat")":

„(1) Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:

(a) datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;

(b) persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea, în conformitate cu articolul 6 alineatul (1) litera (a) sau cu articolul 9 alineatul (2) litera (a), și nu există niciun alt temei juridic pentru prelucrarea;

(c) persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) și nu există motive legitime care să prevaleze în ceea ce privește prelucrarea sau persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (2);

(d) datele cu caracter personal au fost prelucrate ilegal;

(e) datele cu caracter personal trebuie șterse pentru respectarea unei obligații legale care revine operatorului în temeiul dreptului Uniunii sau al dreptului intern sub incidența căruia se află operatorul;

(f) datele cu caracter personal au fost colectate în legătură cu oferirea de servicii ale societății informaționale menționate la articolul 8 alineatul (1).

(2) În cazul în care operatorul a făcut publice datele cu caracter personal și este obligat, în temeiul alineatului (1), să le șteargă, operatorul, ținând seama de tehnologia disponibilă și de costul implementării, ia măsuri rezonabile, inclusiv măsuri tehnice, pentru a informa operatorii care prelucrează datele cu caracter personal că persoana vizată a solicitat ștergerea de către acești operatori a oricăror linkuri către datele respective sau a oricăror copii sau reproduceri ale acestor date cu caracter personal.

[...]"

12 Articolul 18 din RGPD, intitulat „Dreptul la restricționarea prelucrării", prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului restricționarea prelucrării în cazul în care se aplică unul din următoarele cazuri:

(a) persoana vizată contestă exactitatea datelor, pentru o perioadă care îi permite operatorului să verifice exactitatea datelor;

(b) prelucrarea este ilegală, iar persoana vizată se opune ștergerii datelor cu caracter personal, solicitând în schimb restricționarea utilizării lor;

(c) operatorul nu mai are nevoie de datele cu caracter personal în scopul prelucrării, dar persoana vizată i le solicită pentru constatarea, exercitarea sau apărarea unui drept în instanță sau

(d) persoana vizată s‑a opus prelucrării în conformitate cu articolul 21 alineatul (1), pentru intervalul de timp în care se verifică dacă drepturile legitime ale operatorului prevalează asupra celor ale persoanei vizate.

[...]"

13 Articolul 19 din RGPD are următorul cuprins:

„Operatorul comunică fiecărui destinatar căruia i‑au fost divulgate datele cu caracter personal orice rectificare sau ștergere a datelor cu caracter personal sau restricționare a prelucrării efectuate în conformitate cu articolul 16, articolul 17 alineatul (1) și articolul 18, cu excepția cazului în care acest lucru se dovedește imposibil sau presupune eforturi disproporționate. Operatorul informează persoana vizată cu privire la destinatarii respectivi dacă persoana vizată solicită acest lucru."

14 Potrivit articolului 21 din RGPD, intitulat „Dreptul la opoziție":

„(1) În orice moment, persoana vizată are dreptul de a se opune, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f) [...] a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

(2) Atunci când prelucrarea datelor cu caracter personal are drept scop marketingul direct, persoana vizată are dreptul de a se opune în orice moment prelucrării în acest scop a datelor cu caracter personal care o privesc, inclusiv creării de profiluri, în măsura în care este legată de marketingul direct respectiv.

(3) În cazul în care persoana vizată se opune prelucrării în scopul marketingului direct, datele cu caracter personal nu mai sunt prelucrate în acest scop.

(4) Cel târziu în momentul primei comunicări cu persoana vizată, dreptul menționat la alineatele (1) și (2) este adus în mod explicit în atenția persoanei vizate și este prezentat în mod clar și separat de orice alte informații.

(5) În contextual utilizării serviciilor societății informaționale și în pofida Directivei 2002/58/CE [a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO 2002, L 201, p. 37, Ediție specială, 13/vol. 36, p. 63)], persoana vizată își poate exercita dreptul de a se opune prin mijloace automate care utilizează specificații tehnice.

(6) În cazul în care datele cu caracter personal sunt prelucrate în scopuri de cercetare științifică sau istorică sau în scopuri statistice în conformitate cu articolul 89 alineatul (1), persoana vizată, din motive legate de situația sa particulară, are dreptul de a se opune prelucrării datelor cu caracter personal care o privesc, cu excepția cazului în care prelucrarea este necesară pentru îndeplinirea unei sarcini din motive de interes public."

15 Articolul 79 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator", prevede la alineatul (1):

„Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament."

16 Articolul 82 din RGPD, intitulat „Dreptul la despăgubiri și răspunderea", prevede la alineatul (1):

„Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit."

Litigiul principal și întrebarea preliminară

17 La 15 ianuarie 2019, RW s‑a adresat societății Österreichische Post pentru a obține, în temeiul articolului 15 din RGPD, accesul la datele cu caracter personal care îl priveau și care erau sau fuseseră păstrate în trecut de aceasta și, în cazul în care datele respective fuseseră divulgate către terți, identitatea acestor destinatari.

18 Ca răspuns la această cerere, Österreichische Post s‑a limitat să indice că utilizează date, în măsura autorizată de lege, în cadrul activității sale de editor al anuarelor telefonice și că propune aceste date cu caracter personal unor parteneri comerciali în scopuri de marketing. În plus, ea a făcut trimitere la un site internet pentru mai multe informații și privind alte scopuri de prelucrare a datelor. Ea nu i‑a comunicat lui RW identitatea destinatarilor concreți ai datelor.

19 RW a chemat societatea Österreichische Post în judecată în fața instanțelor austriece, solicitând obligarea acesteia din urmă să îi furnizeze, printre altele, identitatea destinatarului sau a destinatarilor datelor sale cu caracter personal astfel divulgate.

20 În cursul procedurii judiciare astfel inițiate, Österreichische Post l‑a informat pe RW că datele sale cu caracter personal fuseseră prelucrate în scopuri de marketing și fuseseră transmise unor clienți, printre care agenți de publicitate în sectorul vânzării prin corespondență și al comerțului fizic, întreprinderi informatice, editori de adrese și asociații, precum organizații caritabile, organizații neguvernamentale (ONG) sau partide politice.

21 Instanțele de prim grad și de apel au respins acțiunea lui RW pentru motivul că articolul 15 alineatul (1) litera (c) din RGPD, în măsura în care se referă la „destinatari sau categorii de destinatari", ar acorda operatorului posibilitatea de a indica persoanei vizate numai categoriile de destinatari, fără a trebui să desemneze nominal destinatarii concreți cărora le sunt transmise datele cu caracter personal.

22 RW a formulat recurs la Oberster Gerichtshof (Curtea Supremă, Austria), instanța de trimitere.

23 Această instanță ridică problema interpretării articolului 15 alineatul (1) litera (c) din RGPD, întrucât modul de redactare a acestei dispoziții nu ar permite să se stabilească în mod clar dacă ea acordă persoanei vizate dreptul de a avea acces la informațiile referitoare la destinatarii concreți ai datelor divulgate sau dacă operatorul dispune de o alegere discreționară în ceea ce privește modul în care înțelege să dea curs unei cereri de acces la informațiile referitoare la destinatari.

24 Instanța menționată arată însă că ratio legis a dispoziției menționate ar pleda mai degrabă în favoarea interpretării potrivit căreia persoana vizată este cea care are alegerea de a solicita informații referitoare la categoriile de destinatari sau la destinatarii concreți ai datelor sale cu caracter personal. În opinia sa, orice interpretare contrară ar aduce gravă atingere efectivității căilor de atac de care dispune persoana vizată pentru a‑și proteja datele. Astfel, în cazul în care operatorii ar dispune de alegerea de a indica persoanelor vizate destinatarii concreți sau doar categoriile de destinatari, ar exista temerea că, în practică, aproape niciunul dintre ei nu va furniza informațiile referitoare la destinatarii concreți.

25 În plus, contrar articolului 13 alineatul (1) litera (e) și articolului 14 alineatul (1) litera (e) din RGPD, care prevăd obligația operatorului de a furniza informațiile pe care acestea le vizează, articolul 15 alineatul (1) din acest regulament ar pune accentul pe domeniul de aplicare al dreptului de acces al persoanei vizate, ceea ce ar tinde de asemenea să indice, potrivit instanței de trimitere, că persoana vizată are dreptul de a alege între a solicita informații cu privire la destinatarii concreți sau cu privire la categoriile de destinatari.

26 În sfârșit, instanța de trimitere adaugă că dreptul de acces prevăzut la articolul 15 alineatul (1) din RGPD privește nu numai datele cu caracter personal prelucrate în prezent, ci și ansamblul datelor prelucrate în trecut. În această privință, ea precizează că considerațiile care figurează în Hotărârea din 7 mai 2009, Rijkeboer (C‑553/07, EU:C:2009:293), întemeiate pe finalitatea dreptului de acces prevăzut de Directiva 95/46, pot fi transpuse dreptului de acces prevăzut la articolul 15 din RGPD, iar aceasta cu atât mai mult cu cât se poate deduce din considerentele (9) și (10) ale acestuia că legiuitorul Uniunii nu a intenționat să reducă nivelul de protecție în raport cu această directivă.

27 În aceste împrejurări, Oberster Gerichtshof (Curtea Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:

„Articolul 15 alineatul (1) litera (c) din [RGPD] trebuie interpretat în sensul că dreptul de acces se limitează la informarea asupra categoriilor de destinatari atunci când destinatarii concreți nu sunt cunoscuți încă, în contextul divulgărilor preconizate, dar că acesta trebuie să se extindă în mod necesar și la informarea privind destinatarii acestor informații atunci când datele au fost deja divulgate?"

Cu privire la întrebarea preliminară

28 Prin intermediul întrebării preliminare, instanța de trimitere solicită în esență să se stabilească dacă articolul 15 alineatul (1) litera (c) din RGPD trebuie interpretat în sensul că dreptul de acces al persoanei vizate la datele cu caracter personal care o privesc, prevăzut de această dispoziție, implică, atunci când aceste date le‑au fost sau urmează să le fie divulgate unor destinatari, obligația operatorului de a furniza acestei persoane identitatea concretă a acestor destinatari.

29 Cu titlu introductiv, trebuie amintit că, potrivit unei jurisprudențe constante, interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte (Hotărârea din 15 martie 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, punctul 63). În plus, atunci când o dispoziție de drept al Uniunii poate face obiectul mai multor interpretări, trebuie să se acorde prioritate celei care este de natură să îi păstreze efectul util (Hotărârea din 7 martie 2018, Cristal Union, C‑31/17, EU:C:2018:168, punctul 41 și jurisprudența citată).

30 În ceea ce privește, mai întâi, modul de redactare a articolului 15 alineatul (1) litera (c) din RGPD, trebuie amintit că această dispoziție prevede că persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele cu caracter personal respective, precum și informațiile referitoare la destinatarii sau categoriile de destinatari cărora aceste date cu caracter personal le‑au fost sau urmează să le fie divulgate.

31 În această privință, este necesar să se arate că termenii „destinatari" și „categorii de destinatari" care figurează în această dispoziție sunt utilizați succesiv, fără a fi posibil să se deducă o ordine de prioritate între unul și celălalt.

32 Prin urmare, trebuie să se constate că modul de redactare a articolului 15 alineatul (1) litera (c) din RGPD nu permite să se stabilească în mod univoc dacă persoana vizată ar avea dreptul să fie informată, atunci când datele cu caracter personal care o privesc au fost sau urmează să fie divulgate, cu privire la identitatea concretă a destinatarilor acestora.

33 În continuare, în ceea ce privește contextul în care se înscrie articolul 15 alineatul (1) litera (c) din RGPD, trebuie amintit, în primul rând, că considerentul (63) al acestui regulament prevede că persoana vizată trebuie să aibă dreptul de a cunoaște și de a i se comunica în special destinatarii acestor date cu caracter personal și nu precizează că acest drept ar putea fi limitat doar la categoriile de destinatari, așa cum a arătat și domnul avocat general la punctul 23 din concluzii.

34 În al doilea rând, trebuie amintit de asemenea că, pentru a respecta dreptul de acces, orice prelucrare a datelor cu caracter personal ale persoanelor fizice trebuie să fie conformă cu principiile enunțate la articolul 5 din RGPD (a se vedea în acest sens Hotărârea din 16 ianuarie 2019, Deutsche Post, C‑496/17, EU:C:2019:26, punctul 57).

35 Or, printre aceste principii figurează principiul transparenței, prevăzut la articolul 5 alineatul (1) litera (a) din RGPD, care implică, așa cum reiese din considerentul (39) al acestui regulament, ca persoana vizată să dispună de informații referitoare la modul în care îi sunt prelucrate datele cu caracter personal și ca aceste informații să fie ușor accesibile și ușor de înțeles.

36 În al treilea rând, trebuie arătat, astfel cum a subliniat și domnul avocat general la punctul 21 din concluzii, că, spre deosebire de articolele 13 și 14 din RGPD, care stabilesc o obligație în sarcina operatorului de a furniza persoanei vizate informațiile referitoare la categoriile de destinatari sau la destinatarii concreți ai datelor cu caracter personal care o privesc atunci când acestea sunt sau nu sunt colectate de la persoana vizată, articolul 15 din RGPD prevede un veritabil drept de acces în favoarea persoanei vizate, astfel încât aceasta din urmă trebuie să dispună de alegerea de a obține fie informațiile cu privire la destinatarii specifici cărora le‑au fost sau urmează să le fie divulgate datele respective, atunci când aceasta este posibilă, fie pe cele referitoare la categoriile de destinatari.

37 În al patrulea rând, Curtea a statuat deja că exercitarea acestui drept de acces trebuie să permită persoanei vizate să verifice nu numai că datele care o privesc sunt exacte, ci și că ele sunt prelucrate în mod legal (a se vedea prin analogie Hotărârea din 17 iulie 2014, YS și alții, C‑141/12 și C‑372/12, EU:C:2014:2081, punctul 44, precum și Hotărârea din 20 decembrie 2017, Nowak, C‑434/16, EU:C:2017:994, punctul 57), în special că au fost divulgate unor destinatari autorizați (a se vedea prin analogie Hotărârea din 7 mai 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punctul 49).

38 Mai precis, acest drept de acces este necesar pentru a‑i permite persoanei vizate să își exercite, dacă este cazul, dreptul la rectificare, dreptul la ștergerea datelor („dreptul de a fi uitat") sau dreptul la restricționarea prelucrării, care îi sunt recunoscute la articolele 16, 17 și, respectiv, 18 din RGDP (a se vedea prin analogie Hotărârea din 17 iulie 2014, YS și alții, C‑141/12 și C‑372/12, EU:C:2014:2081, punctul 44, precum și Hotărârea din 20 decembrie 2017, Nowak, C‑434/16, EU:C:2017:994, punctul 57), precum și dreptul de opoziție la prelucrarea datelor sale cu caracter personal prevăzut la articolul 21 din RGDP și dreptul la o cale de atac în cazul în care suferă un prejudiciu, prevăzut la articolele 79 și 82 din RGDP (a se vedea prin analogie Hotărârea din 7 mai 2009, Rijkeboer, C‑553/07, EU:C:2009:293, punctul 52).

39 Astfel, pentru a garanta efectul util al tuturor drepturilor menționate la punctul precedent din prezenta hotărâre, persoana vizată trebuie să dispună în particular de un drept de a fi informată cu privire la identitatea destinatarilor concreți în cazul în care datele sale cu caracter personal au fost deja divulgate.

40 O asemenea interpretare este confirmată, în al cincilea și ultimul rând, de lectura articolului 19 din RGPD, care prevede, în prima sa teză, că operatorul comunică, în principiu, fiecărui destinatar căruia i‑au fost divulgate datele cu caracter personal orice rectificare sau ștergere a datelor cu caracter personal sau restricționare a prelucrării, iar în a doua teză, că acest operator informează persoana vizată cu privire la destinatarii respectivi dacă persoana vizată solicită acest lucru.

41 Astfel, articolul 19 a doua teză din RGPD conferă în mod expres persoanei vizate dreptul de a fi informată cu privire la destinatarii concreți ai datelor care o privesc de către operator, în cadrul obligației pe care o are acesta din urmă de a‑i informa pe toți destinatarii cu privire la exercitarea drepturilor de care dispune această persoană în temeiul articolului 16, al articolului 17 alineatul (1) și al articolului 18 din RGPD.

42 Din analiza contextuală care precedă rezultă că articolul 15 alineatul (1) litera (c) din RGPD constituie una dintre dispozițiile destinate să garanteze transparența modalităților de prelucrare a datelor cu caracter personal față de persoana vizată și îi permite acesteia, așa cum a arătat și domnul avocat general la punctul 33 din concluzii, să exercite prerogativele prevăzute în special la articolele 16-19, 21, 79 și 82 din RGPD.

43 Prin urmare, trebuie să se considere că informațiile furnizate persoanei vizate în temeiul dreptului de acces prevăzut la articolul 15 alineatul (1) litera (c) din RGPD trebuie să fie cele mai exacte cu putință. În special, acest drept de acces implică posibilitatea persoanei vizate de a obține din partea operatorului informațiile cu privire la destinatarii specifici cărora le‑au fost sau urmează să le fie divulgate datele ori, alternativ, de a alege să se limiteze la a solicita informații privind categoriile de destinatari.

44 În sfârșit, în ceea ce privește finalitatea urmărită de RGPD, trebuie arătat că acest regulament urmărește în special, după cum reiese din considerentul (10) al acestuia, să asigure un nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii (Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții, C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 207). În această privință, așa cum a arătat în esență domnul avocat general la punctul 14 din concluzii, cadrul juridic general creat prin RGPD pune în aplicare cerințele care decurg din dreptul fundamental la protecția datelor cu caracter personal protejat de articolul 8 din Carta drepturilor fundamentale a Uniunii Europene, în special cerințele prevăzute în mod expres la alineatul (2) al acestui articol (a se vedea în acest sens Hotărârea din 9 martie 2017, Manni, C‑398/15, EU:C:2017:197, punctul 40).

45 Or, acest obiectiv confirmă interpretarea articolului 15 alineatul (1) din RGPD care figurează la punctul 43 din prezenta hotărâre.

46 În consecință, rezultă și din obiectivul urmărit de RGPD că persoana vizată are dreptul de a obține de la operator informații cu privire la destinatarii concreți cărora le‑au fost sau urmează să le fie divulgate datele cu caracter personal care o privesc.

47 În aceste condiții, este necesar să se sublinieze, în sfârșit, că, după cum reiese din considerentul (4) al RGPD, dreptul la protecția datelor cu caracter personal nu este un drept absolut. Astfel, acest drept trebuie să fie luat în considerare în raport cu funcția sa în societate și trebuie echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității, așa cum a reafirmat Curtea în esență la punctul 172 din Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559).

48 Prin urmare, se poate admite ca, în împrejurări specifice, să nu fie posibil să se furnizeze informații cu privire la destinatari concreți. Prin urmare, dreptul de acces va putea fi restrâns la informarea privind categoriile de destinatari dacă este imposibil să se comunice identitatea destinatarilor concreți, mai ales atunci când aceștia nu sunt cunoscuți încă.

49 În plus, trebuie amintit că, în temeiul articolului 12 alineatul (5) litera (b) din RGPD, operatorul poate, în conformitate cu principiul răspunderii prevăzut la articolul 5 alineatul (2) din acest regulament, precum și în considerentul (74) al acestuia, să refuze să dea curs cererilor persoanei vizate atunci când acestea sunt în mod vădit nefondate sau excesive, precizându‑se că revine aceluiași operator sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererilor respective.

50 În speță, din cererea de decizie preliminară reiese că Österreichische Post a respins cererea formulată de RW în temeiul articolului 15 alineatul (1) din RGPD, prin care acesta solicitase să îi furnizeze identitatea destinatarilor cărora aceasta le divulgase datele cu caracter personal care o priveau. Va reveni instanței de trimitere sarcina de a verifica dacă, ținând seama de împrejurările în discuție în litigiul principal, Österreichische Post a dovedit caracterul vădit nefondat sau excesiv al acestei cereri.

51 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la întrebarea preliminară că articolul 15 alineatul (1) litera (c) din RGPD trebuie interpretat în sensul că dreptul de acces al persoanei vizate la datele cu caracter personal care o privesc, prevăzut de această dispoziție, implică, atunci când aceste date le‑au fost sau urmează să le fie divulgate unor destinatari, obligația operatorului de a‑i furniza acestei persoane identitatea însăși a acestor destinatari, cu excepția cazului în care este imposibil să se identifice acești destinatari sau a cazului în care operatorul menționat demonstrează că cererile de acces ale persoanei vizate sunt în mod vădit nefondate sau excesive, în sensul articolului 12 alineatul (5) din RGPD, cazuri în care acesta îi poate indica acestei persoane numai categoriile de destinatari în cauză.

Cu privire la cheltuielile de judecată

52 Întrucât, în raport cu părțile din litigiul principal, procedura are caracterul unui incident apărut la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:
Articolul 15 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că
dreptul de acces al persoanei vizate la datele cu caracter personal care o privesc, prevăzut de această dispoziție, implică, atunci când aceste date le‑ au fost sau urmează să le fie divulgate unor destinatari, obligația operatorului de a‑ i furniza acestei persoane identitatea însăși a acestor destinatari, cu excepția cazului în care este imposibil să se identifice acești destinatari sau a cazului în care operatorul menționat demonstrează că cererile de acces ale persoanei vizate sunt în mod vădit nefondate sau excesive, în sensul articolului 12 alineatul (5) din Regulamentul 2016/679, cazuri în care acesta îi poate indica acestei persoane numai categoriile de destinatari în cauză.

Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Camera întâi) 12 ianuarie 2023(*) „Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 15 alineatul (1) litera (c) - Dreptul de acces al persoanei vizate la datele sale - Informații cu privire la destinatarii sau

# data[].attributes.headline
Cauza C-634/21 - SCHUFA Holding and Others (Scoring)

# data[].attributes.subject
Cauza C-634/21 - SCHUFA Holding and Others (Scoring)

# data[].attributes.attachment_link.readable_text
Ediție provizorie

HOTĂRÂREA CURȚII (Camera întâi)

7 decembrie 2023(*)

„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 22 - Procesul decizional individual automatizat - Societăți care furnizează informații comerciale - Stabilirea automatizată a unei valori de probabilitate în ceea ce privește capacitatea unei persoane de a onora în viitor angajamente de plată („scoring") - Utilizarea acestei valori de probabilitate de către terți"

În cauza C‑634/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), prin decizia din 1 octombrie 2021, primită de Curte la 15 octombrie 2021, în procedura
OQ
împotriva
Land Hessen,
cu participarea:
SCHUFA Holding AG,
CURTEA (Camera întâi),

compusă din domnul A. Arabadjiev, președinte de cameră, domnii T. von Danwitz, P. G. Xuereb și A. Kumin (raportor) și doamna I. Ziemele, judecători,

avocat general: domnul P. Pikamäe,

grefier: domnul C. Di Bella, administrator,

având în vedere procedura scrisă și în urma ședinței din 26 ianuarie 2023,

luând în considerare observațiile prezentate:

- pentru OQ, de U. Schmidt, Rechtsanwalt;

- pentru Land Hessen, de M. Kottmann și G. Ziegenhorn, Rechtsanwälte;

- pentru SCHUFA Holding AG, de G. Thüsing și U. Wuermeling, Rechtsanwalt;

- pentru guvernul german, de P.‑L. Krüger, în calitate de agent;

- pentru guvernul danez, de V. Pasternak Jørgensen, M. Søndahl Wolff și Y. Thyregod Kollberg, în calitate de agenți;

- pentru guvernul portughez, de P. Barros da Costa, I. Oliveira, J. Ramos și C. Vieira Guerra, în calitate de agenți;

- pentru guvernul finlandez, de M. Pere, în calitate de agent;

- pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher și H. Kranenborg, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 16 martie 2023,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 6 alineatul (1) și a articolului 22 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD").

2 Această cerere a fost formulată în cadrul unui litigiu între OQ, pe de o parte, și Land Hessen (landul Hessen, Germania), pe de altă parte, în legătură cu refuzul Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Comisarul Landului Hessen pentru Protecția Datelor și Libertatea de Informare, Germania) (denumit în continuare „HBDI") de a obliga SCHUFA Holding AG (denumită în continuare „SCHUFA") să admită o cerere formulată de OQ privind accesul și ștergerea datelor cu caracter personal care o privesc.

Cadrul juridic

Dreptul Uniunii

3 Potrivit considerentului (71) al RGPD:

„Persoana vizată ar trebui să aibă dreptul de a nu face obiectul unei decizii, care poate include o măsură, care evaluează aspecte personale referitoare la persoana vizată, care se bazează exclusiv pe prelucrarea automată și care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într‑o măsură semnificativă, cum ar fi refuzul automat al unei cereri de credit online sau practicile de recrutare pe cale electronică, fără intervenție umană. O astfel de prelucrare include "crearea de profiluri", care constă în orice formă de prelucrare automată a datelor cu caracter personal prin evaluarea aspectelor personale referitoare la o persoană fizică, în special în vederea analizării sau preconizării anumitor aspecte privind randamentul la locul de muncă al persoanei vizate, situația economică, starea de sănătate, preferințele sau interesele personale, fiabilitatea sau comportamentul, locația sau deplasările, atunci când aceasta produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într‑o măsură semnificativă. Cu toate acestea, luarea de decizii pe baza unei astfel de prelucrări, inclusiv crearea de profiluri, ar trebui permisă în cazul în care este autorizată în mod expres în dreptul Uniunii sau în dreptul intern care se aplică operatorului, inclusiv în scopul monitorizării și prevenirii fraudei și a evaziunii fiscale, desfășurate în conformitate cu reglementările, standardele și recomandările instituțiilor Uniunii [Europene] sau ale organismelor naționale de supraveghere, și în scopul asigurării securității și fiabilității unui serviciu oferit de operator sau în cazul în care este necesară pentru încheierea sau executarea unui contract între persoana vizată și un operator sau în cazul în care persoana vizată și‑a dat în mod explicit consimțământul. În orice caz, o astfel de prelucrare ar trebui să facă obiectul unor garanții corespunzătoare, care ar trebui să includă o informare specifică a persoanei vizate și dreptul acesteia de a obține intervenție umană, de a‑și exprima punctul de vedere, de a primi o explicație privind decizia luată în urma unei astfel de evaluări, precum și dreptul de a contesta decizia. O astfel de măsură nu ar trebui să se refere la un copil.

Pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată, având în vedere circumstanțele specifice și contextul în care sunt prelucrate datele cu caracter personal, operatorul ar trebui să utilizeze proceduri matematice sau statistice adecvate pentru crearea de profiluri, să implementeze măsuri tehnice și organizatorice adecvate pentru a asigura în special faptul că factorii care duc la inexactități ale datelor cu caracter personal sunt corectați și că riscul de erori este redus la minimum, precum și să securizeze datele cu caracter personal într‑un mod care să țină seama de pericolele potențiale la adresa intereselor și drepturilor persoanei vizate și să prevină, printre altele, efectele discriminatorii împotriva persoanelor pe motiv de rasă sau origine etnică, opinii politice, religie sau convingeri, apartenență sindicală, caracteristici genetice, stare de sănătate sau orientare sexuală sau prelucrări care să ducă la măsuri care să aibă astfel de efecte. [...]"

4 Articolul 4 din acest regulament, intitulat „Definiții", prevede:

„În sensul prezentului regulament:

[...]

4. "creare de profiluri" înseamnă orice formă de prelucrare automată a datelor cu caracter personal care constă în utilizarea datelor cu caracter personal pentru a evalua anumite aspecte personale referitoare la o persoană fizică, în special pentru a analiza sau prevedea aspecte privind performanța la locul de muncă, situația economică, sănătatea, preferințele personale, interesele, fiabilitatea, comportamentul, locul în care se află persoana fizică respectivă sau deplasările acesteia;

[...]"

5 Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal", prevede:

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată ("legalitate, echitate și transparență");

(b) colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; [...] ("limitări legate de scop");

(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate ("reducerea la minimum a datelor");

(d) exacte și, în cazul în care este necesar, [...] actualizate; [...] ("exactitate");

(e) păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; [...] ("limitări legate de stocare");

(f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal [...] ("integritate și confidențialitate").

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

6 Articolul 6 din RGPD, intitulat „Legalitatea prelucrării", prevede la alineatele (1) și (3):

„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;

(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;

(c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;

(d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;

(e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;

(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

[...]

(3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:

(a) dreptul Uniunii; sau

(b) dreptul intern care se aplică operatorului.

Scopul prelucrării este stabilit pe baza respectivului temei juridic sau, în ceea ce privește prelucrarea menționată la alineatul (1) litera (e), este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului. [...]"

7 Articolul 9 din acest regulament, intitulat „Prelucrarea de categorii speciale de date cu caracter personal", are următorul cuprins:

„(1) Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.

(2) Alineatul (1) nu se aplică în următoarele situații:

(a) persoana vizată și‑a dat consimțământul explicit pentru prelucrarea acestor date cu caracter personal pentru unul sau mai multe scopuri specifice, cu excepția cazului în care dreptul Uniunii sau dreptul intern prevede ca interdicția prevăzută la alineatul (1) să nu poată fi ridicată prin consimțământul persoanei vizate;

[...]

(g) prelucrarea este necesară din motive de interes public major, în baza dreptului Uniunii sau a dreptului intern, care este proporțional cu obiectivul urmărit, respectă esența dreptului la protecția datelor și prevede măsuri corespunzătoare și specifice pentru protejarea drepturilor fundamentale și a intereselor persoanei vizate;

[...]"

8 Articolul 13 din regulamentul menționat, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată", prevede la alineatul (2):

„În plus față de informațiile menționate la alineatul (1), în momentul în care datele cu caracter personal sunt obținute, operatorul furnizează persoanei vizate următoarele informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă:

[...]

(f) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată."

9 Articolul 14 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată", prevede la alineatul (2):

„Pe lângă informațiile menționate la alineatul (1), operatorul furnizează persoanei vizate următoarele informații necesare pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată:

[...]

(g) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată."

10 Articolul 15 din acest regulament, intitulat „Dreptul de acces al persoanei vizate", prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

[...]

(h) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată."

11 Articolul 22 din regulamentul menționat, intitulat „Procesul decizional individual automatizat, inclusiv crearea de profiluri", prevede:

„(1) Persoana vizată are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într‑o măsură semnificativă.

(2) Alineatul (1) nu se aplică în cazul în care decizia:

(a) este necesară pentru încheierea sau executarea unui contract între persoana vizată și un operator de date;

(b) este autorizată prin dreptul Uniunii sau dreptul intern care se aplică operatorului și care prevede, de asemenea, măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate; sau

(c) are la bază consimțământul explicit al persoanei vizate.

(3) În cazurile menționate la alineatul (2) literele (a) și (c), operatorul de date pune în aplicare măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate, cel puțin dreptul acesteia de a obține intervenție umană din partea operatorului, de a‑și exprima punctul de vedere și de a contesta decizia.

(4) Deciziile menționate la alineatul (2) nu au la bază categoriile speciale de date cu caracter personal menționate la articolul 9 alineatul (1), cu excepția cazului în care se aplică articolul 9 alineatul (2) litera (a) sau (g) și în care au fost instituite măsuri corespunzătoare pentru protejarea drepturilor, libertăților și intereselor legitime ale persoanei vizate."

12 Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere", prevede la alineatul (1):

„Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează."

Dreptul german

13 Articolul 31 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 30 iunie 2017 (BGBl. I, p. 2097, denumită în continuare „BDSG"), intitulat „Protecția tranzacțiilor economice în caz de "scoring" și de informații privind bonitatea", are următorul cuprins:

„(1) Utilizarea unei valori de probabilitate privind un anumit comportament viitor al unei persoane fizice în vederea luării unei decizii privind încheierea, executarea sau încetarea unui raport contractual cu această persoană ("scoring") este permisă numai dacă

1. au fost respectate dispozițiile legislației privind protecția datelor,

2. datele utilizate pentru calcularea valorii de probabilitate sunt relevante pentru calculul probabilității unui anumit comportament, pe baza unei metode matematice și statistice recunoscute din punct de vedere științific,

3. pentru calcularea valorii de probabilitate nu au fost utilizate exclusiv datele privind adresa și

4. în cazul utilizării datelor privind adresa, persoana vizată a fost informată cu privire la utilizarea preconizată a acestor date înainte de a se calcula valoarea de probabilitate; informarea trebuie să fie documentată.

(2) Utilizarea unei valori de probabilitate stabilite de societățile care furnizează informații comerciale cu privire la bonitatea și la disponibilitatea de plată a unei persoane fizice nu este permisă în cazul includerii informațiilor privind creanțele decât în măsura în care sunt îndeplinite condițiile menționate la alineatul (1) și sunt luate în considerare numai creanțele referitoare la o prestație datorată care nu a fost furnizată în pofida scadenței,

1. care au fost constatate printr‑o hotărâre devenită definitivă sau declarată executorie cu titlu provizoriu ori pentru care există un titlu de creanță potrivit articolului 794 din Zivilprozessordnung [(Codul de procedură civilă)],

2. care au fost constatate potrivit articolului 178 din Insolvenzordnung [(Codul insolvenței)] și nu au fost contestate de debitor în cursul perioadei de verificare,

3. care au fost recunoscute în mod expres de debitor;

4. în cazul cărora

a) debitorul a fost pus în întârziere cel puțin de două ori, în scris, de la data exigibilității creanței;

b) prima punere în întârziere a avut loc cu cel puțin patru săptămâni în urmă;

c) debitorul a fost informat în prealabil, dar cel mai devreme cu ocazia primei puneri în întârziere, cu privire la posibilitatea luării în considerare de către o societate care furnizează informații comerciale și

d) debitorul nu a contestat creanța sau

5. raportul contractual pe care se întemeiază creanța poate fi reziliat fără preaviz ca urmare a efectuării cu întârziere a plăților și în cazul cărora debitorul a fost informat în prealabil despre posibilitatea luării în considerare de către o societate care furnizează informații comerciale.

Admisibilitatea prelucrării, inclusiv stabilirea valorilor de probabilitate, a altor date relevante privind bonitatea din perspectiva dreptului comun în materia protecției datelor nu este afectată."

Litigiul principal și întrebările preliminare

14 SCHUFA este o societate privată de drept german care furnizează partenerilor săi contractuali informații privind bonitatea unor terți, în special a consumatorilor. În acest scop, ea stabilește un prognostic cu privire la probabilitatea unui comportament viitor al unei persoane („score"), cum ar fi rambursarea unui împrumut, pornind de la anumite caracteristici ale persoanei respective, pe baza unor proceduri matematice și statistice. Stabilirea scorurilor („scoring") se bazează pe ipoteza potrivit căreia este posibil, prin includerea unei persoane într‑un grup de persoane cu caracteristici comparabile și care s‑au comportat într‑un anumit mod, să se anticipeze un comportament similar.

15 Din cererea de decizie preliminară reiese că lui OQ i s‑a refuzat acordarea unui împrumut de către un terț după ce a făcut obiectul unor informații negative stabilite de SCHUFA și transmise acestui terț. OQ a solicitat SCHUFA să îi comunice informații cu privire la datele cu caracter personal înregistrate și să șteargă acele date care erau pretins eronate.

16 Ca răspuns la această solicitare, SCHUFA a informat OQ cu privire la nivelul scorului său și a expus, în linii mari, modalitățile de calcul al scorurilor. Totuși, invocând secretul comercial, ea a refuzat să divulge diferitele informații luate în considerare în vederea acestui calcul, precum și ponderea lor. În sfârșit, SCHUFA a arătat că se limita să transmită informații partenerilor săi contractuali și că aceștia erau cei care luau deciziile contractuale propriu‑zise.

17 Printr‑o contestație introdusă la 18 octombrie 2018, OQ a solicitat HBDI, autoritatea de supraveghere competentă, să oblige SCHUFA să admită cererea sa de acces la informații și de ștergere.

18 Printr‑o decizie din 3 iunie 2020, HBDI a respins această cerere de emitere a unei somații, explicând că nu s‑a dovedit că SCHUFA nu respectă cerințele prevăzute la articolul 31 din BDSG care îi sunt impuse în ceea ce privește activitatea sa.

19 OQ a introdus o acțiune împotriva acestei decizii la Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), instanța de trimitere, în temeiul articolului 78 alineatul (1) din RGPD.

20 Potrivit acestei instanțe, trebuie să se determine, pentru soluționarea litigiului cu care este sesizată, dacă stabilirea unei valori de probabilitate precum cea în discuție în litigiul principal constituie o decizie individuală automatizată, în sensul articolului 22 alineatul (1) din RGPD. Astfel, în cazul unui răspuns afirmativ, legalitatea acestei activități ar fi supusă, în conformitate cu articolul 22 alineatul (2) litera (b) din acest regulament, condiției ca această decizie să fie autorizată de dreptul Uniunii sau de dreptul statului membru care se aplică operatorului.

21 În această privință, instanța de trimitere are îndoieli cu privire la teza potrivit căreia articolul 22 alineatul (1) din RGPD nu este aplicabil activității unor societăți cum ar fi SCHUFA. Ea își întemeiază îndoielile, din punct de vedere factual, pe importanța unei valori de probabilitate precum cea în discuție în litigiul principal pentru practica decizională a terților cărora le este transmisă această valoare de probabilitate și, din punct de vedere juridic, în principal pe obiectivele urmărite de acest articol 22 alineatul (1) și pe garanțiile de protecție juridică consacrate de RGPD.

22 Mai precis, instanța de trimitere subliniază că valoarea de probabilitate este cea care determină în mod normal dacă și în ce mod terțul va contracta cu persoana vizată. Or, articolul 22 din RGPD ar urmări tocmai să protejeze persoanele împotriva riscurilor legate de deciziile bazate pur și simplu pe automatizare.

23 În schimb, dacă articolul 22 alineatul (1) din RGPD ar trebui interpretat în sensul că nu poate fi recunoscută calitatea de „decizie individuală automatizată", într‑o situație precum cea în discuție în litigiul principal, decât deciziei luate de terț cu privire la persoana în cauză, ar rezulta de aici o lacună în protecția juridică. Astfel, pe de o parte, o societate precum SCHUFA nu ar fi obligată să permită accesul la informațiile suplimentare la care persoana vizată are dreptul în temeiul articolului 15 alineatul (1) litera (h) din acest regulament, întrucât nu această societate ar fi cea care adoptă o „decizie automatizată", în sensul acestei dispoziții și, pe cale de consecință, în sensul articolului 22 alineatul (1) din regulamentul menționat. Pe de altă parte, terțul căruia i se comunică valoarea de probabilitate nu ar putea furniza aceste informații suplimentare întrucât nu dispune de ele.

24 Astfel, potrivit instanței de trimitere, pentru a evita o asemenea lacună în protecția juridică, ar fi necesar ca stabilirea unei valori de probabilitate precum cea în discuție în litigiul principal să intre în domeniul de aplicare al articolului 22 alineatul (1) din RGPD.

25 În cazul în care ar trebui reținută o astfel de interpretare, legalitatea acestei activități ar fi atunci supusă existenței unui temei juridic la nivelul statului membru vizat, în conformitate cu articolul 22 alineatul (2) litera (b) din acest regulament. Or, în speță, deși este adevărat că articolul 31 din BDSG ar putea constitui un astfel de temei juridic în Germania, ar exista îndoieli serioase cu privire la compatibilitatea acestei dispoziții cu articolul 22 din RGPD, întrucât legiuitorul german nu ar reglementa decât „utilizarea" unei valori de probabilitate precum cea în discuție în litigiul principal, iar nu stabilirea ca atare a acestei valori.

26 În schimb, dacă stabilirea unei asemenea valori de probabilitate nu constituie o decizie individuală automatizată, în sensul articolului 22 din RGPD, clauza de deschidere care figurează la alineatul (2) litera (b) al acestui articol 22 nu s‑ar aplica nici reglementărilor naționale care privesc această activitate. Ținând seama de caracterul în principiu exhaustiv al RGPD și în lipsa unei alte competențe normative pentru astfel de reglementări naționale, s‑ar părea că legiuitorul german, supunând stabilirea valorilor de probabilitate unor condiții de legalitate de fond mai aprofundate, precizează materia reglementată depășind cerințele prevăzute la articolele 6 și 22 din RGPD, fără a dispune de o competență de reglementare în acest scop. Dacă acest punct de vedere ar fi corect, aceasta ar modifica marja de examinare a autorității naționale de supraveghere, care ar trebui atunci să aprecieze compatibilitatea activității societăților care furnizează informații comerciale în lumina articolului 6 din acest regulament.

27 În aceste condiții, Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden) a decis să suspende judecata și să adreseze Curții următoarele întrebări preliminare:

„1) Articolul 22 alineatul (1) din [RGPD] trebuie interpretat în sensul că stabilirea automatizată a unei valori de probabilitate în legătură cu capacitatea viitoare a unei persoane vizate de a rambursa un credit constituie o decizie bazată exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice care privesc această persoană sau o afectează în mod similar într‑o măsură semnificativă, atunci când această valoare, stabilită pe baza datelor cu caracter personal ale persoanei menționate, este transmisă de operator unui terț operator și când acest terț utilizează în mod determinant această valoare în vederea luării unei decizii privind stabilirea, executarea sau încetarea unui raport contractual cu persoana vizată?

2) În cazul unui răspuns negativ la prima întrebare,

articolul 6 alineatul (1) și articolul 22 din [RGPD] trebuie interpretate în sensul că se opun unei reglementări naționale potrivit căreia utilizarea unei valori de probabilitate - în speță, cu privire la bonitatea și la disponibilitatea de plată a unei persoane fizice în cazul includerii informațiilor referitoare la creanțe - privind un anumit comportament viitor al unei persoane fizice în vederea luării unei decizii privind stabilirea, executarea sau încetarea unui raport contractual cu această persoană ("scoring") este permisă numai dacă sunt îndeplinite alte condiții suplimentare determinate care sunt detaliate în motivarea prezentei trimiteri preliminare?"

Cu privire la admisibilitatea cererii de decizie preliminară

28 SCHUFA contestă admisibilitatea cererii de decizie preliminară, susținând, în primul rând, că instanța de trimitere nu are misiunea de a controla conținutul unei decizii privind o plângere, adoptată de o autoritate de supraveghere precum HBDI, din moment ce calea de atac judiciară împotriva unei astfel de decizii, prevăzută la articolul 78 alineatul (1) din RGPD, servește doar la verificarea respectării de către această autoritate a obligațiilor care îi revin în temeiul acestui regulament, în special a celei de soluționare a plângerilor, precizându‑se că autoritatea menționată dispune de o putere discreționară de a decide dacă și cum trebuie să acționeze.

29 În al doilea rând, SCHUFA susține că instanța de trimitere nu prezintă motivele exacte pentru care întrebările adresate ar fi decisive pentru soluționarea litigiului principal. Acesta din urmă ar avea ca obiect o cerere de informații cu privire la un scor concret și de ștergere a acestuia. Or, în speță, SCHUFA și‑ar fi respectat suficient obligația de informare și ar fi șters deja scorul care făcea obiectul procedurii.

30 În această privință, trebuie amintit că, potrivit unei jurisprudențe constante a Curții, revine numai instanței naționale sesizate cu soluționarea litigiului și care va trebui să își asume răspunderea pentru hotărârea judecătorească ce urmează a fi pronunțată competența să aprecieze, în raport cu particularitățile cauzei, atât necesitatea unei hotărâri preliminare pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții. În consecință, în cazul în care întrebările adresate au ca obiect interpretarea unei norme de drept al Uniunii, Curtea este, în principiu, obligată să se pronunțe (Hotărârea din 12 ianuarie 2023, DOBELES HES, C‑702/20 și C‑17/21, EU:C:2023:1, punctul 46, precum și jurisprudența citată).

31 Rezultă că întrebările privind dreptul Uniunii beneficiază de o prezumție de pertinență. Refuzul Curții de a se pronunța asupra unei întrebări preliminare adresate de o instanță națională este posibil numai dacă este evident că interpretarea solicitată a unei norme a Uniunii nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care i‑au fost adresate (Hotărârea din 12 ianuarie 2023, DOBELES HES, C‑702/20 și C‑17/21, EU:C:2023:1, punctul 47, precum și jurisprudența citată).

32 În ceea ce privește, în primul rând, motivul de inadmisibilitate întemeiat pe un control jurisdicțional pretins limitat căruia i‑ar fi supuse deciziile privind plângeri adoptate de o autoritate de supraveghere, trebuie amintit că, în conformitate cu articolul 78 alineatul (1) din RGPD, fără a aduce atingere oricărei alte căi de atac administrative sau nejudiciare, orice persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

33 În speță, decizia adoptată de HBDI în calitate de autoritate de supraveghere constituie o decizie obligatorie din punct de vedere juridic, în sensul acestui articol 78 alineatul (1). Astfel, după ce a examinat temeinicia plângerii cu care fusese sesizată, autoritatea menționată s‑a pronunțat cu privire la aceasta și a constatat că prelucrarea datelor cu caracter personal contestată de reclamanta din litigiul principal era legală.

34 În ceea ce privește întinderea controlului jurisdicțional exercitat asupra unei astfel de decizii în cadrul unei căi de atac formulate în temeiul articolului 78 alineatul (1) menționat, este suficient să se arate că o decizie adoptată de o autoritate de supraveghere cu privire la o plângere este supusă unui control jurisdicțional complet [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberarea de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:xxx, punctul 1 din dispozitiv].

35 Prin urmare, primul motiv de inadmisibilitate invocat de SCHUFA trebuie respins.

36 În al doilea rând, reiese cu claritate din cererea de decizie preliminară că instanța de trimitere ridică problema criteriului de supraveghere care trebuie reținut cu ocazia aprecierii, în lumina RGPD, a prelucrării datelor cu caracter personal în discuție în litigiul principal, acest criteriu depinzând de aplicabilitatea sau de inaplicabilitatea articolului 22 alineatul (1) din acest regulament.

37 Astfel, nu este evident că interpretarea RGPD solicitată de instanța de trimitere nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, nici că problema este de natură ipotetică. În plus, Curtea dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care îi sunt adresate.

38 Prin urmare, al doilea motiv de inadmisibilitate invocat de SCHUFA trebuie de asemenea respins.

39 În aceste condiții, cererea de decizie preliminară este admisibilă.

Cu privire la întrebările preliminare

Cu privire la prima întrebare

40 Prin intermediul primei întrebări, instanța de trimitere ridică în esență problema dacă articolul 22 alineatul (1) din RGPD trebuie interpretat în sensul că constituie o „decizie individuală automatizată", în sensul acestei dispoziții, stabilirea automatizată de către o societate care furnizează informații comerciale a unei valori de probabilitate bazate pe date cu caracter personal referitoare la o persoană și care privește capacitatea acesteia de a onora în viitor angajamente de plată, atunci când depinde în mod determinant de această valoare de probabilitate ca un terț căruia i se comunică valoarea de probabilitate menționată să stabilească, să execute sau să înceteze un raport contractual cu această persoană.

41 Pentru a răspunde la această întrebare, trebuie amintit, cu titlu introductiv, că interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte (Hotărârea din 22 iunie 2023, Pankki S, C‑579/21, EU:C:2023:501, punctul 38 și jurisprudența citată).

42 Referitor la termenii articolului 22 alineatul (1) din RGPD, această dispoziție prevede că persoana vizată are dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri, care produce efecte juridice care privesc persoana vizată sau o afectează în mod similar într‑o măsură semnificativă.

43 Aplicabilitatea acestei dispoziții este, așadar, supusă îndeplinirii a trei condiții cumulative, și anume, în primul rând, că trebuie să existe o „decizie", în al doilea rând, că această decizie trebuie să fie „bazată exclusiv pe prelucrarea automată, inclusiv crearea de profiluri", și, în al treilea rând, că ea trebuie să producă „efecte juridice care privesc persoana vizată" sau să o afecteze „în mod similar într‑o măsură semnificativă".

44 În ceea ce privește, în primul rând, condiția referitoare la existența unei decizii, trebuie arătat că noțiunea de „decizie" în sensul articolului 22 alineatul (1) din RGPD nu este definită de acest regulament. Din însuși modul de redactare a acestei dispoziții reiese totuși că această noțiune face trimitere nu numai la acte care produc efecte juridice privind persoana în cauză, ci și la acte care o afectează în mod similar într‑o măsură semnificativă.

45 Domeniul de aplicare larg al noțiunii de „decizie" este confirmat de considerentul (71) al RGPD, potrivit căruia o decizie care implică evaluarea anumitor aspecte personale referitoare la o persoană, care ar trebui să aibă dreptul de a nu face obiectul deciziei menționate, „poate include o măsură" care fie produce „efecte juridice care privesc persoana vizată", fie „o afectează în mod similar într‑o măsură semnificativă". Potrivit acestui considerent, sunt acoperite de termenul „decizie", cu titlu de exemplu, respingerea automată a unei cereri de credit online sau practici de recrutare online fără nicio intervenție umană.

46 Întrucât noțiunea de „decizie" în sensul articolului 22 alineatul (1) din RGPD este astfel susceptibilă, după cum a arătat domnul avocat general la punctul 38 din concluzii, să includă mai multe acte care pot afecta persoana în cauză în multiple moduri, această noțiune este suficient de largă pentru a include rezultatul calculului bonității unei persoane sub forma unei valori de probabilitate privind capacitatea acestei persoane de a onora angajamente de plată în viitor.

47 În ceea ce privește, în al doilea rând, condiția potrivit căreia decizia, în sensul acestui articol 22 alineatul (1), trebuie fie „bazată exclusiv pe prelucrarea automată, inclusiv crearea de profiluri", astfel cum a arătat domnul avocat general la punctul 33 din concluzii, este cert că o activitate precum cea a SCHUFA corespunde definiției „creării de profiluri" care figurează la articolul 4 punctul 4 din RGPD și, prin urmare, că această condiție este îndeplinită în speță, modul de redactare a primei întrebări preliminare referindu‑se de altfel în mod explicit la stabilirea automatizată a unei valori de probabilitate bazate pe date cu caracter personal referitoare la o persoană și care privește capacitatea acesteia de a onora un împrumut în viitor.

48 În ceea ce privește, în al treilea rând, condiția potrivit căreia decizia trebuie să producă „efecte juridice" care privesc persoana vizată sau să o afecteze „în mod similar într‑o măsură semnificativă", reiese din însuși conținutul primei întrebări preliminare că acțiunea terțului căruia îi este transmisă valoarea de probabilitate este ghidată „în mod determinant" de această valoare. Astfel, potrivit constatărilor factuale ale instanței de trimitere, în cazul unei cereri de împrumut adresate de un consumator unei bănci, o valoare de probabilitate insuficientă determină, în aproape toate cazurile, refuzul acesteia din urmă de a acorda împrumutul solicitat.

49 În aceste condiții, trebuie să se considere că a treia condiție căreia îi este subordonată aplicarea articolului 22 alineatul (1) din RGPD este de asemenea îndeplinită, o valoare de probabilitate precum cea în discuție în litigiul principal afectând, cel puțin, într‑o măsură semnificativă persoana vizată.

50 Rezultă că, în împrejurări precum cele în discuție în litigiul principal, în care valoarea de probabilitate stabilită de o societate care furnizează informații comerciale și comunicată unei bănci joacă un rol determinant în acordarea unui credit, instituirea acestei valori trebuie calificată în sine drept decizie ce produce „efecte juridice care privesc persoana vizată sau o afectează în mod similar într‑o măsură semnificativă", în sensul articolului 22 alineatul (1) din RGPD.

51 Această interpretare este confirmată de contextul în care se înscrie articolul 22 alineatul (1) din RGPD, precum și de obiectivele și de finalitatea pe care le urmărește acest regulament.

52 În această privință, trebuie arătat că, după cum a remarcat domnul avocat general la punctul 31 din concluzii, articolul 22 alineatul (1) din RGPD conferă persoanei vizate „dreptul" de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri. Această dispoziție prevede o interdicție de principiu a cărei nerespectare nu necesită invocarea în mod individual de către o astfel de persoană.

53 Astfel, după cum rezultă din coroborarea articolului 22 alineatul (2) din RGPD cu considerentul (71) al acestui regulament, adoptarea unei decizii bazate exclusiv pe prelucrarea automată este permisă numai în cazurile menționate la acest articol 22 alineatul (2), și anume atunci când această decizie este necesară pentru încheierea sau pentru executarea unui contract între persoana vizată și un operator [litera (a)], atunci când este autorizată prin dreptul Uniunii sau dreptul intern care se aplică operatorului [litera (b)] sau atunci când are la bază consimțământul explicit al persoanei vizate [litera (c)].

54 În plus, articolul 22 din RGPD prevede la alineatul (2) litera (b) și la alineatul (3) că trebuie să fie prevăzute măsuri corespunzătoare pentru protejarea drepturilor, a libertăților, precum și a intereselor legitime ale persoanei vizate. În cazurile prevăzute la articolul 22 alineatul (2) literele (a) și (c) din acest regulament, operatorul pune în aplicare cel puțin dreptul persoanei vizate de a obține intervenție umană, de a‑și exprima punctul de vedere și de a contesta decizia.

55 Pe de altă parte, conform articolului 22 alineatul (4) din RGPD, numai în anumite cazuri specifice deciziile individuale automatizate în sensul acestui articol 22 se pot baza pe categoriile speciale de date cu caracter personal menționate la articolul 9 alineatul (1) din acest regulament.

56 În plus, în cazul luării unei decizii automatizate precum cea prevăzută la articolul 22 alineatul (1) din RGPD, pe de o parte, operatorul este supus unor obligații de informare suplimentare în temeiul articolului 13 alineatul (2) litera (f), precum și al articolului 14 alineatul (2) litera (g) din acest regulament. Pe de altă parte, persoana vizată beneficiază, în temeiul articolului 15 alineatul (1) litera (h) din regulamentul menționat, de dreptul de a obține din partea operatorului, printre altele, „informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată".

57 Aceste cerințe mai ridicate în ceea ce privește legalitatea procesului decizional automatizat, precum și obligațiile de informare suplimentare ale operatorului și drepturile suplimentare de acces ale persoanei vizate care sunt asociate acestora se explică prin scopul urmărit de articolul 22 din RGPD, care constă în protejarea persoanelor împotriva riscurilor specifice pentru drepturile și libertățile lor generate de prelucrarea automată a datelor cu caracter personal, inclusiv crearea de profiluri.

58 Astfel, această prelucrare implică, după cum reiese din considerentul (71) al RGPD, evaluarea aspectelor personale referitoare la persoana fizică vizată de această prelucrare, în special pentru a analiza sau a anticipa aspecte privind randamentul său la locul de muncă, situația sa economică, starea sa de sănătate, preferințele sale sau interesele personale, fiabilitatea sa sau comportamentul său, locația sa sau deplasările sale.

59 Aceste riscuri specifice pot afecta, potrivit acestui considerent, interesele legitime și drepturile persoanei vizate, ținând seama în special de potențialele efecte discriminatorii împotriva persoanelor fizice pe motiv de rasă sau origine etnică, opinii politice, religie sau convingeri, apartenență sindicală, caracteristici genetice, stare de sănătate sau orientare sexuală. Prin urmare, tot potrivit considerentului menționat, este necesar să se prevadă garanții corespunzătoare și să se asigure o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată, în special prin utilizarea unor proceduri matematice sau statistice adecvate pentru crearea de profiluri și prin implementarea unor măsuri tehnice și organizatorice adecvate pentru a se asigura că riscul de erori este redus la minimum.

60 Or, interpretarea expusă la punctele 42-50 din prezenta hotărâre și în special domeniul larg de aplicare al noțiunii de „decizie", în sensul articolului 22 alineatul (1) din RGPD, consolidează protecția efectivă vizată de această dispoziție.

61 În schimb, în împrejurări precum cele în discuție în litigiul principal, în care sunt implicați trei actori, ar exista un risc de eludare a articolului 22 din RGPD și, prin urmare, o lacună în protecția juridică în cazul în care ar fi reținută o interpretare restrictivă a acestei dispoziții, potrivit căreia stabilirea valorii de probabilitate trebuie să fie considerată doar un act pregătitor și numai actul adoptat de terț poate, dacă este cazul, să fie calificat drept „decizie", în sensul articolului 22 alineatul (1) din acest regulament.

62 Astfel, în această ipoteză, stabilirea unei valori de probabilitate precum cea în discuție în litigiul principal nu ar intra sub incidența cerințelor specifice prevăzute la articolul 22 alineatele (2)-(4) din RGPD, chiar dacă această procedură se bazează pe prelucrarea automată și produce efecte care afectează semnificativ persoana vizată în măsura în care acțiunea terțului, căruia îi este transmisă această valoare de probabilitate, este ghidată în mod determinant de aceasta.

63 În plus, astfel cum a arătat domnul avocat general la punctul 48 din concluzii, pe de o parte, persoana vizată nu ar putea invoca, în raport cu societatea care furnizează informații comerciale ce stabilește valoarea de probabilitate care o privește, dreptul său de acces la informațiile specifice prevăzute la articolul 15 alineatul (1) litera (h) din RGPD, în lipsa unei decizii automatizate din partea acestei societăți. Pe de altă parte, chiar presupunând că actul adoptat de terț intră, la rândul său, sub incidența articolului 22 alineatul (1) din acest regulament din moment ce îndeplinește condițiile de aplicare a acestei dispoziții, terțul menționat nu ar fi în măsură să furnizeze aceste informații specifice, întrucât în general nu dispune de ele.

64 Faptul că stabilirea unei valori de probabilitate precum cea în discuție în litigiul principal intră sub incidența articolului 22 alineatul (1) din RGPD are consecința, astfel cum s‑a arătat la punctele 53-55 din prezenta hotărâre, că ea este interzisă, cu excepția cazului în care este aplicabilă una dintre excepțiile care figurează la articolul 22 alineatul (2) din acest regulament și în care sunt respectate cerințele specifice prevăzute la articolul 22 alineatele (3) și (4) din regulamentul menționat.

65 În ceea ce privește, mai precis, articolul 22 alineatul (2) litera (b) din RGPD, la care face referire instanța de trimitere, din însuși modul de redactare a acestei dispoziții reiese că dreptul național care permite adoptarea unei decizii individuale automatizate trebuie să prevadă măsuri corespunzătoare pentru protejarea drepturilor și a libertăților, precum și a intereselor legitime ale persoanei vizate.

66 În lumina considerentului (71) al RGPD, astfel de măsuri trebuie să includă în special obligația operatorului de a utiliza proceduri matematice sau statistice adecvate, de a aplica măsuri tehnice și organizatorice adecvate pentru a asigura reducerea la minimum a riscului de eroare și corectarea erorilor, precum și de a securiza datele cu caracter personal într‑un mod care să ia în considerare riscurile la adresa intereselor și drepturilor persoanei vizate și de a preveni printre altele efectele discriminatorii asupra acesteia. Aceste măsuri includ, pe de altă parte, cel puțin dreptul persoanei vizate de a obține intervenție umană din partea operatorului, de a‑și exprima punctul de vedere și de a contesta decizia luată în privința sa.

67 Mai trebuie arătat că, potrivit jurisprudenței constante a Curții, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile legate de prelucrarea datelor enunțate la articolul 5 din RGPD și, pe de altă parte, având în vedere în special principiul legalității prelucrării, prevăzut la alineatul (1) litera (a) al acestui articol, să îndeplinească una dintre condițiile de legalitate a prelucrării enumerate la articolul 6 din acest regulament (Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 49 și jurisprudența citată). Operatorul trebuie să fie în măsură să demonstreze respectarea acestor principii, în conformitate cu principiul responsabilității prevăzut la articolul 5 alineatul (2) din regulamentul menționat (a se vedea în acest sens Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 24).

68 Astfel, în ipoteza în care dreptul unui stat membru autorizează, în conformitate cu articolul 22 alineatul (2) litera (b) din RGPD, adoptarea unei decizii bazate exclusiv pe prelucrarea automată, această prelucrare trebuie să respecte nu numai condițiile prevăzute la această din urmă dispoziție și la articolul 22 alineatul (4) din acest regulament, ci și cerințele prevăzute la articolele 5 și 6 din regulamentul menționat. Prin urmare, statele membre nu pot adopta, în temeiul articolului 22 alineatul (2) litera (b) din RGPD, reglementări care permit crearea de profiluri cu încălcarea cerințelor prevăzute la aceste articole 5 și 6, astfel cum au fost interpretate de jurisprudența Curții.

69 În ceea ce privește în special condițiile de legalitate prevăzute la articolul 6 alineatul (1) literele (a), (b) și (f) din RGPD, care sunt susceptibile să se aplice într‑un caz precum cel în discuție în litigiul principal, statele membre nu sunt abilitate să prevadă norme suplimentare pentru punerea în aplicare a acestor condiții, o asemenea posibilitate fiind limitată, conform articolului 6 alineatul (3) din acest regulament, la motivele prevăzute la articolul 6 alineatul (1) literele (c) și (e) din regulamentul menționat.

70 În plus, în ceea ce privește mai precis articolul 6 alineatul (1) litera (f) din RGPD, statele membre nu pot, în temeiul articolului 22 alineatul (2) litera (b) din acest regulament, să se îndepărteze de cerințele care rezultă din jurisprudența Curții rezultată din Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberarea de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:XXX), în special prin prevederea definitivă a rezultatului evaluării comparative a drepturilor și a intereselor în cauză (a se vedea în acest sens Hotărârea din 19 octombrie 2016, Breyer, C‑582/14, EU:C:2016:779, punctul 62).

71 În speță, instanța de trimitere arată că numai articolul 31 din BDSG ar putea constitui un temei juridic național, în sensul articolului 22 alineatul (2) litera (b) din RGPD. Totuși, ea are îndoieli serioase cu privire la compatibilitatea acestui articol 31 cu dreptul Uniunii. Presupunând că această dispoziție este considerată incompatibilă cu dreptul Uniunii, SCHUFA ar acționa nu numai fără temei legal, ci ar încălca ipso iure interdicția prevăzută la articolul 22 alineatul (1) din RGPD.

72 În această privință, revine instanței de trimitere sarcina de a verifica dacă articolul 31 din BDSG poate fi calificat drept temei juridic care permite, în temeiul articolului 22 alineatul (2) litera (b) din RGPD, adoptarea unei decizii bazate exclusiv pe prelucrarea automată. În cazul în care această instanță ar trebui să ajungă la concluzia că articolul 31 menționat constituie un astfel de temei legal, i‑ar reveni și sarcina de a verifica dacă condițiile prevăzute la articolul 22 alineatul (2) litera (b) și alineatul (4) din RGPD și cele care figurează la articolele 5 și 6 din acest regulament sunt îndeplinite în speță.

73 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la prima întrebare că articolul 22 alineatul (1) din RGPD trebuie interpretat în sensul că stabilirea automatizată de către o societate care furnizează informații comerciale a unei valori de probabilitate bazate pe date cu caracter personal referitoare la o persoană și care privește capacitatea acesteia de a onora în viitor angajamente de plată constituie o „decizie individuală automatizată", în sensul acestei dispoziții, atunci când depinde în mod determinant de această valoare de probabilitate ca un terț căruia îi este comunicată valoarea de probabilitate menționată să stabilească, să execute sau să înceteze un raport contractual cu această persoană.

Cu privire la a doua întrebare

74 Având în vedere răspunsul dat la prima întrebare, nu este necesar să se răspundă la a doua întrebare.

Cu privire la cheltuielile de judecată

75 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:
Articolul 22 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că stabilirea automatizată de către o societate care furnizează informații comerciale a unei valori de probabilitate bazate pe date cu caracter personal referitoare la o persoană și care privește capacitatea acesteia de a onora în viitor angajamente de plată constituie o „decizie individuală automatizată", în sensul acestei dispoziții, atunci când depinde în mod determinant de această valoare de probabilitate ca un terț căruia îi este comunicată valoarea de probabilitate menționată să stabilească, să execute sau să înceteze un raport contractual cu această persoană.
Semnături

# data[].attributes.attachment_link.description
Ediție provizorie HOTĂRÂREA CURȚII (Camera întâi) 7 decembrie 2023(*) „Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 22 - Procesul decizional individual automatizat - Societăți care furnizează informații comerciale - Stabilirea automatizată a unei valori de probabilitate

# data[].attributes.headline
Cauzele reunite C-26/22 and C-64/22 - SCHUFA Holding (Discharge from remaining debts)

# data[].attributes.subject
Cauzele reunite C-26/22 and C-64/22 - SCHUFA Holding (Discharge from remaining debts)

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Camera întâi)

7 decembrie 2023(*)

„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 5 alineatul (1) litera (a) - Principiul "legalității" - Articolul 6 alineatul (1) primul paragraf litera (f) - Necesitatea prelucrării în scopul intereselor legitime urmărite de operator sau de un terț - Articolul 17 alineatul (1) litera (d) - Dreptul la ștergere în cazul prelucrării ilegale a datelor cu caracter personal - Articolul 40 - Coduri de conduită - Articolul 78 alineatul (1) - Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere - Decizie adoptată de autoritatea de supraveghere cu privire la o plângere - Întinderea controlului jurisdicțional asupra acestei decizii - Societăți care furnizează informații comerciale - Stocarea datelor dintr‑un registru public referitoare la liberarea de restul de datorie în favoarea unei persoane - Perioada de stocare"

În cauzele conexate C‑26/22 și C‑64/22,

având ca obiect cereri de decizie preliminară formulate în temeiul articolului 267 TFUE de Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), prin deciziile din 23 decembrie 2021 și din 31 ianuarie 2022, primite de Curte la 11 ianuarie 2022 și la 2 februarie 2022, în procedurile

UF (C‑26/22),

AB (C‑64/22)

împotriva
Land Hessen,
cu participarea:
SCHUFA Holding AG,
CURTEA (Camera întâi),

compusă din domnul A. Arabadjiev, președinte de cameră, domnii T. von Danwitz, P. G. Xuereb și A. Kumin (raportor) și doamna I. Ziemele, judecători,

avocat general: domnul P. Pikamäe,

grefier: doamna K. Hötzel, administratoare,

având în vedere procedura scrisă și în urma ședinței din 26 ianuarie 2023,

luând în considerare observațiile prezentate:

- pentru UF și AB, de R. Rohrmoser și S. Tintemann, Rechtsanwälte;

- pentru Land Hessen, de M. Kottmann și G. Ziegenhorn, Rechtsanwälte;

- pentru SCHUFA Holding AG, de G. Thüsing și U. Wuermeling, Rechtsanwalt;

- pentru guvernul german, de J. Möller și P.‑L. Krüger, în calitate de agenți;

- pentru guvernul portughez, de P. Barros da Costa, J. Ramos și C. Vieira Guerra, în calitate de agenți;

- pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher, H. Kranenborg și W. Wils, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 16 martie 2023,

pronunță prezenta
Hotărâre
1 Cererile de decizie preliminară privesc interpretarea articolelor 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta"), precum și a articolului 6 alineatul (1) primul paragraf litera (f), a articolului 17 alineatul (1) litera (d), a articolului 40, a articolului 77 alineatul (1) și a articolului 78 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD").

2 Aceste cereri au fost formulate în cadrul a două litigii între UF (cauza C‑26/22) și AB (cauza C‑64/22), pe de o parte, și Land Hessen (landul Hessen, Germania), pe de altă parte, în legătură cu refuzul Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Comisarul landului Hessen pentru Protecția Datelor și Libertatea de Informare, Germania) (denumit în continuare „HBDI") de a obliga SCHUFA Holding AG (denumită în continuare „SCHUFA") să efectueze ștergerea datelor stocate de aceasta referitoare la liberările de restul de datorie în favoarea UF și a AB.

Cadrul juridic

Dreptul Uniunii

Directiva 2008/48/CE

3 Potrivit considerentelor (26) și (28) ale Directivei 2008/48/CE a Parlamentului European și a Consiliului din 23 aprilie 2008 privind contractele de credit pentru consumatori și de abrogare a Directivei 87/102/CEE a Consiliului (JO 2008, L 133, p. 66):

„(26) [...] Este important ca, în special pe piața de credit, care este în curs de extindere, creditorii să nu se lanseze într‑un proces iresponsabil de acordare de împrumuturi sau să acorde credite fără evaluarea prealabilă a bonității, iar statele membre ar trebui să efectueze supravegherea necesară evitării unor astfel de conduite și să stabilească modalitățile necesare pentru sancționarea creditorilor în cazul în care aceștia se comportă astfel. [...] [C]reditorii ar trebui să aibă răspunderea de a verifica individual bonitatea consumatorului. [...]

[...]

(28) În vederea evaluării bonității unui consumator, creditorul ar trebui să consulte și bazele de date relevante; circumstanțele actuale și aspectele de natură juridică pot impune ca aceste consultări să varieze ca anvergură. Pentru a preveni orice denaturare a concurenței între creditori, acestora ar trebui să li se asigure accesul la bazele de date private sau publice privind consumatorii dintr‑un stat membru în care creditorii respectivi nu își au sediul, în condiții nediscriminatorii în raport cu creditorii din respectivul stat membru."

4 Articolul 8 din această directivă, intitulat „Obligația de a evalua bonitatea consumatorului", prevede la alineatul (1):

„Statele membre se asigură că, înainte de încheierea unui contract de credit, creditorul evaluează, atunci când este cazul, bonitatea consumatorului pe baza unui volum suficient de informații obținute de la consumator și, dacă este necesar, pe baza consultării bazei de date relevante. Statele membre a căror legislație prevede obligația evaluării bonității consumatorilor de către creditori, pe baza consultării bazei de date relevante, pot menține această obligație."

Directiva 2014/17/UE

5 Potrivit considerentelor (55) și (59) ale Directivei 2014/17/UE a Parlamentului European și a Consiliului din 4 februarie 2014 privind contractele de credit oferite consumatorilor pentru bunuri imobile rezidențiale și de modificare a Directivelor 2008/48/CE și 2013/36/UE și a Regulamentul (UE) nr. 1093/2010 (JO 2014, L 60, p. 34):

„(55) Este esențial să se evalueze și să se verifice, înainte de încheierea contractului de credit, capacitatea și predispoziția consumatorului de a rambursa creditul. Această evaluare a bonității ar trebui să ia în considerare toți factorii necesari și relevanți care ar putea influența capacitatea consumatorului de a rambursa creditul pe durata acestuia. [...]

[...]

(59) Consultarea unei baze de date privind creditele este un instrument util pentru evaluarea bonității. [...]"

6 Articolul 18 din această directivă, intitulat „Obligația de a evalua bonitatea consumatorului", prevede la alineatul (1):

„Statele membre se asigură că, înainte de încheierea unui contract de credit, creditorul efectuează o evaluare amănunțită a bonității consumatorului. Evaluarea respectivă ține seama în mod adecvat de factorii care sunt relevanți pentru a verifica probabilitatea îndeplinirii de către consumator a obligațiilor care îi revin în temeiul contractului de credit."

7 Articolul 21 din directiva menționată, intitulat „Accesul la baze de date", prevede la alineatele (1) și (2):

„(1) Fiecare stat membru asigură accesul tuturor creditorilor din toate statele membre la bazele de date utilizate în statul membru respectiv pentru evaluarea bonității consumatorilor și pentru scopul exclusiv de a monitoriza respectarea de către consumatori a obligațiilor legate de credit pe toată durata contractului de credit. Condițiile de acces sunt nediscriminatorii.

(2) Alineatul (1) se aplică atât bazelor de date care sunt administrate de birouri de credit private sau de agenții de informații privind creditele, cât și registrelor publice."

Regulamentul (UE) 2015/848

8 Potrivit considerentului (76) al Regulamentului (UE) 2015/848 al Parlamentului European și al Consiliului din 20 mai 2015 privind procedurile de insolvență (JO 2015, L 141, p. 19):

„În vederea unei mai bune informări a creditorilor și a instanțelor relevante și pentru a preveni deschiderea de proceduri paralele de insolvență, statele membre ar trebui să aibă obligația de a publica informațiile relevante în cazurile transfrontaliere de insolvență într‑un registru electronic, accesibil publicului. Pentru a facilita accesul creditorilor domiciliați în alt stat membru și al instanțelor cu sediul în alt stat membru la aceste informații, prezentul regulament ar trebui să prevadă interconectarea unor astfel de registre de insolvență prin intermediul portalului european e‑Justiție. [...]"

9 Articolul 79 din acest regulament, intitulat „Responsabilitățile statelor membre cu privire la prelucrarea datelor cu caracter personal în registrele naționale de insolvență", prevede la alineatele (4) și (5):

„(4) Statele membre răspund, în conformitate cu Directiva 95/46/CE [a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10)], de colectarea și stocarea datelor în bazele de date naționale, precum și de deciziile luate cu privire la punerea acestor date la dispoziție în registrul interconectat care poate fi consultat prin intermediul portalului european e‑Justiție.

(5) Ca parte a informațiilor care ar trebui furnizate persoanelor vizate astfel încât să li se permită să își exercite drepturile, în special dreptul la ștergerea datelor, statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență."

RGPD

10 Potrivit considerentelor (10), (11), (47), (50), (98), (141) și (143) ale RGPD:

„(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. [...]

(11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, ci și competențe echivalente pentru monitorizarea și asigurarea conformității cu normele de protecție a datelor cu caracter personal și sancțiuni echivalente pentru infracțiuni în statele membre.

[...]

(47) Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul. Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și adecvată între persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului sau se află în serviciul acestuia. În orice caz, existența unui interes legitim ar necesita o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Interesele și drepturile fundamentale ale persoanei vizate ar putea prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară. [...]

[...]

(50) Prelucrarea datelor cu caracter personal în alte scopuri decât scopurile pentru care datele cu caracter personal au fost inițial colectate ar trebui să fie permisă doar atunci când prelucrarea este compatibilă cu scopurile respective pentru care datele cu caracter personal au fost inițial colectate. În acest caz nu este necesar un temei juridic separat de cel pe baza căruia a fost permisă colectarea datelor cu caracter personal. [...] Pentru a stabili dacă scopul prelucrării ulterioare este compatibil cu scopul pentru care au fost colectate inițial datele cu caracter personal, operatorul, după ce a îndeplinit toate cerințele privind legalitatea prelucrării inițiale, ar trebui să țină seama, printre altele, de orice legătură între respectivele scopuri și scopurile prelucrării ulterioare preconizate, de contextul în care au fost colectate datele cu caracter personal, în special de așteptările rezonabile ale persoanelor vizate, bazate pe relația lor cu operatorul, în ceea ce privește utilizarea ulterioară a datelor, de natura datelor cu caracter personal, de consecințele prelucrării ulterioare preconizate asupra persoanelor vizate, precum și de existența garanțiilor corespunzătoare atât în cadrul operațiunilor de prelucrare inițiale, cât și în cadrul operațiunilor de prelucrare ulterioare preconizate.

[...]

(98) Asociațiile sau alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori ar trebui încurajate să elaboreze coduri de conduită, în limitele prezentului regulament, astfel încât să se faciliteze aplicarea efectivă a prezentului regulament, luându‑se în considerare caracteristicile specifice ale prelucrării efectuate în anumite sectoare și necesitățile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii. În special, astfel de coduri de conduită ar putea să ajusteze obligațiile operatorilor și ale persoanelor împuternicite de operatori, ținând seama de riscul aferent prelucrării care este susceptibil de a fi generat pentru drepturile și libertățile persoanelor fizice.

[...]

(141) Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o singură autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, precum și dreptul la o cale de atac eficientă în conformitate cu articolul 47 din cartă, în cazul în care persoana vizată consideră că drepturile sale în temeiul prezentului regulament sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere, respinge sau refuză parțial sau total o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate. Investigația în urma unei plângeri ar trebui să fie efectuată, sub control judiciar, în măsura în care este necesar, în funcție de caz. Autoritatea de supraveghere ar trebui să informeze persoana vizată cu privire la evoluția și soluționarea plângerii într‑un termen rezonabil. [...]

[...]

(143) [...] [O]rice persoană fizică sau juridică ar trebui să aibă dreptul la o cale de atac judiciară eficientă în fața instanței naționale competente împotriva unei decizii a unei autorități de supraveghere care produce efecte juridice privind respectiva persoană. O astfel de decizie se referă în special la exercitarea competențelor de investigare, corective și de autorizare de către autoritatea de supraveghere sau la refuzul sau respingerea plângerilor. Cu toate acestea, dreptul la o cale de atac judiciară eficientă nu include măsuri ale autorităților de supraveghere care nu sunt obligatorii din punct de vedere juridic, cum ar fi avizele emise de autoritatea de supraveghere sau consiliere furnizată de aceasta. Acțiunile împotriva unei autorități de supraveghere ar trebui să fie aduse în fața instanțelor statului membru în care este stabilită autoritatea de supraveghere și ar trebui să se desfășoare în conformitate cu dreptul procesual al statului membru respectiv. Respectivele instanțe ar trebui să își exercite competența judiciară deplină, care ar trebui să includă competența de a examina toate aspectele de fapt sau de drept care au relevanță pentru litigiul cu care acestea sunt sesizate.

În cazul în care o plângere a fost respinsă sau refuzată de o autoritate de supraveghere, reclamantul poate introduce o acțiune la instanțele din același stat membru. În contextul căilor de atac judiciare privind aplicarea prezentului regulament, instanțele naționale care consideră necesară o decizie privind chestiunea respectivă pentru a le permite să ia o hotărâre pot sau, în cazul prevăzut la articolul 267 din TFUE, trebuie să solicite Curții de Justiție să pronunțe o decizie preliminară privind interpretarea dreptului Uniunii, inclusiv a prezentului regulament. [...]"

11 Articolul 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal", are următorul cuprins:

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată ("legalitate, echitate și transparență");

[...]

(c) adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate ("reducerea la minimum a datelor");

[...]

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

12 Articolul 6 din regulamentul menționat, intitulat „Legalitatea prelucrării", prevede:

„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[...]

(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

[...]

(4) În cazul în care prelucrarea în alt scop decât cel pentru care datele cu caracter personal au fost colectate nu se bazează pe consimțământul persoanei vizate sau pe dreptul Uniunii sau dreptul intern, care constituie o măsură necesară și proporțională într‑o societate democratică pentru a proteja obiectivele menționate la articolul 23 alineatul (1), operatorul, pentru a stabili dacă prelucrarea în alt scop este compatibilă cu scopul pentru care datele cu caracter personal au fost colectate inițial, ia în considerare, printre altele:

(a) orice legătură dintre scopurile în care datele cu caracter personal au fost colectate și scopurile prelucrării ulterioare preconizate;

(b) contextul în care datele cu caracter personal au fost colectate, în special în ceea ce privește relația dintre persoanele vizate și operator;

(c) natura datelor cu caracter personal, în special în cazul prelucrării unor categorii speciale de date cu caracter personal, în conformitate cu articolul 9, sau în cazul în care sunt prelucrate date cu caracter personal referitoare la condamnări penale și infracțiuni, în conformitate cu articolul 10;

(d) posibilele consecințe asupra persoanelor vizate ale prelucrării ulterioare preconizate;

(e) existența unor garanții adecvate, care pot include criptarea sau pseudonimizarea."

13 Articolul 17 din RGPD, intitulat „Dreptul la ștergerea datelor ("dreptul de a fi uitat")", prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:

[...]

(c) persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) și nu există motive legitime [imperioase] care să prevaleze în ceea ce privește prelucrarea sau persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (2);

(d) datele cu caracter personal au fost prelucrate ilegal;

[...]"

14 Articolul 21 din acest regulament, intitulat „Dreptul la opoziție", prevede la alineatele (1) și (2):

„(1) În orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f), a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

(2) Atunci când prelucrarea datelor cu caracter personal are drept scop marketingul direct, persoana vizată are dreptul de a se opune în orice moment prelucrării în acest scop a datelor cu caracter personal care o privesc, inclusiv creării de profiluri, în măsura în care este legată de marketingul direct respectiv."

15 Articolul 40 din regulamentul menționat, intitulat „Coduri de conduită", prevede la alineatele (1), (2) și (5):

„(1) Statele membre, autoritățile de supraveghere, comitetul și Comisia [Europeană] încurajează elaborarea de coduri de conduită menite să contribuie la buna aplicare a prezentului regulament, ținând seama de caracteristicile specifice ale diverselor sectoare de prelucrare și de nevoile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii.

(2) Asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot pregăti coduri de conduită sau le pot modifica sau extinde pe cele existente, în scopul de a specifica modul de aplicare a prezentului regulament, cum ar fi în ceea ce privește:

(a) prelucrarea în mod echitabil și transparent;

(b) interesele legitime urmărite de operatori în contexte specifice;

(c) colectarea datelor cu caracter personal;

[...]

(5) Asociațiile și alte organisme menționate la alineatul (2) din prezentul articol care intenționează să pregătească un cod de conduită sau să modifice sau să extindă un cod existent transmit proiectul de cod, de modificare sau de extindere autorității de supraveghere care este competentă în temeiul articolului 55. Autoritatea de supraveghere emite un aviz cu privire la conformitatea cu prezentul regulament a proiectului de cod, de modificare sau de extindere și îl aprobă în cazul în care se constată că acesta oferă garanții adecvate suficiente."

16 Articolul 51 din RGPD, intitulat „Autoritatea de supraveghere", prevede la alineatul (1):

„Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii ("autoritatea de supraveghere")."

17 Articolul 52 din acest regulament, intitulat „Independență", prevede la alineatele (1), (2) și (4):

„(1) Fiecare autoritate de supraveghere beneficiază de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu prezentul regulament.

(2) Membrul sau membrii fiecărei autorități de supraveghere, în cadrul îndeplinirii sarcinilor și al exercitării competențelor sale (lor) în conformitate cu prezentul regulament, rămâne (rămân) independent (independenți) de orice influență externă directă sau indirectă și nici nu solicită, nici nu acceptă instrucțiuni de la o parte externă.

[...]

(4) Fiecare stat membru se asigură că fiecare autoritate de supraveghere beneficiază de resurse umane, tehnice și financiare, de un sediu și de infrastructura necesară pentru îndeplinirea sarcinilor și exercitarea efectivă a competențelor sale, inclusiv a celor care urmează să fie aplicate în contextul asistenței reciproce, al cooperării și al participării în cadrul comitetului."

18 Articolul 57 din regulamentul menționat, intitulat „Sarcini", prevede la alineatul (1):

„Fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament, fiecare autoritate de supraveghere, pe teritoriul său:

(a) monitorizează și asigură aplicarea prezentului regulament;

[...]

(f) tratează plângerile depuse de o persoană vizată, un organism, o organizație sau o asociație în conformitate cu articolul 80 și investighează într‑o măsură adecvată obiectul plângerii și informează reclamantul cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil, în special dacă este necesară efectuarea unei investigații mai amănunțite sau coordonarea cu o altă autoritate de supraveghere;

[...]"

19 Articolul 58 din RGPD, intitulat „Competențe", enumeră, la alineatul (1), competențele de investigare de care dispune fiecare autoritate de supraveghere și, la alineatul (2), măsurile corective pe care aceasta le poate adopta.

20 Articolul 77 din acest regulament, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere", prevede:

„(1) Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.

(2) Autoritatea de supraveghere la care s‑a depus plângerea informează reclamantul cu privire la evoluția și rezultatul plângerii, inclusiv posibilitatea de a exercita o cale de atac judiciară în temeiul articolului 78."

21 Articolul 78 din regulamentul menționat, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere", prevede la alineatele (1) și (2):

„(1) Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

(2) Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77."

22 Articolul 79 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator", prevede la alineatul (1):

„Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament."

Dreptul german

23 Potrivit articolului 9 alineatul (1) din Insolvenzordnung (Codul insolvenței) din 5 octombrie 1994 (BGBl. 1994 I, p. 2866), în versiunea aplicabilă situației de fapt din litigiile principale:

„Publicitatea oficială se realizează prin intermediul unei publicări pe internet la nivel central și al Länder; aceasta poate fi efectuată în extras. În acest scop, debitorul trebuie identificat cu precizie, în special prin indicarea adresei și a domeniului său comercial. Se consideră că publicitatea este efectivă la două zile de la data publicării."

24 Articolul 3 din Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Regulamentul privind publicitatea oficială difuzată pe internet în cadrul procedurilor de insolvență) din 12 februarie 2002 (BGBl. I, p. 677, denumit în continuare „InsoBekV") prevede la alineatele (1) și (2):

„(1) Publicarea într‑un sistem electronic de informare și de comunicare a datelor provenite dintr‑o procedură de insolvență, inclusiv din procedura de deschidere, este ștearsă în termen de cel mult șase luni de la anularea procedurii de insolvență sau de la data la care suspendarea acestei proceduri a rămas definitivă. În cazul nedeschiderii procedurii, termenul începe să curgă de la anularea măsurilor asigurătorii publicate.

(2) În ceea ce privește publicările din cadrul procedurii de liberare de restul de datorie, inclusiv ordonanța menționată la articolul 289 din Codul insolvenței, se aplică alineatul (1) prima teză, cu condiția ca termenul să înceapă să curgă de la data la care decizia privind liberarea de restul de datorie devine definitivă."

Litigiile principale și întrebările preliminare

25 În cadrul procedurilor de insolvență care li se aplică, UF și AB au beneficiat de decizii judecătorești de liberare anticipată de restul de datorie, care au fost pronunțate la 17 decembrie 2020 și, respectiv, la 23 martie 2021. Conform articolului 9 alineatul (1) din Codul insolvenței, precum și articolului 3 alineatele (1) și (2) din InsoBekV, publicitatea oficială pe internet a acestor decizii a fost ștearsă la expirarea unui termen de șase luni începând de la deciziile menționate.

26 SCHUFA este o societate privată care furnizează informații comerciale și care înregistrează și stochează, în propriile baze de date, informații provenite din registre publice, în special cele referitoare la liberări de restul de datorie. Ea șterge aceste din urmă informații la expirarea unui termen de trei ani de la înregistrare, în conformitate cu codul de conduită elaborat în Germania de asociația ce regrupează societățile care furnizează informații comerciale și aprobat de autoritatea de supraveghere competentă.

27 UF și AB s‑au adresat SCHUFA pentru a obține de la aceasta ștergerea înscrierilor referitoare la deciziile de liberare de restul de datorie ale căror destinatari au fost. Această societate a refuzat să le admită cererile, după ce a explicat că activitatea sa avea loc cu respectarea RGPD și că termenul de ștergere de șase luni prevăzut la articolul 3 alineatul (1) din InsoBekV nu îi era aplicabil.

28 UF și AB au depus fiecare o plângere la HBDI în calitate de autoritate de supraveghere competentă.

29 Prin deciziile pronunțate la 1 martie 2021 și, respectiv, la 9 iulie 2021, HBDI a considerat că prelucrarea datelor efectuată de SCHUFA era legală.

30 UF și AB au formulat fiecare o acțiune împotriva deciziei HBDI la Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania), instanța de trimitere. În susținerea acestor acțiuni, ei au arătat că HBDI avea obligația, în cadrul sarcinilor și al competențelor sale, să adopte măsuri împotriva SCHUFA pentru a‑i impune să efectueze ștergerea înscrierilor care îi priveau.

31 În apărare, HBDI a solicitat respingerea acțiunilor.

32 Pe de o parte, HBDI a susținut că dreptul de a depune o plângere prevăzut la articolul 77 alineatul (1) din RGPD este conceput numai ca un drept de petiționare. Astfel, controlul jurisdicțional s‑ar limita să verifice dacă autoritatea de supraveghere a tratat plângerea și l‑a informat pe autorul ei cu privire la progresele și la soluționarea acestei plângeri. În schimb, instanța sesizată nu ar avea sarcina de a controla exactitatea pe fond a deciziei de soluționare a plângerii.

33 Pe de altă parte, HBDI a subliniat că datele la care au acces societățile care furnizează informații comerciale pot fi stocate atât timp cât acest lucru este necesar în scopurile pentru care au fost stocate. În lipsa unei reglementări prevăzute de legiuitorul național, autoritățile de supraveghere ar fi adoptat coduri de conduită, iar cel elaborat de asociația ce regrupează societățile care furnizează informații comerciale ar prevedea ștergerea acestor date după exact trei ani de la înscrierea în fișier.

34 În această privință, în primul rând, instanța de trimitere consideră necesar să clarifice natura juridică a deciziei pe care autoritatea de supraveghere o adoptă după ce a fost sesizată cu o plângere în temeiul articolului 77 alineatul (1) din RGPD.

35 În special, instanța menționată are îndoieli cu privire la argumentația HBDI, din moment ce aceasta ar aduce atingere caracterului efectiv al căii de atac judiciare prevăzute la articolul 78 alineatul (1) din RGPD. În plus, având în vedere obiectivul acestui regulament, care, în cadrul punerii în aplicare a articolelor 7 și 8 din cartă, constă în asigurarea unei protecții efective a drepturilor și libertăților fundamentale ale persoanelor fizice, articolele 77 și 78 din regulamentul menționat nu pot primi o interpretare restrictivă.

36 Această instanță preconizează o interpretare potrivit căreia decizia adoptată pe fond de autoritatea de supraveghere trebuie să fie supusă unui control complet al instanței. Autoritatea de supraveghere ar dispune însă atât de o putere de apreciere, cât și de o putere discreționară și nu ar putea fi obligată să acționeze decât atunci când nu pot fi identificate opțiuni legale.

37 În al doilea rând, instanța de trimitere ridică, în două privințe, problema legalității stocării de către societățile care furnizează informații comerciale a unor date referitoare la bonitatea unei persoane care provin din registre publice precum registrul de insolvență.

38 Primo, ar exista îndoieli cu privire la legalitatea stocării de către o societate privată cum este SCHUFA, în propriile baze de date, a datelor transferate din registrele publice.

39 Astfel, mai întâi, această stocare ar interveni nu într‑un caz concret, ci în eventualitatea în care partenerii lor contractuali le‑ar solicita asemenea informații și ar conduce, în cele din urmă, la o păstrare a acestor date, mai ales atunci când ele au fost deja șterse din registrul public ca urmare a expirării termenului de stocare.

40 Pe de altă parte, o prelucrare și, așadar, o stocare de date ar fi permise numai dacă este îndeplinită una dintre condițiile prevăzute la articolul 6 alineatul (1) din RGPD. În speță ar fi luată în considerare doar condiția prevăzută la articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament. Or, ar fi îndoielnic ca o societate care furnizează informații comerciale precum SCHUFA să urmărească un interes legitim în sensul acestei dispoziții.

41 În sfârșit, SCHUFA ar fi doar o societate printre alte societăți care furnizează informații comerciale, astfel încât datele ar fi stocate în Germania în mai multe forme, ceea ce ar implica o atingere masivă adusă dreptului fundamental consacrat la articolul 7 din cartă.

42 Secundo, chiar dacă se presupune că stocarea de către societăți private a unor date provenite din registre publice ar fi legală ca atare, s‑ar ridica problema duratei posibile a unei asemenea stocări.

43 În această privință, instanța de trimitere consideră că acestor societăți private ar trebui să li se impună să respecte termenul de șase luni prevăzut la articolul 3 din InsoBekV referitor la stocarea în registrul de insolvență a deciziilor de liberare de restul de datorie. Astfel, datele care trebuie șterse dintr‑un registru public ar trebui de asemenea șterse concomitent la toate societățile private care furnizează informații comerciale și care au stocat aceste date.

44 De altfel, s‑ar ridica problema dacă este necesar ca un cod de conduită aprobat în conformitate cu articolul 40 din RGPD, care prevede un termen de ștergere de trei ani pentru înscrierea referitoare la liberarea de restul de datorie, să fie luat în considerare la evaluarea comparativă care trebuie efectuată în cadrul aprecierii realizate în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

45 În aceste condiții, Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden) a hotărât să suspende judecarea cauzelor și să adreseze Curții următoarele întrebări preliminare:

„1) Articolul 77 alineatul (1) coroborat cu articolul 78 alineatul (1) din [RGPD] trebuie interpretat în sensul că rezultatul autorității de supraveghere pe care aceasta îl comunică persoanei vizate

- are caracterul unui răspuns la o petiție? Aceasta are drept consecință faptul că controlul jurisdicțional al unei decizii privind plângerea adoptate de o autoritate de supraveghere în temeiul articolului 78 alineatul (1) din RGPD este, în principiu, limitat la problema dacă autoritatea a tratat plângerea, a investigat în mod adecvat obiectul plângerii și l‑a informat pe petiționar cu privire la rezultatul examinării

sau

- trebuie interpretat ca fiind o decizie administrativă pe fond? Aceasta are drept consecință faptul că o decizie privind plângerea adoptată de o autoritate de supraveghere în temeiul articolului 78 alineatul (1) din RGPD trebuie analizată complet de către instanță, într‑un caz individual - de exemplu în cazul reducerii la zero a puterii discreționare -, autoritatea de supraveghere putând fi de asemenea obligată de instanță să adopte o măsură concretă în sensul articolului 58 din RGPD?

2) Stocarea datelor la o societate privată care furnizează informații comerciale, stocare în cadrul căreia sunt păstrate, fără un motiv concret, date cu caracter personal provenite dintr‑un registru public precum "bazele de date naționale", în sensul articolului 79 alineatele (4) și (5) din [Regulamentul 2015/848], pentru a putea furniza informații în cazul unei cereri, este compatibilă cu articolele 7 și 8 din [cartă]?

3) a) Bazele de date paralele private (în special bazele de date ale unei societăți care furnizează informații comerciale), create în plus față de bazele de date ale statului și în care datele provenite din bazele de date ale statului (în speță publicitatea referitoare la insolvență) sunt stocate mai mult timp decât este prevăzut în cadrul strict al Regulamentului 2015/848 coroborat cu dreptul național, sunt admisibile în principiu?

b) În cazul unui răspuns afirmativ la a treia întrebare litera a), dreptul de a fi uitat prevăzut la articolul 17 alineatul (1) litera (d) din RGPD implică faptul că aceste date trebuie șterse atunci când perioada de prelucrare prevăzută pentru registrul public a expirat?

4) În măsura în care articolul 6 alineatul (1) primul paragraf litera (f) din RGPD poate fi considerat drept temei juridic unic pentru stocarea datelor la societățile private de informații comerciale în ceea ce privește datele stocate și în registre publice, trebuie să se considere că există un interes legitim al unei societăți care furnizează informații comerciale atunci când această societate de informații preia datele din evidențele publice fără un motiv concret, pentru ca aceste date să fie ulterior disponibile în cazul unei cereri?

5) Codurile de conduită aprobate de autoritățile de supraveghere în temeiul articolului 40 din RGPD și care prevăd termene de examinare și de ștergere care depășesc perioadele de stocare ale registrelor publice pot suspenda evaluarea comparativă prevăzută la articolul 6 alineatul (1) primul paragraf litera (f) din RGPD?"

46 Prin decizia președintelui Curții din 11 februarie 2022, cauzele C‑26/22 și C‑64/22 au fost conexate pentru buna desfășurare a fazelor scrise și orale ale procedurii, precum și în vederea pronunțării hotărârii.

Cu privire la întrebările preliminare

Cu privire la prima întrebare

47 Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 78 alineatul (1) din RGPD trebuie interpretat în sensul că controlul jurisdicțional exercitat asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere se limitează la chestiunea dacă autoritatea respectivă a tratat plângerea, a investigat în mod adecvat obiectul acesteia și l‑a informat pe autorul plângerii cu privire la rezultatul examinării sau dacă această decizie este supusă unui control jurisdicțional complet, care include competența instanței sesizate de a impune autorității de supraveghere să ia o măsură concretă.

48 Pentru a răspunde la această întrebare, trebuie amintit, cu titlu introductiv, că interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte (Hotărârea din 22 iunie 2023, Pankki S, C‑579/21, EU:C:2023:501, punctul 38 și jurisprudența citată).

49 În ceea ce privește termenii articolului 78 alineatul (1) din RGPD, această dispoziție prevede că, fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

50 În această privință, trebuie să se arate de la bun început că, în speță, deciziile adoptate de HDBI constituie decizii obligatorii din punct de vedere juridic, în sensul articolului 78 alineatul (1) menționat. Astfel, după ce a examinat temeinicia plângerilor cu care a fost sesizată, această autoritate a constatat că prelucrarea datelor cu caracter personal contestată de reclamanții din litigiile principale era legală în temeiul RGPD. Caracterul obligatoriu din punct de vedere juridic al acestor decizii este de altfel confirmat de considerentul (143) al acestui regulament, potrivit căruia refuzul sau respingerea unei plângeri de către o autoritate de supraveghere constituie o decizie care produce efecte juridice față de autorul plângerii respective.

51 Trebuie să se arate de asemenea că reiese în mod explicit din această dispoziție, interpretată în lumina considerentului (141) al acestui regulament, că orice persoană vizată are dreptul la o cale de atac judiciară „eficientă", în conformitate cu articolul 47 din cartă.

52 Astfel, Curtea a statuat deja că din articolul 78 alineatul (1) din RGPD, interpretat în lumina considerentului (143) al acestui regulament, rezultă că instanțele sesizate cu o cale de atac împotriva unei decizii a unei autorități de supraveghere ar trebui să dispună de o competență deplină, în special de cea de a examina toate chestiunile de fapt și de drept referitoare la litigiul cu care sunt sesizate (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 41).

53 Prin urmare, articolul 78 alineatul (1) din RGPD nu poate fi interpretat în sensul că acest control jurisdicțional exercitat asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere s‑ar limita la chestiunea dacă autoritatea respectivă a tratat plângerea, a investigat în mod adecvat obiectul acesteia și l‑a informat pe autorul plângerii cu privire la rezultatul examinării. Dimpotrivă, pentru ca o cale de atac judiciară să fie „eficientă", astfel cum impune această dispoziție, o asemenea decizie trebuie să fie supusă unui control jurisdicțional complet.

54 Această interpretare este confirmată de contextul în care se înscrie articolul 78 alineatul (1) din RGPD, precum și de obiectivele și de finalitatea pe care le urmărește acest regulament.

55 În ceea ce privește contextul care însoțește această dispoziție, trebuie să se arate că, în conformitate cu articolul 8 alineatul (3) din cartă, precum și cu articolul 51 alineatul (1) și cu articolul 57 alineatul (1) litera (a) din RGPD, autoritățile naționale de supraveghere sunt responsabile să supravegheze respectarea normelor Uniunii referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 107).

56 În special, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată, pe teritoriul său, să trateze plângerile pe care orice persoană, conform articolului 77 alineatul (1) din acest regulament, are dreptul de a le depune în cazul în care consideră că o prelucrare a datelor cu caracter personal care o vizează încalcă regulamentul menționat și să investigheze într‑o măsură adecvată obiectul acestora. Autoritatea de supraveghere trebuie să soluționeze o astfel de plângere cu toată diligența necesară (Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 109).

57 În vederea soluționării plângerilor depuse, articolul 58 alineatul (1) din RGPD învestește fiecare autoritate de control cu competențe importante de investigare. Atunci când o asemenea autoritate constată, la finalul investigației sale, o încălcare a dispozițiilor acestui regulament, ea este obligată să reacționeze în mod corespunzător pentru a remedia insuficiența constatată. În acest scop, articolul 58 alineatul (2) din regulamentul respectiv enumeră diferitele competențe corective pe care le are autoritatea de supraveghere (a se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 111).

58 Rezultă, astfel cum a arătat domnul avocat general la punctul 42 din concluzii, că procedura privind plângerea, care nu se aseamănă cu cea privind o petiție, este concepută ca un mecanism capabil să protejeze în mod eficient drepturile și interesele persoanelor vizate.

59 Or, având în vedere competențele extinse cu care este învestită autoritatea de supraveghere în temeiul RGPD, cerința unei protecții jurisdicționale efective nu ar fi îndeplinită dacă deciziile privind exercitarea de către o asemenea autoritate de supraveghere a unor competențe de investigare sau de adoptare a unor măsuri corective ar fi supuse doar unui control jurisdicțional restrâns.

60 Situația este aceeași în cazul deciziilor de respingere a unei plângeri, întrucât articolul 78 alineatul (1) din RGPD nu face distincție în funcție de natura deciziei adoptate de autoritatea de supraveghere.

61 Referitor la obiectivele urmărite de RGPD, reiese în special din considerentul (10) al acestuia că RGPD urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii. Considerentul (11) al acestui regulament enunță, în plus, că protecția efectivă a acestor date necesită consolidarea drepturilor persoanelor vizate.

62 Or, dacă articolul 78 alineatul (1) din regulamentul menționat ar trebui interpretat în sensul că acest control jurisdicțional pe care îl urmărește se limitează la a se verifica dacă autoritatea de supraveghere a tratat plângerea, a investigat în mod adecvat obiectul acesteia și l‑a informat pe autorul acesteia cu privire la rezultatul investigației, realizarea obiectivelor și urmărirea finalității aceluiași regulament ar fi neîndoielnic compromise.

63 Pe de altă parte, interpretarea acestei dispoziții potrivit căreia o decizie adoptată de o autoritate de supraveghere cu privire la o plângere este supusă unui control jurisdicțional complet nu repune în discuție garanțiile de independență de care beneficiază autoritățile de supraveghere și nici dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator.

64 În primul rând, este adevărat că, în conformitate cu articolul 8 alineatul (3) din cartă, respectarea normelor în materia protecției datelor cu caracter personal este supusă controlului unei autorități independente. În acest context, articolul 52 din RGPD precizează printre altele că fiecare autoritate de supraveghere beneficiază de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu acest regulament [alineatul (1)], că membrul sau membrii fiecărei autorități de supraveghere, în cadrul îndeplinirii sarcinilor și al exercitării competențelor sale (lor), rămâne (rămân) independent (independenți) de orice influență externă [alineatul (2)] și că fiecare stat membru se asigură că fiecare autoritate de supraveghere dispune de resursele necesare pentru îndeplinirea sarcinilor și exercitarea efectivă a competențelor sale [alineatul (4)].

65 Aceste garanții de independență nu sunt însă nicidecum compromise de faptul că deciziile obligatorii din punct de vedere juridic ale unei autorități de supraveghere sunt supuse unui control jurisdicțional complet.

66 În al doilea rând, în ceea ce privește dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator, prevăzut la articolul 79 alineatul (1) din RGPD, este necesar să se arate că, potrivit jurisprudenței Curții, căile de atac prevăzute la articolul 78 alineatul (1) și, respectiv, la articolul 79 alineatul (1) din acest regulament pot fi exercitate în mod concurent și independent (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 35 și dispozitivul). În acest context, Curtea a considerat printre altele că punerea la dispoziție a mai multor căi de atac consolidează obiectivul enunțat în considerentul (141) al regulamentului menționat de a garanta oricărei persoane interesate care apreciază că îi sunt încălcate drepturile ce îi sunt conferite de același regulament că dispune de dreptul la o cale de atac eficientă în conformitate cu articolul 47 din cartă (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 44).

67 În consecință și chiar dacă revine statelor membre, în acord cu principiul autonomiei procedurale, sarcina de a prevedea modalitățile de articulare a acestor căi de atac (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 45 și dispozitivul), existența dreptului la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator, prevăzut la articolul 79 alineatul (1) din RGPD, nu produce efecte asupra întinderii controlului jurisdicțional exercitat, în cadrul unei căi de atac formulate în temeiul articolului 78 alineatul (1) din acest regulament, asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere.

68 Cu toate acestea, este necesar să se adauge că, deși, astfel cum s‑a amintit la punctul 56 din prezenta hotărâre, autoritatea de supraveghere trebuie să trateze o plângere cu toată diligența necesară, această autoritate dispune, referitor la măsurile corective enumerate la articolul 58 alineatul (2) din RGPD, de o marjă de apreciere în ceea ce privește alegerea mijloacelor adecvate și necesare (a se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 112).

69 Or, deși instanța națională sesizată cu o cale de atac în temeiul articolului 78 alineatul (1) din RGPD trebuie să dispună, astfel cum s‑a constatat la punctul 52 din prezenta hotărâre, de o competență deplină pentru a examina toate chestiunile de fapt și de drept referitoare la litigiul respectiv, garantarea unei protecții jurisdicționale efective nu presupune ca aceasta să fie abilitată să substituie aprecierea acestei autorități cu propria apreciere referitoare la alegerea măsurilor corective adecvate și necesare, ci impune ca instanța respectivă să examineze dacă autoritatea de supraveghere a respectat limitele puterii sale de apreciere.

70 Ținând seama de ansamblul considerațiilor care precedă, este necesar să se răspundă la prima întrebare că articolul 78 alineatul (1) din RGPD trebuie interpretat în sensul că o decizie adoptată de o autoritate de supraveghere cu privire la o plângere este supusă unui control jurisdicțional complet.

Cu privire la întrebările a doua-a cincea

71 Prin intermediul întrebărilor a doua-a cincea, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească:

- dacă articolul 5 alineatul (1) litera (a) din RGPD coroborat cu articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament trebuie interpretat în sensul că se opune unei practici a unor societăți private care furnizează informații comerciale ce constă în stocarea în propriile baze de date a unor informații provenite dintr‑un registru public referitoare la acordarea unei liberări de restul de datorie în favoarea unor persoane fizice și în ștergerea acestor informații la sfârșitul unei perioade de trei ani, în conformitate cu un cod de conduită în sensul articolului 40 din același regulament, cu toate că durata de stocare a informațiilor menționate în registrul public este de șase luni, și

- dacă articolul 17 alineatul (1) literele (c) și (d) din RGPD trebuie interpretat în sensul că o societate privată care furnizează informații comerciale ce au preluat informații referitoare la acordarea unei liberări de restul de datorie dintr‑un registru public are obligația să le șteargă.

Cu privire la articolul 5 alineatul (1) litera (a) din RGPD

72 Potrivit articolului 5 alineatul (1) litera (a) din RGPD, datele cu caracter personal trebuie să fie prelucrate în mod legal, echitabil și transparent față de persoana vizată.

73 În acest context, articolul 6 alineatul (1) primul paragraf din acest regulament prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 90, precum și jurisprudența citată].

74 În speță, este cert că legalitatea prelucrării datelor cu caracter personal în discuție în litigiile principale trebuie să fie apreciată doar în lumina articolului 6 alineatul (1) primul paragraf litera (f) din RGPD. Potrivit acestei dispoziții, prelucrarea datelor cu caracter personal este legală numai dacă și în măsura în care este necesară în scopul intereselor legitime urmărite de operator sau de un terț, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

75 Astfel, pentru ca o prelucrare de date cu caracter personal să fie legală, dispoziția menționată prevede trei condiții cumulative și anume, în primul rând, urmărirea unui interes legitim de către operator sau de către un terț, în al doilea rând, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să prevaleze [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 106, precum și jurisprudența citată].

76 În ceea ce privește, în primul rând, condiția referitoare la urmărirea unui „interes legitim", în lipsa unei definiții a acestei noțiuni în RGPD, trebuie să se sublinieze, astfel cum a arătat domnul avocat general la punctul 61 din concluzii, că o gamă largă de interese poate fi considerată în principiu legitimă.

77 În ceea ce privește, în al doilea rând, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, aceasta impune instanței de trimitere să verifice dacă interesul legitim al prelucrării datelor urmărit nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 108, precum și jurisprudența citată].

78 În acest context, este necesar să se amintească de asemenea că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul „reducerii la minimum a datelor" consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate" [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 109, precum și jurisprudența citată].

79 În ceea ce privește, în al treilea rând, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, Curtea a statuat deja că aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză care depinde în principiu de împrejurările concrete ale cazului și că, în consecință, instanței de trimitere îi revine sarcina de a efectua această evaluare comparativă ținând seama de împrejurările specifice respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 110, precum și jurisprudența citată].

80 În plus, astfel cum reiese din considerentul (47) al RGPD, interesele și drepturile fundamentale ale persoanei vizate pot prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o asemenea prelucrare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 112].

81 Deși, în definitiv, instanței de trimitere îi revine, așadar, sarcina de a aprecia dacă, în privința prelucrării datelor cu caracter personal în discuție în litigiile principale, sunt îndeplinite cele trei condiții amintite la punctul 75 din prezenta hotărâre, Curtea, pronunțându‑se asupra trimiterii preliminare, poate oferi precizări destinate să orienteze instanța respectivă în această stabilire (a se vedea în acest sens Hotărârea din 20 octombrie 2022, Digi, C‑77/21, EU:C:2022:805, punctul 39 și jurisprudența citată).

82 În speță, în ceea ce privește urmărirea unui interes legitim, SCHUFA arată că societățile care furnizează informații comerciale prelucrează date necesare evaluării bonității persoanelor sau a întreprinderilor pentru a putea pune aceste informații la dispoziția partenerilor lor contractuali. Or, pe lângă faptul că această activitate ar proteja interesele economice ale întreprinderilor care doresc să încheie contracte de creditare, stabilirea bonității și furnizarea de informații privind bonitatea ar constitui temeiul creditului și al capacității de funcționare a economiei. Activitatea acestor societăți ar contribui de asemenea la îndeplinirea dezideratelor comerciale ale persoanelor interesate de operațiuni de creditare, întrucât informațiile ar permite o examinare rapidă și nebirocratică a acestor operațiuni.

83 În această privință, deși prelucrarea datelor cu caracter personal precum cea în discuție în litigiile principale servește intereselor economice ale SCHUFA, această prelucrare servește de asemenea urmăririi interesului legitim al partenerilor contractuali ai SCHUFA, care intenționează să încheie contracte în legătură cu un credit cu persoane, de a putea evalua bonitatea acestora din urmă și, prin urmare, a intereselor sectorului creditelor pe plan socioeconomic.

84 Într‑adevăr, în ceea ce privește contractele de credit pentru consumatori, din articolul 8 din Directiva 2008/48, citit în lumina considerentului (28) al acesteia, reiese că înainte de încheierea unui contract de credit creditorul are obligația să evalueze bonitatea consumatorului pe baza unui volum suficient de informații, inclusiv, dacă este cazul, de informații provenite din baze de date publice și private.

85 În plus, în ceea ce privește contractele de credit pentru consumatori referitoare la bunuri imobile rezidențiale, din articolul 18 alineatul (1) și din articolul 21 alineatul (1) din Directiva 2014/17, citite în lumina considerentelor (55) și (59) ale acesteia, reiese că creditorul trebuie să efectueze o evaluare riguroasă a bonității consumatorului și că el dispune de acces la bazele de date privind creditul, consultarea unor asemenea baze de date fiind un element util în scopul acestei evaluări.

86 Este necesar să se adauge că obligația de evaluare a bonității consumatorilor, astfel cum este prevăzută de Directivele 2008/48 și 2014/17, urmărește nu numai să protejeze solicitantul de credit, ci și, după cum se subliniază în considerentul (26) al Directivei 2008/48, să garanteze buna funcționare a sistemului de credit în ansamblul său.

87 Se impune totodată ca prelucrarea datelor să fie necesară pentru realizarea intereselor legitime urmărite de operator sau de un terț și ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate să nu prevaleze asupra acestora. În cadrul acestei evaluări comparative a drepturilor și a intereselor opuse în cauză, și anume cele ale operatorului și ale terților implicați, pe de o parte, și cele ale persoanei vizate, pe de altă parte, trebuie să se țină seama, astfel cum s‑a arătat la punctul 80 din prezenta hotărâre, în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective [a se vedea Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 116].

88 În ceea ce privește articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, Curtea a statuat că această dispoziție trebuie interpretată în sensul că o prelucrare poate fi considerată necesară în scopul intereselor legitime urmărite de operator sau de un terț, în sensul acestei dispoziții, numai dacă această prelucrare este efectuată în limitele strictului necesar pentru realizarea acestui interes legitim și dacă reiese dintr‑o evaluare comparativă a intereselor opuse, în raport cu ansamblul circumstanțelor relevante, că interesele sau libertățile și drepturile fundamentale ale persoanelor vizate de prelucrare nu prevalează asupra interesului legitim respectiv al operatorului sau al unui terț [a se vedea în acest sens Hotărârea din 4 mai 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punctul 30, precum și Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 126].

89 În acest context, instanța de trimitere se referă la două aspecte ale prelucrării datelor cu caracter personal în discuție în litigiile principale. În primul rând, această prelucrare ar implica o stocare multiformă a datelor, și anume nu numai într‑un registru public, ci și în bazele de date ale societăților care furnizează informații comerciale, cu precizarea că aceste societăți ar efectua stocarea nu cu ocazia unui caz concret, ci în eventualitatea în care partenerii lor contractuali le‑ar solicita asemenea informații. În al doilea rând, societățile respective ar stoca aceste date timp de trei ani, pe baza unui cod de conduită în sensul articolului 40 din RGPD, cu toate că legislația națională ar prevedea, în ceea ce privește registrul public, o perioadă de stocare de numai șase luni.

90 Referitor la primul dintre aceste aspecte, SCHUFA susține că ar fi imposibil să se furnizeze informații în timp util în cazul în care o societate care furnizează informații comerciale ar fi obligată să aștepte o solicitare concretă înainte de a putea să înceapă colectarea datelor.

91 În această privință, instanței de trimitere îi revine sarcina de a verifica dacă stocarea datelor în discuție de către SCHUFA în propriile baze de date este limitată la strictul necesar pentru realizarea interesului legitim urmărit, cu toate că datele în discuție pot fi consultate în registrul public și fără ca o întreprindere comercială să fi solicitat informații într‑un caz concret. Dacă nu aceasta ar fi situația, stocarea acestor date de către SCHUFA nu ar putea fi considerată ca fiind necesară în perioada punerii la dispoziția publicului a datelor respective.

92 În legătură cu perioada de stocare a datelor, trebuie să se considere că examinările celei de a doua și celei de a treia condiții amintite la punctul 75 din prezenta hotărâre se confundă în măsura în care aprecierea aspectului dacă, în speță, interesele legitime urmărite de prelucrarea datelor cu caracter personal în discuție în litigiile principale nu pot fi atinse în mod rezonabil printr‑o perioadă mai scurtă de stocare a datelor necesită o evaluare comparativă a drepturilor și a intereselor opuse în cauză.

93 În ceea ce privește evaluarea comparativă a intereselor legitime urmărite, este necesar să se arate că, în măsura în care analiza efectuată de o societate care furnizează informații comerciale face posibilă evaluarea obiectivă și fiabilă a bonității clienților potențiali ai partenerilor contractuali ai societății care furnizează aceste informații comerciale, ea permite compensarea unor disparități în informații și, așadar, reducerea riscurilor de fraudă, precum și a altor incertitudini.

94 În ceea ce privește, în schimb, drepturile și interesele persoanei vizate, prelucrarea datelor referitoare la acordarea unei liberări de restul de datorie care este efectuată de o societate care furnizează informații comerciale, precum stocarea, analiza și comunicarea acestor date unui terț, constituie o ingerință gravă în drepturile fundamentale ale persoanei vizate, consacrate la articolele 7 și 8 din cartă. Astfel, asemenea date sunt utilizate ca un factor negativ la evaluarea bonității persoanei vizate și constituie, așadar, informații sensibile cu privire la viața sa privată (a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 98). Prelucrarea lor poate vătăma în mod considerabil interesele persoanei vizate în cazul în care această comunicare este de natură să complice în mod semnificativ exercitarea libertăților sale, în special atunci când este vorba despre acoperirea unor nevoi de bază.

95 În plus, astfel cum a arătat Comisia, cu cât stocarea datelor în cauză de către societățile care furnizează informații comerciale este mai lungă, cu atât consecințele asupra intereselor și asupra vieții private ale persoanei vizate sunt mai importante și cu atât cerințele referitoare la legalitatea stocării acestor informații sunt mai ridicate.

96 Pe de altă parte, este necesar să se arate că, astfel cum reiese din considerentul (76) al Regulamentului 2015/848, obiectivul unui registru public de insolvență este o mai bună informare a creditorilor, precum și a instanțelor relevante. În acest context, articolul 79 alineatul (5) din acest regulament se limitează să prevadă că statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență, fără a stabili un termen pentru stocarea datelor respective. În schimb, din articolul 79 alineatul (4) din acest regulament reiese că statele membre răspund, în conformitate cu acesta, de colectarea și stocarea datelor cu caracter personal în bazele de date naționale. Termenul de stocare a acestor date trebuie să fie stabilit, așadar, cu respectarea regulamentului menționat.

97 În speță, legiuitorul german prevede că informația privind acordarea unei liberări de restul de datorie este stocată în registrul de insolvență doar timp de șase luni. Acesta consideră, așadar, că, după expirarea unui termen de șase luni, drepturile și interesele persoanei vizate prevalează asupra intereselor publicului de a dispune de această informație.

98 În plus, astfel cum a arătat domnul avocat general la punctul 75 din concluzii, liberarea de restul de datorie este menită să permită persoanei care beneficiază de aceasta să participe din nou la viața economică și are, prin urmare, în general, o importanță existențială pentru acea persoană. Or, realizarea acestui obiectiv ar fi compromisă în cazul în care societățile care furnizează informații comerciale ar putea, în scopul evaluării situației economice a unei persoane, să stocheze date referitoare la o liberare de restul de datorie și să utilizeze asemenea date după ce au fost șterse din registrul public de insolvență, în măsura în care datele respective sunt încă utilizate ca un factor negativ la evaluarea bonității unei asemenea persoane.

99 În aceste condiții, interesele sectorului creditelor de a dispune de informații cu privire la o liberare de restul de datorie nu pot justifica o prelucrare a datelor cu caracter personal precum cea în discuție în litigiile principale după expirarea termenului de stocare a datelor în registrul public de insolvență, astfel încât stocarea acestor date de către o societate care furnizează informații comerciale nu se poate întemeia pe articolul 6 alineatul (1) primul paragraf litera (f) din RGPD în ceea ce privește perioada ulterioară ștergerii datelor menționate dintr‑un registru public de insolvență.

100 Referitor la perioada de șase luni în care datele în discuție sunt deopotrivă disponibile în acest registru public este necesar să se arate că, deși efectele unei stocări în paralel a acestor date în baze de date ale unor asemenea societăți pot fi considerate mai puțin grave numai după curgerea celor șase luni, această stocare constituie totuși o ingerință în drepturile consacrate la articolele 7 și 8 din cartă. În această privință, Curtea a statuat deja că prezența acelorași date cu caracter personal în mai multe surse accentuează ingerința în dreptul persoanei la viață privată (a se vedea Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctele 86 și 87). Este de competența instanței de trimitere să evalueze comparativ interesele în discuție și efectele asupra persoanei vizate pentru a stabili dacă stocarea paralelă a acestor date de către societăți private care furnizează informații comerciale poate fi considerată ca fiind limitată la strictul necesar, astfel cum impune jurisprudența Curții citată la punctul 88 din prezenta hotărâre.

101 În sfârșit, în ceea ce privește existența, precum în speță, a unui cod de conduită care prevede că o societate care furnizează informații comerciale trebuie să șteargă datele referitoare la o liberare de restul de datorie după expirarea unui termen de trei ani, trebuie amintit că, în conformitate cu articolul 40 alineatele (1) și (2) din RGPD, codurile de conduită sunt menite să contribuie la buna aplicare a acestui regulament, ținând seama de caracteristicile specifice ale diverselor sectoare de prelucrare și de nevoile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii. Astfel, asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot elabora coduri de conduită sau le pot modifica ori extinde pe cele existente în scopul de a specifica modul de aplicare a acestui regulament, precum prelucrarea în mod echitabil și transparent, interesele legitime urmărite de operatori în contexte specifice și colectarea datelor cu caracter personal.

102 În plus, în temeiul articolului 40 alineatul (5) din RGPD, un proiect de cod este prezentat autorității de supraveghere competente, care îl aprobă în cazul în care constată că acesta oferă garanții adecvate suficiente.

103 În speță, codul de conduită în discuție în litigiile principale a fost elaborat de asociația ce regrupează societățile germane care furnizează informații comerciale și a fost aprobat de autoritatea de supraveghere competentă.

104 În aceste împrejurări, deși, conform articolului 40 alineatele (1) și (2) din RGPD, un cod de conduită este menit să contribuie la buna aplicare a acestui regulament și să îi specifice modul de aplicare, nu este mai puțin adevărat că, așa cum a arătat domnul avocat general la punctele 103 și 104 din concluzii, condițiile de legalitate a unei prelucrări a datelor cu caracter personal prevăzute de un asemenea cod nu pot fi diferite de condițiile prevăzute la articolul 6 alineatul (1) din RGPD.

105 Astfel, un cod de conduită care conduce la o apreciere diferită de cea care este obținută în aplicarea articolului 6 alineatul (1) primul paragraf litera (f) din RGPD nu poate fi luat în considerare în evaluarea comparativă efectuată în temeiul acestei dispoziții.

Cu privire la articolul 17 din RGPD

106 În sfârșit, instanța de trimitere ridică în esență problema obligațiilor ce revin unei societăți care furnizează informații comerciale în temeiul articolului 17 din RGPD.

107 În această privință, trebuie amintit că, în conformitate cu articolul 17 alineatul (1) litera (d) din RGPD, la care se referă instanța de trimitere, persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal, fără întârzieri nejustificate, în cazul în care datele cu caracter personal au fost prelucrate ilegal.

108 Prin urmare, potrivit modului clar de redactare a acestei dispoziții, în ipoteza în care instanța de trimitere ar trebui să concluzioneze, la finalul aprecierii sale cu privire la legalitatea prelucrării datelor cu caracter personal în discuție în litigiile principale, că această prelucrare nu este legală, operatorului, în speță SCHUFA, i‑ar reveni sarcina de a șterge datele în cauză, fără întârzieri nejustificate. Un asemenea caz ar fi, în conformitate cu constatările din cuprinsul punctului 99 din prezenta hotărâre, o prelucrare a datelor cu caracter personal care este efectuată după expirarea termenului de stocare a datelor de șase luni în registrul public de insolvență.

109 În ceea ce privește prelucrarea care intervine în perioada de șase luni în care datele sunt disponibile în registrul public de insolvență, în ipoteza în care instanța de trimitere ar trebui să concluzioneze că prelucrarea era conformă cu articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, s‑ar aplica articolul 17 alineatul (1) litera (c) din acest regulament.

110 Această dispoziție prevede dreptul la ștergerea datelor cu caracter personal în cazul în care persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) din RGPD și nu există „motive legitime [imperioase] care să prevaleze în ceea ce privește prelucrarea". În temeiul acestei din urmă dispoziții, persoana vizată are dreptul să se opună în orice moment, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) primul paragraf litera (e) sau (f) din RGPD, a datelor cu caracter personal care o privesc. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.

111 Rezultă din coroborarea acestor dispoziții că, astfel cum a arătat domnul avocat general la punctul 93 din concluzii, persoana vizată dispune de un drept de a se opune prelucrării și de un drept la ștergerea datelor, cu excepția cazului în care există motive legitime imperioase care prevalează asupra intereselor și a drepturilor și libertăților acestei persoane, în sensul articolului 21 alineatul (1) din RGPD, pe care operatorul trebuie să le demonstreze.

112 Prin urmare, în cazul în care operatorul nu efectuează o asemenea demonstrație, persoana vizată are dreptul de a solicita ștergerea datelor respective în temeiul articolului 17 alineatul (1) litera (c) din RGPD atunci când se opune prelucrării în conformitate cu articolul 21 alineatul (1) din acest regulament. Este de competența instanței de trimitere să examineze dacă există, cu titlu excepțional, motive legitime imperioase de natură să justifice prelucrarea în cauză.

113 Ținând seama de ansamblul considerațiilor care precedă, este necesar să se răspundă la întrebările a doua-a cincea în modul următor:

- articolul 5 alineatul (1) litera (a) din RGPD coroborat cu articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament trebuie interpretat în sensul că se opune unei practici a unor societăți private care furnizează informații comerciale ce constă în stocarea în propriile baze de date a unor informații provenite dintr‑un registru public referitoare la acordarea unei liberări de restul de datorie în favoarea unor persoane fizice pentru a putea furniza informații privind bonitatea acestor persoane pe o perioadă care depășește perioada în care datele sunt stocate în registrul public;

- articolul 17 alineatul (1) litera (c) din RGPD trebuie interpretat în sensul că persoana vizată are dreptul de a obține de la operator ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, atunci când ea se opune prelucrării în conformitate cu articolul 21 alineatul (1) din acest regulament și când nu există motive legitime imperioase de natură să justifice, cu titlu excepțional, prelucrarea în cauză;

- articolul 17 alineatul (1) litera (d) din RGPD trebuie interpretat în sensul că operatorul este obligat să șteargă, fără întârzieri nejustificate, datele cu caracter personal care au fost prelucrate ilegal.

Cu privire la cheltuielile de judecată

114 Întrucât, în privința părților din litigiile principale, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:

1) Articolul 78 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că o decizie adoptată de o autoritate de supraveghere cu privire la o plângere este supusă unui control jurisdicțional complet.
2) Articolul 5 alineatul (1) litera (a) din Regulamentul 2016/679 coroborat cu articolul 6 alineatul (1) primul paragraf litera (f) din acest regulament
trebuie interpretat în sensul că
se opune unei practici a unor societăți private care furnizează informații comerciale ce constă în stocarea în propriile baze de date a unor informații provenite dintr‑ un registru public referitoare la acordarea unei liberări de restul de datorie în favoarea unor persoane fizice pentru a putea furniza informații privind bonitatea acestor persoane pe o perioadă care depășește perioada în care datele sunt stocate în registrul public.

3) Articolul 17 alineatul (1) litera (c) din Regulamentul 2016/679
trebuie interpretat în sensul că persoana vizată are dreptul de a obține de la operator ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, atunci când ea se opune prelucrării în conformitate cu articolul 21 alineatul (1) din acest regulament și când nu există motive legitime imperioase de natură să justifice, cu titlu excepțional, prelucrarea în cauză.
4) Articolul 17 alineatul (1) litera (d) din Regulamentul 2016/679
trebuie interpretat în sensul că operatorul este obligat să șteargă, fără întârzieri nejustificate, datele cu caracter personal care au fost prelucrate ilegal.
Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Camera întâi) 7 decembrie 2023(*) „Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 5 alineatul (1) litera (a) - Principiul "legalității" - Articolul 6 alineatul (1) primul paragraf litera (f) - Necesitatea prelucrării în scopul

# data[].attributes.headline
Cauza CJUE C-203/22 - Dun & Bradstreet Austria (pending)

# data[].attributes.subject
Cauza CJUE C-203/22 - Dun & Bradstreet Austria (pending)

# data[].attributes.attachment_link.description
InfoCuria Case-law Home > Search form > List of results Start printing List of results Note of criteria selected: Case number = C-203/22 Modify the search List of results by case List of documents Search result: 1 case(s) 1 documents analysed 1/1 C-203/22 - Dun & Bradstreet Austria [Case in progress] Main proceedings Dun & Bradstreet AustriaCase C-203/22 Reports of Cases Information not available 1 / 1 Pages

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Camera întâi)

26 octombrie 2023(*)

„Trimitere preliminară - Prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolele 12, 15 și 23 - Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării - Dreptul de a obține gratuit o primă copie a acestor date - Prelucrare a datelor unui pacient de către medicul său - Registru medical - Motivele cererii de acces - Utilizarea datelor în scopul angajării răspunderii practicianului - Noțiunea de "copie""

În cauza C‑307/22,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Bundesgerichtshof (Curtea Federală de Justiție, Germania), prin decizia din 29 martie 2022, primită de Curte la 10 mai 2022, în procedura
FT
împotriva
DW
CURTEA (Camera întâi),

compusă din domnul A. Arabadjiev, președinte de cameră, domnii P. G. Xuereb, T. von Danwitz, A. Kumin și doamna I. Ziemele (raportoare), judecători,

avocat general: domnul N. Emiliou,

grefier: domnul A. Calot Escobar,

având în vedere procedura scrisă,

luând în considerare observațiile prezentate:

- pentru guvernul leton, de K. Pommere, în calitate de agent;

- pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher și H. Kranenborg, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 20 aprilie 2023,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 12 alineatul (5), a articolului 15 alineatul (3) și a articolului 23 alineatul (1) litera (i) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor, denumit în continuare „RGPD") (JO 2016, L 119, p. 1).

2 Această cerere a fost formulată în cadrul unui litigiu între FT, pe de o parte, și DW, pe de altă parte, cu privire la refuzul FT, medic stomatolog, de a‑i comunica cu titlu gratuit pacientului său o primă copie a registrului medical al acestuia.

Cadrul juridic

Dreptul Uniunii

3 Potrivit considerentului (4) al RGPD:

„[...] Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în [Carta drepturilor fundamentale ale Uniunii Europene] astfel cum sunt consacrate în tratate, în special respectarea [...] libertății de a desfășura o activitate comercială [...]"

4 Considerentele (10) și (11) ale RGPD au următorul cuprins:

„(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. [...]

(11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită [...] consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, [...]"

5 Potrivit considerentului (13) al RGPD:

„[...] În plus, instituțiile și organele Uniunii și statele membre și autoritățile lor de supraveghere sunt încurajate să ia în considerare necesitățile specifice ale microîntreprinderilor și ale întreprinderilor mici și mijlocii în aplicarea prezentului regulament. [...]"

6 Considerentul (58) al RGPD precizează:

„Principiul transparenței prevede că orice informații care se adresează publicului sau persoanei vizate să fie concise, ușor accesibile și ușor de înțeles și să se utilizeze un limbaj simplu și clar, precum și vizualizare acolo unde este cazul. Aceste informații ar putea fi furnizate în format electronic, de exemplu atunci când sunt adresate publicului, prin intermediul unui site. Acest lucru este important în special în situații în care, datorită multitudinii actorilor și a complexității, din punct de vedere tehnologic, a practicii, este dificil ca persoana vizată să știe și să înțeleagă dacă datele cu caracter personal care o privesc sunt colectate, de către cine și în ce scop, cum este cazul publicității online. Întrucât copiii necesită o protecție specifică, orice informații și orice comunicare, în cazul în care prelucrarea vizează un copil, ar trebui să fie exprimate într‑un limbaj simplu și clar, astfel încât copilul să îl poată înțelege cu ușurință."

7 Astfel cum se arată în considerentul (59) al RGPD:

„Ar trebui să fie prevăzute modalități de facilitare a exercitării de către persoana vizată a drepturilor care îi sunt conferite prin prezentul regulament, inclusiv mecanismele prin care aceasta poate solicita și, dacă este cazul, obține, în mod gratuit, în special, acces la datele cu caracter personal, precum și rectificarea sau ștergerea acestora, și exercitarea dreptului la opoziție. [...]"

8 Considerentul (63) al RGPD are următorul cuprins:

„O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. Acest lucru include dreptul persoanelor vizate de a avea acces la datele lor privind sănătatea, de exemplu datele din registrele lor medicale conținând informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată. [...]"

9 Articolul 4 din RGPD prevede:

„În sensul prezentului regulament:

(1) "date cu caracter personal" înseamnă orice informații privind o persoană fizică identificată sau identificabilă ("persoana vizată"); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;

(2) "prelucrare" înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

[...]"

10 Articolul 12 din RGPD prevede:

„(1) Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil. Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informațiile pot fi furnizate verbal, cu condiția ca identitatea persoanei vizate să fie dovedită prin alte mijloace.

(2) Operatorul facilitează exercitarea drepturilor persoanei vizate în temeiul articolelor 15-22. [...]

[...]

(5) Informațiile furnizate în temeiul articolelor 13 și 14 și orice comunicare și orice măsuri luate în temeiul articolelor 15-22 și 34 sunt oferite gratuit. În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:

(a) fie să perceapă o taxă rezonabilă ținând cont de costurile administrative pentru furnizarea informațiilor sau a comunicării sau pentru luarea măsurilor solicitate;

(b) fie să refuze să dea curs cererii.

În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.

[...]"

11 Articolul 15 din RGPD prevede:

„(1) Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

(a) scopurile prelucrării;

(b) categoriile de date cu caracter personal vizate;

(c) destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;

(d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;

(e) existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;

(f) dreptul de a depune o plângere în fața unei autorități de supraveghere;

(g) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;

(h) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.

(2) În cazul în care datele cu caracter personal sunt transferate către o țară terță sau o organizație internațională, persoana vizată are dreptul să fie informată cu privire la garanțiile adecvate în temeiul articolului 46 referitoare la transfer.

(3) Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. Pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. În cazul în care persoana vizată introduce cererea în format electronic și cu excepția cazului în care persoana vizată solicită un alt format, informațiile sunt furnizate într‑un format electronic utilizat în mod curent.

(4) Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora."

12 Articolele 16 și 17 din regulamentul menționat consacră dreptul persoanei vizate de a obține rectificarea datelor cu caracter personal care sunt inexacte (dreptul de rectificare) și, în anumite împrejurări, dreptul la ștergerea acestor date (dreptul la ștergerea datelor sau „dreptul de a fi uitat").

13 Articolul 18 din același regulament, intitulat „Dreptul la restricționarea prelucrării", prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului restricționarea prelucrării în cazul în care se aplică unul din următoarele cazuri:

(a) persoana vizată contestă exactitatea datelor, pentru o perioadă care îi permite operatorului să verifice exactitatea datelor;

(b) prelucrarea este ilegală, iar persoana vizată se opune ștergerii datelor cu caracter personal, solicitând în schimb restricționarea utilizării lor;

(c) operatorul nu mai are nevoie de datele cu caracter personal în scopul prelucrării, dar persoana vizată i le solicită pentru constatarea, exercitarea sau apărarea unui drept în instanță sau

(d) persoana vizată s‑a opus prelucrării în conformitate cu articolul 21 alineatul (1), pentru intervalul de timp în care se verifică dacă drepturile legitime ale operatorului prevalează asupra celor ale persoanei vizate."

14 Articolul 21 din RGPD, intitulat „Dreptul la opoziție", prevede la alineatul (1):

„În orice moment, persoana vizată are dreptul de a se opune, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f) a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță."

15 Potrivit articolului 23 alineatul (1) din RGPD:

„Dreptul Uniunii sau dreptul intern care se aplică operatorului de date sau persoanei împuternicite de operator poate restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 și 34, precum și la articolul 5 în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 12-22, atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura:

[...]

(i) protecția persoanei vizate sau a drepturilor și libertăților altora;

[...]"

Dreptul german

16 Potrivit articolului 630f din Bürgerliches Gesetzbuch (Codul civil, denumit în continuare „BGB"), practicianul este obligat să păstreze registrul medical al pacientului pe suport de hârtie sau electronic, în scopul documentării în legătură directă și cronologică cu tratamentul. Practicianul este obligat să consemneze în registrul medical al pacientului toate măsurile care, din punct de vedere profesional, sunt esențiale pentru tratamentul actual și viitor, precum și rezultatele acestora, în special istoricul medical, diagnosticele, examinările, rezultatele examinărilor, constatările, terapiile și efectele acestora, intervențiile și efectele acestora, acordurile și explicațiile date. Practicianul trebuie să păstreze registrul medical al pacientului timp de zece ani de la finalizarea tratamentului, cu excepția cazului în care există alte perioade de păstrare prevăzute de alte dispoziții.

17 În temeiul articolului 630g alineatul 1 prima teză din BGB, la cerere, pacientului i se acordă neîntârziat accesul la registrul său medical complet, cu excepția cazului în care există motive terapeutice importante sau alte drepturi substanțiale ale unor terți pentru care nu este permisă consultarea lui. Potrivit articolului 630g alineatul 2 prima teză din BGB, pacientul poate solicita de asemenea copii electronice ale registrului medical. Având în vedere expunerea de motive a legii, acest lucru trebuie înțeles în sensul că pacientul poate solicita prezentarea de copii fizice sau electronice, la alegere. Articolul 630g alineatul 2 a doua teză din BGB prevede că pacientul trebuie să îi ramburseze practicianului costurile aferente.

Litigiul principal și întrebările preliminare

18 DW a beneficiat de un tratament stomatologic la cabinetul lui FT. Suspectând săvârșirea unor erori cu ocazia tratamentului care i‑a fost acordat, DW i‑a solicitat lui FT remiterea, cu titlu gratuit, a unei prime copii a registrului său medical. FT i‑a comunicat lui DW că nu va răspunde favorabil solicitării sale decât dacă va suporta costurile legate de furnizarea copiei registrului medical, astfel cum se prevede în dreptul național.

19 DW a formulat acțiune împotriva lui FT. În primă instanță, precum și în apel, s‑a admis cererea formulată de DW de a i se remite, cu titlu gratuit, o primă copie a registrului său medical. Aceste decizii aveau la bază o interpretare a legislației naționale aplicabile în lumina articolului 12 alineatul (5), precum și a articolului 15 alineatele (1) și (3) din RGPD.

20 Sesizat cu recurs de FT, Bundesgerichtshof (Curtea Federală de Justiție, Germania) consideră că soluționarea litigiului depinde de interpretarea care trebuie dată dispozițiilor din RGPD.

21 Instanța de trimitere arată că, potrivit dreptului național, pacientul poate obține o copie a registrului său medical, cu condiția să îi ramburseze practicianului cheltuielile aferente.

22 Cu toate acestea, ar putea rezulta din articolul 15 alineatul (3) prima teză coroborat cu articolul 12 alineatul (5) prima teză din RGPD că operatorul, în speță practicianul, este obligat să îi remită cu titlu gratuit pacientului o primă copie a registrului său medical.

23 În primul rând, instanța de trimitere arată că DW solicită o primă copie a registrului său medical în vederea angajării răspunderii lui FT. O astfel de finalitate nu s‑ar încadra în cea menționată în considerentul (63) al RGPD, care conferă dreptul de acces la datele cu caracter personal pentru informarea cu privire la prelucrare și pentru verificarea legalității acesteia. Totuși, modul de redactare a articolului 15 din RGPD nu ar condiționa exercitarea dreptului la comunicare de astfel de motive. În plus, această dispoziție nu ar impune persoanei vizate să își motiveze cererea formulată.

24 În al doilea rând, instanța de trimitere subliniază că articolul 23 alineatul (1) din RGPD permite adoptarea unor măsuri legislative naționale care să restricționeze domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 din acest regulament în vederea garantării unuia dintre obiectivele prevăzute de această dispoziție. În speță, FT invocă obiectivul privind protecția drepturilor și libertăților altora menționat la articolul 23 alineatul (1) litera (i) din RGPD și susține că regimul tarifar prevăzut la articolul 630g alineatul 2 a doua teză din BGB este o măsură necesară și proporțională în scopul protejării intereselor legitime ale practicienilor, ce ar permite, la modul general, să se preîntâmpine solicitările făcute fără motiv de pacienții în cauză de a li se remite copii.

25 Cu toate acestea, pe de o parte, articolul 630g alineatul 2 a doua teză din BGB a fost adoptat înainte de intrarea în vigoare a RGPD.

26 Pe de altă parte, regimul tarifar prevăzut la articolul 630g alineatul 2 a doua teză din BGB urmărește în primul rând să protejeze interesele economice ale practicienilor. Prin urmare, ar fi necesar să se stabilească dacă interesul acestora din urmă de a fi scutiți de costurile și de sarcinile legate de remiterea copiilor unor date intră sub incidența drepturilor și libertăților altora în sensul articolului 23 alineatul (1) litera (i) din RGPD. De altfel, transferul sistematic către pacienți al cheltuielilor legate de copiile registrelor lor medicale ar putea părea excesiv, din moment ce nu ar ține seama de cuantumul costurilor efectiv ocazionate și nici de împrejurările specifice fiecărei cereri.

27 În al treilea rând, întrucât DW solicită remiterea unei copii a tuturor documentelor medicale care îl privesc, deci a registrului său medical, instanța de trimitere ridică problema domeniului de aplicare al dreptului de a obține o copie a datelor cu caracter personal care fac obiectul unei prelucrări, astfel cum este consacrat la articolul 15 alineatul (3) din RGPD. În această privință, acest drept ar putea fi respectat prin comunicarea unui rezumat al datelor prelucrate de medic. Totuși, obiectivele privind transparența și controlul legalității menționate în RGPD ar milita aparent pentru comunicarea unei copii a tuturor datelor de care dispune operatorul în formă brută, și anume toate documentele medicale referitoare la pacient, în măsura în care ele conțin astfel de date.

28 În acest context, Bundesgerichtshof (Curtea Federală de Justiție) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Articolul 15 alineatul (3) prima teză coroborat cu articolul 12 alineatul (5) din [RGPD] trebuie interpretat în sensul că operatorul (în speță, medicul stomatolog curant) nu este obligat să furnizeze, cu titlu gratuit, persoanei vizate (în speță, pacientul) o primă copie a datelor sale cu caracter personal prelucrate de operator în cazul în care persoana vizată nu solicită copia în scopurile menționate în prima teză a considerentului (63) al RGPD, și anume pentru a fi informată cu privire la prelucrarea datelor sale cu caracter personal și pentru a putea verifica legalitatea acesteia, ci în alt scop, care nu este legat de protecția datelor, dar care este legitim (în speță, verificarea existenței unor drepturi în temeiul legislației privind răspunderea medicală)?

2) În cazul unui răspuns negativ la a prima întrebare:

a) În conformitate cu articolul 23 alineatul (1) litera (i) din RGPD, o dispoziție națională a unui stat membru adoptată înainte de intrarea în vigoare a RGPD poate fi considerată de asemenea ca fiind o restricție privind dreptul la furnizarea, cu titlu gratuit, a unei copii a datelor cu caracter personal prelucrate de operator, astfel cum rezultă din articolul 15 alineatul (3) prima teză coroborat cu articolul 12 alineatul (5) din RGPD?

b) În cazul unui răspuns afirmativ la a doua întrebare litera a): articolul 23 alineatul (1) litera (i) din RGPD trebuie interpretat în sensul că drepturile și libertățile altor persoane pe care le prevede această dispoziție includ de asemenea interesul acestora de a fi scutite de costurile aferente furnizării unei copii a datelor, în temeiul articolului 15 alineatul (3) prima teză din RGPD, și de alte cheltuieli ocazionate de furnizarea copiei?

c) În cazul unui răspuns afirmativ la a doua întrebare litera b): în conformitate cu articolul 23 alineatul (1) litera (i) din RGPD, o dispoziție națională care, în contextul relației medic‑pacient, prevede un drept al medicului în raport cu pacientul la rambursarea costurilor, întotdeauna și indiferent de împrejurările concrete ale cazului individual, în situația în care medicul furnizează pacientului o copie a datelor cu caracter personal ale pacientului din registrul lui medical, poate fi considerată ca fiind o restricție privind drepturile și obligațiile care decurg din articolul 15 alineatul (3) prima teză coroborat cu articolul 12 alineatul (5) din RGPD?

3) În cazul unui răspuns negativ la prima întrebare și al unui răspuns negativ și la a doua întrebare literele a)-c): dreptul prevăzut la articolul 15 alineatul (3) prima teză din RGPD include, în contextul relației medic‑pacient, un drept la furnizarea de copii ale tuturor elementelor registrului medical care conține datele cu caracter personal ale acestuia sau vizează doar eliberarea unei copii a datelor cu caracter personal ale pacientului ca atare, lăsând la aprecierea medicului care prelucrează datele să decidă cu privire la modul în care compilează datele pacientului respectiv?"

Cu privire la întrebările preliminare

Cu privire la prima întrebare

29 Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 12 alineatul (5) și articolul 15 alineatele (1) și (3) din RGPD trebuie interpretate în sensul că operatorul are obligația de a furniza persoanei vizate, cu titlu gratuit, o primă copie a datelor sale cu caracter personal care fac obiectul unei prelucrări, chiar și atunci când această cerere este motivată în alt scop decât scopurile menționate în considerentul (63) prima teză al acestui regulament.

30 Cu titlu introductiv, trebuie amintit că, potrivit unei jurisprudențe constante, interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte [Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 29].

31 În ceea ce privește, în primul rând, modul de redactare a dispozițiilor relevante, trebuie arătat, pe de o parte, că articolul 12 alineatul (5) din RGPD stabilește principiul potrivit căruia exercitarea dreptului de acces al persoanei vizate la datele sale care fac obiectul prelucrării și la informațiile aferente nu presupune suportarea vreunei taxe de către persoana vizată. Pe de altă parte, această dispoziție are în vedere două motive pentru care un operator poate fie să factureze o taxă rezonabilă ținând cont de costurile administrative, fie să refuze să dea curs unei cereri. Aceste motive au legătură cu cazuri de abuz de drept, în care cererile persoanei în cauză sunt „vădit nefondate" sau „excesive", în special din cauza caracterului lor repetitiv.

32 În această privință, instanța de trimitere a arătat în mod expres că cererea persoanei în cauză nu este abuzivă.

33 Pe de altă parte, dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării și la informațiile aferente acestuia, care face parte integrantă din dreptul la protecția datelor cu caracter personal, este garantat de articolul 15 alineatul (1) din RGPD. Potrivit formulării acestei dispoziții, persoanele vizate au dreptul de acces la datele lor cu caracter personal care fac obiectul prelucrării.

34 În plus, din articolul 15 alineatul (3) din RGPD reiese că operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării și poate percepe o taxă rezonabilă pentru orice alte copii solicitate de persoana vizată. În această privință, alineatul (4) al acestui articol precizează că alineatul (3) al articolului menționat conferă un „drept" acestei persoane. Prin urmare, o astfel de plată poate fi solicitată de operator numai în cazul în care persoana vizată a primit deja, cu titlu gratuit, o primă copie a datelor sale și face din nou o cerere în acest sens.

35 Astfel cum a statuat Curtea deja, din analiza textuală a articolului 15 alineatul (3) prima teză din RGPD reiese că această dispoziție conferă persoanei vizate dreptul de a obține o reproducere fidelă a datelor sale cu caracter personal, înțelese într‑o accepțiune largă, care fac obiectul unor operațiuni care trebuie calificate drept prelucrare efectuată de operator (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 28).

36 Prin urmare, din coroborarea articolului 12 alineatul (5) cu articolul 15 alineatele (1) și (3) din RGPD reiese, pe de o parte, dreptul persoanei vizate de a obține o primă copie cu titlu gratuit a datelor sale cu caracter personal care fac obiectul prelucrării și, pe de altă parte, posibilitatea pe care o are operatorul în anumite condiții de a percepe o taxă rezonabilă ținând cont de costurile administrative sau de a refuza să dea curs unei cereri în cazul în care aceasta din urmă este în mod vădit nefondată sau excesivă.

37 În speță, este necesar să se arate că un medic care efectuează prelucrările vizate la articolul 4 punctul 2 din RGPD privind datele pacienților săi trebuie considerat un „operator" în sensul articolului 4 punctul 7 din acest regulament, supus obligațiilor pe care le implică această calitate, în special prin asigurarea unui acces la datele cu caracter personal la cererea persoanelor vizate.

38 Trebuie să se constate că nici modul de redactare a articolului 12 alineatul (5) din RGPD, nici cel al articolului 15 alineatele (1) și (3) din acest regulament nu condiționează furnizarea, cu titlu gratuit, a unei prime copii a datelor cu caracter personal de invocarea de către aceste persoane a unui motiv în justificarea cererilor lor. Prin urmare, aceste dispoziții nu oferă operatorului posibilitatea de a solicita motivele formulării cererii de acces de către persoana vizată.

39 În ceea ce privește, în al doilea rând, contextul în care se înscriu dispozițiile citate anterior, trebuie subliniat că articolul 12 face parte din secțiunea 1 din capitolul III din RGPD, referitoare în special la principiul transparenței menționat la articolul 5 alineatul (1) litera (a) din acest regulament.

40 Articolul 12 din RGPD prevede astfel obligații generale care revin operatorului în ceea ce privește transparența informațiilor și a comunicărilor, precum și modalitățile de exercitare a drepturilor persoanei vizate.

41 Articolul 15 din RGPD, care se regăsește în secțiunea 2 din capitolul III privind informarea și accesul la datele cu caracter personal, completează cadrul de transparență al RGPD, acordând persoanei vizate dreptul de acces la datele sale cu caracter personal și dreptul la informare cu privire la prelucrarea acestor date.

42 Se impune menționarea faptului că, în conformitate cu considerentul (59) al RGPD, „[a]r trebui să fie prevăzute modalități de facilitare a exercitării de către persoana vizată a drepturilor care îi sunt conferite prin prezentul regulament, inclusiv mecanismele prin care aceasta poate solicita și, dacă este cazul, obține, în mod gratuit, în special, acces la datele cu caracter personal, precum și rectificarea sau ștergerea acestora, și exercitarea dreptului la opoziție".

43 Din moment ce, astfel cum rezultă din cuprinsul punctului 38 din prezenta hotărâre, persoana vizată nu este obligată să motiveze cererea de acces la date, prima teză a considerentului (63) nu poate fi interpretată în sensul că această cerere trebuie respinsă dacă urmărește un alt obiectiv decât acela de a lua la cunoștință de prelucrarea datelor și de a verifica legalitatea acesteia. Acest considerent nu poate restricționa astfel domeniul de aplicare al articolului 15 alineatul (3) din RGPD, astfel cum a fost amintit la punctul 35 din prezenta hotărâre.

44 În această privință, trebuie amintit că rezultă dintr‑o jurisprudență constantă că preambulul unui act de drept al Uniunii nu are valoare juridică obligatorie și nu poate fi invocat nici pentru a deroga de la înseși dispozițiile actului în cauză, nici pentru a interpreta aceste dispoziții într‑un sens vădit contrar modului lor de redactare (Hotărârea din 13 septembrie 2018, Česká pojišťovna, C‑287/17, EU:C:2018:707, punctul 33).

45 În fond, considerentul (63) enunță, potrivit celei de a doua teze, că dreptul de acces la datele cu caracter personal recunoscut persoanelor vizate include, în ceea ce privește datele privind sănătatea, „datele din registrele lor medicale conținând informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată".

46 În aceste condiții, dreptul de acces la datele referitoare la sănătate garantat la articolul 15 alineatul (1) din RGPD nu poate fi limitat, prin refuzarea accesului sau prin impunerea plății unei contraprestații, la unul dintre motivele menționate în prima teză a considerentului (63). Situația este aceeași cu privire la dreptul de a obține o primă copie cu titlu gratuit, astfel cum prevăd articolul 12 alineatul (5) și articolul 15 alineatul (3) din acest regulament.

47 În al treilea rând, în ceea ce privește obiectivele urmărite de RGPD, trebuie arătat că acest regulament are ca finalitate, astfel cum se menționează în considerentele (10) și (11) ale acestuia, asigurarea unui nivel coerent și ridicat de protecție a persoanelor fizice în cadrul Uniunii, precum și consolidarea și clarificarea drepturilor persoanelor vizate.

48 Articolul 15 alineatul (1) garantează persoanei vizate un drept de acces la datele sale cu caracter personal tocmai pentru atingerea acestui obiectiv (a se vedea în acest sens Hotărârea din 22 iunie 2023, Pankki S, C‑579/21, EU:C:2023:501, punctul 57 și jurisprudența citată).

49 Prin urmare, articolul 12 alineatul (5) și articolul 15 alineatele (1) și (3) din RGPD se numără printre dispozițiile menite să garanteze acest drept de acces, precum și transparența modalităților de prelucrare a datelor cu caracter personal în raport cu persoana vizată [în acest sens, Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 42].

50 Or, principiul gratuității primei copii a datelor, precum și lipsa necesității de a invoca un motiv specific care să justifice cererea de acces contribuie obligatoriu la facilitarea exercitării de către persoana vizată a drepturilor care îi sunt conferite de RGPD.

51 În consecință, având în vedere importanța pe care RGPD o dă dreptului de acces la datele cu caracter personal care fac obiectul prelucrării, astfel cum este garantat la articolul 15 alineatul (1) din RGPD pentru atingerea unor astfel de obiective, exercitarea acestui drept nu poate fi supusă unor condiții care nu au fost prevăzute în mod expres de legiuitorul Uniunii, cum ar fi obligația de a invoca unul dintre motivele menționate în considerentul (63) prima teză al RGPD.

52 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la prima întrebare că articolul 12 alineatul (5) și articolul 15 alineatele (1) și (3) din RGPD trebuie interpretate în sensul că operatorul are obligația de a furniza persoanei vizate, cu titlu gratuit, o primă copie a datelor sale cu caracter personal care fac obiectul unei prelucrări, chiar și atunci când această cerere este motivată în alt scop decât scopurile menționate în considerentul (63) prima teză al acestui regulament.

Cu privire la a doua întrebare

53 Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 23 alineatul (1) litera (i) din RGPD trebuie interpretat în sensul că permite existența unei legislații naționale adoptate înainte de intrarea în vigoare a acestui regulament, care, pentru a proteja interesele economice ale operatorului, obligă persoana vizată la plata unei taxe pentru prima copie a datelor sale cu caracter personal ce fac obiectul acestei prelucrări.

54 În primul rând, în ceea ce privește aspectul dacă numai măsurile naționale adoptate după intrarea în vigoare a RGPD pot intra în sfera articolului 23 alineatul (1) din RGPD, trebuie subliniat că modul de redactare a acestei dispoziții nu conține nicio indicație în această privință.

55 Astfel, articolul 23 alineatul (1) din RGPD se limitează să indice că o măsură legislativă a unui stat membru poate restricționa domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 din acest regulament, cu condiția ca aceste măsuri să corespundă drepturilor și obligațiilor prevăzute la aceste articole și atunci când o astfel de restricție respectă esența libertăților și a drepturilor fundamentale și constituie o măsură necesară și proporțională pentru a garanta printre altele protecția drepturilor și libertăților altora.

56 Drept consecință, articolul 23 alineatul (1) din RGPD nu exclude din domeniul său de aplicare măsurile legislative naționale adoptate înainte de intrarea în vigoare a RGPD, în măsura în care acestea îndeplinesc condițiile prevăzute de acesta.

57 În al doilea rând, în ceea ce privește aspectul dacă o legislație națională care, în vederea protejării interesului economic al practicienilor, pune în sarcina pacientului taxele legate de furnizarea unei prime copii a registrului medical solicitat de acesta din urmă intră sub incidența articolului 23 alineatul (1) litera (i) din RGPD, trebuie amintit, primo, că, astfel cum reiese din cuprinsul punctelor 31 și 33-36 din prezenta hotărâre, persoanei vizate îi este recunoscut, potrivit articolului 12 alineatul (5) și al articolul 15 alineatele (1) și (3) din acest regulament, un drept de a obține o primă copie cu titlu gratuit a datelor sale cu caracter personal care fac obiectul unei prelucrări.

58 Cu toate acestea, a doua teză a articolului 15 alineatul (3) din RGPD permite operatorului să solicite plata unei taxe rezonabile bazate pe costurile administrative pentru orice copie suplimentară. Pe de altă parte, articolul 12 alineatul (5) din RGPD, interpretat în lumina articolului 15 alineatele (1) și (3) din acest regulament, permite operatorului să se protejeze de exercitarea abuzivă a dreptului de acces, impunând plata unei taxe rezonabile, în cazul unei cereri vădit nefondate sau excesive.

59 Secundo, în temeiul considerentului (4) al acestui regulament, dreptul la protecția datelor cu caracter personal nu este un drept absolut și trebuie să fie echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Astfel, RGPD respectă toate drepturile fundamentale, precum și libertățile și principiile recunoscute de Carta drepturilor fundamentale, consacrate prin tratate (Hotărârea din 24 februarie 2022, „SS" SIA, C‑175/20, EU:C:2022:124, punctul 53).

60 De fapt, articolul 15 alineatul (4) din RGPD prevede că „dreptul de a obține o copie nu aduce atingere drepturilor și libertăților altora".

61 De asemenea, articolul 23 alineatul (1) litera (i) din RGPD amintește că o restricționare a domeniului de aplicare al obligațiilor și al drepturilor prevăzute în special la articolul 15 din RGPD este posibilă atunci când o astfel de restricționare respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică pentru a asigura protecția „drepturilor și libertăților altora".

62 În consecință, din cuprinsul punctelor 59-61 din prezenta hotărâre rezultă că dreptul recunoscut persoanei vizate de a obține o primă copie cu titlu gratuit a datelor sale cu caracter personal care fac obiectul unei prelucrări nu este unul absolut.

63 Tertio, numai considerațiile referitoare la protecția drepturilor și a libertăților celorlalți ar fi de natură să justifice o restricționare a acestui drept, cu condiția ca o astfel de restricționare să îi respecte esența și să constituie o măsură necesară și proporțională pentru a garanta această protecție, astfel cum prevede articolul 23 alineatul (1) litera (i) din RGPD.

64 Or, astfel cum reiese din decizia de trimitere, regimul tarifar prevăzut la articolul 630g alineatul 2 a doua teză din BGB permite practicianului să se exonereze de obligația sa de a furniza o primă copie cu titlu gratuit a registrului medical solicitat de pacient, punând în sarcina acestuia din urmă costurile legate de furnizarea unei astfel de copii. Instanța de trimitere subliniază că acest regim urmărește, mai întâi, să protejeze interesele economice ale practicienilor, ceea ce ar descuraja pacienții să formuleze în mod inutil cereri de copiere a registrului lor medical. Astfel, în măsura în care legislația națională în discuție în litigiul principal are efectiv ca obiectiv protejarea intereselor economice ale practicienilor, aspect a cărui verificare este de competența instanței de trimitere, asemenea considerații nu pot intra sub incidența „drepturilor și libertăților altora" menționate la articolul 23 alineatul (1) litera (i) din RGPD.

65 Astfel, în primul rând, o asemenea legislație conduce la descurajarea nu numai a cererilor care ar fi inutile, ci și a cererilor privind obținerea, pentru un motiv legitim, a unei prime copii, cu titlu gratuit, a datelor cu caracter personal prelucrate. În consecință, ea ignoră în mod necesar principiul gratuității primei copii și, din acest motiv, contestă efectul util al dreptului de acces prevăzut la articolul 15 alineatul (1) din RGPD, precum și, prin aceasta, protecția garantată prin acest regulament.

66 În al doilea rând, din decizia de trimitere nu reiese că interesele protejate prin legislația națională ar depăși considerațiile de ordin pur administrativ sau economic.

67 În această privință, trebuie subliniat că interesele economice ale operatorilor au fost luate în considerare de legiuitorul Uniunii, potrivit articolului 12 alineatul (5) și articolului 15 alineatul (3) a doua teză din RGPD, care, astfel cum s‑a amintit la punctul 58 din prezenta hotărâre, definesc împrejurările în care operatorul poate solicita plata taxei legate de furnizarea unei copii a datelor cu caracter personal care fac obiectul prelucrării.

68 În aceste condiții, urmărirea obiectivului legat de protecția intereselor economice ale practicienilor nu poate justifica o măsură care conduce la contestarea dreptului de a obține, cu titlu gratuit, o primă copie și, astfel, a efectului util al dreptului de acces al persoanei vizate la datele sale cu caracter personal care fac obiectul unei prelucrări.

69 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la a doua întrebare că articolul 23 alineatul (1) litera (i) din RGPD trebuie interpretat în sensul că poate intra în domeniul de aplicare al acestei dispoziții o legislație națională adoptată înainte de intrarea în vigoare a acestui regulament. Cu toate acestea, o asemenea posibilitate nu permite adoptarea unei legislații naționale care, în vederea protejării intereselor economice ale operatorului, pune în sarcina persoanei vizate taxa pentru furnizarea unei prime copii a datelor sale cu caracter personal care fac obiectul acestei prelucrări.

Cu privire la a treia întrebare

70 Prin intermediul celei de a treia întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 15 alineatul (3) prima teză din RGPD trebuie interpretat în sensul că, în cadrul unei relații medic‑pacient, dreptul de a obține o copie a datelor cu caracter personal care fac obiectul unei prelucrări presupune să i se remită persoanei vizate o copie integrală a documentelor care figurează în registrul său medical și care conțin datele sale cu caracter personal sau numai o copie a acestor date ca atare.

71 Mai întâi, Curtea a statuat că, în conformitate cu modul său de redactare, articolul 15 alineatul (3) prima teză din RGPD conferă persoanei vizate dreptul de a obține o reproducere fidelă a datelor sale cu caracter personal, înțelese într‑o accepțiune largă, care fac obiectul unor operațiuni ce trebuie calificate drept „prelucrare" efectuată de operatorul acestei prelucrări (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 28).

72 În consecință, articolul 15 din RGPD nu poate fi interpretat în sensul că ar consacra, la alineatul (3) prima teză, un drept distinct de cel prevăzut la alineatul (1). Pe de altă parte, Curtea precizează că termenul „copie" nu se raportează la un document ca atare, ci la datele cu caracter personal pe care le conține și care trebuie să fie complete. Prin urmare, copia trebuie să conțină toate datele cu caracter personal care fac obiectul prelucrării (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 32).

73 În sfârșit, în ceea ce privește obiectivele urmărite de articolul 15 din RGPD, scopul acestuia este de a consolida și de a preciza drepturile persoanelor vizate. Astfel, dreptul de acces prevăzut la această dispoziție trebuie să îi permită persoanei vizate să se asigure că datele cu caracter personal care o privesc sunt exacte și că sunt prelucrate în mod legal. Pe de altă parte, copia datelor cu caracter personal care fac obiectul unei prelucrări, pe care operatorul trebuie să o furnizeze în temeiul articolului 15 alineatul (3) prima teză din RGPD, trebuie să aibă toate caracteristicile care îi permit persoanei vizate să își exercite efectiv drepturile în temeiul acestui regulament și trebuie, în consecință, să reproducă aceste date integral și fidel (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctele 33, 34 și 39).

74 În special, pentru a se asigura că informațiile furnizate de operator sunt ușor de înțeles, astfel cum impune articolul 12 alineatul (1) din RGPD, interpretat în lumina considerentului (58) al acestui regulament, reproducerea unor extrase din documente sau chiar din documente întregi care conțin, printre altele, datele cu caracter personal care fac obiectul prelucrării se poate dovedi indispensabilă în cazul în care contextualizarea datelor prelucrate este necesară pentru a asigura inteligibilitatea acestora (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 41).

75 Prin urmare, dreptul de a obține din partea operatorului o copie a datelor cu caracter personal care fac obiectul prelucrării presupune ca persoanei vizate să i se predea o reproducere fidelă și inteligibilă a tuturor acestor date. Acest drept îl implică pe cel de a obține copia unor extrase din documente sau chiar din documente întregi care conțin, printre altele, datele menționate, dacă furnizarea unei astfel de copii este indispensabilă pentru a‑i permite persoanei vizate să își exercite efectiv drepturile care îi sunt conferite prin acest regulament (a se vedea Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 45).

76 În ceea ce privește informațiile în discuție în cauza principală, trebuie arătat că RGPD identifică elemente a căror copie ar trebui să o poată solicita reclamantul din litigiul principal. Astfel, în ceea ce privește datele cu caracter personal referitoare la sănătate, considerentul (63) al acestui regulament precizează că dreptul de acces al persoanelor vizate include „datele din registrele lor medicale conținând informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată".

77 În această privință, astfel cum a arătat în esență domnul avocat general la punctele 78-80 din concluzii, tocmai din cauza sensibilității datelor cu caracter personal referitoare la sănătatea persoanelor fizice legiuitorul Uniunii a evidențiat astfel importanța ca accesul acestora din urmă la propriile date din registrul lor medical să se efectueze într‑un mod cât mai complet și mai precis posibil, dar și ușor de înțeles.

78 Or, în ceea ce privește rezultatele examinării, opiniile medicilor curanți și tratamentele sau intervențiile administrate unui pacient, care cuprind, în general, numeroase date tehnice sau chiar imagini, furnizarea unui simplu rezumat sau a unei compilații a acestor date de către medic, pentru a le prezenta într‑o formă sintetică, ar putea crea riscul ca anumite date relevante să fie omise sau reproduse incorect ori, în orice caz, ca verificarea exactității și a exhaustivității lor, precum și înțelegerea lor de către pacient să devină mai dificile.

79 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la a treia întrebare că articolul 15 alineatul (3) prima teză din RGPD trebuie interpretat în sensul că, în cadrul unei relații medic‑pacient, dreptul de a obține o copie a datelor cu caracter personal care fac obiectul unei prelucrări presupune să i se remită persoanei vizate o reproducere fidelă și inteligibilă a tuturor acestor date. Acest drept îl implică pe cel de a obține copia integrală a documentelor ce figurează în registrul său medical care conțin, printre altele, datele menționate, dacă furnizarea unei astfel de copii este necesară pentru a-i permite persoanei vizate să verifice exactitatea și exhaustivitatea acestora, precum și pentru a le garanta caracterul inteligibil. În ceea ce privește datele privind sănătatea persoanei vizate, acest drept îl include în orice caz pe cel de a obține o copie a datelor din registrul său medical care conține informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată.

Cu privire la cheltuielile de judecată

80 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:

1) Articolul 12 alineatul (5) și articolul 15 alineatele (1) și (3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că operatorul are obligația de a furniza persoanei vizate, cu titlu gratuit, o primă copie a datelor sale cu caracter personal care fac obiectul unei prelucrări, chiar și atunci când această cerere este motivată în alt scop decât scopurile menționate în considerentul (63) prima teză al acestui regulament.
2) Articolul 23 alineatul (1) litera (i) din Regulamentul (UE) 2016/679
trebuie interpretat în sensul că poate intra în domeniul de aplicare al acestei dispoziții o legislație națională adoptată înainte de intrarea în vigoare a acestui regulament. Cu toate acestea, o asemenea posibilitate nu permite adoptarea unei legislații naționale care, în vederea protejării intereselor economice ale operatorului, pune în sarcina persoanei vizate taxa pentru furnizarea unei prime copii a datelor sale cu caracter personal care fac obiectul acestei prelucrări.
3) Articolul 15 alineatul (3) prima teză din Regulamentul (UE) 2016/679
trebuie interpretat în sensul că,
în cadrul unei relații medic‑ pacient, dreptul de a obține o copie a datelor cu caracter personal care fac obiectul unei prelucrări presupune să i se remită persoanei vizate o reproducere fidelă și inteligibilă a tuturor acestor date. Acest drept îl implică pe cel de a obține copia integrală a documentelor ce figurează în registrul său medical care conțin, printre altele, datele menționate, dacă furnizarea unei astfel de copii este necesară pentru a-i permite persoanei vizate să verifice exactitatea și exhaustivitatea acestora, precum și pentru a le garanta caracterul inteligibil. În ceea ce privește datele privind sănătatea persoanei vizate, acest drept îl include în orice caz pe cel de a obține o copie a datelor din registrul său medical care conține informații precum diagnostice, rezultate ale examinărilor, evaluări ale medicilor curanți și orice tratament sau intervenție efectuată.

Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Camera întâi) 26 octombrie 2023(*) „Trimitere preliminară - Prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolele 12, 15 și 23 - Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării - Dreptul de a obține gratuit o primă copie a acestor

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Camera întâi)

22 iunie 2023(*)

„Trimitere preliminară - Prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolele 4 și 15 - Întinderea dreptului de acces la informațiile menționate la articolul 15 - Informații cuprinse în fișierele generate de un sistem de prelucrare (log data) - Articolul 4 - Noțiunea de "date cu caracter personal" - Noțiunea de "destinatari" - Aplicare în timp"

În cauza C‑579/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Itä-Suomen hallinto‑oikeus (Tribunalul Administrativ din Finlanda de Est, Finlanda), prin decizia din 21 septembrie 2021, primită de Curte la 22 septembrie 2021, în procedura inițiată de
J.M.
cu participarea:
Apulaistietosuojavaltuutettu, Pankki S,
CURTEA (Camera întâi),

compusă din domnul A. Arabadjiev, președinte de cameră, domnii P. G. Xuereb, T. von Danwitz, A. Kumin și doamna I. Ziemele (raportoare), judecători,

avocat general: domnul M. Campos Sánchez‑Bordona,

grefier: doamna C. Strömholm, administratoare,

având în vedere procedura scrisă și în urma ședinței din 12 octombrie 2022,

luând în considerare observațiile prezentate:

- pentru J.M., de el însuși;

- pentru Apulaistietosuojavaltuutettu, de A. Talus, tietosuojavaltuutettu;

- pentru Pankki S, de T. Kalliokoski și J. Lång, asianajajat, precum și de E.‑L. Hokkonen, oikeustieteen maisteri;

- pentru guvernul finlandez, de A. Laine și H. Leppo, în calitate de agenți;

- pentru guvernul ceh, de A. Edelmannová, M. Smolek și J. Vláčil, în calitate de agenți;

- pentru guvernul austriac, de A. Posch, în calitate de agent;

- pentru Comisia Europeană, de A. Bouchagiar, H. Kranenborg și I. Söderlund, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 15 decembrie 2022,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 15 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1) (denumit în continuare „RGPD").

2 Această cerere a fost formulată în cadrul unei proceduri inițiate de J.M., vizând anularea deciziei emise de Apulaistietosuojavaltuutettu (Responsabilul adjunct cu protecția datelor, Finlanda) prin care i s‑a respins cererea de obligare a Pankki S, instituție bancară stabilită în Finlanda, să îi comunice anumite informații referitoare la operațiuni de consultare a datelor sale cu caracter personal.

Cadrul juridic

3 Considerentele (4), (10), (11), (26), (39), (58), (60), (63) și (74) ale RGPD au următorul cuprins:

„(4) Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; [...]

[...]

(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. [...]

(11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită [...] consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal, [...]

[...]

(26) [...] Pentru a se determina dacă o persoană fizică este identificabilă, ar trebui să se ia în considerare toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană, în scopul identificării, în mod direct sau indirect, a persoanei fizice respective.

[...]

(39) Orice prelucrare de date cu caracter personal ar trebui să fie legală și echitabilă. Ar trebui să fie transparent pentru persoanele fizice că sunt colectate, utilizate, consultate sau prelucrate în alt mod datele cu caracter personal care le privesc și în ce măsură datele cu caracter personal sunt sau vor fi prelucrate. Principiul transparenței prevede că orice informații și comunicări referitoare la prelucrarea respectivelor date cu caracter personal sunt ușor accesibile și ușor de înțeles și că se utilizează un limbaj simplu și clar. Acest principiu se referă în special la informarea persoanelor vizate privind identitatea operatorului și scopurile prelucrării, precum și la oferirea de informații suplimentare, pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoanele fizice vizate și dreptul acestora de a li se confirma și comunica datele cu caracter personal care le privesc care sunt prelucrate. Persoanele fizice ar trebui informate cu privire la riscurile, normele, garanțiile și drepturile în materie de prelucrare a datelor cu caracter personal și cu privire la modul în care să își exercite drepturile în legătură cu prelucrarea. În special, scopurile specifice în care datele cu caracter personal sunt prelucrate ar trebui să fie explicite și legitime și să fie determinate la momentul colectării datelor respective. [...]

[...]

(58) Principiul transparenței prevede că orice informații care se adresează publicului sau persoanei vizate să fie concise, ușor accesibile și ușor de înțeles și să se utilizeze un limbaj simplu și clar, precum și vizualizare acolo unde este cazul. Aceste informații ar putea fi furnizate în format electronic, de exemplu atunci când sunt adresate publicului, prin intermediul unui site. Acest lucru este important în special în situații în care datorită multitudinii actorilor și a complexității, din punct de vedere tehnologic, a practicii, este dificil ca persoana vizată să știe și să înțeleagă dacă datele cu caracter personal care o privesc sunt colectate, de către cine și în ce scop, cum este cazul publicității online. Întrucât copiii necesită o protecție specifică, orice informații și orice comunicare, în cazul în care prelucrarea vizează un copil, ar trebui să fie exprimate într‑un limbaj simplu și clar, astfel încât copilul să îl poată înțelege cu ușurință.

[...]

(60) Conform principiilor prelucrării echitabile și transparente, persoana vizată este informată cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia. Operatorul ar trebui să furnizeze persoanei vizate orice informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă, ținând seama de circumstanțele specifice și de contextul în care sunt prelucrate datele cu caracter personal. [...]

[...]

(63) O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. [...] Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele, dacă este posibil perioada pentru care se prelucrează datele cu caracter personal, destinatarii datelor cu caracter personal, logica de prelucrare automată a datelor cu caracter personal și, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. [...] Acest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și, în special, drepturilor de autor care asigură protecția programelor software. [...]

[...]

(74) Ar trebui să se stabilească responsabilitatea și răspunderea operatorului pentru orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său. În special, operatorul ar trebui să fie obligat să implementeze măsuri adecvate și eficace și să fie în măsură să demonstreze conformitatea activităților de prelucrare cu prezentul regulament, inclusiv eficacitatea măsurilor. Aceste măsuri ar trebui să țină seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul pentru drepturile și libertățile persoanelor fizice."

4 Articolul 1 din RGPD, intitulat „Obiect și obiective", prevede la alineatul (2):

„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal."

5 Articolul 4 din acest regulament prevede:

„În sensul prezentului regulament:

1. "date cu caracter personal" înseamnă orice informații privind o persoană fizică identificată sau identificabilă [...]; o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;

2. "prelucrare" înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

[...]

7. "operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; [...]

[...]

9. "destinatar" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță. [...]

[...]

21. "autoritate de supraveghere" înseamnă o autoritate publică independentă instituită de un stat membru în temeiul articolului 51;

[...]"

6 Articolul 5 din același regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal", are următorul cuprins:

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată ("legalitate, echitate și transparență");

[...]

(f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare ("integritate și confidențialitate").

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

7 Articolul 12 din RGPD, intitulat „Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate", prevede:

„(1) Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, [...] Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. [...]

[...]

(5) [...] În cazul în care cererile din partea unei persoane vizate sunt în mod vădit nefondate sau excesive, în special din cauza caracterului lor repetitiv, operatorul poate:

[...]

(b) fie să refuze să dea curs cererii.

În aceste cazuri, operatorului îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii.

[...]"

8 Articolul 15 din RGPD, intitulat „Dreptul de acces al persoanei vizate", prevede:

„(1) Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

(a) scopurile prelucrării;

(b) categoriile de date cu caracter personal vizate;

(c) destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;

(d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;

(e) existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;

(f) dreptul de a depune o plângere în fața unei autorități de supraveghere;

(g) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;

(h) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.

[...]

(3) Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. [...]

(4) Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora."

9 Articolele 16 și 17 din regulamentul menționat consacră dreptul persoanei vizate de a obține rectificarea datelor cu caracter personal care sunt inexacte (dreptul de rectificare), precum și, respectiv, dreptul, în anumite împrejurări, la ștergerea acestor date (dreptul la ștergerea datelor sau „dreptul de a fi uitat").

10 Articolul 18 din același regulament, intitulat „Dreptul la restricționarea prelucrării", prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului restricționarea prelucrării în cazul în care se aplică unul din următoarele cazuri:

(a) persoana vizată contestă exactitatea datelor, pentru o perioadă care îi permite operatorului să verifice exactitatea datelor;

(b) prelucrarea este ilegală, iar persoana vizată se opune ștergerii datelor cu caracter personal, solicitând în schimb restricționarea utilizării lor;

(c) operatorul nu mai are nevoie de datele cu caracter personal în scopul prelucrării, dar persoana vizată i le solicită pentru constatarea, exercitarea sau apărarea unui drept în instanță sau

(d) persoana vizată s‑a opus prelucrării în conformitate cu articolul 21 alineatul (1), pentru intervalul de timp în care se verifică dacă drepturile legitime ale operatorului prevalează asupra celor ale persoanei vizate."

11 Articolul 21 din RGPD, intitulat „Dreptul la opoziție", prevede la alineatul (1):

„În orice moment, persoana vizată are dreptul de a se opune, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f) a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță."

12 Potrivit articolului 24 alineatul (1) din acest regulament:

„Ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. [...]"

13 Articolul 29 din acest regulament, intitulat „Desfășurarea activității de prelucrare sub autoritatea operatorului sau a persoanei împuternicite de operator", are următorul cuprins:

„Persoana împuternicită de operator și orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de operator care are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului, cu excepția cazului în care dreptul Uniunii sau dreptul intern îl obligă să facă acest lucru."

14 Articolul 30 din RGPD, intitulat „Evidențele activităților de prelucrare", prevede:

„(1) Fiecare operator și, după caz, reprezentantul acestuia păstrează o evidență a activităților de prelucrare desfășurate sub responsabilitatea lor. [...]

[...]

(4) Operatorul [...], precum și, după caz, reprezentantul [său] pun evidențele la dispoziția autorității de supraveghere, la cererea acesteia.

[...]"

15 Articolul 58 din acest regulament, intitulat „Competențe", prevede la alineatul (1):

„Fiecare autoritate de supraveghere are toate următoarele competențe de investigare:

(a) de a da dispoziții operatorului și persoanei împuternicite de operator și, după caz, reprezentantului operatorului sau al persoanei împuternicite de operator să furnizeze orice informații pe care autoritatea de supraveghere le solicită în vederea îndeplinirii sarcinilor sale;

[...]"

16 Articolul 77 din regulamentul menționat, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere", prevede:

„(1) Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.

(2) Autoritatea de supraveghere la care s‑a depus plângerea informează reclamantul cu privire la evoluția și rezultatul plângerii, inclusiv posibilitatea de a exercita o cale de atac judiciară în temeiul articolului 78."

17 Articolul 79 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator", prevede la alineatul (1):

„Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă [a se citi "jurisdicțională efectivă"] în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament."

18 Articolul 82 din acest regulament, intitulat „Dreptul la despăgubiri și răspunderea", prevede la alineatul (1):

„Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit."

19 În conformitate cu articolul 99 alineatul (2), RGPD a intrat în vigoare la 25 mai 2018.

Litigiul principal și întrebările preliminare

20 În anul 2014, J.M., la acea dată salariat și client al Pankki S, a aflat că propriile sale date de client fuseseră consultate de membri ai personalului băncii, în mai multe rânduri, în perioada cuprinsă între 1 noiembrie și 31 decembrie 2013.

21 Având îndoieli cu privire la legalitatea acestor consultări, J.M., care între timp fusese concediat din postul său de la Pankki S, a solicitat acesteia, la 29 mai 2018, să îi comunice identitatea persoanelor care au consultat datele sale de client, datele exacte când au fost efectuate consultările, precum și scopurile prelucrării datelor respective.

22 În răspunsul său din 30 august 2018, Pankki S, în calitatea sa de operator în sensul articolului 4 punctul 7 din RGPD, a refuzat să comunice identitatea salariaților care au efectuat operațiunile de consultare pentru motivul că aceste informații constituiau date cu caracter personal ale acestor salariați.

23 Totuși, în același răspuns, Pankki S a înțeles să aducă precizări cu privire la operațiunile de consultare efectuate, potrivit instrucțiunilor sale, de serviciul său de audit intern. Astfel, aceasta a explicat că un client al băncii, al cărui consilier pentru clientelă era J.M., era creditor al unei persoane care avea de asemenea numele de familie al lui J.M., astfel încât a dorit să clarifice dacă reclamantul din litigiul principal și debitorul în cauză erau una și aceeași persoană și dacă ar fi putut exista o eventuală relație necorespunzătoare de conflict de interese. Pankki S a adăugat că, pentru a clarifica această situație, se impunea prelucrarea datelor lui J.M. și că fiecare membru al personalului băncii care a prelucrat aceste date a dat o declarație în fața serviciului de audit intern cu privire la motivele prelucrării datelor. În plus, banca a declarat că aceste consultări au permis înlăturarea oricărei suspiciuni de conflict de interese în ceea ce îl privește pe J.M.

24 J.M. a sesizat Tietosuojavaltuutetun toimisto (Biroul responsabilului cu protecția datelor, Finlanda), autoritatea de supraveghere în sensul articolului 4 punctul 21 din RGPD, solicitând obligarea Pankki S să îi transmită informațiile solicitate.

25 Prin decizia din 4 august 2020, responsabilul adjunct cu protecția datelor i‑a respins cererea lui J.M.. Acesta a explicat că o astfel de cerere avea ca obiect să i se permită accesul la fișierele salariaților care i‑au prelucrat datele, deși, potrivit practicii sale decizionale, astfel de fișiere conțin date cu caracter personal care nu se referă la persoana vizată, ci la salariații care au prelucrat datele acestei persoane.

26 J.M. a introdus o acțiune împotriva acestei decizii la instanța de trimitere.

27 Această instanță amintește că articolul 15 din RGPD prevede dreptul persoanei vizate de a obține din partea operatorului accesul la datele prelucrate care o privesc, precum și informațiile referitoare în special la scopurile și la destinatarii prelucrării. Ea ridică problema dacă comunicarea fișierelor generate cu ocazia operațiunilor de prelucrare, care conțin astfel de informații, îndeosebi identitatea angajaților operatorului, intră sub incidența articolului 15 din RGPD, din moment ce aceste fișiere s‑ar putea dovedi necesare persoanei vizate pentru a aprecia legalitatea prelucrării datelor sale.

28 În aceste condiții, Itä-Suomen hallinto‑oikeus (Tribunalul Administrativ din Finlanda de Est, Finlanda), a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Dreptul de acces conferit persoanei vizate prin articolul 15 alineatul (1) din [RGPD] coroborat cu [noțiunea de] "date cu caracter personal" prevăzută la articolul 4 alineatul (1) din acest regulament trebuie interpretat în sensul că informațiile colectate de operator, din care reies identitatea persoanelor care au prelucrat datele cu caracter personal ale persoanei vizate, momentul și scopul prelucrării, nu constituie informații în privința cărora persoana vizată are un drept de acces, în special pentru că acestea sunt date care privesc lucrătorii operatorului?

2) În ipoteza în care răspunsul la prima întrebare este afirmativ, iar persoana vizată nu are, în temeiul articolului 15 alineatul (1) din [RGPD], dreptul de acces la informațiile menționate în această întrebare, întrucât acestea nu constituie "date cu caracter personal" ale persoanei vizate în sensul articolului 4 punctul 1 din [RGPD], este necesar în speță să se ia în considerare de asemenea informațiile la care persoana vizată are un drept de acces în temeiul articolului 15 alineatul (1) literele (a)-(h) din acest regulament:

a) Cum trebuie interpretat scopul prelucrării în sensul articolului 15 alineatul (1) litera (a) [din RGPD] din perspectiva întinderii dreptului de acces al persoanei vizate, cu alte cuvinte, scopul prelucrării poate justifica un drept de acces la datele de autentificare în sistem ale utilizatorilor, colectate de operator, astfel cum sunt, printre altele, informațiile referitoare la datele cu caracter personal ale persoanelor care prelucrează, momentul și scopul prelucrării datelor cu caracter personal?

b) În acest context, persoanele care au prelucrat datele de client ale lui J.M. pot fi considerate, pe baza anumitor criterii, destinatari ai datelor cu caracter personal în sensul articolului 15 alineatul (1) litera (c) din |RGPD], în privința cărora persoana vizată ar avea dreptul de a obține acces?

3) Faptul că în discuție este o bancă ce desfășoară o activitate reglementată sau că J.M. a lucrat pentru bancă, fiind concomitent clientul acesteia, prezintă relevanță pentru procedură?

4) Este relevant pentru aprecierea întrebărilor adresate mai sus faptul că datele lui J.M. au fost prelucrate înainte de intrarea în vigoare a [RGPD]?"

Cu privire la întrebările preliminare

Cu privire la a patra întrebare

29 Prin intermediul celei de a patra întrebări, care trebuie analizată în prealabil, instanța de trimitere solicită în esență să se stabilească dacă, din perspectiva articolului 99 alineatul (2) din RGPD, articolul 15 din acest regulament este aplicabil unei cereri de acces la informațiile vizate de ultima dispoziție atunci când operațiunile de prelucrare avute în vedere de această cerere au fost efectuate înainte de data intrării în vigoare a regulamentului menționat, dar cererea a fost formulată după această dată.

30 Pentru a răspunde la această întrebare, trebuie arătat că, în temeiul articolului 99 alineatul (2) din RGPD, acesta este aplicabil de la 25 mai 2018.

31 Or, în speță, din decizia de trimitere reiese că operațiunile de prelucrare a datelor cu caracter personal în discuție în litigiul principal au fost efectuate între 1 noiembrie 2013 și 31 decembrie 2013, adică anterior intrării în vigoare a RGPD. Cu toate acestea, tot din această decizie rezultă că J.M. a depus cererea de informații la societatea Pankki S după această dată, și anume la 29 mai 2018.

32 În această privință, se impune a se aminti că se consideră în general că normele de procedură se aplică de la data intrării lor în vigoare, spre deosebire de normele de drept material care sunt interpretate de regulă în sensul că nu vizează situații apărute în mod definitiv anterior intrării lor în vigoare decât în măsura în care rezultă în mod clar din formularea, din finalitatea sau din economia acestora că trebuie să le fie atribuit un asemenea efect (Hotărârea din 15 iunie 2021, Facebook Ireland și alții, C‑645/19, EU:C:2021:483, punctul 100, precum și jurisprudența citată).

33 În speță, din decizia de trimitere reiese că cererea lui J.M. de a i se comunica informațiile în discuție în litigiul principal intră sub incidența articolului 15 alineatul (1) din RGPD, care prevede dreptul persoanei vizate de a obține accesul la datele cu caracter personal care o privesc și care fac obiectul unei prelucrări, precum și la informațiile vizate de această dispoziție.

34 Trebuie constatat că dispoziția menționată nu privește condițiile privind legalitatea prelucrării datelor cu caracter personal ale persoanei vizate. Astfel, articolul 15 alineatul (1) din RGPD se limitează să precizeze întinderea dreptului de acces al acestei persoane la datele și la informațiile care o interesează.

35 Rezultă de aici, astfel cum a arătat avocatul general la punctul 33 din concluzii, că articolul 15 alineatul (1) din RGPD conferă persoanelor vizate un drept de natură procedurală care constă în obținerea de informații cu privire la prelucrarea datelor lor cu caracter personal. Ca normă de procedură, această dispoziție se aplică cererilor de acces introduse de la data la care a început să fie aplicabil acest regulament, cum este cererea lui J.M.

36 În aceste condiții, este necesar să se răspundă la a patra întrebare că articolul 15 din RGPD, din perspectiva articolului 99 alineatul (2) din acest regulament, trebuie interpretat în sensul că este aplicabil unei cereri de acces la informațiile vizate de această dispoziție atunci când operațiunile de prelucrare avute în vedere de această cerere au fost efectuate înainte de data la care a început să fie aplicabil regulamentul menționat, dar cererea a fost formulată după această dată.

Cu privire la prima și la a doua întrebare

37 Prin intermediul primei și al celei de a doua întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 15 alineatul (1) din RGPD trebuie interpretat în sensul că informațiile referitoare la operațiuni de consultare a datelor cu caracter personal ale unei persoane, ce privesc datele când au fost efectuate operațiunile și scopurile acestora, precum și la identitatea persoanelor fizice care au efectuat aceste operațiuni constituie informații pe care această persoană are dreptul să le obțină de la operator în temeiul dispoziției menționate.

38 Cu titlu introductiv, trebuie amintit că, potrivit unei jurisprudențe constante, interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte [Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 29].

39 În ceea ce privește, mai întâi, modul de redactare a articolului 15 alineatul (1) din RGPD, trebuie amintit că această dispoziție prevede că persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective, precum și informațiile referitoare printre altele la destinatarii sau categoriile de destinatari cărora aceste date cu caracter personal le‑au fost sau urmează să le fie divulgate.

40 În această privință, trebuie subliniat că noțiunile care figurează la articolul 15 alineatul (1) din RGPD sunt definite la articolul 4 din acest regulament.

41 Astfel, în primul rând, articolul 4 punctul 1 din RGPD indică faptul că reprezintă date cu caracter personal „orice informații privind o persoană fizică identificată sau identificabilă" și precizează că „o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale".

42 Utilizarea expresiei „orice informații" în definiția noțiunii de „date cu caracter personal", care se regăsește în această dispoziție, reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestei noțiuni, care înglobează potențial orice tip de informații, atât obiective, cât și subiective, sub formă de opinii sau de aprecieri, cu condiția ca acestea „să privească" persoana vizată (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 23).

43 În această privință, s‑a statuat că o informație privește o persoană fizică identificată sau identificabilă atunci când, ca urmare a conținutului, a scopului sau a efectului său, informația este legată de o persoană identificabilă (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 24).

44 În ceea ce privește caracterul „identificabil" al unei persoane, considerentul (26) al RGPD precizează că ar trebui să se ia în considerare „toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană, în scopul identificării, în mod direct sau indirect, a persoanei fizice respective".

45 Reiese de aici că definiția largă a noțiunii de „date cu caracter personal" nu acoperă numai datele colectate și păstrate de operator, ci include de asemenea toate informațiile ce rezultă dintr‑o prelucrare a datelor cu caracter personal care privesc o persoană identificată sau identificabilă (a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 26).

46 În al doilea rând, în ceea ce privește noțiunea de „prelucrare", astfel cum este definită la articolul 4 punctul 2 din RGPD, este necesar să se constate că, prin utilizarea expresiei „orice operațiune", legiuitorul Uniunii a intenționat să confere acestei noțiuni un domeniu de aplicare larg prin recurgerea la o enumerare neexhaustivă de operațiuni aplicabile datelor sau seturilor de date cu caracter personal, care acoperă, printre altele, colectarea, înregistrarea, stocarea sau chiar consultarea (a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 27).

47 În al treilea rând, articolul 4 punctul 9 din RGPD precizează că prin „destinatar" se înțelege „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță".

48 În această privință, Curtea a statuat că persoana vizată are dreptul de a obține de la operator informații cu privire la destinatarii concreți cărora le‑au fost sau urmează să le fie divulgate datele cu caracter personal care o privesc [Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 46].

49 Prin urmare, din analiza textuală a articolului 15 alineatul (1) din RGPD și din noțiunile pe care acesta le conține rezultă că dreptul de acces pe care această dispoziție îl recunoaște persoanei vizate se caracterizează prin conținutul larg al informațiilor pe care operatorul de date trebuie să le furnizeze acestei persoane.

50 În continuare, în ceea ce privește contextul în care se înscrie articolul 15 alineatul (1) din RGPD, trebuie amintit, în primul rând, că potrivit considerentului (63) al acestui regulament, orice persoană vizată ar trebui să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele cu caracter personal, dacă este posibil perioada pentru care se prelucrează aceste date cu caracter personal și destinatarii acestor date cu caracter personal.

51 În al doilea rând, considerentul (60) al RGPD enunță că principiul prelucrării echitabile și transparente impune ca persoana vizată să fie informată cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia, subliniindu‑se că operatorul ar trebui să furnizeze orice informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă, ținând seama de circumstanțele specifice și de contextul în care sunt prelucrate datele cu caracter personal. Pe de altă parte, conform principiului transparenței, menționat de instanța de trimitere, la care face referire considerentul (58) al RGPD și pe care îl consacră în mod expres articolul 12 alineatul (1) din acest regulament, orice informație adresată persoanei vizate trebuie să fie concisă, ușor accesibilă și ușor de înțeles, dar și formulată utilizând un limbaj clar și simplu.

52 În această privință, articolul 12 alineatul (1) din RGPD precizează că informațiile trebuie furnizate de operator în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic, cu excepția cazului în care persoana vizată solicită să îi fie furnizate verbal. Scopul acestei dispoziții, care este o expresie a principiului transparenței, este de a garanta că persoana vizată este în măsură să înțeleagă pe deplin informațiile care îi sunt transmise (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 38, precum și jurisprudența citată).

53 Din analiza contextuală care precedă rezultă că articolul 15 alineatul (1) din RGPD constituie una dintre dispozițiile care au menirea de a asigura transparența modalităților de prelucrare a datelor cu caracter personal în raport cu persoana vizată.

54 În sfârșit, această interpretare a întinderii dreptului de acces prevăzut la articolul 15 alineatul (1) din RGPD se coroborează cu obiectivele pe care le urmărește acest regulament.

55 Astfel, primo, regulamentul are ca finalitate, după cum se arată în considerentele (10) și (11) ale acestuia, asigurarea unui nivel consecvent și ridicat de protecție a persoanelor fizice în cadrul Uniunii, precum și consolidarea și stabilirea drepturilor persoanelor vizate.

56 În plus, astfel cum reiese din considerentul (63) al RGPD, dreptul unei persoane de a avea acces la propriile date cu caracter personal și la celelalte informații menționate la articolul 15 alineatul (1) din acest regulament are ca obiectiv, mai întâi, să permită persoanei respective să fie informată cu privire la prelucrare și să verifice legalitatea acesteia. Rezultă, potrivit aceluiași considerent și astfel cum s‑a arătat la punctul 50 din prezenta hotărâre, că orice persoană vizată ar trebui să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele cu caracter personal, dacă este posibil perioada pentru care se prelucrează datele, destinatarii acestor date, precum și logica de prelucrare a acestora.

57 În această privință, trebuie amintit, secundo, că deja Curtea a statuat că dreptul de acces prevăzut la articolul 15 din RGPD trebuie să permită persoanei vizate să se asigure că datele cu caracter personal care o privesc sunt exacte și că sunt prelucrate în mod legal (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 34).

58 În special, acest drept de acces este necesar pentru a‑i permite persoanei vizate să își exercite, dacă este cazul, dreptul la rectificare, dreptul la ștergerea datelor („dreptul de a fi uitat") și dreptul la restricționarea prelucrării, care îi sunt recunoscute la articolele 16-18 din RGPD, dreptul de opoziție la prelucrarea datelor sale cu caracter personal prevăzut la articolul 21 din RGDP, precum și dreptul la o cale de atac în cazul în care suferă un prejudiciu, prevăzut la articolele 79 și 82 din RGPD (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 35, precum și jurisprudența citată).

59 Prin urmare, articolul 15 alineatul (1) din RGPD constituie una dintre dispozițiile destinate să garanteze transparența modalităților de prelucrare a datelor cu caracter personal în raport cu persoana vizată [Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 42], fără de care nu ar fi în măsură să aprecieze legalitatea prelucrării datelor sale și să își exercite prerogativele prevăzute în special la articolele 16-18, 21, 79 și 82 din acest regulament.

60 În speță, din decizia de trimitere reiese că J.M. a solicitat Pankki S să îi comunice informații referitoare la operațiunile de consultare la care au fost supuse datele sale cu caracter personal în perioada 1 noiembrie 2013-31 decembrie 2013, informații în legătură cu datele când au avut loc aceste consultări, scopurile lor și identitatea persoanelor care au efectuat consultările menționate. Instanța de trimitere arată că transmiterea fișierelor generate cu ocazia operațiunilor menționate ar permite să se răspundă la cererea lui J.M.

61 În speță, nu se contestă că operațiunile de consultare al căror obiect l‑au făcut datele cu caracter personal ale reclamantului din litigiul principal constituie o „prelucrare" în sensul articolului 4 punctul 2 din RGPD, așa încât ele îi conferă acestuia, în temeiul articolului 15 alineatul (1) din regulamentul menționat, nu numai un drept de acces la aceste date cu caracter personal, ci și un drept de a i se comunica informațiile legate de aceste operațiuni, astfel cum sunt menționate în această ultimă dispoziție.

62 În ceea ce privește informațiile precum cele solicitate de J.M., comunicarea, mai întâi, a datelor când au avut lor operațiunile de consultare este de natură să permită persoanei vizate să obțină confirmarea că datele sale cu caracter personal au făcut efectiv obiectul unei prelucrări la un anumit moment. În plus, întrucât condițiile de legalitate prevăzute la articolele 5 și 6 din RGPD trebuie îndeplinite chiar la momentul prelucrării, data acesteia constituie un element care permite verificarea legalității sale. În continuare, trebuie arătat că informația referitoare la scopurile prelucrărilor este vizată în mod expres la articolul 15 alineatul (1) litera (a) din acest regulament. În sfârșit, articolul 15 alineatul (1) litera (c) din regulamentul menționat prevede că operatorul informează persoana vizată cu privire la destinatarii cărora le‑au fost comunicate datele sale.

63 În ceea ce privește, mai precis, comunicarea tuturor acestor informații prin intermediul furnizării fișierelor referitoare la operațiunile de prelucrare în discuție în litigiul principal, este necesar să se arate că articolul 15 alineatul (3) prima teză din RGPD prevede că operatorul „furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării".

64 În această privință, Curtea a statuat deja că noțiunea de „copie" astfel utilizată desemnează reproducerea sau transcrierea fidelă a unui original, așa încât o descriere pur generală a datelor care fac obiectul unei prelucrări sau o trimitere la categorii de date cu caracter personal nu ar corespunde acestei definiții. În plus, din termenii articolului 15 alineatul (3) prima teză din acest regulament reiese că obligația de comunicare este legată de datele cu caracter personal care fac obiectul prelucrării în cauză (a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 21).

65 Copia pe care operatorul este obligat să o furnizeze trebuie să conțină toate datele cu caracter personal care fac obiectul unei prelucrări, să prezinte toate caracteristicile care permit persoanei vizate să își exercite efectiv drepturile în temeiul regulamentului amintit și trebuie, în consecință, să reproducă aceste date integral și fidel (a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctele 32 și 39).

66 Pentru a garanta că informațiile astfel furnizate sunt ușor de înțeles, după cum impune articolul 12 alineatul (1) din RGPD coroborat cu considerentul (58) al acestui regulament, reproducerea unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele cu caracter personal care fac obiectul unei prelucrări se poate dovedi indispensabilă în cazul în care contextualizarea datelor prelucrate este necesară pentru a le asigura inteligibilitatea. În special, în cazul în care datele cu caracter personal sunt generate pornind de la alte date sau atunci când astfel de date rezultă din câmpuri libere, și anume lipsa unei indicații care să dezvăluie o informație cu privire la persoana vizată, contextul prelucrării acestor date este un element indispensabil pentru a permite persoanei vizate să dispună de un acces transparent și de o prezentare inteligibilă a acestor date (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctele 41 și 42).

67 În speță, astfel cum a arătat avocatul general la punctele 88-90 din concluzii, fișierele care conțin informațiile solicitate de J.M. corespund unor evidențe de activitate, în sensul articolului 30 din RGPD. Trebuie să se considere că acestea se înscriu în cadrul măsurilor menționate în considerentul (74) al acestui regulament, puse în aplicare de operator în scopul de a demonstra că activitățile de prelucrare sunt conforme cu regulamentul menționat. Articolul 30 alineatul (4) din același regulament precizează în special că acestea trebuie puse la dispoziția autorității de supraveghere, la cererea acesteia.

68 În măsura în care aceste evidențe de activitate nu conțin informații referitoare la o persoană fizică identificată sau identificabilă în sensul jurisprudenței amintite la punctele 42 și 43 din prezenta hotărâre, acestea permit operatorului doar să își îndeplinească obligațiile față de autoritatea de supraveghere care ar solicita furnizarea lor.

69 În ceea ce privește în special fișierele operatorului, comunicarea unei copii a informațiilor care se găsesc în aceste fișiere se poate dovedi necesară pentru a îndeplini obligația de a furniza persoanei vizate accesul la toate informațiile prevăzute la articolul 15 alineatul (1) din RGPD și pentru a asigura o prelucrare echitabilă și transparentă, permițându‑i astfel să își valorifice pe deplin drepturile conferite de acest regulament.

70 Astfel, în primul rând, asemenea fișiere dezvăluie existența unei prelucrări de date, informație la care persoana vizată trebuie să aibă acces în temeiul articolului 15 alineatul (1) din RGPD. În plus, fișierele oferă informații cu privire la frecvența și la intensitatea operațiunilor de consultare, permițând astfel persoanei vizate să se asigure că prelucrarea efectuată este efectiv motivată de scopurile evocate de operator.

71 În al doilea rând, aceste fișiere conțin informațiile referitoare la identitatea persoanelor care au efectuat operațiunile de consultare.

72 În speță, din decizia de trimitere reiese că persoanele care au efectuat operațiunile de consultare în discuție în litigiul principal sunt salariați ai Pankki S care au acționat sub autoritatea sa și conform instrucțiunilor sale.

73 Deși din articolul 15 alineatul (1) litera (c) din RGPD rezultă că persoana vizată are dreptul de a obține de la operator informațiile referitoare la destinatarii sau la categoriile de destinatari cărora le‑au fost sau urmează să le fie comunicate datele cu caracter personal, angajații operatorului nu pot fi considerați „destinatari" în sensul articolului 15 alineatul (1) litera (c) din RGPD, așa cum s‑a amintit la punctele 47 și 48 din prezenta hotărâre, atunci când prelucrează date cu caracter personal sub autoritatea operatorului menționat și conform instrucțiunilor sale, după cum a arătat domnul avocat general la punctul 63 din concluzii.

74 În această privință, trebuie subliniat că, potrivit articolului 29 din RGPD, orice persoană care acționează sub autoritatea operatorului, care are acces la date cu caracter personal, nu le prelucrează decât la cererea operatorului menționat.

75 În aceste condiții, informațiile conținute în fișierele referitoare la persoanele care au efectuat consultări ale datelor cu caracter personal ale persoanei vizate ar putea constitui informații dintre cele vizate la articolul 4 punctul 1 din RGPD, menționate la punctul 41 din prezenta hotărâre, susceptibile să îi permită să verifice legalitatea prelucrării datelor sale și în special să se asigure că operațiunile de prelucrare au fost realizate efectiv sub autoritatea operatorului și conform instrucțiunilor lui.

76 Cu toate acestea, în primul rând, din decizia de trimitere rezultă că informațiile care figurează în fișiere precum cele în discuție în litigiul principal permit identificarea salariaților care au efectuat operațiunile de prelucrare și conțin date cu caracter personal ale acestor salariați în sensul articolului 4 punctul 1 din RGPD.

77 În această privință, trebuie amintit că, în ceea ce privește dreptul de acces prevăzut la articolul 15 din RGPD, considerentul (63) al acestui regulament precizează că „[a]cest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora".

78 Într‑adevăr, potrivit considerentului (4) al RGPD, dreptul la protecția datelor cu caracter personal nu este un drept absolut deoarece trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale (a se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems, C‑311/18, EU:C:2020:559, punctul 172).

79 Or, presupunând că acea comunicare a informațiilor referitoare la identitatea salariaților operatorului către persoana vizată de prelucrare îi este necesară acesteia din urmă pentru a se asigura de legalitatea prelucrării datelor sale cu caracter personal, ea poate aduce totuși atingere drepturilor și libertăților acestor salariați.

80 În aceste condiții, în cazul unui conflict între, pe de o parte, exercitarea unui drept de acces care asigură efectul util al drepturilor recunoscute de RGPD persoanei vizate și, pe de altă parte, drepturile sau libertățile altora, este necesar să se facă o evaluare comparativă a drepturilor și libertăților în cauză. În măsura posibilului, trebuie să se aleagă modalitățile care nu aduc atingere drepturilor sau libertăților altora, ținând seama de faptul că aceste considerații nu trebuie „să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate", după cum rezultă din considerentul (63) al RGPD (a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 44).

81 Cu toate acestea, în al doilea rând, din decizia de trimitere rezultă că J.M. nu solicită comunicarea informațiilor referitoare la identitatea salariaților Pankki S care au efectuat operațiunile de consultare a datelor sale cu caracter personal, pentru motivul că aceștia nu ar fi acționat efectiv sub autoritatea și conform instrucțiunilor operatorului, ci pare să aibă îndoieli cu privire la veridicitatea informațiilor referitoare la scopul acestor consultări care i‑au fost comunicate de Pankki S.

82 În asemenea împrejurări, dacă persoana vizată ar fi nevoită să considere că informațiile comunicate de operator sunt insuficiente pentru a‑i permite să înlăture îndoielile pe care le are cu privire la legalitatea prelucrării datelor sale cu caracter personal, ea dispune, în virtutea articolului 77 alineatul (1) din RGPD, de dreptul de a depune o plângere la autoritatea de supraveghere care, potrivit articolului 58 alineatul (1) litera (a) din acest regulament, are competența de a solicita operatorului să îi comunice orice informație de care are nevoie pentru a examina plângerea persoanei vizate.

83 Din considerațiile care precedă rezultă că articolul 15 alineatul (1) din RGPD trebuie interpretat în sensul că informațiile referitoare la operațiuni de consultare a datelor cu caracter personal ale unei persoane, ce privesc datele când au fost efectuate operațiunile și scopurile acestora, constituie informații pe care această persoană are dreptul să le obțină de la operator în temeiul dispoziției menționate. În schimb, această dispoziție nu consacră un astfel de drept în ceea ce privește informațiile referitoare la identitatea salariaților operatorului, care au efectuat aceste operațiuni sub autoritatea și conform instrucțiunilor acestuia, cu excepția cazului în care aceste informații sunt indispensabile pentru a‑i permite persoanei vizate să își exercite efectiv drepturile și libertățile care îi sunt conferite de acest regulament și cu condiția să se țină seama de drepturile și libertățile acestor salariați.

Cu privire la a treia întrebare

84 Prin intermediul celei de a treia întrebări, instanța de trimitere solicită în esență să se stabilească dacă împrejurarea, pe de o parte, că operatorul exercită o activitate bancară în cadrul unui domeniu reglementat și, pe de altă parte, că persoana ale cărei date cu caracter personal au fost prelucrate în calitatea sa de client al operatorului a fost și angajată a acestui operator este relevantă pentru definirea întinderii dreptului de acces pe care articolul 15 alineatul (1) din RGPD i‑l recunoaște acesteia.

85 De la bun început, trebuie subliniat că, în ceea ce privește domeniul de aplicare al dreptului de acces prevăzut la articolul 15 alineatul (1) din RGPD, nicio dispoziție din acest regulament nu face distincție în funcție de natura activităților operatorului sau de calitatea persoanei ale cărei date cu caracter personal fac obiectul unei prelucrări.

86 În ceea ce privește, pe de o parte, caracterul reglementat al activității Pankki S, articolul 23 din RGPD permite, desigur, statelor membre să limiteze, prin intermediul unor măsuri legislative, întinderea obligațiilor și a drepturilor prevăzute printre altele la articolul 15 din acest regulament.

87 Cu toate acestea, din decizia de trimitere nu reiese că activitatea Pankki S ar face obiectul unei astfel de legislații.

88 În ceea ce privește, pe de altă parte, împrejurarea că J.M. a fost în același timp client și angajat al Pankki S, trebuie arătat că, având în vedere obiectivele RGPD, dar și întinderea dreptului de acces de care beneficiază persoana vizată, astfel cum au fost amintite la punctele 49 și 55-59 din prezenta hotărâre, contextul în care persoana vizată solicită acces la informațiile prevăzute la articolul 15 alineatul (1) din RGPD nu poate avea vreo influență asupra întinderii acestui drept.

89 În consecință, articolul 15 alineatul (1) din RGPD trebuie interpretat în sensul că împrejurarea că operatorul exercită o activitate bancară în cadrul unui domeniu reglementat și că persoana ale cărei date cu caracter personal au fost prelucrate în calitatea sa de client al operatorului a fost și angajată a acestui operator nu are, în principiu, vreo incidență asupra întinderii dreptului de care beneficiază această persoană în temeiul dispoziției menționate.

Cu privire la cheltuielile de judecată

90 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:

1) Articolul 15 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), din perspectiva articolului 99 alineatul (2) din acest regulament,
trebuie interpretat în sensul că este aplicabil unei cereri de acces la informațiile vizate de această dispoziție atunci când operațiunile de prelucrare avute în vedere de această cerere au fost efectuate înainte de data la care a început să fie aplicabil regulamentul menționat, dar cererea a fost formulată după această dată.
2) Articolul 15 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că
informațiile referitoare la operațiuni de consultare a datelor cu caracter personal ale unei persoane, ce privesc datele când au fost efectuate operațiunile și scopurile acestora, constituie informații pe care această persoană are dreptul să le obțină de la operator în temeiul dispoziției menționate. În schimb, această dispoziție nu consacră un astfel de drept în ceea ce privește informațiile referitoare la identitatea salariaților operatorului, care au efectuat aceste operațiuni sub autoritatea și conform instrucțiunilor acestuia, cu excepția cazului în care aceste informații sunt indispensabile pentru a‑ i permite persoanei vizate să își exercite efectiv drepturile și libertățile care îi sunt conferite de acest regulament și cu condiția să se țină seama de drepturile și libertățile acestor salariați.

3) Articolul 15 alineatul (1) din Regulamentul 2016/679
trebuie interpretate în sensul că împrejurarea că operatorul exercită o activitate bancară în cadrul unui domeniu reglementat și că persoana ale cărei date cu caracter personal au fost prelucrate în calitatea sa de client al operatorului a fost și angajată a acestui operator nu are, în principiu, vreo incidență asupra întinderii dreptului de care beneficiază această persoană în temeiul dispoziției menționate.
Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Camera întâi) 22 iunie 2023(*) „Trimitere preliminară - Prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolele 4 și 15 - Întinderea dreptului de acces la informațiile menționate la articolul 15 - Informații cuprinse în fișierele generate de un sistem de prelucrare (log data) - Articolul

# data[].attributes.headline
Cauza C-487/21 - Österreichische Datenschutzbehörde 

# data[].attributes.subject
Cauza C-487/21 - Österreichische Datenschutzbehörde 

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Camera întâi)

„Trimitere preliminară - Protecția datelor cu caracter personal - Regulamentul (UE) 2016/679 - Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării - Articolul 15 alineatul (3) - Furnizarea unei copii a datelor - Noțiunea de "copie" - Noțiunea de "informații""

În cauza C-487/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), prin decizia din 9 august 2021, primită de Curte la 9 august 2021, în procedura
F.F.
împotriva
Österreichische Datenschutzbehörde,
cu participarea:
CRIF GmbH,
CURTEA (Camera întâi),

compusă din domnul A. Arabadjiev, președinte de cameră, domnii P. G. Xuereb, T. von Danwitz, A. Kumin și doamna I. Ziemele (raportoare), judecători,

avocat general: domnul G. Pitruzzella,

grefier: domnul A. Calot Escobar,

având în vedere procedura scrisă,

luând în considerare observațiile prezentate:

- pentru F.F., de M. Schrems;

- pentru Österreichische Datenschutzbehörde, de A. Jelinek și M. Schmidl, în calitate de agenți;

- pentru CRIF GmbH, de L. Feiler și M. Raschhofer, Rechtsanwälte;

- pentru guvernul austriac, de G. Kunnert, A. Posch și J. Schmoll, în calitate de agenți;

- pentru guvernul ceh, de O. Serdula, M. Smolek și J. Vláčil, în calitate de agenți;

- pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de M. Russo, avvocato dello Stato;

- pentru Comisia Europeană, de A. Bouchagiar, M. Heller și H. Kranenborg, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 15 decembrie 2022,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 15 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD").

2 Această cerere a fost formulată în cadrul unui litigiu între F.F., pe de o parte, și Österreichische Datenschutzbehörde (Autoritatea Austriacă de Protecție a Datelor) (denumită în continuare „DSB"), pe de altă parte, în legătură cu refuzul acesteia din urmă de a impune societății CRIF GmbH să îi transmită lui F.F. o copie a documentelor și a extraselor din bazele de date care conțin printre altele datele sale cu caracter personal care fac obiectul unei prelucrări.

Cadrul juridic

3 Considerentele (10), (11), (26), (58), (60) și (63) ale RGPD au următorul cuprins:

„(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. [...]

(11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal [...]

[...]

(26) Principiile protecției datelor ar trebui să se aplice oricărei informații referitoare la o persoană fizică identificată sau identificabilă. [...] Pentru a se determina dacă o persoană fizică este identificabilă, ar trebui să se ia în considerare toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană, în scopul identificării, în mod direct sau indirect, a persoanei fizice respective.

[...]

(58) Principiul transparenței prevede că orice informații care se adresează publicului sau persoanei vizate să fie concise, ușor accesibile și ușor de înțeles și să se utilizeze un limbaj simplu și clar [...]

[...]

(60) Conform principiilor prelucrării echitabile și transparente, persoana vizată este informată cu privire la existența unei operațiuni de prelucrare și la scopurile acesteia. Operatorul ar trebui să furnizeze persoanei vizate orice informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă, ținând seama de circumstanțele specifice și de contextul în care sunt prelucrate datele cu caracter personal. [...]

[...]

(63) O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. [...] Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele, dacă este posibil perioada pentru care se prelucrează datele cu caracter personal, destinatarii datelor cu caracter personal, logica de prelucrare automată a datelor cu caracter personal și, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. Dacă acest lucru este posibil, operatorul de date ar trebui să poată furniza acces de la distanță la un sistem sigur, care să ofere persoanei vizate acces direct la datele sale cu caracter personal. Acest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și, în special, drepturilor de autor care asigură protecția programelor software. [...]"

4 Articolul 4 din acest regulament prevede:

„În sensul prezentului regulament:

1. "date cu caracter personal" înseamnă orice informații privind o persoană fizică identificată sau identificabilă [...]; o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;

2. "prelucrare" înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate [...];

[...]"

5 Articolul 12 din regulamentul menționat, intitulat „Transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate", prevede:

„(1) Operatorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într-o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil. Informațiile se furnizează în scris sau prin alte mijloace, inclusiv, atunci când este oportun, în format electronic. La solicitarea persoanei vizate, informațiile pot fi furnizate verbal, cu condiția ca identitatea persoanei vizate să fie dovedită prin alte mijloace.

[...]

(3) Operatorul furnizează persoanei vizate informații privind acțiunile întreprinse în urma unei cereri în temeiul articolelor 15-22, fără întârzieri nejustificate și în orice caz în cel mult o lună de la primirea cererii. [...] În cazul în care persoana vizată introduce o cerere în format electronic, informațiile sunt furnizate în format electronic acolo unde este posibil, cu excepția cazului în care persoana vizată solicită un alt format.

[...]"

6 În temeiul articolului 15 din RGPD, intitulat „Dreptul de acces al persoanei vizate":

„(1) Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

(a) scopurile prelucrării;

(b) categoriile de date cu caracter personal vizate;

(c) destinatarii sau categoriile de destinatari cărora datele cu caracter personal le-au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;

(d) acolo unde este posibil, perioada pentru care se preconizează că vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă;

(e) existența dreptului de a solicita operatorului rectificarea sau ștergerea datelor cu caracter personal ori restricționarea prelucrării datelor cu caracter personal referitoare la persoana vizată sau a dreptului de a se opune prelucrării;

(f) dreptul de a depune o plângere în fața unei autorități de supraveghere;

(g) în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora;

(h) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată.

(2) În cazul în care datele cu caracter personal sunt transferate către o țară terță sau o organizație internațională, persoana vizată are dreptul să fie informată cu privire la garanțiile adecvate în temeiul articolului 46 referitoare la transfer.

(3) Operatorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării. Pentru orice alte copii solicitate de persoana vizată, operatorul poate percepe o taxă rezonabilă, bazată pe costurile administrative. În cazul în care persoana vizată introduce cererea în format electronic și cu excepția cazului în care persoana vizată solicită un alt format, informațiile sunt furnizate într-un format electronic utilizat în mod curent.

(4) Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora."

7 Articolul 16 din acest regulament, intitulat „Dreptul la rectificare", prevede:

„Persoana vizată are dreptul de a obține de la operator, fără întârzieri nejustificate, rectificarea datelor cu caracter personal inexacte care o privesc. Ținându-se seama de scopurile în care au fost prelucrate datele, persoana vizată are dreptul de a obține completarea datelor cu caracter personal care sunt incomplete, inclusiv prin furnizarea unei declarații suplimentare."

8 Articolul 17 din regulamentul menționat, intitulat „Dreptul la ștergerea datelor ("dreptul de a fi uitat")", prevede la alineatul (1):

„Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate [...]

[...]".

Acțiunea principală și întrebările preliminare

9 CRIF este o agenție de consultanță comercială care furnizează, la cererea clienților săi, informații privind solvabilitatea unor terți. În acest scop, ea a prelucrat datele cu caracter personal ale reclamantului din litigiul principal.

10 La 20 decembrie 2018, acesta din urmă a solicitat CRIF, în temeiul articolului 15 din RGPD, să aibă acces la datele cu caracter personal care îl privesc. În plus, el a solicitat furnizarea unei copii a documentelor, și anume e-mailurile și extrasele din bazele de date, care conțin printre altele datele sale, „într-un format tehnic standard".

11 Ca răspuns la această cerere, CRIF i‑a transmis reclamantului din litigiul principal, sub formă sintetică, lista datelor sale cu caracter personal care fac obiectul unei prelucrări.

12 Considerând că CRIF ar fi trebuit să îi transmită o copie a documentelor complete care conțineau datele sale, precum e-mailurile și extrasele din bazele de date, reclamantul din litigiul principal a sesizat DSB cu o reclamație.

13 Prin decizia din 11 septembrie 2019, DSB a respins această reclamație, considerând că CRIF nu a săvârșit nicio încălcare a dreptului de acces la datele cu caracter personal ale reclamantului din litigiul principal.

14 Instanța de trimitere, sesizată cu acțiunea reclamantului din litigiul principal împotriva acestei decizii, ridică problema domeniului de aplicare al articolului 15 alineatul (3) prima teză din RGPD. Ea ridică în special problema dacă obligația prevăzută de această dispoziție de a furniza o „copie" a datelor cu caracter personal este îndeplinită atunci când operatorul transmite datele cu caracter personal sub forma unui tabel sintetic sau dacă această obligație implică de asemenea transmiterea unor extrase din documente sau chiar a unor documente întregi, precum și a unor extrase din baze de date, în care sunt reproduse aceste date.

15 Mai precis, această instanță ridică problema dacă articolul 15 alineatul (3) prima teză din RGPD se limitează să definească forma în care trebuie să fie garantat dreptul de acces la informațiile vizate la articolul 15 alineatul (1) din acest regulament sau dacă această primă dispoziție consacră un drept autonom al persoanei vizate de acces la informațiile referitoare la contextul în care sunt prelucrate datele acestei persoane, sub forma unei copii a extraselor din documente sau chiar a unor documente întregi ori a unor extrase din bazele de date care conțin printre altele aceste date.

16 Instanța de trimitere ridică în plus problema dacă noțiunea de „informații" care figurează la articolul 15 alineatul (3) a treia teză din RGPD include și informațiile menționate la articolul 15 alineatul (1) literele (a)-(h) din acest regulament sau chiar informații suplimentare precum metadatele legate de date sau dacă aceasta cuprinde numai „datele cu caracter personal care fac obiectul prelucrării" menționate la articolul 15 alineatul (3) prima teză din regulamentul menționat.

17 În aceste condiții, Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Noțiunea de "copie" prevăzută la articolul 15 alineatul (3) din [RGPD] trebuie interpretată în sensul că vizează o fotocopie, un facsimil ori o copie electronică a unei date (electronice) sau în această noțiune se încadrează și un "Abschrift", un "double" ("duplicata") sau un "transcript", astfel cum sunt definite în dicționarele german, francez și englez?

2) Articolul 15 alineatul (3) prima teză [din] RGPD, potrivit căruia "[o]peratorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării", trebuie interpretat în sensul că include un drept general al persoanei vizate de a i se preda o copie - inclusiv - a documentelor complete în care sunt prelucrate date cu caracter personal ale persoanei vizate sau de a i se preda o copie a unui extras dintr‑o bază de date, în cazul prelucrării datelor cu caracter personal într‑o astfel de bază de date, ori persoana vizată are dreptul - numai - la o reproducere fidelă a originalului datelor cu caracter personal care trebuie furnizate în temeiul articolului 15 alineatul (1) din RGPD?

3) În ipoteza în care s‑ar răspunde la cea de a doua întrebare în sensul că pentru persoana vizată nu există decât un drept la reproducerea fidelă a datelor cu caracter personal care trebuie furnizate în temeiul articolului 15 alineatul (1) din RGPD, articolul 15 alineatul (3) prima teză din [acesta] trebuie interpretat în sensul că, în funcție de tipul datelor prelucrate [de exemplu cu privire la diagnosticele, rezultatele examinărilor, evaluările menționate în considerentul (63) al RGPD, precum și la documente în legătură cu un examen în sensul Hotărârii Curții din 20 decembrie 2017, Nowak (C-434/16, EU:C:2017:994] și de obligația de transparență prevăzută la articolul 12 alineatul (1) din RGPD, poate fi totuși necesară, de la caz la caz, punerea la dispoziția persoanei vizate a pasajelor de text sau a documentelor integrale?

4) Noțiunea de "informații" care, potrivit articolului 15 alineatul (3) a treia teză din RGPD, în cazul în care persoana vizată introduce cererea în format electronic, sunt "furnizate într‑un format electronic utilizat în mod curent", "cu excepția cazului în care persoana vizată solicită un alt format", trebuie interpretată în sensul că se referă numai la "datel[e] cu caracter personal care fac obiectul prelucrării" prevăzute la articolul 15 alineatul (3) prima teză?

a) În cazul unui răspuns negativ la cea de a patra întrebare, noțiunea de "informații" care, potrivit articolului 15 alineatul (3) a treia teză din RGPD, în cazul în care persoana vizată introduce cererea în format electronic, îi sunt "furnizate într‑un format electronic utilizat în mod curent", "cu excepția cazului în care persoana vizată solicită un alt format", trebuie interpretată în sensul că se referă de asemenea la informațiile prevăzute la articolul 15 alineatul (1) literele (a)-(h) din RGPD?

b) În cazul unui răspuns negativ și la a patra întrebare litera a), noțiunea de "informații" care, potrivit articolului 15 alineatul (3) a treia teză din RGPD, în cazul în care persoana vizată introduce cererea în format electronic, îi sunt "furnizate într‑un format electronic utilizat în mod curent", "cu excepția cazului în care persoana vizată solicită un alt format", trebuie interpretată în sensul că se referă, pe lângă "datel[e] cu caracter personal care fac obiectul prelucrării", precum și informațiile menționate la articolul 15 alineatul (1) literele (a)-(h), inclusiv, de exemplu, la metadatele aferente?"

Cu privire la întrebările preliminare

Cu privire la primele trei întrebări preliminare

18 Prin intermediul primelor trei întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 15 alineatul (3) prima teză din RGPD, citit în lumina principiului transparenței prevăzut la articolul 12 alineatul (1) din acest regulament, trebuie interpretat în sensul că dreptul de a obține o copie a datelor cu caracter personal care fac obiectul unei prelucrări presupune ca persoanei vizate să i se predea nu numai o copie a acestor date, ci și o copie a extraselor din documente sau chiar a documentelor întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele menționate. Această instanță ridică în special problema întinderii acestui drept.

19 Cu titlu introductiv, trebuie amintit că, în conformitate cu o jurisprudență constantă a Curții, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de termenii acesteia, în conformitate cu sensul lor obișnuit în limbajul curent, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție [a se vedea în acest sens Hotărârea din 2 decembrie 2021, Vodafone Kabel Deutschland, C-484/20, EU:C:2021:975, punctul 19 și jurisprudența citată, precum și Hotărârea din 7 septembrie 2022, Staatssecretaris van Justitie en Veiligheid (Natura dreptului de ședere în temeiul articolului 20 TFUE), C-624/20, EU:C:2022:639, punctul 28]

20 În ceea ce privește modul de redactare a articolului 15 alineatul (3) prima teză din RGPD, această dispoziție prevede că operatorul „furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării".

21 Deși RGPD nu conține o definiție a noțiunii de „copie" astfel utilizată, este necesar să se țină seama de sensul obișnuit al acestui termen, care desemnează, după cum a arătat domnul avocat general la punctul 30 din concluzii, reproducerea sau transcrierea fidelă a unui original, așa încât o descriere pur generală a datelor care fac obiectul unei prelucrări sau o trimitere la categorii de date cu caracter personal nu ar corespunde acestei definiții. În plus, din termenii articolului 15 alineatul (3) prima teză din acest regulament reiese că obligația de comunicare este legată de datele cu caracter personal care fac obiectul prelucrării în cauză.

22 Articolul 4 punctul 1 din RGPD definește noțiunea de „date cu caracter personal" ca fiind „orice informații privind o persoană fizică identificată sau identificabilă" și precizează că „o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale".

23 Utilizarea expresiei „orice informații" în definiția noțiunii „date cu caracter personal", care figurează în această dispoziție, reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestei noțiuni, care înglobează potențial orice tip de informații, atât obiective, cât și subiective, sub formă de opinii sau de aprecieri, cu condiția ca acestea să fie „referitoare" la persoana în cauză (a se vedea prin analogie Hotărârea din 20 decembrie 2017, Nowak, C‑434/16, EU:C:2017:994, punctul 34).

24 În această privință, s-a statuat că o informație privește o persoană fizică identificată sau identificabilă atunci când, ca urmare a conținutului, a scopului sau a efectului său, informația este legată de o persoană identificabilă (a se vedea în acest sens Hotărârea din 20 decembrie 2017, Nowak, C‑434/16, EU:C:2017:994, punctul 35).

25 În ceea ce privește caracterul „identificabil" al unei persoane fizice, considerentul (26) al RGPD precizează că ar trebui să se ia în considerare „toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană, în scopul identificării, în mod direct sau indirect, a persoanei fizice respective".

26 Astfel, după cum a arătat în esență domnul avocat general la punctele 36-39 din concluzii, definiția largă a noțiunii de „date cu caracter personal" nu acoperă numai datele colectate și păstrate de operator, ci include și toate informațiile care rezultă dintr-o prelucrare a datelor cu caracter personal care privesc o persoană identificată sau identificabilă, precum aprecierea solvabilității sau a disponibilității sale de a plăti.

27 În acest context, trebuie adăugat că legiuitorul Uniunii a intenționat să confere noțiunii de „prelucrare", astfel cum este definită la articolul 4 punctul 2 din RGPD, un domeniu de aplicare larg prin recurgerea la o enumerare de operațiuni neexhaustivă [a se vedea în acest sens Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor personale în scopuri fiscale), C‑175/20, EU:C:2022:124, punctul 35].

28 Prin urmare, din analiza textuală a articolului 15 alineatul (3) prima teză din RGPD reiese că această dispoziție conferă persoanei vizate dreptul de a obține o reproducere fidelă a datelor sale cu caracter personal, înțelese într-o accepțiune largă, care fac obiectul unor operațiuni ce trebuie calificate drept prelucrare efectuată de operatorul acestei prelucrări.

29 Cu toate acestea, trebuie să se constate că modul de redactare a aceleiași dispoziții nu permite, în sine, să se răspundă la primele trei întrebări în măsura în care nu conține nicio indicație cu privire la un eventual drept de a obține nu numai o copie a datelor cu caracter personal care fac obiectul unei prelucrări, ci și o copie a extraselor din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele aceste date.

30 În ceea ce privește contextul în care se înscrie articolul 15 alineatul (3) prima teză din RGPD, trebuie arătat că articolul 15 din RGPD, care este intitulat „Dreptul de acces al persoanei vizate", definește la alineatul (1) obiectul și domeniul de aplicare al dreptului de acces recunoscut persoanei vizate și consacră dreptul acesteia de a obține de la operator accesul la datele sale cu caracter personal, precum și informațiile menționate la literele (a)-(h) ale acestui alineat.

31 Articolul 15 alineatul (3) din RGPD precizează modalitățile practice de executare a obligației care îi revine operatorului, specificând în special în prima sa teză forma sub care acest operator trebuie să furnizeze „datel[e] cu caracter personal care fac obiectul prelucrării", și anume sub forma unei „copi[i]". În plus, acest alineat prevede, în a treia teză, că informațiile sunt furnizate în format electronic utilizat în mod curent atunci când cererea este introdusă în format electronic, cu excepția cazului în care persoana vizată solicită un alt format.

32 În consecință, articolul 15 din RGPD nu poate fi interpretat în sensul că ar consacra, la alineatul (3) prima teză, un drept distinct de cel prevăzut la alineatul (1). Pe de altă parte, așa cum a arătat Comisia Europeană în observațiile sale scrise, termenul „copie" nu se raportează la un document ca atare, ci la datele cu caracter personal pe care le conține și care trebuie să fie complete. Prin urmare, copia trebuie să conțină toate datele cu caracter personal care fac obiectul prelucrării.

33 În ceea ce privește obiectivele urmărite de articolul 15 din RGPD, este necesar să se arate că el are drept scop, astfel cum se precizează în considerentul (11) al acestuia, consolidarea și stabilirea drepturilor persoanelor vizate. Articolul 15 din acest regulament prevede, în această privință, un drept de a obține o copie, spre deosebire de articolul 12 litera (a) a doua liniuță din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31), care se limita la a impune „comunicarea într‑o formă inteligibilă a datelor care fac obiectul prelucrării". Considerentul (63) al RGPD precizează, la rândul său, că „[o] persoană ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia".

34 Astfel, dreptul de acces prevăzut la articolul 15 din RGPD trebuie să permită persoanei vizate să verifice că datele care o privesc sunt exacte și că ele sunt prelucrate în mod legal [a se vedea în acest sens Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 37 și jurisprudența citată].

35 În special, acest drept de acces este necesar pentru a‑i permite persoanei vizate să își exercite, dacă este cazul, dreptul la rectificare, dreptul la ștergerea datelor („dreptul de a fi uitat") și dreptul la restricționarea prelucrării, care îi sunt recunoscute la articolele 16, 17 și, respectiv, 18 din RGPD, dreptul de opoziție la prelucrarea datelor sale cu caracter personal prevăzut la articolul 21 din RGDP, precum și dreptul la o cale de atac în cazul în care suferă un prejudiciu, prevăzut la articolele 79 și 82 din RGPD [Hotărârea din 12 ianuarie 2023, Österreichische Post (Informații referitoare la destinatarii datelor cu caracter personal), C‑154/21, EU:C:2023:3, punctul 38 și jurisprudența citată].

36 De asemenea, ar trebui remarcat faptul că, potrivit considerentului (60) al RGPD, principiile prelucrării echitabile și transparente impun ca persoana vizată să fie informată cu privire la existența și la scopurile operațiunii de prelucrare, subliniindu‑se că operatorul ar trebui să furnizeze orice informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă, ținând seama de circumstanțele specifice și de contextul în care sunt prelucrate datele cu caracter personal.

37 Pe de altă parte, în conformitate cu principiul transparenței, menționat de instanța de trimitere, la care face referire considerentul (58) al RGPD și pe care îl consacră în mod expres articolul 12 alineatul (1) din acest regulament, orice informație adresată persoanei vizate trebuie să fie concisă, ușor accesibilă și ușor de înțeles și formulată într‑un limbaj clar și simplu.

38 Astfel cum a arătat domnul avocat general la punctele 54 și 55 din concluzii, din această dispoziție reiese că operatorul este obligat să ia măsuri adecvate pentru a furniza persoanei vizate orice informație menționată în special la articolul 15 din RGPD, într-un mod concis, transparent, inteligibil și ușor accesibil, utilizând un limbaj clar și simplu, și că informațiile trebuie furnizate în scris sau prin alte mijloace, inclusiv, atunci când este oportun, prin mijloace electronice, cu excepția cazului în care persoana vizată solicită să îi fie furnizate verbal. Scopul acestei dispoziții, care este o expresie a principiului transparenței, este de a garanta că persoana vizată este în măsură să înțeleagă pe deplin informațiile care îi sunt transmise.

39 Rezultă de aici că copia datelor cu caracter personal care fac obiectul unei prelucrări, pe care operatorul trebuie să o furnizeze în temeiul articolului 15 alineatul (3) prima teză din RGPD, trebuie să prezinte toate caracteristicile care permit persoanei vizate să își exercite în mod efectiv drepturile în temeiul acestui regulament și trebuie, în consecință, să reproducă aceste date integral și fidel.

40 Această interpretare corespunde obiectivului regulamentului menționat, care urmărește în special, astfel cum reiese din considerentul (10) al acestuia, să asigure un nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii și, în acest scop, să asigure aplicarea consecventă și omogenă a normelor în materie de protecție a libertăților și a drepturilor fundamentale ale acestor persoane în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune (a se vedea în acest sens Hotărârea din 9 februarie 2023, X-FAB Dresden, C‑453/21, EU:C:2023:79, punctul 25 și jurisprudența citată).

41 Așadar, pentru a garanta că informațiile astfel furnizate sunt ușor de înțeles, după cum impune articolul 12 alineatul (1) din RGPD coroborat cu considerentul (58) al acestui regulament, reproducerea unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele cu caracter personal care fac obiectul unei prelucrări se poate dovedi indispensabilă, după cum a arătat domnul avocat general la punctele 57 și 58 din concluzii, în cazul în care contextualizarea datelor prelucrate este necesară pentru a le asigura inteligibilitatea.

42 În special, în cazul în care datele cu caracter personal sunt generate pornind de la alte date sau atunci când astfel de date rezultă din câmpuri libere, și anume lipsa unei indicații care să dezvăluie o informație cu privire la persoana vizată, contextul prelucrării acestor date este un element indispensabil pentru a permite persoanei vizate să dispună de un acces transparent și de o prezentare inteligibilă a acestor date.

43 Pe de altă parte, în conformitate cu articolul 15 alineatul (4) din RGPD coroborat cu considerentul (63) al acestui regulament, dreptul de a obține o copie menționat la alineatul (3) nu ar trebui să aducă atingere drepturilor și libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și, în special, drepturilor de autor care asigură protecția programelor software.

44 Prin urmare, astfel cum a subliniat domnul avocat general la punctul 61 din concluzii, în caz de conflict între, pe de o parte, exercitarea unui drept de acces deplin și complet la datele cu caracter personal și, pe de altă parte, drepturile sau libertățile altora, va fi necesar să se pună în balanță drepturile și libertățile în discuție. În măsura posibilului, trebuie să se aleagă modalitățile de comunicare a datelor cu caracter personal care nu aduc atingere drepturilor sau libertăților altora, ținând seama de faptul că aceste considerații nu trebuie „să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate", după cum rezultă din considerentul (63) al RGPD.

45 Având în vedere considerațiile care precedă, este necesar să se răspundă la primele trei întrebări preliminare că articolul 15 alineatul (3) prima teză din RGPD

trebuie interpretat în sensul că

dreptul de a obține din partea operatorului o copie a datelor cu caracter personal care fac obiectul prelucrării presupune ca persoanei vizate să îi fie predată o reproducere fidelă și inteligibilă a tuturor acestor date. Acest drept îl presupune pe cel de a obține copia unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele menționate, dacă furnizarea unei astfel de copii este indispensabilă pentru a‑i permite persoanei vizate să își exercite în mod efectiv drepturile care îi sunt conferite de acest regulament, subliniindu‑se că trebuie să se țină seama în această privință de drepturile și de libertățile altora.

Cu privire la a patra întrebare preliminară

46 Prin intermediul acestei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 15 alineatul (3) a treia teză din RGPD trebuie interpretat în sensul că noțiunea de „informații" pe care o vizează se referă exclusiv la datele cu caracter personal pentru care operatorul trebuie să furnizeze o copie în temeiul primei teze a acestui alineat sau dacă face trimitere de asemenea la ansamblul informațiilor menționate la alineatul (1) al acestui articol ori chiar înglobează elemente care le depășesc, precum metadatele.

47 Astfel cum s-a amintit la punctul 19 din prezenta hotărâre, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de termenii acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție.

48 În această privință, deși articolul 15 alineatul (3) a treia teză din RGPD prevede doar că, „[î]n cazul în care persoana vizată introduce cererea în format electronic [...], informațiile sunt furnizate într-un format electronic utilizat în mod curent", fără a preciza ce trebuie să se înțeleagă prin termenul „informații", prima teză a acestui alineat prevede că „[o]peratorul furnizează o copie a datelor cu caracter personal care fac obiectul prelucrării".

49 Prin urmare, din contextul articolului 15 alineatul (3) a treia teză din RGPD rezultă că „informațiile" pe care le vizează corespund în mod necesar datelor cu caracter personal pentru care operatorul trebuie să furnizeze o copie în conformitate cu prima teză a acestui alineat.

50 O asemenea interpretare este confirmată de obiectivele urmărite de articolul 15 alineatul (3) din RGPD, care sunt, astfel cum s-a amintit la punctul 31 din prezenta hotărâre, de a defini modalitățile practice de executare a obligației care revine operatorului de a furniza o copie a datelor cu caracter personal ce fac obiectul unei prelucrări. În consecință, această dispoziție nu creează un drept distinct de cel de care beneficiază persoana vizată de a obține o reproducere fidelă și inteligibilă a acestor date, care să îi permită să își exercite în mod efectiv drepturile pe care i le conferă acest regulament.

51 Or, trebuie arătat că nicio dispoziție din regulamentul menționat nu stabilește o diferență de tratament al unei cereri în funcție de forma în care este prezentată, astfel încât întinderea dreptului de a obține o copie nu poate varia în funcție de această formă.

52 Pe de altă parte, trebuie arătat de asemenea că, în conformitate cu articolul 12 alineatul (3) din RGPD, atunci când cererea a fost depusă pe cale electronică, informațiile menționate la acest articol 15, inclusiv cele menționate la literele (a)-(h) ale alineatului (1) al articolului menționat, sunt furnizate pe cale electronică, cu excepția cazului în care persoana vizată indică altfel.

53 Având în vedere considerațiile care precedă, este necesar să se răspundă la a patra întrebare preliminară că articolul 15 alineatul (3) a treia teză din RGPD

trebuie interpretat în sensul că

noțiunea de „informații" pe care o vizează se referă exclusiv la datele cu caracter personal pentru care operatorul trebuie să furnizeze o copie în temeiul primei teze a acestui alineat.

Cu privire la cheltuielile de judecată

54 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară:

1) Articolul 15 alineatul (3) prima teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că
dreptul de a obține din partea operatorului o copie a datelor cu caracter personal care fac obiectul prelucrării presupune ca persoanei vizate să îi fie predată o reproducere fidelă și inteligibilă a tuturor acestor date. Acest drept îl presupune pe cel de a obține copia unor extrase din documente sau chiar a unor documente întregi ori, în plus, a unor extrase din baze de date care conțin printre altele datele menționate, dacă furnizarea unei astfel de copii este indispensabilă pentru a‑ i permite persoanei vizate să își exercite în mod efectiv drepturile care îi sunt conferite de acest regulament, subliniindu‑ se că trebuie să se țină seama în această privință de drepturile și de libertățile altora.

2) Articolul 15 alineatul (3) a treia teză din Regulamentul 2016/679
trebuie interpretat în sensul că noțiunea de „informații" pe care o vizează se referă exclusiv la datele cu caracter personal pentru care operatorul trebuie să furnizeze o copie în temeiul primei teze a acestui alineat.
Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Camera întâi) „Trimitere preliminară - Protecția datelor cu caracter personal - Regulamentul (UE) 2016/679 - Dreptul de acces al persoanei vizate la datele sale care fac obiectul prelucrării - Articolul 15 alineatul (3) - Furnizarea unei copii a datelor - Noțiunea de "copie" - Noțiunea de "informații"" În cauza C-487/21, având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), prin decizia din 9 august 2021, primită de Curte la 9 august 2021, în procedura F.F.

# data[].attributes.headline
Cauza  T‑557/20 – Single Resolution Board (SRB) împotriva EDPS (în apel)

# data[].attributes.subject
Cauza  T‑557/20 – Single Resolution Board (SRB) împotriva EDPS (în apel)

# data[].attributes.headline
Cauza  C‑460/20 – Google (De-referencing of allegedly inaccurate content)

# data[].attributes.subject
Cauza  C‑460/20 – Google (De-referencing of allegedly inaccurate content)

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Marea Cameră)

8 decembrie 2022(*)

„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Directiva 95/46/CE - Articolul 12 litera (b) - Articolul 14 primul paragraf litera (a) - Regulamentul (UE) 2016/679 - Articolul 17 alineatul (3) litera (a) - Operatorul unui motor de căutare pe internet - Căutare efectuată după numele unei persoane - Afișarea unui link care conduce la articole ce conțin informații pretins inexacte în lista rezultatelor căutării - Afișare sub formă de imagini de previzualizare (thumbnails) a fotografiilor care ilustrează aceste articole în lista rezultatelor unei căutări de imagini - Cerere de dezindexare adresată operatorului motorului de căutare - Evaluare comparativă a drepturilor fundamentale - Articolele 7, 8, 11 și 16 din Carta drepturilor fundamentale a Uniunii Europene - Obligații și responsabilități care incumbă operatorului motorului de căutare la prelucrarea unei cereri de dezindexare - Sarcina probei care revine solicitantului dezindexării"

În cauza C‑460/20,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Bundesgerichtshof (Curtea Federală de Justiție, Germania), prin decizia din 27 iulie 2020, primită de Curte la 24 septembrie 2020, în procedura
TU, RE
împotriva
Google LLC,
CURTEA (Marea Cameră),

compusă din domnul K. Lenaerts, președinte, domnul L. Bay Larsen, vicepreședinte, doamnele A. Prechal și K. Jürimäe, domnii C. Lycourgos și P. G. Xuereb, doamna L. S. Rossi și domnul D. Gratsias, președinți de cameră, domnii M. Ilešič (raportor), F. Biltgen, N. Piçarra, N. Jääskinen și N. Wahl, doamna I. Ziemele și domnul J. Passer, judecători,

avocat general: domnul G. Pitruzzella,

grefier: domnul D. Dittert, șef de unitate,

având în vedere procedura scrisă și în urma ședinței din 24 ianuarie 2022,

luând în considerare observațiile prezentate:

- pentru TU și RE, de M. Siegmann și T. Stöber, Rechtsanwälte;

- pentru Google LLC, de B. Heymann, J. Spiegel și J. Wimmers, Rechtsanwälte;

- pentru guvernul elen, de S. Charitaki, A. Magrippi și M. Tassopoulou, în calitate de agenți;

- pentru guvernul austriac, de G. Kunnert, A. Posch și J. Schmoll, în calitate de agenți;

- pentru guvernul român, de E. Gane și L. Lițu, în calitate de agenți;

- pentru Comisia Europeană, de A. Bouchagiar, F. Erlbacher, H. Kranenborg și D. Nardi, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 7 aprilie 2022,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 17 alineatul (3) litera (a) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD"), precum și a articolului 12 litera (b) și a articolului 14 primul paragraf litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10), citite în lumina articolelor 7, 8, 11 și 16 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta").

2 Această cerere a fost formulată în cadrul unui litigiu între TU și RE, pe de o parte, și Google LLC, pe de altă parte, în legătură cu o cerere prin care se solicită, în primul rând, ca articolele în care aceștia sunt identificați să fie dezindexate din rezultatele furnizate în urma unei căutări efectuate după numele lor și, în al doilea rând, ca fotografiile care îi reprezintă, afișate sub formă de imagini de previzualizare („ thumbnails "), să fie eliminate din rezultatele unei căutări de imagini.

Cadrul juridic

Directiva 95/46

3 Articolul 1 din Directiva 95/46, intitulat „Obiectul directivei", prevedea la alineatul (1):

„Statele membre asigură, în conformitate cu prezenta directivă, protejarea drepturilor și libertăților fundamentale ale persoanei și în special a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal."

4 Articolul 2 din această directivă, intitulat „Definiții", prevedea:

„În sensul prezentei directive:

(a) "date cu caracter personal" înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); [...]

(b) "prelucrarea datelor cu caracter personal" (prelucrare) înseamnă orice operațiune sau serie de operațiuni care se efectuează asupra datelor cu caracter personal, [...]

[...]

(d) "operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; [...]

[...]"

5 Inclus în secțiunea I din capitolul II din directiva menționată, intitulată „Principii referitoare la calitatea datelor", articolul 6 din aceasta avea următorul cuprins:

„(1) Statele membre stabilesc că datele cu caracter personal trebuie să fie:

[...]

(d) exacte și, dacă este necesar, actualizate; trebuie luate toate măsurile necesare pentru ca datele inexacte sau incomplete din punct[ul] de vedere al scopului pentru care sunt colectate sau pentru care vor fi prelucrate ulterior să fie șterse sau rectificate;

[...]"

6 Inclus în secțiunea V din capitolul II din aceeași directivă, intitulată „Dreptul de acces la date al persoanei vizate", articolul 12 din aceasta, intitulat „Dreptul de acces", prevedea:

„Statele membre garantează oricărei persoane vizate dreptul de a obține de la operator:

[...]

(b) după caz, rectificarea, ștergerea sau blocarea datelor a căror prelucrare nu respectă dispozițiile prezentei directive, în special datorită caracterului incomplet sau inexact al datelor;

[...]"

7 Inclus în secțiunea VII din capitolul II din Directiva 95/46, intitulată „Dreptul de opoziție al persoanei vizate", articolul 14 primul paragraf din aceasta prevedea:

„Statele membre acordă persoanei vizate dreptul:

(a) cel puțin în cazurile prevăzute în articolul 7 literele (e) și (f), să se opună în orice moment, din considerente întemeiate și legitime legate de situația sa particulară, prelucrării datelor în cauză, exceptând cazul când dreptul intern prevede altfel. Dacă opoziția este justificată, prelucrarea efectuată de operator nu se mai aplică acestor date;

[...]"

RGPD

8 În conformitate cu articolul 94 alineatul (1), RGDP a abrogat Directiva 95/46 cu efect de la 25 mai 2018. În temeiul articolului 99 alineatul (2) din regulament, acesta se aplică de la aceeași dată.

9 Considerentele (4), (39) și (65) ale acestui regulament au următorul cuprins:

„(4) Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în cartă astfel cum sunt consacrate în tratate, în special respectarea vieții private și de familie, a reședinței și a comunicațiilor, a protecției datelor cu caracter personal, a libertății de gândire, de conștiință și de religie, a libertății de exprimare și de informare, a libertății de a desfășura o activitate comercială, dreptul la o cale de atac eficientă și la un proces echitabil, precum și diversitatea culturală, religioasă și lingvistică.

[...]

(39) [...] Ar trebui să fie luate toate măsurile rezonabile pentru a se asigura că datele cu caracter personal care sunt inexacte sunt rectificate sau șterse. [...]

[...]

(65) O persoană vizată ar trebui să aibă dreptul la rectificarea datelor cu caracter personal care o privesc și "dreptul de a fi uitată", în cazul în care păstrarea acestor date încalcă prezentul regulament sau dreptul Uniunii sau dreptul intern sub incidența căruia intră operatorul. [...] Cu toate acestea, păstrarea în continuare a datelor cu caracter personal ar trebui să fie legală în cazul în care este necesară pentru exercitarea dreptului la libertatea de exprimare și de informare [...]"

10 Inclus în capitolul I din regulamentul menționat, intitulat „Dispoziții generale", articolul 4 din acesta, intitulat la rândul său „Definiții", are următorul cuprins:

„În sensul prezentului regulament:

1. "date cu caracter personal" înseamnă orice informații privind o persoană fizică identificată sau identificabilă ("persoana vizată"); [...]

2. "prelucrare" înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate [...]

[...]

7. "operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; [...]

[...]"

11 Inclus în capitolul II din același regulament, intitulat „Principii", articolul 5 din acesta, intitulat la rândul său „Principii legate de prelucrarea datelor cu caracter personal", prevede:

„(1) Datele cu caracter personal sunt:

[...]

(d) exacte și, în cazul în care este necesar, să fie actualizate; trebuie să se ia toate măsurile necesare pentru a se asigura că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, sunt șterse sau rectificate fără întârziere ("exactitate");

[...]

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

12 Secțiunea 3 din capitolul III din RGPD, intitulată „Rectificare și ștergere", cuprinde printre altele articolele 16 și 17 din acesta.

13 Articolul 16 din acest regulament, intitulat „Dreptul la rectificare", prevede:

„Persoana vizată are dreptul de a obține de la operator, fără întârzieri nejustificate, rectificarea datelor cu caracter personal inexacte care o privesc. Ținându‑se seama de scopurile în care au fost prelucrate datele, persoana vizată are dreptul de a obține completarea datelor cu caracter personal care sunt incomplete, inclusiv prin furnizarea unei declarații suplimentare."

14 Articolul 17 din regulamentul menționat, intitulat „Dreptul la ștergerea datelor ("dreptul de a fi uitat")", are următorul cuprins:

„(1) Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:

(a) datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;

(b) persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea, în conformitate cu articolul 6 alineatul (1) litera (a) sau cu articolul 9 alineatul (2) litera (a), și nu există niciun alt temei juridic pentru prelucrare;

(c) persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) și nu există motive legitime care să prevaleze în ceea ce privește prelucrarea sau persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (2);

(d) datele cu caracter personal au fost prelucrate ilegal;

(e) datele cu caracter personal trebuie șterse pentru respectarea unei obligații legale care revine operatorului în temeiul dreptului Uniunii sau al dreptului intern sub incidența căruia se află operatorul;

(f) datele cu caracter personal au fost colectate în legătură cu oferirea de servicii ale societății informaționale menționate la articolul 8 alineatul (1).

(2) În cazul în care operatorul a făcut publice datele cu caracter personal și este obligat, în temeiul alineatului (1), să le șteargă, operatorul, ținând seama de tehnologia disponibilă și de costul implementării, ia măsuri rezonabile, inclusiv măsuri tehnice, pentru a informa operatorii care prelucrează datele cu caracter personal că persoana vizată a solicitat ștergerea de către acești operatori a oricăror linkuri către datele respective sau a oricăror copii sau reproduceri ale acestor date cu caracter personal.

(3) Alineatele (1) și [(2)] nu se aplică în măsura în care prelucrarea este necesară:

(a) pentru exercitarea dreptului la liberă exprimare și la informare;

[...]"

Litigiul principal și întrebările preliminare

15 TU este membru al consiliului de administrație și acționar unic al unei societăți de investiții, precum și președintele unei filiale a acesteia, ele constituind, împreună și alături de alte societăți, un grup de societăți. TU este de asemenea asociatul unic al unei a treia societăți, care este asociata unică a unei a patra societăți, aceasta din urmă deținând, la rândul său, 60 % din părțile sociale ale unei a cincea societăți.

16 RE era partenera lui TU și, până în luna mai 2015, mandatara acestei a patra societăți.

17 La 27 aprilie, la 4 iunie și la 16 iunie 2015, trei articole care prezentau în mod critic modelul de investiții pus în aplicare de cea de a cincea societate și de grupul de societăți, menționate la punctul 15 din prezenta hotărâre, au fost publicate pe site‑ul internet www.g...net (denumit în continuare „site‑ul g‑net"). Articolul din 4 iunie 2015 era în plus ilustrat cu trei fotografii reprezentându‑l pe TU, aflat la volanul unui automobil de lux, într‑o cabină de elicopter și, respectiv, în fața unui avion, precum și cu o fotografie cu RE într‑o mașină decapotabilă.

18 Operatorul site‑ului g‑net este, potrivit mențiunilor legale („ Impressum "), G‑LLC, cu sediul în New York (Statele Unite). Obiectul de activitate al G‑LLC este, conform propriilor indicații, „de a contribui în mod durabil, printr‑o difuzare activă a informației și prin transparență în orice moment, la prevenirea fraudei în cadrul economiei și al societății". Diferite publicații au relatat în mod critic modelul de afaceri al societății G‑LLC, reproșându‑i printre altele că exercită un „șantaj" asupra întreprinderilor, publicând mai întâi rapoarte negative cu privire la acestea și propunând apoi, în schimbul unei sume de bani, să șteargă aceste rapoarte sau să împiedice publicarea lor.

19 Google afișa în lista de rezultate articolele din 4 iunie 2015 și din 16 iunie 2015 la căutarea cu ajutorul motorului său de căutare a numelor și prenumelor reclamanților din litigiul principal, atât separat, cât și în combinație cu anumite denumiri de societăți, precum și articolul din 27 aprilie 2015, la căutarea anumitor denumiri de societăți, trimițând la aceste articole prin intermediul unui link. De asemenea, la căutarea de imagini cu acest motor, Google afișa în lista de rezultate, sub formă de imagini de previzualizare, fotografiile reclamanților din litigiul principal cuprinse în articolul din 4 iunie 2015. Afișarea acestor fotografii a încetat cel târziu în luna septembrie 2017. În ceea ce privește articolele, acestea nu ar mai fi accesibile pe site‑ul g‑net de la 28 iunie 2018 cel târziu.

20 Reclamanții din litigiul principal au solicitat Google, în calitate de operator al prelucrării datelor cu caracter personal efectuate cu motorul său de căutare, pe de o parte, să elimine din lista rezultatelor căutării linkurile către articolele în discuție în litigiul principal, pentru motivul că acestea ar conține afirmații inexacte și opinii defăimătoare, și, pe de altă parte, să retragă imaginile de previzualizare din lista rezultatelor căutării. Aceștia au pretins că au suferit și ei un „șantaj" din partea G‑LLC.

21 Google a refuzat să dea curs acestei cereri, făcând trimitere la contextul profesional în care se înscriau articolele și fotografiile în discuție în litigiul principal și invocând faptul că nu avea cunoștință despre pretinsa inexactitate a informațiilor cuprinse în aceste articole.

22 În cursul anului 2015, reclamanții din litigiul principal au sesizat Landgericht Köln (Tribunalul Regional din Köln, Germania) cu o acțiune având ca obiect obligarea Google la eliminarea din listele rezultatelor căutării cu ajutorul acestui motor a linkurilor către articolele în discuție în litigiul principal și la încetarea afișării sub formă de imagini de previzualizare a fotografiilor care îi reprezentau. Prin hotărârea din 22 noiembrie 2017, instanța menționată a respins acțiunea.

23 Reclamanții din litigiul principal au declarat apel împotriva acestei hotărâri la Oberlandesgericht Köln (Tribunalul Regional Superior din Köln, Germania), care a respins apelul prin hotărârea din 8 noiembrie 2018. Această instanță a subliniat că modul de funcționare specific al unui motor de căutare și importanța deosebită pe care acesta o are pentru funcționarea internetului trebuie să cântărească în mod semnificativ în cadrul evaluării comparative a drepturilor și intereselor concurente care se impune a fi efectuată. Dat fiind că operatorul motorului de căutare nu are în general nicio legătură juridică cu furnizorii conținuturilor indexate și că îi este imposibil să investigheze faptele și să le evalueze ținând seama și de opinia acestor furnizori, el nu ar fi supus unor obligații de comportament specifice decât atunci când ia cunoștință, în urma indicării concrete a persoanei în cauză, de o încălcare a dreptului flagrantă și identificabilă în mod clar la o primă vedere. Aceste principii ar fi valabile și în cazul în care motorul de căutare este utilizat numai pentru a căuta imagini, dat fiind că interesele relevante prezente în cauză ar fi comparabile.

24 Instanța de apel a adăugat că, în măsura în care este necesar să se țină seama în mod determinant de exactitatea faptei invocate, sarcina probei în această privință revine solicitantului dezindexării. Or, în speță, dat fiind că reclamanții din litigiul principal nu au dovedit caracterul inexact al faptelor relatate în privința lor, Google s‑ar afla în imposibilitatea de a efectua o evaluare concludentă a articolelor în discuție în litigiul principal și, prin urmare, nu ar fi obligată să procedeze la dezindexarea lor. În ceea ce privește fotografiile afișate sub formă de imagini de previzualizare, acestea ar putea fi privite, în măsura în care însoțesc unul dintre aceste articole, ca fiind imagini de actualități.

25 Reclamanții din litigiul principal au formulat recurs la Bundesgerichtshof (Curtea Federală de Justiție, Germania), instanța de trimitere.

26 Această instanță arată că soluționarea acestei căi de atac depinde de interpretarea dreptului Uniunii, în special a articolului 17 alineatul (3) litera (a) din RGPD, precum și a articolului 12 litera (b) și a articolului 14 primul paragraf litera (a) din Directiva 95/46.

27 Cu titlu introductiv, instanța de trimitere subliniază că, din punctul său de vedere, cererea prin care se solicită ca Google să fie obligată la eliminarea din lista rezultatelor căutării a linkurilor către articolele în discuție în litigiul principal intră, ratione temporis, în domeniul de aplicare al RGPD, în timp ce cererea prin care se solicită ca Google să fie obligată să elimine imaginile de previzualizare din lista rezultatelor căutării de imagini intră ratione temporis în domeniul de aplicare al Directivei 95/46, dat fiind că acestea nu mai erau afișate de motorul de căutare operat de Google la data intrării în vigoare a RGPD. Totuși, în ceea ce privește această din urmă cerere, instanța menționată solicită Curții să furnizeze un răspuns în acest sens ținând seama și de acest regulament.

28 Instanța de trimitere arată apoi că împrejurarea că articolele în discuție în litigiul principal nu mai sunt disponibile pe site‑ul g‑net și că Google nu mai afișează imaginile de previzualizare nu a făcut să dispară interesul reclamanților din litigiul principal de a continua să solicite dezindexarea, dat fiind că site‑ul g‑net s‑ar limita la a indica faptul că, din diferite motive, aceste articole sunt „pentru moment" indisponibile. În aceste condiții, nu se poate exclude ca articolele respective să fie publicate din nou pe internet în viitor și să fie indexate din nou de motorul de căutare al Google, precizându‑se de altfel că această societate consideră în continuare că respectiva cerere de dezindexare este nejustificată și că își menține refuzul de a‑i da curs.

29 Pe fond, în ceea ce privește, în primul rând, cererea de dezindexare din lista rezultatelor căutării a linkurilor către articolele în discuție în litigiul principal, instanța de trimitere arată că reclamanții din litigiul principal o justifică invocând printre altele inexactitatea anumitor afirmații care figurează în aceste articole. Prin urmare, s‑ar pune întrebarea dacă le revenea lor sarcina de a dovedi pretinsa inexactitate a acestor afirmații sau, cel puțin, de a dovedi un anumit grad de certitudine a acestei inexactități sau dacă, dimpotrivă, Google ar fi trebuit fie să prezume exactitatea afirmațiilor reclamanților din litigiul principal, fie să încerce să clarifice ea însăși faptele.

30 Potrivit instanței de trimitere, cerința de a evalua comparativ, pe picior de egalitate, drepturile fundamentale concurente care decurg din articolele 7 și 8 din cartă, pe de o parte, și din articolele 11 și 16 din cartă, pe de altă parte, nu este îndeplinită dacă, într‑o situație precum cea în discuție în cauza principală, sarcina probei revine exclusiv uneia sau celeilalte părți.

31 Prin urmare, această instanță propune să se rețină o soluție prin care să se impună persoanei vizate să soluționeze cel puțin provizoriu problema exactității conținutului indexat valorificându‑și în justiție dreptul împotriva furnizorului de conținut, cu condiția ca obținerea protecției jurisdicționale cel puțin provizorii să fie o opțiune rezonabilă pentru ea ținând seama de împrejurările speței. Desigur, în măsura în care persoana în cauză nu are o legătură cu furnizorul de conținut, ea ar putea întâmpina aceleași dificultăți ca operatorul motorului de căutare de a intra în contact cu acest furnizor. Totuși, această persoană ar cunoaște caracterul exact sau inexact al conținutului indexat. Aspectul dacă persoanei respective i se poate impune în mod rezonabil să își valorifice în justiție dreptul împotriva furnizorului de conținut ar putea depinde, de exemplu, de aspectul dacă acesta poate sau nu poate fi chemat în judecată fără o dificultate deosebită în cadrul Uniunii Europene.

32 Din această perspectivă, instanța de trimitere tinde să considere că, în general, persoanei în cauză i se poate impune în mod rezonabil să formuleze o cerere de măsuri provizorii împotriva unui furnizor de conținut al cărui nume este cunoscut, dar nu împotriva unui furnizor anonim sau a unui furnizor căruia este imposibil să i se adreseze notificări. În schimb, ar fi lipsită de relevanță în raport cu drepturile deținute față de operatorul motorului de căutare posibilitatea efectivă de a obține executarea unei eventuale somații de ștergere împotriva furnizorului de conținut.

33 În al doilea rând, în ceea ce privește cererea prin care se solicită obligarea Google să înceteze afișarea sub formă de imagini de previzualizare a fotografiilor reclamanților din litigiul principal cuprinse în articolul din 4 iunie 2015, instanța de trimitere arată, mai întâi, că aceste imagini de previzualizare conțin, desigur, un link care permite accesul la pagina de internet a terțului pe care s‑a publicat fotografia corespunzătoare și astfel să se ia cunoștință de contextul în care se înscrie publicarea respectivă. Cu toate acestea, în măsura în care lista rezultatelor unei căutări de imagini afișează numai imaginile de previzualizare, fără a prelua elementele din contextul respectivei publicări de pe pagina de internet a terțului, această listă în sine ar fi neutră și nu ar permite să se cunoască contextul publicării inițiale.

34 Așadar, s‑ar ridica problema dacă, pentru evaluarea comparativă care trebuie efectuată în cadrul articolului 12 litera (b) și al articolului 14 primul paragraf litera (a) din Directiva 95/46 sau al articolului 17 alineatul (3) litera (a) din RGPD, trebuie să se țină seama numai de imaginea de previzualizare ca atare în contextul neutru al listei de rezultate sau și de contextul inițial al publicării imaginii corespunzătoare.

35 În această privință, instanța de trimitere constată că în cauza principală, care privește persoane ce nu sunt cunoscute de publicul larg, fotografiile în discuție nu aduc în sine nicio contribuție la dezbaterea publică și nu răspund unei nevoi de informare preponderente în sensul dispozițiilor menționate la punctul precedent. Cu toate acestea, în legătură cu articolul din 4 iunie 2015 publicat pe site‑ul g‑net, acestea ar avea un rol important în susținerea mesajului cuprins în acest articol, potrivit căruia reclamanții din litigiul principal, datorită calității lor de fondatori și de administratori ai celei de a patra societăți și ai grupului de societăți amintite la punctul 15 din prezenta hotărâre, s‑ar bucura de un nivel de trai ridicat și ar dispune de bunuri de lux, în timp ce salariații, distribuitorii și clienții acestor societăți și‑ar pune întrebări cu privire la siguranța investițiilor efectuate. Prin urmare, în ipoteza în care ar trebui să se țină seama de contextul în care au fost publicate inițial aceste fotografii, publicarea lor ca imagini de previzualizare în lista de rezultate ar trebui considerată justificată, cu condiția ca textul pe care îl însoțesc să fie el însuși legal.

36 Potrivit instanței de trimitere, un element care pledează în favoarea luării în considerare a contextului publicării inițiale constă în faptul că, din punct de vedere tehnic, imaginile de previzualizare constituie linkuri care trimit la pagina de internet a terțului. De asemenea, ar fi notoriu faptul că utilizatorul mediu avizat al unui motor de căutare de imagini are cunoștință despre faptul că imaginile de previzualizare colectate de motorul de căutare într‑o listă de rezultate sunt extrase din publicații ale unor terți și că fotografiile corespunzătoare acestor imagini de previzualizare sunt prezentate în aceste publicații într‑un anumit context.

37 Cu toate acestea, ar trebui să se țină seama de faptul că contextul inițial al publicării imaginilor nu este nici indicat, nici vizibil în alt mod cu ocazia afișării imaginii de previzualizare, spre deosebire de situația celorlalte rezultate indexate. Or, un utilizator pe care, încă de la început, nu îl interesează decât afișarea imaginii nu are, în general, niciun motiv să caute originea și contextul inițial al publicării.

38 În consecință, potrivit instanței de trimitere, pare logic, în vederea aprecierii legalității prelucrării datelor de către operatorul motorului de căutare în cauză, să nu se includă în evaluarea comparativă prevăzută la articolul 14 primul paragraf litera (a) din Directiva 95/46 sau la articolul 17 alineatul (3) din RGPD decât drepturi și interese, astfel cum reies din imaginea de previzualizare însăși.

39 În aceste condiții, Bundesgerichtshof (Curtea Federală de Justiție) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) La evaluarea comparativă a drepturilor și intereselor concurente care decurg din articolele 7, 8, 11 și 16 din [cartă], care trebuie efectuată, în temeiul articolului 17 alineatul (3) litera (a) din [RGPD], în cadrul examinării unei cereri de eliminare din lista de rezultate formulate împotriva responsabilului unui serviciu de căutare pe internet atunci când linkul a cărui dezindexare se cere conduce la un conținut care cuprinde expunerea unor fapte și judecăți de valoare bazate pe susțineri factuale al căror adevăr este contestat de persoana vizată și a cărui legitimitate există sau nu în funcție de caracterul veridic sau fals al susținerilor factuale din cuprinsul acestuia, este compatibil cu dreptul persoanei vizate la respectarea vieții sale private (articolul 7 din [cartă]) și la protecția datelor cu caracter personal care o privesc (articolul 8 din [cartă]) faptul de a se ține seama în mod decisiv deopotrivă de aspectul dacă persoana vizată ar putea în mod rezonabil - de exemplu printr‑o ordonanță de măsuri provizorii - să obțină protecție juridică împotriva furnizorului de conținut și astfel ar putea clarifica, cel puțin provizoriu, problema adevărului conținutului afișat de responsabilul motorului de căutare?

2) În cadrul evaluării comparative a drepturilor și intereselor concurente care decurg din articolele 7, 8, 11 și 16 din cartă, care trebuie efectuată în conformitate cu articolul 12 litera (b) și cu articolul 14 primul paragraf litera (a) din Directiva [95/46] sau cu articolul 17 alineatul (3) litera (a) din [RGPD], în cazul unei cereri de dezindexare formulate împotriva responsabilului unui motor de căutare, care, la introducerea unui nume, caută fotografii cu persoane fizice inserate pe internet de terți în legătură cu numele persoanei și afișează fotografiile găsite de el în lista sa de rezultate ca imagini de previzualizare (" thumbnails "), trebuie să se țină seama în mod decisiv de contextul publicării inițiale a terțului și atunci când pagina de internet a terțului, la afișarea imaginilor de previzualizare de către motorul de căutare, deși accesibilă prin intermediul unui link, nu este identificată în mod concret, iar contextul astfel rezultat nu este afișat concomitent de serviciul de căutare pe internet?"

Cu privire la întrebările preliminare

Cu privire la prima întrebare

Cu privire la admisibilitate

40 Google exprimă îndoieli cu privire la admisibilitatea primei întrebări pentru motivul că problema ridicată prin aceasta ar fi de natură ipotetică. Mai precis, soluția sugerată de instanța de trimitere s‑ar prezenta sub forma unei scheme abstracte și separate de faptele în discuție în cauza principală. De altfel, Curtea nu ar dispune de elementele necesare pentru a da un răspuns util la această întrebare.

41 În această privință trebuie amintit că, potrivit unei jurisprudențe constante, în cadrul cooperării dintre Curte și instanțele naționale instituite prin articolul 267 TFUE, numai instanța națională care este sesizată cu soluționarea litigiului și care trebuie să își asume răspunderea pentru hotărârea judecătorească ce urmează a fi pronunțată are competența să aprecieze, luând în considerare particularitățile cauzei, atât necesitatea unei decizii preliminare pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții. În consecință, în cazul în care întrebările adresate privesc interpretarea dreptului Uniunii, Curtea este în principiu obligată să se pronunțe (Hotărârea din 15 iulie 2021, The Department for Communities in Northern Ireland, C‑709/20, EU:C:2021:602, punctul 54 și jurisprudența citată).

42 Curtea poate refuza să se pronunțe asupra unei întrebări preliminare adresate de o instanță națională numai dacă este evident că interpretarea solicitată a dreptului Uniunii nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care i‑au fost adresate (Hotărârea din 15 iulie 2021, The Department for Communities in Northern Ireland, C‑709/20, EU:C:2021:602, punctul 55 și jurisprudența citată).

43 În speță, astfel cum a arătat domnul avocat general la punctul 22 din concluzii, instanța de trimitere a furnizat un cadru suficient de precis și complet al contextului factual și juridic aflat la originea litigiului principal și a justificat în mod suficient necesitatea de a obține în acest context un răspuns la întrebarea adresată.

44 În această privință trebuie amintit că prelucrarea datelor cu caracter personal efectuată în cadrul activității unui motor de căutare este diferită de și se adaugă la cea efectuată de editorii de site‑uri internet, care constă în a încărca aceste date pe o pagină de internet (Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 35). Atunci când persoana vizată formulează o acțiune împotriva operatorului motorului de căutare, drepturile, interesele și restricțiile prezente în cauză nu sunt, așadar, neapărat aceleași ca în cadrul unei acțiuni inițiate împotriva unui furnizor de conținut, astfel încât este necesară o evaluare comparativă specifică în vederea examinării unei cereri de dezindexare în temeiul articolului 17 din RGPD.

45 Or, din motivele expuse de instanța de trimitere reiese că răspunsul Curții la întrebarea referitoare, pe de o parte, la întinderea obligațiilor și a responsabilităților care incumbă operatorului unui motor de căutare în prelucrarea unei cereri de dezindexare întemeiate pe pretinsa inexactitate a informațiilor care figurează în conținutul indexat și, pe de altă parte, la sarcina probei impuse persoanei vizate în ceea ce privește această inexactitate poate avea o incidență directă asupra aprecierii de către instanța de trimitere a acțiunii principale, iar aceasta indiferent dacă reclamanții din litigiul principal ar fi în măsură să obțină protecție jurisdicțională efectivă împotriva furnizorului de conținut în ceea ce privește publicarea pe internet a conținutului pretins inexact.

46 Așa cum a arătat domnul avocat general la punctul 22 din concluzii, faptul că nelămuririle instanței de trimitere cu privire la metodologia pe care o consideră aplicabilă într‑o situație precum cea în discuție în cauza principală sunt exprimate în mod general și abstract nu înseamnă că întrebarea adresată Curții în această privință are un caracter ipotetic.

47 În consecință, prima întrebare este admisibilă.

Cu privire la fond

48 Prin intermediul primei întrebări formulate, instanța de trimitere solicită în esență să se stabilească dacă articolul 17 alineatul (3) litera (a) din RGPD trebuie interpretat în sensul că, în cadrul evaluării comparative care trebuie efectuată între drepturile prevăzute la articolele 7 și 8 din cartă, pe de o parte, și cele prevăzute la articolele 11 și 16 din cartă, pe de altă parte, în vederea examinării unei cereri de dezindexare adresate operatorului unui motor de căutare și având ca obiect eliminarea din lista de rezultate ale unei căutări linkul care conduce la un conținut ce cuprinde afirmații pe care persoana care a introdus cererea le consideră inexacte, această dezindexare este supusă condiției ca problema exactității conținutului indexat să fi fost soluționată, cel puțin cu titlu provizoriu, în cadrul unei acțiuni intentate de persoana respectivă împotriva furnizorului acestui conținut, atunci când există o posibilitate rezonabilă de a obține o asemenea protecție jurisdicțională.

49 Cu titlu introductiv, trebuie amintit, pe de o parte, că activitatea unui motor de căutare care constă în a găsi informații publicate sau postate pe internet de terți, în a le indexa în mod automat, în a le stoca temporar și, în sfârșit, în a le pune la dispoziția utilizatorilor de internet într‑o anumită ordine de preferință trebuie calificată drept „prelucrare a datelor cu caracter personal", în sensul articolului 2 litera (b) din Directiva 95/46 și al articolului 4 punctele 1 și 2 din RGDP, atunci când aceste informații conțin date cu caracter personal și, pe de altă parte, că operatorul acestui motor de căutare trebuie considerat „operator" al prelucrării menționate, în sensul articolului 2 litera (d) din această directivă și al articolului 4 punctul 7 din acest regulament [a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 41, precum și Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 35].

50 Astfel, după cum s‑a amintit la punctul 44 din prezenta hotărâre, prelucrarea datelor cu caracter personal efectuată în cadrul activității unui motor de căutare este diferită de și se adaugă la cea efectuată de editorii de site‑uri internet, care constă în a încărca aceste date pe o pagină de internet. De asemenea, această activitate joacă un rol decisiv în difuzarea globală a datelor menționate prin faptul că le face accesibile oricărui utilizator de internet care efectuează o căutare după numele persoanei vizate, inclusiv utilizatorilor de internet care altfel nu ar fi găsit pagina de internet pe care sunt publicate datele respective. În plus, organizarea și agregarea informațiilor publicate pe internet efectuate de motoarele de căutare în scopul de a facilita accesul utilizatorilor lor la aceste informații pot conduce, în cazul în care căutarea informațiilor respective este efectuată după numele unei persoane fizice, la faptul că, prin intermediul listei de rezultate, aceștia obțin o imagine de ansamblu structurată cu privire la informațiile referitoare la această persoană care pot fi găsite pe internet, ce le permite să stabilească un profil mai mult sau mai puțin detaliat al persoanei vizate [a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctele 36 și 37, precum și Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 36].

51 În consecință, în măsura în care activitatea unui motor de căutare este susceptibilă să afecteze semnificativ și în mod adițional în raport cu cea a editorilor de site‑uri internet drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, operatorul acestui motor, în calitate de persoană care stabilește scopurile și mijloacele acestei activități, trebuie să asigure, în cadrul responsabilităților, al competențelor și al posibilităților sale, că această activitate îndeplinește cerințele Directivei 95/46 și ale RGDP pentru ca garanțiile prevăzute de această directivă și de acest regulament să își producă efectul deplin și pentru ca o protecție eficientă și completă a persoanelor în cauză, în special a dreptului lor la respectarea vieții private, să poată să fie realizată efectiv [a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 38, precum și Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 37].

52 În ceea ce privește întinderea răspunderii și a obligațiilor concrete ale operatorului unui motor de căutare, Curtea a precizat deja că acest operator nu este răspunzător pentru faptul că datele cu caracter personal figurează pe o pagină de internet publicată de un terț, ci pentru indexarea acestei pagini și în special pentru afișarea linkului către aceasta pe lista rezultatelor prezentate utilizatorilor de internet în urma unei căutări efectuate după numele unei persoane fizice, o asemenea afișare a linkului într‑o astfel de listă putând afecta în mod semnificativ drepturile fundamentale ale persoanei vizate la respectarea vieții sale private și la protecția datelor cu caracter personal care o privesc [a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 80, precum și Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 46].

53 În aceste condiții, ținând seama de responsabilitățile, de competențele și de posibilitățile operatorului unui motor de căutare în calitate de operator al prelucrării efectuate în cadrul activității acestui motor, interdicțiile și restricțiile prevăzute de Directiva 95/46 și de RGPD se pot aplica acestui operator numai ca urmare a acestei indexări și, așadar, prin intermediul unei verificări ce trebuie efectuată, sub controlul autorităților naționale competente, pe baza unei cereri formulate de persoana vizată [a se vedea în acest sens Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 47].

54 În ceea ce privește o asemenea cerere, RGPD conține, la articolul 17, o dispoziție care reglementează în mod specific „dreptul la ștergerea datelor", denumit și „dreptul de a fi uitat". Or, deși articolul menționat prevede la alineatul (1) că persoana vizată are în principiu, pentru motivele enumerate în cuprinsul său, dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, acesta precizează, la alineatul (3), că acest drept nu poate fi invocat atunci când prelucrarea în cauză este necesară pentru unul dintre motivele pe care le enumeră, printre care figurează, la litera (a) a acestui din urmă alineat, exercitarea dreptului referitor, printre altele, la libertatea de informare.

55 Astfel, operatorul unui motor de căutare sesizat cu o cerere de dezindexare trebuie să verifice dacă includerea linkului către pagina de internet în discuție în lista afișată în urma unei căutări efectuate după numele persoanei vizate este necesară pentru exercitarea dreptului la libertatea de informare a utilizatorilor de internet potențial interesați de a avea acces la această pagină de internet prin intermediul unei asemenea căutări, protejată la articolul 11 din cartă [a se vedea prin analogie Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 66].

56 Împrejurarea că articolul 17 alineatul (3) litera (a) din RGPD prevede în mod expres că dreptul la ștergerea datelor al persoanei vizate este exclus atunci când prelucrarea este necesară pentru exercitarea dreptului referitor, printre altele, la libertatea de informare, garantată la articolul 11 din cartă, constituie o expresie a faptului că dreptul la protecția datelor cu caracter personal nu este un drept absolut, ci trebuie, așa cum subliniază considerentul (4) al acestui regulament, să fie considerat în raport cu funcția pe care o îndeplinește în societate și să fie pus în balanță cu alte drepturi fundamentale, în conformitate cu principiul proporționalității [a se vedea în acest sens Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 57, precum și jurisprudența citată].

57 În acest context, trebuie amintit că articolul 52 alineatul (1) din cartă admite că pot fi impuse restrângeri ale exercițiului unor drepturi, precum cele consacrate la articolele 7 și 8 din aceasta, în măsura în care aceste restrângeri sunt prevăzute de lege, respectă substanța acestor drepturi și libertăți și, prin respectarea principiului proporționalității, sunt necesare și răspund efectiv obiectivelor de interes general recunoscute de Uniune sau necesității protejării drepturilor și libertăților celorlalți [Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 58, precum și jurisprudența citată].

58 RGPD și în special articolul 17 alineatul (3) litera (a) din acesta consacră astfel explicit cerința unei evaluări comparative între, pe de o parte, drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, consacrate la articolele 7 și 8 din cartă, și, pe de altă parte, dreptul fundamental la libertatea de informare, garantat la articolul 11 din cartă [Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 59].

59 Trebuie adăugat că articolul 7 din cartă, referitor la dreptul la respectarea vieții private și de familie, conține drepturi ce corespund celor garantate la articolul 8 paragraful 1 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4 noiembrie 1950 (denumită în continuare „CEDO"), și că protecția datelor cu caracter personal are un rol fundamental în exercitarea dreptului la respectarea vieții private și de familie consacrat la articolul 8 din CEDO (Curtea EDO, 27 iunie 2017, Satakunnan Markkinapörssi oy și satamedia oy împotriva Finlandei, CE:ECHR:2017:0627JUD000093113, § 137). Prin urmare, în conformitate cu articolul 52 alineatul (3) din cartă, trebuie să se dea articolului 7 același înțeles și același domeniu de aplicare cu cele conferite articolului 8 paragraful 1 din CEDO, astfel cum a fost interpretat de jurisprudența Curții Europene a Drepturilor Omului Același lucru este valabil și în ceea ce privește articolul 11 din cartă și articolul 10 din CEDO (a se vedea în acest sens Hotărârea din 14 februarie 2019, Buivids, C‑345/17, EU:C:2019:122, punctul 65 și jurisprudența citată).

60 Or, reiese din jurisprudența Curții Europene a Drepturilor Omului că, în ceea ce privește publicarea de date, pentru evaluarea comparativă a dreptului la respectarea vieții private și a dreptului la libertatea de exprimare și de informare, trebuie luate în considerare un anumit număr de criterii pertinente, cum sunt contribuția la o dezbatere de interes general, notorietatea persoanei vizate, obiectul relatării, conduita anterioară a persoanei în cauză, conținutul, forma și consecințele publicării, modul și împrejurările în care informațiile au fost obținute precum și veridicitatea acestora (a se vedea în acest sens Curtea EDO, 27 iunie 2017, Satakunnan Markkinapörssi Oy și Satamedia Oy împotriva Finlandei, CE:ECHR:2017:0627JUD000093113, § 165).

61 În lumina acestor considerații trebuie să se examineze în ce condiții este obligat operatorul unui motor de căutare să admită o cerere de dezindexare și, așadar, să șteargă din lista de rezultate afișată în urma unei căutări efectuate după numele persoanei vizate linkul către o pagină de internet pe care figurează date cu caracter personal proprii acestei persoane, pentru motivul că conținutul indexat conține afirmații pe care persoana menționată le consideră inexacte [a se vedea în acest sens Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 60].

62 În această privință trebuie arătat mai întâi că, deși drepturile persoanei vizate protejate la articolele 7 și 8 din cartă prevalează, ca regulă generală, asupra interesului legitim al utilizatorilor de internet potențial interesați de a avea acces la informația respectivă, acest echilibru poate să depindă totuși de circumstanțele pertinente din fiecare caz în parte, în special de natura acestei informații și de caracterul sensibil al acesteia în ceea ce privește viața privată a persoanei vizate, precum și de interesul publicului de a dispune de informația respectivă, care poate varia în special în funcție de rolul jucat de persoana menționată în viața publică [Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 81, precum și Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 66].

63 Mai precis, atunci când persoana vizată joacă un rol în viața publică, această persoană trebuie să dea dovadă de un grad de toleranță crescut, din moment ce este în mod inevitabil și în deplină cunoștință de cauză expusă atenției publice (a se vedea în acest sens Curtea EDO, 6 octombrie 2022, Hotărârea Khural și Zeynalov împotriva Azerbaidjanului, CE:ECHR:2022:1006JUD005506911, § 41 și jurisprudența citată).

64 Problema caracterului exact sau inexact al conținutului indexat constituie de asemenea un element pertinent în cadrul aprecierii condițiilor de aplicare prevăzute la articolul 17 alineatul (3) litera (a) din RGPD pentru a aprecia dacă dreptul la informare al utilizatorilor de internet și libertatea de exprimare a furnizorului de conținut pot prevala asupra drepturilor solicitantului dezindexării.

65 În această privință și așa cum a arătat în esență domnul avocat general la punctul 30 din concluzii, deși, în anumite împrejurări, dreptul la libertatea de exprimare și de informare poate prevala asupra drepturilor la protecția vieții private și la protecția datelor cu caracter personal, în special atunci când persoana vizată joacă un rol în viața publică, acest raport se inversează în orice caz atunci când cel puțin o parte dintre informațiile vizate de cererea de dezindexare, care nu prezintă un caracter minor în raport cu ansamblul conținutului, se dovedesc inexacte. Astfel, într‑o asemenea ipoteză, dreptul de informare și dreptul de a fi informat nu pot fi luate în considerare întrucât nu pot include dreptul de a difuza asemenea informații și de a avea acces la acestea.

66 Trebuie adăugat că, deși aspectul dacă afirmațiile care figurează în conținutul indexat sunt sau nu exacte prezintă relevanță pentru aplicarea articolului 17 alineatul (3) litera (a) din RGPD, este necesar să se distingă între afirmațiile de fapt și judecățile de valoare. Astfel, în timp ce materialitatea celor dintâi se poate dovedi, cele din urmă nu se pretează la o demonstrare a exactității lor (a se vedea în acest sens Curtea EDO, 23 aprilie 2015, Morice împotriva Franței, CE:ECHR:2015:0423JUD002936910, § 126).

67 Apoi, trebuie stabilit, pe de o parte, dacă și eventual în ce măsură revine persoanei care a formulat cererea de dezindexare obligația de a furniza elemente de probă pentru a‑și confirma afirmația privind inexactitatea informațiilor care figurează în conținutul indexat și, pe de altă parte, dacă operatorul motorului de căutare trebuie să încerce să clarifice el însuși faptele pentru a stabili caracterul exact sau inexact al informațiilor pretins inexacte cuprinse în acesta.

68 În ceea ce privește, în primul rând, obligațiile ce revin persoanei care solicită dezindexarea ca urmare a inexactității conținutului indexat, revine acestei persoane sarcina de a stabili inexactitatea vădită a informațiilor care figurează în conținutul respectiv sau cel puțin a unei părți din aceste informații care nu prezintă un caracter minor în raport cu ansamblul acestui conținut. Cu toate acestea, pentru a evita ca acestei persoane să i se impună o sarcină excesivă susceptibilă să dăuneze efectului util al dreptului la dezindexare, acesteia îi revine numai obligația de a furniza elementele de probă cu privire la care, ținând seama de împrejurările speței, se poate pretinde în mod rezonabil de la aceasta să le identifice în vederea stabilirii acestei inexactități vădite. În această privință, această persoană nu poate fi obligată, în principiu, să prezinte încă din etapa precontencioasă, în susținerea cererii sale de dezindexare adresate operatorului motorului de căutare, o hotărâre judecătorească obținută împotriva editorului site‑ului internet în cauză, nici măcar sub forma unei decizii de măsuri provizorii. Astfel, faptul de a impune o asemenea obligație persoanei respective ar avea ca efect suportarea de către aceasta a unei sarcini nerezonabile.

69 În ceea ce privește, în al doilea rând, obligațiile și responsabilitățile care îi incumbă operatorului motorului de căutare, este adevărat că acesta din urmă trebuie, pentru a verifica dacă un conținut poate continua să fie inclus în lista de rezultate ale căutărilor efectuate prin intermediul motorului său de căutare în urma unei cereri de dezindexare, să se întemeieze pe ansamblul drepturilor și intereselor prezente în cauză, precum și pe ansamblul împrejurărilor speței.

70 Cu toate acestea, în cadrul aprecierii condițiilor de aplicare prevăzute la articolul 17 alineatul (3) litera (a) din RGPD, acest operator nu poate fi obligat să exercite un rol activ în căutarea unor elemente de fapt care nu sunt susținute de cererea de dezindexare, pentru a determina temeinicia acestei cereri.

71 Așadar, în cadrul examinării unei asemenea cereri, nu i se poate impune operatorului motorului de căutare în cauză o obligație de a investiga faptele și, în acest scop, de a organiza o dezbatere în contradictoriu cu furnizorul de conținut prin care să urmărească obținerea unor elemente lipsă cu privire la exactitatea conținutului indexat. Într‑adevăr, în măsura în care ar constrânge operatorul motorului de căutare să contribuie la a stabili el însuși caracterul exact sau inexact al conținutului indexat, o atare obligație ar impune acestui operator o sarcină care depășește ceea ce se poate aștepta în mod rezonabil de la el în raport cu responsabilitățile, cu competențele și cu posibilitățile sale, în sensul jurisprudenței amintite la punctul 53 din prezenta hotărâre. Obligația menționată ar implica astfel un risc serios ca niște conținuturi care răspund unei nevoi de informare legitime și preponderente a publicului să fie dezintexate și să devină în acest mod dificil de găsit pe internet. În această privință, ar exista un risc real de efect disuasiv asupra exercitării libertății de exprimare și de informare dacă operatorul motorului de căutare ar efectua o atare dezindexare într‑un mod aproape sistematic, pentru a evita să trebuiască să suporte sarcina de a investiga faptele pertinente pentru a stabili caracterul exact sau inexact al conținutului indexat.

72 Prin urmare, în cazul în care persoana care a introdus o cerere de dezindexare prezintă elemente de probă pertinente și suficiente, apte să îi susțină cererea și care stabilesc caracterul vădit inexact al informațiilor care figurează în conținutul indexat sau cel puțin al unei părți din aceste informații care nu prezintă un caracter minor în raport cu ansamblul conținutului, operatorul motorului de căutare este obligat să admită această cerere de dezindexare. Situația este aceeași atunci când persoana în cauză prezintă o hotărâre judecătorească pronunțată împotriva editorului site‑ului internet, care se întemeiază pe constatarea că informațiile ce figurează în conținutul indexat, care nu prezintă un caracter minor în raport cu ansamblul acestuia, sunt, cel puțin la prima vedere, inexacte.

73 În schimb, în cazul în care caracterul inexact al unor asemenea informații care figurează în conținutul indexat nu rezultă în mod vădit având în vedere elementele de probă furnizate de persoana vizată, operatorul motorului de căutare nu este obligat, în lipsa unei asemenea hotărâri judecătorești, să admită o astfel de cerere de dezindexare. Atunci când informațiile în cauză pot contribui la o dezbatere de interes general, este necesar, având în vedere toate celelalte împrejurări ale speței, să se acorde o importanță deosebită dreptului la libertatea de exprimare și de informare.

74 Trebuie adăugat că, în conformitate cu cele expuse la punctul 65 din prezenta hotărâre, ar fi de asemenea disproporționat să se procedeze la dezindexarea unor articole, cu consecința de a se îngreuna accesul la integralitatea acestora pe internet, în situația în care numai anumite informații de importanță minoră în raport cu ansamblul conținutului care figurează în aceste articole se dovedesc a fi inexacte.

75 În sfârșit, este necesar să se precizeze că, atunci când operatorul unui motor de căutare nu dă curs cererii de dezindexare, persoana vizată trebuie să poată sesiza autoritatea de supraveghere sau autoritatea judiciară pentru ca acestea să efectueze verificările necesare și să dispună ca operatorul respectiv să adopte măsurile care se impun (a se vedea în acest sens Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 77). Într‑adevăr, revine în special autorităților judiciare sarcina de a asigura ponderarea intereselor concurente, ele fiind cel mai bine plasate să efectueze o evaluare comparativă complexă și aprofundată, care să țină seama de toate criteriile și de toate elementele stabilite de jurisprudența relevantă a Curții, precum și a Curții Europene a Drepturilor Omului.

76 Cu toate acestea, în cazul în care este inițiată o procedură administrativă sau jurisdicțională privind caracterul pretins inexact al unor informații care figurează într‑un conținut indexat și în care existența acestei proceduri a fost adusă la cunoștința operatorului motorului de căutare respectiv, acestui operator îi revine sarcina, în special pentru a da utilizatorilor de internet informații mereu pertinente și actualizate, să adauge în rezultatele căutării un avertisment privind existența unei asemenea proceduri.

77 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la prima întrebare că articolul 17 alineatul (3) litera (a) din RGPD trebuie interpretat în sensul că, în cadrul evaluării comparative care se impune a fi efectuată între drepturile prevăzute la articolele 7 și 8 din cartă, pe de o parte, și cele prevăzute la articolul 11 din cartă, pe de altă parte, în vederea examinării unei cereri de dezindexare adresate operatorului unui motor de căutare și având ca obiect eliminarea din lista de rezultate ale unei căutări a linkului care conduce la un conținut ce cuprinde afirmații pe care persoana care a introdus cererea le consideră inexacte, această dezindexare nu este supusă condiției ca problema exactității conținutului indexat să fi fost soluționată, cel puțin cu titlu provizoriu, în cadrul unei acțiuni intentate de persoana respectivă împotriva furnizorului de conținut.

Cu privire la cea de a doua întrebare

Cu privire la dreptul aplicabil ratione temporis

78 Prin intermediul celei de a doua întrebări, instanța de trimitere solicită interpretarea articolului 12 litera (b) și a articolului 14 primul paragraf litera (a) din Directiva 95/46, precum și a articolului 17 alineatul (3) litera (a) din RGPD. Ea precizează în această privință că, deși cererea prin care se solicită ca Google să dezindexeze în mod permanent linkurile către articolele în discuție în cauza principală intră ratione temporis în domeniul RGPD, cererea prin care se solicită ca Google să înceteze afișarea sub formă de imagini de previzualizare a fotografiilor cu reclamanții din litigiul principal cuprinse în articolul din 4 iunie 2015 intră ratione temporis în domeniul de aplicare al Directivei 95/46, dat fiind că aceste fotografii, spre deosebire de linkurile respective, nu mai erau afișate de motorul de căutare operat de Google la data intrării în vigoare a RGPD.

79 În această privință nu se impune efectuarea unei distincții între dispozițiile Directivei 95/46 și cele ale RGPD menționate în cea de a doua întrebare preliminară, întrucât toate aceste dispoziții trebuie considerate ca având un domeniu de aplicare similar în vederea interpretării pe care Curtea este chemată să o dea în cadrul prezentei cauze (a se vedea prin analogie Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punctul 58 și jurisprudența citată).

80 Prin urmare, pentru a oferi răspunsuri utile la cea de a doua întrebare, este necesar ca aceasta să fie examinată atât din perspectiva Directivei 95/46, cât și din perspectiva RGPD.

Cu privire la admisibilitate

81 Google exprimă îndoieli cu privire la admisibilitatea și a celei de a doua întrebări, întrucât problema ridicată de aceasta ar fi de natură ipotetică. Astfel, mai întâi, litigiul principal nu ar avea ca obiect o cerere de dezindexare din rezultatele unei căutări de imagini efectuate după numele reclamanților din litigiul principal, ci o cerere de interdicție generală de afișare a imaginilor de previzualizare care corespund fotografiilor ce ilustrează unul dintre cele trei articole în discuție în litigiul principal. În continuare, imaginile de previzualizare nu ar mai fi disponibile pe site‑ul g‑net din luna septembrie 2017, iar articolele de la 28 iunie 2018. În sfârșit, din anul 2018, Google ar fi introdus o nouă versiune a motorului său de căutare de imagini potrivit căreia pe pagina de rezultate sunt afișate sub fiecare imagine de previzualizare titlul abreviat al paginii de internet indexate în mod concret, precum și adresa de internet sau o parte a acesteia, sub forma unui link suplimentar.

82 În aplicarea principiilor desprinse din jurisprudența Curții amintită la punctele 41 și 42 din prezenta hotărâre, se impune să se constate mai întâi că în speță nu reiese în mod vădit din dosarul de care dispune Curtea că interpretarea dispozițiilor Directivei 95/46 și ale RGPD, astfel cum a fost solicitată de instanța de trimitere în cadrul aprecierii temeiniciei cererii având ca obiect încetarea afișării fotografiilor, nu are legătură cu realitatea sau cu obiectul litigiului principal.

83 În ceea ce privește în special faptul că fotografiile și articolele în discuție în litigiul principal nu mai apar pe site‑ul g‑net, se impune să se arate că, așa cum a arătat instanța de trimitere, eliminarea acestor conținuturi pare să fie doar temporară, după cum demonstrează mențiunea care figurează pe site‑ul g‑net potrivit căreia este imposibil „pentru moment" să se aibă acces la aceste articole. În aceste condiții, nu se poate exclude ca articolele respective să fie publicate din nou pe internet în viitor și să fie indexate din nou de motorul de căutare operat de Google, iar aceasta cu atât mai mult cu cât această societate consideră în continuare că cererea de dezindexare în discuție în litigiul principal este nejustificată și își menține refuzul de a‑i da curs.

84 De altfel, interesul unui răspuns al Curții privind interpretarea dispozițiilor relevante ale Directivei 95/46 și ale RGPD în cadrul cererii de încetare a afișării sub formă de imagini de previzualizare a fotografiilor în discuție în cauza principală nu poate fi repus în discuție nici ca urmare a împrejurării invocate de Google că reclamanții din litigiul principal nu și‑au limitat cererea la căutările efectuate după numele lor și nici de faptul că Google a introdus o nouă versiune a motorului său de căutare de imagini potrivit căreia pe pagina de rezultate sunt afișate sub fiecare imagine de previzualizare titlul abreviat al paginii de internet indexate în mod concret, precum și adresa de internet sau o parte din aceasta, sub forma unui link suplimentar.

85 Astfel, în primul rând, chiar presupunând că cererea reclamanților din litigiul principal de încetare a afișării sub formă de imagini de previzualizare a fotografiilor care îi reprezintă nu este limitată la căutările efectuate după numele lor, nu este mai puțin adevărat că această cerere acoperă o afișare care rezultă din asemenea căutări. În aceste împrejurări, nu se poate considera că interpretarea solicitată în temeiul celei de a doua întrebări nu are în mod vădit nicio legătură cu realitatea sau cu obiectul litigiului principal.

86 În al doilea rând, în ceea ce privește introducerea în căutarea de imagini a unui link suplimentar care indică pagina de internet a publicării lor inițiale, în conformitate cu jurisprudența constantă a Curții, revine instanțelor naționale sarcina de a stabili faptele pe baza cărora trebuie soluționat litigiul principal și de a decide în ce măsură evoluțiile ulterioare ale motorului de căutare vizat sunt pertinente în această privință.

87 Rezultă că a doua întrebare este admisibilă.

Cu privire la fond

88 Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 12 litera (b) și articolul 14 primul paragraf litera (a) din Directiva 95/46, precum și articolul 17 alineatul (3) litera (a) din RGPD trebuie interpretate în sensul că, în cadrul evaluării comparative care se impune a fi efectuată între drepturile menționate la articolele 7 și 8 din cartă, pe de o parte, și cele menționate la articolele 11 și 16 din cartă, pe de altă parte, în vederea examinării unei cereri de dezindexare adresate operatorului unui motor de căutare și având ca obiect eliminarea din rezultatele unei căutări de imagini efectuate după numele unei persoane fizice a fotografiilor afișate sub formă de imagini de previzualizare care o reprezintă pe această persoană, trebuie să se țină seama în mod determinant de contextul inițial al publicării acestor fotografii pe internet.

89 Întrebarea astfel adresată se înscrie în cadrul unei cereri având ca obiect eliminarea din rezultatele căutării de imagini efectuate după numele reclamanților din litigiul principal a fotografiilor afișate sub formă de imagini de previzualizare care ilustrau articolul publicat pe site‑ul g‑net la 4 iunie 2015. În această privință, instanța de trimitere urmărește în special să afle dacă, pentru a aprecia temeinicia acestei cereri, trebuie să se ia în considerare numai valoarea informativă a imaginilor de previzualizare ca atare, în contextul neutru al listei de rezultate, sau dacă trebuie să se țină seama și de contextul inițial al publicării fotografiilor, care nu reiese numai din afișarea imaginilor de previzualizare în cadrul listei de rezultate.

90 Cu titlu introductiv, trebuie constatat că, așa cum a arătat domnul avocat general la punctul 53 din concluzii, căutările de imagini efectuate prin intermediul unui motor de căutare pe internet după numele unei persoane sunt supuse acelorași principii ca acelea aplicabile căutărilor de pagini de internet și informațiilor cuprinse în acestea. Jurisprudența Curții amintită la punctele 49-61 din prezenta hotărâre este valabilă, în consecință, și pentru examinarea unei cereri de dezindexare având ca obiect eliminarea din rezultatele unei căutări de imagini a fotografiilor afișate sub formă de imagini de previzualizare.

91 În această privință trebuie să se constate mai întâi că afișarea în rezultatele unei căutări de imagini, sub formă de imagini de previzualizare, a unor fotografii cu persoane fizice constituie o prelucrare de date cu caracter personal pentru care operatorul motorului de căutare în cauză, în calitate de „operator" în sensul articolului 2 litera (d) din Directiva 95/46 și al articolului 4 punctul 7 din RGPD, trebuie să răspundă, în cadrul responsabilităților, al competențelor și al posibilităților sale, în raport cu respectarea cerințelor prevăzute de aceste dispoziții.

92 Este necesar să se precizeze apoi că întrebarea adresată privește modul specific de căutare a imaginilor propus de anumite motoare de căutare, precum cel în discuție în cauza principală, cu ajutorul căruia utilizatorul de internet poate căuta informații de orice natură care se prezintă sub forma unui conținut grafic (fotografii, reproduceri ale unor picturi, desene, grafice, tabele etc.). Cu ocazia unei asemenea căutări, motorul de căutare generează o listă de rezultate compusă din imagini de previzualizare, care trimit, printr‑un link, la pagini de internet pe care se află atât termenii de căutare utilizați, cât și conținuturile grafice preluate în această listă.

93 În această privință s‑a statuat că, în măsura în care includerea în lista de rezultate afișată în urma unei căutări efectuate după numele unei persoane a unei pagini de internet și a informațiilor pe care aceasta le cuprinde cu privire la persoana respectivă facilitează în mod considerabil accesibilitatea acestor informații pentru orice utilizatori de internet care efectuează o căutare privind această persoană și poate juca un rol decisiv în difuzarea informațiilor menționate, ea poate constitui o ingerință mai importantă în dreptul fundamental la respectarea vieții private al persoanei respective decât publicarea de către editorul acestei pagini de internet (Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 87).

94 Or, acest lucru este valabil cu atât mai mult în cazul afișării, în urma unei căutări după nume, sub formă de imagini de previzualizare a unor fotografii cu persoana vizată, această afișare fiind de natură să constituie o ingerință deosebit de importantă în drepturile la protecția vieții private și a datelor cu caracter personal ale acestei persoane vizate la articolele 7 și 8 din cartă.

95 Într‑adevăr, imaginea unui individ este unul dintre principalele atribute ale personalității sale, deoarece îi exprimă originalitatea și îi permite să se diferențieze de celelalte persoane. Dreptul persoanei la protecția imaginii sale constituie astfel una dintre condițiile esențiale ale împlinirii sale personale și presupune în principal ca această persoană să aibă controlul asupra imaginii sale, care cuprinde printre altele posibilitatea acesteia de a refuza difuzarea ei. Rezultă că, deși libertatea de exprimare și de informare cuprinde fără îndoială publicarea de fotografii, protecția dreptului la viață privată prezintă în acest context o importanță specială, fotografiile fiind susceptibile să transmită informații deosebit de personale, chiar intime, despre un individ sau despre familia sa (a se vedea în acest sens Curtea EDO, Hotărârea Von Hannover împotriva Germaniei din 7 februarie 2012, CE:ECHR:2012:0207JUD004066008, § 95, 96 și 103, precum și jurisprudența citată).

96 Prin urmare, atunci când operatorul unui motor de căutare este sesizat cu o cerere de dezindexare având ca obiect eliminarea din rezultatele unei căutări de imagini efectuate după numele unei persoane a fotografiilor afișate sub forma unor imagini de previzualizare care o reprezintă pe această persoană, el trebuie să verifice dacă afișarea fotografiilor în discuție este necesară pentru exercitarea dreptului la libertatea de informare a utilizatorilor de internet potențial interesați să aibă acces la aceste fotografii prin intermediul unei asemenea căutări, protejată de articolul 11 din cartă [a se vedea prin analogie Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctul 66].

97 În această privință, contribuția la o dezbatere de interes general constituie un element primordial care trebuie luat în considerare în evaluarea comparativă a drepturilor fundamentale concurente în scopul aprecierii aspectului dacă trebuie să prevaleze drepturile persoanei vizate la respectarea vieții sale private și la protecția datelor sale cu caracter personal sau drepturile la libertatea de exprimare și de informare.

98 Or, în măsura în care motorul de căutare afișează fotografii cu persoana vizată în afara contextului în care acestea sunt publicate pe pagina de internet indexată, cel mai adesea pentru a ilustra elementele textuale pe care le conține această pagină, este necesar să se stabilească dacă acest context trebuie totuși luat în considerare cu ocazia evaluării comparative a drepturilor și intereselor concurente care trebuie să fie efectuată.

99 În acest cadru, așa cum a arătat domnul avocat general la punctul 54 din concluzii, problema dacă aprecierea menționată trebuie să includă și conținutul paginii de internet în care figurează fotografia a cărei afișare sub forma unei imagini de previzualizare este solicitată depinde de obiectul și de natura prelucrării în cauză.

100 În ceea ce privește, în primul rând, obiectul prelucrării în cauză, este necesar să se arate că publicarea de fotografii ca mijloc de comunicare nonverbal poate avea un impact mai puternic asupra utilizatorilor de internet decât publicațiile textuale. Fotografiile sunt astfel, ca atare, un mijloc important de atragere a atenției utilizatorilor de internet și pot suscita interesul accesării articolelor pe care le ilustrează. Or, ținând seama mai ales de împrejurarea că fotografiile se pretează adesea la mai multe interpretări, afișarea lor în lista rezultatelor căutării ca imagini de previzualizare poate determina, conform celor subliniate la punctul 95 din prezenta hotărâre, o ingerință deosebit de gravă în dreptul persoanei vizate la protecția imaginii sale, ceea ce trebuie luat în considerare în cadrul evaluării comparative a drepturilor și intereselor concurente.

101 Așadar, o evaluare comparativă distinctă a drepturilor și intereselor concurente se impune după cum sunt în discuție, pe de o parte, articole care conțin fotografii publicate de editorul paginii de internet și care, inserate în contextul lor de origine, ilustrează informațiile furnizate în aceste articole și opiniile exprimate în acestea și, pe de altă parte, fotografii afișate sub formă de imagini de previzualizare în lista de rezultate de către operatorul unui motor de căutare în afara contextului în care acestea au fost publicate pe pagina de internet de origine.

102 În această privință trebuie amintit că nu numai că motivul care justifică publicarea unei date cu caracter personal pe un site internet nu coincide în mod necesar cu cel care se aplică activității motoarelor de căutare, dar și că, chiar dacă situația ar fi aceasta, rezultatul evaluării comparative a drepturilor și a intereselor în cauză care trebuie efectuată poate fi diferit după cum este vorba despre prelucrarea efectuată de operatorul unui motor de căutare sau despre cea efectuată de editorul acestei pagini de internet, dat fiind că, pe de o parte, interesele legitime care justifică respectivele prelucrări pot fi diferite și, pe de altă parte, consecințele pe care le au prelucrările menționate pentru persoana vizată, în special pentru viața sa privată, nu sunt în mod necesar aceleași (Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 86).

103 În ceea ce privește, în al doilea rând, natura prelucrării efectuate de operatorul motorului de căutare, este necesar să se constate, așa cum a arătat domnul avocat general la punctul 55 din concluzii, că, prin reperarea fotografiilor unor persoane fizice publicate pe internet și prin afișarea acestora separat, în rezultatele căutării unor imagini, sub formă de imagini de previzualizare, operatorul unui motor de căutare oferă un serviciu care implică o prelucrare a datelor cu caracter personal autonomă și distinctă de prelucrarea efectuată de editorul paginii de internet de pe care sunt extrase fotografiile, precum și de prelucrarea, de care acest operator este de asemenea responsabil, privind indexarea acestei pagini.

104 În consecință, se impune o apreciere autonomă a activității operatorului motorului de căutare, constând în afișarea rezultatelor căutării unor imagini sub formă de imagini de previzualizare, dat fiind că atingerea suplimentară adusă drepturilor fundamentale care rezultă dintr‑o astfel de activitate poate fi deosebit de intensă ca urmare a agregării, cu ocazia unei căutări după nume, a tuturor informațiilor referitoare la persoana în cauză care se află pe internet. În cadrul acestei aprecieri autonome, trebuie să se țină seama de faptul că afișarea pe internet a unor fotografii sub formă de imagini de previzualizare constituie în sine rezultatul urmărit de utilizatorul de internet, independent de decizia sa ulterioară de a avea sau nu acces la pagina de internet de origine.

105 Trebuie adăugat că o atare evaluare comparativă specifică, ce ia în considerare natura autonomă a prelucrării efectuate de operatorul motorului de căutare, nu aduce atingere eventualei relevanțe a elementelor textuale care pot însoți în mod direct afișarea unei fotografii în lista rezultatelor unei căutări, asemenea elemente fiind susceptibile să aducă o clarificare cu privire la valoarea informativă a fotografiei respective pentru public și, prin urmare, să influențeze evaluarea comparativă a drepturilor și intereselor prezente în cauză.

106 În speță, din constatările care figurează în decizia de trimitere reiese că, deși fotografiile cu reclamanții din litigiul principal contribuie, în contextul articolului din 4 iunie 2015 în care se înscriu, la transmiterea informațiilor și a opiniilor exprimate în aceasta, aceleași fotografii au, în afara acestui context, atunci când apar numai sub formă de imagini de previzualizare în lista de rezultate afișată în urma unei căutări efectuate de motorul de căutare, doar o valoare informativă redusă. Rezultă că, în cazul în care cererea de dezindexare a acestui articol ar urma să fie respinsă pentru motivul că libertatea de exprimare și de informare trebuie să prevaleze asupra drepturilor reclamanților din litigiul principal la respectarea vieții lor private și la protecția datelor lor personale, această împrejurare nu ar aduce atingere rezultatului care trebuie rezervat cererii de eliminare a acestor fotografii afișate sub formă de imagini de previzualizare în lista de rezultate.

107 În schimb, dacă cererea de dezindexare a articolului din 4 iunie 2015 ar urma să fie admisă, afișarea sub formă de imagini de previzualizare a fotografiilor cuprinse în acesta ar trebui să fie eliminată. Astfel, în cazul menținerii acestei afișări, efectul util al dezindexării articolului ar fi compromis din moment ce utilizatorii de internet ar continua să aibă acces, prin linkul pe care imaginile de previzualizare îl conțin către pagina de internet pe care este publicat articolul din care provin, la integralitatea acestuia din urmă.

108 Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la a doua întrebare că articolul 12 litera (b) și articolul 14 primul paragraf litera (a) din Directiva 95/46, precum și articolul 17 alineatul (3) litera (a) din RGPD trebuie interpretate în sensul că, în cadrul evaluării comparative care se impune a fi efectuată între drepturile menționate la articolele 7 și 8 din cartă, pe de o parte, și cele menționate la articolul 11 din cartă, pe de altă parte, în vederea examinării unei cereri de dezindexare adresate operatorului unui motor de căutare și având ca obiect eliminarea din rezultatele unei căutări de imagini efectuate după numele unei persoane fizice a fotografiilor afișate sub formă de imagini de previzualizare care o reprezintă pe această persoană, trebuie să se țină seama de valoarea informativă a acestor fotografii independent de contextul publicării lor pe pagina de internet de unde sunt extrase, însă luând în considerare orice element textual care însoțește direct afișarea acestor fotografii în rezultatele căutării și care poate să aducă o clarificare cu privire la valoarea informativă a acestora.

Cu privire la cheltuielile de judecată

109 Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Marea Cameră) declară:

1) Articolul 17 alineatul (3) litera (a) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că în cadrul evaluării comparative care se impune a fi efectuată între drepturile prevăzute la articolele 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene, pe de o parte, și cele prevăzute la articolul 11 din Carta drepturilor fundamentale, pe de altă parte, în vederea examinării unei cereri de dezindexare adresate operatorului unui motor de căutare și având ca obiect eliminarea din lista de rezultate ale unei căutări a linkului care conduce la un conținut ce cuprinde afirmații pe care persoana care a introdus cererea le consideră inexacte, această dezindexare nu este supusă condiției ca problema exactității conținutului indexat să fi fost soluționată, cel puțin cu titlu provizoriu, în cadrul unei acțiuni intentate de persoana respectivă împotriva furnizorului de conținut.
2) Articolul 12 litera (b) și articolul 14 primul paragraf litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și articolul 17 alineatul (3) litera (a) din Regulamentul 2016/679
trebuie interpretate în sensul că în cadrul evaluării comparative care se impune a fi efectuată între drepturile menționate la articolele 7 și 8 din Carta drepturilor fundamentale, pe de o parte, și cele menționate la articolul 11 din Carta drepturilor fundamentale, pe de altă parte, în vederea examinării unei cereri de dezindexare adresate operatorului unui motor de căutare și având ca obiect eliminarea din rezultatele unei căutări de imagini efectuate după numele unei persoane fizice a fotografiilor afișate sub formă de imagini de previzualizare care o reprezintă pe această persoană, trebuie să se țină seama de valoarea informativă a acestor fotografii independent de contextul publicării lor pe pagina de internet de unde sunt extrase, însă luând în considerare orice element textual care însoțește direct afișarea acestor fotografii în rezultatele căutării și care poate să aducă o clarificare cu privire la valoarea informativă a acestora.
Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Marea Cameră) 8 decembrie 2022(*) „Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Directiva 95/46/CE - Articolul 12 litera (b) - Articolul 14 primul paragraf litera (a) - Regulamentul (UE) 2016/679 - Articolul 17 alineatul (3) litera (a) - Operatorul

# data[].attributes.headline
Cauza  C‑667/21 – ZQ împotriva Medizinischer

# data[].attributes.subject
Cauza  C‑667/21 – ZQ împotriva Medizinischer

# data[].attributes.attachment_link.readable_text
HOTĂRÂREA CURȚII (Camera a treia)

21 decembrie 2023(*)

„Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 6 alineatul (1) - Condiții de legalitate a prelucrării - Articolul 9 alineatele (1)-(3) - Prelucrarea de categorii speciale de date - Date privind sănătatea - Evaluarea capacității de muncă a unui angajat - Serviciu medical în materie de asigurări de sănătate care prelucrează date privind sănătatea propriilor angajați - Admisibilitatea și condițiile unei astfel de prelucrări - Articolul 82 alineatul (1) - Dreptul la despăgubiri și răspunderea - Despăgubiri pentru un prejudiciu moral - Funcție compensatorie - Relevanța culpei operatorului"

În cauza C‑667/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania), prin decizia din 26 august 2021, primită de Curte la 8 noiembrie 2021, în procedura
ZQ
împotriva
Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts,
CURTEA (Camera a treia),

compusă din doamna K. Jürimäe, președintă de cameră, și domnii N. Piçarra, M. Safjan, N. Jääskinen (raportor) și M. Gavalec, judecători,

avocat general: domnul M. Campos Sánchez‑Bordona,

grefier: domnul A. Calot Escobar,

având în vedere procedura scrisă,

luând în considerare observațiile prezentate:

- pentru ZQ, de E. Daun, Rechtsanwalt;

- pentru Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts, de M. Wehner, Rechtsanwalt;

- pentru Irlanda, de M. Browne, Chief State Solicitor, A. Joyce și M. Lane, în calitate de agenți, asistați de D. Fennelly, BL;

- pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de M. Russo, avvocato dello Stato;

- pentru Comisia Europeană, de A. Bouchagiar, M. Heller și H. Kranenborg, în calitate de agenți,

după ascultarea concluziilor avocatului general în ședința din 25 mai 2023,

pronunță prezenta
Hotărâre
1 Cererea de decizie preliminară privește interpretarea articolului 9 alineatul (1), alineatul (2) litera (h) și alineatul (3) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD") coroborat cu articolul 6 alineatul (1) din acest regulament, precum și interpretarea articolului 82 alineatul (1) din acesta.

2 Această cerere a fost formulată în cadrul unui litigiu între ZQ, pe de o parte, și angajatorul său, Medizinischer Dienst der Krankenversicherung Nordrhein (Serviciul medical de asigurări de sănătate din Renania de Nord, Germania) (denumit în continuare „MDK Nordrhein"), pe de altă parte, în legătură cu obținerea de despăgubiri pentru prejudiciul pe care primul pretinde că l‑a suferit ca urmare a unei prelucrări de date privind sănătatea sa care ar fi fost efectuată în mod ilicit de cel de al doilea.

Cadrul juridic

Dreptul Uniunii

3 Considerentele (4)-(8), (10), (35), (51)-(53), (75) și (146) ale RGPD au următorul cuprins:

„(4) Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute de [Carta drepturilor fundamentale a Uniunii Europene], consacrate în tratate, în special respectarea vieții private și de familie, [...] protecția datelor cu caracter personal, [...]

(5) Integrarea economică și socială care rezultă din funcționarea pieței interne a condus la o creștere substanțială a fluxurilor transfrontaliere de date cu caracter personal. Schimbul de date cu caracter personal între actori publici și privați, inclusiv persoane fizice, asociații și întreprinderi, s‑a intensificat în întreaga Uniune [Europeană]. Conform dreptului Uniunii, autoritățile naționale din statele membre sunt chemate să coopereze și să facă schimb de date cu caracter personal pentru a putea să își îndeplinească atribuțiile sau să execute sarcini în numele unei autorități dintr‑un alt stat membru.

(6) Evoluțiile tehnologice rapide și globalizarea au generat noi provocări pentru protecția datelor cu caracter personal. Amploarea colectării și a schimbului de date cu caracter personal a crescut în mod semnificativ. Tehnologia permite atât societăților private, cât și autorităților publice să utilizeze date cu caracter personal la un nivel fără precedent în cadrul activităților lor. Din ce în ce mai mult, persoanele fizice fac publice la nivel mondial informații cu caracter personal. Tehnologia a transformat deopotrivă economia și viața socială și ar trebui să faciliteze în continuare libera circulație a datelor cu caracter personal în cadrul Uniunii și transferul către țări terțe și organizații internaționale, asigurând, totodată, un nivel ridicat de protecție a datelor cu caracter personal.

(7) Aceste evoluții impun un cadru solid și mai coerent în materie de protecție a datelor în Uniune, însoțit de o aplicare riguroasă a normelor, luând în considerare importanța creării unui climat de încredere care va permite economiei digitale să se dezvolte pe piața internă. Persoanele fizice ar trebui să aibă control asupra propriilor date cu caracter personal, iar securitatea juridică și practică pentru persoane fizice, operatori economici și autorități publice ar trebui să fie consolidată.

(8) În cazul în care prezentul regulament prevede specificări sau restricționări ale normelor sale de către dreptul intern, statele membre pot, în măsura în care acest lucru este necesar pentru coerență și pentru a asigura înțelegerea dispozițiilor naționale de către persoanele cărora li se aplică acestea, să încorporeze elemente din prezentul regulament în dreptul lor intern.

[...]

(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. [...] Prezentul regulament oferă, de asemenea, statelor membre o marjă de manevră în specificarea normelor sale, inclusiv în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal ("date sensibile"). [...]

[...]

(35) Datele cu caracter personal privind sănătatea ar trebui să includă toate datele având legătură cu starea de sănătate a persoanei vizate care dezvăluie informații despre starea de sănătate fizică sau mentală trecută, prezentă sau viitoare a persoanei vizate. [...]

[...]

(51) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. [...] Pe lângă cerințele specifice pentru o astfel de prelucrare, ar trebui să se aplice principiile generale și alte norme prevăzute de prezentul regulament, în special în ceea ce privește condițiile pentru prelucrarea legală. Ar trebui prevăzute în mod explicit derogări de la interdicția generală de prelucrare a acestor categorii speciale de date cu caracter personal, printre altele atunci când persoana vizată își dă consimțământul explicit sau în ceea ce privește nevoile specifice [...]

(52) Derogarea de la interdicția privind prelucrarea categoriilor speciale de date cu caracter personal ar trebui să fie permisă, de asemenea, în cazul în care dreptul Uniunii sau dreptul intern prevede acest lucru și ar trebui să facă obiectul unor garanții adecvate, astfel încât să fie protejate datele cu caracter personal și alte drepturi fundamentale, atunci când acest lucru se justifică din motive de interes public, în special în cazul prelucrării datelor cu caracter personal în domeniul legislației privind ocuparea forței de muncă, protecția socială, inclusiv pensiile, precum și în scopuri de securitate, supraveghere și alertă în materie de sănătate, pentru prevenirea sau controlul bolilor transmisibile și a altor amenințări grave la adresa sănătății. Această derogare poate fi acordată în scopuri medicale, inclusiv sănătatea publică și gestionarea serviciilor de asistență medicală, în special în vederea asigurării calității și eficienței din punctul de vedere al costurilor ale procedurilor utilizate pentru soluționarea cererilor de prestații și servicii în cadrul sistemului de asigurări de sănătate, sau în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice. [...]

(53) Categoriile speciale de date cu caracter personal care necesită un nivel mai ridicat de protecție ar trebui prelucrate doar în scopuri legate de sănătate atunci când este necesar pentru realizarea acestor scopuri în beneficiul persoanelor fizice și al societății în general, în special în contextul gestionării serviciilor și sistemelor de sănătate sau de asistență socială, inclusiv prelucrarea acestor date de către autoritățile de management și de către autoritățile centrale naționale din domeniul sănătății în scopul controlului calității, furnizării de informații de gestiune și al supravegherii generale a sistemului de sănătate sau de asistență socială la nivel național și local, precum și în contextul asigurării continuității asistenței medicale sau sociale [...] Prin urmare, prezentul regulament ar trebui să prevadă condiții armonizate pentru prelucrarea categoriilor speciale de date cu caracter personal privind sănătatea, în ceea ce privește nevoile specifice, în special atunci când prelucrarea acestor date este efectuată în anumite scopuri legate de sănătate de către persoane care fac obiectul unei obligații legale de a păstra secretul profesional. Dreptul Uniunii sau dreptul intern ar trebui să prevadă măsuri specifice și adecvate pentru a proteja drepturile fundamentale și datele cu caracter personal ale persoanelor fizice. Statele membre ar trebui să aibă posibilitatea de a menține sau de a introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea datelor genetice, a datelor biometrice sau a datelor privind sănătatea. [...]

[...]

(75) Riscul pentru drepturile și libertățile persoanelor fizice, prezentând grade diferite de probabilitate de materializare și de gravitate, poate fi rezultatul unei prelucrări a datelor cu caracter personal care ar putea genera prejudicii de natură fizică, materială sau morală, în special în cazurile în care: prelucrarea poate conduce la discriminare, furt sau fraudă a identității, pierdere financiară, compromiterea reputației, pierderea confidențialității datelor cu caracter personal protejate prin secret profesional, inversarea neautorizată a pseudonimizării sau la orice alt dezavantaj semnificativ de natură economică sau socială; persoanele vizate ar putea fi private de drepturile și libertățile lor sau împiedicate să‑și exercite controlul asupra datelor lor cu caracter personal; datele cu caracter personal prelucrate sunt [...] date privind sănătatea [...]; sunt evaluate aspecte de natură personală, în special analizarea sau previzionarea unor aspecte privind randamentul la locul de muncă, situația economică, starea de sănătate, [...] în scopul de a se crea sau de a se utiliza profiluri personale; [...]

[...]

(146) Operatorul sau persoana împuternicită de operator ar trebui să plătească despăgubiri pentru orice prejudiciu pe care o persoană îl poate suferi ca urmare a unei prelucrări care încalcă prezentul regulament. Operatorul sau persoana împuternicită de operator ar trebui să fie exonerați de răspundere dacă dovedesc că nu sunt în niciun fel răspunzători pentru prejudiciu. Conceptul de prejudiciu ar trebui interpretat în sens larg, din perspectiva jurisprudenței Curții de Justiție, într‑un mod care să reflecte pe deplin obiectivele prezentului regulament. Această dispoziție nu aduce atingere niciunei cereri de despăgubire care rezultă din încălcarea altor norme din dreptul Uniunii sau din dreptul intern. O prelucrare care încalcă prezentul regulament include și prelucrarea care încalcă actele delegate și de punere în aplicare adoptate în conformitate cu prezentul regulament și cu dreptul intern care specifică norme din prezentul regulament. Persoanele vizate ar trebui să primească despăgubiri integrale și eficace pentru prejudiciul pe care l‑au suferit. [...]"

4 Inclus în capitolul I din acest regulament, referitor la „[d]ispoziții generale", articolul 2, intitulat „Domeniul de aplicare material", prevede la alineatul (1):

„Prezentul regulament se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor."

5 Articolul 4 din regulamentul menționat, intitulat „Definiții", prevede:

„În sensul prezentului regulament:

1. "date cu caracter personal" înseamnă orice informații privind o persoană fizică identificată sau identificabilă ("persoana vizată"); [...]

2. "prelucrare" înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate [...]

[...]

7. "operator" înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; [...]

[...]

15. "date privind sănătatea" înseamnă date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane fizice, inclusiv prestarea de servicii de asistență medicală, care dezvăluie informații despre starea de sănătate a acesteia;

[...]"

6 Capitolul II din RGPD, referitor la „[p]rincipii" stabilite de acesta din urmă, cuprinde articolele 5-11.

7 Articolul 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal", prevede:

„(1) Datele cu caracter personal sunt:

(a) prelucrate în mod legal, echitabil și transparent față de persoana vizată ("legalitate, echitate și transparență");

[...]

(f) prelucrate într‑un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare ("integritate și confidențialitate");

(2) Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare ("responsabilitate")."

8 Articolul 6 din regulamentul menționat, intitulat „Legalitatea prelucrării", prevede la alineatul (1):

„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

(a) persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;

(b) prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;

(c) prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;

(d) prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane fizice;

(e) prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;

(f) prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.

Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor."

9 Articolul 9 din același regulament, intitulat „Prelucrarea de categorii speciale de date cu caracter personal", este redactat după cum urmează:

„(1) Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.

(2) Alineatul (1) nu se aplică în următoarele situații:

[...]

(b) prelucrarea este necesară în scopul îndeplinirii obligațiilor și al exercitării unor drepturi specifice ale operatorului sau ale persoanei vizate în domeniul ocupării forței de muncă și al securității sociale și protecției sociale, în măsura în care acest lucru este autorizat de dreptul Uniunii sau de dreptul intern ori de un acord colectiv de muncă încheiat în temeiul dreptului intern care prevede garanții adecvate pentru drepturile fundamentale și interesele persoanei vizate;

[...]

(h) prelucrarea este necesară în scopuri legate de medicina preventivă sau a muncii, de evaluarea capacității de muncă a angajatului, de stabilirea unui diagnostic medical, de furnizarea de asistență medicală sau socială sau a unui tratament medical sau de gestionarea sistemelor și serviciilor de sănătate sau de asistență socială, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul unui contract încheiat cu un cadru medical și sub rezerva respectării condițiilor și garanțiilor prevăzute la alineatul (3);

[...]

(3) Datele cu caracter personal menționate la alineatul (1) pot fi prelucrate în scopurile menționate la alineatul (2) litera (h) în cazul în care datele respective sunt prelucrate de către un profesionist supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul normelor stabilite de organisme naționale competente sau de o altă persoană supusă, de asemenea, unei obligații de confidențialitate în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naționale competente.

(4) Statele membre pot menține sau introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea de date genetice, date biometrice sau date privind sănătatea."

10 Capitolul IV din RGPD, intitulat „Operatorul și persoana împuternicită de operator", cuprinde articolele 24-43 din acesta.

11 Inclus în secțiunea 1 din acest capitol, intitulată „Obligații generale", articolul 24 din acest regulament, intitulat în ceea ce îl privește „Responsabilitatea operatorului", prevede la alineatul (1):

„Ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. Respectivele măsuri se revizuiesc și se actualizează dacă este necesar."

12 Inclus în secțiunea 2 din capitolul menționat, intitulată „Securitatea datelor cu caracter personal", articolul 32 din regulamentul menționat, intitulat în ceea ce îl privește „Securitatea prelucrării", prevede la alineatul (1):

„Având în vedere stadiul actual al dezvoltării, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu diferite grade de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz:

(a) pseudonimizarea și criptarea datelor cu caracter personal;

(b) capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare;

[...]"

13 Capitolul VIII du RGPD, intitulat „Căi de atac, răspundere și sancțiuni", cuprinde articolele 77-84 din acest regulament.

14 În conformitate cu articolul 82 din regulamentul menționat, intitulat „Dreptul la despăgubiri și răspunderea":

„(1) Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.

(2) Orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă prezentul regulament. [...]

(3) Operatorul sau persoana împuternicită de operator este exonerat(ă) de răspundere în temeiul alineatului (2) dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul.

[...]"

15 Articolul 83 din RGPD, intitulat „Condiții generale pentru impunerea amenzilor administrative", prevede:

„(1) Fiecare autoritate de supraveghere asigură faptul că impunerea unor amenzi administrative în conformitate cu prezentul articol pentru încălcările prezentului regulament menționate la alineatele (4), (5) și (6) este, în fiecare caz, eficace, proporțională și disuasivă.

(2) [...] Atunci când se ia decizia dacă să se impună o amendă administrativă și decizia cu privire la valoarea amenzii administrative în fiecare caz în parte, se acordă atenția cuvenită următoarelor aspecte:

(a) natura, gravitatea și durata încălcării, ținându‑se seama de natura, domeniul de aplicare sau scopul prelucrării în cauză, precum și de numărul persoanelor vizate afectate și de nivelul prejudiciilor suferite de acestea;

(b) dacă încălcarea a fost comisă intenționat sau din neglijență;

[...]

(d) gradul de responsabilitate al operatorului sau al persoanei împuternicite de operator ținându‑se seama de măsurile tehnice și organizatorice implementate de aceștia în temeiul articolelor 25 și 32;

[...]

(k) orice alt factor agravant sau atenuant aplicabil circumstanțelor cazului, cum ar fi beneficiile financiare dobândite sau pierderile evitate în mod direct sau indirect de pe urma încălcării.

(3) În cazul în care un operator sau o persoană împuternicită de operator încalcă în mod intenționat sau din neglijență, pentru aceeași operațiune de prelucrare sau pentru operațiuni de prelucrare conexe, mai multe dispoziții din prezentul regulament, cuantumul total al amenzii administrative nu poate depăși suma prevăzută pentru cea mai gravă încălcare.

[...]"

16 Articolul 84 din acest regulament, intitulat „Sancțiuni", prevede la alineatul (1):

„Statele membre stabilesc normele privind alte sancțiuni aplicabile în caz de încălcare a prezentului regulament, în special pentru încălcări care nu fac obiectul unor amenzi administrative în temeiul articolului 83, și iau toate măsurile necesare pentru a garanta faptul că acestea sunt puse în aplicare. Sancțiunile respective sunt eficace, proporționale și disuasive."

Dreptul german

17 În temeiul articolului 275 alineatul (1) din Sozialgesetzbuch, Fünftes Buch (Codul securității sociale, cartea V), în versiunea aplicabilă litigiului principal, casele de asigurări obligatorii de sănătate sunt ținute să solicite unui Medizinischer Dienst (serviciu medical) care le asistă în special să realizeze o expertiză în vederea înlăturării îndoielilor cu privire la capacitatea de muncă a unui asigurat, în anumite cazuri stabilite de lege sau atunci când boala acestuia necesită acest lucru.

18 Articolul 278 alineatul (1) din acest cod prevede că un astfel de serviciu medical se înființează în fiecare land, sub forma unui organism de drept public.

Litigiul principal și întrebările preliminare

19 MDK Nordrhein, un organism de drept public care, în calitate de serviciu medical al caselor de asigurări de sănătate, are ca misiune legală, printre altele, realizarea unor expertize medicale pentru a înlătura îndoielile privind incapacitatea de muncă a persoanelor asigurate la casele de asigurări obligatorii de sănătate care țin de competența sa, inclusiv atunci când expertizele respective se referă la propriii angajați.

20 Într‑un astfel de caz, numai membrii unei unități speciale, denumită „celula operațională cazuri speciale", sunt autorizați, după închiderea dosarului de expertiză, să prelucreze datele denumite „sociale" ale acestui angajat, utilizând un domeniu blocat al sistemului informatic al acestui organism, și să aibă acces la arhivele digitale. O notă de serviciu intern referitoare la aceste cazuri prevede printre altele că un număr restrâns de agenți abilitați, printre care anumiți agenți ai serviciului informatic, au acces la datele menționate.

21 Reclamantul din litigiul principal a lucrat în cadrul serviciului informatic al MDK Nordrhein înainte de a se afla în incapacitate de muncă din motive medicale. La sfârșitul semestrului în care acest organism, în calitate de angajator, a continuat să îl remunereze, casa de asigurări obligatorii de sănătate la care era afiliat a început să îi plătească indemnizații de boală.

22 Această casă de asigurări a solicitat atunci MDK Nordrhein să realizeze o expertiză privind incapacitatea de muncă a reclamantului din litigiul principal. Un medic care își desfășoară activitatea în cadrul „celulei operaționale cazuri speciale" din cadrul MDK Nordrhein a realizat expertiza, printre altele obținând informații de la medicul curant al reclamantului din litigiul principal. Atunci când acesta din urmă a fost informat cu privire la acest lucru de către medicul său curant, el a contactat o colegă de la serviciul informatic și a rugat‑o să fotografieze raportul de expertiză care figura în arhivele digitale ale MDK Nordrhein și apoi să îi transmită fotografiile.

23 Considerând că datele privind sănătatea sa făcuseră astfel obiectul unei prelucrări nelegale de către angajatorul său, reclamantul din litigiul principal i‑a solicitat acestuia să îi plătească o despăgubire în cuantum de 20 000 de euro, ceea ce MDK Nordrhein a refuzat.

24 Ulterior, reclamantul din litigiul principal a sesizat Arbeitsgericht Düsseldorf (Tribunalul pentru Litigii de Muncă din Düsseldorf, Germania) pentru a obține, în temeiul articolului 82 alineatul (1) din RGPD și al dispozițiilor dreptului german, obligarea MDK Nordrhein la repararea prejudiciului pe care el afirmă că l‑a suferit ca urmare a prelucrării datelor cu caracter personal astfel efectuate. El a arătat în esență, pe de o parte, că expertiza în cauză ar fi trebuit să fie realizată de un alt serviciu medical pentru a evita accesul colegilor săi la date privind sănătatea lui și, pe de altă parte, că măsurile de securitate care au însoțit arhivarea raportului referitor la această expertiză au fost insuficiente. El a susținut de asemenea că această prelucrare a constituit o încălcare a normelor de drept care protejează asemenea date, care i‑a cauzat daune atât morale, cât și materiale.

25 În apărare, MDK Nordrhein a susținut cu titlu principal că colectarea și stocarea datelor privind sănătatea reclamantului din litigiul principal au fost efectuate în conformitate cu dispozițiile referitoare la protecția unor asemenea date.

26 Întrucât cererea sa a fost respinsă în primă instanță, reclamantul din litigiul principal a declarat apel la Landesarbeitsgericht Düsseldorf (Tribunalul Superior pentru Litigii de Muncă din Düsseldorf, Germania), care i‑a respins de asemenea calea de atac. În aceste condiții, el a formulat recurs la Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania), care este instanța de trimitere în prezenta cauză.

27 Această din urmă instanță pornește de la premisele potrivit cărora, în litigiul principal, expertiza realizată de MDK Nordrhein, în calitate de serviciu medical, constituie o „prelucrare" a unor „date cu caracter personal" și, mai precis, a unor „date privind sănătatea", în sensul articolului 4 punctele 1, 2 și 15 din RGPD, astfel încât această operațiune intră în domeniul de aplicare material al regulamentului menționat, astfel cum este definit la articolul 2 alineatul (1) din acesta. În plus, această instanță consideră că MDK Nordrhein este „operatorul" în cauză, în sensul articolului 4 punctul 7 din regulamentul menționat.

28 Întrebările sale privesc, în primul rând, interpretarea mai multor dispoziții ale articolului 9 din RGPD, care se referă la prelucrarea unor categorii speciale de date cu caracter personal, în special ținând seama de faptul că prelucrarea în discuție în litigiul principal a fost realizată de un organism care este și angajatorul persoanei vizate, astfel cum este definită la articolul 4 punctul 1 din acest regulament

29 Mai întâi, instanța de trimitere are îndoieli că prelucrarea datelor privind sănătatea în discuție în litigiul principal poate intra sub incidența uneia dintre excepțiile prevăzute la alineatul (2) al articolului 9 din RGPD. Potrivit acestei instanțe, numai excepțiile care figurează la literele (b) și (h) ale alineatului (2) menționat sunt relevante în speță. Cu toate acestea, ea exclude de la bun început aplicarea derogării prevăzute la litera (b) în speță, pentru motivul că prelucrarea în discuție în litigiul principal nu era necesară în scopul exercitării drepturilor și al îndeplinirii obligațiilor operatorului, luat în considerare în calitatea sa de angajator al persoanei vizate. Astfel, acest tratament ar fi fost inițiat de un alt organism, care a solicitat MDK Nordrhein să efectueze un control în calitatea sa de serviciu medical. În schimb, deși înclină să nu aplice nici derogarea prevăzută la litera (h), întrucât, în opinia sa, numai un tratament efectuat de un „terț neutru" ar trebui să poată intra sub incidența acesteia, iar un organism nu se poate întemeia pe „dubla sa funcție" de angajator și de serviciu medical pentru a înlătura interdicția unei astfel de prelucrări, instanța de trimitere nu se dovedește categorică în această privință.

30 Apoi, în ipoteza în care prelucrarea datelor privind sănătatea ar fi autorizată în asemenea circumstanțe în temeiul articolului 9 alineatul (2) litera (h) din RGPD, instanța de trimitere ridică problema normelor aferente protecției datelor privind sănătatea care trebuie respectate în acest cadru. În opinia sa, din acest regulament rezultă că nu este suficient ca operatorul să îndeplinească cerințele cuprinse la articolul 9 alineatul (3) din acesta. Operatorul respectiv ar trebui, în plus, să garanteze că niciunul dintre colegii persoanei vizate nu poate avea vreun acces la datele privind starea de sănătate a acesteia din urmă.

31 În sfârșit, de asemenea în aceeași ipoteză, această instanță urmărește să afle dacă cel puțin una dintre condițiile prevăzute la articolul 6 alineatul (1) din RGPD trebuie în plus să fie îndeplinită pentru ca o astfel de prelucrare să fie legală. În opinia sa, aceasta ar trebui să fie situația și, în cadrul litigiului principal, numai literele (c) și (e) ale respectivului articol 6 alineatul (1) primul paragraf ar putea fi relevante a priori. Cu toate acestea, cele două litere (c) și (e) nu ar trebui să se aplice, deoarece prelucrarea în cauză nu este „necesară" în sensul acestor dispoziții pentru că ar putea fi realizată la fel de bine de un alt serviciu medical decât MDK Nordrhein.

32 În al doilea rând, în ipoteza în care o încălcare a RGPD ar fi constituită în speță, instanța de trimitere ridică problema despăgubirii care poate fi datorată reclamantului din litigiul principal în temeiul articolului 82 din acest regulament

33 Pe de o parte, aceasta urmărește să afle dacă norma prevăzută la articolul 82 alineatul (1) din RGPD are un caracter disuasiv sau punitiv, în plus față de funcția sa reparatorie, și, dacă este cazul, dacă ar trebui să se țină seama de respectivul caracter la stabilirea cuantumului daunelor interese acordate pentru prejudiciul moral, în special având în vedere principiile efectivității, proporționalității și echivalenței consacrate în alte domenii ale dreptului Uniunii.

34 Pe de altă parte, această instanță tinde să considere că răspunderea operatorului poate fi angajată în temeiul articolului 82 alineatul (1) menționat fără a fi necesar să se stabilească că acesta a săvârșit o culpă. Având totuși îndoieli, cu precădere având în vedere normele de drept german, ea ridică problema dacă ar trebui să se verifice că încălcarea RGPD în cauză este imputabilă operatorului ca urmare a unui act intenționat sau a unei neglijențe din partea sa și dacă gravitatea eventualei culpe a acestuia ar trebui să influențeze daunele interese acordate ca despăgubiri pentru un prejudiciu moral.

35 În aceste condiții, Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă) a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Articolul 9 alineatul (2) litera (h) din [RGPD] trebuie interpretat în sensul că interzice unui serviciu medical al unei case de asigurări de sănătate să prelucreze datele privind sănătatea ale unui angajat al său de care depinde evaluarea capacității de muncă a acestuia?

2) În ipoteza în care Curtea va răspunde negativ la prima întrebare, cu consecința că articolul 9 alineatul (2) litera (h) din RGPD ar permite o excepție de la interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, într‑o situație precum cea din speță, pe lângă cerințele prevăzute la articolul 9 alineatul (3) din RGPD, trebuie respectate și alte cerințe în materie de protecție a datelor și, dacă este cazul, care sunt acestea?

3) În ipoteza în care Curtea va răspunde negativ la prima întrebare, cu consecința că articolul 9 alineatul (2) litera (h) din RGPD ar permite o excepție de la interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, într‑o situație precum cea din speță, admisibilitatea sau legalitatea prelucrării datelor privind sănătatea presupune de asemenea ca cel puțin una dintre condițiile menționate la articolul 6 alineatul (1) din RGPD să fie îndeplinită?

4) Articolul 82 alineatul (1) din RGPD are un caracter de prevenție specială sau generală, iar acesta trebuie să fie luat în considerare la calcularea cuantumului prejudiciului moral pe care operatorul sau persoana împuternicită de operator trebuie să îl repare în temeiul articolului 82 alineatul (1) din RGPD?

5) La calcularea cuantumului prejudiciului moral care trebuie reparat în temeiul articolului 82 alineatul (1) din RGPD trebuie să se țină seama de gravitatea culpei operatorului sau a persoanei împuternicite de operator? Mai precis, lipsa culpei sau culpa minoră a operatorului sau a persoanei împuternicite de operator poate fi luată în considerare în apărarea sa?"

Cu privire la întrebările preliminare

Cu privire la prima întrebare

36 Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă, având în vedere interdicția prelucrării datelor privind sănătatea prevăzută la articolul 9 alineatul (1) din RGPD, alineatul (2) litera (h) al acestui articol trebuie interpretat în sensul că excepția pe care o prevede este aplicabilă situațiilor în care un organism de control medical prelucrează date privind sănătatea unuia dintre angajații săi nu în calitate de angajator, ci de serviciu medical pentru evaluarea capacității de muncă a acestui angajat.

37 Potrivit unei jurisprudențe constante, interpretarea unei dispoziții a dreptului Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea pe care le urmărește actul din care aceasta face parte. Geneza unei dispoziții a dreptului Uniunii poate de asemenea să ofere elemente relevante pentru interpretarea sa (Hotărârea din 16 martie 2023, Towercast, C‑449/21, EU:C:2023:207, punctul 31 și jurisprudența citată).

38 În primul rând, trebuie amintit că articolul 9 din RGPD privește, după cum indică titlul său, „[p]relucrarea de categorii speciale de date cu caracter personal", calificate de asemenea drept date „sensibile" în considerentele (10) și (51) ale acestui regulament.

39 Potrivit considerentului 51 al RGPD, Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale.

40 Astfel, articolul 9 alineatul (1) din RGPD stabilește principiul interdicției prelucrării unor categorii speciale de date cu caracter personal pe care le enumeră. Printre acestea din urmă figurează „date privind sănătatea", astfel cum sunt definite la articolul 4 punctul 15 din acest regulament, interpretat în lumina considerentului (35) al acestuia, care sunt vizate în prezenta cauză.

41 Curtea a precizat că finalitatea articolului 9 alineatul (1) din regulamentul menționat constă în a asigura o protecție sporită împotriva prelucrărilor care, din cauza caracterului deosebit de sensibil al datelor care fac obiectul acestora, sunt susceptibile să constituie o ingerință deosebit de gravă în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, garantate la articolele 7 și 8 din Carta drepturilor fundamentale [a se vedea în acest sens Hotărârea din 5 iunie 2023, Comisia/Polonia (Independența și viața privată a judecătorilor), C‑204/21, EU:C:2023:442, punctul 345 și jurisprudența citată].

42 Articolul 9 alineatul (2) literele (a)-(j) din RGPD prevede însă o listă exhaustivă de excepții de la principiul interdicției prelucrării acestor date sensibile.

43 În special, articolul 9 alineatul (2) litera (h) din RGPD permite o astfel de prelucrare dacă este „necesară în scopuri legate [printre altele] de evaluarea capacității de muncă a angajatului [...] în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul unui contract încheiat cu un cadru medical". Dispoziția respectivă precizează că orice prelucrare întemeiată pe aceasta se aplică în plus, în mod specific „sub rezerva respectării condițiilor și garanțiilor prevăzute la alineatul (3)" al articolului 9 menționat.

44 Din articolul 9 alineatul (2) litera (h) din RGPD coroborat cu alineatul (3) al acestui articol rezultă că posibilitatea de a prelucra date sensibile, cum sunt cele privind sănătatea, este strict încadrată de o serie de condiții cumulative. Acestea din urmă se referă, primo, la scopurile enumerate la litera (h) menționată - printre care figurează evaluarea capacității de muncă a unui angajat -, secundo, la temeiul juridic al acestei prelucrări - fie că este vorba despre dreptul Uniunii, despre dreptul intern sau despre un contract încheiat cu un profesionist din domeniul sănătății, potrivit aceleiași litere (h) -, și, în sfârșit, tertio, la obligația de confidențialitate pe care trebuie să o respecte persoanele abilitate să efectueze o astfel de prelucrare, în temeiul acestui articol 9 alineatul (3), toate aceste persoane trebuind să fie supuse unei obligații de confidențialitate în conformitate cu această din urmă dispoziție.

45 După cum a arătat în esență domnul avocat general la punctele 32 și 33 din concluzii, nici modul de redactare a articolului 9 alineatul (2) litera (h) din RGPD, nici geneza acestei dispoziții nu furnizează elemente de așa natură încât să se considere că aplicarea derogării prevăzute la dispoziția menționată ar fi rezervată, așa cum sugerează instanța de trimitere, ipotezelor în care prelucrarea este realizată de un „terț neutru, iar nu de angajator" al persoanei vizate, astfel cum este definită la articolul 4 punctul 1 din acest regulament

46 Având în vedere opinia instanței de trimitere potrivit căreia, în esență, un organism nu ar trebui să se poată întemeia pe „funcția sa dublă" de angajator al persoanei vizate și de serviciu medical pentru a eluda principiul interdicției prelucrării de date privind sănătatea, prevăzut la articolul 9 alineatul (1) din RGPD, este necesar să se precizeze că este determinant să se ia în considerare temeiul în care se efectuează prelucrarea acestor date.

47 Astfel, deși acest articol 9 alineatul (1) interzice în principiu prelucrarea de date privind sănătatea, alineatul (2) al articolului menționat prevede, la literele (a)-(j), zece derogări care sunt independente unele de altele și care trebuie, așadar, să fie apreciate în mod autonom. Rezultă că faptul că nu sunt întrunite condițiile de aplicare a uneia dintre derogările prevăzute la acest alineat (2) nu se poate opune posibilității unui operator de a invoca o altă derogare menționată la această dispoziție.

48 Din ceea ce precedă rezultă că articolul 9 alineatul (2) litera (h) din RGPD coroborat cu alineatul (3) al acestui articol nu exclude nicidecum aplicabilitatea excepției prevăzute la litera (h) unor situații în care un organism de control medical prelucrează date privind sănătatea unuia dintre angajații săi în calitate de serviciu medical, iar nu în calitate de angajator pentru evaluarea capacității de muncă a acestui angajat.

49 În al doilea rând, o asemenea interpretare este confirmată de luarea în considerare a sistemului în care se înscrie articolul 9 alineatul (2) litera (h) din RGPD, precum și de obiectivele pe care le urmăresc acest regulament și această dispoziție.

50 Primo, desigur, în măsura în care prevede o excepție de la principiul interzicerii prelucrării categoriilor speciale de date cu caracter personal, articolul 9 alineatul (2) din RGPD trebuie interpretat în mod restrictiv [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 76].

51 Cu toate acestea, respectarea principiului interdicției prevăzut la articolul 9 alineatul (1) din RGPD nu poate conduce la reducerea domeniului de aplicare al unei alte dispoziții din acest regulament într‑un mod care ar fi contrar modului clar de redactare a acesteia din urmă. Or, interpretarea sugerată, potrivit căreia domeniul de aplicare al excepției prevăzute la acest articol 9 alineatul (2) litera (h) ar trebui să fie limitat la ipotezele în care un „terț neutru" prelucrează date privind sănătatea în vederea evaluării capacității de muncă a unui lucrător, ar adăuga o cerință care nu reiese nicidecum din modul clar de redactare a acestei din urmă dispoziții

52 În această privință, este lipsit de relevanță faptul că în speță, în ipoteza în care s‑ar interzice MDK Nordrhein să își îndeplinească misiunea de serviciu medical atunci când este vorba despre unul dintre propriii angajați, un alt organism de control medical ar fi în măsură să o preia. Trebuie subliniat că această alternativă, evocată de instanța de trimitere, nu este în mod necesar prezentă sau realizabilă în toate statele membre și în toate situațiile care pot fi guvernate de articolul 9 alineatul (2) litera (h) din RGPD. Or, interpretarea acestei dispoziții nu poate fi ghidată de considerații întemeiate pe sistemul de sănătate al unui singur stat membru sau rezultate din circumstanțe proprii litigiului principal.

53 Secundo, interpretarea care figurează la punctul 48 din prezenta hotărâre este conformă cu obiectivele RGPD și cu cele ale articolului 9 din acest regulament.

54 Astfel, considerentul (4) al RGPD enunță că dreptul la protecția datelor cu caracter personal nu este un drept absolut deoarece trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității (a se vedea în acest sens Hotărârea din 22 iunie 2023, Pankki S, C‑579/21, EU:C:2023:501, punctul 78). În plus, Curtea a subliniat deja că mecanismele care permit găsirea unui just echilibru între diferitele drepturi și interese în cauză sunt incluse în RGPD însuși (a se vedea în acest sens Hotărârea din 17 iunie 2021, M. I. C. M., C‑597/19, EU:C:2021:492, punctul 112).

55 Aceste considerații se aplică inclusiv atunci când datele în cauză se încadrează în categoriile speciale care sunt prevăzute la articolul 9 din acest regulament [a se vedea în acest sens Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile), C‑136/17, EU:C:2019:773, punctele 57 și 66-68], cum sunt datele privind sănătatea.

56 Mai precis, din considerentul (52) al RGPD reiese că „derogarea de la interdicția privind prelucrarea [acestor] categorii speciale de date cu caracter personal" ar trebui să fie permisă „atunci când acest lucru se justifică din motive de interes public, în special [...] în legislația privind ocuparea forței de muncă [și] protecția socială", precum și „în scopuri medicale, [...] în special în vederea asigurării calității și eficienței din punctul de vedere al costurilor ale procedurilor utilizate pentru soluționarea cererilor de prestații și servicii în cadrul sistemului de asigurări de sănătate". Considerentul (53) al acestui regulament enunță de asemenea că prelucrările efectuate „în scopuri legate de sănătate" ar trebui să fie posibile „atunci când acest lucru este necesar pentru realizarea acestor scopuri în beneficiul persoanelor fizice și al societății în general, în special în contextul gestionării serviciilor și sistemelor de sănătate sau de [protecție] socială".

57 Din această perspectivă de ansamblu și având în vedere diversele interese legitime în cauză, legiuitorul Uniunii a prevăzut, la articolul 9 alineatul (2) litera (h) din RGPD, o posibilitate de derogare de la principiul interdicției prelucrării datelor privind sănătatea enunțat la alineatul (1) al acestui articol, sub rezerva ca prelucrarea în cauză să respecte condițiile și garanțiile impuse în mod expres prin această literă (h) și prin celelalte dispoziții relevante ale acestui regulament, în special prin alineatul (3) al articolului 9 menționat, dispoziții în care nu figurează cerința ca un serviciu medical care prelucrează astfel de date în temeiul literei (h) menționate să fie o entitate distinctă de angajatorul persoanei vizate.

58 Ținând seama de motivele care precedă și fără a aduce atingere răspunsurilor care vor fi date la a doua și la a treia întrebare, trebuie să se răspundă la prima întrebare că articolul 9 alineatul (2) litera (h) din RGPD trebuie interpretat în sensul că excepția prevăzută de această dispoziție este aplicabilă situațiilor în care un organism de control medical prelucrează date privind sănătatea unuia dintre angajații săi nu în calitate de angajator, ci de serviciu medical, sub rezerva ca prelucrarea respectivă să îndeplinească condițiile și garanțiile impuse în mod expres de această literă (h) și de alineatul (3) al articolului 9 menționat.

Cu privire la a doua întrebare

59 Potrivit instanței de trimitere, din considerentele (35), (51), (53) și (75) ale RGPD reiese că nu este suficient să se îndeplinească cerințele articolului 9 alineatul (3) din acesta într‑o situație precum cea în discuție în litigiul principal, în care operatorul este totodată angajatorul persoanei a cărei capacitate de muncă este evaluată. Acest regulament ar impune în plus înlăturarea de la prelucrarea datelor privind sănătatea a tuturor angajaților operatorului susceptibil să aibă vreun contact profesional cu această persoană. În opinia acestei instanțe, orice operator care dispune de mai multe sedii, cum este MDK Nordrhein, ar trebui să se asigure că unitatea însărcinată cu prelucrarea datelor privind sănătatea angajaților acestui operator aparține întotdeauna de un alt sediu decât cel în care lucrează angajatul în cauză. În plus, obligația de păstrare a secretului profesional ce revine angajaților autorizați să prelucreze astfel de date nu ar împiedica în fapt ca un coleg al persoanei vizate să poată avea acces la datele care o privesc, ceea ce ar implica riscuri de producere a unor prejudicii, precum atingerea adusă reputației acesteia din urmă.

60 În aceste condiții, prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă dispozițiile RGPD trebuie interpretate în sensul că operatorul de date privind sănătatea, în temeiul articolului 9 alineatul (2) litera (h) din acest regulament, este obligat să garanteze că niciun coleg al persoanei vizate nu poate avea acces la datele referitoare la starea de sănătate a acesteia.

61 Trebuie amintit că, în temeiul articolului 9 alineatul (3) din RGPD, o prelucrare având ca obiect datele și care vizează scopurile enumerate la alineatul (1) și, respectiv, la alineatul (2) litera (h) ale acestui articol 9, în speță date privind sănătatea unui lucrător în scopul evaluării capacității sale de muncă, poate fi realizată numai în cazul în care aceste date sunt prelucrate de un profesionist din domeniul sănătății supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia, în temeiul dreptului Uniunii sau al dreptului intern sau în temeiul normelor stabilite de organisme naționale competente sau de o altă persoană supusă, de asemenea, unei obligații de confidențialitate în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naționale competente.

62 Prin adoptarea articolului 9 alineatul (3) din acest regulament, care se referă tocmai la alineatul (2) litera (h) al aceluiași articol, legiuitorul Uniunii a definit măsurile de protecție specifice pe care înțelegea să le impună operatorilor însărcinați cu astfel de prelucrări, măsuri care constau în faptul că prelucrările respective sunt rezervate persoanelor supuse unei obligații de confidențialitate, conform condițiilor detaliate la alineatul (3) menționat. Prin urmare, nu este necesar să se adauge la redactarea acestei din urmă dispoziții a unor cerințe pe care ea nu le menționează.

63 Rezultă, după cum domnul avocat general a arătat în esență la punctul 43 din concluziile prezentate, că articolul 9 alineatul (3) din RGPD nu poate servi drept temei juridic unei măsuri care să garanteze că niciun coleg al persoanei vizate nu poate avea acces la datele care se raportează la starea de sănătate a acesteia.

64 Trebuie să se aprecieze însă dacă cerința care constă în a garanta că niciun coleg al persoanei vizate nu are acces la datele referitoare la starea de sănătate a acesteia poate fi impusă operatorului de date privind sănătatea, în temeiul articolului 9 alineatul (2) litera (h) din RGPD, pe baza unei alte dispoziții din acest regulament.

65 În această privință, trebuie precizat că singura posibilitate a statelor membre de a adăuga o astfel de cerință, în raport cu cele prevăzute la alineatele (2) și (3) ale articolului 9 din acest regulament, constă în posibilitatea pe care le‑o conferă în mod explicit alineatul (4) al acestui articol de a „menține sau introduce condiții suplimentare, inclusiv restricții, în ceea ce privește prelucrarea [...] datelor privind sănătatea".

66 Totuși, aceste eventuale condiții suplimentare nu rezultă din dispozițiile RGPD în sine, ci, dacă este cazul, din normele de drept național care reglementează prelucrări de acest tip, norme în privința cărora acest regulament lasă în mod expres o marjă de apreciere statelor membre (a se vedea în acest sens Hotărârea din 30 martie 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, punctele 51 și 78).

67 În plus, trebuie subliniat că un stat membru care ar intenționa să utilizeze posibilitatea oferită la articolul 9 alineatul (4) din regulamentul menționat ar trebui, în conformitate cu principiul proporționalității, să se asigure că consecințele practice, în special de ordin organizațional, economic și medical, generate de cerințele suplimentare a căror respectare este impusă de acest stat nu sunt excesive pentru operatorii unui astfel de tratament, care nu dispun în mod necesar de dimensiuni sau de resurse tehnice și umane care să fie suficiente pentru a îndeplini aceste cerințe. Astfel, acestea nu pot aduce atingere efectului util al autorizației de prelucrare care este prevăzută în mod expres la articolul 9 alineatul (2) litera (h) din același regulament și este reglementată la alineatul (3) al acestui articol.

68 În sfârșit, trebuie subliniat că, în temeiul articolului 32 alineatul (1) literele (a) și (b) din RGPD, care concretizează principiile integrității și confidențialității menționate la articolul 5 alineatul (1) litera (f) din acest regulament, orice operator de date cu caracter personal are obligația de a implementa măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, în special pseudonimizarea și criptarea unor astfel de date, precum și capacitatea de a asigura printre altele confidențialitatea și integritatea sistemelor și serviciilor de prelucrare. Pentru a stabili modalitățile practice ale acestei obligații, operatorul trebuie, în conformitate cu acest articol 32 alineatul (1), să țină seama de stadiul actual al dezvoltării cunoștințelor, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscul cu diferite grade de probabilitate și gravitate, pentru drepturile și libertățile persoanelor fizice.

69 Va reveni însă instanței de trimitere sarcina de a aprecia dacă ansamblul măsurilor tehnice și organizatorice implementate în speță de MDK Nordrhein sunt conforme cu prevederile articolului 32 alineatul (1) literele (a) și (b) din RGPD.

70 Prin urmare, este necesar să se răspundă la a doua întrebare că articolul 9 alineatul (3) din RGPD trebuie interpretat în sensul că operatorul de date privind sănătatea, în temeiul articolului 9 alineatul (2) litera (h) din acest regulament, este obligat să garanteze că niciun coleg al persoanei vizate nu poate avea acces la datele referitoare la starea de sănătate a acesteia. Cu toate acestea, o asemenea obligație se poate impune operatorului unei astfel de prelucrări fie în temeiul unei reglementări adoptate de un stat membru potrivit articolului 9 alineatul (4) din regulamentul menționat, fie în temeiul principiilor integrității și confidențialității menționate la articolul 5 alineatul (1) litera (f) din același regulament și concretizate la articolul 32 alineatul (1) literele (a) și (b) din acesta.

Cu privire la a treia întrebare

71 Prin intermediul celei de a treia întrebări, instanța de trimitere ridică în esență problema dacă articolul 9 alineatul (2) litera (h) și articolul 6 alineatul (1) din RGPD trebuie interpretate în sensul că o prelucrare a datelor privind sănătatea întemeiată pe această primă dispoziție trebuie, pentru a fi legală, nu numai să respecte cerințele care decurg din aceasta, ci și să îndeplinească de asemenea cel puțin una dintre condițiile de legalitate prevăzute la acest articol 6 alineatul (1).

72 În această privință, trebuie amintit că articolele 5, 6 și 9 din RGPD figurează în capitolul II din acest regulament, intitulat „Principii", și se referă la „[p]rincipii legate de prelucrarea datelor cu caracter personal", la condiții privind „[l]egalitatea prelucrării" și, respectiv, la „[p]relucrarea de categorii speciale de date cu caracter personal".

73 În plus, trebuie arătat că în cuprinsul considerentului (51) al RGPD se arată în mod explicit că, „[p]e lângă cerințele specifice" aplicabile prelucrărilor datelor „deosebit de sensibile", care sunt prevăzute la articolul 9 alineatele (2) și (3) din acest regulament, fără a aduce atingere măsurilor adoptate eventual de un stat membru în temeiul alineatului (4) al acestui articol, „principiile generale și alte norme prevăzute de [respectivul] regulament ar trebui să se aplice [de asemenea] [unei astfel de prelucrări], în special în ceea ce privește condițiile pentru prelucrarea legală", astfel cum rezultă acestea din articolul 6 din același regulament.

74 Prin urmare, conform articolului 6 alineatul (1) primul paragraf din RGPD, o prelucrare a unor date „deosebit de sensibile" precum cele privind sănătatea este legală numai dacă este îndeplinită cel puțin una dintre condițiile prevăzute la alineatul (1) primul paragraf literele (a)-(f).

75 Or, articolul 6 alineatul (1) primul paragraf din regulamentul menționat prevede o listă exhaustivă și limitativă de cazuri în care prelucrarea de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, prelucrarea trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 90, precum și jurisprudența citată].

76 Prin urmare, Curtea a statuat în mod repetat că orice prelucrare a datelor cu caracter personal trebuie să fie conformă cu principiile referitoare la prelucrarea datelor prevăzute la articolul 5 alineatul (1) din RGPD și să îndeplinească condițiile de legalitate a prelucrării enumerate la articolul 6 din acest regulament [Hotărârea din 4 mai 2023, Bundesrepublik Deutschland (Căsuță electronică judiciară), C‑60/22, EU:C:2023:373, punctul 57 și jurisprudența citată].

77 În plus, s‑a statuat deja că, în măsura în care articolele 7-11 din RGPD, care figurează, asemenea articolelor 5 și 6 din acesta, în capitolul II din respectivul regulament, care se referă la principii, au ca obiect precizarea întinderii obligațiilor care revin operatorului în temeiul articolului 5 alineatul (1) litera (a) și al articolului 6 alineatul (1) din regulamentul menționat, prelucrarea datelor cu caracter personal, pentru a fi legală, trebuie de asemenea să respecte, după cum reiese din jurisprudența Curții, aceste alte dispoziții din capitolul menționat, care privesc în esență consimțământul, prelucrarea unor categorii speciale de date cu caracter sensibil și prelucrarea datelor cu caracter personal referitoare la condamnări penale și la infracțiuni [Hotărârea din 4 mai 2023, Bundesrepublik Deutschland (Căsuță electronică judiciară), C‑60/22, EU:C:2023:373, punctul 58 și jurisprudența citată].

78 Rezultă în special că, în măsura în care articolul 9 alineatul (2) litera (h) din RGPD are ca obiect să precizeze conținutul obligațiilor care revin operatorului în temeiul articolului 5 alineatul (1) litera (a) și al articolului 6 alineatul (1) din acest regulament, o prelucrare a datelor privind sănătatea care se bazează pe această primă dispoziție trebuie să respecte, pentru a fi legală, atât cerințele care decurg din aceasta, cât și obligațiile care rezultă din aceste ultime două dispoziții și în special să îndeplinească cel puțin una dintre condițiile de legalitate prevăzute la acest articol 6 alineatul (1).

79 Având în vedere ceea ce precedă, trebuie să se răspundă la a treia întrebare că articolul 9 alineatul (2) litera (h) și articolul 6 alineatul (1) din RGPD trebuie interpretate în sensul că o prelucrare a datelor privind sănătatea întemeiată pe această primă dispoziție trebuie, pentru a fi legală, nu numai să respecte cerințele care decurg din aceasta, ci și să îndeplinească cel puțin una dintre condițiile de legalitate prevăzute la acest articol 6 alineatul (1).

Cu privire la a patra întrebare

80 Prin intermediul celei de a patra întrebări, instanța de trimitere urmărește să afle în esență dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că dreptul la despăgubiri, prevăzut de această dispoziție, îndeplinește nu numai o funcție compensatorie, ci și o funcție disuasivă sau punitivă și, în cazul unui răspuns afirmativ, dacă aceasta din urmă trebuie eventual luată în considerare la stabilirea cuantumului daunelor interese acordate ca despăgubiri pentru un prejudiciu moral în temeiul acestei dispoziții.

81 Trebuie amintit că articolul 82 alineatul (1) din RGPD prevede că „[o]rice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit".

82 Curtea a interpretat această dispoziție în sensul că simpla încălcare a RGPD nu este suficientă pentru a conferi un drept la despăgubiri, după ce a subliniat printre altele că existența unui „prejudiciu" sau a unei „daune" care a fost „suferit/ă" constituie una dintre condițiile dreptului la despăgubiri prevăzut la acest articol 82 alineatul (1), la fel ca existența unei încălcări a acestui regulament și a unei legături de cauzalitate între acest prejudiciu și această încălcare, aceste trei condiții fiind cumulative [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctele 32 și 42].

83 În plus, Curtea a statuat că, întrucât RGPD nu conține nicio dispoziție care să aibă ca obiect definirea normelor privind evaluarea daunelor interese datorate în temeiul dreptului la despăgubiri consacrat la articolul 82 din acest regulament, instanțele naționale trebuie în acest scop să aplice, în temeiul principiului autonomiei procedurale, normele interne ale fiecărui stat membru referitoare la întinderea despăgubirilor pecuniare, cu condiția de a fi respectate principiile echivalenței și efectivității dreptului Uniunii, astfel cum sunt definite de jurisprudența constantă a Curții [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctele 53, 54 și 59].

84 În acest context și având în vedere considerentul (146) a șasea teză al RGPD, potrivit căruia acest instrument urmărește să asigure „despăgubiri integrale și eficace pentru prejudiciul [...] suferit", Curtea a arătat că, ținând seama de funcția compensatorie a dreptului la despăgubiri prevăzut la articolul 82 din acest regulament, o despăgubire pecuniară întemeiată pe acest articol trebuie considerată ca fiind „integrală și eficace" dacă permite compensarea integrală a prejudiciului concret suferit ca urmare a încălcării regulamentului menționat, fără a fi necesar, în vederea unei astfel de compensații integrale, să se impună plata unor daune interese punitive [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctele 57 și 58].

85 În această privință, trebuie subliniat că articolul 82 din RGPD nu are o funcție punitivă, ci compensatorie, spre deosebire de alte dispoziții din acest regulament care figurează de asemenea în capitolul VIII din acesta, și anume articolele 83 și 84, care au, la rândul lor, un scop în esență punitiv, întrucât permit aplicarea unor amenzi administrative, precum și a altor sancțiuni. Corelația dintre normele prevăzute la articolul 82 menționat și cele prevăzute la articolele 83 și 84 menționate demonstrează că există o diferență între aceste două categorii de dispoziții, dar și o complementaritate în ceea ce privește incitarea la respectarea RGPD, observându‑se că dreptul oricărei persoane de a solicita despăgubiri pentru un prejudiciu consolidează caracterul operațional al normelor de protecție prevăzute de acest regulament și este de natură să descurajeze repetarea comportamentelor ilegale [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctele 38 și 40].

86 Din moment ce dreptul la despăgubiri prevăzut la articolul 82 alineatul (1) din RGPD nu îndeplinește o funcție disuasivă, chiar punitivă, astfel cum este avută în vedere de instanța de trimitere, gravitatea încălcării acestui regulament care a cauzat prejudiciul în cauză nu poate influența cuantumul daunelor interese acordate în temeiul acestei dispoziții, nici chiar atunci când nu este vorba despre un prejudiciu material, ci despre un prejudiciu moral. Rezultă că acest cuantum nu poate fi stabilit la un nivel care să depășească compensarea integrală a acestui prejudiciu.

87 În consecință, este necesar să se răspundă la a patra întrebare că articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că dreptul la despăgubiri pentru prejudiciul suferit, prevăzut de această dispoziție, îndeplinește o funcție compensatorie, întrucât o despăgubire pecuniară întemeiată pe dispoziția menționată trebuie să permită compensarea integrală a prejudiciului concret suferit ca urmare a încălcării acestui regulament, iar nu o funcție disuasivă sau punitivă.

Cu privire la a cincea întrebare

88 Din elementele transmise de instanța de trimitere, ca răspuns la o cerere de lămuriri care i‑a fost adresată în conformitate cu articolul 101 din Regulamentul de procedură al Curții, reiese că a cincea întrebare urmărește să se stabilească, pe de o parte, dacă existența și/sau dovada unei culpe sunt condiții necesare pentru a putea fi angajată răspunderea operatorului sau a persoanei împuternicite de operator și, pe de altă parte, ce repercusiune poate avea gravitatea unei culpe a operatorului sau a persoanei împuternicite de operator asupra evaluării concrete a daunelor interese care trebuie plătite ca despăgubiri pentru prejudiciul moral suferit.

89 Ținând seama de acest răspuns al instanței de trimitere, este necesar să se înțeleagă a cincea întrebare ca urmărind în esență să se stabilească, pe de o parte, dacă articolul 82 din RGPD trebuie interpretat în sensul că angajarea răspunderii operatorului este condiționată de existența unei culpe a acestuia și, pe de altă parte, dacă gravitatea acestei culpe trebuie luată în considerare la stabilirea cuantumului daunelor interese acordate ca despăgubiri pentru un prejudiciu moral în temeiul acestei dispoziții.

90 În ceea ce privește prima parte a acestei întrebări, trebuie observat că, după cum s‑a amintit la punctul 82 din prezenta hotărâre, articolul 82 alineatul (1) din RGPD condiționează dreptul la reparație de întrunirea a trei elemente, și anume existența unei încălcări a acestui regulament, existența unui prejudiciu suferit, precum și existența unei legături de cauzalitate între această încălcare și prejudiciul respectiv.

91 Articolul 82 alineatul (2) din RGPD prevede, la rândul său, că orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă acest regulament. Or, modul de redactare a acestei dispoziții în unele dintre versiunile sale lingvistice, în special versiunea germană care este cea a limbii de procedură în prezenta cauză, nu permite să se stabilească cu certitudine dacă încălcarea în discuție trebuie să fie imputabilă operatorului pentru ca răspunderea sa să poată fi angajată.

92 În această privință, dintr‑o analiză a diferitelor versiuni lingvistice ale primei teze a articolului 82 alineatul (2) din RGPD reiese că se prezumă că operatorul a fost implicat în operațiunile de prelucrare ce constituie încălcarea acestui regulament care este vizată. Astfel, în timp ce versiunile în limbile germană, franceză sau finlandeză au fost formulate în mod deschis, o serie de alte versiuni lingvistice se dovedesc a fi mai precise și utilizează un determinant demonstrativ pentru a treia ocurență a termenului „prelucrare" sau pentru a treia referire la acest termen, astfel încât este clar că această a treia ocurență sau referire face trimitere la aceeași operațiune ca a doua ocurență a acestui termen. Aceasta este situația versiunilor în limbile spaniolă, estonă, greacă, italiană sau română.

93 Articolul 82 alineatul (3) din RGPD precizează, din această perspectivă, că un operator este exonerat de răspundere în temeiul alineatului (2) al acestui articol 82 dacă dovedește că nu este răspunzător în niciun fel pentru evenimentul care a cauzat prejudiciul.

94 Reiese astfel dintr‑o analiză coroborată a acestor diferite dispoziții ale articolului 82 din RGPD că acest articol prevede un regim de răspundere bazată pe culpă în care sarcina probei nu revine persoanei care a suferit un prejudiciu, ci operatorului.

95 O asemenea interpretare este confirmată de contextul în care se înscrie acest articol 82, precum și de obiectivele urmărite de legiuitorul Uniunii prin intermediul RGPD.

96 În această privință, primo, din modul de redactare a articolelor 24 și 32 din RGPD reiese că aceste dispoziții se limitează să impună operatorului să adopte măsuri tehnice și organizatorice destinate să evite, în măsura posibilului, orice încălcare a datelor cu caracter personal. Caracterul adecvat al unor asemenea măsuri trebuie evaluat în mod concret, examinând dacă aceste măsuri au fost implementate de acest operator ținând seama de diferitele criterii prevăzute la articolele menționate și de nevoile de protecție a datelor inerente în mod specific prelucrării în cauză, precum și riscurilor pe care le presupune aceasta din urmă (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 30).

97 Or, o asemenea obligație ar fi repusă în discuție dacă operatorul ar fi obligat apoi să repare orice prejudiciu cauzat de o operațiune de prelucrare efectuată cu încălcarea RGPD.

98 Secundo, în ceea ce privește obiectivele RGPD, reiese din considerentele (4)-(8) ale acestui regulament că acesta urmărește să pună în aplicare un echilibru între interesele operatorilor de date cu caracter personal și drepturile persoanelor ale căror date sunt prelucrate. Scopul urmărit este de a permite dezvoltarea economiei digitale, asigurându‑se în același timp un nivel ridicat de protecție a persoanelor. Astfel, este vizată o evaluare comparativă a intereselor operatorului și ale persoanelor ale căror date cu caracter personal sunt prelucrate. Or, un mecanism de răspundere bazată pe culpă însoțit de o răsturnare a sarcinii probei, astfel cum prevede articolul 82 din RGPD, permite tocmai asigurarea unui astfel de echilibru.

99 Pe de o parte, așa cum a observat domnul avocat general în esență la punctul 93 din concluzii, nu ar fi conform cu obiectivul unei astfel de protecții ridicate să se opteze pentru o interpretare potrivit căreia persoanele vizate care au suferit un prejudiciu ca urmare a unei încălcări a RGPD ar trebui, în cadrul unei acțiuni în despăgubire întemeiate pe articolul 82 din acesta, să suporte nu numai sarcina probei existenței acestei încălcări și a prejudiciului care a rezultat pentru ele, ci și existența unei fapte culpabile săvârșite de operator în mod intenționat sau din neglijență sau chiar gradul de gravitate a acestei culpe, chiar dacă articolul 82 menționat nu prevede astfel de cerințe (a se vedea prin analogie Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 56).

100 Pe de altă parte, un regim de răspundere obiectivă nu ar asigura realizarea obiectivului securității juridice urmărit de legiuitor, astfel cum reiese din considerentul (7) al RGPD.

101 În ceea ce privește a doua parte a celei de a cincea întrebări, referitoare la stabilirea cuantumului daunelor interese eventual datorate în temeiul articolului 82 din RGPD, trebuie amintit că, după cum s‑a subliniat la punctul 83 din prezenta hotărâre, în vederea evaluării acestor daune interese, instanțele naționale trebuie să aplice normele interne ale fiecărui stat membru referitoare la întinderea despăgubirilor pecuniare, cu condiția de a fi respectate principiile echivalenței și efectivității dreptului Uniunii, astfel cum sunt definite de jurisprudența constantă a Curții.

102 Trebuie precizat că, având în vedere funcția sa compensatorie, articolul 82 din RGPD nu impune ca gradul de gravitate a încălcării acestui regulament, pe care se prezumă că a săvârșit‑o operatorul, să fie luat în considerare la stabilirea cuantumului daunelor interese acordate pentru repararea prejudiciului moral în temeiul acestei dispoziții, ci impune ca acest cuantum să fie stabilit astfel încât să compenseze integral prejudiciul concret suferit ca urmare a încălcării regulamentului menționat, așa cum reiese din cuprinsul punctelor 84 și 87 din prezenta hotărâre.

103 În consecință, este necesar să se răspundă la a cincea întrebare că articolul 82 din RGPD trebuie interpretat în sensul că, pe de o parte, angajarea răspunderii operatorului este condiționată de existența unei culpe a acestuia care este prezumată cu excepția cazului în care acesta din urmă dovedește că evenimentul care a provocat prejudiciul nu îi este nicidecum imputabil și, pe de altă parte, acest articol 82 nu impune ca gravitatea acestei culpe să fie luată în considerare la stabilirea cuantumului daunelor interese acordate ca despăgubiri pentru un prejudiciu moral în temeiul acestei dispoziții.

Cu privire la cheltuielile de judecată

104 Întrucât, în privința părților din acțiunea principală, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a treia) declară:

1) Articolul 9 alineatul (2) litera (h) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că excepția prevăzută de această dispoziție este aplicabilă situațiilor în care un organism de control medical prelucrează date privind sănătatea unuia dintre angajații săi nu în calitate de angajator, ci de serviciu medical, sub rezerva ca prelucrarea respectivă să îndeplinească condițiile și garanțiile impuse în mod expres de această literă (h) și de alineatul (3) al articolului 9 menționat.
2) Articolul 9 alineatul (3) din Regulamentul 2016/679
trebuie interpretat în sensul că operatorul de date privind sănătatea, în temeiul articolului 9 alineatul (2) litera (h) din acest regulament, este obligat să garanteze că niciun coleg al persoanei vizate nu poate avea acces la datele referitoare la starea de sănătate a acesteia. Cu toate acestea, o asemenea obligație se poate impune operatorului unei astfel de prelucrări fie în temeiul unei reglementări adoptate de un stat membru potrivit articolului 9 alineatul (4) din regulamentul menționat, fie în temeiul principiilor integrității și confidențialității menționate la articolul 5 alineatul (1) litera (f) din același regulament și concretizate la articolul 32 alineatul (1) literele (a) și (b) din acesta.
3) Articolul 9 alineatul (2) litera (h) și articolul 6 alineatul (1) din Regulamentul 2016/679
trebuie interpretate în sensul că o prelucrare a datelor privind sănătatea întemeiată pe această primă dispoziție trebuie, pentru a fi legală, nu numai să respecte cerințele care decurg din aceasta, ci și să îndeplinească cel puțin una dintre condițiile de legalitate prevăzute la acest articol 6 alineatul (1).
4) Articolul 82 alineatul (1) din Regulamentul 2016/679
trebuie interpretat în sensul că dreptul la despăgubiri pentru prejudiciul suferit, prevăzut de această dispoziție, îndeplinește o funcție compensatorie, întrucât o despăgubire pecuniară întemeiată pe dispoziția menționată trebuie să permită compensarea integrală a prejudiciului concret suferit ca urmare a încălcării acestui regulament, iar nu o funcție disuasivă sau punitivă.
5) Articolul 82 din Regulamentul 2016/679
trebuie interpretat în sensul că, pe de o parte, angajarea răspunderii operatorului este condiționată de existența unei culpe a acestuia care este prezumată cu excepția cazului în care acesta din urmă dovedește că evenimentul care a provocat prejudiciul nu îi este nicidecum imputabil și, pe de altă parte, acest articol 82 nu impune ca gravitatea acestei culpe să fie luată în considerare la stabilirea cuantumului daunelor interese acordate ca despăgubiri pentru un prejudiciu moral în temeiul acestei dispoziții.
Semnături

# data[].attributes.attachment_link.description
HOTĂRÂREA CURȚII (Camera a treia) 21 decembrie 2023(*) „Trimitere preliminară - Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal - Regulamentul (UE) 2016/679 - Articolul 6 alineatul (1) - Condiții de legalitate a prelucrării - Articolul 9 alineatele (1)-(3) - Prelucrarea de categorii speciale de date

# data[].attributes.attachment_link.readable_text
Am asistat zeci de companii reprezentative din România să implementeze cerințele GDPR în domenii ca FMCG, comerț online, publicitate, media, real estate, financiar-bancar sau sănătate. Acum experiența noastră e la dispoziția celor care vor să învețe cum să aplice GDPR într-un mod practic și fără blocaje.

# data[].attributes.attachment_link.title
Cursuri GDPR susținute de avocați cu experiență în Data Privacy

# data[].attributes.attachment_link.description
Cursuri GDPR pentru companii sau pentru public, aplicate pe diverse domenii de activitate. Înscrie-te la cel care ți se potrivește.