Pagaidu versija
ĢENERĀLADVOKĀTA ŽANA RIŠĀRA DELATŪRA
[JEAN RICHARD DE LA TOUR]
SECINĀJUMI,
sniegti 2024. gada 25. janvārī (1)
Lieta C‑757/22
Meta Platforms Ireland Limited
pret
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(Bundesgerichtshof (Federālā augstākā tiesa, Vācija) lūgums sniegt prejudiciālu nolēmumu)
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 12. panta 1. punkta pirmais teikums – Informācijas pārredzamība – 13. panta 1. punkta c) un e) apakšpunkts – Pārziņa pienākums sniegt informāciju – 80. panta 2. punkts – Datu subjektu pārstāvība, ko veic patērētāju tiesību aizstāvības apvienība – Pārstāvības prasība, kas celta bez pilnvarojuma un nesaistīti ar kādu konkrētu datu subjekta tiesību pārkāpuma – Prasība, kas pamatota ar pārziņa pienākuma sniegt informāciju neizpildi – Jēdziens ““apstrādes rezultātā” noticis datu subjekta tiesību pārkāpums”
I. Tiesvedības priekšvēsture, pamatlietas fakti un jaunais prejudiciālais jautājums
1. Šajā lietā Bundesgerichtshof (Federālā augstākā tiesa, Vācija) vēlreiz uzdod prejudiciālu jautājumu par Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (2) 80. panta 2. punkta interpretāciju.
2. Saskaņā ar šo noteikumu dalībvalstis var paredzēt, ka jebkurai struktūrai, organizācijai vai apvienībai, neatkarīgi no datu subjekta dotā pilnvarojuma, ir tiesības minētajā dalībvalstī iesniegt sūdzību uzraudzības iestādei saskaņā ar minētās regulas 77. pantu un īstenot 78. un 79. pantā minētās tiesības, ja tā uzskata, ka datu subjekta personas datu apstrādes rezultātā ir pārkāptas minētajā regulā paredzētās šā datu subjekta tiesības.
3. Lūgums sniegt prejudiciālu nolēmumu tika iesniegts saistībā ar tiesvedību starp Meta Platforms Ireland Limited, iepriekš Facebook Ireland Limited, kura juridiskā adrese ir Īrijā, un Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Federālā patērētāju tiesību organizāciju un asociāciju apvienība, Vācija) (turpmāk tekstā – “Federālā apvienība”) saistībā ar Meta Platforms Ireland izdarītu iespējamu Vācijas tiesību aktu par personas datu aizsardzību pārkāpumu, kas vienlaikus ir negodīga komercprakse, patērētāju tiesību aizsardzības likuma pārkāpums un aizlieguma izmantot spēkā neesošus tipveida darījuma nosacījumus neievērošana.
4. Šis ir tas pats strīds, kas ir pamatā lietai, kuras rezultātā tika pasludināts 2022. gada 28. aprīļa spriedums lietā Meta Platforms Ireland (3), kura faktus var apkopot šādi (4).
5. Meta Platforms Ireland, kas pārvalda tiešsaistes sociālā tīkla Facebook pakalpojumu piedāvājumu Eiropas Savienībā, ir šā sociālā tīkla lietotāju personas datu pārzinis Savienībā. Vācijā reģistrētā Facebook Germany GmbH vietnē www.facebook.de reklamē reklāmas laukumus. Interneta platformā Facebook, konkrēti tīmekļvietnē www.facebook.de, atrodas tā sauktais “App‑Zentrum” (lietotņu centrs), kurā Meta Platforms Ireland saviem lietotājiem dara pieejamas trešo pakalpojumu sniedzēju piedāvātās bezmaksas spēles. Lietotņu centrā atverot kādas no šīm spēlēm, lietotājam parādās norāde, ka attiecīgās lietotnes izmantošanas gadījumā konkrēto spēli piedāvājošā sabiedrība var iegūt vairākus personas datus un šā lietotāja vārdā publicēt, piemēram, viņa iegūto punktu skaitu un citu informāciju. Šīs izmantošanas rezultātā minētais lietotājs piekrīt lietotnes tipveida darījuma nosacījumiem un politikai datu aizsardzības jomā. Kādas konkrētas spēles gadījumā tiek arī norādīts, ka lietotne drīkst šā lietotāja vārdā publicēt statusa ziņojumus, fotoattēlus un citu informāciju.
6. Federālā apvienība, struktūra, kurai ir locus standi saskaņā ar 2001. gada 26. novembra Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Likums par prasībām noteikt aizliegumus patērētāju tiesību pārkāpumiem un citiem pārkāpumiem) (5) 4. pantu, uzskata, ka lietotņu centrā attiecīgo spēļu sniegtās norādes ir negodīgas, tostarp tāpēc, ka netiek ievēroti likumiskie nosacījumi par derīgas lietotāja piekrišanas iegūšanu saskaņā ar datu aizsardzības tiesību normām. Turklāt tā uzskata, ka norāde par to, ka lietotne drīkst publicēt lietotāja vārdā kādu šā lietotāja personīgo informāciju, ir tipveida darījuma nosacījums, kas nepamatoti rada lietotājam nelabvēlīgāku situāciju.
7. Tāpēc Federālā apvienība pret Meta Platforms Ireland cēla prasību Landgericht Berlin (Berlīnes apgabaltiesa, Vācija) noteikt aizliegumu, pamatojoties uz 2004. gada 3. jūlija Gesetz gegen den unlauteren Wettbewerb (Likums par negodīgas konkurences novēršanu) (6) 3.a pantu un Likuma par prasībām noteikt aizliegumus 2. panta 2. punkta pirmā teikuma 11. apakšpunktu, kā arī Bürgerliches Gesetzbuch (Civilkodekss). Šī prasība tika celta nesaistīti ne ar vienu konkrētu datu subjekta datu aizsardzības tiesību pārkāpumu un bez šāda subjekta pilnvarojuma.
8. Landgericht Berlin (Berlīnes apgabaltiesa) apmierināja Federālās apvienības prasījumus pret Meta Platforms Ireland. Apelācijas sūdzība, ko Meta Platforms Ireland iesniedza Kammergericht Berlin (Berlīnes Augstākā tiesa, Vācija), tika noraidīta. Tad Meta Platforms Ireland par apelācijas instances tiesas noraidošo nolēmumu iesniedza revīzijas sūdzību iesniedzējtiesā.
9. Izskatot šo sūdzību, iesniedzējtiesa uzskatīja, ka Federālās apvienības prasība ir pamatota, jo Meta Platforms Ireland bija pārkāpusi Likuma par negodīgas konkurences novēršanu 3.a pantu, kā arī Likuma par prasībām noteikt aizliegumu 2. panta 2. punkta pirmā teikuma 11. apakšpunktu, un bija izmantojusi spēkā neesošu tipveida darījuma nosacījumu Likuma par prasībām noteikt aizliegumu 1. panta nozīmē.
10. Tomēr iesniedzējtiesa vēl šaubījās par Federālās apvienības prasības pieņemamību. Tā it īpaši vēlējās noskaidrot, vai Federālās apvienības locus standi var izrietēt no VDAR 80. panta 2. punkta. Tādēļ tā vērsās Tiesā ar prejudiciālu jautājumu, lai iegūtu šī noteikuma interpretāciju.
11. Atbildot uz šo jautājumu, Tiesa savā spriedumā lietā Meta Platforms Ireland norādīja, ka VDAR 80. panta 2. punkts ir jāinterpretē tādējādi, ka tam nav pretrunā valsts tiesiskais regulējums, kas ļauj patērētāju interešu aizstāvības apvienībai – nesaņēmušai tālab piešķirtu pilnvarojumu un nesaistīti ar kādu datu subjektu konkrētu tiesību pārkāpumu – celt prasību pret aizdomās turēto personas datu aizsardzības pārkāpuma izdarītāju, atsaucoties uz to, ka ir pārkāpts negodīgas komercprakses aizliegums, patērētāju tiesību aizsardzības likums vai aizliegums izmantot spēkā neesošus tipveida darījuma nosacījumus, ja vien attiecīgā datu apstrāde iespējami var skart tiesības, kas identificētām vai identificējamām fiziskām personām rodas no šīs regulas (7).
12. Tādējādi Tiesa precizēja VDAR 80. panta 2. punktā paredzētā pārstāvības prasības mehānisma materiālo apjomu pret iespējamo personas datu aizsardzības pārkāpuma izdarītāju.
13. Konkrēti, Tiesa uzskatīja, ka, lai šāda struktūra, kas atbilst VDAR 80. panta 1. punktā minētajiem nosacījumiem, varētu celt pārstāvības prasību, tai nevar prasīt iepriekš individuāli identificēt personu, kuru ir konkrēti skārusi šīs regulas noteikumiem iespējami pretrunā esošā apstrāde (8). Tāpēc šādas pārstāvības prasības celšanai var būt pietiekami arī ar norādi uz šādas apstrādes skarto personu kategoriju vai kopumu (9).
14. Tiesa arī nosprieda, ka saskaņā ar VDAR 80. panta 2. punktu pārstāvības prasības celšanas iespēja nav pakārtota arī nosacījumam par to, ka ir jābūt konkrēti pārkāptām tiesībām, kas personai rodas no noteikumiem datu aizsardzības jomā (10). Būtībā Tiesa atzina, ka pārstāvības prasības celšanas iespēja ir pakārtota vienīgi tam, ka attiecīgā struktūra “uzskata”, ka kāda datu subjekta personas datu apstrādes rezultātā ir pārkāptas šajā regulā paredzētās šā subjekta tiesības, un tātad apgalvo šīs regulas normām pretrunā esošas datu apstrādes esamību (11). No tā izriet – lai varētu atzīt šādas struktūras locus standi saskaņā ar VDAR 80. panta 2. punktu, pietiek vien apgalvot, ka attiecīgā datu apstrāde var iespējami skart tiesības, kas identificētām vai identificējamām fiziskām personām rodas no minētās regulas, bez vajadzības pierādīt datu subjekta tiesību aizskāruma rezultātā tam konkrētā situācijā faktiski nodarīto kaitējumu (12).
15. Kaut arī iesniedzējtiesa tādējādi jau ir saņēmusi norādes no Tiesas, lai varētu noteikt, vai Federālās apvienības celto prasību noteikt aizliegumu var uzskatīt par pieņemamu, ņemot vērā VDAR 80. panta 2. punktā paredzētos nosacījumus, tā tomēr uzskata, ka joprojām ir jānovērš šaubas par šī noteikuma interpretāciju. Proti, šī tiesa uzsver, ka Federālās apvienības locus standi ir atkarīgs no apstākļa, vai šī struktūra ar savu prasību minētās normas izpratnē izvirza apgalvojumu, ka datu subjekta tiesības saskaņā ar minēto regulu ir tikušas pārkāptas “apstrādes rezultātā”.
16. Iesniedzējtiesa uzskata, ka nav skaidrs, vai minētā prasība attiecībā uz VDAR 80. panta 2. punkta materiālo piemērošanas jomu ir izpildīta šīs lietas apstākļos.
17. Būtībā šī tiesa norāda, ka Federālā apvienība savas prasības pamatojumam atsaucas uz to, ka ir pārkāpts VDAR 12. panta 1. punkta pirmajā teikumā paredzētais informēšanas pienākums, kā arī minētās regulas 13. panta 1. punkta c) un e) apakšpunkts attiecībā uz datu apstrādes mērķi un personas datu saņēmēju. Pēc šīs tiesas domām, ir jānosaka, vai līdz ar to var uzskatīt, ka Federālā apvienība atsaucas uz tiesību pārkāpumu, kas radies “apstrādes rezultātā” minētās regulas 80. panta 2. punkta nozīmē.
18. Konkrētāk, iesniedzējtiesa, pirmkārt, uzskata, ka joprojām nav skaidrības par to, vai šajā gadījumā neizpildītais pienākums sniegt informāciju, kas izriet no VDAR 12. panta 1. punkta pirmā teikuma un 13. panta 1. punkta c) un e) apakšpunkta, ietilpst jēdzienā “apstrāde” minētās regulas 4. panta 2. punkta nozīmē un vai šis jēdziens ietver arī situācijas, kas ir bijušas pirms personas datu vākšanas uzsākšanas (13).
19. Otrkārt, šī tiesa uzskata, ka nav skaidri noteikts, vai tādā gadījumā, kāds ir pamatlietā, informācijas sniegšanas pienākuma neizpilde ir notikusi personas datu apstrādes “rezultātā” VDAR 80. panta 2. punkta nozīmē. Minētā tiesa šajā sakarā uzsver, ka formulējums “rezultātā” var likt domāt, ka struktūrai, kas ceļ pārstāvības prasību, lai šī prasība būtu pieņemama, ir jāatsaucas uz tādu datu subjekta šajā regulā paredzētu tiesību pārkāpumu, kas izriet no datu apstrādes darbības minētās regulas 4. panta 2. punkta nozīmē un tādējādi ir radies jau pēc attiecīgās darbības (14).
20. Šajos apstākļos Bundesgerichtshof (Federālā augstākā tiesa) nolēma vēlreiz apturēt tiesvedību un uzdot Tiesai šādu prejudiciālu jautājumu:
“Vai var atsaukties uz [datu subjekta] tiesību aizskārumu, kas radies “apstrādes rezultātā” VDAR 80. panta 2. punkta izpratnē, ja kāda patērētāju interešu aizstāvības apvienība savu prasību balsta uz to, ka datu subjekta tiesības ir pārkāptas, jo nav izpildīts pienākums sniegt informāciju par datu apstrādes nolūku un personas datu saņēmējiem, kā tas ir noteikts VDAR 12. panta 1. punkta pirmajā teikumā kopsakarā ar VDAR 13. panta 1. punkta c) un e) apakšpunktu?”
21. Rakstveida apsvērumus iesniedza Meta Platforms Ireland, Federālā apvienība, Vācijas un Portugāles valdības, kā arī Eiropas Komisija.
22. Mutvārdu paskaidrojumu uzklausīšana notika 2023. gada 23. novembrī, piedaloties Meta Platforms Ireland, Vācijas valdībai un Komisijai.
II. Izvērtējums
23. Kā esmu norādījis jau iepriekš, iesniedzējtiesai ir šaubas par to, vai šīs lietas apstākļos pārstāvības prasība, ko cēlusi Federālā apvienība, atbilst VDAR 80. panta 2. punkta nosacījumam, saskaņā ar kuru struktūra, kas ceļ šādu prasību, uzskata, ka minētajā regulā noteiktās datu subjekta tiesības ir pārkāptas personas datu “apstrādes rezultātā”.
24. Lai pilnībā izprastu kontekstu, kurā šī tiesa lūdz Tiesai papildu skaidrojumus par minētā noteikuma materiālo piemērošanas jomu, jāatgādina, ka savas prasības pamatojumam Federālā apvienība atsaucas uz to, ka nav izpildīts informācijas sniegšanas pienākums, kas uzlikts Meta Platforms Ireland attiecībā uz lietotāja piekrišanas viņa personas datu apstrādei mērķi un apjomu. Konkrētāk, strīda priekšmets ir spēļu ietveršana lietotņu centrā, kas izvietots Meta Platforms Ireland interneta platformā, un norāde par to, ka katra lietotne drīkst lietotāja vārdā publicēt noteiktu šā lietotāja personas informāciju. Federālā apvienība cēla šo prasību neatkarīgi no datu subjekta konkrēto tiesību pārkāpuma un bez šādas personas pilnvarojuma, un tas ir saskaņā ar minēto noteikumu, kā Tiesa to ir atzinusi savā spriedumā lietā Meta Platforms Ireland (15).
25. Viedokļu atšķirības jautājumā par to, vai Federālajai apvienībai ir locus standi saskaņā ar VDAR 80. panta 2. punktu, tagad attiecas uz iesniedzējtiesas konstatējumu, saskaņā ar kuru šīs struktūras celtā pārstāvības prasība neattiecas uz jautājumu par to, vai Meta Platforms Ireland pārkāpj lietotāja datu aizsardzības tiesības brīdī, kad lietotājs lietotņu centrā nospiež pogu “Spēlēt tagad” vai “Spēlēt spēles”, kad līdz ar to, iespējams, tiek uzsākta viņu personas datu apstrāde. Turklāt ir skaidrs, ka Federālās apvienības celtās prasības priekšmets vairs nav arī jautājums par to, vai darbības, kas pēc šādas pogas nospiešanas ar lietotāja personas datiem tiek veiktas ar automatizētiem līdzekļiem, ir pretrunā viņa datu aizsardzības tiesībām.
26. Īsumā, tiesvedība lielākoties koncentrējas uz jautājumu par to, vai ir pietiekami, ka šai apvienībai ir locus standi saskaņā ar VDAR 80. panta 2. punktu, ja tā atsaucas uz informācijas sniegšanas pienākuma neizpildi, nevēršoties pret pašu datu apstrādi, kas sākas pēc darbības, kas izpaužas kā pogas “Spēlēt tagad” vai “Spēlēt spēles” nospiešana, taču minētais noteikums prasa, ka datu subjekta tiesībām jābūt pārkāptām “apstrādes rezultātā”.
27. Šī iemesla dēļ iesniedzējtiesas jautājums konkrēti ir vērsts uz diviem elementiem, proti, pirmkārt, uz jēdziena “apstrāde” tvērumu un, otrkārt, uz šajā noteikumā iekļautās vārdkopas “apstrādes rezultātā” nozīmi.
28. Tādējādi šī tiesa jautā, vai pienākums kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, sniegt datu subjektam informāciju par personas datu apstrādes nolūku un šo datu saņēmēju, kas izriet no VDAR 12. panta 1. punkta pirmā teikuma un 13. panta 1. punkta c) un e) apakšpunkta, ietilpst jēdzienā “apstrāde” šīs regulas 4. panta 2. punkta nozīmē.
29. Minētās regulas 4. panta 2. punktā “apstrāde” ir definēta kā “jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana”.
30. No šīs tiesību normas, konkrēti – vārdkopas “jebkura [..] darbība” – formulējuma izriet, ka jēdzienu “apstrāde” Savienības likumdevējs ir vēlējies apveltīt ar plašu tvērumu. Šādu interpretāciju apstiprina apstāklis, ka šajā normā minēto darbību uzskaitījums – kā apliecina vārda “piemēram” lietojums – nav izsmeļošs (16). Kā uzskata Tiesa, tas atbilst mērķim nodrošināt efektivitāti VDAR 1. apsvērumā minētajām pamattiesībām uz fizisku personu aizsardzību attiecībā uz personas datu apstrādi, kas ir šīs regulas piemērošanas vadmotīvs (17).
31. Pamatojot tēzi, saskaņā ar kuru informācijas sniegšanas pienākums, kas izriet no VDAR 12. panta 1. punkta pirmā teikuma un 13. panta 1. punkta c) un e) apakšpunkta, var ietvert jēdzienu “apstrāde” minētās regulas 4. panta 2. punkta nozīmē, iesniedzējtiesa min Tiesas 2022. gada 24. februāra spriedumu lietā Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas nolūkos) (18).
32. Lietā, kurā pasludināts šis spriedums, Valsts ieņēmumu dienests (Latvija) pieprasa attiecīgajam saimnieciskās darbības subjektam atjaunot šīs administrācijas dienestu piekļuvi tā interneta portālā publicētajos sludinājumos norādīto transportlīdzekļu šasijas numuriem un pārdevēju tālruņa numuriem, kā arī sniegt informāciju par minētajā portālā publicētajiem sludinājumiem.
33. Tieši šajā kontekstā Tiesa atzina, ka ar šādu pieprasījumu, ar ko dalībvalsts nodokļu administrācija pieprasa saimnieciskās darbības subjektam sniegt un darīt pieejamus personas datus, kuri tam ir šai administrācijai jāiesniedz un jādara pieejami saskaņā ar attiecīgās dalībvalsts tiesību aktiem, tiek sākts minēto datu “vākšanas” process VDAR 4. panta 2. punkta nozīmē (19). Iesniedzējtiesa no tā secina, ka jēdziens “apstrāde” šīs normas nozīmē attiecas uz darbībām, kuras tikai “uzsāk” personas datu vākšanu, un līdz ar to – uz darbībām, kas notiek pirms darbības, kuru Savienības likumdevējs ir skaidri atzinis par apstrādes piemēru, un pielīdzina minēto situācijai pamatlietā.
34. Tomēr es uzskatu, ka šī situācija būtiski atšķiras no tās, kas bija pamatā 2022. gada 24. februāra spriedumam lietā Valsts ieņēmumu dienests (Personas datu apstrāde nodokļu administrēšanas nolūkos) (20). Faktiski šajā gadījumā runa nav par tādas darbības piesaistīšanu apstrādes procesam, kas ļauj to uzsākt, bet gan par saiknes noteikšanu starp informācijas sniegšanas pienākumu, piemēram, to, kas izriet no VDAR 12. panta 1. punkta pirmā teikuma un 13. panta 1. punkta c) un e) apakšpunkta, un konkrēto apstrādi.
35. Šajā sakarā es uzskatu, ka, lai cik plašs būtu jēdziena “apstrāde” tvērums VDAR 4. panta 2. punkta nozīmē, tas nevar attiekties uz minēto informācijas sniegšanas pienākumu. Būtībā šis pienākums neparedz nekādu tiešu vai netiešu darbību ar personas datiem. Minētais pienākums drīzāk ir nosacījums šo datu apstrādes likumībai.
36. Jāuzsver, ka šīs regulas 12. pantā ir noteikti vispārīgi datu pārziņa pienākumi attiecībā uz informācijas un saziņas pārredzamību, kā arī datu subjekta tiesību īstenošanas kārtību.
37. It īpaši minētās regulas 12. panta 1. punkta pirmajā teikumā ir paredzēts, ka “pārzinis veic atbilstošus pasākumus, lai kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, datu subjektam sniegtu visu 13. un 14. pantā minēto informāciju un nodrošinātu visu 15.–22. pantā un 34. pantā minēto saziņu attiecībā uz apstrādi, jo īpaši attiecībā uz visu informāciju, kas konkrēti paredzēta bērnam.”
38. VDAR 13. panta “Informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta” 1. punkta c) un e) apakšpunktā ir noteikts šādi:
“Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:
[..]
c) apstrādes nolūki, kam paredzēti personas dati, kā arī apstrādes juridiskais pamats;
[..]
e) personas datu saņēmēji vai saņēmēju kategorijas, ja tādi ir [..].”
39. Jāatgādina, ka VDAR 6. panta 1. punkta pirmajā daļā ir paredzēts izsmeļošs un ierobežojošs to gadījumu uzskaitījums, kuros personas datu apstrādi var uzskatīt par likumīgu. Tādējādi, lai apstrādes darbība tiktu uzskatīta par likumīgu, tai ir jāiekļaujas kādā no minētajā noteikumā paredzētajiem gadījumiem (21).
40. Saskaņā ar šīs regulas 6. panta 1. punkta pirmās daļas a) apakšpunktu personas datu apstrāde ir likumīga, ja un ciktāl datu subjekts ir devis piekrišanu savu datu apstrādei vienam vai vairākiem konkrētiem nolūkiem (22).
41. Ja šādas piekrišanas nav vai ja piekrišana nav dota brīvi, konkrēti, apzināti un viennozīmīgi VDAR 4. panta 11. punkta izpratnē, un ja šāda apstrāde neatbilst kādai no nepieciešamības prasībām, kas minētas šīs regulas 6. panta 1. punkta pirmās daļas b)–f) apakšpunktā, minētā apstrāde ir nelikumīga (23).
42. Attiecībā uz prasību, kas izriet no VDAR 4. panta 11. punkta, saskaņā ar kuru piekrišanai ir jābūt “apzinātai”, šī prasība atbilstoši minētās regulas 13. pantam, aplūkojot to 42. apsvēruma gaismā, nozīmē, ka datu pārzinim ir jāsniedz datu subjektam informācija par visiem ar datu apstrādi saistītajiem apstākļiem saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, un šim datu subjektam it īpaši jābūt zināmam apstrādājamo datu veidam, datu pārziņa personas datiem, šīs apstrādes ilgumam un noteikumiem, kā arī nolūkiem, kuriem tā ir paredzēta. Šādai informācijai ir jāļauj minētajam subjektam viegli apzināties viņa iespējami sniegtas piekrišanas sekas un jāgarantē, ka šī piekrišana tiek dota, pilnībā apzinoties visus apstākļus (24).
43. Tomēr vēlos atzīmēt – kā norāda iesniedzējtiesa (25), ka Federālā apvienība apstrīd to lietotņu centrā ietverto norāžu noformējumu, kas atveras, nospiežot pogu “Spēlēt tagad”, pamatojoties uz to, ka tās ir negodīgas, jo īpaši ņemot vērā to likuma normu neievērošanu, kas attiecas uz personas datu aizsardzības normatīvajos aktos noteikto prasību saņemt spēkā esošu lietotāja piekrišanu.
44. Citiem vārdiem, Federālās apvienības prasības pamatā ir apstāklis, ka, ņemot vērā šīs struktūras atsauces uz lietotņu centra kļūdaino noformējumu, datu subjekts, visticamāk, nospiedīs pogu “Spēlēt tagad”, neiegūstot nepieciešamo informāciju, kas viņam ļautu viegli aptvert sekas, kādas būs piekrišanai, kuru viņš var dot savu personas datu apstrādei pēc šīs pogas nospiešanas, un nenodrošinot, ka šī piekrišana tiek sniegta, pilnībā apzinoties situāciju.
45. Ņemot vērā šos apstākļus, es uzskatu, ka Federālā apvienība, ceļot savu prasību un saskaņā ar VDAR 80. panta 2. punktā noteikto, apgalvo, ka “apstrādes rezultātā [ir] pārkāptas datu subjekta tiesības saskaņā ar šo regulu”.
46. Būtībā, no vienas puses, gan VDAR 12. pants, gan 13. pants ietilpst šīs regulas III nodaļā “Datu subjekta tiesības”. Ņemot vērā pārzinim saskaņā ar šiem pantiem noteikto informācijas sniegšanas pienākumu, datu subjektu attiecīgās tiesības pieder pie tām, kuras paredzēts aizsargāt ar minētās regulas 80. panta 2. punktā noteikto pārstāvības prasību.
47. No otras puses, iespējamais pārkāpums attiecībā uz datu subjektu tiesībām būt pietiekami informētiem par visiem apstākļiem, kas saistīti ar personas datu apstrādi, jo īpaši par tās nolūkiem un datu saņēmēju, var radīt šķēršļus “apzinātas” piekrišanas došanai VDAR 4. panta 11. punkta nozīmē, un tas var padarīt šo apstrādi nelikumīgu.
48. Tālab, lai varētu celt pārstāvības prasību saskaņā ar minētās regulas 80. panta 2. punktu, pietiek ar to, ka struktūra atsaucas uz to, ka nav izpildīts informācijas sniegšanas pienākums, kas uzlikts pārzinim, konkretizējot attiecīgo apstrādi, kas šajā gadījumā sākas tad, kad lietotājs nospiež pogu “Spēlēt tagad”. Tai ir jābūt datu apstrādei, kas var ietekmēt identificētu vai identificējamu fizisko personu tiesības, kuras izriet no minētās regulas (26), un tas nozīmē, ka šādai apstrādei ir jāpastāv un tāpēc tā nedrīkst būt tikai hipotētiska.
49. Turklāt, manuprāt, nav nozīmes tam, vai šī struktūra atsaucas uz tādu šā pienākuma neizpildi, kas ir notikusi pirms personas datu apstrādes. Tā tas ir gadījumā, kad runa ir par informācijas sniegšanas pienākumu, kas ir jāizpilda vēlākais datu vākšanas laikā, kā noteikts VDAR 13. panta 1. punktā.
50. Tādējādi minētās regulas 80. panta 2. punktā izmantotā vārdkopa “apstrādes rezultātā” nekādā gadījumā nenozīmē, ka tiesībām, kuru pārkāpuma konstatēšanai ir paredzēta šajā pantā minētā prasība, noteikti jāattiecas uz laikposmu pēc darbības, kas ir “apstrāde” VDAR 4. panta 2. punkta nozīmē. Citiem vārdiem, šajā vārdkopā nevajadzētu saskatīt nekādas prasības attiecībā uz secību laikā, kas nozīmētu, ka VDAR paredzēto datu subjekta tiesību pārkāpumam jānotiek laikā pēc minētās apstrādes.
51. Drīzāk svarīgi ir tas, ka pastāv saikne starp attiecīgo tiesību ievērošanu un attiecīgo apstrādi. Tā ir gadījumā, kad šo tiesību pārkāpuma rezultātā datu apstrāde kļūst nelikumīga. Apstrādes nelikumība izriet no informācijas sniegšanas pienākuma neizpildes. Tie abi nav nodalāmi viens no otra.
52. No tā izriet, ka prasība, saskaņā ar kuru struktūra var celt pārstāvības prasību atbilstīgi VDAR 80. panta 2. punktam, ja tā uzskata, ka “apstrādes rezultātā” ir pārkāptas minētajā regulā paredzētās datu subjekta tiesības, manuprāt, neparedz, ka šai struktūrai jāatsaucas uz šo tiesību pārkāpumu, kas izriet no datu apstrādes darbības VDAR 4. panta 2. punkta nozīmē un tādējādi ir noticis laika ziņā pēc attiecīgās darbības. Pietiek ar to, ka tiek norādīta saikne starp personas datu apstrādi un VDAR aizsargāto tiesību pārkāpumu.
53. Tāpēc šajā gadījumā nav nozīmes tam, vai Federālā apvienība atsaucas uz informācijas sniegšanas pienākuma neizpildi neatkarīgi no tā, vai datu subjekts lietotņu centrā nospiež pogu “Spēlēt tagad”, jo šādam pienākumam, ciktāl tas var ietekmēt apstrādes, kura izriet no šīs pogas nospiešanas, likumības nosacījumus, nenoliedzami ir saikne ar šo apstrādi.
54. Šāda interpretācija atbilst ne tikai VDAR 80. panta 2. punktā paredzētajai pārstāvības prasības preventīvajai funkcijai (27), bet arī – tā kā tā veicina datu subjektu tiesību nostiprināšanu (28) – šīs regulas mērķim, kas izriet no tās 10. apsvēruma un kas paredz Savienībā nodrošināt fizisko personu pamattiesību un pamatbrīvību augstu aizsardzības līmeni attiecībā uz personas datu apstrādi (29).
55. Jāpiebilst, ka, manuprāt, nav konsekventi izmantot minētās regulas 80. panta 2. punkta materiālo piemērošanas jomu ierobežojošu interpretāciju, ja VDAR 79. panta 1. punktā līdzīgā veidā ir paredzētas katra datu subjekta tiesības uz efektīvu tiesiskās aizsardzības līdzekli un ja nav nekāda iemesla izslēgt no šāda tiesiskās aizsardzības līdzekļa materiālās piemērošanas jomas tiesības, kuras izriet no pienākuma sniegt informāciju, kas paredzēts minētās regulas 12. panta 1. punkta pirmajā teikumā, lasot to saistībā ar VDAR 13. panta 1. punkta c) un e) apakšpunktu.
56. Līdz ar to uzskatu, ka VDAR 80. panta 2. punkts ir jāinterpretē tādējādi, ka nosacījums – saskaņā ar kuru pilnvarotajai struktūrai, lai tā varētu celt pārstāvības prasību saskaņā ar šo noteikumu, ir jāapgalvo, ka tā uzskata, ka apstrādes rezultātā ir pārkāptas šajā regulā paredzētās datu subjekta tiesības – prasa, ka minētajai struktūrai ir jāapgalvo personas datu apstrādes esamība, kā arī saikne starp minēto tiesību pārkāpumu un attiecīgo apstrādi. Minētais nosacījums ir izpildīts, ja šī prasība saistībā ar personas datu apstrādi tiek pamatota ar to, ka pārzinis nav izpildījis informācijas sniegšanas pienākumu, kas paredzēts šīs pašas 12. panta 1. punkta pirmajā teikumā, lasot to saistībā ar tās pašas regulas 13. panta 1. punkta c) un e) apakšpunktu, jo šāda neizpilde var padarīt minēto apstrādi nelikumīgu.
III. Secinājums
57. Ņemot vērā visus iepriekš minētos apsvērumus, ierosinu Tiesai uz Bundesgerichtshof (Federālā augstākā tiesa, Vācija) uzdoto prejudiciālo jautājumu atbildēt šādi:
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 80. panta 2. punkts
ir jāinterpretē tādējādi, ka
nosacījums – saskaņā ar kuru pilnvarotajai struktūrai, lai tā varētu celt pārstāvības prasību saskaņā ar šo noteikumu, ir jāapgalvo, ka tā uzskata, ka apstrādes rezultātā ir pārkāptas šajā regulā paredzētās datu subjekta tiesības, – prasa, ka minētajai struktūrai ir jāapgalvo personas datu apstrādes esamība, kā arī saikne starp minēto tiesību pārkāpumu un šo apstrādi. Minētais nosacījums ir izpildīts, ja šī prasība saistībā ar personas datu apstrādi tiek pamatota ar to, ka pārzinis nav izpildījis informācijas sniegšanas pienākumu, kas paredzēts šīs pašas regulas 12. panta 1. punkta pirmajā teikumā, lasot to saistībā ar tās 13. panta 1. punkta c) un e) apakšpunktu, jo šāda neizpilde var padarīt minēto apstrādi nelikumīgu.