CONCLUZIILE AVOCATULUI GENERAL
DOMNUL GIOVANNI PITRUZZELLA
prezentate la 9 iunie 2022(1)
Cauza C‑154/21
RW
împotriva
Österreichische Post AG
[cerere de decizie preliminară formulată de Oberster Gerichtshof (Curtea Supremă, Austria)]
„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 15 alineatul (1) litera (c) – Dreptul de acces al persoanei vizate – Informații cu privire la destinatarul concret sau la categoriile de destinatari cărora datele le‑au fost divulgate”
1. Atunci când o persoană ale cărei date cu caracter personal fac obiectul prelucrării intenționează să obțină de la operator informații privind terții cărora astfel de date le sunt divulgate, dreptul său de acces implică în mod necesar ca ea să primească informații privind destinatarii concreți ai divulgărilor având ca obiect datele sale cu caracter personal sau operatorul se poate limita la a furniza indicații doar cu privire la categoriile de destinatari ai unor asemenea divulgări?
2. Aceasta este în esență întrebarea adresată Curții în prezenta trimitere preliminară, efectuată de Oberster Gerichtshof (Curtea Supremă, Austria), instanța de trimitere, având ca obiect interpretarea articolului 15 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)(2) (denumit în continuare „RGPD”).
3. Întrebarea adresată de instanța de trimitere a fost formulată în cadrul unui litigiu între RW, persoană fizică, pe de o parte, și Österreichische Post, principalul operator de servicii poștale și logistice din Austria, pe de altă parte, care, în urma formulării de către RW a unei cereri de acces la datele sale cu caracter personal, nu i‑a comunicat acestuia informații cu privire la destinatarii concreți ai divulgărilor având ca obiect datele sale cu caracter personal.
I. Cadrul juridic
4. Articolul 15 din RGPD, intitulat „Dreptul de acces al persoanei vizate”, prevede la alineatul (1) litera (c):
„(1) Persoana vizată are dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:
[…]
(c) destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale;
[…]”
II. Situația de fapt, procedura principală și întrebarea preliminară
5. La 15 ianuarie 2019, RW, recurent în fața instanței de trimitere, a solicitat Österreichische Post, în temeiul articolului 15 din RGPD printre altele acces la datele cu caracter personal pe care Österreichische Post le păstrează sau le‑a păstrat în trecut în privința sa, precum și, în cazul divulgării acestor date către terți, la informații privind identitatea destinatarilor unor astfel de divulgări.
6. În scrisoarea de răspuns, Österreichische Post a comunicat că, în măsura autorizată de lege, utiliza date în cadrul activității sale de editare de anuare telefonice și le oferea clienților comerciali, în scopuri de marketing. Pe de altă parte, ea a făcut trimitere la un site internet din care se deduceau informații generale cu privire la finalitatea prelucrării datelor referitoare la RW și care făcea trimitere la un alt site internet. Acest al doilea site internet conținea, la rândul său, informații generale privind protecția datelor și permitea de asemenea determinarea în general a anumitor categorii de destinatari cărora Österreichische Post le divulga datele cu caracter personal. Totuși, Österreichische Post nu i‑a furnizat lui RW în niciun moment informații cu privire la destinatarii concreți ai divulgărilor având ca obiect datele sale.
7. RW a introdus o acțiune în justiție prin care a solicitat obligarea Österreichische Post să îi furnizeze, în conformitate cu articolul 15 din RGPD, mai multe informații cu privire la eventuale transferuri către terți ale datelor sale cu caracter personal, precum și, în cazul în care astfel de transferuri au avut loc efectiv, cu privire la destinatarul sau destinatarii concreți cărora datele sale cu caracter personal le‑au fost sau urmează să le fie divulgate. RW susține că informațiile furnizate de Österreichische Post nu sunt conforme cu cerințele legale prevăzute la articolul 15 din RGPD, întrucât din acestea nu reiese dacă Österreichische Post a transmis sau nu către terți datele sale cu caracter personal și, în cazul în care a avut loc în mod efectiv o transmitere, nu reiese cine erau destinatarii concreți ai divulgărilor respective.
8. Instanța de prim grad de jurisdicție și instanța de apel au respins cererea formulată de RW, reținând în esență că, întrucât articolul 15 alineatul (1) litera (c) din RGPD face referire la destinatari sau la categorii de destinatari, dispoziția menționată ar acorda operatorului posibilitatea de a alege să se limiteze la a comunica persoanei vizate categoriile de destinatari, fără a trebui să indice nominal destinatarii concreți ai divulgărilor având ca obiect datele cu caracter personal ale acesteia.
9. RW și‑a menținut cererile în cadrul recursului introdus la instanța de trimitere.
10. În cursul procedurii în fața instanței de trimitere, Österreichische Post l‑a informat pe RW că datele sale fuseseră prelucrate în scopuri de marketing în cadrul activității sale de editare de anuare telefonice și că acestea fuseseră transmise unor clienți comerciali, printre care se numărau întreprinderi de publicitate din sectorul vânzării prin corespondență și din sectorul comerțului tradițional, întreprinderi din sectorul tehnologiei informației, editori de anuare telefonice și asociații precum organizații de binefacere, organizații neguvernamentale sau partide politice. Totuși, ea nu a furnizat informații cu privire la destinatarii concreți ai divulgărilor având ca obiect datele referitoare la RW.
11. În aceste condiții, instanța de trimitere are îndoieli cu privire la interpretarea articolului 15 din RGPD adoptată de instanțele de fond și, prin urmare, a decis să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:
„Articolul 15 alineatul (1) litera (c) din [RGPD] trebuie interpretat în sensul că dreptul de acces se limitează la informarea asupra categoriilor de destinatari atunci când destinatarii concreți nu sunt cunoscuți încă, în contextul divulgărilor preconizate, dar că acesta trebuie să se extindă în mod necesar și la informarea privind destinatarii acestor informații atunci când datele au fost deja divulgate?”
III. Analiză juridică
12. Prin intermediul întrebării preliminare, instanța de trimitere solicită Curții să se pronunțe cu privire la interpretarea articolului 15 alineatul (1) litera (c) din RGPD, în ceea ce privește conținutul dreptului persoanei vizate, prevăzut la acest articol, de a obține de la operator informații cu privire la destinatarii sau la categoriile de destinatari cărora datele sale cu caracter personal le‑au fost sau urmează să le fie divulgate.
13. Instanța de trimitere ridică problema dacă dispoziția menționată trebuie interpretată în sensul conform căruia conținutul dreptului de acces al persoanei vizate, amintit mai sus, trebuie diferențiat în funcție de împrejurarea dacă datele au fost deja divulgate – caz în care acest drept ar trebui să se extindă la informarea privind destinatarii concreți ai divulgărilor respective – sau dacă destinatarii concreți ai unor divulgări viitoare nu sunt încă cunoscuți – caz în care acest drept ar trebui considerat ca fiind limitat la informații referitoare la categorii de destinatari.
14. În această privință, trebuie arătat mai întâi că articolul 15 din RGPD reglementează dreptul persoanei vizate, în raport cu operatorul, de a avea acces la datele cu caracter personal care o privesc și care fac obiectul unei prelucrări, precum și la o întreagă serie de informații referitoare în special la prelucrarea în sine. Această dispoziție concretizează și precizează dreptul oricărei persoane de a avea acces la datele care o privesc, consacrat la articolul 8 alineatul (2) a doua teză din Carta drepturilor fundamentale a Uniunii Europene(3).
15. Mai precis, potrivit alineatului (1) al articolului 15 din GDPR, persoana vizată are, în primul rând, dreptul de a obține din partea operatorului confirmarea existenței sau a inexistenței unei prelucrări a datelor cu caracter personal care o privesc. În cazul în care există o prelucrare, persoana vizată are dreptul de acces la datele cu caracter personal care fac obiectul prelucrării, precum și la diverse informații suplimentare, enumerate la literele (a)-(h) ale acestei dispoziții. În acest context, potrivit articolului 15 alineatul (1) litera (c) din GDPR, persoana vizată are dreptul de acces la informațiile referitoare la „destinatarii sau categoriile de destinatari cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate, în special destinatari din țări terțe sau organizații internaționale”.
16. Întrebarea preliminară adresată de instanța de trimitere presupune interpretarea dispozițiilor articolului 15 alineatul (1) litera (c) din RGPD pentru a stabili conținutul exact al dreptului persoanei vizate, prevăzut la acest articol, de a obține informații cu privire la destinatarii divulgărilor având ca obiect datele sale cu caracter personal.
17. În această privință, trebuie amintit că dintr‑o jurisprudență constantă reiese că interpretarea unei dispoziții de drept al Uniunii impune să se țină seama nu numai de termenii săi, ci și de contextul în care se înscrie, precum și de obiectivele și de finalitatea urmărite de actul din care aceasta face parte(4).
18. În plus, întrucât dispozițiile RGPD reglementează prelucrarea unor date cu caracter personal care pot aduce atingere libertăților fundamentale și în special dreptului la respectarea vieții private, acestea trebuie interpretate în mod necesar în lumina drepturilor fundamentale garantate de cartă(5).
19. Pe de altă parte, dintr‑o jurisprudență constantă reiese că, în cazul în care o prevedere din dreptul Uniunii poate primi mai multe interpretări, trebuie să se acorde prioritate celei care este de natură să îi păstreze efectul util(6).
20. În ceea ce privește, în primul rând, modul de redactare a dispoziției în discuție, după cum au arătat instanța de trimitere însăși, precum și diverse părți care au intervenit în fața Curții, textul dispoziției cuprinse la articolul 15 alineatul (1) litera (c) din RGPD nu permite oferirea unui răspuns definitiv la problema dacă trebuie să se considere în mod necesar că dreptul de acces al persoanei vizate prevăzut la acest articol include accesul la informații referitoare la destinatari concreți ai divulgărilor care au ca obiect date cu caracter personal care o privesc sau poate fi limitat doar la accesul la informații referitoare la categorii de destinatari. Astfel, în cuprinsul acestei dispoziții, termenii „destinatari” și „categorii de destinatari” sunt utilizați succesiv, în mod neutru, fără a se putea deduce o ordine de prioritate între ei. Dispoziția menționată nu precizează în mod explicit nici dacă este posibilă efectuarea unei alegeri între cele două categorii de informații posibile prevăzute (și anume „destinatarii” sau „categoriile de destinatari”), nici cui (adică persoanei vizate sau operatorului) îi revine, dacă este cazul, alegerea tipului de informații la care trebuie să se asigure accesul.
21. Totuși, astfel cum arată tot instanța de trimitere, însăși economia articolului 15 alineatul (1) din RGPD conduce, în opinia noastră, la privilegierea unei interpretări a dispoziției în discuție în sensul că alegerea între cele două opțiuni prevăzute la acest articol revine persoanei vizate (și, așadar, nu operatorului, așa cum au statuat în speță cele două instanțe naționale de fond). Spre deosebire de alte dispoziții din RGPD, precum articolele 13 și 14(7), care sunt structurate în sensul că prevăd o obligație de informare în sarcina operatorului, dispoziția în discuție prevede un veritabil drept de acces în favoarea persoanei vizate. Exercitarea de către persoana vizată a dreptului de acces menționat presupune în mod logic ca titularului acestui drept să i se dea posibilitatea de a alege să obțină accesul la informațiile privind, în măsura în care este posibil, destinatarii concreți cărora datele cu caracter personal le‑au fost sau urmează să le fie divulgate sau, alternativ, să se limiteze la a solicita informații privind categoriile de destinatari.
22. O interpretare a dispoziției cuprinse la articolul 15 alineatul (1) litera (c) din RGPD în sensul că prevede dreptul persoanei vizate de a solicita, în măsura în care este posibil, accesul la informațiile referitoare la destinatarii concreți ai divulgărilor având ca obiect datele sale cu caracter personal este, de altfel, confirmată de o analiză atât a contextului în care aceasta se înscrie, cât și a finalității dispoziției înseși în lumina obiectivelor și a economiei generale ale RGPD.
23. În această privință, arătăm, în primul rând, că în considerentul (63) al RGPD se menționează în mod explicit că persoana vizată trebuie „să aibă dreptul de a cunoaște și de a i se comunica […] destinatarii datelor cu caracter personal”. Considerentul amintit, în lumina căruia trebuie interpretată dispoziția în discuție, se referă la dreptul persoanei vizate de a avea acces la informații privind destinatarii concreți ai divulgărilor având ca obiect datele sale cu caracter personal și nu menționează nicidecum că acest drept ar putea fi limitat, la discreția operatorului, la simple categorii de destinatari.
24. În plus, din jurisprudență decurge în mod explicit că RGPD urmărește în special, după cum reiese din considerentul (10) al acestuia, să asigure un nivel ridicat de protecție a persoanelor fizice în cadrul Uniunii și, în acest scop, să asigure aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale acestor persoane în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune(8).
25. În acest scop, orice prelucrare de date cu caracter personal trebuie să respecte principiile enunțate la articolul 5 din regulamentul menționat(9). Din articolul 5 alineatul (1) litera (a) din RGPD reiese în special că este necesar ca datele cu caracter personal să fie prelucrate în mod transparent față de persoana vizată(10). În acest context, articolul 15 din RGPD, care reglementează dreptul de acces al persoanei vizate, constituie o dispoziție fundamentală pentru a garanta că modalitățile prin care sunt prelucrate datele sunt transparente pentru persoanele vizate.
26. Astfel cum reiese din considerentul (63) al RGPD(11), dreptul de acces menționat are ca obiectiv, în primul rând, să permită persoanei vizate să fie informată cu privire la prelucrarea datelor sale și să verifice legalitatea acesteia(12). Exercitarea acestui drept de acces trebuie în special să permită persoanei interesate să verifice nu numai dacă datele care o privesc sunt exacte, ci și dacă acestea au fost divulgate unor destinatari autorizați(13). Aceasta presupune, în principiu, ca informațiile furnizate să fie cât mai precise posibil.
27. În acest context, suntem de acord cu Comisia că negarea faptului că dreptul de acces al persoanei vizate prevăzut la articolul 15 alineatul (1) litera (c) din RGPD cuprinde destinatarii concreți, limitând acest drept la simple categorii de destinatari, ar echivala cu îngrădirea posibilității persoanei vizate de a verifica integral legalitatea prelucrării efectuate de operator și în special de a verifica legalitatea divulgărilor de date deja efectuate. O asemenea interpretare a dispoziției în cauză nu i‑ar permite persoanei vizate să verifice dacă datele sale au fost transmise numai unor destinatari autorizați, contrar cerințelor menționate la punctul precedent.
28. În al doilea rând și în ceea ce privește primul obiectiv, acest drept de acces este necesar, după cum, de altfel, Curtea a arătat deja, pentru a‑i permite persoanei vizate să își exercite dreptul de rectificare, dreptul de ștergere („dreptul de a fi uitat”) și dreptul de restricționare a prelucrării care îi sunt conferite la articolele 16, 17 și, respectiv, 18 din RGPD(14). Curtea a precizat de asemenea că dreptul de acces este necesar și pentru a‑i permite persoanei vizate să exercite dreptul de opoziție la prelucrarea datelor sale cu caracter personal prevăzut la articolul 21 din RGPD sau dreptul la o cale de atac în cazul în care suferă un prejudiciu și dreptul să obțină despăgubiri, în temeiul articolelor 79 și 82 din RGPD(15).
29. O interpretare a dispoziției în discuție prin care se refuză posibilitatea persoanei vizate de a obține informații cu privire la destinatarii concreți ai divulgărilor având ca obiect datele sale cu caracter personal ar avea drept consecință că, atunci când identitatea acestora nu este cunoscută, persoana vizată nu ar fi în măsură să își exercite în privința lor drepturile pe care i le conferă dispozițiile menționate ale RGPD sau ar putea să le exercite doar cu un efort disproporționat(16). Așadar, o asemenea interpretare ar lipsi de efect util, în astfel de situații, dispozițiile menționate și drepturile pe care acestea le conferă.
30. Din punct de vedere contextual, interpretarea menționată a articolului 15 alineatul (1) litera (c) din RGPD este, de altfel, confirmată și de dispoziția cuprinsă la articolul 19 din același regulament. Această dispoziție prevede că „[o]peratorul comunică fiecărui destinatar căruia i‑au fost divulgate datele cu caracter personal orice rectificare sau ștergere a datelor cu caracter personal sau restricționare a prelucrării efectuate în conformitate cu articolul 16, articolul 17 alineatul (1) și articolul 18, cu excepția cazului în care acest lucru se dovedește imposibil sau presupune eforturi disproporționate”.
31. Articolul 19 din RGPD obligă, așadar, operatorul să informeze toți destinatarii cărora le‑a transmis date cu caracter personal cu privire la orice cerere de rectificare, de ștergere sau de restricționare a prelucrării unor asemenea date căreia trebuie să îi dea curs. Prin urmare, destinatarii astfel informați sunt obligați să efectueze imediat rectificarea, ștergerea sau restricționarea prelucrării, în măsura în care prelucrează în continuare datele în discuție. În contextul realizării obiectivului de a asigura un nivel ridicat de protecție, menționat la punctul 24 de mai sus, articolul 19 din RGPD urmărește, în acest sens, să elibereze persoana vizată – după ce a solicitat informații în temeiul articolului 15 alineatul (1) litera (c) din RGPD – de sarcina de a transmite destinatarilor în cauză cereri corespunzătoare suplimentare de rectificare, de ștergere sau de restricționare a prelucrării. Totuși, persoanei vizate trebuie să i se dea posibilitatea să verifice dacă, în urma notificării de către operator, rectificarea, ștergerea sau restricționarea prelucrării a fost efectuată în realitate. Din această perspectivă, articolul 19 din RGPD prevede, așadar, că operatorul trebuie să informeze persoana vizată cu privire la destinatarii respectivi, dacă persoana vizată solicită acest lucru.
32. Dispozițiile articolului 19 din RGPD confirmă că, pentru a garanta efectul util al drepturilor persoanei vizate la ștergere, la rectificare sau la restricționarea prelucrării, prevăzute la articolele 16, 17 și 18 din RGPD, aceasta trebuie să dispună, în principiu, de dreptul de a fi informată cu privire la identitatea destinatarilor concreți, în cazul în care datele sale cu caracter personal au fost deja divulgate. Astfel, numai în acest mod, persoana vizată își poate valorifica drepturile față de aceștia.
33. Din considerațiile care precedă reiese că dreptul de acces prevăzut la articolul 15 alineatul (1) litera (c) din RGPD îndeplinește un rol funcțional și instrumental în raport cu exercitarea altor prerogative ale persoanei vizate, prevăzute de RGPD. Rezultă că, pentru a asigura efectul util al ansamblului dispozițiilor menționate anterior ale RGPD, dispoziția respectivă trebuie interpretată în sensul că dreptul de acces pe care aceasta îl prevede trebuie, în principiu, să privească în mod necesar posibilitatea de a obține de la operator informații referitoare la destinatarii concreți ai divulgărilor având ca obiect datele cu caracter personal ale persoanei vizate.
34. Extinderea dreptului de acces prevăzut la articolul 15 alineatul (1) litera (c) din RGPD la informarea privind destinatarii concreți ai divulgărilor menționate este totuși limitată, în opinia noastră, cel puțin în două cazuri.
35. În primul rând, în cazul în care este imposibil din punct de vedere material să se furnizeze informații cu privire la destinatarii concreți, de exemplu pentru că aceștia nu sunt încă cunoscuți efectiv, operatorului nu i se poate impune, în mod evident, să comunice informații care nu există încă. Prin urmare, în această ipoteză, menționată explicit în întrebarea preliminară, dreptul de acces al persoanei vizate va putea privi doar categoriile de destinatari.
36. În al doilea rând, astfel cum a arătat guvernul italian, exercitarea dreptului de acces al persoanei interesate și îndeplinirea obligației corelative care îi revine operatorului trebuie analizate în lumina principiilor corectitudinii și proporționalității.
37. În această privință, trebuie amintit că, după cum reiese din jurisprudența Curții, drepturile consacrate la articolele 7 și 8 din cartă nu sunt prerogative absolute, ci trebuie să fie luate în considerare în raport cu funcția lor în societate(17).
38. În acest context, primo, din articolul 12 alineatul (5), care se aplică în mod expres și dispoziției care face obiectul întrebării preliminare, reiese în mod explicit că cererile persoanei vizate nu trebuie să fie vădit nefondate sau excesive și că, dacă aceasta este situația, operatorul poate chiar să refuze să dea curs cererii. De altfel, din aceeași dispoziție reiese că acestuia din urmă „îi revine sarcina de a demonstra caracterul vădit nefondat sau excesiv al cererii”.
39. Secundo, Curtea însăși a avut deja ocazia să precizeze că este necesar să se găsească un echilibru just între, pe de o parte, interesul persoanei în privința protecției vieții sale private, în special prin intermediul drepturilor consacrate în capitolul III din RGPD și al căilor de intervenție și de atac, și, pe de altă parte, sarcinile care îi revin operatorului(18). Un asemenea echilibru just este preconizat în favoarea unei atenții sporite față de protecția datelor cu caracter personal și a vieții private ale persoanei vizate, astfel cum este explicitat de necesitatea dovedirii caracterului vădit nefondat sau excesiv al cererii de acces a persoanei vizate pentru ca aceasta să poată fi considerată neîndeplinită.
IV. Concluzie
40. Având în vedere ansamblul considerațiilor care precedă, propunem Curții să răspundă la întrebarea preliminară adresată de Oberster Gerichtshof (Curtea Supremă, Austria) după cum urmează:
„Articolul 15 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că dreptul de acces al persoanei vizate prevăzut la acest articol trebuie să se extindă în mod necesar, dacă persoana vizată solicită acest lucru, la indicarea destinatarilor concreți ai divulgărilor având ca obiect datele sale cu caracter personal. Acest drept de acces poate fi limitat doar la indicarea categoriilor de destinatari în cazul în care este imposibil din punct de vedere material să se identifice destinatarii concreți ai divulgărilor având ca obiect datele cu caracter personal referitoare la persoana vizată sau atunci când operatorul demonstrează că cererile persoanei vizate sunt vădit nefondate sau excesive în sensul articolului 12 alineatul (5) din Regulamentul (UE) 2016/679.”