TIESAS SPRIEDUMS (pirmā palāta)
2023. gada 12. janvārī (*)
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 15. panta 1. punkta c) apakšpunkts – Datu subjekta tiesības piekļūt saviem datiem – Informācija par personas datu saņēmējiem vai saņēmēju kategorijām, kam personas dati ir izpausti vai kam tos izpaudīs – Ierobežojumi
Lietā C‑154/21
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko Oberster Gerichtshof (Augstākā tiesa, Austrija) iesniegusi ar 2021. gada 18. februāra lēmumu un kas Tiesā reģistrēts 2021. gada 9. martā, tiesvedībā
RW
pret
Österreichische Post AG,
TIESA (pirmā palāta)
šādā sastāvā: palātas priekšsēdētājs A. Arabadžijevs [A. Arabadjiev], Tiesas priekšsēdētāja vietnieks L. Bejs Larsens [L. Bay Larsen], kas pilda pirmās palātas tiesneša pienākumus, tiesneši P. Dž. Švīrebs [P. G. Xuereb], A. Kumins [A. Kumin] un I. Ziemele (referente),
ģenerāladvokāts: Dž. Pitrucella [G. Pitruzzella],
sekretārs: A. Kalots Eskobars [A. Calot Escobar],
ņemot vērā rakstveida procesu,
ņemot vērā apsvērumus, ko snieguši:
– RW vārdā – R. Haupt, Rechtsanwalt,
– Österreichische Post AG vārdā – R. Marko, Rechtsanwalt,
– Austrijas valdības vārdā – G. Kunnert, A. Posch un J. Schmoll, pārstāvji,
– Čehijas valdības vārdā – M. Smolek un J. Vláčil, pārstāvji,
– Itālijas valdības vārdā – G. Palmieri, pārstāve, kurai palīdz M. Russo, avvocato dello Stato,
– Latvijas valdības vārdā – J. Davidoviča, I. Hūna un K. Pommere, pārstāves,
– Rumānijas valdības vārdā – L.‑E. Baţagoi, E. Gane un A. Wellman, pārstāves,
– Zviedrijas valdības vārdā – H. Eklinder, J. Lundberg, C. Meyer‑Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev un O. Simonsson, pārstāvji,
– Eiropas Komisijas vārdā – F. Erlbacher un H. Kranenborg, pārstāvji,
noklausījusies ģenerāladvokāta secinājumus 2022. gada 9. jūnija tiesas sēdē,
pasludina šo spriedumu.
Spriedums
1 Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”), 15. panta 1. punkta c) apakšpunktu.
2 Šis lūgums ir iesniegts saistībā ar strīdu starp personu RW un Österreichische Post AG (turpmāk tekstā – “Österreichische Post”) par lūgumu piekļūt personas datiem, kas izteikts, pamatojoties uz VDAR 15. panta 1. punkta c) apakšpunktu.
Atbilstošās tiesību normas
3 VDAR 4., 9., 10., 39., 63. un 74. apsvērums ir formulēts šādi:
“(4) [..] Tiesības uz personas datu aizsardzību nav absolūta prerogatīva; tās ir jāņem vērā saistībā ar to funkciju sabiedrībā un jālīdzsvaro ar citām pamattiesībām saskaņā ar proporcionalitātes principu. [..]
[..]
(9) [Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.)] mērķi un principi joprojām ir spēkā, taču tā nav spējusi novērst datu aizsardzības īstenošanas sadrumstalotību [Eiropas] Savienībā, juridisko nenoteiktību vai tāda uzskata plašu izplatību sabiedrībā, ka pastāv ievērojams risks fizisku personu aizsardzībai, jo īpaši attiecībā uz tiešsaistes aktivitātēm. Fizisku personu tiesību un brīvību aizsardzības līmeņa atšķirības, jo īpaši tiesību uz personas datu aizsardzību atšķirības dalībvalstīs attiecībā uz personas datu apstrādi, var kavēt personas datu brīvu apriti Savienībā. Minētās atšķirības tādēļ var kavēt iesaistīšanos virknē ekonomisku darbību Savienības līmenī, var radīt konkurences izkropļojumus un kavēt iestādes to pienākumu izpildē, kas paredzēti Savienības tiesību aktos. Šāda atšķirība aizsardzības līmeņos ir radusies tāpēc, ka Direktīva 95/46/EK tiek īstenota un piemērota dažādi.
(10) Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei Savienībā, fiziskas personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs vajadzētu būt vienādam. [..]
[..]
(39) Jebkurai personas datu apstrādei vajadzētu būt likumīgai un godprātīgai. Fiziskām personām vajadzētu būt pārredzamam tam, ka viņu personas datus vāc, izmanto, aplūko vai citādi apstrādā, un tam, kādā apjomā personas dati tiek vai tiks apstrādāti. Pārredzamības principa pamatā ir prasība, ka visa informācija un saziņa, kas saistīta ar minēto personas datu apstrādi, ir viegli pieejama un viegli saprotama un ka ir jāizmanto skaidra un vienkārša valoda. [..]
[..]
(63) Datu subjektam vajadzētu būt tiesībām piekļūt personas datiem, kas par to savākti, un viegli un saprātīgos intervālos īstenot minētās tiesības, lai zinātu par apstrādi un pārliecinātos par tās likumīgumu. [..] Tāpēc katram datu subjektam vajadzētu būt tiesībām zināt un saņemt paziņojumu jo īpaši par to, kādos nolūkos personas datus apstrādā, ja iespējams, cik ilgi personas dati tiek apstrādāti, personas datu saņēmējus, kāda ir jebkurā personas datu automātiskajā apstrādē ietvertā loģika un kādas ir šādas apstrādes sekas – vismaz tad, ja apstrāde pamatojas uz profilēšanu. [..] Minētajām tiesībām nevajadzētu nelabvēlīgi ietekmēt citu personu tiesības vai brīvības, tostarp tirdzniecības noslēpumus vai intelektuālā īpašuma tiesības un jo īpaši autortiesības, ar ko aizsargāta programmatūra. Tomēr minēto apsvērumu rezultātam nevajadzētu būt tādam, ka datu subjektam tiek atteikts sniegt jebkādu informāciju. [..]
[..]
(74) Būtu jāparedz pārziņa pienākumi un atbildība par ikvienu personas datu apstrādi, ko veic pārzinis vai pārziņa vārdā. Jo īpaši, pārzinim būtu jāuzliek pienākums īstenot piemērotus un efektīvus pasākumus, un viņam vajadzētu spēt uzskatāmi parādīt, ka apstrādes darbības notiek saskaņā ar šo regulu, tostarp, ka pasākumi ir iedarbīgi. Minētajos pasākumos būtu jāņem vērā apstrādes raksturs, piemērošanas joma, konteksts un nolūki un risks, ko tā rada fizisku personu tiesībām un brīvībām.”
4 VDAR 1. panta “Priekšmets un mērķi” 2. punkts noteic:
“Šī regula aizsargā fizisku personu pamattiesības un pamatbrīvības un jo īpaši to tiesības uz personas datu aizsardzību.”
5 VDAR 5. pants “Personas datu apstrādes principi” noteic:
“1. Personas dati:
a) tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);
[..].
2. Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”
6 VDAR 12. pants “Pārredzama informācija, saziņa un datu subjekta tiesību īstenošanas kārtība” noteic:
“1. Pārzinis veic atbilstošus pasākumus, lai kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, datu subjektam sniegtu visu 13. un 14. pantā minēto informāciju un nodrošinātu visu 15.–22. pantā un 34. pantā minēto saziņu attiecībā uz apstrādi, jo īpaši attiecībā uz visu informāciju, kas konkrēti paredzēta bērnam. Informāciju sniedz rakstiski vai citā veidā, tostarp – vajadzības gadījumā – elektroniskā formā. Pēc datu subjekta pieprasījuma informāciju var sniegt mutiski – ar noteikumu, ka datu subjekta identitāte ir pierādīta citā veidā.
2. Pārzinis veicina datu subjekta tiesību īstenošanu saskaņā ar 15.–22. pantu. Regulas 11. panta 2. punktā minētajos gadījumos pārzinis neatsakās rīkoties pēc datu subjekta pieprasījuma par savu tiesību īstenošanu saskaņā ar 15.–22. pantu, izņemot gadījumus, kad pārzinis uzskatāmi parāda, ka nespēj identificēt datu subjektu.
[..]
5. Informācija, ko sniedz saskaņā ar 13. un 14. pantu, un visa saziņa un visas darbības, ko īsteno saskaņā ar 15.–22. pantu un 34. pantu, ir bezmaksas. Ja datu subjekta pieprasījumi ir acīmredzami nepamatoti vai pārmērīgi, jo īpaši to regulāras atkārtošanās dēļ, pārzinis var vai nu:
a) pieprasīt saprātīgu maksu, ņemot vērā administratīvās izmaksas, kas saistītas ar informācijas vai saziņas nodrošināšanu vai pieprasītās darbības veikšanu; vai arī
b) atteikties izpildīt pieprasījumu.
Pārzinim ir pienākums uzskatāmi parādīt, ka pieprasījums ir acīmredzami nepamatots vai pārmērīgs.
[..]”
7 VDAR 13. panta “Informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta” 1. punkts noteic:
“Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:
[..]
e) personas datu saņēmēji vai saņēmēju kategorijas, ja tādi ir; [..]
[..].”
8 VDAR 14. panta “Informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta” 1. punkts noteic:
“Ja personas dati nav iegūti no datu subjekta, pārzinis datu subjektam sniedz šādu informāciju:
[..]
e) personas datu saņēmēji vai saņēmēju kategorijas, ja tādas ir; [..]
[..].”
9 VDAR 15. pants “Datu subjekta piekļuves tiesības” ir formulēts šādi:
“1. Datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai attiecībā uz datu subjektu tiek vai netiek apstrādāti personas dati, un, ja tiek, datu subjektam ir tiesības piekļūt attiecīgajiem datiem un saņemt šādu informāciju:
a) apstrādes nolūki;
b) attiecīgo personas datu kategorijas;
c) personas datu saņēmēji vai saņēmēju kategorijas, kam personas dati ir izpausti vai kam tos izpaudīs, jo īpaši saņēmēji trešās valstīs vai starptautiskās organizācijās;
d) ja iespējams, paredzētais laikposms, cik ilgi personas dati tiks glabāti, vai, ja nav iespējams, kritēriji, ko izmanto minētā laikposma noteikšanai;
e) tas, ka pastāv tiesības pieprasīt no pārziņa datu subjekta personas datu labošanu vai dzēšanu, vai personas datu apstrādes ierobežošanu vai tiesības iebilst pret šādu apstrādi;
f) tiesības iesniegt sūdzību uzraudzības iestādei;
g) visa pieejamā informācija par datu avotu, ja personas dati netiek vākti no datu subjekta;
h) tas, ka pastāv automatizēta lēmumu pieņemšana, tostarp profilēšana, kas minēta 22. panta 1. un 4. punktā, un – vismaz minētajos gadījumos – jēgpilna informācija par tajā ietverto loģiku, kā arī šādas apstrādes nozīmīgumu un paredzamajām sekām attiecībā uz datu subjektu.
2. Ja personas datus nosūta trešai valstij vai starptautiskai organizācijai, datu subjektam ir tiesības saņemt informāciju par atbilstošām garantijām, ko saistībā ar datu nosūtīšanu piemēro, ievērojot 46. pantu.
3. Pārzinis nodrošina apstrādē esošo personas datu kopiju. Par visām papildus kopijām, ko pieprasa datu subjekts, pārzinis var iekasēt saprātīgu samaksu, kas balstīta uz administratīvām izmaksām. Ja datu subjekts pieprasījumu iesniedz elektroniskā formā un ja vien datu subjekts nepieprasa citādi, informāciju sniedz plaši izmantotā elektroniskā formātā.
4. Tiesības saņemt 3. punktā minēto kopiju neietekmē nelabvēlīgi citu personu tiesības un brīvības.”
10 VDAR 16. pants “Tiesības labot” noteic:
“Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās labotu neprecīzus datu subjekta personas datus. Ņemot vērā apstrādes nolūkus, datu subjektam ir tiesības panākt, lai nepilnīgi personas dati tiktu papildināti, tostarp sniedzot papildu paziņojumu.”
11 VDAR 17. pants “Tiesības uz dzēšanu (tiesības “tikt aizmirstam”)” ir formulēts šādi:
“1. Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja pastāv viens no šādiem nosacījumiem:
a) personas dati vairs nav nepieciešami saistībā ar nolūkiem, kādos tie tika vākti vai citādi apstrādāti;
b) datu subjekts atsauc savu piekrišanu, uz kuras pamata veikta apstrāde saskaņā ar 6. panta 1. punkta a) apakšpunktu vai 9. panta 2. punkta a) apakšpunktu, un ja nav cita likumīga pamata apstrādei;
c) datu subjekts iebilst pret apstrādi saskaņā ar 21. panta 1. punktu, un apstrādei nav nekāda svarīgāka leģitīma pamata, vai arī datu subjekts iebilst pret apstrādi saskaņā ar 21. panta 2. punktu;
d) personas dati ir apstrādāti nelikumīgi;
e) personas dati ir jādzēš, lai nodrošinātu, ka tiek pildīts juridisks pienākums, kas noteikts Savienības vai dalībvalsts tiesību aktos, kuri ir piemērojami pārzinim;
f) personas dati ir savākti saistībā ar informācijas sabiedrības pakalpojumu piedāvāšanu, kā minēts 8. panta 1. punktā.
2. Ja pārzinis ir publiskojis personas datus un tā pienākums saskaņā ar 1. punktu ir minētos personas datus dzēst, pārzinis, ņemot vērā pieejamo tehnoloģiju un tās piemērošanas izmaksas, veic saprātīgus pasākumus, tostarp tehniskus pasākumus, lai informētu pārziņus, kas veic personas datu apstrādi, ka datu subjekts ir pieprasījis, lai minētie pārziņi dzēstu visas saites uz minētajiem personas datiem vai minēto personas datu kopijas vai atveidojumus.
[..]”
12 VDAR 18. panta “Tiesības ierobežot apstrādi” 1. punkts noteic:
“Datu subjektam ir tiesības panākt, lai pārzinis ierobežotu apstrādi, ja ir viens no šādiem apstākļiem:
a) datu subjekts apstrīd personas datu precizitāti – uz laiku, kurā pārzinis var pārbaudīt personas datu precizitāti;
b) apstrāde ir nelikumīga, un datu subjekts iebilst pret personas datu dzēšanu un tās vietā pieprasa datu izmantošanas ierobežošanu;
c) pārzinim personas dati apstrādei vairs nav vajadzīgi, taču tie ir nepieciešami datu subjektam, lai celtu, īstenotu vai aizstāvētu likumīgas prasības;
d) datu subjekts ir iebildis pret apstrādi saskaņā ar 21. panta 1. punktu, kamēr nav pārbaudīts, vai pārziņa leģitīmie iemesli nav svarīgāki par datu subjekta leģitīmajiem iemesliem.
[..]”
13 VDAR 19. pants ir formulēts šādi:
“Pārzinis katram saņēmējam, kuram personas dati ir izpausti, ziņo par jebkuru personas datu labojumu vai dzēšanu vai apstrādes ierobežošanu, kas veikta saskaņā ar 16. pantu, 17. panta 1. punktu un 18. pantu, izņemot, ja izrādās, ka tas nav iespējams, vai ja tas ir saistīts ar nesamērīgi lielām pūlēm. Pārzinis informē datu subjektu par minētajiem saņēmējiem, ja datu subjekts to pieprasa.”
14 Saskaņā ar VDAR 21. pantu “Tiesības iebilst”:
“1. Datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta e) vai f) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minētajiem noteikumiem. Pārzinis personas datus vairs neapstrādā, izņemot, ja pārzinis norāda uz pārliecinošiem leģitīmiem apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai lai celtu, īstenotu vai aizstāvētu likumīgas prasības.
2. Ja personas datus apstrādā tiešās tirgvedības nolūkos, datu subjektam ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi šādas tirgvedības vajadzībām, kas ietver profilēšanu, ciktāl tā ir saistīta ar šādu tiešo tirgvedību.
3. Ja datu subjekts iebilst pret apstrādi tiešās tirgvedības vajadzībām, personas datus šādā nolūkā vairs neapstrādā.
4. Vēlākais tad, kad ar datu subjektu notiek pirmā saziņa, datu subjektu nepārprotami informē par 1. un 2. punktā minētajām tiesībām, un to dara tā, lai šī informācija būtu skaidra un lai to varētu atšķirt no jebkuras citas informācijas.
5. Saistībā ar informācijas sabiedrības pakalpojumu izmantošanu un neatkarīgi no [Eiropas Parlamenta un Padomes Direktīvas 2002/58/EK (2002. gada 12. jūlijs) par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (OV 2002, L 201, 37. lpp.)] datu subjekts savas tiesības iebilst var īstenot ar automatizētiem līdzekļiem, izmantojot tehniskās specifikācijas.
6. Ja personas datus apstrādā zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos, ievērojot 89. panta 1. punktu, datu subjektam, pamatojoties uz savu īpašo situāciju, ir tiesības iebilst pret savu personas datu apstrādi, izņemot, ja apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs.”
15 VDAR 79. panta “Tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju” 1. punkts noteic:
“Neskarot pieejamos administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, tai skaitā tiesības iesniegt sūdzību uzraudzības iestādē, ievērojot 77. pantu, ikvienam datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja viņš uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas tādas viņa personas datu apstrādes rezultātā, kura neatbilst šai regulai.”
16 VDAR 82. panta “Tiesības uz kompensāciju un atbildība” 1. punkts noteic:
“Jebkurai personai, kurai šīs regulas pārkāpuma rezultātā ir nodarīts materiāls vai nemateriāls kaitējums, ir tiesības no pārziņa vai apstrādātāja saņemt kompensāciju par tai nodarīto kaitējumu.”
Pamatlieta un prejudiciālais jautājums
17 2019. gada 15. janvārī persona RW vērsās pie Österreichische Post, lai saskaņā ar VDAR 15. pantu saņemtu piekļuvi saviem personas datiem, kurus šis uzņēmums glabā vai bija glabājis, kā arī – gadījumā, ja šie dati ir izpausti trešām personām, – noskaidrotu šo saņēmēju identitāti.
18 Atbildot uz šo lūgumu, Österreichische Post vienīgi norādīja, ka tas izmanto datus tiesību aktos atļautajā apmērā savas kā adrešu grāmatu izdevēja darbības ietvaros un piedāvā šos personas datus komercpartneriem mārketinga vajadzībām. Sīkāku informāciju par šo un citiem datu apstrādes nolūkiem tas aicināja meklēt kādā tīmekļvietnē. Datu konkrēto saņēmēju identitāti tas personai RW neatklāja.
19 Persona RW vērsās pret Österreichische Post ar prasību Austrijas tiesās, prasot, lai tam tiktu uzdots sniegt RW informāciju par šādi izpausto šīs personas datu saņēmēja vai saņēmēju identitāti.
20 Šādi aizsāktās tiesvedības gaitā Österreichische Post informēja personu RW, ka tās dati ir apstrādāti mārketinga nolūkos un ir nodoti klientiem, tostarp reklamētājiem, kuri darbojas tirdzniecības pa pastu un stacionārās tirdzniecības nozarēs, informātikas uzņēmumiem, adrešu grāmatu izdevējiem un tādām apvienībām kā labdarības organizācijas, nevalstiskās organizācijas (NVO) vai politiskās partijas.
21 Gan pirmās instances, gan apelācijas tiesa personas RW prasību un apelācijas sūdzību noraidīja, uzskatīdamas, ka VDAR 15. panta 1. punkta c) apakšpunkts, kurā ir norādīts uz “saņēmējiem vai saņēmēju kategorijām”, dodot pārzinim iespēju darīt zināmu datu subjektam saņēmēju kategorijas vien un pārzinim nav pienākuma nosaukt izpausto personas datu konkrētos saņēmējus vārdā.
22 Persona RW iesniedza revīzijas [Revision] sūdzību Oberster Gerichtshof (Augstākā tiesa, Austrija), kas ir iesniedzējtiesa.
23 Šī tiesa šaubās par VDAR 15. panta 1. punkta c) apakšpunkta interpretāciju tāpēc, ka šīs normas formulējums neļaujot skaidri saprast, vai tajā datu subjektam ir piešķirtas tiesības piekļūt informācijai par konkrētajiem izpausto datu saņēmējiem vai arī pārzinim ir tiesības brīvi izvēlēties to, kādā veidā tas vēlas izpildīt lūgumu piekļūt informācijai par saņēmējiem.
24 Tomēr minētā tiesa norāda, ka šīs tiesību normas ratio legis liekot sliekties par labu tādai interpretācijai, saskaņā ar kuru tieši datu subjektam ir tiesības izvēlēties lūgt informāciju vai nu par viņa personas datu saņēmēju kategorijām, vai šo datu konkrētajiem saņēmējiem. Tā uzskata, ka jebkura citāda interpretācija būtiski apdraudētu to tiesību aizsardzības līdzekļu efektivitāti, ar kuriem datu subjekts var aizsargāt savus datus. Proti, ja pārziņiem būtu tiesības brīvi izvēlēties norādīt datu subjektiem vai nu konkrētos saņēmējus, vai tikai saņēmēju kategorijas, draudētu tas, ka praksē gandrīz neviens no viņiem nesniegs informāciju par konkrētajiem saņēmējiem.
25 Turklāt – atšķirībā no VDAR 13. panta 1. punkta e) apakšpunkta un 14. panta 1. punkta e) apakšpunkta, kuros paredzēts pārziņa pienākums sniegt šajās tiesību normās minēto informāciju, – šīs regulas 15. panta 1. punktā uzsvars esot likts uz datu subjekta piekļuves tiesību apjomu, un šis apstāklis, iesniedzējtiesas ieskatā, arī liecinot par to, ka datu subjektam ir tiesības izvēlēties lūgt informāciju vai nu par konkrētajiem saņēmējiem, vai par šo saņēmēju kategorijām.
26 Visbeidzot iesniedzējtiesa piebilst, ka VDAR 15. panta 1. punktā paredzētās piekļuves tiesības attiecas ne tikai uz personas datiem, kuri tiek apstrādāti pašlaik, bet arī uz visiem jau agrāk apstrādātajiem datiem. Šajā ziņā tā norāda, ka atziņas – kas rodamas 2009. gada 7. maija spriedumā Rijkeboer (C‑553/07, EU:C:2009:293) un ir balstītas uz Direktīvā 95/46 paredzēto piekļuves tiesību mērķi – esot attiecināmas arī uz VDAR 15. pantā paredzētajām piekļuves tiesībām, vēl jo vairāk tāpēc, ka no šīs regulas 9. un 10. apsvēruma ir secināms, ka Savienības likumdevējs nav vēlējies mazināt aizsardzības līmeni salīdzinājumā ar šajā direktīvā paredzēto.
27 Šajos apstākļos Oberster Gerichtshof (Augstākā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādu prejudiciālu jautājumu:
“Vai [VDAR] 15. panta 1. punkta c) apakšpunkts ir jāinterpretē tādējādi, ka piekļuves tiesības attiecas tikai uz informāciju par saņēmēju kategorijām, ja konkrētie saņēmēji, plānojot datu izpaušanu, vēl nav zināmi, taču piekļuves tiesības obligāti ietver arī šos izpausto datu saņēmējus, ja dati jau ir izpausti?”
Par prejudiciālo jautājumu
28 Ar šo prejudiciālo jautājumu iesniedzējtiesa būtībā vaicā, vai VDAR 15. panta 1. punkta c) apakšpunkts ir jāinterpretē tādējādi, ka šajā tiesību normā paredzētās datu subjekta tiesības piekļūt saviem personas datiem nozīmē, ka – tad, ja šie dati ir vai tiks izpausti saņēmējiem, – pārzinim ir pienākums darīt šim subjektam zināmu konkrēto saņēmēju identitāti.
29 Ievadam jāatgādina pastāvīgās judikatūras atziņa, ka, interpretējot Savienības tiesību normu, jāņem vērā ne tikai tās teksts, bet arī konteksts un šo normu ietverošā tiesiskā regulējuma mērķis (spriedums, 2022. gada 15. marts, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, 63. punkts). Turklāt, ja Savienības tiesību norma var tikt interpretēta dažādi, priekšroka dodama tai interpretācijai, kas saglabā tās lietderīgo iedarbību (spriedums, 2018. gada 7. marts, Cristal Union, C‑31/17, EU:C:2018:168, 41. punkts un tajā minētā judikatūra).
30 Vispirms, runājot par VDAR 15. panta 1. punkta c) apakšpunkta formulējumu, jāatgādina, ka šajā tiesību normā ir noteikts, ka datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai attiecībā uz datu subjektu tiek vai netiek apstrādāti personas dati, un, ja tie tiek apstrādāti, datu subjektam ir tiesības piekļūt attiecīgajiem datiem un saņemt informāciju par personas datu saņēmējiem vai saņēmēju kategorijām, kam personas dati ir vai tiks izpausti.
31 Šajā ziņā jānorāda, ka šajā tiesību normā ietvertie termini “saņēmēji” un “saņēmēju kategorijas” tiek izmantoti secīgi, tāpēc nav iespējams izsecināt, kādā prioritātes attiecībā tie ir viens pret otru.
32 Tādējādi jākonstatē, ka VDAR 15. panta 1. punkta c) apakšpunkta formulējums neļauj viennozīmīgi noteikt, vai datu subjektam būtu tiesības tikt informētam par to, konkrēti kuriem saņēmējiem ir vai tiks izpausti viņa personas dati.
33 Arī par kontekstu, kādā iekļaujas VDAR 15. panta 1. punkta c) apakšpunkts, jāatgādina, pirmām kārtām, ka šīs regulas 63. apsvērumā ir teikts, ka datu subjektam ir jābūt tiesībām zināt un tikt informētam konkrēti par viņa personas datu saņēmēju identitāti, bet nav precizēts – kā secinājumu 23. punktā norāda ģenerāladvokāts –, ka šīs tiesības varētu tikt reducētas tikai līdz saņēmēju kategorijām vien.
34 Otrām kārtām, jāatgādina arī – lai nodrošinātu, ka tiesības uz piekļuvi tiek ievērotas, ikvienai fizisku personu personas datu apstrādei ir jāatbilst VDAR 5. pantā noteiktajiem principiem (šajā nozīmē skat. spriedumu, 2019. gada 16. janvāris, Deutsche Post, C‑496/17, EU:C:2019:26, 57. punkts).
35 Savukārt viens no šiem principiem ir VDAR 5. panta 1. punkta a) apakšpunktā minētais pārredzamības princips, kurš – kā redzams no šīs regulas 39. apsvēruma – nozīmē, ka datu subjekta rīcībā ir jābūt informācijai par to, kā tiek apstrādāti viņa personas dati, un ka šai informācijai ir jābūt viegli pieejamai un saprotamai.
36 Trešām kārtām, jānorāda – kā secinājumu 21. punktā uzsver ģenerāladvokāts –, ka atšķirībā no VDAR 13. un 14. panta, kuros ir noteikts pārziņa pienākums sniegt datu subjektam informāciju par datu subjekta personas datu saņēmēju kategorijām vai konkrētajiem saņēmējiem tad, ja attiecīgie dati ir vai nav iegūti no datu subjekta, VDAR 15. pantā ir paredzētas īstenas datu subjekta piekļuves tiesības, tāpēc šim subjektam ir jābūt iespējai izvēlēties saņemt informāciju vai nu – ja tas ir iespējams – par konkrētajiem saņēmējiem, kuriem minētie dati ir vai tiks izpausti, vai arī par saņēmēju kategorijām.
37 Ceturtām kārtām, Tiesa ir jau nospriedusi, ka šo piekļuves tiesību izmantošanai ir jāļauj datu subjektam pārliecināties ne tikai par to, ka viņa dati ir pareizi, bet arī par to, ka šie dati tiek apstrādāti likumīgi (pēc analoģijas skat. spriedumus, 2014. gada 17. jūlijs, YS u.c., C‑141/12 un C‑372/12, EU:C:2014:2081, 44. punkts, kā arī 2017. gada 20. decembris, Nowak, C‑434/16, EU:C:2017:994, 57. punkts), tostarp, ka tie ir izpausti saņēmējiem, kas ir tiesīgi tos apstrādāt (pēc analoģijas skat. spriedumu, 2009. gada 7. maijs, Rijkeboer, C‑553/07, EU:C:2009:293, 49. punkts).
38 Šīs piekļuves tiesības ir nepieciešamas konkrēti tālab, lai ļautu datu subjektam vajadzības gadījumā izmantot viņam attiecīgi VDAR 16., 17. un 18. pantā atzītās tiesības panākt datu labošanu, tiesības uz dzēšanu (tiesības “tikt aizmirstam”), tiesības ierobežot apstrādi (pēc analoģijas skat. spriedumus, 2014. gada 17. jūlijs, YS u.c., C‑141/12 un C‑372/12, EU:C:2014:2081, 44. punkts, kā arī 2017. gada 20. decembris, Nowak, C‑434/16, EU:C:2017:994, 57. punkts), kā arī viņam VDAR 21. pantā paredzētās tiesības iebilst pret savu personas datu apstrādi un viņam VDAR 79. un 82. pantā paredzētās tiesības celt prasību gadījumā, ja tam ir nodarīts kaitējums (pēc analoģijas skat. spriedumu, 2009. gada 7. maijs, Rijkeboer, C‑553/07, EU:C:2009:293, 52. punkts).
39 Tādējādi, lai nodrošinātu visu šā sprieduma iepriekšējā punktā minēto tiesību lietderīgo iedarbību, šim subjektam ir jābūt konkrēti tiesībām tikt informētam par konkrēto saņēmēju identitāti gadījumā, ja viņa personas dati jau ir tikuši izpausti.
40 Visbeidzot, piektām kārtām, apstiprinājums šādai interpretācijai ir rodams arī VDAR 19. pantā, kura pirmajā teikumā ir noteikts, ka pārzinis principā katram saņēmējam, kuram personas dati ir izpausti, ziņo par jebkuru personas datu labojumu vai dzēšanu, vai apstrādes ierobežošanu, un otrajā teikumā – ka šis pārzinis informē datu subjektu par minētajiem saņēmējiem, ja datu subjekts to pieprasa.
41 Tādējādi VDAR 19. panta otrajā teikumā tiesības no pārziņa saņemt informāciju par datu subjekta personas datu konkrētajiem saņēmējiem šim datu subjektam ir skaidri piešķirtas saistībā ar šā pārziņa pienākumu informēt visus saņēmējus par šim subjektam VDAR 16. pantā, 17. panta 1. punktā un 18. pantā piešķirto tiesību izmantošanu.
42 No iepriekš izklāstītās kontekstuālās analīzes izriet, ka VDAR 15. panta 1. punkta c) apakšpunkts ir viena no tiesību normām, kuru mērķis ir nodrošināt personas datu apstrādes kārtības pārredzamību datu subjektam un ļauj šim subjektam – kā secinājumu 33. punktā norāda ģenerāladvokāts – izmantot prerogatīvas, kas paredzētas tostarp VDAR 16.–19., 21., 79. un 82. pantā.
43 Tāpēc jāuzskata, ka informācijai, kas sniedzama datu subjektam saskaņā ar VDAR 15. panta 1. punkta c) apakšpunktā paredzētajām piekļuves tiesībām, ir jābūt pēc iespējas precīzākai. Konkrēti, šīs piekļuves tiesības dod datu subjektam iespēju no pārziņa vai nu saņemt informāciju par konkrētajiem saņēmējiem, kuriem dati ir vai tiks izpausti, vai arī izvēlēties lūgt informāciju par šo saņēmēju kategorijām vien.
44 Visbeidzot par VDAR mērķi jānorāda, ka šī regula, kā izriet no tās 10. apsvēruma, ir vērsta tostarp uz to, lai nodrošinātu augsta līmeņa aizsardzību fiziskām personām Savienībā (spriedums, 2020. gada 6. oktobris, La Quadrature du Net u.c., C‑511/18, C‑512/18 un C‑520/18, EU:C:2020:791, 207. punkts). Šajā ziņā, kā secinājumu 14. punktā būtībā norāda ģenerāladvokāts, ar VDAR izveidoto vispārīgo tiesisko ietvaru tiek īstenotas prasības, kas izriet no Eiropas Savienības Pamattiesību hartas 8. pantā nostiprinātajām pamattiesībām uz personas datu aizsardzību, konkrēti – minētā panta 2. punktā skaidri noteiktās prasības (šajā nozīmē skat. spriedumu, 2017. gada 9. marts, Manni, C‑398/15, EU:C:2017:197, 40. punkts).
45 Šis mērķis apstiprina šā sprieduma 43. punktā izklāstītās VDAR 15. panta 1. punkta interpretācijas pareizību.
46 Tādējādi arī no VDAR mērķa izriet, ka datu subjektam ir tiesības saņemt no pārziņa informāciju par konkrētajiem saņēmējiem, kuriem ir vai tiks izpausti viņa personas dati.
47 Taču visbeidzot jāuzsver – kā izriet no VDAR 4. apsvēruma –, ka tiesības uz personas datu aizsardzību nav absolūtas tiesības. Proti, šīs tiesības ir jāaplūko saistībā ar to funkciju sabiedrībā un jāsamēro ar citām pamattiesībām atbilstoši samērīguma principam, kā Tiesa būtībā ir apstiprinājusi 2020. gada 16. jūlija sprieduma Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559) 172. punktā.
48 Tāpēc ir pieļaujams, ka īpašos apstākļos nav iespējams sniegt informāciju par konkrētajiem saņēmējiem. Līdz ar to piekļuves tiesības var tikt reducētas tikai līdz informācijai par saņēmēju kategorijām, ja nav iespējams darīt zināmu konkrēto saņēmēju identitāti, it īpaši tad, ja tie vēl nav zināmi.
49 Turklāt jāatgādina, ka saskaņā ar VDAR 12. panta 5. punkta b) apakšpunktu pārzinis – atbilstoši šīs regulas 5. panta 2. punktā, kā arī tās 74. apsvērumā minētajam pārskatatbildības principam – var atteikties apmierināt datu subjekta lūgumus, ja tie ir acīmredzami nepamatoti vai pārmērīgi, taču šādā gadījumā pārzinim ir jāpierāda, ka minētie lūgumi ir acīmredzami nepamatoti vai pārmērīgi.
50 Šajā gadījumā no lūguma sniegt prejudiciālu nolēmumu izriet, ka Österreichische Post ir noraidījis personas RW saskaņā ar VDAR 15. panta 1. punktu iesniegto lūgumu darīt tai zināmu to saņēmēju identitāti, kuriem Österreichische Post bija izpaudis tās personas datus. Iesniedzējtiesai būs jāpārbauda, vai, ņemot vērā pamatlietas apstākļus, Österreichische Post ir pierādījis, ka šis lūgums ir acīmredzami nepamatots vai pārmērīgs.
51 Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz prejudiciālo jautājumu ir atbildams, ka VDAR 15. panta 1. punkta c) apakšpunkts ir jāinterpretē tādējādi, ka šajā tiesību normā paredzētās datu subjekta tiesības piekļūt saviem personas datiem nozīmē, ka – tad, ja šie dati ir vai tiks izpausti saņēmējiem, – pārzinim ir pienākums darīt šim subjektam zināmu šo saņēmēju identitāti, ja vien saņēmējus nav iespējams identificēt vai pārzinis nepierāda, ka datu subjekta piekļuves lūgumi ir acīmredzami nepamatoti vai pārmērīgi VDAR 12. panta 5. punkta izpratnē; tādā gadījumā pārzinis var datu subjektam darīt zināmas tikai attiecīgo saņēmēju kategorijas.
Par tiesāšanās izdevumiem
52 Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež:
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 15. panta 1. punkta c) apakšpunkts
ir jāinterpretē tādējādi, ka
šajā tiesību normā paredzētās datu subjekta tiesības piekļūt saviem personas datiem nozīmē, ka – tad, ja šie dati ir vai tiks izpausti saņēmējiem, – pārzinim ir pienākums darīt šim subjektam zināmu šo saņēmēju identitāti, ja vien saņēmējus nav iespējams identificēt vai pārzinis nepierāda, ka datu subjekta piekļuves lūgumi ir acīmredzami nepamatoti vai pārmērīgi Regulas 2016/679 12. panta 5. punkta izpratnē; tādā gadījumā pārzinis var datu subjektam darīt zināmas tikai attiecīgo saņēmēju kategorijas.
[Paraksti]