Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
P. PIKAMÄE
представено на 22 февруари 2024 година(1)
Дело C-693/22
I. sp. z o. o.
срещу
M. W.
(Преюдициално запитване, отправено от Sąd Rejonowy dla m. st. Warszawy w Warszawie (Варшавски районен съд Варшава-столица, Полша)
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Продан в производство по принудително изпълнение на база данни, съдържаща лични данни — Член 4, точка 7 — Понятие „администратор“ — Член 5, параграф 1, буква б) — Ограничение на целите — Член 6, параграфи 1, 3 и 4 — Законосъобразност на обработването — Спазване на законово задължение, наложено на администратора — Изпълнение на задача от обществен интерес — Член 23, параграф 1, буква й) — Изпълнение по гражданскоправни искове — Необходима и пропорционална мярка“
1. Може ли осъществена в производство по принудително изпълнение продан на бази данни, съдържаща лични данни, да е в съответствие с разпоредбите на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (наричан по-нататък „ОРЗД“)(2), ако субектите на тези лични данни не са дали съгласието си за тази продан?
2. Това е основният въпрос, отправен до Съда от Sąd Rejonowy dla m. st. Warszawy w Warszawie (Варшавски районен съд Варшава-столица, Полша) в настоящото преюдициално производство.
3. Така Съдът ще трябва да разгледа, с оглед на ОРЗД, особена хипотеза и да вземе становище по някои ключови елементи от този регламент, като например понятието „администратор“, законосъобразността на обработването и обхвата на принципа за ограничение на целите.
Правна уредба
Правото на Съюза
4. Член 4 от ОРЗД предвижда:
„За целите на настоящия регламент:
1) „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); [...]
2) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;
[...]
7) „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;
[...]“
5. Член 5 от този регламент e озаглавен „Принципи, свързани с обработването на лични данни“ и предвижда в параграфи 1 и 2:
„1. Личните данни са:
a) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; [...]
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
[...]
2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.
6. Член 6 от същия регламент e озаглавен „Законосъобразност на обработването“ и гласи следното:
„1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
[...]
в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
[...]
д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
[...]
3. Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:
a) правото на Съюза или
б) правото на държавата членка, което се прилага спрямо администратора.
Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора [...]. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.
4. Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:
a) всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;
б) контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;
в) естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10;
г) възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;
д) наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация“.
7. Член 23, параграф 1 от ОРЗД е озаглавен „Ограничения“ и предвижда:
„1. В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:
[...]
й) изпълнението по гражданскоправни искове“.
Полското право
8. Текстът на член 299 от Ustawa Kodeks spółek handlowych (Закон за приемане на Кодекс на търговските дружества) от 15 септември 2000 г. — (Dz. U., 2022 г., позиция 1467, наричан по-нататък „Кодекс за търговските дружества“) е следният:
„§ 1. Ако принудителното изпълнение спрямо дружеството приключи без резултат, членовете на управителния орган отговарят солидарно за задълженията му.
§ 2. Членът на управителния орган може да се освободи от отговорността по параграф 1, ако докаже, че своевременно е подадена молба за откриване на производство по несъстоятелност или че своевременно е издадено определение за откриване на производство по преструктуриране или за утвърждаване на предпазен конкордат в производство за утвърждаване на предпазен конкордат или че не по негова вина не е подадена молба за откриване на производство по несъстоятелност или че въпреки неподаването на молба за откриване на производство по несъстоятелност или неиздаването на определение за откриване на производство по преструктуриране или неутвърждаването на предпазния конкордат в производството за утвърждаване на предпазен конкордат кредиторът не е претърпял вреди“.
9. Съгласно член 796, параграф 1 от ustawa Kodeks postępowania cywilnego (Закон за приемане на Граждански процесуален кодекс) от 17 ноември 1964 г. (Dz. U., 2021 г., позиция 1805), изменен, (наричан по-нататък „Граждански процесуален кодекс“):
„Молбата за започване на принудително изпълнение се подава по компетентност съответно до съда или до съдебния изпълнител. Молбата до съдебния изпълнител може да се подаде чрез формуляр по образец“.
10. Член 799, параграф 1, първо изречение от Гражданския процесуален кодекс гласи :
„ Молбата за започване на принудително изпълнение или разпореждането за служебно провеждане на принудително изпълнение дава възможност за провеждане на принудително изпълнение по всички допустими способи с изключение на изпълнението върху недвижими вещи. […] “
11. Текстът на член 824, параграф 1, точка 3 от този кодекс е следният:
„Пълното или частично прекратяване на изпълнителното производство се установява служебно:
[...]
3) в случаите, когато е явно, че в резултат на принудителното изпълнение няма да бъде получен по-висок размер от направените разходи за провеждането му“.
12. Член 831 от посочения кодекс предвижда:
„§ 1 Принудителното изпълнение не може да бъде насочено срещу:
[...]
3) непрехвърлими права, освен ако възможността за прехвърлянето им е изключена по договорен път, а предметът на задължението подлежи на принудително изпълнение или изпълнението на задължението може да бъде поверено на другиго“.
13. Ustawa o komornikach sądowych (Закон за съдебните изпълнители) от 22 март 2018 г. (Dz. U., 2022 г., позиция 1168), изменен, (наричан по-нататък „Закон за съдебните изпълнители“) урежда статута и функциите на съдебните изпълнители. Съгласно член 3, параграфи 1 и 3:
„Съдебният изпълнител е орган на публична власт при извършването на действия в изпълнителното и в обезпечителното производство. Тези действия се осъществяват от съдебния изпълнител, освен когато законът предвижда друго.
[...]
Съдебният изпълнител отговаря за:
1) изпълнението на съдебни решения по дела за имуществени вземания и неимуществени задължения и по дела за обезпечение, включително европейски заповеди за запор на банкови сметки, освен при предвидените в [Гражданския процесуален кодекс] изключения;
[...]“
14. Член 9, параграф 1 от този закон гласи:
„Съдебният изпълнител не може да откаже да приеме молба за:
1) започване на принудително изпълнение,
[...]
провеждането на което е от неговата компетентност съгласно разпоредбите [на Гражданския процесуален кодекс]“.
15. Член 31, параграф 1, първо изречение от посочения закон има следното съдържание:
„Постъпленията от изпълнението върху вземания от банкови сметки, сметки във взаимоспомагателни каси или сметки при финансови посредници, събрани вследствие на първото плащане от страна на длъжника по запорираното вземане, се прехвърлят от съдебния изпълнител на взискателя не по-рано от 7 дни и не по-късно от 14 дни от деня на получаването им. […] “
16. Ustawa o ochronie baz danych (Закон за закрила на базите данни) от 27 юли 2001 г. (Dz. U., 2021 г., позиция 386), (наричан по-нататък „Закон за закрила на базите данни“) предвижда в член 2, параграф 1, точка 1:
„За целите на този закон:
1. „база данни“ е съвкупност от данни или други материали и компоненти, подредени систематично или методично и индивидуално достъпни по електронен или друг път, които изискват количествено или качествено съществена инвестиция за събирането, проверката или оформлението на съдържанието им“.
17. Член 6, параграф 1 от Закона за закрила на базите данни гласи:
„Производителят на базата данни има изключително и прехвърлимо право на извличане и повторно използване на цялата или на съществена част, в количествено или качествено отношение, от съдържанието на тази база данни“.
Спорът в главното производство, преюдициалният въпрос и производството пред Съда
18. Дружеството I. (наричано по-нататък „ищецът“ или „дружеството взискател“), установено в Полша, има вземане, потвърдено с влязло в сила съдебно решение, към дружеството NMW, което е специализирано в онлайн продажби, на което M.W. е член на управителния орган.
19. По искане на ищеца срещу дружеството NMW е образувано изпълнително производство за удовлетворяване на това вземане. Принудителното изпълнение приключва с издадено постановление от съдебния изпълнител за прекратяване на изпълнителното производство, тъй като дружеството NMW е нямало имущество, което може да бъде обект на принудителното изпълнение. При тези обстоятелства ищецът предявява пред Sąd Rejonowy dla m. st. Warszawy w Warszawie (Варшавски районен съд Варшава‑столица) иск срещу M.W. на основание член 299, параграф 1 от Кодекса на търговските дружества, който предвижда имуществена отговорност на членовете на управителния орган на дружеството длъжник при невъзможност за събиране на вземането от имуществото на дружеството.
20. M.W. моли искът да се отхвърли, тъй като дружеството NMW притежава движими вещи, всяка една от които със стойност, по-висока от вземането на ищеца, а именно изходен код на компютърна програма за онлайн покупки с услуга за връщане на част от платената цена под формата на квази пари в брой (cashback) (наричана по-нататък „платформата M.“) и две бази данни с лични данни на ползвателите на тази платформа.
21. Запитващата юрисдикция обаче посочва, че продажбата само на платформа М. без базите данни не е така привлекателна на пазара, както продажбата на целия „пакет“.
22. Ето защо според тази юрисдикция е необходимо да се получи отговор на въпроса дали създадените от NMW бази данни могат да се прехвърлят в съдебно изпълнително производство. Утвърдителен отговор всъщност би довел до отхвърляне на иска в главното производство.
23. В това отношение запитващата юрисдикция уточнява, че макар да не е обвързана от оценката на стойността на съответното дружествено имущество, на която се основава M.W. — още повече че тази оценка не е извършена от вещо лице — отговорът на този въпрос продължава да е необходим за решаването на спора в главното производство, тъй като разпоредбите, уреждащи полското гражданско производство, не допускат събиране на доказателства, ако преди това не се установи, че тези доказателства са релевантни.
24. Запитващата юрисдикция счита, че съответните бази данни са обхванати от понятието „бази данни“ по смисъла на член 1 от Директива 96/9/ЕО на Европейския парламент и на Съвета от 11 март 1996 година за правна закрила на базите данни(3), поради което правоносителят, дружеството NMW, притежава имуществено право да прехвърли тези бази данни съгласно член 7 от тази директива. Всъщност принудителното изпълнение може да се насочи срещу всяко имуществено право, освен ако съществува разпоредба, която изрично изключва такава възможност. Полският законодател обаче не е предвидил разпоредба, която да забранява принудителното изпълнение върху база данни, като тази по отношение на която се води главното производство.
25. Запитващата юрисдикция има съмнения относно това дали такива бази данни може да са предмет на съдебно производство за принудително изпълнение, тъй като съдържат лични данни на стотици хиляди ползватели на платформата M., и че няма никакви доказателства, че ползвателите на тази платформа са дали съгласие за обработването на личните им данни, така че на трети лица извън посочената платформа да се предоставят на разположение тези данни. В това отношение тя уточнява, че въпросните данни не спадат към специалните категории лични данни по смисъла на член 9 от ОРЗД.
26. Тази юрисдикция иска също така да установи каква е връзката между установените с ОРЗД ограничения при обработването на лични данни и правото на свободно разпореждане с база данни, произтичащо от Директива 96/9 и от националното право, което според нея включва и правото на прехвърляне на базата данни в изпълнително производство.
27. При тези обстоятелства Sąd Rejonowy dla m. st. Warszawy w Warszawie (Варшавски районен съд Варшава‑столица) решава да спре производството и да постави на Съда следния преюдициален въпрос:
„Трябва ли член 5, параграф 1, буква а) във връзка с член 6, параграф 1, букви а), в) и д) във връзка с член 6, параграф 3 от [ОРЗД] да се тълкуват в смисъл, че не допускат национална правна уредба, съгласно която в производство по принудително изпълнение може да се осъществява продан на бази данни по смисъла на член 1, параграф 2 от [Директива 96/9], които се състоят от лични данни, ако субектите на тези лични данни не са дали съгласие за тази продан?“
28. Полското правителство и Европейската комисия представят писмени становища. Устните състезания между същите заинтересовани страни и I. са изслушани в съдебното заседание от 16 ноември 2023 г.
Анализ
По допустимостта
29. На първо място трябва да се разгледат два въпроса относно допустимостта на това преюдициално запитване.
30. Първо, в съдебното заседание ищецът в главното производство изразява съмнения относно релевантността на този въпрос. Според тази страна дружеството NMW е прекратило икономическата си дейност още преди няколко години. По-конкретно това дружество вече нямало управителен орган или ръководство и от април 2019 г. не предоставяло услуги на ползвателите на платформата M.(4). Така то неминуемо е прекратило всякакво обработване на лични данни, свързано с упражняването на дейността му. При тези обстоятелства принципите за ограничение на целите и за ограничение на съхранението изисквали съответните данни да бъдат заличени, като при отсъствие на такова заличаване самото наличие на разглежданите в главното производство бази данни било незаконосъобразно. С оглед на това отправеният от запитващата юрисдикция въпрос относно законосъобразността на проведената продан на същите в производство по принудително изпълнение не бил релевантен за решаването на спора в главното производство.
31. Следва да се отбележи, че съгласно член 5, параграф 1, буква д) от ОРЗД личните данни(5) се съхраняват във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимия за осъществяването на целите, за които се обработват данните. От това следва, че дори обработване на данни, което първоначално е било законосъобразно, може с времето да стане несъвместимо с ОРЗД, когато данните вече не са необходими за осъществяването на такива цели(6). В такъв случай данните трябва да се заличат(7). В случая въпросните данни със сигурност са били събрани за целите на дейността по онлайн продажби, извършвана от NMW. След като последното е прекратило тази дейност през април 2019 г., няма никакво съмнение, че тези данни вече не са били необходими за осъществяването ѝ и следователно е трябвало да бъдат заличени. При липсата на такова заличаване наличието на въпросните бази данни не е в съответствие с ОРЗД и липсата на релевантност на настоящия преюдициален въпрос за решаването на спора в главното производство е очевидна.
32. С оглед на това следва да се припомни, че съгласно постоянната практика Съдът е оправомощен да се произнася по тълкуването само на правото на Съюза с оглед на фактическия и правния контекст, както е определен от националния съд съгласно неговите правомощия, без да може да го поставя под въпрос, нито да проверява точността му(8).
33. От нито една точка от акта за преюдициално запитване обаче не е видно, че през април 2019 г. дружеството NMW е прекратило дейността си, както твърди ищецът.
34. Второ, запитващата юрисдикция има съмнения относно приложимостта на ОРЗД с оглед на разпоредбите на Директива 96/9.
35. В самото начало следва да се припомни, че целта на Директива 96/9 е чрез сближаване на националните законодателства да се премахнат съществуващите между тях в областта на правната закрила на базите данни различия, засягащи функционирането на вътрешния пазар, свободното движение на стоки и услуги в Съюза, както и развитието на неговия информационен пазар(9). Съгласно член 1, параграф 1 от тази директива тя се отнася до правната закрила на бази данни в каквато и да е форма, с уточнението, че в параграф 2 от този член „база данни“ се дефинира като „сборник от самостоятелни произведения, данни или други материали, подредени по систематичен или методичен начин и индивидуално достъпни по електронен или друг път“.
36. Посочената директива налага на всяка държава членка да предвиди в националното си законодателство закрила на базите данни с помощта на право sui generis. По-конкретно член 7, параграф 1 от Директива 96/9 запазва за производителя на база данни, за която е била направена съществена инвестиция в количествено или качествено отношение, правото да не допуска действия по извличане и/или повторно използване на цялата или на съществена част от съдържанието на тази база. Това право е отчуждимо съгласно член 7, параграф 3 от тази директива.
37. Според запитващата юрисдикция принадлежащата на дружеството NMW база данни отговаря на условията, за да получи закрилата, осигурявана от Закона за закрила на базите данни и Директива 96/9, която е транспонирана в полския правен ред с този закон. Член 6 от този закон предвижда по-специално, че производителят има изключително и прехвърлимо право да извлича и повторно да използва цялата или съществена част от съдържанието на тази база данни. Според запитващата юрисдикция следователно става въпрос за имуществено право с абсолютен характер, което произвежда действие erga omnes. Съгласно полското право принудителното изпълнение може да се насочи срещу всяко имуществено право, освен ако в закон изрично не е предвидено друго. Полският законодател обаче не е предвидил разпоредба, която да забранява принудителното изпълнение върху бази данни. От това следвало, че в случая съдебният изпълнител е носител на право да прехвърли базите данни за сметка на взискателя, което право произтича от това на производителя, срещу когото се води изпълнително производство, да се разпорежда свободно с тях. В случай като настоящия позоваването на това право би могло да възпрепятства прилагането на правилата на ОРЗД и по този начин да доведе до недопустимост на настоящия преюдициален въпрос.
38. Първо, следва да се отбележи, че запитващата юрисдикция не е определила правилно правото sui generis, признато в член 7 от тази директива. Всъщност става дума за право на възражение срещу действия, изразяващи се по-специално във възстановяване на базата данни или на съществена част от съдържанието ѝ срещу незначителна част от разходите, необходими за самостоятелното ѝ създаване(10), тъй като преследваната от законодателя на Съюза цел е да се гарантира на лицето, което е взело инициативата и е поело риска да направи съществена инвестиция за създаването, проверката и оформлението на съдържанието на база данни, възвръщаемостта на неговата инвестиция чрез закрилата ѝ от неразрешени злоупотреби с резултатите от инвестицията(11).
39. Освен това и преди всичко, що се отнася до връзката между Директива 96/9 и ОРЗД, от член 13 от нея следва, че тази директива не накърнява разпоредбите, в частност относно закрилата на личните данни и на личния живот, а от съображение 48 от нея, че разпоредбите ѝ не засягат прилагането на правилата за защита на данните, предвидени в Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни(12), впоследствие заменена с ОРЗД(13).
40. Ето защо считам, че Съдът следва да се произнесе по съществото на спора.
По същество
41. С въпроса си запитващата юрисдикция иска по същество да се установи дали член 5, параграф 1, буква а) и член 6, параграф 1, първа алинея, букви а), в) и д) и член 6, параграф 3 от ОРЗД трябва да се тълкуват в смисъл, че не допускат национална правна уредба, съгласно която в производство по принудително изпълнение съдебен изпълнител може да осъществи продан на база данни, която съдържа лични данни, ако субектите на тези лични данни не са дали съгласие за тази продан.
42. Правният ми анализ ще протече по следния начин. Що се отнася до ОРЗД, ще разгледам въпроса за приложимостта на този регламент към настоящия случай и въпроса за идентифициране на администратора на съответното обработване на данни, преди да се фокусирам върху тълкуването на правилата, уреждащи законосъобразността на такова обработване на данни.
43. Съображенията, развити в настоящото заключение, ще покажат, че разпоредбите на правото на Съюза, които Съдът следва да вземе предвид, съвпадат само отчасти с разпоредбите, посочени в преюдициалния въпрос. Ето защо в предложения отговор ще бъдат разгледани тези разпоредби(14).
По наличието на обработване и идентифицирането на администратора
44. Видно от съображение 10 от ОРЗД, той има за цел по‑специално да осигури високо ниво на защита на физическите лица в рамките на Съюза и съответно да гарантира последователно и еднородно прилагане в целия Съюз на правилата за защита на основните права и свободи на тези лица във връзка с обработването на лични данни(15).
45. Съгласно член 2, параграф 1 от този регламент той се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.
46. Параграф 2 от този член предвижда редица изключения от приложното поле на посочения регламент, които се основават на вида дейност, в чийто контекст се извършва обработването на данни. От практиката на Съда следва, че с оглед на необходимостта от ограничително тълкуване на тези изключения тази дейност следва да е сред дейности, които или са изрично споменати в член 2, параграф 2 от ОРЗД, или могат да бъдат причислени към същата категория. Така характеризирането на дадена дейност като присъща на държавата или на публичен орган, не е достатъчно, за да се приеме, че въпросното обработване се извършва в контекста на дейност, която e извън приложното поле на правото на Съюза по смисъла на изключението в член 2, параграф 2, буква а) от ОРЗД(16).
47. За целите на настоящото производство е важно да се отбележи, че обработването, извършвано в рамките на принудителното изпълнение по гражданскоправен иск, не попада извън приложното поле на този регламент.
48. Рамките на приложното поле на ОРЗД се определят с понятието „обработване“. Съгласно член 4, точка 2 от този регламент това понятие включва всяка операция, извършвана с лични данни или набор от лични данни чрез автоматични средства като по-специално „извличане“, „консултиране“, „употреба“ и „друг начин, по който данните стават достъпни“. Така законодателят на Съюза е искал да придаде широк обхват на това понятие(17).
49. Има ли обработване на лични данни в настоящия случай?
50. Следва да се направи едно предварително уточнение. Операциите с лични данни, извършвани от дружеството NMW за осъществяване на неговата дейност по онлайн продажби посредством платформата M., не попадат в обхвата на поставения от запитващата юрисдикция въпрос. Този въпрос се отнася изключително за изпълнителното производство с оглед на принудителната продан на съответните бази данни. Според запитващата юрисдикция подобно производство предполага обработване по смисъла на ОРЗД, на което съдебният изпълнител е администратор.
51. Разясненията, дадени в съдебното заседание от полското правителство с оглед на задачата, възложена на съдебния изпълнител в такова производство по принудително изпълнение, според мен не оставят никакво съмнение относно правилността на това тълкуване.
52. Това правителство обяснява, че въпросното производство започва с изземване на базата данни, с която съдебният изпълнител получава достъп до съдържащите се в нея лични данни за извършване на оценка на стойността ѝ и за да я посочи в изпълнителния лист. За извършването на тази оценка съдебният изпълнител осъществява поредица от действия, включително извличане, консултиране и използване на тези данни(18). Производството по принудително изпълнение приключва с продан на базата данни чрез продажба на търг. След спечелване на търга и плащане на цялата цена съдебният изпълнител предоставя тази база данни на приобретателя.
53. От това следва, че личните данни, съдържащи се във бази данни, подобни на разглежданите, са най-малкото извлечени, консултирани и използвани от съдебния изпълнител при оценката на стойността ѝ и са впоследствие предоставени на разположение на приобретателя. В това отношение следва да се отбележи, че обработването на лични данни може да се състои от една или повече операции, всяка от които свързана с един от различните възможни етапи от обработването на лични данни(19). Ето защо в настоящия случай тези операции трябва да се считат за „обработване“ по смисъла на ОРЗД.
54. На следващо място трябва да се идентифицира администраторът.
55. Следва да се припомни, че съгласно член 4, точка 7 от ОРЗД понятието „администратор“ обхваща физически или юридически лица, публични органи, агенции или други структури, които сами или съвместно с други определят целите и средствата на обработването(20). Тази разпоредба предвижда още, че когато целите и средствата за това обработване се определят в частност от правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в това право. Съгласно постоянната съдебна практика такова широко определение за понятието „администратор“ има за цел да осигури ефикасна и пълна защита на съответните лица(21).
56. Когато определянето на целите и средствата на обработването е извършено от националното право, съгласно по-новата съдебна практика следва да се провери дали това право определя администратора, или предвижда специални критерии за неговото определяне. Определянето на администратор в националното право може да бъде извършено не само изрично, но и имплицитно. В последния случай обаче е необходимо определянето да произтича по достатъчно сигурен начин от ролята, задачите и правомощията, предоставени на съответното лице или съответния субект(22).
57. В случая от член 3, параграф 1 от Закона за съдебните изпълнители следва, че съдебният изпълнител е орган на публична власт, който извършва действия по-специално в производствата по принудително изпълнение, освен ако в закона не е предвидено друго. Освен това и както бе посочено по-горе, от материалите по делото следва, че когато принудителното изпълнение се отнася до бази данни, при оценката на стойността на базите данни с оглед прехвърляне чрез продажба на търг, както и за предоставянето ѝ на разположение на приобретателя, след като търгът е спечелен, тези действия се състоят по-специално в извличане, консултиране и използване на съдържащите се в нея лични данни. Струва ми се, че така полското право определя, поне имплицитно, целите и средствата за обработването на лични данни, извършвано от съдебния изпълнител.
58. От това следва, че в конкретния случай може да се приеме, че като орган на публична власт, на който е възложено да провежда всяко производство по принудително изпълнение, включително такова, имащо за предмет база данни, съдебният изпълнител е администратор на съдържащите се в базата лични данни по смисъла на член 4, точка 7 от ОРЗД.
59. Запитващата юрисдикция не посочва нито една разпоредба от полското право, която да възлага на дружеството длъжник NMW задължения за сътрудничество със съдебния изпълнител, за да му позволи да оцени стойността на съответните бази данни с оглед на принудителната им продан.
60. Не може да се изключи, че такива задължения биха означавали извършване на друго обработване по смисъла на ОРЗД, администратор на което е това дружество. В това отношение е важно да се припомни, че в решение Valsts ieņēmumu dienests (Обработване на лични данни за данъчни цели) Съдът е приел, че предаването и предоставянето от икономически оператор на лични данни, които последният е длъжен да предаде и предостави на данъчната администрация на държава членка, предполага такова обработване в допълнение към обработването, извършвано от тази администрация чрез искането ѝ за предаване и предоставяне на тези данни(23).
61. По-малко вероятно, макар и възможно по абстрактен начин е съдебният изпълнител и дружеството длъжник NMW да носят съвместна отговорност за извършваните обработвания на съответните лични данни за целите на принудителната продан. Съгласно решение État belge (Данни, обработвани от държавен вестник) този извод може да се приеме, когато различните операции по обработване са обединени от определени от това националното право цели и средства и това право определя съответните задължения на всеки от съвместните администратори(24).
62. При това положение с оглед на обстоятелствата в конкретния случай анализът по-долу се опира на предпоставката, че единствено съдебният изпълнител е администратор на разглежданото в главното производство обработване.
63. В качеството на администратор съдебният изпълнител не само носи отговорност за спазването на принципите, уреждащи обработването на лични данни(25), но и също така е носител на значителен брой задължения, на които съответстват права за субектите на данни(26). Тези задължения може само да бъдат ограничени от националния законодател при условията, предвидени в член 23 от ОРЗД. На поставен в съдебното заседание въпрос относно наличието на такива законови разпоредби в националното право полското правителство посочва само член 4 от Закона за закрила на данните. Този член обаче ограничава само обхвата на задълженията на администратора, изпълняващ публични задачи, произтичащи от член 14, параграфи 1, 2 и 4 от ОРЗД („Информация, предоставяна, когато личните данни не са получени от субекта на данните“).
По законосъобразността на разглежданото обработване на лични данни
64. Както Съдът многократно е приемал, всяко обработване на лични данни трябва по-специално да е в съответствие с прогласените в член 5, параграф 1 от ОРЗД принципи във връзка с обработването на данни и, с оглед на принципа за законосъобразност на обработването, да отговаря на изискванията за законосъобразност, изброени в член 6 от този регламент(27).
65. Член 6, параграф 1, първа алинея от посочения регламент съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно. Такава квалификация предполага обработването да попада в някоя от тези хипотези. Следва обаче да се припомни, че въпросното обработване не попада в обхвата на основната хипотеза по тази разпоредба, а именно хипотезата, при която субектът на данните е дал съгласие за обработване за една или повече конкретни цели(28). Както е видно от акта за преюдициално запитване, в хода на главното производство не са посочени доказателства, от които да следва, че като са дали достъп до своите данни субектите на данни, чиито лични данни са събрани в съответните бази данни, са изразили съгласие за обработването им чрез предоставянето на достъп до тях на трети лица извън свързаната с платформата M. дейност, и по-специално да бъдат предмет на продан вследствие на производство за принудително изпълнение.
66. Според запитващата юрисдикция обработването, извършвано от съдебния изпълнител, може да попада в обхвата на член 6, параграф 1, първа алинея, буква в) от ОРЗД (обработване, което е необходимо за спазването на законово задължение, което се прилага спрямо администратора) или в обхвата на член 6, параграф 1, първа алинея, буква д) от този регламент (обработване, което е необходимо за изпълнение на задача от обществен интерес или при упражняване на официални правомощия, които са предоставени на администратора)(29).
67. Както отбелязва запитващата юрисдикция, с член 3 от Закона за съдебните изпълнители на съдебния изпълнител се признава статут на орган на публична власт. Според мен би било трудно да се твърди, че операциите по обработване, възложени на съдебния изпълнител в рамките на принудителното изпълнение, насочено към удовлетворяване на взискателя, не отразяват изпълнението на задача от обществен интерес или при упражняване на предоставените му официални правомощия.
68. Освен това не би могло лесно да се приеме, че условието, посочено в член 6, параграф 1, първа алинея, буква в) от ОРЗД, се прилага към разглежданата ситуация. В това отношение важно е да се отбележи, че приложното поле на тази разпоредба е строго определено. Всъщност, както следва от Становище 6/2014 на Работната група по член 29(30), законовото задължение, което се прилага спрямо администратора, трябва да бъде достатъчно ясно, що се отнася до изискваното с това задължение обработване на лични данни. Това предполага по-конкретно наличието на правни разпоредби, в които изрично се посочват естеството и целта на обработването(31).
69. В настоящия случай не намирам, че посочените от запитващата юрисдикция разпоредби, тоест член 3, параграф 1, член 9, параграф 1, точка 1 и член 31, параграф 1, първо изречение от Закона за съдебните изпълнители, както и член 796, параграф 1 и член 799, параграф 1, първо изречение от Гражданския процесуален кодекс, може да се квалифицират като такива, доколкото от тези разпоредби е видно само, че в качеството си на орган на публична власт съдебният изпълнител е длъжен да уважи всяка молба за провеждане на принудително изпълнение по всички допустими способи. По-конкретно, изглежда, че полското право не налага на съдебния изпълнител законово задължение за осъществяване на принудителна продан на база данни, съдържаща лични данни. В това отношение следва да се отбележи, че член 831, параграф 1, точка 3 от Гражданския процесуален кодекс изключва от принудителното изпълнение „непрехвърлими права“, което би могло да се тълкува като забрана за прехвърляне на база данни, в случай че то е несъвместимо с ОРЗД.
70. Във всеки случай не е необходимо да се изключи, че последната хипотеза може да е релевантна и в настоящия случай. Всъщност, макар да е достатъчно само едно условие за законосъобразност да намира приложение, както се потвърждава в текста на член 6, параграф 1, първа алинея от ОРЗД, Съдът е приел, че едно-единствено обработване може да отговаря на няколко от тези условия(32).
71. Ето защо според мен разглежданото обработване спада към условието за законосъобразност по член 6, параграф 1, първа алинея, буква д) от ОРЗД.
72. Следва да се отбележи, че тази хипотеза предполага да се вземе предвид друго условие за законосъобразност на обработването. Всъщност в член 6, параграф 3 от ОРДЗ се уточнява, че основанието за обработване, посочено по-специално в член 6, параграф 1, буква д) от този регламент, трябва да бъде определено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора, трябва да отговаря на цел от обществен интерес и да бъде пропорционално на преследваната легитимна цел(33).
73. Така разпоредбите на член 6, параграф 1, първа алинея, буква д) във връзка с член 6, параграф 3 от ОРЗД изискват по-специално да е налице именно национално правно основание, въз основа на което да се извършва обработването на лични данни от администраторите, които действат именно в изпълнение на задача от обществен интерес или при упражняване на официални правомощия, както действа съдебният изпълнител при принудително изпълнение срещу имуществото на дадено дружество(34).
74. Според мен това правно основание обхваща всички разпоредби от полското право, посочени в точка 69, първо изречение от настоящото заключение, от което следва, че в качеството си на орган на публична власт съдебният изпълнител е длъжен да уважи всяка молба за провеждане на принудително изпълнение по всички допустими способи.
75. Накрая въпросът дали разглежданото обработване е в съответствие с ОРЗД изисква да се анализира допълнителна правна проблематика, която е в основата на настоящото дело.
76. Всъщност следва да се отбележи, че целта на извършваното от съдебния изпълнител обработване на лични данни, а именно принудителната продан на бази данни, съдържащи данни на ползвателите на платформата М., за удовлетворяване на кредиторите на дружеството NMW, се различава от първоначалната цел на обработването на лични данни, извършвано от това дружество, а именно да се позволи използването на платформата М. за нуждите на дейността по онлайн продажби на посоченото дружество.
77. В това отношение следва да се припомни, че съгласно член 5, параграф 1, буква б) от ОРЗД, който закрепва принципа на „ограничение на целите“, личните данни трябва, от една страна, да се събират за конкретни, изрично указани и легитимни цели, и от друга страна, да не се обработват по-нататък по начин, несъвместим с тези цели. Тази разпоредба не съдържа обаче указания относно условията, при които по-нататъшното обработване на лични данни може да се счита за съвместимо с целите на първоначалното събиране на тези данни(35).
78. От член 6, параграф 4 от ОРЗД, разглеждан във връзка със съображение 50 от него(36), следва, че проверката на такава съвместимост предполага да се вземат предвид редица неизчерпателни критерии, които са изброени в него.
79. Очевидно е, че вземането предвид на тези критерии в настоящия случай не би могло да доведе до утвърдителен отговор относно съвместимостта на въпросните цели. Както неотдавна Съдът уточни, посочените критерии отразяват необходимостта от конкретна, логическа и достатъчно тясна връзка между целите на първоначалното събиране на личните данни и по-нататъшното им обработване и така позволяват да се гарантира, че това по-нататъшно обработване не се отдалечава от оправданите правни очаквания на субектите на данните, що се отнася до по-нататъшното използване на техните данни(37). Такава връзка обаче не може да се установи по настоящото дело.
80. При всички положения от член 6, параграф 4, първо изречение от ОРЗД е видно, че преценката на съвместимостта на целите е необходима само „[к]огато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1 [от ОРЗД]“.
81. В настоящия случай е безспорно, че ползвателите на платформата М. не са дали съгласие за обработване за други цели, различни от тези, за които са били събрани личните им данни. При това положение възниква въпросът дали такова обработване се основава на националното право или на правото на Съюза и дали може да се счита за необходима и пропорционална мярка в едно демократично общество за постигане на една от целите, изброени в член 23, параграф 1 от ОРЗД.
82. В това отношение според мен е необходимо да се уточни, че това условие е тълкувано от Съда в смисъл, че представлява действително изключение от принципа за ограничение на целите. Като се позовава на съображение 50 от ОРЗД, Съдът посочва, че на администратора следва да се позволи да извърши последващо обработване на съответните данни, независимо дали това обработване е съвместимо с целите, за които първоначално са събрани данните, за да се гарантират важни цели от широк обществен интерес, заложени в член 23, параграф 1 от ОРЗД. Така Съдът стига до извода, че член 6, параграф 4, първо изречение от този регламент се прилага по отношение на представянето като доказателство на документ, който съдържа лични данни на трети лица, събрани главно за целите на данъчния контрол, което е разпоредено от съд в рамките на гражданско съдебно производство(38).
83. Въпреки че това тълкуване може да предизвика недоволство у тези, които считат, че правото на защита на личните данни би трябвало да може да се ограничава единствено с национални законодателни мерки, според мен то напълно съответства на намеренията на законодателя на Съюза. Всъщност е важно да се припомни, че в изложението на мотивите относно позицията на Съвета в рамките на подготвителните работи по приемането на ОРЗД е изразен, може би дори по-ясно, отколкото в съображение 50 от този регламент, избора да се предостави на администратора свобода, с внимателно определени граници, да извършва обработване, което е несъвместимо с целите, посочени при събирането на обработваните лични данни(39).
84. Тъй като вече е установено наличието на правно основание за разглежданото в настоящия случай обработване, след това трябва да се определи дали целта на това обработване е да се гарантира постигането на целите, заложени в член 23 от ОРЗД.
85. Следва да се отбележи, че съгласно параграф 1, буква й) от тази разпоредба една от тези цели е „изпълнението по гражданскоправни искове“. Струва ми се, че разглежданото обработване на лични данни може да гарантира постигането на тази цел. В това отношение е важно да се отбележи, че според запитващата юрисдикция целта на това обработване следва от съвместния прочит на член 911 от Гражданския процесуален кодекс и на член 31, параграф 1, първо изречение от Закона за съдебните изпълнители, съгласно които съдебният изпълнител е оправомощен да осъществи продан на базата данни и впоследствие да предаде на взискателя получената при принудителната продан парична сума.
86. Въпросът дали от обработването, извършено от съдебния изпълнител в производството по принудително изпълнение, произтича необходима и пропорционална мярка в едно демократично общество за постигане на целта да се гарантира изпълнението на гражданскоправни искове, е от компетентността на запитващата юрисдикция. Съдът все пак следва да даде на тази юрисдикция въз основа на наличната информация всички необходими в това отношение указания с оглед на правото на Съюза(40).
87. Що се отнася до необходимостта, безспорно е, че дадена мярка е необходима, когато преследваната законна цел не би могла да бъде постигната с по-слабо ограничително, но също толкова подходящо средство. С други думи, възможно ли е да се гарантира изпълнението на иска на дружеството взискател с други, също толкова ефективни средства, но които засягат в по-малка степен правото на зачитане на личния живот на ползвателите на платформата М. и правото им на защита на личните данни? В това отношение само ще отбележа, че според запитващата юрисдикция е невъзможно дружеството взискател да бъде удовлетворено от имуществото на дружеството длъжник, без да се осъществи принудителна продан на съответните бази данни.
88. Що се отнася до пропорционалността, преценката на това условие изисква да се претеглят съответните противоположни интереси в зависимост от конкретните обстоятелства в отделния разглеждан случай.
89. В случая първият от тези интереси, който е основно право, закрепено в член 8, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „ Хартата “) и в член 16 ДФЕС, се състои в защита на ползвателите на платформата M. при обработването на личните данни. Това право е тясно свързано с правото на зачитане на личния живот, прогласено в член 7 от Хартата. Както се посочва в съображение 4 от ОРЗД, правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност. Едно от тези права е правото на собственост, закрепено в член 17 от Хартата. Според мен обаче проданта на принадлежаща на длъжника база данни в производство по принудително изпълнение допринася за зачитането на правото на собственост на титуляря на установено по съдебен ред вземане.
90. В това отношение следва да се припомни, че член 17 от Хартата съответства на член 1 от Допълнителния протокол към Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г. (наричана по-нататък „ЕКПЧ“), поради което по силата на член 52, параграф 3 от Хартата смисълът и обхвата му са същите, като тези, които им придава конвенцията в този член 1.
91. Съгласно практиката на Европейския съд по правата на човека правото на собственост предполага държавите да имат задължение да създадат система за изпълнение на съдебни решения, която да е ефективна, както на практика, така и по закон, и която да гарантира, че установените от закона процедури за изпълнение на влезли в сила съдебни решения, се прилагат без неоснователно забавяне(41). Когато взискателят е частен изпълнител, държавата е длъжна да осигури необходимото съдействие на взискателите при изпълнението на въпросните съдебни решения, например чрез съдействие на съдебни изпълнители(42). В този контекст, когато тези органи са длъжни да предприемат действия за изпълнение на съдебно решение, а не предприемат действия, бездействието им може да доведе до търсене на отговорност от държавата, по-специално на плоскостта на член 1 от Допълнителен протокол № 1 към ЕКПЧ(43).
92. Според мен при преценката на това претегляне, от една страна, на правото на собственост, и от друга, на правото на защита на личните данни и правото на зачитане на личния живот, един специфичен елемент, съдържащ се в преписката, би могъл да се вземе предвид.
93. Съгласно акта за преюдициално запитване в полското право няма разпоредби, които да въвеждат ограничения относно личността на приобретателя на база данни, като единственото условие е притежаването на правоспособност, която празнота в правото означава, че всяко трето лице — приобретател, може да бъде и установено извън Европейския съюз образувание, което като такова не е длъжно да спазва предвидените в ОРЗД правила за обработването на лични данни.
94. При това положение ми се струва, че разглежданото обработване би довело до прекомерно засягане на правото на защита на личните данни и поради това не би могло да се счита за пропорционална мярка. Подобен резултат би могъл да се избегне например чрез национална правна норма, съгласно която съдебният изпълнител трябва да включи в изготвения за целите на публичната продан опис клауза, която да налага на третото лице — приобретател, да спазва правилата на ОРЗД.
Заключение
95. С оглед на изложените съображения предлагам на Съда да отговори на преюдициалния въпрос на Sąd Rejonowy dla m. st. Warszawy w Warszawie (Варшавски районен съд Варшава‑столица, Полша) по следния начин:
„Член 6, параграф 1, първа алинея, буква д), член 6, параграф 3 и член 6, параграф 4, първо изречение от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкуват в смисъл, че:
допускат национална правна уредба, която в производство по принудително изпълнение позволява съдебен изпълнител да осъществи продан на база данни, съдържаща лични данни, когато субектите на тези данни не са дали съгласието си за тази продан, при условие че извършеното от този съдебен изпълнител обработване на посочените данни представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантира изпълнението на гражданскоправен иск“.