ROZSUDOK SÚDNEHO DVORA (štvrtá komora)
z 27. októbra 2022 (*)
„Návrh na začatie prejudiciálneho konania – Spracovávanie osobných údajov a ochrana súkromia v sektore elektronickej komunikácie – Smernica 2002/58/ES – Článok 12 – Verejné telefónne zoznamy a informačné služby o účastníckych číslach – Súhlas účastníka – Povinnosti poskytovateľa telefónnych zoznamov a informačných služieb o účastníckych číslach – Nariadenie (EÚ) 2016/679 – Článok 17 – Právo na vymazanie (právo ‚na zabudnutie‘) – Článok 5 ods. 2 – Článok 24 – Informačné povinnosti a zodpovednosť prevádzkovateľa“
Vo veci C‑129/21,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Hof van beroep te Brussel (Odvolací súd Brusel, Belgicko) z 24. februára 2021 a doručený Súdnemu dvoru 2. marca 2021, ktorý súvisí s konaním:
Proximus NV
proti
Gegevensbeschermingsautoriteit,
SÚDNY DVOR (štvrtá komora),
v zložení: predseda štvrtej komory C. Lycourgos, sudcovia L. S. Rossi (spravodajkyňa), J.‑C. Bonichot, S. Rodin a O. Spineanu‑Matei,
generálny advokát: A. M. Collins,
tajomníčka: M. Ferreira, hlavná referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 9. februára 2022,
so zreteľom na pripomienky, ktoré predložili:
– Proximus NV, v zastúpení: P. Craddock, T. de Haan, avocats, a E. Van Bogget, advocaat,
– Gegevensbeschermingsautoriteit, v zastúpení: C. Buggenhoudt, E. Cloots a J. Roets, advocaten,
– talianska vláda, v zastúpení: G. Palmieri, splnomocnená zástupkyňa, za právnej pomoci G. Rocchitta, avvocato dello Stato,
– lotyšská vláda, v zastúpení: E. Bārdiņš, J. Davidoviča a K. Pommere, splnomocnení zástupcovia,
– portugalská vláda, v zastúpení: P. Barros da Costa, L. Inez Fernandes, M. J. Ramos a C. Vieira Guerra, splnomocnení zástupcovia,
– rumunská vláda, v zastúpení: E. Gane a L. Liţu, splnomocnené zástupkyne,
– Európska komisia, v zastúpení: S. L. Kalėda, H. Kranenborg a P.‑J. Loewenthal, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní 28. apríla 2022,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 12 ods. 2 v spojení s článkom 2 druhým odsekom písm. f) smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 o spracovávaní osobných údajov a ochrane súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. EÚ L 201, 2002, s. 37; Mim. vyd. 13/029, s. 514), zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009 (Ú. v. EÚ L 337, 2009, s. 11) (ďalej len „smernica 2002/58“), a článku 5 ods. 2 a článkov 17, 24 a 95 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „nariadenie o ochrane údajov“).
2 Tento návrh bol podaný v rámci sporu medzi Proximus NV, akciovou spoločnosťou založenou podľa belgického verejného práva, a Gegevensbeschermingsautoriteit (Úrad na ochranu údajov, Belgicko) (ďalej len „APD“) vo veci rozhodnutia, ktorým Geschillenkamer van de Gegevensbeschermingsautoriteit (oddelenie pre sporovú agendu Úradu na ochranu údajov, ďalej len „oddelenie pre sporovú agendu“) uložilo spoločnosti Proximus povinnosť prijať nápravné opatrenia a zaplatiť pokutu 20 000 eur z dôvodu porušenia viacerých ustanovení nariadenia o ochrane údajov.
Právny rámec
Právo Únie
Smernica 95/46/ES
3 Článok 2 písm. h) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 013/15, s. 355) stanovuje:
„Na účely tejto smernice:
…
h) ‚súhlas osoby pracujúcej s údajmi‘ znamená slobodne poskytnutú a informovanú indikáciu jeho prianí, ktorou osoba pracujúca s údajmi prejaví svoj súhlas, aby sa osobné údaje, ktoré sa ho týkajú, spracovali.“
Smernica 2002/58
4 Odôvodnenia 10, 17, 38 a 39 smernice 2002/58 znejú takto:
„(10) V elektronickom komunikačnom sektore sa smernica 95/46/ES uplatňuje najmä na všetky záležitosti týkajúce sa ochrany základných práv a slobôd, ktoré nie sú predmetom ustanovení tejto smernice, vrátane povinností spracovávateľov a práv jednotlivcov. …
…
(17) Na účely tejto smernice súhlas užívateľa alebo účastníka, bez ohľadu na to či je účastník fyzickou alebo právnickou osobou, by mal mať rovnaký význam ako súhlas dátového subjektu definovaného a ďalej špecifikovaného [súhlas dotknutej osoby definovanej a ďalej špecifikovanej – neoficiálny preklad] v smernici 95/46/ES. Súhlas môže byť vyjadrený akýmkoľvek vhodným spôsobom umožňujúcim vyjadrenie špecifického želania, ktoré nastane na základe slobodného a vecného rozhodnutia užívateľa, vrátane označenia poľa na webovej stránke internetu.
…
(38) Zoznamy účastníkov elektronických komunikačných služieb sú distribuované širokej verejnosti. Právo na súkromie fyzických osôb a legitímny záujem právnických osôb si vyžadujú, aby mohli účastníci určiť, či ich osobné údaje budú zverejnené v zozname a ak budú, tak aké. Poskytovatelia verejných zoznamov by mali svojich účastníkov zahrnutých v zoznamoch informovať o účele zoznamu a o akomkoľvek osobitnom použití, ktoré sa môže realizovať v elektronickej verzii verejných telefónnych zoznamov pomocou vyhľadávacích funkcií zabudovaných v software, ako sú spätné vyhľadávacie funkcie umožňujúce užívateľom zoznamu zistiť meno, adresu účastníka len na základe telefónneho čísla.
(39) Povinnosť informovať účastníkov o účele verejných telefónnych zoznamov, v ktorých sa majú uviesť ich osobné údaje, by mala byť uložená subjektu, ktorý zhromažďuje také údaje. Keď môžu byť údaje prenášané jednej alebo viacerým tretím stranám, účastník by mal byť informovaný o tejto možnosti a o príjemcovi alebo o kategóriách možných príjemcov; každý prenos by mal byť podmienený tým, že údaje sa nemôžu použiť na iné účely než sú tie, na ktoré boli zhromažďované. Ak subjekt, ktorý zhromažďuje údaje od účastníkov, alebo ktorákoľvek tretia strana, ktorej sa údaje poslali, chce používať dáta na ďalšie účely, musí sa získať nový súhlas od účastníka daný pôvodnému subjektu zhromažďujúcemu údaje alebo tretej strane, ktorej sa údaje poslali.“
5 Článok 1 tejto smernice stanovuje:
„1. Touto smernicou sa ustanovuje harmonizácia vnútroštátnych ustanovení požadovaných na zabezpečenie primeranej úrovne ochrany základných práv a slobôd, a najmä práva na súkromie a dôvernosť, z hľadiska spracúvania osobných údajov v elektronickom komunikačnom sektore a zabezpečenia voľného pohybu takých údajov a elektronických komunikačných zariadení a služieb v Spoločenstve.
2. Ustanovenia tejto smernice spodrobňujú a dopĺňajú smernicu 95/46/ES na účely uvedené v odseku 1. Okrem toho poskytujú ochranu legitímnych záujmov účastníkov, ktorí sú právnickými osobami.
…“
6 Podľa článku 2 druhého odseku písm. f) uvedenej smernice s názvom „Definície“:
„Platia aj tieto definície:
f) ,súhlas‘ užívateľa alebo účastníka zodpovedá súhlasu dátového subjektu v súlade so smernicou 95/46/ES.“
7 Článok 12 tejto smernice, nazvaný „Telefónne zoznamy účastníkov“, stanovuje:
„1. Členské štáty zabezpečia, aby bol každý účastník bezplatne a predtým, než bude zaradený do zoznamu, informovaný o účele vytlačeného alebo elektronického telefónneho zoznamu účastníkov dostupného verejnosti alebo zoznamu, ktorý sa dá získať z informačnej služby a v ktorom môžu byť zaradené ich osobné údaje, a o akýchkoľvek ďalších možnostiach využitia založených na vyhľadávacích funkciách zabudovaných v elektronických verziách zoznamu.
2. Členské štáty zabezpečia aby mali účastníci možnosť určiť, či ich osobné údaje budú zaradené do verejného telefónneho zoznamu a ak áno, ktoré budú zaradené, pokiaľ sú tieto údaje relevantné účelom zoznamu stanoveným poskytovateľom zoznamu, a možnosť overiť, opraviť alebo odstrániť také údaje. Nezaradenie do telefónneho zoznamu účastníkov, overenie, opravy alebo odstránenie takých údajov zo zoznamu musí byť bezplatné.
3. Členské štáty môžu požadovať, aby pre akýkoľvek účel verejného telefónneho zoznamu, iný než je vyhľadanie kontaktných údajov osôb na základe ich mena prípadne minima ďalších identifikačných údajov, bol potrebný dodatočný súhlas účastníkov.
…“
Nariadenie o ochrane údajov
8 Odôvodnenia 42, 66 a 173 nariadenia o ochrane údajov stanovujú:
„(42) Ak je spracúvanie založené na súhlase dotknutej osoby, prevádzkovateľ by mal vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním. Najmä v kontexte písomného vyhlásenia v inej záležitosti by záruky mali zabezpečovať, že dotknutá osoba si je vedomá, že dáva súhlas a v akom rozsahu ho udeľuje. … vyjadrenie súhlasu, ktoré vopred naformuloval prevádzkovateľ, malo byť v zrozumiteľnej a ľahko dostupnej forme a formulované jasne a jednoducho a nemalo by obsahovať nekalé podmienky. Aby sa zaistilo, že súhlas bude informovaný, dotknutá osoba by si mala byť vedomá aspoň identity prevádzkovateľa a zamýšľaných účelov spracúvania osobných údajov. Súhlas by sa nemal považovať za slobodný, ak dotknutá osoba nemá skutočnú alebo slobodnú voľbu alebo nemôže odmietnuť či odvolať súhlas bez nepriaznivých následkov.
…
(66) Aby sa posilnilo ‚právo na zabudnutie‘ v online prostredí, malo by sa rozšíriť právo na vymazanie aj tým, aby prevádzkovateľ, ktorý osobné údaje zverejnil, bol povinný informovať prevádzkovateľov, ktorí takéto osobné údaje spracúvajú, o vymazaní všetkých odkazov na tieto osobné údaje alebo kópií či replík týchto osobných údajov. Pritom by mal uvedený prevádzkovateľ prijať primerané kroky, so zohľadnením dostupnej technológie a prostriedkov, ktoré má prevádzkovateľ k dispozícii, vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí spracúvajú osobné údaje, o žiadosti dotknutej osoby.
…
(173) Toto nariadenie by sa malo uplatňovať na všetky záležitosti týkajúce sa ochrany základných práv a slobôd pri spracúvaní osobných údajov, ktoré nepodliehajú osobitným povinnostiam s rovnakým cieľom uvedeným v smernici 2002/58/ES… vrátane povinností prevádzkovateľa a práv fyzických osôb. S cieľom spresniť vzťah medzi týmto nariadením a smernicou 2002/58/ES by sa uvedená smernica mala zodpovedajúcim spôsobom zmeniť. Po prijatí tohto nariadenia by sa mala preskúmať smernica 2002/58/ES, najmä s cieľom zaistiť konzistentnosť s týmto nariadením.“
9 Článok 4 body 2, 7 a 11 tohto nariadenia znejú takto:
„Na účely tohto nariadenia:
…
2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7. ‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;
…
11. ‚súhlas dotknutej osoby‘ je akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo jednoznačného potvrdzujúceho úkonu vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.“
10 Článok 5 nariadenia o ochrane údajov, nazvaný „Zásady spracúvania osobných údajov“, stanovuje:
„1. Osobné údaje musia byť:
a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (zákonnosť, spravodlivosť a transparentnosť);
…
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
11 Podľa článku 6 nariadenia o ochrane údajov, nazvaného „Zákonnosť spracúvania“:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…“
12 Článok 7 nariadenia o ochrane údajov, nazvaný „Podmienky vyjadrenia súhlasu“, stanovuje:
„1. Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
…
3. Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
…“
13 Článok 16 nariadenia o ochrane údajov, nazvaný „Právo na opravu“, stanovuje:
„Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú. So zreteľom na účely spracúvania má dotknutá osoba právo na doplnenie neúplných osobných údajov, a to aj prostredníctvom poskytnutia doplnkového vyhlásenia.“
14 Článok 17 nariadenia o ochrane údajov s názvom „Právo na vymazanie (‚právo na zabudnutie‘)“ znie:
„1. Dotknutá osoba má tiež právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú, a prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z týchto dôvodov:
…
b) dotknutá osoba odvolá súhlas, na základe ktorého sa spracúvanie vykonáva, podľa článku 6 ods. 1 písm. a) alebo článku 9 ods. 2 písm. a), a ak neexistuje iný právny základ pre spracúvanie;
…
d) osobné údaje sa spracúvali nezákonne;
2. Ak prevádzkovateľ zverejnil osobné údaje a podľa odseku 1 je povinný vymazať osobné údaje, so zreteľom na dostupnú technológiu a náklady na vykonanie opatrení podnikne primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí vykonávajú spracúvanie osobných údajov, že dotknutá osoba ich žiada, aby vymazali všetky odkazy na tieto osobné údaje, ich kópiu alebo repliky.
…“
15 Článok 19 nariadenia o ochrane údajov, nazvaný „Oznamovacia povinnosť v súvislosti s opravou alebo vymazaním osobných údajov alebo obmedzením spracúvania“, stanovuje:
„Prevádzkovateľ oznámi každému príjemcovi, ktorému boli osobné údaje poskytnuté, každú opravu alebo vymazanie osobných údajov alebo obmedzenie spracúvania uskutočnené podľa článku 16, článku 17 ods. 1 a článku 18, pokiaľ sa to neukáže ako nemožné alebo si to nevyžaduje neprimerané úsilie. Prevádzkovateľ o týchto príjemcoch informuje dotknutú osobu, ak to dotknutá osoba požaduje.“
16 Podľa článku 24 nariadenia o ochrane údajov s názvom „Zodpovednosť prevádzkovateľa“:
„1. S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.
2. Ak je to primerané vzhľadom na spracovateľské činnosti, opatrenia uvedené v odseku 1 zahŕňajú zavedenie primeraných politík ochrany údajov zo strany prevádzkovateľa.
…“
17 Článok 94 nariadenia o ochrane údajov, nazvaný „Zrušenie smernice 95/46/ES“, v odseku 2 stanovuje:
„Odkazy na zrušenú smernicu sa považujú za odkazy na toto nariadenie. …“
18 Článok 95 nariadenia o ochrane údajov, ktorý má názov „Vzťah k smernici 2002/58/ES“, stanovuje:
„Týmto nariadením sa fyzickým či právnickým osobám neukladajú dodatočné povinnosti, pokiaľ ide o spracúvanie v súvislosti s poskytovaním verejne dostupných elektronických komunikačných služieb vo verejných komunikačných sieťach v [Európskej ú]nii, v prípadoch, keď podliehajú konkrétnym povinnostiam s rovnakým cieľom stanoveným v smernici 2002/58/ES.“
Belgické právo
19 Článok 133 wet betreffende de elektronische communicatie (zákon o elektronickej komunikácii) z 13. júna 2005 (Belgisch Staatsblad, 20. jún 2005, s. 28070), ktorým sa do belgického práva prebral článok 12 smernice 2002/58, znie takto:
„§ 1. Poskytovatelia verejne dostupnej telefónnej služby bezplatne informujú svojich účastníkov pred ich zaradením do telefónneho zoznamu alebo informačnej služby o účastníckych číslach o:
1º funkcii telefónneho zoznamu alebo informačnej služby o účastníckych číslach;
2º bezplatnosti zápisu do telefónneho zoznamu alebo informačnej služby o účastníckych číslach;
3º prípadných použitiach telefónneho zoznamu alebo informačnej služby o účastníckych číslach, ktoré sa odchyľujú od vyhľadávania osobných údajov na základe mena a prípadne bydliska, pobytu alebo sídla účastníka.
V telefónnom zozname alebo informačnej službe o účastníckych číslach sa môžu nachádzať len osobné údaje, ktoré sú relevantné vo vzťahu k funkcii podľa prvého odseku a vo vzťahu ku ktorým účastník uviedol, že môžu byť uvedené v príslušnom telefónnom zozname alebo v informačnej službe o účastníckych číslach.
Na tento účel operátor kladie účastníkovi dve samostatné otázky:
1º či si želá, aby jeho údaje boli uvedené v univerzálnom zozname a v univerzálnej informačnej službe o účastníckych číslach;
2º či si želá, aby jeho údaje boli uvedené v iných zoznamoch alebo v iných informačných službách.
…
§ 2. Každý účastník má právo na prístup k osobným údajom, ktoré sa ho týkajú, v súlade s podmienkami stanovenými zákonom z 8. decembra 1992 o ochrane súkromia v súvislosti so spracovaním osobných údajov.
Každý účastník má okrem toho právo na bezplatnú opravu osobných údajov, ktoré sa ho týkajú, alebo ich výmaz, v telefónnych zoznamoch alebo informačných službách o účastníckych číslach, v súlade s postupmi a podmienkami stanovenými kráľovským dekrétom na základe stanoviska Komisie na ochranu súkromia a Inštitútu.“
20 Článok 45 ods. 2 uvedeného zákona ukladá telekomunikačným operátorom povinnosť sprístupniť údaje o ich účastníkoch poskytovateľom telefónnych zoznamov. Podľa článku 45 ods. 3 tohto zákona títo operátori oddelia údaje o účastníkoch, ktorí požiadali o nezaradenie do telefónneho zoznamu tak, aby títo účastníci mohli dostať telefónny zoznam, v ktorom sa ich údaje nenachádzajú.
Spor vo veci samej a prejudiciálne otázky
21 Spoločnosť Proximus, poskytovateľ telekomunikačných služieb v Belgicku, tiež poskytuje telefónne zoznamy a informačné služby o účastníckych číslach prístupné verejnosti (ďalej len „zoznamy“) v súlade s ustanoveniami zákona o elektronickej komunikácii. Tieto zoznamy obsahujú meno, adresu a telefónne číslo (ďalej len „kontaktné údaje“) účastníkov rôznych poskytovateľov verejne dostupných telefónnych služieb (ďalej len „telekomunikační operátori“). Existujú aj ďalšie zoznamy účastníkov, ktoré zverejňujú tretie subjekty.
22 Operátori pravidelne oznamujú kontaktné údaje týchto účastníkov spoločnosti Proximus, s výnimkou tých účastníkov, ktorí vyjadrili želanie nebyť zaradení do zoznamov vydávaných spoločnosťou Proximus. V Belgicku sa rozlišovanie medzi účastníkmi, ktorí chcú byť zaradení do telefónneho zoznamu, a tými, ktorí to nechcú, v praxi prejavuje pridelením kódu v registrácii každého účastníka: kód „NNNNN“ sa prideľuje účastníkom, ktorých údaje sa môžu uviesť a kód „XXXXX“ účastníkom, ktorých údaje zostávajú dôverné. Proximus tiež poskytuje údaje, ktoré prijíma, inému poskytovateľovi telefónnych zoznamov.
23 Sťažovateľ je účastníkom telefónnej služby poskytovanej spoločnosťou Telenet, ktorá pôsobí na belgickom trhu. Telenet nevedie zoznamy, ale poskytuje údaje o svojich účastníkoch poskytovateľom telefónnych zoznamov, okrem iného spoločnosti Proximus.
24 Dňa 13. januára 2019 tento účastník požiadal Proximus, aby neuvádzal jeho kontaktné údaje do zoznamov, ktoré zostavuje táto spoločnosť a tretie subjekty. V nadväznosti na túto žiadosť Proximus zmenila parametre tohto účastníka vo svojom informačnom systéme tak, aby sa kontaktné údaje uvedeného účastníka už nezverejňovali.
25 Dňa 31. januára 2019 Proximus dostala od spoločnosti Telenet pravidelnú aktualizáciu údajov o jej účastníkoch. Táto aktualizácia obsahovala nové údaje dotknutého účastníka, ktoré neboli uvedené ako dôverné. Proximus spracovala tieto informácie automaticky a boli zaznamenané tak, že sa znovu objavili v jej zoznamoch.
26 Dňa 14. augusta 2019 dotknutý účastník po tom, čo zistil, že jeho telefónne číslo bolo uverejnené v zoznamoch spoločnosti Proximus a tretích osôb, opätovne požiadal Proximus, aby jeho údaje v zoznamoch neuvádzala. V ten istý deň Proximus sťažovateľovi odpovedala, že odstránila jeho údaje zo zoznamov a kontaktovala spoločnosť Google, aby odstránila relevantné odkazy na internetovú stránku spoločnosti Proximus. Proximus tiež informovala tohto účastníka, že jeho údaje zaslala aj iným poskytovateľom telefónnych zoznamov a že prostredníctvom mesačných aktualizácií boli aj oni informovaní o jeho žiadosti.
27 Uvedený účastník zároveň podal na APD sťažnosť proti spoločnosti Proximus z dôvodu, že napriek jeho žiadosti o neuvedenie kontaktných údajov v telefónnych zoznamoch sa jeho telefónne číslo v niektorých týchto zoznamoch objavilo.
28 Dňa 5. septembra 2019 došlo medzi dotknutým účastníkom a spoločnosťou Proximus ešte k jednej komunikácii týkajúcej sa zverejnenia údajov tohto účastníka v zozname tretej osoby. V tejto súvislosti Proximus zdôraznila, že kontaktné údaje svojich účastníkov zasiela ostatným poskytovateľom telefónnych zoznamov, ale že nemá prehľad o interných postupoch fungovania týchto poskytovateľov.
29 Dňa 30. júla 2020 oddelenie pre sporovú agendu po kontradiktórnom konaní prijalo rozhodnutie, v ktorom spoločnosti Proximus uložilo opatrenia na nápravu a pokutu vo výške 20 000 eur pre porušenie okrem iného článku 6 nariadenia o ochrane údajov v spojení s článkom 7 tohto nariadenia a článku 5 ods. 2 tohto nariadenia v spojení s jeho článkom 24. Spoločnosti Proximus v prvom rade nariadilo, aby prijala primerané a okamžité opatrenia v súvislosti s odvolaním súhlasu dotknutým účastníkom a aby vyhovela jeho žiadosti o uplatnenie práva na vymazanie jeho údajov. V druhom rade nariadilo spoločnosti Proximus prijať vhodné technické a organizačné opatrenia na zabezpečenie toho, aby spracovanie osobných údajov, ktoré uskutočňuje, bolo v súlade s ustanoveniami nariadenia o ochrane údajov. A napokon nariadilo spoločnosti Proximus, aby ukončila protiprávne poskytovanie týchto údajov iným poskytovateľom telefónnych zoznamov.
30 Dňa 28. augusta 2020 Proximus podala proti tomuto rozhodnutiu žalobu na Hof van beroep te Brussel (Odvolací súd Brusel, Belgicko).
31 Podľa tejto spoločnosti sa v súlade s článkom 45 ods. 3 zákona o elektronickej komunikácii nevyžaduje súhlas účastníka, ale účastníci musia sami požiadať o to, aby sa ich údaje neuvádzali v telefónnych zoznamoch podľa systému tzv. „opt‑out“. Bez takejto žiadosti môže byť dotknutý účastník skutočne uvedený v týchto telefónnych zoznamoch. Z tohto dôvodu podľa spoločnosti Proximus nie je zo strany účastníka v prejednávanej veci potrebný žiadny „súhlas“ v zmysle smernice 95/46 alebo v zmysle nariadenia o ochrane údajov.
32 APD zastáva opačné stanovisko a v podstate tvrdí, že článok 12 ods. 2 smernice 2002/58 a článok 133 ods. 1 zákona o elektronickej komunikácii vyžadujú „súhlas účastníkov“ v zmysle nariadenia o ochrane údajov, aby poskytovatelia zoznamov mohli spracovávať a sprístupňovať ich osobné údaje.
33 Vnútroštátny súd sa domnieva, že smernica 2002/58 predstavuje lex specialis vo vzťahu k nariadeniu o ochrane údajov, ako to potvrdzuje odôvodnenie 173 a článok 95 tohto nariadenia. V situáciách, v ktorých smernica 2002/58 spresňuje pravidlá nariadenia o ochrane údajov, preto osobitné ustanovenia tejto smernice majú ako lex specialis prednosť pred všeobecnejšími ustanoveniami nariadenia o ochrane údajov.
34 V tejto súvislosti vnútroštátny súd poznamenáva, že článok 12 ods. 2 smernice 2002/58 a článok 133 ods. 1 zákona o elektronickej komunikácii síce vyžadujú prejav vôle účastníkov, aby mohli poskytovatelia telefónnych zoznamov spracovávať ich osobné údaje, ale nespresňujú, či sa tento prejav vôle musí urobiť prostredníctvom výkonu práva voľby, ako to uvádza Proximus, alebo prostredníctvom prejavu skutočného súhlasu v zmysle nariadenia o ochrane údajov, ako to uvádza APD. V tejto súvislosti vnútroštátny súd zdôrazňuje, že judikatúra Súdneho dvora, najmä rozsudok z 5. mája 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, bod 61), stanovila, že ako vyplýva z kontextového a systematického výkladu článku 12 smernice 2002/58, predmetný prejav vôle zodpovedá „súhlasu“, ktorý sa vzťahuje na účel zverejnenia osobných údajov vo verejnom zozname, a nie na totožnosť konkrétneho poskytovateľa zoznamu.
35 Okrem toho, keďže nebola vypracovaná žiadna osobitná úprava, pokiaľ ide o vzatie tohto prejavu vôle alebo tohto „súhlasu“ zo strany účastníka späť, ani v smernici 2002/58, ani v zákone o elektronickej komunikácii, ani vo vykonávacom nariadení, vnútroštátny súd sa pýta, či sa všetky ustanovenia nariadenia o ochrane údajov majú uplatňovať automaticky a bez obmedzení aj v osobitnom kontexte telefónnych zoznamov.
36 Za týchto okolností Hof van beroep te Brussel (Odvolací súd Brusel) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:
„1. Má sa článok 12 ods. 2 smernice 2002/58 v spojení s článkom 2 [písm. f)] tejto smernice a s článkom 95 [nariadenia o ochrane údajov] vykladať v tom zmysle, že umožňuje, aby vnútroštátny dozorný orgán, ak vnútroštátne právne predpisy nestanovujú inak, vyžadoval ‚súhlas‘ účastníka v zmysle [nariadenia o ochrane údajov] ako základ pre zverejnenie jeho osobných údajov vo verejných telefónnych zoznamoch a informačných službách o účastníckych číslach, ktoré zverejňuje tak samotný prevádzkovateľ, ako aj tretí poskytovatelia?
2. Má sa právo na vymazanie podľa článku 17 [nariadenia o ochrane údajov] vykladať v tom zmysle, že bráni tomu, aby vnútroštátny dozorný orgán kvalifikoval žiadosť účastníka o odstránenie z verejných telefónnych zoznamov a informačných služieb o účastníckych číslach ako žiadosť o vymazanie v zmysle článku 17 [nariadenia o ochrane údajov]?
3. Majú sa článok 24 a článok 5 ods. 2 [nariadenia o ochrane údajov] vykladať v tom zmysle, že bránia tomu, aby vnútroštátny dozorný orgán vyvodil z povinnosti zodpovednosti upravenej v tomto nariadení záver, že prevádzkovateľ musí prijať vhodné technické a organizačné opatrenia na informovanie tretích prevádzkovateľov, konkrétne poskytovateľa telefonických služieb a iných poskytovateľov telefónnych zoznamov a informačných služieb o účastníckych číslach, ktorí získali údaje od tohto prvého prevádzkovateľa, o odvolaní súhlasu dotknutou osobou v súlade s článkom 6 v spojení s článkom 7 [nariadenia o ochrane údajov]?
4. Má sa článok 17 ods. 2 [nariadenia o ochrane údajov] vykladať v tom zmysle, že bráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi verejných telefónnych zoznamov a informačných služieb o účastníckych číslach, ktorému bola predložená žiadosť o ukončenie zverejňovania údajov určitej osoby, prijať primerané opatrenia na informovanie prevádzkovateľov vyhľadávačov o uvedenej žiadosti o vymazanie?“
O prejudiciálnych otázkach
O prvej otázke
37 Proximus tvrdí, že spor vo veci samej sa netýka uverejnenia zoznamov obsahujúcich osobné údaje telekomunikačným operátorom, takže prvú prejudiciálnu otázku treba považovať za neprípustnú v rozsahu, v akom sa týka takého prípadu.
38 Z ustálenej judikatúry totiž vyplýva, že pri otázkach týkajúcich sa výkladu práva Únie položených vnútroštátnym súdom v právnom a skutkovom rámci, ktorý tento súd vymedzí na svoju zodpovednosť a ktorého presnosť Súdnemu dvoru neprináleží preverovať, platí prezumpcia ich relevantnosti. Súdny dvor môže odmietnuť rozhodnúť o návrhu na začatie prejudiciálneho konania podanom vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s realitou alebo predmetom sporu vo veci samej, ak ide o hypotetický problém alebo ak Súdny dvor nedisponuje skutkovými a právnymi podkladmi potrebnými na užitočnú odpoveď na otázky, ktoré mu boli položené (rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 48 a citovaná judikatúra).
39 V prejednávanej veci ide o spor len medzi fyzickou osobou a spoločnosťou, ktorá nie je jej telekomunikačným operátorom, pokiaľ ide o spôsob, akým táto spoločnosť zaobchádzala s osobnými údajmi tejto osoby v rámci zverejnenia zoznamov. Z toho vyplýva, že prvá otázka je neprípustná v rozsahu, v akom sa týka výkladu požiadaviek, ktoré vyplývajú z článku 12 ods. 2 smernice 2002/58 v prípade, keď osobné údaje tejto osoby zverejňuje v zoznamoch samotný telekomunikačný operátor.
40 Z vyššie uvedeného vyplýva, že svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 12 ods. 2 smernice 2002/58 v spojení s článkom 2 druhým odsekom písm. f) tejto smernice a článkom 95 nariadenia o ochrane údajov vykladať v tom zmysle, že na zaradenie osobných údajov účastníka telekomunikačného operátora do zoznamov, ktoré zverejňujú iní prevádzkovatelia ako tento operátor, sa vyžaduje „súhlas“ tohto účastníka v zmysle článku 4 bodu 11 nariadenia o ochrane údajov.
41 S cieľom odpovedať na túto otázku treba pripomenúť, že podľa článku 1 ods. 1 smernice 2002/58 táto smernica predpokladá okrem iného harmonizáciu vnútroštátnych ustanovení požadovaných na zabezpečenie primeranej úrovne ochrany základných práv a slobôd, a najmä práva na súkromie a dôvernosť, z hľadiska spracúvania osobných údajov v elektronickom komunikačnom sektore.
42 V tejto súvislosti treba pripomenúť, že z článku 12 ods. 1 tejto smernice, ako aj z jej odôvodnenia 38 vyplýva, že účastníci sú pred zápisom do verejných zoznamov informovaní o účele ich vyhotovenia a o akomkoľvek osobitnom použití týchto zoznamov, najmä vďaka vyhľadávacím funkciám zabudovaným v elektronických verziách zoznamu.
43 Odôvodnenie 39 uvedenej smernice ďalej spresňuje, pokiaľ ide o povinnosť predchádzajúceho informovania účastníkov podľa článku 12 ods. 1 tejto smernice, že „keď môžu byť [osobné] údaje prenášané jednej alebo viacerým tretím stranám, účastník by mal byť informovaný o tejto možnosti a o príjemcovi alebo o kategóriách možných príjemcov“.
44 Po získaní informácií uvedených v článku 12 ods. 1 smernice 2002/58 účastník môže, ako vyplýva z odseku 2 toho istého článku, rozhodnúť, či sa jeho osobné údaje majú nachádzať vo verejnom zozname a konkrétne ktoré z nich.
45 Ako už Súdny dvor rozhodol, takéto predchádzajúce informovanie umožňuje dotknutému účastníkovi udeliť súhlas so zverejnením jeho osobných údajov vo verejných zoznamoch, pričom takýto súhlas je nevyhnutný na účely takéhoto zverejnenia (pozri v tomto zmysle rozsudok z 5. mája 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, body 54 a 58).
46 Požiadavka získať súhlas dotknutého účastníka na účely zverejnenia týchto údajov v telefónnych zoznamoch je potvrdená v článku 12 ods. 3 smernice 2002/58, podľa ktorého členské štáty môžu požadovať, aby „bol potrebný dodatočný súhlas účastníkov“ pre akýkoľvek účel verejného telefónneho zoznamu, iný než je vyhľadanie kontaktných údajov osôb na základe ich mena.
47 Okrem toho Súdny dvor rozhodol, že z kontextového a systematického výkladu článku 12 smernice 2002/58 vyplýva, že súhlas v zmysle odseku 2 tohto článku sa vzťahuje na účel zverejnenia osobných údajov vo verejnom zozname, a nie na totožnosť konkrétneho poskytovateľa zoznamu. Ak však tento účastník súhlasil s tým, aby jeho údaje boli zverejnené v zozname, ktorý má osobitný účel, v zásade nebude mať záujem namietať zverejnenie rovnakých údajov v inom zozname (rozsudok z 5. mája 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, body 61 a 62).
48 V tejto súvislosti odôvodnenie 39 tejto smernice potvrdzuje, že sprístupnenie osobných údajov účastníkov tretím osobám je dovolené, „ak je zaručené, že údaje nemožno použiť na iné účely ako tie, na ktoré boli zhromažďované“.
49 Z toho vyplýva, že ak telekomunikačný operátor, akým je Telenet, informoval účastníka o možnosti poskytnutia jeho osobných údajov tretiemu subjektu, akým je Proximus, alebo iným tretím osobám, s cieľom ich uverejnenia vo verejnom telefónnom zozname a ak tento účastník súhlasil s uverejnením týchto údajov v takomto zozname, odovzdanie týchto údajov týmto operátorom alebo subjektom inému subjektu na účely vydania tlačeného alebo elektronického verejného telefónneho zoznamu alebo na účely sprístupnenia takýchto zoznamov na nahliadnutie prostredníctvom informačných služieb o telefónnych číslach nemusí byť predmetom dodatočného súhlasu tohto účastníka, ak je zabezpečené, že príslušné údaje sa nepoužijú na iné účely ako tie, na ktoré boli zhromaždené na účely ich prvého uverejnenia. Súhlas účastníka náležite informovaného o zverejnení jeho osobných údajov vo verejnom zozname podľa článku 12 ods. 2 smernice o súkromí a elektronických komunikáciách sa totiž vzťahuje na účel tohto zverejnenia, čiže zahŕňa akékoľvek spracovanie neskorších údajov inými podnikmi pôsobiacimi na trhu verejne prístupných telefónnych informačných služieb a telefónnych zoznamov, ak toto spracovanie údajov sleduje rovnaký účel (rozsudok z 5. mája 2011, Deutsche Telekom, C‑543/09, EU:C:2011:279, bod 65).
50 Naopak, ako sa uvádza v odôvodnení 39 tejto smernice, ak strana, ktorá zhromažďovala údaje od účastníkov, alebo ktorákoľvek tretia osoba, ktorej sa údaje poskytli, chce používať tieto údaje na iné účely, uvedená strana alebo tretia osoba musia získať dodatočný súhlas účastníka.
51 Pokiaľ ide o spôsoby, prostredníctvom ktorých sa takýto súhlas musí prejaviť, z článku 2 druhého odseku písm. f) smernice 2002/58 v spojení s článkom 94 ods. 2 a článkom 95 nariadenia o ochrane údajov vyplýva, že tento súhlas musí v zásade spĺňať požiadavky vyplývajúce z článku 4 bodu 11 tohto nariadenia.
52 V prejednávanej veci článok 4 bod 11 nariadenia o ochrane údajov, ktorý predstavuje ustanovenie uplatniteľné na skutkové okolnosti vo veci samej, definuje „súhlas dotknutej osoby“ v tom zmysle, že vyžaduje „akýkoľvek slobodne daný, konkrétny, informovaný a jednoznačný“ prejav vôle dotknutej osoby, ktorým formou vyhlásenia alebo „jednoznačného potvrdzujúceho úkonu“ vyjadruje súhlas so spracúvaním osobných údajov, ktoré sa jej týka.
53 Z toho vyplýva, že takýto súhlas je nevyhnutný na to, aby sa osobné údaje týkajúce sa účastníka telekomunikačného operátora mohli nachádzať v telefónnych zoznamoch.
54 V dôsledku toho by sa uverejnenie osobných údajov dotknutého účastníka v telefónnych zoznamoch, ako sú zoznamy uverejnené spoločnosťou Proximus alebo inými poskytovateľmi, mohlo považovať za zákonné v zmysle článku 6 ods. 1 písm. a) nariadenia o ochrane údajov len vtedy, ak by takýto súhlas bol výslovne udelený telekomunikačnému operátorovi alebo jednému z týchto poskytovateľov telefónnych zoznamov.
55 Napriek tomu, ako bolo pripomenuté v bode 49 tohto rozsudku, takýto súhlas nepredpokladá, že ku dňu jeho udelenia dotknutá osoba nevyhnutne poznala totožnosť všetkých poskytovateľov telefónnych zoznamov, ktorí spracovávajú jej osobné údaje.
56 Vzhľadom na predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 12 ods. 2 smernice 2002/58 v spojení s článkom 2 druhým odsekom písm. f) tejto smernice a článkom 95 nariadenia o ochrane údajov sa má vykladať v tom zmysle, že na zaradenie osobných údajov účastníka telekomunikačného operátora do zoznamov, ktoré zverejňujú iní prevádzkovatelia, ako tento operátor, sa vyžaduje „súhlas“ tohto účastníka v zmysle článku 4 bodu 11 nariadenia o ochrane údajov, pričom stačí, keď sa tento súhlas poskytne len tomuto operátorovi.
O druhej otázke
57 Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 17 nariadenia o ochrane údajov vykladať v tom zmysle, že žiadosť účastníka o odstránenie jeho osobných údajov z telefónnych zoznamov predstavuje využitie „práva na vymazanie“ v zmysle tohto článku.
58 V prvom rade treba uviesť, že Proximus tvrdí, že článok 17 nariadenia o ochrane údajov sa neuplatňuje na poskytovateľa telefónnych zoznamov, ktorý, ako je to v prejednávanej veci, nie je telekomunikačným operátorom účastníka a že žiadosť, akou je žiadosť uvedená v predchádzajúcom bode tohto rozsudku, by sa mala nanajvýš považovať za žiadosť o opravu v zmysle článku 16 tohto nariadenia, takže druhá prejudiciálna otázka je neprípustná, pretože je pre vec samu irelevantná.
59 Tvrdenia, na ktoré poukazuje tento účastník konania, sa však v podstate vzťahujú na pôsobnosť, ako aj rozsah, a teda výklad ustanovení práva Únie, ktorých sa týka druhá otázka. Takéto tvrdenia, ktoré sa týkajú podstaty položenej otázky, nemôžu zo svojej samotnej povahy viesť k jej neprípustnosti (rozsudok z 13. januára 2022, Minister Sprawiedliwości, C‑55/20, EU:C:2022:6, bod 83).
60 Z toho vyplýva, že prejudiciálna otázka je prípustná.
61 V prvom rade treba zdôrazniť, že podľa článku 12 ods. 2 druhej vety smernice 2002/58 musia mať účastníci okrem iného možnosť odstrániť svoje osobné údaje z verejných telefónnych zoznamov.
62 Priznanie takejto možnosti pre účastníkov však nepredstavuje na strane poskytovateľov telefónnych zoznamov žiadnu osobitnú povinnosť v zmysle článku 95 nariadenia o ochrane údajov, ktorá by umožňovala vylúčiť uplatnenie relevantných ustanovení tohto nariadenia. Ako totiž v podstate uviedol generálny advokát v bode 54 svojich návrhov, smernica 2002/58 neobsahuje nijaké ďalšie zmienky o spôsoboch, vybavovaní a dôsledkoch žiadostí o odstránenie osobných údajov. Ako navyše vyplýva z odôvodnenia 10 tejto smernice v spojení s článkom 94 tohto nariadenia preto v takom prípade možno uplatniť ustanovenia nariadenia o ochrane údajov.
63 V druhom rade z článku 17 ods. 1 písm. b) a d) nariadenia o ochrane údajov vyplýva, že dotknutá osoba má právo žiadať od prevádzkovateľa vymazanie osobných údajov, ktoré sa jej týkajú, a že prevádzkovateľ je povinný bez zbytočného odkladu vymazať tieto údaje, najmä ak dotknutá osoba „odvolá súhlas, na základe ktorého sa spracúvanie vykonáva, podľa článku 6 ods. 1 písm. a)… a ak neexistuje iný právny základ pre spracúvanie“ alebo ak „osobné údaje sa spracúvali nezákonne“.
64 V tejto súvislosti z odpovede na prvú prejudiciálnu otázku vyplýva, že zverejnenie osobných údajov účastníka v zoznamoch je založené na súhlase tohto účastníka.
65 Na druhej strane z článku 6 ods. 1 písm. a) a článku 7 ods. 3 nariadenia o ochrane údajov vyplýva, že takýto súhlas predstavuje jednu z nevyhnutných podmienok, ktoré umožňujú dospieť k záveru o zákonnosti spracovania osobných údajov dotknutého účastníka a že tento súhlas možno kedykoľvek odvolať, a to rovnako jednoduchým spôsobom, akým ho dotknutá osoba udelila.
66 Pokiaľ v prejednávanej veci účastník žiada, aby jeho údaje už neboli uvedené v zozname, odvoláva svoj súhlas so zverejnením týchto údajov. Na základe odvolania svojho súhlasu získava v prípade neexistencie iného právneho základu pre takéto spracovanie právo požadovať vymazanie svojich osobných údajov z tohto zoznamu podľa článku 17 ods. 1 písm. b) nariadenia o ochrane údajov alebo v prípade, že prevádzkovateľ naďalej protiprávne uverejňuje uvedené údaje, na základe článku 17 ods. 1 písm. d) tohto nariadenia.
67 Za týchto podmienok treba usudzovať, že žiadosť účastníka o odstránenie jeho osobných údajov z telefónnych zoznamov možno považovať za využitie „práva na vymazanie“ uvedených údajov v zmysle článku 17 nariadenia o ochrane údajov.
68 Tento záver nemožno spochybniť tvrdením spoločnosti Proximus, podľa ktorého treba vychádzať z toho, že takáto žiadosť smeruje k tomu, aby tento účastník mohol vykonať svoje právo získať od prevádzkovateľa opravu svojich osobných údajov na základe článku 16 nariadenia o ochrane údajov. Podľa tohto ustanovenia je totiž takáto oprava možná, ak sú tieto údaje nepresné a jej cieľom je umožniť dotknutej osobe dosiahnuť ich doplnenie.
69 V prejednávanej veci však žiadosť o odstránenie údajov účastníka nachádzajúcich sa v zozname nemá za cieľ nahradiť nepresné údaje správnymi údajmi alebo doplniť neúplné údaje, ale odstrániť uverejnené správne údaje.
70 Skutočnosť, že takéto odstránenie sa v prejednávanej veci prejaví len zmenou kódu prideleného dotknutému účastníkovi v databáze spoločnosti Proximus, z ktorej sa osobné údaje tohto účastníka uverejňujú v telefónnych zoznamoch, nemôže brániť tomu, aby sa žiadosť o odstránenie osobných údajov uvedených v týchto zoznamoch považovala za „žiadosť o vymazanie“ v zmysle článku 17 nariadenia o ochrane údajov. Ako totiž vyplýva zo spisu, ktorá má Súdny dvor k dispozícii, spôsob odstránenia stanovený uvedeným operátorom predstavuje opatrenie čisto technickej alebo organizačnej povahy, ktoré sa zdá byť nevyhnutné na vyhovenie žiadosti dotknutej osoby o vymazanie osobných údajov a na zabránenie zverejňovania týchto údajov.
71 Vzhľadom na predchádzajúce úvahy treba na druhú otázku odpovedať tak, že článok 17 nariadenia o ochrane údajov sa má vykladať v tom zmysle, že žiadosť účastníka o odstránenie jeho osobných údajov zo zoznamov predstavuje využitie „práva na vymazanie“ v zmysle tohto článku.
O tretej otázke
72 Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či sa majú článok 5 ods. 2 a článok 24 nariadenia o ochrane údajov vykladať v tom zmysle, že vnútroštátny dozorný orgán môže požadovať, aby poskytovateľ telefónnych zoznamov, ako prevádzkovateľ spracovania, prijal vhodné technické a organizačné opatrenia, aby informoval tretích prevádzkovateľov, konkrétne telekomunikačného operátora, ktorý mu oznámil osobné údaje svojho účastníka, ako aj ostatných poskytovateľov zoznamov, ktorým sám takýto súhlas oznámil, o odvolaní súhlasu tohto účastníka.
73 Na úvod treba uviesť, že v prejednávanej veci Proximus spracoval osobné údaje sťažovateľa tým, že ich zverejnil a oznámil iným poskytovateľom telefónnych zoznamov. Telenet, ktorá je jeho telekomunikačným operátorom, tiež spracovala tieto údaje, okrem iného ich postúpením spoločnosti Proximus. To isté platí pre ostatných poskytovateľov telefónnych zoznamov, ktorým Proximus poskytla kontaktné údaje tohto sťažovateľa a ktorí ich uverejnili.
74 Okrem toho treba uviesť po prvé, ako bolo pripomenuté v bode 20 tohto rozsudku, že hoci zákon o elektronickej komunikácii ukladá telekomunikačným operátorom povinnosť sprístupniť údaje o ich účastníkoch poskytovateľom verejných telefónnych zoznamov, títo operátori musia napriek tomu oddeliť údaje o účastníkoch, ktorí požiadali o to, aby neboli zaradení do telefónneho zoznamu tak, aby títo účastníci mohli získať kópiu tohto telefónneho zoznamu bez svojich údajov.
75 Zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že v praxi účastník spravidla udeľuje svoj súhlas s tým, aby sa jeho osobné údaje zverejnili v zozname, telekomunikačnému operátorovi, pričom takýto súhlas umožňuje, aby sa tieto údaje odovzdali tretej osobe, teda poskytovateľovi telefónnych zoznamov. Tento poskytovateľ môže takéto údaje oznámiť ostatným poskytovateľom telefónnych zoznamov na základe toho istého súhlasu, pričom títo prevádzkovatelia tvoria reťazec, v ktorom každý z nich tieto údaje postupne spracováva na základe jedného a toho istého súhlasu.
76 Po druhé zo spisu, ktorý má Súdny dvor k dispozícii, tiež vyplýva, že aktualizácia databázy spoločnosti Proximus, ktorej cieľom bolo vyhovieť odvolaniu súhlasu sťažovateľa, bola vymazaná hneď potom, ako jeho telekomunikačný operátor zaslal spoločnosti Proximus nový zoznam údajov o svojich účastníkoch na účely ich zverejnenia v zoznamoch, ktorý nezohľadňoval odvolanie súhlasu sťažovateľa v spoločnosti Proximus.
77 V tejto súvislosti teda vzniká otázka, či poskytovateľ telefónnych zoznamov, akým je Proximus, po tom, čo účastník telekomunikačného operátora odvolá svoj súhlas so zaradením do telefónneho zoznamu tohto poskytovateľa, musí nielen aktualizovať svoju vlastnú databázu s cieľom zohľadniť toto odvolanie, ale o ňom aj informovať telekomunikačného operátora, ktorý mu tieto údaje oznámil, ako aj ostatných poskytovateľov zoznamov, ktorým tieto údaje poskytol on sám.
78 V prvom rade treba pripomenúť, že článok 6 ods. 1 písm. a) nariadenia o ochrane údajov stanovuje, že spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď dotknutá osoba súhlasila so spracovaním svojich osobných údajov na jeden alebo viaceré konkrétne účely. Z rozhodnutia vnútroštátneho súdu pritom vyplýva, že sťažovateľ odvolal svoj súhlas v zmysle článku 7 ods. 3 tohto nariadenia so spracovaním svojich osobných údajov na účely ich uverejnenia v zoznamoch. Po takomto odvolaní už nemá spracovanie údajov na účely ich zaradenia do verejných zoznamov právny základ, vrátane spracovania, ktoré uskutočňujú na ten istý účel telekomunikační operátori alebo iní poskytovatelia zoznamov, ktorí vychádzajú z rovnakého súhlasu, a je teda nezákonné vzhľadom na článok 6 ods. 1 písm. a) tohto nariadenia.
79 V druhom rade treba pripomenúť, že v súlade s článkom 5 ods. 1 písm. a) a článkom 5 ods. 2 nariadenia o ochrane údajov prevádzkovateľ musí zabezpečiť a byť schopný preukázať, že osobné údaje sa spracúvajú zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.
80 Pokiaľ ide o článok 24 nariadenia o ochrane údajov, tento článok vyžaduje, aby prevádzkovateľ vzhľadom na povahu, rozsah, kontext a účely spracúvania prijal vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením.
81 Ako uviedol generálny advokát v bode 67 svojich návrhov, článok 5 ods. 2 a článok 24 nariadenia o ochrane údajov ukladajú prevádzkovateľom všeobecné povinnosti týkajúce sa zodpovednosti za spracovanie osobných údajov a dodržiavania predpisov. Tieto ustanovenia konkrétne vyžadujú od prevádzkovateľov, aby prijali vhodné opatrenia na predchádzanie prípadným porušeniam pravidiel stanovených v nariadení o ochrane údajov na zabezpečenie práva na ochranu údajov.
82 Z tohto hľadiska článok 19 nariadenia o ochrane údajov okrem iného stanovuje, že prevádzkovateľ oznámi každému príjemcovi, ktorému boli osobné údaje poskytnuté, každé vymazanie osobných údajov uskutočnené podľa článku 17 ods. 1, pokiaľ sa to neukáže ako nemožné alebo si to nevyžaduje neprimerané úsilie.
83 Zo všeobecných povinností stanovených v článku 5 ods. 2 a článku 24 nariadenia o ochrane údajov v spojení s jeho článkom 19 pritom vyplýva, že prevádzkovateľ spracovania osobných údajov, akým je Proximus, musí prijať vhodné technické a organizačné opatrenia, aby informoval ostatných poskytovateľov zoznamov, ktorým tieto údaje poskytol, o odvolaní súhlasu dotknutej osoby, ktorý mu bol zaslaný. Za okolností, aké spresňuje bod 76 tohto rozsudku, takýto prevádzkovateľ musí tiež dbať na informovanie telekomunikačného operátora, ktorý mu oznámil tieto osobné údaje, aby tento operátor upravil zoznam osobných údajov, ktoré automaticky sprístupní tomuto poskytovateľovi telefónnych zoznamov, a oddelil údaje svojich účastníkov, ktorí prejavili vôľu odvolať svoj súhlas so zverejnením týchto údajov.
84 Ak totiž, ako v prejednávanej veci, jednotliví prevádzkovatelia vychádzajú z jediného súhlasu dotknutej osoby spracovávať jej osobné údaje na ten istý účel, stačí, aby sa z dôvodu odvolania takého súhlasu táto osoba obrátila na ktoréhokoľvek z prevádzkovateľov, ktorí sa na účely požadovaného odvolania opierajú o ten istý súhlas.
85 Ako správne uvádza Komisia, na zabezpečenie účinnosti práva na odvolanie súhlasu podľa článku 7 ods. 3 nariadenia o ochrane údajov a na zabezpečenie toho, aby sa súhlas dotknutej osoby striktne vzťahoval na ten účel, na ktorý bol udelený, je prevádzkovateľ, v rámci ktorého dotknutá osoba odvolala súhlas so spracovaním svojich osobných údajov, skutočne povinný informovať o tomto odvolaní každú osobu, ktorá mu takéto údaje poskytla, ako aj osobu, ktorej on tieto údaje ďalej poskytol. Takto informovaní prevádzkovatelia následne majú povinnosť poskytnúť tieto informácie ostatným prevádzkovateľom, ktorým tieto údaje oznámili.
86 V tejto súvislosti treba v prvom rade uviesť, že takáto informačná povinnosť má zabrániť akémukoľvek prípadnému porušeniu pravidiel stanovených nariadením o ochrane údajov na účely zabezpečenia práva na ochranu údajov, a teda patrí do rámca vhodných opatrení v zmysle článku 24 tohto nariadenia. Okrem toho, ako zdôraznil generálny advokát v bode 68 svojich návrhov, patrí tiež do rámca požiadavky stanovenej v článku 12 ods. 2 tohto nariadenia, podľa ktorej je prevádzkovateľ povinný uľahčiť dotknutým osobám výkon ich práv zverených okrem iného článkom 17 tohto nariadenia.
87 Ďalej treba konštatovať, že neexistencia takejto informačnej povinnosti prevádzkovateľa o odvolaní súhlasu dotknutej osoby by mohla mimoriadne sťažiť odvolanie súhlasu, pretože táto osoba by sa mohla domnievať, že sa musí obrátiť na každého z prevádzkovateľov. Takýto prístup by bol teda v rozpore s článkom 7 ods. 3 nariadenia o ochrane údajov, podľa ktorého musí byť odvolanie súhlasu so spracovaním osobných údajov rovnako jednoduché ako jeho poskytnutie.
88 Napokon v súlade s judikatúrou pripomenutou v bode 49 tohto rozsudku súhlas náležite informovaného účastníka so zverejnením jeho osobných údajov vo verejnom zozname podľa článku 12 ods. 2 smernice 2002/58 sa vzťahuje na účel tohto zverejnenia, a teda sa vzťahuje na každé ďalšie spracovanie údajov tretími hospodárskymi subjektmi pôsobiacimi na trhu telefónnych zoznamov, pokiaľ takéto spracovanie údajov sleduje ten istý účel.
89 Ako uviedol generálny advokát v bode 68 svojich návrhov, z toho vyplýva, že keďže poskytovateľ telefónnych zoznamov sa môže odvolávať na súhlas so spracovaním údajov, ktorý účastník poskytol na tento účel inému poskytovateľovi alebo svojmu telekomunikačnému operátorovi, účastník musí mať možnosť, s cieľom odvolať svoj súhlas, obrátiť sa na ktoréhokoľvek z poskytovateľov zoznamov alebo tohto operátora, aby dosiahol odstránenie svojich kontaktných údajov zo zoznamu, ktoré zverejnili všetci tí, ktorí sa opierali o jeho jediný súhlas.
90 Vzhľadom na predchádzajúce úvahy treba na tretiu otázku odpovedať tak, že článok 5 ods. 2 a článok 24 nariadenia o ochrane údajov sa majú vykladať v tom zmysle, že vnútroštátny dozorný orgán môže požadovať, aby poskytovateľ telefónnych zoznamov ako prevádzkovateľ spracovania prijal vhodné technické a organizačné opatrenia, aby informoval tretích prevádzkovateľov, konkrétne telekomunikačného operátora, ktorý mu oznámil osobné údaje svojho účastníka, ako aj ostatných poskytovateľov zoznamov, ktorým sám takéto osobné údaje oznámil, o odvolaní súhlasu tohto účastníka.
O štvrtej otázke
91 Svojou štvrtou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 17 ods. 2 nariadenia o ochrane údajov vykladať v tom zmysle, že bráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi telefónnych zoznamov, ktorého účastník telekomunikačného operátora požiadal, aby už neuverejňoval jeho osobné údaje, aby prijal „primerané opatrenia“ v zmysle tohto ustanovenia s cieľom informovať prevádzkovateľov vyhľadávačov o tejto žiadosti o vymazanie údajov.
92 S cieľom odpovedať na túto otázku treba pripomenúť, že článok 17 ods. 2 nariadenia o ochrane údajov ukladá prevádzkovateľovi, ktorý zverejnil osobné údaje, aby so zreteľom na dostupné technológie a náklady na vykonanie opatrení prijal primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí spracúvajú tieto osobné údaje, o tom, že dotknutá osoba požiadala o odstránenie akýchkoľvek odkazov na tieto osobné údaje, ich kópie alebo repliky.
93 Ako vyplýva z odôvodnenia 66 nariadenia o ochrane údajov, cieľom tejto povinnosti je posilnenie práva na zabudnutie v on‑line prostredí, a z toho dôvodu sa konkrétne týka informácií sprístupnených na internete prostredníctvom prevádzkovateľov vyhľadávačov, ktorí spracúvajú údaje uverejnené on‑line.
94 V prejednávanej veci je nesporné, že Proximus uverejnila vo svojom telefónnom zozname osobné údaje sťažovateľa, a preto ju treba považovať za prevádzkovateľa, ktorý takéto údaje zverejnil v zmysle článku 17 ods. 2 nariadenia o ochrane údajov.
95 Okrem toho treba pripomenúť, že v súlade s ustálenou judikatúrou činnosť vyhľadávača spočívajúca vo vyhľadávaní informácií, ktoré na internete zverejnili alebo umiestnili tretie osoby, v ich automatickom indexovaní, dočasnom uschovaní a napokon v ich sprístupnení používateľom internetu v určitom preferenčnom poradí, sa má kvalifikovať ako „spracovanie“ osobných údajov v zmysle článku 4 bodu 2 nariadenia o ochrane údajov v prípade, že tieto informácie obsahujú osobné údaje, a poskytovateľ tohto vyhľadávača sa musí považovať za „prevádzkovateľa“ tohto spracovania v zmysle článku 4 bodu 7 tohto nariadenia, a teda aj v zmysle jeho článku 17 ods. 2 [pozri v tomto zmysle rozsudok z 24. septembra 2019, GC a i. (Odstránenie odkazu na citlivé údaje), C‑136/17, EU:C:2019:773, bod 35 a citovanú judikatúru].
96 Preto za okolností, o aké ide vo veci samej, treba konštatovať, že prevádzkovateľ, akým je Proximus, je podľa článku 17 ods. 2 nariadenia o ochrane údajov povinný zabezpečiť prijatie primeraných opatrení s cieľom informovať prevádzkovateľov vyhľadávačov o žiadosti, ktorú mu zaslal účastník telekomunikačného operátora a ktorej cieľom je vymazanie jeho osobných údajov. Ako pritom uviedol generálny advokát v bode 76 svojich návrhov, na účely posúdenia primeranosti opatrení prijatých poskytovateľom telefónnych zoznamov článok 17 ods. 2 nariadenia o ochrane údajov stanovuje, že sa má zohľadniť dostupná technológia a náklady na vykonanie opatrení, pričom táto úloha prináleží predovšetkým orgánu príslušnému pre túto oblasť a podlieha súdnemu preskúmaniu.
97 V prejednávanej veci z písomných pripomienok, ktoré v tejto súvislosti predložili APD a ktoré ostatní účastníci tohto konania nespochybnili, vyplýva, že v druhom štvrťroku 2020 bol počet prevádzkovateľov vyhľadávačov pôsobiacich v Belgicku obmedzený. Konkrétne sa podiel spoločnosti Google na trhu pohyboval od 90 %, pokiaľ ide o vyhľadávanie na počítačoch, do 99 %, pokiaľ ide o vyhľadávanie na smartfónoch a tabletoch.
98 Okrem toho, ako bolo uvedené v bode 26 tohto rozsudku, zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že v nadväznosti na žiadosť účastníka o nezaradenie údajov do telefónnych zoznamov tohto poskytovateľa Proximus odpovedala, že tieto údaje odstránila nielen z telefónnych zoznamov a z informačných služieb o účastníckych číslach, ale tiež kontaktovala Google, aby odstránil relevantné odkazy na internetovú stránku spoločnosti Proximus.
99 Vzhľadom na predchádzajúce úvahy treba na štvrtú otázku odpovedať tak, že článok 17 ods. 2 nariadenia o ochrane údajov sa má vykladať v tom zmysle, že nebráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi telefónnych zoznamov, ktorého účastník telekomunikačného operátora požiadal, aby už neuverejňoval jeho osobné údaje, aby prijal „primerané opatrenia“ v zmysle tohto ustanovenia s cieľom informovať prevádzkovateľov vyhľadávačov o tejto žiadosti o vymazanie údajov.
O trovách
100 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (štvrtá komora) rozhodol takto:
1. Článok 12 ods. 2 smernice Európskeho parlamentu a Rady 2002/58/ES z 12. júla 2002 o spracovávaní osobných údajov a ochrane súkromia v sektore elektronických komunikácií, zmenenej smernicou Európskeho parlamentu a Rady 2009/136/ES z 25. novembra 2009, v spojení s článkom 2 druhým odsekom písm. f) tejto smernice a článkom 95 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
že na zaradenie osobných údajov účastníka telekomunikačného operátora do verejných telefónnych zoznamov a informačných služieb o účastníckych číslach, ktoré zverejňujú iní prevádzkovatelia, ako tento operátor, sa vyžaduje „súhlas“ tohto účastníka v zmysle článku 4 bodu 11 tohto nariadenia, pričom stačí, keď sa tento súhlas poskytne len tomuto operátorovi.
2. Článok 17 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
žiadosť účastníka o odstránenie jeho osobných údajov z verejných telefónnych zoznamov a informačných služieb o účastníckych číslach predstavuje využitie „práva na vymazanie“ v zmysle tohto článku.
3. Článok 5 ods. 2 a článok 24 nariadenia 2016/679
sa majú vykladať v tom zmysle, že:
vnútroštátny dozorný orgán môže požadovať, aby poskytovateľ verejných telefónnych zoznamov a informačných služieb o účastníckych číslach ako prevádzkovateľ spracovania prijal vhodné technické a organizačné opatrenia, aby informoval tretích prevádzkovateľov, konkrétne telekomunikačného operátora, ktorý mu oznámil osobné údaje svojho účastníka, a ostatných poskytovateľov verejných telefónnych zoznamov a informačných služieb o účastníckych číslach, ktorým sám takéto osobné údaje oznámil, o odvolaní súhlasu tohto účastníka.
4. Článok 17 ods. 2 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
nebráni tomu, aby vnútroštátny dozorný orgán nariadil poskytovateľovi verejných telefónnych zoznamov a informačných služieb o účastníckych číslach, ktorého účastník telekomunikačného operátora požiadal, aby už neuverejňoval jeho osobné údaje, aby prijal „primerané opatrenia“ v zmysle tohto ustanovenia s cieľom informovať prevádzkovateľov vyhľadávačov o tejto žiadosti o vymazanie údajov.
Podpisy