Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
J. RICHARD DE LA TOUR
представено на 25 януари 2024 година(1)
Дело C‑757/22
Meta Platforms Ireland Limited
срещу
Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband e.V.
(Преюдициално запитване, отправено от Bundesgerichtshof (Федерален върховен съд, Германия)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 12, параграф 1, първо изречение — Прозрачна информация — Член 13, параграф 1, букви в) и д) — Задължение на администратора за предоставяне на информация — Член 80, параграф 2 — Представителство на субектите на данни от сдружение за защита на интересите на потребителите —Представителен иск, предявен без мандат и независимо дали са нарушени конкретни права на субект на данни — Иск, основан на нарушението на задължението на администратора за предоставяне на информация — Понятие за нарушение на правата на субект на данни „в резултат на обработването на лични данни“
I. Обстоятелства, предхождащи делото, факти по спора в главното производство и нов преюдициален въпрос
1. По настоящото дело Bundesgerichtshof (Федерален върховен съд, Германия) отново отправя преюдициален въпрос относно тълкуването на член 80, параграф 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)(2).
2. Съгласно тази разпоредба държавите членки могат да предвидят всяка структура, организация и сдружение, независимо от възложения от субекта на данни мандат, да има право да подаде в съответната държава членка жалба до надзорния орган, който е компетентен съгласно член 77 от този регламент, и да упражни правата по членове 78 и 79 от него, ако счита, че правата на субект на данни съгласно този регламент са били нарушени в резултат на обработването на лични данни.
3. Преюдициалното запитване е отправено в рамките на спор между Meta Platforms Ireland Limited, по-рано Facebook Ireland Limited, със седалище в Ирландия, и Bundesverband der Verbraucherzentralen und Verbraucherverbände — Verbraucherzentrale Bundesverband e.V. (Федерация на организациите и сдруженията на потребителите, Германия) (наричана по-нататък „Федерацията“) относно предполагаемото нарушение от страна на Meta Platforms Ireland на германското законодателство за защита на личните данни, което едновременно съставлява нелоялна търговска практика, нарушение на закон за защита на потребителите и нарушение на забраната за използване на недействителни общи търговски условия.
4. Става въпрос за същия спор като този по делото, по което е постановено решение от 28 април 2022 г., Meta Platforms Ireland(3), фактите по който могат да бъдат обобщени, както следва(4).
5. Meta Platforms Ireland, което управлява услугите на онлайн социалната мрежа Facebook в Европейския съюз, е администратор на лични данни на потребителите на тази социална мрежа в Съюза. Facebook Germany GmbH, със седалище в Германия, рекламира на адрес www.facebook.de продажбата на рекламно пространство. На интернет платформата Facebook, и по-специално на интернет адрес www.facebook.de, се намира т.нар. „App-Zentrum“ (център за приложения), където Meta Platforms Ireland предлага на потребителите достъп до безплатни игри, предоставени от трети лица. При отварянето на някои от игрите в центъра за приложения се появява указание, че използването на съответното приложение позволява на дружеството за игри да получи определени лични данни, и го оправомощава да публикува от името на потребителя определена информация, като например неговия резултат, както и друга информация. Използването предполага съгласието на потребителя с общите търговски условия на приложението и с неговите правила за защита на данните. Освен това за една конкретна игра се посочва, че приложението има право да публикува статуса, снимки и друга информация от името на потребителя.
6. Според Федерацията, която има активна процесуална легитимация съгласно член 4 от Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz — UKlaG) (Закон за исковете за преустановяване на нарушения във връзка с потребителски и други права) от 26 ноември 2001 г.(5), указанията, предоставяни от съответните игри в центъра за приложения, са нелоялни по-специално поради неспазването на правните изисквания за получаване на валидно съгласие от потребителя съгласно разпоредбите, регламентиращи защитата на данните. Освен това тя счита, че указанието, че приложението има право да публикува определена лична информация от името на потребителя, е неоправдано неблагоприятно за потребителя общо търговско условие.
7. В този контекст Федерацията предявява пред Landgericht Berlin (Областен съд Берлин, Германия) иск за преустановяване на нарушенията срещу Meta Platforms Ireland на основание член 3a от Gesetz gegen den unlauteren Wettbewerb (Закон за мерките срещу нелоялната конкуренция) от 3 юли 2004 г.(6), член 2, параграф 2, първо изречение, точка 11 от Закона за исковете за преустановяване на нарушения и Bürgerliches Gesetzbuch (Граждански кодекс). Този иск е предявен без оглед на конкретно нарушение на права на субект на данни и без мандат от такъв субект.
8. Landgericht Berlin (Областен съд Берлин) осъжда Meta Platforms Ireland в съответствие с исканията на Федерацията. Подадената от Meta Platforms Ireland пред Kammergericht Berlin (Висш областен съд Берлин, Германия) въззивна жалба е отхвърлена. Тогава Meta Platforms Ireland подава пред запитващата юрисдикция ревизионна жалба срещу решението на въззивния съд.
9. В рамките на производството по тази жалба запитващата юрисдикция счита, че искът на Федерацията е основателен, тъй като Meta Platforms Ireland е нарушило член 3а от Закона за мерките срещу нелоялната конкуренция, както и член 2, параграф 2, първо изречение, точка 11 от Закона за исковете за преустановяване на нарушения и е използвало недействително общо търговско условие по смисъла на член 1 от Закона за исковете за преустановяване на нарушения.
10. Запитващата юрисдикция обаче изпитва съмнения относно допустимостта на иска на Федерацията. По-конкретно, тя иска да се установи дали активната процесуална легитимация на Федерацията може да се изведе от член 80, параграф 2 от ОРЗД. Ето защо тя отправя до Съда преюдициално запитване, с което иска тълкуване на тази разпоредба.
11. В отговор на този въпрос в решение Meta Platforms Ireland Съдът постановява, че член 80, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че допуска национална правна уредба, която позволява на сдружение за защита на интересите на потребителите да предяви иск — без да му е възложен мандат за това и независимо дали са нарушени конкретни права на субекти на данни — срещу предполагаемия извършител на посегателство срещу защитата на личните данни, като се позове на нарушаване на забраната за нелоялни търговски практики, на закон за защита на потребителите или на забраната за използване на недействителни общи търговски условия, когато съответното обработване на данни може да засегне правата, които идентифицирани физически лица или физически лица, които могат да бъдат идентифицирани, черпят от този регламент(7).
12. По този начин Съдът уточнява материалния обхват на механизма за представителен иск срещу предполагаем нарушител на защитата на личните данни, предвиден в член 80, параграф 2 от ОРЗД.
13. По-конкретно, Съдът постановява, че за целите на предявяване на такъв представителен иск не може да се изисква от образувание, отговарящо на посочените в член 80, параграф 1 от ОРЗД условия, да идентифицира предварително и конкретно субекта на данни, засегнат от обработване на данни, за което се твърди, че противоречи на разпоредбите на този регламент(8). При тези обстоятелства определянето на категория или група лица, засегнати от такова обработване, също може да е достатъчно за предявяването на този представителен иск(9).
14. Съдът постановява също, че съгласно член 80, параграф 2 от ОРЗД за предявяването на представителен иск не е необходимо да е налице конкретно нарушение на правата, които дадено лице черпи от правните норми за защита на данни(10). Всъщност според Съда за предявяването на представителен иск е необходимо само посоченото образувание в тази разпоредба да „счита“, че предвидените в този регламент права на субект на данни са били нарушени в резултат на обработването на неговите лични данни, и следователно да твърди, че е налице обработване на данни в нарушение на разпоредбите на посочения регламент(11). От това следва, че за да се признае активна процесуална легитимация на такова образувание по силата на член 80, параграф 2 от ОРЗД, е достатъчно да се твърди, че съответното обработване на данни може да засегне правата, които идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано, черпи от този регламент, без да е необходимо да се доказва, че субектът на данни е претърпял действителна и конкретна вреда в резултат на нарушаването на правата му(12).
15. Макар че по този начин запитващата юрисдикция вече е получила указания от Съда, за да може да определи дали предявеният от Федерацията иск за преустановяване на нарушение може да се счита за допустим с оглед на условията, предвидени в член 80, параграф 2 от ОРЗД, тя счита, че все още трябва да се разреши съмнението относно тълкуването, което трябва да се даде на тази разпоредба. Всъщност тази юрисдикция подчертава, че активната процесуална легитимация на Федерацията зависи от това дали по смисъла на посочената разпоредба в жалбата си това образувание изтъква, че правата на субект на данни съгласно този регламент са били нарушени „в резултат на обработването на лични данни“.
16. Според запитващата юрисдикция не е ясно дали това изискване по отношение на материалния обхват на член 80, параграф 2 от ОРЗД е изпълнено при обстоятелствата в конкретния случай.
17. Всъщност запитващата юрисдикция посочва, че в подкрепа на иска си Федерацията изтъква нарушение на задължението за предоставяне на информация, предвидено в член 12, параграф 1, първо изречение от ОРЗД във връзка с член 13, параграф 1, букви в) и д) от този регламент, що се отнася до целта на обработването на данните и получателя на личните данни. Според същата юрисдикция следва да се провери дали при това положение може да се счита, че Федерацията се позовава на нарушение на права „в резултат на обработването на лични данни“ по смисъла на член 80, параграф 2 от посочения регламент.
18. По-конкретно, запитващата юрисдикция счита, от една страна, че остава неясно дали в настоящия спор нарушението на задължението за предоставяне на информация, произтичащо от член 12, параграф 1, първо изречение и от член 13, параграф 1, букви в) и д) от ОРЗД, попада в обхвата на понятието „обработване“ по смисъла на член 4, точка 2 от ОРЗД и дали това понятие обхваща и обстоятелствата, преди да започне събирането на лични данни(13).
19. От друга страна, запитващата юрисдикция счита, че не е ясно установено дали в случай като разглеждания в главното производство нарушението на задължението за предоставяне на информация е настъпило „в резултат на“ обработване на лични данни по смисъла на член 80, параграф 2 от ОРЗД. В това отношение посочената юрисдикция подчертава, че използването на израза „в резултат на“ може да означава, че за да бъде допустим искът, образуванието, което предявява представителен иск, трябва да твърди нарушение на права на субект на данни съгласно този регламент, произтичащо от операция по обработване на лични данни по смисъла на член 4, точка 2 от посочения регламент, и следователно след извършване на такава операция(14).
20. При тези обстоятелства Bundesgerichtshof (Федерален върховен съд) решава отново да спре производството и да отправи до Съда следния преюдициален въпрос:
„Предявява[т] ли се нарушен[и] [права на субект на данни] „в резултат на обработването на лични данни“ по смисъла на член 80, параграф 2 от ОРЗД, ако сдружение за защита на интересите на потребителите основава иска си на факта, че правата на субект на данни са били нарушени поради неизпълнение на задълженията за предоставяне на информация за целта на обработването на данните и за получателя на личните данни съгласно член 12, параграф 1, първо изречение от ОРЗД във връзка с член 13, параграф 1, букви в) и д) от същия регламент?“.
21. Писмени становища представят Meta Platforms Ireland, Федерацията, германското и португалското правителство, както и Европейската комисия.
22. На 23 ноември 2023 г. е проведено съдебно заседание за изслушване на устните състезания при участието на Meta Platforms Ireland, германското правителство и Комисията.
II. Анализ
23. Както посочих по-горе, запитващата юрисдикция има съмнения дали при обстоятелствата по делото предявеният от Федерацията представителен иск отговаря на условието по член 80, параграф 2 от ОРЗД образуванието, което е инициирало такъв иск, да счита, че предвидените в този регламент права на субект на данни са били нарушени „в резултат на обработването“ на лични данни.
24. За да се разбере напълно контекстът, в който посочената юрисдикция иска от Съда допълнителни уточнения относно материалния обхват на тази разпоредба, следва да се припомни, че в подкрепа на иска си Федерацията изтъква нарушение на задължение на Meta Platforms Ireland за предоставяне на информация за целта и обхвата на съгласието на потребителя за обработването на неговите лични данни. По-конкретно, предмет на спора са представянето на игри в центъра за приложения, намиращ се на интернет платформата на Meta Platforms Ireland, и указанието, че всяко приложение има право да публикува определена лична информация от името на потребителя. Федерацията е предявила този иск без оглед на конкретно нарушение на права на субект на данни и без мандат от такъв субект, което е в съответствие с посочената разпоредба, както е приел Съдът в решение Meta Platforms Ireland(15).
25. Различията в становищата по въпроса дали Федерацията има активна процесуална легитимация по член 80, параграф 2 от ОРЗД, вече се съсредоточават върху констатацията, направена от запитващата юрисдикция, че предявеният от това образувание представителен иск не се отнася до това дали Meta Platforms Ireland нарушава правата на субект на данни на потребителя в момента, в който той натисне бутона „Играй сега“ или „Играй“ в центъра за приложения, и по този начин евентуално започва обработването на личните му данни. Освен това е безспорно, че въпросът дали автоматизираните операции, свързани с личните данни на потребител, задействани след натискане на такъв бутон, нарушават неговите права на субект на данни, също не е предмет на иска, предявен от Федерацията.
26. В обобщение, спорът се конкретизира във въпроса дали, за да има такова сдружение активна процесуална легитимация по член 80, параграф 2 от ОРЗД, е достатъчно то да се позове на нарушение на задължение за предоставяне на информация, без да критикува като такова обработването на данни, което е резултат от операцията по натискане на бутона „Играй сега“ или „Играй“, въпреки че тази разпоредба изисква нарушаване на правата на субект на данни „в резултат на обработването на лични данни“.
27. Ето защо въпросите на запитващата юрисдикция се съсредоточават върху два аспекта: от една страна, обхвата на понятието „обработване“ и от друга страна, значението на израза „в резултат на обработването на лични данни“, съдържащ се в посочената разпоредба.
28. Така, посочената юрисдикция иска да се установи дали задължението за предоставяне на субекта на данни в кратка, прозрачна, разбираема и леснодостъпна форма, на ясен и прост език на информация за целта на обработването на личните данни и за техния получател — задължение, произтичащо от член 12, параграф 1, първо изречение и от член 13, параграф 1, букви в) и д) от ОРЗД — попада в обхвата на понятието „обработване“ по смисъла на член 4, точка 2 от този регламент.
29. Съгласно член 4, точка 2 от посочения регламент „обработване“ означава „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.
30. От текста на тази разпоредба, по-специално от израза „всяка операция“, следва, че законодателят на Съюза е искал да придаде широк обхват на понятието „обработване“. Това тълкуване се потвърждава от неизчерпателния характер на споменатите в посочената разпоредба операции, изразен с думата „като“(16). Според Съда това е в съответствие с целта да се гарантира ефективността на основното право на защита на физическите лица във връзка с лични данни, което е посочено в съображение 1 от ОРЗД и на което почива прилагането на този регламент(17).
31. В подкрепа на тезата, че задължението за предоставяне на информация, произтичащо от член 12, параграф 1, първо изречение и от член 13, параграф 1, букви в) и д) от ОРЗД, би могло да попадне в обхвата на понятието „обработване“ по смисъла на член 4, точка 2 от този регламент, запитващата юрисдикция се позовава на постановеното от Съда в решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработване на лични данни за данъчни цели)(18).
32. По делото, по което е постановено това решение, Valsts ieņēmumu dienests (Данъчна администрация, Латвия) иска от съответния икономически оператор да възстанови достъпа на службите на тази администрация до номерата на шасито на превозните средства, за които е публикувана обява на неговия интернет портал, както и до телефонните номера на продавачите, и да ѝ предостави информация относно публикуваните на този портал обяви.
33. Именно в този контекст Съдът приема, че с подобно искане, с което данъчната администрация на държава членка иска от икономически оператор разкриването и предоставянето на лични данни, които последният е длъжен да предаде и да ѝ предостави по силата на националната правна уредба на тази държава членка, се инициира процес на „събиране“ на тези данни по смисъла на член 4, точка 2 от ОРЗД(19). Оттук запитващата юрисдикция заключава, че понятието „обработване“ по смисъла на тази разпоредба обхваща операции, при които само „се инициира“ събиране на лични данни и следователно „се инициират“ операции, предхождащи операция, която законодателят на Съюза изрично е приел като пример за обработване на данни, като прави съпоставка с разглежданото в главното производство положение.
34. Считам обаче, че това положение се различава значително от положението, довело до постановяване на решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработване на лични данни за данъчни цели)(20). Всъщност в конкретния случай не става въпрос да се свърже с процеса на обработване операция, позволяваща същият да бъде задействан, а по-скоро да се установи връзката между задължение за предоставяне на информация като това, което произтича от член 12, параграф 1, първо изречение и от член 13, параграф 1, букви в) и д) от ОРЗД, и съответното обработване.
35. В това отношение считам, че колкото и да е широк, обхватът на понятието „обработване“ по смисъла на член 4, точка 2 от ОРЗД не може да включва такова задължение за предоставяне на информация. Всъщност това задължение не предполага никакви преки или непреки действия по отношение на лични данни. Посоченото задължение представлява по-скоро условие за законосъобразност на обработването на тези данни.
36. Следва да се подчертае, че в член 12 от този регламент са предвидени общи задължения на администратора по отношение на прозрачната информация и комуникацията, както и на условията за упражняването на правата на субекта на данни.
37. В частност член 12, параграф 1, първо изречение от посочения регламент предвижда, че „[а]дминистраторът предприема необходимите мерки за предоставяне на всякаква информация по членове 13 и 14 и на всякаква комуникация по членове 15—22 и член 34, която се отнася до обработването, на субекта на данните в кратка, прозрачна, разбираема и лесно достъпна форма, на ясен и прост език, особено що се отнася до всяка информация, конкретно насочена към деца“.
38. Член 13 от ОРЗД, озаглавен „Информация, предоставяна при събиране на лични данни от субекта на данните“, предвижда в параграф 1, букви в) и д):
„Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:
[…]
в) целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;
[…]
д) получателите или категориите получатели на личните данни, ако има такива […]“.
39. Следва да се припомни, че член 6, параграф 1, първа алинея от ОРЗД съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно. Ето защо, за да се счита за законосъобразно, обработването трябва да попада в някой от случаите, предвидени в тази разпоредба(21).
40. Съгласно член 6, параграф 1, първа алинея, буква а) от този регламент обработването на лични данни е законосъобразно, ако и доколкото субектът на данните е дал съгласие за това за една или повече конкретни цели(22).
41. Когато липсва такова съгласие или когато съгласието не е свободно изразено, конкретно, информирано и недвусмислено по смисъла на член 4, точка 11 от ОРЗД и когато съответното обработване не отговаря на някое от изискванията за необходимост, упоменати в член 6, параграф 1, първа алинея, букви б)—е) от този регламент, това обработване е незаконосъобразно(23).
42. Що се отнася до произтичащото от член 4, точка 11 от ОРЗД изискване съгласието да бъде „информирано“, в съответствие с член 13 от този регламент във връзка със съображение 42 от него това изискване означава администраторът да предостави на субекта на данни, при отчитане на всички обстоятелства по обработването на данните, информация в разбираема и леснодостъпна форма, на ясен и прост език, като субектът на данни трябва да бъде запознат по-специално с вида на данните, които ще бъдат обработвани, самоличността на администратора, продължителността на обработването, реда, по който то ще се извърши, и конкретните му цели. Подобна информация трябва да позволи на посочения субект лесно да определи последиците от евентуално даденото съгласие и да гарантира, че съгласието се дава при пълно познаване на фактите(24).
43. Отбелязвам обаче, че както посочва запитващата юрисдикция(25), Федерацията възразява срещу указанията, които се появяват с натискането на бутона „Играй сега“ в центъра за приложения, като ги счита за нелоялни по-специално поради неспазването на законовите изисквания за получаване на валидно съгласие от потребителя съгласно разпоредбите, регламентиращи защитата на личните данни.
44. С други думи, в основата на предявения от Федерацията иск стои обстоятелството, че предвид проблемното представяне на центъра за приложения, на което се позовава това образувание, дадено лице би могло да натисне бутона „Играй сега“, без да разполага с необходимата информация, позволяваща му лесно да определи последиците от съгласието, което може да даде за обработването на личните му данни след натискането на този бутон, и без да гарантира, че съгласието се дава при пълно познаване на фактите.
45. При тези обстоятелства считам, че в рамките на своя иск Федерацията изтъква, в съответствие с предвиденото в член 80, параграф 2 от ОРЗД, че „правата на субект на данни съгласно [този] регламент са били нарушени в резултат на обработването на лични данни“.
46. Всъщност, от една страна, както член 12, така и член 13 от ОРЗД са част от глава III от този регламент, озаглавена „Права на субекта на данни“. Предвид задължението на администратора за предоставяне на информация съгласно тези членове, произтичащите от това права на субектите на данни са част от правата, които представителният иск, предвиден в член 80, параграф 2 от посочения регламент, има за цел да защити.
47. От друга страна, предполагаемото нарушение на правото на субектите на данни да бъдат в достатъчна степен информирани относно всички обстоятелства, свързани с обработването на лични данни, и по-специално за целта на обработването и получателя на тези данни, може да възпрепятства изразяването на „информирано“ съгласие по смисъла на член 4, точка 11 от ОРЗД, което да направи незаконосъобразно това обработване.
48. Ето защо за предявяването на представителен иск по член 80, параграф 2 от този регламент е достатъчно дадено образувание да се позове на нарушение на задължението на администратора за предоставяне на информация, като уточни съответното обработване, което в случая възниква, когато лицето натисне бутона „Играй сега“. Трябва да става въпрос за обработване на данни, което може да засегне правата, които идентифицирани физически лица или физически лица, които могат да бъдат идентифицирани, черпят от посочения регламент(26), което означава, че обработването трябва да е налице и следователно не трябва да е чисто хипотетично.
49. Освен това според мен е без значение дали това образувание се позовава на нарушение на задължение, което предхожда обработването на лични данни. Такъв е случаят със задължението за предоставяне на информация, което трябва да бъде изпълнено най-късно в момента на събиране на данните, както е предвидено в член 13, параграф 1 от ОРЗД.
50. Така изразът „в резултат на обработването на лични данни“, упоменат в член 80, параграф 2 от този регламент, изобщо не означава, че правото, чието нарушаване се цели да се установи с предвидения в този член иск, трябва непременно да се отнася до етап след операция, представляваща „обработване“ по смисъла на член 4, точка 2 от посочения регламент. С други думи, в този израз не следва да се търси никакво изискване за последователност във времето, означаващо, че нарушаването на предвидените в ОРЗД права на субект на данни би трябвало да настъпи на етап след такова обработване.
51. Важно е по-скоро да съществува връзка между зачитането на въпросните права и съответното обработване. Такъв е случаят, когато нарушаването на тези права прави това обработване незаконосъобразно. Незаконосъобразността на обработването произтича от нарушението на задължението за предоставяне на информация. Двете са неразривно свързани.
52. Оттук следва, че изискването, според което образувание може да предяви представителен иск по член 80, параграф 2 от ОРЗД, ако счита, че правата на субект на данни по този регламент са били нарушени „в резултат на обработването на лични данни“, според мен не означава посоченото образувание да се позове на нарушение на тези права в резултат на операция по обработване на данни по смисъла на член 4, точка 2 от регламента и което следователно е настъпило след такава операция. Достатъчно е да се посочи наличието на връзка между обработването на лични данни и нарушението на права, защитени с ОРЗД.
53. Следователно в конкретния случай е без значение, че Федерацията се позовава на нарушение на задължение за предоставяне на информация, независимо от това дали субектът на данни натиска бутона „Играй сега“ в центъра за приложения, тъй като такова задължение, доколкото може да засегне условията за законосъобразност на обработването в резултат на активирането на бутона, безспорно е свързано с това обработване.
54. Това тълкуване е в съответствие не само с превантивната функция на представителния иск, предвидена в член 80, параграф 2 от ОРЗД(27), но и — доколкото допринася за укрепването на правата на субектите на данни(28) — с целта на този регламент, която произтича от съображение 10 от него, а именно да се гарантира в рамките на Съюза високо ниво на защита на основните права и свободи на физическите лица при обработването на лични данни(29).
55. Ще добавя, че според мен би било непоследователно да се възприеме ограничително тълкуване на материалния обхват на член 80, параграф 2 от посочения регламент, при положение че член 79, параграф 1 от ОРЗД предвижда по сходен начин правото на всеки субект на данни на ефективна съдебна защита и няма никаква причина от материалния обхват на това средство за защита да се изключат правата, които произтичат от задължението за предоставяне на информация, предвидено в член 12, параграф 1, първо изречение от този регламент във връзка с член 13, параграф 1, букви в) и д) от него.
56. Ето защо считам, че член 80, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че условието, съгласно което, за да може оправомощено образувание да предяви представителен иск по тази разпоредба, то трябва да изтъкне, че според него предвидените в този регламент права на субект на данни са били нарушени в резултат на обработването на лични данни, означава това образувание да твърди, че е налице обработване на лични данни, както и връзка между нарушаването на тези права и въпросното обработване. Това условие е изпълнено, когато във връзка с обработването на лични данни искът се основава на нарушението от страна на администратора на задължението за предоставяне на информация, предвидено в член 12, параграф 1, първо изречение от посочения регламент във връзка с член 13, параграф 1, букви в) и д) от същия регламент, доколкото това нарушение може да направи обработването незаконосъобразно.
III. Заключение
57. С оглед на всички изложени по-горе съображения предлагам на отправения от Bundesgerichtshof (Федерален върховен съд, Германия) преюдициален въпрос да се отговори по следния начин:
„Член 80, параграф 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
условието, съгласно което, за да може оправомощено образувание да предяви представителен иск по тази разпоредба, то трябва да изтъкне, че според него предвидените в този регламент права на субект на данни са били нарушени в резултат на обработването на лични данни, означава това образувание да твърди, че е налице обработване на лични данни, както и връзка между нарушаването на тези права и въпросното обработване. Това условие е изпълнено, когато във връзка с обработването на лични данни искът се основава на нарушението от страна на администратора на задължението за предоставяне на информация, предвидено в член 12, параграф 1, първо изречение от посочения регламент във връзка с член 13, параграф 1, букви в) и д) от същия регламент, доколкото това нарушение може да направи обработването незаконосъобразно“.