Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL JEAN RICHARD DE LA TOUR
prezentate la 25 ianuarie 2024(1)
Cauza C‑757/22
Meta Platforms Ireland Limited
împotriva
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[cerere de decizie preliminară formulată de Bundesgerichtshof (Curtea Federală de Justiție, Germania)]
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 12 alineatul (1) prima teză – Transparența informațiilor – Articolul 13 alineatul (1) literele (c) și (e) – Obligația de informare a operatorului – Articolul 80 alineatul (2) – Reprezentarea persoanelor vizate de o asociație pentru protecția intereselor consumatorilor – Acțiune în reprezentare introdusă în lipsa unui mandat și independent de încălcarea unor drepturi concrete ale unei persoane vizate – Acțiune întemeiată pe încălcarea obligației de informare a operatorului – Noțiunea de «încălcare a drepturilor unei persoane vizate „ca urmare a prelucrării”»”
I. Istoricul cauzei, situația de fapt din litigiul principal și noua întrebare preliminară
1. În prezenta cauză, Bundesgerichtshof (Curtea Federală de Justiție, Germania) adresează din nou o întrebare preliminară privind interpretarea articolului 80 alineatul (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)(2).
2. În conformitate cu această dispoziție, statele membre pot prevedea că orice organism, organizație sau asociație, independent de mandatul unei persoanei vizate, are dreptul de a depune în statul membru respectiv o plângere la autoritatea de supraveghere, în temeiul articolului 77 din acest regulament, și de a exercita drepturile menționate la articolele 78 și 79 din acesta, în cazul în care consideră că drepturile unei persoane vizate în temeiul acestui regulament au fost încălcate ca urmare a prelucrării datelor cu caracter personal.
3. Cererea de decizie preliminară a fost formulată în cadrul unui litigiu între Meta Platforms Ireland Limited, fostă Facebook Ireland Limited, al cărei sediu social se află în Irlanda, pe de o parte, și Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Uniunea Federală a Organizațiilor și a Asociațiilor de Consumatori, Germania) (denumită în continuare „Uniunea federală”), pe de altă parte, în legătură cu presupusa încălcare de către Meta Platforms Ireland a legislației germane privind protecția datelor cu caracter personal care constituie, în același timp, o practică comercială neloială, o încălcare a unei legi în materie de protecție a consumatorilor și o încălcare a interdicției utilizării unor condiții generale nule.
4. Este vorba despre același litigiu precum cel aflat la originea cauzei în care s‑a pronunțat Hotărârea din 28 aprilie 2022, Meta Platforms Ireland(3), ale cărei fapte pot fi rezumate după cum urmează(4).
5. Meta Platforms Ireland, care administrează oferta de servicii a rețelei sociale online Facebook în Uniunea Europeană, este operatorul de date cu caracter personal ale utilizatorilor acestei rețele sociale în Uniune. Facebook Germany GmbH, cu sediul în Germania, promovează la adresa www.facebook.de vânzarea de spații publicitare. Platforma Internet Facebook conține, printre altele la adresa de internet www.facebook.de, un spațiu numit „App‑Zentrum” (Centrul de aplicații), în care Meta Platforms Ireland pune la dispoziția utilizatorilor jocuri gratuite furnizate de terți. Atunci când consultă unele dintre aceste jocuri în Centrul de aplicații, utilizatorului îi apare indicația că utilizarea aplicației în cauză permite societății care a furnizat jocurile să obțină o serie de date cu caracter personal și o autorizează să facă publice, în numele utilizatorului, anumite date precum scorul său și alte informații. Această utilizare are drept consecință acceptarea de către utilizator a condițiilor generale ale aplicației și a politicii sale în materie de protecție a datelor. În plus, în cazul unui anumit joc, apare indicația că aplicația poate publica statutul, fotografii și alte informații în numele aceluiași utilizator.
6. Uniunea federală, organism care are calitate procesuală activă în temeiul articolului 4 din Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Legea privind acțiunile în încetarea unor încălcări ale dreptului consumatorilor și a altor încălcări) din 26 noiembrie 2001(5), apreciază că indicațiile furnizate de jocurile în cauză în Centrul de aplicații sunt neloiale, în special din perspectiva nerespectării condițiilor legale aplicabile obținerii unui consimțământ valabil al utilizatorului în temeiul dispozițiilor care reglementează protecția datelor. În plus, aceasta consideră că indicația potrivit căreia aplicația este autorizată să publice în numele utilizatorului anumite informații personale ale acestuia constituie o condiție generală care defavorizează în mod nejustificat utilizatorul.
7. În acest context, Uniunea federală a introdus la Landgericht Berlin (Tribunalul Regional din Berlin, Germania) o acțiune în încetare împotriva Meta Platforms Ireland întemeiată pe articolul 3a din Gesetz gegen den unlauteren Wettbewerb (Legea privind combaterea concurenței neloiale) din 3 iulie 2004(6), pe articolul 2 alineatul (2) prima teză punctul 11 din Legea privind acțiunile în încetare, precum și pe Bürgerliches Gesetzbuch (Codul civil). Această acțiune a fost introdusă independent de încălcarea concretă a dreptului la protecția datelor unei persoane vizate și fără un mandat din partea unei astfel de persoane.
8. Landgericht Berlin (Tribunalul Regional din Berlin) a obligat Meta Platforms Ireland în conformitate cu solicitările Uniunii federale. Apelul declarat de Meta Platforms Ireland la Kammergericht Berlin (Tribunalul Regional Superior din Berlin, Germania) a fost respins. Meta Platforms Ireland a formulat atunci recurs la instanța de trimitere împotriva deciziei de respingere date de instanța de apel.
9. În recurs, instanța de trimitere a considerat că acțiunea Uniunii federale era fondată, întrucât Meta Platforms Ireland a încălcat articolul 3a din Legea privind combaterea concurenței neloiale, precum și articolul 2 alineatul (2) prima teză punctul 11 din Legea privind acțiunile în încetare și a utilizat o condiție generală nulă, în sensul articolului 1 din Legea privind acțiunile în încetare.
10. Totuși, această instanță a avut îndoieli în legătură cu admisibilitatea acțiunii Uniunii federale. În special, aceasta a ridicat problema dacă calitatea procesuală activă a Uniunii federale ar putea decurge din articolul 80 alineatul (2) din RGPD. Acesta este motivul pentru care a adresat Curții o întrebare preliminară pentru a obține o interpretare a acestei dispoziții.
11. Ca răspuns la această întrebare, Curtea a statuat, în Hotărârea Meta Platforms Ireland, că articolul 80 alineatul (2) din RGPD trebuie interpretat în sensul că nu se opune unei reglementări naționale care permite unei asociații pentru apărarea intereselor consumatorilor să acționeze în justiție, fără un mandat în acest sens și independent de încălcarea unor drepturi concrete ale persoanelor vizate, împotriva autorului prezumat al unei atingeri aduse protecției datelor cu caracter personal, invocând încălcarea interdicției privind practicile comerciale neloiale, a unei legi în materie de protecția consumatorilor sau a interdicției privind utilizarea unor condiții generale nule, întrucât prelucrarea datelor în cauză poate afecta drepturile conferite de acest regulament unor persoane fizice identificate sau identificabile(7).
12. Curtea a precizat astfel domeniul de aplicare material al mecanismului prevăzut la articolul 80 alineatul (2) din RGPD al unei acțiuni în reprezentare formulate împotriva autorului prezumat al unei atingeri aduse protecției datelor cu caracter personal.
13. În special, Curtea a statuat că nu se poate impune unei entități care îndeplinește condițiile menționate la articolul 80 alineatul (1) din RGPD să efectueze, în scopul introducerii unei asemenea acțiuni în reprezentare, identificarea individuală prealabilă a persoanei vizate în mod specific de o prelucrare a datelor pretins contrară dispozițiilor acestui regulament(8). Prin urmare, desemnarea unei categorii sau a unui grup de persoane afectate de o asemenea prelucrare poate fi în egală măsură suficientă pentru a introduce această acțiune în reprezentare(9).
14. Curtea a statuat de asemenea că, în temeiul articolului 80 alineatul (2) din RGPD, exercitarea unei acțiuni în reprezentare nu este condiționată nici de existența unei încălcări concrete a drepturilor conferite unei persoane de normele în materie de protecție a datelor(10). Astfel, în opinia Curții, introducerea unei acțiuni în reprezentare presupune doar ca entitatea menționată la această dispoziție să „considere” că drepturile unei persoane vizate în temeiul acestui regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal și deci să invoce existența unei prelucrări de date contrare dispozițiilor acestui regulament(11). Rezultă că, pentru a recunoaște calitatea procesuală activă a unei astfel de entități în temeiul articolului 80 alineatul (2) din RGPD, este suficient să se arate că prelucrarea de date în cauză poate afecta drepturile conferite persoanelor fizice identificate sau identificabile de regulamentul menționat, fără a fi necesar să se demonstreze un prejudiciu real suferit de persoana vizată într‑o situație determinată prin atingerea adusă drepturilor sale(12).
15. Deși astfel a obținut deja din partea Curții îndrumări pentru a fi în măsură să stabilească dacă acțiunea în încetare introdusă de Uniunea federală poate fi considerată admisibilă în raport cu condițiile prevăzute la articolul 80 alineatul (2) din RGPD, instanța de trimitere apreciază că mai trebuie înlăturată o îndoială cu privire la interpretarea care trebuie reținută cu referire la această dispoziție. Astfel, instanța menționată subliniază că calitatea procesuală activă a Uniunii federale depinde de aspectul dacă, în sensul dispoziției menționate, această entitate invocă în acțiunea sa o încălcare a drepturilor unei persoane vizate întemeiate pe acest regulament „ca urmare a prelucrării”.
16. Potrivit instanței de trimitere, nu este evident că această cerință referitoare la domeniul de aplicare material al articolului 80 alineatul (2) din RGPD este îndeplinită în împrejurările speței.
17. Astfel, această instanță arată că Uniunea federală invocă în susținerea acțiunii sale încălcarea obligației de informare, prevăzută la articolul 12 alineatul (1) prima teză din RGPD coroborat cu articolul 13 alineatul (1) literele (c) și (e) din acest regulament, cu privire la scopul prelucrării datelor și la destinatarul datelor cu caracter personal. Potrivit instanței menționate, trebuie să se stabilească dacă se poate, prin urmare, considera că Uniunea federală se prevalează de încălcarea drepturilor „ca urmare a prelucrării”, în sensul articolului 80 alineatul (2) din regulamentul menționat.
18. Mai precis, instanța de trimitere consideră, pe de o parte, că rămâne o incertitudine cu privire la aspectul dacă, în speță, încălcarea obligației de informare care decurge din articolul 12 alineatul (1) prima teză și din articolul 13 alineatul (1) literele (c) și (e) din RGPD intră sub incidența noțiunii de „prelucrare”, în sensul articolului 4 punctul 2 din acesta, și dacă această noțiune include și situații anterioare începerii colectării datelor cu caracter personal(13).
19. Pe de altă parte, această instanță apreciază că nu s‑a stabilit în mod clar dacă, într‑un caz precum cel în discuție în litigiul principal, încălcarea obligației de informare a avut loc „ca urmare” a unei prelucrări de date cu caracter personal, în sensul articolului 80 alineatul (2) din RGPD. Instanța menționată subliniază în această privință că formularea „ca urmare” ar putea indica faptul că, pentru ca această acțiune să fie admisibilă, entitatea care introduce o acțiune în reprezentare trebuie să invoce o încălcare a drepturilor unei persoane vizate întemeiate pe acest regulament care rezultă dintr‑o operațiune de prelucrare a datelor în sensul articolului 4 punctul 2 din regulamentul amintit și care este deci ulterioară unei astfel de operațiuni(14).
20. În aceste condiții, Bundesgerichtshof (Curtea Federală de Justiție) a hotărât din nou să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:
„Se invocă o încălcare [a drepturilor unei persoane vizate] «ca urmare a prelucrării», în sensul articolului 80 alineatul (2) din RGPD, atunci când o asociație pentru protecția intereselor consumatorilor își întemeiază acțiunea pe faptul că drepturile unei persoane vizate au fost încălcate, întrucât nu au fost respectate obligațiile de informare referitoare la scopul prelucrării datelor și destinatarul datelor cu caracter personal, prevăzute la articolul 12 alineatul (1) prima teză din RGPD coroborat cu articolul 13 alineatul (1) literele (c) și (e) din RGPD?”
21. Meta Platforms Ireland, Uniunea federală, guvernele german și portughez, precum și Comisia Europeană au depus observații scrise.
22. La 23 noiembrie 2023 a avut loc o ședință de audiere a pledoariilor cu participarea Meta Platforms Ireland, a guvernului german și a Comisiei.
II. Analiză
23. Astfel cum am arătat anterior, instanța de trimitere are îndoieli cu privire la aspectul dacă, în împrejurările speței, acțiunea în reprezentare introdusă de Uniunea federală îndeplinește condiția prevăzută la articolul 80 alineatul (2) din RGPD, potrivit căreia entitatea care a inițiat o astfel de acțiune consideră că drepturile unei persoane prevăzute de acest regulament au fost încălcate „ca urmare a prelucrării” datelor cu caracter personal.
24. Pentru a înțelege bine contextul în care această instanță solicită Curții precizări suplimentare cu privire la domeniul de aplicare material al acestei dispoziții, trebuie amintit că, în susținerea acțiunii, Uniunea federală invocă încălcarea unei obligații de informare ce revine Meta Platforms Ireland cu privire la scopul și la domeniul de aplicare al consimțământului unui utilizator pentru prelucrarea datelor sale cu caracter personal. Mai precis, obiectul litigiului îl constituie prezentarea de jocuri în Centrul de aplicații care se găsește pe platforma de internet a Meta Platforms Ireland și mențiunea că fiecare aplicație are dreptul de a publica anumite informații cu caracter personal ale utilizatorului în numele acestuia. Uniunea federală a introdus această acțiune independent de încălcarea unor drepturi concrete ale unei persoane vizate și fără a fi mandatată de o astfel de persoană, ceea ce este în conformitate cu dispoziția menționată, astfel cum a admis Curtea în Hotărârea Meta Platforms Ireland(15).
25. Divergențele de opinii cu privire la problema dacă Uniunea federală are calitate procesuală activă în temeiul articolului 80 alineatul (2) din RGPD se concentrează în prezent pe constatarea efectuată de instanța de trimitere, potrivit căreia acțiunea în reprezentare introdusă de această entitate nu privește aspectul dacă Meta Platforms Ireland încalcă drepturile unui utilizator la protecția datelor în momentul în care acesta apasă butonul „Joacă acum” sau „Joacă jocuri” în Centrul de aplicații și declanșează astfel, eventual, o prelucrare a datelor sale cu caracter personal. Pe de altă parte, este cert că nu face obiectul acțiunii introduse de Uniunea federală nici problema dacă operațiunile automatizate, care au loc în urma acționării asupra unui astfel de buton, referitoare la datele cu caracter personal ale unui utilizator îi încalcă drepturile la protecția datelor.
26. Pe scurt, litigiul se cristalizează în jurul problemei dacă este suficient, pentru ca o astfel de asociație să aibă calitate procesuală activă în temeiul articolului 80 alineatul (2) din RGPD, să invoce încălcarea unei obligații de informare fără a critica, ca atare, prelucrarea datelor care rezultă din operațiunea care constă în a apăsa butonul „Joacă acum” sau „Joacă jocuri”, în condițiile în care această dispoziție impune încălcarea drepturilor unei persoane vizate „ca urmare a prelucrării”.
27. Acesta este motivul pentru care întrebările instanței de trimitere se concentrează pe două elemente, și anume, pe de o parte, întinderea noțiunii de „prelucrare” și, pe de altă parte, semnificația formulării „ca urmare a prelucrării” care figurează în dispoziția menționată.
28. Astfel, această instanță ridică problema dacă obligația, care decurge din articolul 12 alineatul (1) prima teză și din articolul 13 alineatul (1) literele (c) și (e) din RGPD, de a comunica persoanei vizate, într‑o formă precisă, transparentă, inteligibilă și ușor accesibilă, într‑un limbaj clar și simplu, informațiile referitoare la scopul prelucrării datelor cu caracter personal și la destinatarul acestora intră sub incidența noțiunii de „prelucrare” în sensul articolului 4 punctul 2 din acest regulament.
29. Potrivit articolului 4 punctul 2 din regulamentul menționat, „prelucrare” înseamnă „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea”.
30. Din modul de redactare a acestei dispoziții, în special din expresia „orice operațiune”, reiese că legiuitorul Uniunii a intenționat să confere noțiunii de „prelucrare” un domeniu de aplicare larg. Această interpretare este confirmată de caracterul neexhaustiv, exprimat prin locuțiunea „cum ar fi”, al operațiunilor menționate în dispoziția menționată(16). Potrivit Curții, aceasta este conformă cu obiectivul de a asigura caracterul efectiv al dreptului fundamental la protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, menționat în considerentul (1) al RGPD, care stă la baza aplicării acestui regulament(17).
31. În susținerea tezei că obligația de informare, care decurge din articolul 12 alineatul (1) prima teză și din articolul 13 alineatul (1) literele (c) și (e) din RGPD, ar putea intra sub incidența noțiunii de „prelucrare” în sensul articolului 4 punctul 2 din acest regulament, instanța de trimitere menționează ceea ce Curtea a statuat în Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale)(18).
32. În cauza care a stat la baza pronunțării acestei hotărâri, Valsts ieņēmumu dienests (administrația fiscală, Letonia) solicita operatorului economic în cauză să restabilească accesul serviciilor acestei administrații la numerele de șasiu ale vehiculelor care fac obiectul unui anunț publicat pe portalul său internet, precum și la numerele de telefon ale vânzătorilor și să îi furnizeze informații cu privire la anunțurile publicate pe acest portal.
33. În acest context, Curtea a statuat că o astfel de cerere, prin care administrația fiscală a unui stat membru solicită unui operator economic comunicarea și punerea la dispoziție a unor date cu caracter personal pe care acesta din urmă este obligat să le furnizeze și să le pună la dispoziția sa în temeiul reglementării naționale a acestui stat membru, declanșează un proces de „colectare” a acestor date în sensul articolului 4 punctul 2 din RGPD(19). Instanța de trimitere deduce de aici că noțiunea de „prelucrare”, în sensul acestei dispoziții, acoperă operațiunile care doar „declanșează” o colectare de date cu caracter personal și, prin urmare, operațiunile anterioare unei operațiuni pe care legiuitorul Uniunii a considerat‑o în mod expres un exemplu de prelucrare, prin raportare la situația în discuție în litigiul principal.
34. Considerăm totuși că această situație se distinge în mod clar de cea care a stat la baza pronunțării Hotărârii din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale)(20). Astfel, nu este vorba în speță despre asocierea cu un proces de prelucrare a unei operațiuni care permite declanșarea acestuia, ci mai degrabă despre identificarea legăturii dintre o obligație de informare, precum cea care decurge din articolul 12 alineatul (1) prima teză și din articolul 13 alineatul (1) literele (c) și (e) din RGPD, și o prelucrare anume.
35. În această privință, considerăm că, oricât de larg ar fi domeniul de aplicare al noțiunii de „prelucrare” în sensul articolului 4 punctul 2 din RGPD, el nu poate fi extins la o astfel de obligație de informare. Astfel, această obligație nu implică nicio acțiune directă sau indirectă cu privire la datele cu caracter personal. Obligația menționată constituie mai degrabă o condiție de legalitate a prelucrării acestor date.
36. Trebuie subliniat că articolul 12 din acest regulament prevede obligații generale ce revin operatorului în ceea ce privește transparența informațiilor și a comunicărilor, precum și modalitățile de exercitare a drepturilor persoanei vizate.
37. În special, articolul 12 alineatul (1) prima teză din regulamentul menționat prevede că „[o]peratorul ia măsuri adecvate pentru a furniza persoanei vizate orice informații menționate la articolele 13 și 14 și orice comunicări în temeiul articolelor 15-22 și 34 referitoare la prelucrare, într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu, în special pentru orice informații adresate în mod specific unui copil”.
38. Articolul 13 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede la alineatul (1) literele (c) și (e):
„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:
[…]
(c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;
[…]
(e) destinatarii sau categoriile de destinatari ai datelor cu caracter personal […]”
39. Trebuie amintit că articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care prelucrarea de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție(21).
40. Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din acest regulament, prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice(22).
41. În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, în sensul articolului 4 punctul 11 din RGPD, și atunci când prelucrarea în cauză nu îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din acest regulament, această prelucrare are un caracter ilegal(23).
42. În ceea ce privește cerința rezultată din articolul 4 punctul 11 din RGPD, potrivit căreia consimțământul trebuie să fie „informat”, aceasta presupune, conform articolului 13 din acest regulament, interpretat în lumina considerentului (42) al acestuia, ca operatorul să furnizeze persoanei vizate o informare cu privire la toate circumstanțele aferente prelucrării datelor, într‑o formă inteligibilă și ușor accesibilă, precum și utilizând un limbaj clar și simplu, această persoană trebuind să cunoască printre altele tipul de date care urmează să fie prelucrate, identitatea operatorului, durata și modalitățile acestei prelucrări, precum și scopurile specifice urmărite de această prelucrare. O asemenea informare trebuie să îi permită persoanei menționate să identifice cu ușurință consecințele consimțământului pe care și l‑ar putea da și să se asigure că acest consimțământ este dat în deplină cunoștință de cauză(24).
43. Or, observăm că, astfel cum arată instanța de trimitere(25), Uniunea federală consideră neloială prezentarea mențiunilor afișate la apăsarea butonului „Joacă acum” din Centrul de aplicații, în special din cauza nerespectării cerințelor legale pentru obținerea unui consimțământ valid al utilizatorului în conformitate cu legislația ce reglementează protecția datelor.
44. Cu alte cuvinte, la baza acțiunii introduse de Uniunea federală stă faptul că, ținând seama de prezentarea deficitară a Centrului de aplicații invocată de uniune, o persoană ar putea să apese butonul „Joacă acum” fără să fi dispus de informațiile necesare pentru a‑i permite să identifice cu ușurință consecințele consimțământului pe care l‑ar putea da pentru prelucrarea datelor sale cu caracter personal în urma acționării acestui buton și fără să se asigure că acest consimțământ este dat în deplină cunoștință de cauză.
45. În aceste condiții, considerăm că Uniunea federală susține în cadrul acțiunii, în conformitate cu articolul 80 alineatul (2) din RGPD, că „drepturile unei persoane vizate în temeiul [acestui] regulament au fost încălcate ca urmare a prelucrării”.
46. Astfel, pe de o parte, atât articolul 12, cât și articolul 13 din RGPD fac parte din capitolul III din acest regulament, intitulat „Drepturile persoanei vizate”. Dată fiind obligația de informare ce revine operatorului în temeiul acestor articole, drepturile care decurg din acestea pentru persoanele vizate fac parte dintre cele pe care acțiunea în reprezentare, prevăzută la articolul 80 alineatul (2) din regulamentul menționat, urmărește să le protejeze.
47. Pe de altă parte, pretinsa încălcare a dreptului persoanelor vizate de a fi suficient informate cu privire la toate circumstanțele legate de o prelucrare a datelor cu caracter personal, în special scopul acesteia și destinatarul acestor date, poate împiedica exprimarea unui consimțământ „informat” în sensul articolului 4 punctul 11 din RGPD, ceea ce poate face ca această prelucrare să fie ilegală.
48. În consecință, pentru a exercita o acțiune în reprezentare în temeiul articolului 80 alineatul (2) din acest regulament, este suficient ca o entitate să invoce încălcarea obligației de informare ce revine operatorului, precizând prelucrarea în cauză care este, în speță, cea care se produce atunci când o persoană apasă butonul „Joacă acum”. Trebuie să fie vorba despre o prelucrare a datelor care poate afecta drepturile conferite unor persoane fizice identificate sau identificabile de acest regulament(26), ceea ce implică faptul că această prelucrare trebuie să existe și, prin urmare, nu trebuie să aibă un caracter pur ipotetic.
49. În plus, în opinia noastră, este irelevant că această entitate invocă încălcarea unei obligații care precedă o prelucrare a datelor cu caracter personal. Aceasta este situația în ceea ce privește obligația de informare care trebuie îndeplinită cel târziu la momentul colectării datelor, în conformitate cu prevederile articolului 13 alineatul (1) din RGPD.
50. Astfel, formularea „ca urmare a prelucrării” de la articolul 80 alineatul (2) din acest regulament nu presupune nicidecum că dreptul a cărui încălcare se urmărește a fi constatată prin acțiunea prevăzută la acest articol ar trebui să privească în mod necesar o etapă ulterioară unei operațiuni care constituie o „prelucrare” în sensul articolului 4 punctul 2 din regulamentul menționat. Cu alte cuvinte, din această formulare nu trebuie dedusă nicio cerință de succesiune temporală care ar implica faptul că încălcarea drepturilor unei persoane vizate prevăzute de RGPD ar trebui să intervină într‑o etapă ulterioară unei astfel de prelucrări.
51. Ceea ce contează este mai degrabă faptul că există o legătură între respectarea drepturilor în discuție și prelucrarea în cauză. Aceasta este situația atunci când încălcarea acestor drepturi are drept consecință nelegalitatea prelucrării respective. Caracterul ilicit al prelucrării rezultă din încălcarea obligației de informare. Aceste două etape sunt indisociabile.
52. Rezultă că cerința potrivit căreia o entitate poate introduce o acțiune în reprezentare în temeiul articolului 80 alineatul (2) din RGPD în cazul în care consideră că drepturile unei persoane vizate, prevăzute de acest regulament, au fost încălcate „ca urmare a prelucrării” nu impune, în opinia noastră, ca această entitate să invoce încălcarea unor astfel de drepturi, care rezultă dintr‑o operațiune de prelucrare a datelor în sensul articolului 4 punctul 2 din acest regulament și care este, așadar, ulterioară unei asemenea operațiuni. Este suficient ca aceasta să indice existența unei legături între o prelucrare a datelor cu caracter personal și încălcarea drepturilor protejate de RGPD.
53. În speță, este irelevant, așadar, că Uniunea federală invocă încălcarea unei obligații de informare indiferent dacă o persoană vizată apasă sau nu apasă butonul „Joacă acum” în Centrul de aplicații, întrucât o astfel de obligație, dat fiind că poate afecta condițiile de legalitate a prelucrării ce rezultă din acționarea acestui buton, are în mod incontestabil o legătură cu această prelucrare.
54. Această interpretare este conformă nu numai cu funcția preventivă a acțiunii în reprezentare prevăzute la articolul 80 alineatul (2) din RGPD(27), dar, întrucât contribuie la consolidarea drepturilor persoanelor vizate(28), și cu obiectivul acestui regulament ce reiese din considerentul (10) al acestuia, care constă în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal(29).
55. Adăugăm că, în opinia noastră, ar fi incoerent să se rețină o interpretare restrictivă a domeniului de aplicare material al articolului 80 alineatul (2) din regulamentul menționat, în condițiile în care articolul 79 alineatul (1) din RGPD prevede, în termeni similari, dreptul fiecărei persoane vizate la o cale de atac judiciară efectivă și nu există niciun motiv pentru a exclude din domeniul de aplicare material al unei astfel de căi de atac drepturile care decurg din obligația de informare prevăzută la articolul 12 alineatul (1) prima teză din acest regulament coroborat cu articolul 13 alineatul (1) literele (c) și (e) din regulamentul menționat.
56. În consecință, considerăm că articolul 80 alineatul (2) din RGPD trebuie interpretat în sensul că, pentru a putea introduce o acțiune în reprezentare în temeiul acestei dispoziții, condiția potrivit căreia o entitate abilitată trebuie să susțină că consideră că drepturile unei persoane vizate în temeiul acestui regulament au fost încălcate ca urmare a prelucrării presupune ca această entitate să invoce existența unei prelucrări a datelor cu caracter personal, precum și a unei legături între încălcarea acestor drepturi și această prelucrare. O astfel de condiție este îndeplinită atunci când acțiunea se întemeiază, în ceea ce privește prelucrarea datelor cu caracter personal, pe încălcarea de către operator a obligației de informare prevăzute la articolul 12 alineatul (1) prima teză din regulament coroborat cu articolul 13 alineatul (1) literele (c) și (e) din regulamentul menționat, dat fiind că această încălcare este susceptibilă să facă prelucrarea ilegală.
III. Concluzie
57. Având în vedere ansamblul considerațiilor care precedă, propunem să se răspundă la întrebarea preliminară adresată de Bundesgerichtshof (Curtea Federală de Justiție, Germania) după cum urmează:
Articolul 80 alineatul (2) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că,
pentru a putea introduce o acțiune în reprezentare în temeiul acestei dispoziții, condiția potrivit căreia o entitate abilitată trebuie să susțină că consideră că drepturile unei persoane vizate în temeiul acestui regulament au fost încălcate ca urmare a prelucrării presupune ca această entitate să invoce existența unei prelucrări a datelor cu caracter personal, precum și a unei legături între încălcarea acestor drepturi și această prelucrare. O astfel de condiție este îndeplinită atunci când acțiunea se întemeiază, în ceea ce privește prelucrarea datelor cu caracter personal, pe încălcarea de către operator a obligației de informare prevăzute la articolul 12 alineatul (1) prima teză din regulament coroborat cu articolul 13 alineatul (1) literele (c) și (e) din regulamentul menționat, dat fiind că această încălcare este susceptibilă să facă prelucrarea ilegală.