C-638/23 Amt der Tiroler Landesregierung

TEISINGUMO TEISMO (aštuntoji kolegija) SPRENDIMAS

2025 m. vasario 27 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – Tiesioginis duomenų valdytojo paskyrimas pagal nacionalinę teisę – Regiono vyriausybės pagalbinis administracinis subjektas – Teisinio subjektiškumo nebuvimas – Veiksnumo nebuvimas – Duomenų tvarkymo tikslų ir priemonių nustatymas“

Byloje C‑638/23

dėl Verwaltungsgerichtshof (Aukščiausiasis administracinis teismas, Austrija) 2023 m. rugpjūčio 23 d. nutartimi, kurią Teisingumo Teismas gavo 2023 m. spalio 24 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

Amt der Tiroler Landesregierung

prieš

Datenschutzbehörde,

dalyvaujant

Bundesministerin für Justiz,

CW,

TEISINGUMO TEISMAS (aštuntoji kolegija),

kurį sudaro aštuntosios kolegijos pirmininko pareigas einantis devintosios kolegijos pirmininkas N. Jääskinen, teisėjai M. Gavalec (pranešėjas) ir N. Piçarra,

generalinis advokatas M. Campos Sánchez-Bordona,

kancleris A. Calot Escobar,

atsižvelgęs į rašytinę proceso dalį,

išnagrinėjęs pastabas, pateiktas:

–	Datenschutzbehörde, atstovaujamos M. Schmidl ir E. Wagner,

–	Bundesministerin für Justiz, atstovaujamos E. Riedl,

–	Austrijos vyriausybės, atstovaujamos A. Posch, J. Schmoll ir C. Gabauer,

–	Europos Komisijos, atstovaujamos A. Bouchagiar ir M. Heller,

atsižvelgęs į sprendimą, priimtą susipažinus su generalinio advokato nuomone, nagrinėti bylą be išvados,

priima šį

Sprendimą

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrojo duomenų apsaugos reglamento) (OL L 119, 2016, p. 1; toliau – BDAR) 4 straipsnio 7 punkto išaiškinimo.

2	Šis prašymas pateiktas nagrinėjant Amt der Tiroler Landesregierung (Tirolio žemės vyriausybės tarnyba, Austrija) (toliau – Tarnyba) ir Datenschutzbehörde (Duomenų apsaugos tarnyba, Austrija) ginčą dėl to, kad Tarnyba tariamai netesėtai tvarkė fizinio asmens duomenis.

Teisinis pagrindas

Sąjungos teisė

BDAR 1, 7 10, 45 ir 74 konstatuojamosios dalys suformuluotos taip:

„(1)	fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos pagrindinių teisių chartijos <…> 8 straipsnio 1 dalyje ir [SESV] 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą;

<…>

(7)	<…> Fiziniai asmenys turėtų kontroliuoti savo asmens duomenis ir turėtų būti užtikrintas didesnis teisinis ir praktinis tikrumas fiziniams asmenims, ekonominės veiklos vykdytojams ir valdžios institucijoms;

<…>

(10)

siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo [Europos] Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. <…>

<…>

(45)

kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas, duomenų tvarkymo pagrindas turėtų būti įtvirtintas Sąjungos arba valstybės narės teisėje. Šiuo reglamentu nereikalaujama kiekvienu atskiru duomenų tvarkymo atveju specialaus teisės [akto], o kelioms duomenų tvarkymo operacijoms gali užtekti vieno teisės akto, kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas. Be to, Sąjungos ar valstybės narės teisėje turėtų būti nustatytas asmens duomenų tvarkymo tikslas. Be to, šiame pagrinde [šioje teisėje] galėtų būti nurodytos bendrosios šio reglamento sąlygos, kuriomis reglamentuojamas asmens duomenų tvarkymo teisėtumas, nustatytos asmens duomenų valdytojo, tvarkytinų asmens duomenų rūšies, atitinkamų duomenų subjektų, subjektų, kuriems asmens duomenys gali būti atskleisti, tikslų apribojimų, saugojimo laikotarpio ir kitų priemonių, kuriomis užtikrinamas teisėtas ir sąžiningas duomenų tvarkymas, specifikacijos. Sąjungos arba valstybės narės teisėje taip pat turėtų būti nustatyta, ar duomenų valdytojas, atlikdamas užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas, turėtų būti valdžios institucija arba kitas viešosios teisės reglamentuojamas fizinis ar juridinis asmuo arba, kai tai pateisinama viešuoju interesu, įskaitant sveikatos apsaugos tikslais, tokiais kaip visuomenės sveikata ir socialinė apsauga bei sveikatos priežiūros paslaugų valdymas, privatinės teisės reglamentuojamas asmuo, toks kaip profesinė asociacija;

<…>

(74)

turėtų būti nustatyta duomenų valdytojo atsakomybė už bet kokį duomenų valdytojo arba jo vardu vykdomą asmens duomenų tvarkymą. Duomenų valdytojas visų pirma turėtų būti įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir galėti įrodyti, kad duomenų tvarkymo veikla atitinka šį reglamentą, įskaitant priemonių veiksmingumą. Tomis priemonėmis turėtų būti atsižvelgta į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms“.

4	BDAR 1 straipsnio „Dalykas ir tikslai“ 2 dalyje nustatyta: „Šiuo reglamentu saugomos fizinių asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą.“

Šio reglamento 4 straipsnis „Apibrėžtys“ suformuluotas taip:

„Šiame reglamente:

<…>

duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;

<…>

duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise;

<…>“

Minėto reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ nustatyta:

„1. Asmens duomenys turi būti:

a)	duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);

renkami nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu; tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį nėra laikomas nesuderinamu su pirminiais tikslais (tikslo apribojimo principas);

c)	adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi (duomenų kiekio mažinimo principas);

d)	tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinami arba ištaisomi (tikslumo principas);

laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi; asmens duomenis galima saugoti ilgesnius laikotarpius, jeigu asmens duomenys bus tvarkomi tik archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais pagal 89 straipsnio 1 dalį, įgyvendinus atitinkamas technines ir organizacines priemones, kurių reikalaujama šiuo reglamentu siekiant apsaugoti duomenų subjekto teises ir laisves (saugojimo trukmės apribojimo principas);

tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas).

2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“

BDAR 6 straipsnio „Tvarkymo teisėtumas“ 1 ir 3 dalyse nustatyta:

„1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:

<…>

c)	tvarkyti duomenis būtina, kad būtų įvykdyta duomenų valdytojui taikoma teisinė prievolė;

<…>

e)	tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;

<…>

3. 1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas:

a)	Sąjungos teisėje; arba

b)	duomenų valdytojui taikomoje valstybės narės teisėje.

Duomenų tvarkymo tikslas nustatomas tame teisiniame pagrinde arba, 1 dalies e punkte nurodyto duomenų tvarkymo atveju, yra būtinas, siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Tame teisiniame pagrinde galėtų būti išdėstytos konkrečios nuostatos pagal šį reglamentą taikomų taisyklių pritaikymui, įskaitant bendrąsias sąlygas, reglamentuojančias duomenų valdytojo atliekamo duomenų tvarkymo teisėtumą, tvarkytinų duomenų rūšis, atitinkamus duomenų subjektus, subjektus, kuriems asmens duomenys gali būti atskleisti, ir tikslus, dėl kurių asmens duomenys gali būti atskleisti, tikslo apribojimo principą, saugojimo laikotarpius ir duomenų tvarkymo operacijas bei duomenų tvarkymo procedūras, įskaitant priemones, kuriomis būtų užtikrintas teisėtas ir sąžiningas duomenų tvarkymas, kaip antai tas, kurios skirtos kitiems specialiems IX skyriuje numatytiems duomenų tvarkymo atvejams. <…>“

Austrijos teisė

1989 m. Tirolio federalinės žemės konstitucija

Pagrindinės bylos aplinkybėms taikytinos redakcijos 1988 m. rugsėjo 21 d.Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) (Federalinės žemės konstitucinis įstatymas dėl Tirolio federalinės žemės konstitucijos (1989 m. Tirolio federalinės žemės konstitucija)) (toliau – 1989 m. Tirolio federalinės žemės konstitucija)) 56 straipsnio „Landeshauptmann“ (federalinės žemės vyriausybės vadovas, Austrija) (toliau – vyriausybės vadovas) 1 dalyje numatyta:

„[Vyriausybės vadovas] atstovauja Tirolio federalinei žemei.“

9	1989 m. Tirolio federalinės žemės konstitucijos 58 straipsnio „[Tarnyba]“ 1 dalyje nurodyta: „[Vyriausybės vadovas], federalinės žemės vyriausybė ir jos nariai savo užduotis vykdo pasitelkdami [Tarnybą]. [Vyriausybė vadovas] yra [Tarnybos] pirmininkas.“

TDVG

Tiroler Datenverarbeitungsgesetz (Tirolio federalinės žemės duomenų tvarkymo įstatymas, toliau – TDVG) 2 straipsnyje numatyta:

„1. Duomenų valdytojais pagal [BDAR] 4 straipsnio 7 punktą laikomi:

a)	[Tarnyba];

<…>

3. Tais atvejais, kai duomenų tvarkymą atlieka arba paveda atlikti Tirolio federalinė žemė, [Tarnyba] visada laikoma atsakinga už tokį duomenų tvarkymą, jeigu

a)	nėra bendros atsakomybės, kaip tai suprantama pagal 1 dalies b arba c punktą, ir

b)	duomenys tvarkomi ne pagal pavedimą, kaip tai suprantama pagal 5 straipsnį.“

Pagrindinė byla ir prejudicinis klausimas

Įgyvendindama kovos su COVID‑19 priemones, Tarnyba – Tirolio žemės vyriausybės vadovo ir federalinės žemės pagalbinis administracinis subjektas – visiems nuo šio viruso dar nepasiskiepijusiems pilnamečiams Tirolio federalinės žemės gyventojams išsiuntė „priminimo apie vakcinaciją laišką“. Siekdama nustatyti šių laiškų adresatus, Tarnyba pavedė dviem privačioms įmonėms palyginti centrinio skiepų registro duomenis su pacientų registro, kuriame nurodyti pacientų adresai, duomenimis.

12	2021 m. gruodžio 21 d. vienas iš tų adresatų – CW – pateikė Duomenų apsaugos tarnybai skundą prieš Tarnybą dėl neteisėto jo asmens duomenų tvarkymo. Duomenų apsaugos tarnyboje Tarnyba nurodė, kad yra „duomenų valdytoja“ ir kad būtent ji išsiuntė laišką CW.

2022 m. rugpjūčio 22 d. Duomenų apsaugos tarnyba konstatavo, kad Tarnyba pažeidė CW teisę į savo asmens duomenų apsaugą, nes siekdama jam išsiųsti „priminimo apie vakcinaciją laišką“ tikrino skiepų registre esančius suinteresuotojo asmens duomenis, nors neturėjo prieigos teisių nei prie šio registro, nei prie pacientų registro. Todėl CW asmens duomenys buvo tvarkomi neteisėtai.

Tarnyba šį sprendimą apskundė Bundesverwaltungsgericht (Federalinis administracinis teismas, Austrija). Šis, remdamasis taikytina nacionaline teise, nusprendė, kad Tarnyba yra duomenų valdytoja, tačiau neturėjo teisės tikrinti skiepų registro, kad galėtų išsiųsti priminimo laišką, koks buvo adresuotas CW. Bundesverwaltungsgericht atmetus Tarnybos skundą, ji dėl šio teismo sprendimo pateikė kasacinį skundą Verwaltungsgerichtshof (Aukščiausiasis administracinis teismas, Austrija), t. y. prašymą priimti prejudicinį sprendimą pateikusiam teismui.

15	Šis teismas laikėsi nuomonės, kad, norint priimti sprendimą jo nagrinėjamoje byloje, reikia nustatyti, ar Tarnyba šios bylos aplinkybėmis turėjo „duomenų valdytojo“, kaip suprantama pagal BDAR 4 straipsnio 7 punktą, statusą.

Šiuo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas pabrėžė, kad Tarnyba tik pateikė vyriausybės vadovui pasiūlymą siųsti „priminimo apie vakcinaciją laišką“, kurį pastarasis patvirtino kaip Tarnybos pirmininkas ir Tirolio federalinės žemės atstovas atitinkamai pagal 1989 m. Tirolio federalinės žemės konstitucijos 58 straipsnį ir 56 straipsnio 1 dalį. Taigi Tarnyba tik nurodė vyriausybės vadovui, pirma, numatomo asmens duomenų tvarkymo tikslą, t. y. didinti vakcinacijos lygį, ir, antra, šio tvarkymo pagrindu taikytinas priemones, t. y. tokio „priminimo apie vakcinaciją laiško“ siuntimą naudojantis centrinio skiepų registro ir pacientų registro duomenimis.

Anot prašymą priimti prejudicinį sprendimą pateikusio teismo, atsižvelgiant į tai, kad šį patvirtinimą atliko vyriausybės vadovas, tik jis sprendė tiek dėl asmens duomenų tvarkymo tikslo, tiek dėl priemonių, todėl Tarnyba negalėjo būti „duomenų valdytoja“, kaip ji suprantama pagal BDAR 4 straipsnio 7 punkto pirmą sakinį.

18	Vis dėlto šiam teismui kyla klausimas, ar Tarnybai galėjo būti teisėtai suteiktas toks statusas pagal nacionalinės teisės nuostatą, t. y. TDVG 2 straipsnio 1 dalies a punktą.

Mat Tarnyba nėra juridinis asmuo arba subjektas, kuriam pavesti atlikti asmens duomenų tvarkymą, kurio pagrindu CW buvo išsiųstas „priminimo apie vakcinaciją laiškas“. Šioje duomenų tvarkymo operacijoje Tarnyba dalyvavo tik kaip viešosios institucijos pagalbinis administracinis subjektas. Ji pati neturi nei teisinio subjektiškumo, nei veiksnumo. Todėl reikėtų nustatyti, ar šiomis aplinkybėmis Tarnyba galėjo būti laikoma „agentūra ar kita įstaiga“, kaip tai suprantama pagal BDAR 4 straipsnio 7 punkto pirmą sakinį, kurią pagal nacionalinę teisę galima paskirti duomenų valdytoja, kaip numatyta šio reglamento 4 straipsnio 7 punkto antrame sakinyje.

Be to, nacionalinis teismas priminė, kad pagal BDAR 4 straipsnio 7 punkto antrą sakinį duomenų valdytojas tiesiogiai gali būti paskirtas tik jeigu nacionalinėje teisėje yra nustatyti atitinkamo asmens duomenų tvarkymo tikslai ir priemonės. Nors pagal TDVG 2 straipsnio 2 dalies a punktą Tarnyba nurodyta kaip duomenų valdytoja, tačiau nesukonkretinta nei kokių rūšių asmens duomenų tvarkymo operacijas ji gali atlikti, nei kokių tikslų tomis tvarkymo operacijomis siekiama, nei priemonės, kurias ji tuo tikslu galėtų įgyvendinti.

Prašymą priimti prejudicinį sprendimą pateikęs teismas priduria, kad iš BDAR 6 straipsnio 1 dalies c ir e punktų matyti, jog asmens duomenų tvarkymas yra teisėtas, jeigu būtinas duomenų valdytojui siekiant laikytis jam nustatytos teisinės prievolės arba atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Iš šių teisėtumo sąlygų ir BDAR 4 straipsnio 7 punktu siekiamo tikslo – užtikrinti veiksmingą ir plačią duomenų subjektų apsaugą – išplaukia, kad valstybės narės duomenų valdytoju gali paskirti tik asmenį ar subjektą, kuris gali nustatyti asmens duomenų tvarkymo tikslus ir priemones arba bent jau dalyvauti juos nustatant.

Tokiomis aplinkybėmis Verwaltungsgerichtshof (Aukščiausiasis administracinis teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šį prejudicinį klausimą:

„Ar [BDAR] 4 straipsnio 7 punktas turi būti aiškinamas taip, kad pagal jį draudžiama taikyti nacionalinės teisės nuostatą (kaip šiuo atveju [TDVG] 2 straipsnio 1 dalį), kurioje, nors ir numatytas konkretus duomenų valdytojas, kaip tai suprantama pagal BDAR 4 straipsnio 7 punkto antrą sakinio dalį, tačiau

–	jis yra tik institucija (kaip nagrinėjamu atveju – [Tarnyba]), kuri, nors ir įsteigta pagal teisės aktus, nėra nei fizinis, nei juridinis asmuo, o nagrinėjamu atveju nėra ir valdžios institucija, bet veikia tik kaip pastarosios pagalbinis subjektas ir neturi savarankiško (dalinio) veiksnumo;

–	jo paskyrimas atliekamas neatsižvelgiant į konkretų asmens duomenų tvarkymo atvejį, todėl valstybės narės teisės aktuose nenurodyti konkretaus asmens duomenų tvarkymo tikslai ir priemonės;

–	konkrečiu atveju šis duomenų valdytojas nei vienas, nei kartu su kitais nenustatė pagrindinių asmens duomenų tvarkymo tikslų ir priemonių?“

Dėl prejudicinio klausimo

Šiuo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia sužinoti, ar BDAR 4 straipsnio 7 punktas turi būti aiškinamas kaip draudžiantis nacionalinės teisės aktus, pagal kuriuos duomenų valdytoju paskiriamas teisinio subjektiškumo ir pats veiksnumo neturintis administracinis pagalbinis subjektas, tiksliai nenurodant nei už kokias konkrečias asmens duomenų tvarkymo operacijas jis atsakingas, nei šių operacijų tikslų. Nacionalinis teismas taip pat norėtų sužinoti, ar BDAR 4 straipsnio 7 punktas turi būti aiškinamas taip, kad vadovaujantis šia nuostata pagal nacionalinę teisę duomenų valdytoju paskirtas subjektas faktiškai turi spręsti dėl asmens duomenų tvarkymo tikslų ir priemonių tam, kad kaip duomenų valdytojas privalėtų atsakyti į prašymus, kuriuos duomenų subjektai jam teikia remdamiesi iš BDAR kildinamomis teisėmis.

Pirmiausia, primintina, kad remiantis BDAR 4 straipsnio 7 punktu sąvoka „duomenų valdytojas“ apima fizinius arba juridinius asmenis, valdžios institucijas, agentūras ar kitas įstaigas, kurie vieni ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones. Toje nuostatoje taip pat nurodyta, kad jeigu tokio duomenų tvarkymo tikslai ir priemonės nustatomi būtent valstybės narės teisėje, duomenų valdytojas gali būti paskirtas arba konkretūs jo skyrimo kriterijai gali būti nustatyti pagal tą teisę.

Iš Teisingumo Teismo jurisprudencijos išplaukia, kad minėtos nuostatos tikslas – plačiai apibrėžiant sąvoką „duomenų valdytojas“ užtikrinti veiksmingą ir visapusišką duomenų subjektų apsaugą (šiuo klausimu žr. 2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 29 punktą ir 2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 40 punktą).

BDAR siekiamas tikslas, koks išplaukia iš jo 1 straipsnio ir 1 bei 10 konstatuojamųjų dalių, yra, be kita ko, užtikrinti aukštą fizinių asmenų pagrindinių laisvių ir teisių, visų pirma jų teisės į privatų gyvenimą tvarkant asmens duomenis, įtvirtintos Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir SESV 16 straipsnio 1 dalyje, apsaugos lygį (2024 m. kovo 7 d. Sprendimo IAB Europe, C‑604/22, EU:C:2024:214, 53 punktas ir jame nurodyta jurisprudencija).

Atsižvelgiant į remiantis tuo tikslu aiškinamą BDAR 4 straipsnio 7 punkto formuluotę, pažymėtina, kad siekiant nustatyti, ar asmuo arba subjektas turi būti kvalifikuojamas kaip „duomenų valdytojas“, kaip tai suprantama pagal tą nuostatą, reikia išsiaiškinti, ar tas asmuo arba subjektas vienas ar drauge su kitais nustato tvarkymo tikslus ir priemones, ar vis dėlto jie nustatyti nacionalinėje teisėje. Jei tie tikslai ir priemonės nustatyti nacionalinėje teisėje, reikia išsiaiškinti, ar remiantis ta teise skiriamas duomenų valdytojas arba ar joje numatyti konkretūs jo paskyrimui taikytini kriterijai (2024 m. sausio 11 d. Sprendimo État belge (Oficialiojo leidinio tvarkomi duomenys), C‑231/22, EU:C:2024:7, 29 punktas).

Atsižvelgiant į plačią sąvokos „duomenų valdytojas“ apibrėžtį, kaip ji suprantama pagal BDAR 4 straipsnio 7 punktą, tvarkymo tikslų ir priemonių nustatymas ir, jei taikoma, duomenų valdytojo skyrimas pagal nacionalinę teisę gali būti ne tik eksplicitiniai, bet ir implicitiniai. Pastaruoju atveju vis dėlto reikalaujama, kad tas nustatymas pakankamai aiškiai būtų susietas su asmeniui ar atitinkamam subjektui priskirtu vaidmeniu, jo paskirtimi ir užduotimis (2024 m. sausio 11 d. Sprendimo État belge (Oficialiojo leidinio tvarkomi duomenys), C‑231/22, EU:C:2024:7, 30 punktas).

Pateiktą klausimą reikia nagrinėti atsižvelgiant būtent į šiuos aspektus. Tam pirmiausia reikia nustatyti, kokiu mastu nacionalinis teisės aktų leidėjas gali tinkamai paskirti viešosios institucijos pagalbinį administracinį subjektą duomenų valdytoju, kaip tai suprantama pagal BDAR 4 straipsnio 7 punkto antrą sakinį, kai šis subjektas neturi teisinio subjektiškumo ir veiksnumo.

Šiuo klausimu pažymėtina, viena vertus, kad Teisingumo Teismas jau yra nusprendęs, jog iš aiškios 4 straipsnio 7 punkto formuluotės išplaukia, kad duomenų valdytojas gali būti ne tik fizinis ar juridinis asmuo, bet ir valdžios institucija, agentūra ar įstaiga, o tokie subjektai nebūtinai privalo turėti teisinį subjektiškumą pagal nacionalinę teisę (šiuo klausimu žr. 2024 m. sausio 11 d. Sprendimo État belge (Oficialiojo leidinio tvarkomi duomenys), C‑231/22, EU:C:2024:7, 36 punktą).

31	Neatmestina, kad subjektas gali būti kvalifikuojamas kaip „duomenų valdytojas“, kaip tai suprantama pagal šią nuostatą, nors ir neturi teisinio subjektiškumo.

Kita vertus, dėl klausimo, ar pats subjektas turi būti veiksnus, kad jį būtų galima laikyti „duomenų valdytoju“, o gal tam pakanka, kad jis tam tikru mastu gebėtų priimti sprendimus ir veikti asmens duomenų apsaugos srityje, primintina, kad, kaip matyti iš BDAR 74 konstatuojamosios dalies, Sąjungos teisės aktų leidėjas norėjo, kad duomenų valdytojui tenkanti atsakomybė būtų vienoda, neatsižvelgiant į tai, ar asmens duomenis tvarko jis pats ar trečiasis asmuo, bet jo vardu. Teisės aktų leidėjas taip pat siekė užtikrinti, kad duomenų valdytojas būtų įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir galėtų įrodyti, kad duomenų tvarkymo veikla atitinka šį reglamentą, įskaitant atitinkamų priemonių veiksmingumą, o tomis priemonėmis turėtų būti atsižvelgiama į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms.

33	Būtent todėl BDAR 5 straipsnio 2 dalyje įtvirtintas atskaitomybės principas, pagal kurį duomenų valdytojas yra atsakingas už šio 5 straipsnio 1 dalyje įtvirtintų asmens duomenų tvarkymo principų laikymąsi, ir numatyta, kad duomenų valdytojas turi sugebėti įrodyti, kad šių principų laikomasi.

Atsižvelgiant į duomenų valdytojui, apie kurį kalbama BDAR 4 straipsnio 7 punkte, nustatytas teisines pareigas, jis pagal savo valstybės narės teisės aktuose numatytą tvarką turi galėti faktiškai ir teisiškai jas vykdyti, ir šiuo klausimu neturi reikšmės tai, ar subjektas turi teisinį subjektiškumą ir veiksnumą.

Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar pagal Austrijos teisę Tarnyba yra įgaliota prisiimti BDAR duomenų valdytojui nustatytą atsakomybę ir pareigas, atsižvelgdamas, be kita ko, į aplinkybę, kuri nebuvo ginčyta pagrindinę bylą nagrinėjusiuose nacionaliniuose teismuose, kad Tarnyba gali apskųsti duomenų apsaugos institucijos sprendimą, lygiai taip pat kaip ir dėl jos gali būti pateiktas skundas tai institucijai. Prašymą priimti prejudicinį sprendimą pateikęs teismas taip pat gali atsižvelgti į tai, kad Tarnyba pavedė dviem privačioms įmonėms tvarkyti asmens duomenis, esančius centriniame skiepų registre ir Tirolio žemėje gyvenančių pacientų registre.

Antra, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar nacionalinės teisės aktų leidėjas gali paskirti subjektą duomenų valdytoju pagal BDAR 4 straipsnio 7 punkto antrą sakinį, konkrečiai nenurodydamas nei asmens duomenų tvarkymo operacijų, kurias jam gali tekti atlikti, nei jų tikslo, nei tikslių priemonių, kurias jis gali įgyvendinti šio duomenų tvarkymo tikslais.

Kaip priminta šio sprendimo 28 punkte, kai pagal nacionalinę teisę subjektas paskiriamas duomenų valdytoju, duomenų tvarkymo tikslai ir priemonės pagal šią teisę gali būti nustatomos implicitiškai su sąlyga, kad toks nustatymas pakankamai aiškiai išplaukia iš šiam subjektui priskirto vaidmens, jo paskirties ir užduočių. Ši sąlyga tenkinama, jeigu tikslai ir priemonės iš esmės išplaukia iš šio subjekto veiklą reglamentuojančių nacionalinės teisės nuostatų.

Kai nacionalinės teisės aktų leidėjas tiesiogiai paskiria subjektą duomenų valdytoju, tai padeda siekti teisinio tikrumo tikslo, kurio siekiama BDAR, kaip matyti iš jo 7 konstatuojamosios dalies, fiziniams asmenims, kurių asmens duomenys tvarkomi, sudarant sąlygas lengvai nustatyti subjektą, atsakingą užtikrinti, kad būtų paisoma jų teisių pagal šį reglamentą.

Vis dėlto tokio paskyrimo galiojimas siejamas su sąlyga, kad nacionalinės teisės aktuose būtų nustatyta asmens duomenų, už kuriuos šis subjektas laikomas atsakingu, tvarkymo aprėptis, tačiau nebūtina, kad teisės aktų leidėjas būtų išsamiai išvardijęs visas duomenų tvarkymo operacijas, kurias atlikti buvo paskirtas minėtas subjektas. Kaip nurodyta šio reglamento 45 konstatuojamojoje dalyje, „kelioms duomenų tvarkymo operacijoms gali užtekti vieno teisės akto, kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią teisinę prievolę arba kai duomenis būtina tvarkyti siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas“.

Tai reiškia, kad nacionalinės teisės aktai, pagal kuriuos subjektas paskiriamas duomenų valdytoju, aiškiai neišvardijant nei visų konkrečių asmens duomenų tvarkymo operacijų, už kurias jis yra atsakingas, nei šių tvarkymo operacijų tikslo, yra suderinami su BDAR 4 straipsnio 7 punktu, jeigu tuose teisės aktuose eksplicitiškai ar bent jau implicitiškai nustatoma asmens duomenų, už kuriuos šis subjektas paskirtas atsakingu, tvarkymo aprėptis.

Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, pirma, ar asmens duomenų tvarkymas, kurį Tarnyba atliko siekdama parengti ir išsiųsti pagrindinėje byloje nagrinėjamus „priminimo apie vakcinaciją laiškus“, yra suderinamas su tikslais, kuriuos turi atitikti asmens duomenų tvarkymo operacijos, už kurias Tarnyba buvo paskirta atsakinga, ir kurie bent jau implicitiškai išplaukia iš visų jos veiklą reglamentuojančių nacionalinės teisės nuostatų, ir, antra, priemones, kurias ji gali įgyvendinti šiuo tikslu. Vien tai, kad šiose nacionalinės teisės nuostatose tinkamais atvejais konkrečiai nenurodytos duomenų tvarkymo operacijos, kurias Tarnyba turi teisę atlikti, nereiškia, kad toks subjektas, kaip Tarnyba, negali būti laikomas duomenų valdytoju, kaip tai suprantama pagal BDAR 4 straipsnio 7 punktą.

Trečia, prašymą priimti prejudicinį sprendimą pateikęs teismas klausia, ar subjektas, pagal nacionalinės teisės aktus paskirtas duomenų valdytoju pagal BDAR 4 straipsnio 7 punkto antrą sakinį, taip pat turi pats arba kartu su kitomis kompetentingomis institucijomis nuspręsti dėl asmens duomenų, už kuriuos jis paskirtas atsakingu, tvarkymo tikslų ir priemonių, kad kaip duomenų valdytojas privalėtų atsakyti į prašymus, kuriuos duomenų subjektai jam teikia remdamiesi iš BDAR kildinamomis teisėmis.

Šiuo klausimu pakanka pažymėti, kad būtent siekiant nustatyti, ar subjektas turi duomenų valdytojo statusą, kaip tai suprantama pagal BDAR 4 straipsnio 7 punkto pirmą sakinį, reikia išnagrinėti, ar jis siekdamas savo tikslų iš tikrųjų darė įtaką šio duomenų tvarkymo tikslų ir priemonių nustatymui (šiuo klausimu žr. 2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 30 ir 31 punktus).

44	Vis dėlto, siekiant nustatyti, ar subjektas turi duomenų valdytojo statusą, kaip tai suprantama pagal BDAR 4 straipsnio 7 punkto antrą sakinį, nebūtina, kaip matyti iš aiškios šios nuostatos formuluotės, kad jis darytų įtaką šio duomenų tvarkymo tikslų ir priemonių nustatymui.

45	Taigi toks subjektas, pagal nacionalinę teisę paskirtas duomenų valdytoju, neturi pats spręsti dėl asmens duomenų tvarkymo tikslų ir priemonių, kad privalėtų kaip duomenų valdytojas atsakyti į prašymus, kuriuos duomenų subjektai jam teikia remdamiesi iš BDAR kildinamomis teisėmis.

Šiuo klausimu Teisingumo Teismas jau yra nusprendęs, kad tiesioginio paskyrimo galiojimui įtakos neturi aplinkybė, kad pagal nacionalinę teisę subjektas, paskirtas duomenų valdytoju, nevykdo jokios asmens duomenų, kuriuos jis turi tvarkyti, kontrolės (šiuo klausimu žr. 2024 m. sausio 11 d. Sprendimo État belge (Oficialiojo leidinio tvarkomi duomenys), C‑231/22, EU:C:2024:7, 37 ir 38 punktus).

Toks aiškinimas yra suderinamas su BDAR siekiamu teisinio tikrumo tikslu. Kaip savo rašytinėse pastabose pažymėjo Europos Komisija, šiam tikslui būtų pakenkta, jeigu duomenų subjektai turėtų patikrinti, ar jų asmens duomenų valdytoju paskirtas subjektas turi teisę pats nustatyti tokio duomenų tvarkymo tikslus ir priemones, tam, kad galėtų preziumuoti, jog nacionalinės teisės aktų leidėjas tinkamai atliko šį paskyrimą.

Taip pat svarbu pridurti, kad dėl aplinkybės, jog subjektas, pagal nacionalinę teisę paskirtas duomenų valdytoju, taip pat nebūtinai turi būti įgaliotas pats spręsti dėl asmens duomenų tvarkymo tikslų ir priemonių, kad privalėtų kaip duomenų valdytojas atsakyti į prašymus, kuriuos duomenų subjektai jam teikia remdamiesi iš BDAR kildinamomis teisėmis, iš šių asmenų vis dėlto neatimama galimybė pateikti šiuos prašymus kitam subjektui, kurį jie laiko savo asmens duomenų valdytoju arba bendrai atsakingu už asmens duomenų tvarkymą, dėl jo įtakos nustatant atitinkamo duomenų tvarkymo tikslus ir priemones.

Atsižvelgiant į tai, kas išdėstyta, į pateiktą klausimą atsakytina: BDAR 4 straipsnio 7 punktas turi būti aiškinamas kaip nedraudžiantis nacionalinės teisės aktų, pagal kuriuos duomenų valdytoju paskiriamas teisinio subjektiškumo ir veiksnumo neturintis administracinis pagalbinis subjektas, tiksliai nenurodant nei už kokias konkrečias asmens duomenų tvarkymo operacijas jis atsakingas, nei šių operacijų tikslų, jeigu, pirma, toks subjektas pagal šiuos nacionalinės teisės aktus gali vykdyti duomenų valdytojo pareigas duomenų subjektų atžvilgiu asmens duomenų apsaugos srityje ir, antra, minėtuose nacionalinės teisės aktuose eksplicitiškai arba bent jau implicitiškai nustatyta asmens duomenų tvarkymo, už kurį šis subjektas atsakingas, aprėptis.

Dėl bylinėjimosi išlaidų

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (aštuntoji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrojo duomenų apsaugos reglamento) 4 straipsnio 7 punktas

turi būti aiškinamas taip:

pagal jį nedraudžiami nacionalinės teisės aktai, pagal kuriuos duomenų valdytoju paskiriamas teisinio subjektiškumo ir veiksnumo neturintis administracinis pagalbinis subjektas, tiksliai nenurodant nei už kokias konkrečias asmens duomenų tvarkymo operacijas jis atsakingas, nei šių operacijų tikslų, jeigu, pirma, toks subjektas pagal šiuos nacionalinės teisės aktus gali vykdyti duomenų valdytojo pareigas duomenų subjektų atžvilgiu asmens duomenų apsaugos srityje ir, antra, minėtuose nacionalinės teisės aktuose eksplicitiškai arba bent jau implicitiškai nustatyta asmens duomenų tvarkymo, už kurį šis subjektas atsakingas, aprėptis.

Parašai.

( *1 ) Proceso kalba: vokiečių.

Eureka prideda nuorodas…