–

w imieniu Datenschutzbehörde – M. Schmidl i E. Wagner, w charakterze pełnomocników,

–

w imieniu Bundesministerin für Justiz – E. Riedl, w charakterze pełnomocnika,

–

w imieniu rządu austriackiego – A. Posch, J. Schmoll i C. Gabauer, w charakterze pełnomocników,

–

w imieniu Komisji Europejskiej – A. Bouchagiar i M. Heller, w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).

2

Wniosek ten złożono w ramach sporu pomiędzy Amt der Tiroler Landesregierung (urzędem tyrolskiego rządu krajowego, Austria, zwanym dalej „Urzędem”) a Datenschutzbehörde (organem ochrony danych osobowych, Austria) w przedmiocie podnoszonego niezgodnego z prawem przetwarzania przez Urząd danych osobowych osoby fizycznej.

3

Motywy 1, 7, 10, 45 i 74 RODO mają następujące brzmienie:

[…]

[…]

[…]

[…]

4

Artykuł 1 tego rozporządzenia, zatytułowany „Przedmiot i cele”, stanowi w ust. 2:

„Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”.

5

Artykuł 4 tego rozporządzenia, zatytułowany „Definicje”, brzmi następująco:

„Na użytek niniejszego rozporządzenia:

[…]

[…]

[…]”.

6

Zgodnie z art. 5 tego rozporządzenia, zatytułowanym „Zasady dotyczące przetwarzania danych osobowych”:

„1.   Dane osobowe muszą być:

2.   Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.

7

Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1 i 3:

„1.   Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

[…]

[…]

[…]

3.   Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. […]”.

8

Artykuł 56 Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) [ustawy regionalnej w sprawie konstytucji kraju związkowego Tyrol (konstytucji kraju związkowego Tyrol z 1989 r.)] z dnia 21 września 1988 r., w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym (zwanej dalej „konstytucją kraju związkowego Tyrol z 1989 r.”), zatytułowany „Landeshauptmann (premier kraju związkowego, Austria) (zwany dalej »premierem«)”, stanowi w ust. 1:

„[Premier] reprezentuje kraj związkowy Tyrol”.

9

Artykuł 58 konstytucji kraju związkowego Tyrol z 1989 r., zatytułowany „[Urząd]”, stanowi w ust. 1:

„[Premier], rząd kraju związkowego i jego członkowie zwracają się do [Urzędu] w celu wypełniania swoich obowiązków. [Premier] jest prezesem [Urzędu]”.

10

Paragraf 2 Tiroler Datenverarbeitungsgesetz (ustawy kraju związkowego Tyrol o przetwarzaniu danych, zwanej dalej „TDVG”) przewiduje:

„1.   Za administratora w rozumieniu art. 4 pkt 7 [RODO] uznaje się:

[…]

3.   Jeżeli przetwarzanie danych jest dokonywane lub zlecane przez kraj związkowy Tyrol, [Urząd] jest zawsze uznawany za administratora w zakresie, w jakim:

11

W ramach środków mających na celu walkę z pandemią COVID-19 Urząd, będący pomocniczą jednostką administracyjną działającą w służbie premiera i rządu kraju związkowego Tyrol, wysłał „pismo przypominające o szczepieniu” do wszystkich osób pełnoletnich zamieszkałych w kraju związkowym Tyrol, które nie zostały jeszcze zaszczepione przeciwko temu wirusowi. W celu zidentyfikowania adresatów tych pism Urząd upoważnił dwa prywatne przedsiębiorstwa, które dokonały krzyżowego porównania danych zawartych w centralnym rejestrze szczepień oraz w rejestrze pacjentów, w którym widniał ich adres zamieszkania.

12

W dniu 21 grudnia 2021 r. CW, jeden z adresatów pisma, wniósł do organu ochrony danych osobowych skargę na Urząd z powodu niezgodnego z prawem przetwarzania jego danych osobowych. Urząd poinformował ów organ, że posiada status „administratora” i że jest autorem pisma wysłanego do CW.

13

Decyzją z dnia 22 sierpnia 2022 r. wspomniany organ stwierdził, że Urząd naruszył prawo CW do ochrony jego danych osobowych w zakresie, w jakim w celu wysłania do niego „pisma przypominającego o szczepieniu” Urząd zapoznał się z danymi zainteresowanego zawartymi w rejestrze szczepień, mimo że nie miał on prawa dostępu do tego rejestru ani do rejestru pacjentów. Przetwarzanie danych osobowych CW było zatem niezgodne z prawem.

14

Urząd wniósł skargę na tę decyzję do Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria). Sąd ten orzekł, że na podstawie mającego zastosowanie prawa krajowego Urząd ma status administratora, lecz nie przysługuje mu prawo wglądu do rejestru szczepień w celu wysłania pisma przypominającego, takiego jak pismo skierowane do CW. Ponieważ ów sąd oddalił skargę Urzędu na wspomnianą decyzję, Urząd złożył skargę rewizyjną od tego wyroku do Verwaltungsgerichtshof (trybunału administracyjnego, Austria), który jest sądem odsyłającym.

15

Sąd ten uważa, że aby móc orzec w zawisłej przed nim sprawie, należy ustalić, czy w kontekście tej sprawy Urząd ma status „administratora” w rozumieniu art. 4 pkt 7 RODO.

16

W tym względzie sąd odsyłający podkreśla fakt, że Urząd jedynie przedstawił premierowi propozycję wysłania „pisma przypominającego o szczepieniu”, którą to propozycję premier zatwierdził jako prezes Urzędu i przedstawiciel kraju związkowego Tyrol zgodnie z, odpowiednio, art. 58 i art. 56 ust. 1 konstytucji kraju związkowego Tyrol z 1989 r. Urząd ograniczył się zatem do poinformowania premiera, po pierwsze, o celu zamierzonego przetwarzania danych osobowych, a mianowicie o zwiększeniu wskaźnika zaszczepienia, a po drugie, o sposobach, które zostaną zastosowane na podstawie tego przetwarzania, a mianowicie o wysłaniu takiego „pisma przypominającego o szczepieniu” przy wykorzystaniu danych z centralnego rejestru szczepień i rejestru pacjentów.

17

Zdaniem sądu odsyłającego, biorąc pod uwagę to zatwierdzenie przez premiera, jedynie premier zdecydował zarówno o celu, jak i o sposobach przetwarzania danych osobowych, w związku z czym Urząd nie może mieć statusu „administratora” w rozumieniu art. 4 pkt 7 pierwszy człon zdania RODO.

18

Niemniej jednak sąd ten zastanawia się, czy Urząd mógł zostać zgodnie z prawem wskazany jako taki w przepisie prawa krajowego, a mianowicie w § 2 ust. 1 lit. a) TDVG.

19

Urząd nie jest bowiem osobą prawną ani organem odpowiedzialnym za przetwarzanie danych osobowych, które doprowadziło do wysłania do CW „pisma przypominającego o szczepieniu”. Urząd uczestniczył w tym przetwarzaniu jedynie jako pomocnicza jednostka administracyjna działająca w służbie organu publicznego. Nie posiada on osobowości prawnej ani własnej zdolności prawnej. Należy zatem ustalić, czy w tych okolicznościach Urząd można uznać za „jednostkę lub inny podmiot” w rozumieniu art. 4 pkt 7 pierwszy człon zdania RODO, który może zostać wyznaczony jako administrator na mocy prawa krajowego zgodnie z art. 4 pkt 7 drugi człon zdania tego rozporządzenia.

20

Ponadto wspomniany sąd przypomina, że zgodnie z art. 4 pkt 7 drugi człon zdania RODO administrator może zostać wyznaczony bezpośrednio tylko pod warunkiem, że cele i sposoby odnośnego przetwarzania danych osobowych są określone w prawie krajowym. Tymczasem, o ile § 2 ust. 1 lit. a) TDVG wyznacza Urząd jako administratora danych, o tyle nie wskazuje on konkretnie, jakich rodzajów przetwarzania danych osobowych może dokonywać Urząd, ani celów, jakie przetwarzanie to powinno realizować, ani też sposobów, jakie Urząd mógłby w tym celu zastosować.

21

Sąd odsyłający dodaje, że z art. 6 ust. 1 lit. c) i e) RODO wynika, iż przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze lub jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Z owych przesłanek zgodności z prawem oraz z realizowanego przez art. 4 pkt 7 RODO celu polegającego na zapewnieniu skutecznej i pełnej ochrony osób, których dane dotyczą, wynika, że państwa członkowskie mogą wyznaczyć jako administratora jedynie osobę lub podmiot, które są w stanie określić cele i sposoby przetwarzania danych osobowych lub przynajmniej uczestniczyć w tym określeniu.

22

W tych okolicznościach Verwaltungsgerichtshof (trybunał administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:

„Czy wykładni art. 4 pkt 7 [RODO] należy dokonywać w ten sposób, że stoi on na przeszkodzie zastosowaniu przepisu prawa krajowego (takiego jak § 2 ust. 1 [TDVG] w niniejszej sprawie), w którym wyznacza się wprawdzie określonego administratora w rozumieniu drugiego członu zdania art. 4 pkt 7 RODO, ale

23

Poprzez pytanie prejudycjalne sąd odsyłający dąży w istocie do ustalenia, czy art. 4 pkt 7 RODO należy interpretować w ten sposób, że stoi on na przeszkodzie uregulowaniom krajowym, które wyznaczają jako administratora pomocniczą jednostkę administracyjną, która nie posiada osobowości prawnej ani własnej zdolności prawnej, przy czym nie określają w precyzyjny sposób konkretnych operacji przetwarzania danych osobowych, za które jednostka ta jest odpowiedzialna, ani celu tych operacji. Sąd ten dąży również do ustalenia, czy art. 4 pkt 7 RODO należy interpretować w ten sposób, że podmiot wyznaczony zgodnie z tym przepisem przez prawo krajowe jako administrator powinien rzeczywiście decydować o celach i sposobach przetwarzania danych osobowych, aby być zobowiązanym do ustosunkowania się, jako administrator, do żądań kierowanych do niego przez osoby, których dane dotyczą, na podstawie praw, które wywodzą one z RODO.

24

Na wstępie należy przypomnieć, że zgodnie z art. 4 pkt 7 RODO pojęcie „administratora” obejmuje osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Przepis ten stanowi również, że jeżeli cele i sposoby tego przetwarzania są określone w szczególności w prawie państwa członkowskiego, to również w tym prawie może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania.

25

Z orzecznictwa Trybunału wynika, że przepis ten ma na celu zapewnienie, poprzez szeroką definicję pojęcia „administratora”, skutecznej i pełnej ochrony osobom, których dane dotyczą (zob. podobnie wyroki z dnia 5 grudnia 2023 r.: Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, pkt 29; Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 40).

26

Cel realizowany przez RODO, jak wynika z jego art. 1 oraz z jego motywów 1 i 10, polega w szczególności na zagwarantowaniu wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich prawa do życia prywatnego w zakresie przetwarzania danych osobowych, zapisanego w art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i w art. 16 ust. 1 TFUE (wyrok z dnia 7 marca 2024 r., IAB Europe, C‑604/22, EU:C:2024:214, pkt 53 i przytoczone tam orzecznictwo).

27

Biorąc pod uwagę brzmienie art. 4 pkt 7 RODO, interpretowanego w świetle tego celu, aby ustalić, czy daną osobę lub podmiot należy uznać za „administratora” w rozumieniu tego przepisu, należy zbadać, czy ta osoba lub ten podmiot samodzielnie lub wspólnie z innymi ustalają cele i sposoby przetwarzania, czy też są one określone w prawie krajowym. Jeżeli takiego określenia dokonuje prawo krajowe, należy wówczas zbadać, czy prawo to wskazuje administratora czy też przewiduje konkretne kryteria jego wyznaczania [wyrok z dnia 11 stycznia 2024 r., État belge (Dane przetwarzane przez dziennik urzędowy), C‑231/22, EU:C:2024:7, pkt 29].

28

W świetle szerokiej definicji pojęcia „administratora” w rozumieniu art. 4 pkt 7 RODO określenie celów i sposobów przetwarzania oraz, w stosownym przypadku, wyznaczenie tego administratora w prawie krajowym może być nie tylko wyraźne, ale również dorozumiane. W tym ostatnim przypadku wymagane jest jednak, aby określenie to wynikało w sposób wystarczająco pewny z roli, misji i uprawnień przyznanych danej osobie lub danemu podmiotowi [wyrok z dnia 11 stycznia 2024 r., État belge (Dane przetwarzane przez dziennik urzędowy), C‑231/22, EU:C:2024:7, pkt 30].

29

To właśnie w świetle tych wstępnych rozważań należy zbadać zadane pytanie. W tym celu należy, po pierwsze, ustalić, w jakim zakresie ustawodawca krajowy może skutecznie wyznaczyć pomocniczą jednostkę administracyjną działającą w służbie organów publicznych jako administratora w rozumieniu art. 4 pkt 7 drugi człon zdania RODO, jeżeli owa jednostka nie posiada osobowości prawnej ani własnej zdolności prawnej.

30

W tym względzie należy zauważyć z jednej strony, że Trybunał orzekł już, iż z jasnego brzmienia art. 4 pkt 7 RODO wynika, że administratorem może być nie tylko osoba fizyczna lub prawna, lecz również organ publiczny, jednostka lub podmiot, przy czym takie podmioty niekoniecznie muszą posiadać osobowość prawną w świetle prawa krajowego [zob. podobnie wyrok z dnia 11 stycznia 2024 r., État belge (Dane przetwarzane przez dziennik urzędowy), C‑231/22, EU:C:2024:7, pkt 36].

31

Nie można zatem wykluczyć, że dany podmiot mógłby zostać uznany za „administratora” w rozumieniu tego przepisu, nawet jeśli nie posiada on osobowości prawnej.

32

Z drugiej strony, co się tyczy kwestii, czy zakwalifikowanie danego podmiotu jako „administratora” wymaga istnienia własnej zdolności prawnej tego podmiotu, czy też wystarczy w tym celu, by dany podmiot posiadał pewną zdolność decyzyjną i zdolność do działania w ramach ochrony danych osobowych, należy przypomnieć, że z motywu 74 RODO wynika, iż prawodawca Unii chciał, aby odpowiedzialność spoczywająca na administratorze była taka sama niezależnie od tego, czy przetwarzanie danych osobowych jest dokonywane przez niego samego czy za pośrednictwem osoby trzeciej, lecz w jego imieniu. Zamiarem prawodawcy Unii było również zapewnienie, aby administrator był zobowiązany do wdrożenia odpowiednich i skutecznych środków oraz aby był w stanie wykazać zgodność czynności przetwarzania z tym rozporządzeniem, w tym skuteczność odnośnych środków, przy czym owe środki powinny uwzględniać charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych.

33

To właśnie w tym zakresie art. 5 ust. 2 RODO ustanawia zasadę rozliczalności, zgodnie z którą administrator jest odpowiedzialny za przestrzeganie zasad dotyczących przetwarzania danych osobowych określonych w art. 5 ust. 1 RODO, oraz przewiduje, że wspomniany administrator musi być w stanie wykazać, iż zasady te są przestrzegane.

34

Zważywszy zatem na obowiązki prawne ciążące na administratorze, o którym mowa w art. 4 pkt 7 RODO, administrator powinien, zgodnie z zasadami przewidzianymi w uregulowaniach państwa członkowskiego, którym podlega, być w stanie spełnić te obowiązki pod względem faktycznym i prawnym, przy czym okoliczność, czy podmiot ten posiada osobowość prawną lub własną zdolność prawną, czy też nie, nie ma w tym względzie żadnego znaczenia.

35

W niniejszej sprawie do sądu odsyłającego należy zbadanie, czy na mocy prawa austriackiego Urząd jest uprawniony do przyjęcia zadań i obowiązków, jakie RODO nakłada na administratora, w szczególności z uwagi na niezakwestionowaną przed sądami krajowymi, do których wniesiono sprawę w postępowaniu głównym, okoliczność, że Urząd może wnieść skargę na decyzję organu ochrony danych osobowych, podobnie jak jego decyzje mogą być przedmiotem skargi do tego organu. Sąd odsyłający będzie mógł również wziąć pod uwagę fakt, że Urząd upoważnił dwa prywatne przedsiębiorstwa do przetwarzania danych osobowych zawartych w centralnym rejestrze szczepień oraz w rejestrze pacjentów zamieszkałych w kraju związkowym Tyrol.

36

Po drugie, sąd odsyłający zastanawia się, czy ustawodawca krajowy może wyznaczyć jednostkę jako administratora na podstawie art. 4 pkt 7 drugi człon zdania RODO, nie określając w konkretny sposób ani rodzajów przetwarzania danych osobowych, do którego przeprowadzenia podmiot ten może być zobowiązany, ani celu tego przetwarzania, ani konkretnych sposobów, jakie może on zastosować do celów owego przetwarzania.

37

Jak przypomniano w pkt 28 niniejszego wyroku, jeżeli prawo krajowe wyznacza podmiot jako administratora, określenie przez to prawo celów i sposobów przetwarzania może być dorozumiane, pod warunkiem że owo określenie wynika w sposób wystarczająco pewny z roli, misji i uprawnień powierzonych temu podmiotowi. Przesłanka ta jest spełniona, jeżeli owe cele i sposoby wynikają zasadniczo z przepisów prawa krajowego regulujących działalność rzeczonego podmiotu.

38

Bezpośrednie wyznaczenie przez ustawodawcę krajowego podmiotu jako administratora przyczynia się do realizacji celu pewności prawa, któremu służy RODO, jak wynika z jego motywu 7, umożliwiając osobom fizycznym, których dane osobowe podlegają przetwarzaniu, łatwe zidentyfikowanie podmiotu odpowiedzialnego za zapewnienie przestrzegania praw przyznanych im w tym rozporządzeniu.

39

Ważność takiego wyznaczenia jest jednak uzależniona od warunku, by uregulowania krajowe określały zakres przetwarzania danych osobowych, w odniesieniu do których podmiot ten jest wyznaczony jako administrator, przy czym nie jest konieczne, by ustawodawca ten wymienił w sposób wyczerpujący wszystkie operacje przetwarzania, w odniesieniu do których wspomniany podmiot został w ten sposób wyznaczony. Jak przewiduje motyw 45 tego rozporządzenia, „[w]ystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej”.

40

Wynika z tego, że uregulowania krajowe, które wyznaczają podmiot jako administratora, nie wymieniając wyraźnie wszystkich konkretnych operacji przetwarzania danych osobowych, za które jest on odpowiedzialny, ani celu tych operacji przetwarzania, jest zgodne z art. 4 pkt 7 RODO, o ile uregulowania te określają, w sposób wyraźny lub przynajmniej dorozumiany, zakres przetwarzania danych osobowych, w odniesieniu do których podmiot ten jest wyznaczony jako administrator.

41

W niniejszej sprawie do sądu odsyłającego należy zbadanie z jednej strony, czy przetwarzanie danych osobowych dokonane przez Urząd w celu przygotowania i wysłania rozpatrywanych w postępowaniu głównym „pism przypominających o szczepieniu” jest zgodne z celami, jakim powinny odpowiadać operacje przetwarzania danych osobowych, w odniesieniu do których Urząd został wyznaczony jako administrator, tak jak owe cele wynikają, przynajmniej w sposób dorozumiany, ze wszystkich przepisów prawa krajowego regulujących jego działalność, a z drugiej strony sposobów, jakie może on w tym celu zastosować. Sama okoliczność, że owe przepisy krajowe nie określają w danym wypadku w konkretny sposób operacji przetwarzania, do których przeprowadzenia uprawniony jest Urząd, nie może wykluczać zakwalifikowania podmiotu takiego jak Urząd jako administratora w rozumieniu art. 4 pkt 7 RODO.

42

Po trzecie, sąd odsyłający dąży do ustalenia, czy podmiot wyznaczony przez uregulowania krajowe jako administrator na podstawie art. 4 pkt 7 drugi człon zdania RODO powinien również decydować, sam lub wspólnie z innymi właściwymi organami, o celach i sposobach przetwarzania danych osobowych, w odniesieniu do których został wyznaczony jako administrator, aby można było wymagać od niego ustosunkowania się w tym charakterze do żądań kierowanych do niego przez osoby, których dane dotyczą, na podstawie praw, które wywodzą one z RODO.

43

W tym względzie wystarczy zauważyć, że aby ustalić, czy podmiot jest administratorem w rozumieniu art. 4 pkt 7 pierwszy człon zdania RODO, należy zbadać, czy podmiot ten rzeczywiście wpłynął, dla własnych celów, na określenie celów i sposobów tego przetwarzania (zob. podobnie wyrok z dnia 5 grudnia 2023 r., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, pkt 30, 31).

44

Natomiast, aby ustalić, czy podmiot jest administratorem w rozumieniu art. 4 pkt 7 drugi człon zdania RODO, jak wynika z jasnego brzmienia tego przepisu, nie jest konieczne, aby ów podmiot wywierał wpływ na określenie celów i sposobów tego przetwarzania.

45

Tak więc taki podmiot, wyznaczony przez prawo krajowe jako administrator, nie musi samodzielnie decydować o celach i sposobach przetwarzania danych osobowych, aby jako administrator ustosunkowywać się do żądań kierowanych do niego przez osoby, których dane dotyczą, na podstawie praw, które wywodzą one z RODO.

46

W tym względzie Trybunał orzekł już, że na ważność bezpośredniego wyznaczenia nie ma wpływu okoliczność, że na mocy prawa krajowego podmiot wyznaczony jako administrator nie sprawuje żadnej kontroli nad danymi osobowymi, które ma przetwarzać [zob. podobnie wyrok z dnia 11 stycznia 2024 r., État belge (Dane przetwarzane przez dziennik urzędowy), C‑231/22, EU:C:2024:7, pkt 37, 38].

47

Taka wykładnia jest zgodna z celem pewności prawa realizowanym przez RODO. Jak Komisja Europejska podkreśliła w uwagach na piśmie, osiągnięcie tego celu byłoby zagrożone, gdyby – aby móc uznać, że ustawodawca krajowy dokonał owego wyznaczenia w sposób ważny – osoby, których dane dotyczą, musiały sprawdzić, czy podmiot wyznaczony jako administrator ich danych osobowych jest uprawniony do samodzielnego ustalenia celów i sposobów takiego przetwarzania.

48

Należy jeszcze dodać, że okoliczność, iż nie jest konieczne, aby podmiot wyznaczony przez prawo krajowe jako administrator był również uprawniony do samodzielnego decydowania o celach i sposobach przetwarzania danych osobowych, aby można było wymagać od niego ustosunkowania się, jako administrator, do żądań kierowanych do niego przez osoby, których dane dotyczą, na podstawie praw, które wywodzą one z RODO, nie pozbawia jednak tych osób możliwości kierowania owych żądań do innego podmiotu, który uważają one za administratora lub współadministratora ich danych osobowych ze względu na wpływ, jaki ten inny podmiot wywarł na określenie celów i sposobów danego przetwarzania.

49

W świetle powyższych rozważań na zadane pytanie należy odpowiedzieć, że art. 4 pkt 7 RODO należy interpretować w ten sposób, iż nie stoi on na przeszkodzie uregulowaniom krajowym, które wyznaczają jako administratora pomocniczą jednostkę administracyjną, która nie posiada osobowości prawnej ani własnej zdolności prawnej, przy czym nie określają w precyzyjny sposób konkretnych operacji przetwarzania danych osobowych, za które jednostka ta jest odpowiedzialna, ani celu tych operacji, o ile, po pierwsze, jednostka taka jest w stanie spełniać, zgodnie z tymi uregulowaniami krajowymi, obowiązki w dziedzinie ochrony danych osobowych ciążące na administratorze względem osób, których dane dotyczą, a po drugie, wspomniane uregulowania krajowe określają, w sposób wyraźny lub przynajmniej dorozumiany, zakres przetwarzania danych osobowych, za które jednostka ta jest odpowiedzialna.

50

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (ósma izba) orzeka, co następuje:

Artykuł 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

nie stoi on na przeszkodzie uregulowaniom krajowym, które wyznaczają jako administratora pomocniczą jednostkę administracyjną, która nie posiada osobowości prawnej ani własnej zdolności prawnej, przy czym nie określają w precyzyjny sposób konkretnych operacji przetwarzania danych osobowych, za które jednostka ta jest odpowiedzialna, ani celu tych operacji, o ile, po pierwsze, jednostka taka jest w stanie spełniać, zgodnie z tymi uregulowaniami krajowymi, obowiązki w dziedzinie ochrony danych osobowych ciążące na administratorze względem osób, których dane dotyczą, a po drugie, wspomniane uregulowania krajowe określają, w sposób wyraźny lub przynajmniej dorozumiany, zakres przetwarzania danych osobowych, za które jednostka ta jest odpowiedzialna.