1.

Регламент (ЕС) 2016/679 (наричан по-нататък „ОРЗД“) ( 2 ) не е законодателен акт с тесен обхват. Широко определеното му приложно поле, ефективното отхвърляне по съдебен ред на всякакви изключения при приложението му ( 3 ), както и почиващият на определения, абстрактен и съответно в известен смисъл генерализиран подход за тълкуването му ( 4 ) допринесоха за осигуряване на фактически безграничен обхват на ОРЗД. Всъщност, ако подходим по този начин, днес е доста трудно да се открие ситуация, в която на някакъв етап да не се обработва някаква лична информация.

2.

Този подход, обоснован с въздигането на защитата на личните данни, предвидена в член 8 от Хартата на основните права на Европейския съюз, във висше основно (супер)право, същевременно има отчетливо центростремително въздействие, което защитата на лични данни започва да оказва в други области на правото и по отношение на възникналите в тях спорове. Редица случаи внезапно биват представяни като въпроси, свързани със защитата на лични данни, и повдигани пред (не само) този съд като проблематика, налагаща тълкуване на ОРЗД. Понякога обаче специфичните проблеми, повдигнати в рамките на тези спорове, не са тези, които се очаква да се уреждат от законодателен акт като ОРЗД, въпреки сравнително широкия му обхват.

3.

Всъщност малцина биха предположили преди, че ОРЗД или неговият предшественик Директива 95/46/ЕО ( 5 ) могат да се разглеждат като уреждащи достъпа на стажант-счетоводители до писмените им изпитни работи, евентуално във връзка с правото на корекции на тези лични данни след провеждането на изпита ( 6 ), или като препятстващи идентифицирането от полицията на лице, участвало в пътнотранспортно произшествие, така че увредената страна да не може да предяви граждански иск за обезщетение за нанесените вреди на превозното ѝ средство ( 7 ), или като ограничаващи разкриването на информация за платени по-рано данъци от дружество в несъстоятелност пред синдика му, за да се възстанови равенството между частноправни и публичноправни кредитори, в контекста на отменителни искове в производство по несъстоятелност ( 8 ), като това са само някои от по-интригуващите примери.

4.

Настоящото дело е още един пример за центростремителното действие на ОРЗД. SIA „SS“ е доставчик на услуги за публикуване на обяви онлайн. В рамките на търговската си дейност дружеството получава лични данни за лицата, които публикуват обяви на интернет портала му. Компетентната данъчна администрация иска от предприятието да ѝ изпрати редица данни, свързани с обяви за автомобили втора употреба, публикувани на портала, за да се увери, че данъците върху продажбите на коли са надлежно събрани. Данъчната администрация подробно описва формата, в която желае да получи данните. В същото време тя ясно дава да се разбере, че тези предавания на данни се очаква да са постоянни и очевидно без финансова компенсация.

5.

На този фон запитващата юрисдикция отправя запитване за допустимия обхват на такива искания за предаване на данни. Както и в предишни случаи, ОРЗД, изглежда, е приложим и в настоящото дело. Някъде някой обработва или ще обработва лични данни — със сигурност на по-късен етап, когато се осъществи самото предаване на данни. При това обработване правата на субекта на данни трябва да бъдат защитени точно както трябва да бъдат защитени и съответните лични данни. Това не означава обаче, че ОРЗД урежда специално отношенията между бъдещ администратор (публичен орган) и настоящ администратор (частно предприятие). ОРЗД всъщност следва и защитава данните, където и да отидат, като по този начин регламентира задълженията на всеки последващ администратор по отношение на данните и спрямо субектите на данните. Напротив, ОРЗД не урежда, с някои изрични изключения, конкретните подробности във взаимоотношенията между двама последващи администратори на тези данни. По-специално ОРЗД не предвижда точните условия на споразумението между администраторите, било то с договорно или публичноправно естество, по силата на което те взаимно могат да отправят искания и да получават данни.

6.

В съображение 31 от ОРЗД се предвижда следното:

„Публични органи, пред които се разкриват лични данни в съответствие с правно задължение за упражняване на официалната им функция, например данъчни и митнически органи, звена за финансово разследване, независими административни органи или органи за финансовите пазари, отговарящи за регулирането и надзора на пазарите на ценни книжа, не следва да се разглеждат като получатели, ако получават лични данни, които са необходими за провеждането на конкретно разследване от общ интерес, в съответствие с правото на Съюза или на държава членка. Исканията за разкриване на данни, изпратени от публичните органи, следва винаги да бъдат в писмена форма, да са обосновани и да засягат само отделни случаи и не следва да се отнасят до целия регистър с лични данни или да водят до свързване на регистри на лични данни. Обработването на личните данни от посочените публични органи следва да е в съответствие с приложимите правила за защита на данните съобразно целите на обработването“.

7.

Съображение 45 от ОРЗД е формулирано по следния начин:

„Когато обработването се извършва в съответствие с правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има основание в правото на Съюза или в правото на държава членка. Настоящият регламент не изисква за всяко отделно обработване конкретен законодателен акт. Може да е достатъчен законодателен акт като основание за няколко операции по обработване на данни, основаващи се на правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия. Правото на Съюза или на държава членка следва да определя също и целта на обработването. Нещо повече, в това право биха могли да се посочат общите условия на настоящия регламент, които определят законосъобразността на обработването на лични данни, да се установяват спецификациите за определянето на администратора на лични данни, видът данни, които подлежат на обработване, съответните субекти на лични данни, образуванията, пред които могат да бъдат разкривани лични данни, ограниченията по отношение на целите, периодът на съхранение и други мерки за гарантиране на законосъобразното и добросъвестно обработване. Също така в правото на Съюза или на държава членка следва да се определи дали администраторът на лични данни, изпълняващ задача от обществен интерес или упражняващ официални правомощия, следва да бъде публичен орган или друго физическо или юридическо лице, субект на публичното право или когато това е оправдано поради съображения от обществен интерес, включително за здравни цели, като например общественото здраве и социалната закрила и управлението на здравните служби субект на частното право, като например професионално сдружение“.

8.

В член 2 се определя материалният обхват на ОРЗД:

„1.   Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.   Настоящият регламент не се прилага за обработването на лични данни:

[…]

[…]“.

9.

Член 4 съдържа определения за целите на ОРЗД:

„1)   „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); […]

2)   „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

[…]

7)   „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;

8)   „обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора;

9)   „получател“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не. Същевременно публичните органи, които могат да получават лични данни в рамките на конкретно разследване в съответствие с правото на Съюза или правото на държава членка, не се считат за „получатели“; обработването на тези данни от посочените публични органи отговаря на приложимите правила за защита на данните съобразно целите на обработването;

[…]“.

10.

В член 5 от ОРЗД се определят принципите, свързани с обработването на лични данни:

„1.   Личните данни са:

2.   Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.

11.

Съгласно член 6 ОРЗД:

„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

[…]

[…]

[…]

2.   Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

3.   Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел“.

12.

В членове 12—22 от глава III, озаглавена „Права на субекта на данни“, се посочват правата и съответстващите задължения на администратора. С член 23 ОРЗД тази глава се затваря. Той е озаглавен „Ограничения“ и в него се предвижда следното:

„1.   В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:

[…]

[…]

2.   По-специално, всяка законодателна мярка, посочена в параграф 1, съдържа специални разпоредби най-малко, където е целесъобразно, по отношение на:

13.

Съгласно член 15, параграф 6 от Likums ‘Par nodokļiem un nodevām’ („Закон за данъците и таксите“), в действащата му редакция към момента на настъпване на фактите в настоящия случай, по искане на Държавната данъчна администрация доставчиците на услуги за публикуване на обяви в интернет са длъжни да предоставят информацията, с която разполагат за данъчнозадължени лица, публикували обяви чрез такива услуги, и за публикуваните от тях обяви.

14.

На 28 август 2018 г. директорът на Nodokļu kontroles pārvalde (Служба „Данъчна инспекция“) към Valsts ieņēmumu dienests (Държавна данъчна администрация, Латвия) (наричана по-нататък „ответникът“) отправя до SIA „SS“ (наричано по-нататък „жалбоподателят“) искане за предоставяне на информация на основание член 15, параграф 6 от Закона за данъците и таксите.

15.

С искането ответникът настоява жалбоподателят да поднови достъпа му до информацията за телефонните номера на публикуващите обяви лица и за номерата на шаситата на превозните средства, които фигурират в обявите, публикувани на поддържания от жалбоподателя интернет портал (www.ss.com). Ответникът иска също така жалбоподателят да му предостави в срок до 3 септември 2018 г. информация за обявите, публикувани в секция „Леки автомобили“ на портала в периода 14 юли до 31 август 2018 г. От жалбоподателя се иска да изпрати информацията по електронен път във формат, който позволява данните да се филтрират и подбират. От жалбоподателя се иска също така файлът с данните да включва следната информация: линк към обявата, текст на обявата, марка на превозното средство, модел, номер на шасито, цена, телефонни номера на продавача.

16.

В случай че се окаже невъзможно достъпът да бъде подновен, от жалбоподателя се иска да съобщи причината или причините за това и регулярно да предоставя до трето число на всеки месец информация за публикуваните обяви.

17.

Жалбоподателят подава жалба по административен ред до изпълняващия длъжността генерален директор на ответника, с която оспорва искането за предоставяне на информация. Според жалбоподателя обхватът на искането за предоставяне на информация, която съставлява лични данни по смисъла на член 4, точка 1 от ОРЗД, не е обоснован от закона. В искането не се посочвала нито конкретна група субекти на данни, нито целта или обхвата на предвиденото обработване, нито пък продължителността на задължението за предоставяне на информацията. Ответникът не действал в съответствие с произтичащите от ОРЗД принцип на пропорционалност и принцип на свеждане до минимум на обработването на лични данни, които принципи в качеството си на администратор трябвало да зачита.

18.

С решение от 30 октомври 2018 г. (наричано по-нататък „обжалваното решение“) ответникът отхвърля жалбата и потвърждава искането за предоставяне на информация.

19.

В мотивите на решението ответникът посочва по същество, че при обработването на тези данни данъчната администрация упражнява предоставените ѝ от закона функции и правомощия. Данъчната администрация отговаряла за събирането и контрола на данъците, таксите и другите налози. Тя имала законово задължение да осъществява надзор над икономическите и финансовите дейности на физическите и юридическите лица, за да гарантира плащането на такива задължения към държавния бюджет и бюджета на Съюза. За изпълнението на тези функции законът предоставил на ответника правомощието да събира необходимите документи и информация за осчетоводяване и регистрация на облагаемите сделки, както и за осъществяване на контрол върху издължаването на данъците и таксите. По-специално, съгласно член 15, параграф 6 от Закона за данъците и таксите доставчиците на услуги за публикуване на обяви в интернет били длъжни при поискване от данъчната администрация да ѝ предоставят информацията, с която разполагат за данъчнозадължените лица, публикували обяви чрез посочените услуги, и за самите обяви. Поверителната информация, с която разполагал ответникът, била защитена от закона, по-специално чрез забраната за разкриване на информация, която е наложена на служителите на данъчната администрация. Следователно искането за предоставяне на информация било законосъобразно.

20.

Жалбоподателят подава жалба за отмяна на обжалваното решение до Administratīvā rajona tiesa (Районен административен съд, Латвия), като твърди, че в мотивите на решението не се посочва конкретната цел на обработването на данни, нито се отбелязват критериите за подбор на исканата информация във връзка с конкретна група лица, които могат да бъдат идентифицирани.

21.

С решение от 21 май 2019 г. Administratīvā rajona tiesa (Районен административен съд) отхвърля жалбата, като приема изложените от ответника доводи. Той по същество се съгласява с твърдението на ответника, че не може да се налага каквото и да било ограничение на обема информация, до която данъчната администрация може да получи достъп във връзка с което и да било лице, освен ако не се счита, че въпросната информация не е в съответствие с целите на данъчното администриране. Според това съдебно решение исканата информация е необходима за идентифицирането на недекларирани икономически дейности. Разпоредбите на ОРЗД се прилагали единствено за жалбоподателя в качеството му на доставчик на услуги, но не и за данъчната администрация.

22.

Жалбоподателят обжалва това съдебно решение пред Administratīvā apgabaltiesa (Регионален административен съд, Латвия). Според жалбоподателя ОРЗД е приложим в разглеждания случай. По отношение на личните данни, събирани посредством искане за предоставяне на информация, ответникът следвало да се счита за администратор по смисъла на този регламент и следователно трябвало да спазва определените в регламента изисквания. С издаването на искането за представяне на информация ответникът обаче нарушил принципа за пропорционалност, като изискал предоставянето всеки месец на значителни по обем данни, свързани с неопределен брой обяви, без да посочва конкретните данъчнозадължени лица, срещу които са образувани данъчни проверки. Жалбоподателят твърди, че в искането за предоставяне на информация не се посочва продължителността на наложеното на жалбоподателя задължение да предоставя на ответника посочената в искането информация. Затова счита, че ответникът е накърнил принципите за обработване на лични данни, залегнали в член 5 от ОРЗД (законосъобразност, добросъвестност и прозрачност). Той твърди, че нито в искането за предоставяне на информация, нито в мотивите на обжалваното решение се посочва конкретната рамка (цел), в чийто обхват попада предвиденото от ответника обработване на информацията, или пък необходимият обем информация (свеждане на данните до минимум). Според жалбоподателя в искането за предоставяне на информация административният орган следва да включи ясно определени критерии за подбор на изискваната от този орган информация във връзка с конкретна група лица, които могат да бъдат идентифицирани.

23.

Според запитващата юрисдикция не е възможно да се заключи недвусмислено, че такова искане за предоставяне на информация може да се счита за „надлежно обосновано“ и „засягащо само отделни случаи“ и че не се отнася до цялата информация, включена в секция „Леки автомобили“ на интернет портала на жалбоподателя, тъй като данъчната администрация иска по същество да извършва постоянен и пълен контрол. Запитващата юрисдикция изпитва съмнения дали може да се приеме, че предвиденото от ответника обработване на лични данни е в съответствие с приложимите правила за защита на данните с оглед на целта на обработването по смисъла на съображение 31 от ОРЗД. Ето защо трябвало да се определят критериите, по които да се прецени дали искането за предоставяне на информация, отправено от ответника, зачита основните права и свободи и дали това искане може да се счита за необходимо и пропорционално в едно демократично общество, за да се гарантират важни цели от обществен интерес за Съюза или Латвия в областите на данъчното облагане и на бюджета.

24.

Според запитващата юрисдикция във въпросното искане за предоставяне на информация не се посочва никакво „конкретно разследване“, провеждано от ответника по смисъла на разпоредбите на ОРЗД. В искането не се искала информация за конкретни лица, а за всички субекти на данни, публикували обяви в секция „Леки автомобили“ на интернет портала. Данъчната администрация също така искала информацията да бъде предоставяна до трето число на месеца (което означава, че жалбоподателят трябва да предоставя на ответника цялата информация за публикуваните в предходния месец обяви). В светлината на гореизложеното запитващата юрисдикция изпитва съмнения дали такава практика от страна на национален орган е съвместима с установените в ОРЗД изисквания.

25.

В този фактически и правен контекст Administratīvā apgabaltiesa (Регионален административен съд) решава да спре производството и да отправи следните преюдициални въпроси към Съда:

26.

Белгийското, гръцкото, испанското и латвийското правителство, както и Европейската комисия представят писмени становища. Жалбоподателят, белгийското, испанското и латвийското правителство, както и Комисията отговарят на писмени въпроси, поставени от Съда на основание член 61, параграф 1 от Процедурния правилник на Съда.

27.

Настоящото заключение е структурирано по следния начин. В началото ще разгледам въпроса дали ОРЗД е приложим към искане за предаване на определен обем лични данни, отправено от публичен орган до администратор. Предвид отправените от запитващата юрисдикция въпроси, в самото начало е необходимо пояснение по два аспекта: кой точно е кой в главното производство и какви конкретни правила са предвидени в ОРЗД в такива случаи (раздел А). На следващо място ще разгледам (доста базовата) правна уредба, произтичаща от ОРЗД, що се отнася до исканията за предавания на данни, отправяни от публични органи до частни предприятия (раздел Б). След това ще заключа с някои бележки кой е, поне според мен, действително трудният проблем в разглеждания случай, въпреки че той не е изрично повдигнат от запитващата юрисдикция (раздел В).

28.

Запитващата юрисдикция отправя девет въпроса, като всеки от тях по един или друг начин засяга законосъобразността на едно или няколко конкретни искания за предаване на определени лични данни от едно или няколко частни предприятия, издадени от данъчна администрация с цел събиране на данъци и разкриване на отклонение от данъчно облагане. Въпросните лични данни са получени от частното предприятие в рамките на обичайната му икономическа дейност от субекти на данни.

29.

От така поставените девет въпроса обаче не става ясно кой точно носи какво задължение и въз основа на коя разпоредба на ОРЗД. Тази неяснота е по-скоро показателна за значителната степен на несигурност в настоящия случай поне в два аспекта.

30.

На първо място, кой е кой в настоящия случай в рамките на установените в ОРЗД категории? В случая става дума за предаване от страна на частно предприятие към публичен орган на определени данни от по-голям набор от данни, събрани и контролирани от частното предприятие. Това е конкретната операция по обработване по смисъла на член 4, точка 2 от ОРЗД, която е в основата на отправените към Съда въпроси.

31.

Изглежда обаче, че за това предаване на данни запитващата юрисдикция счита данъчната администрация (ответника) вече за администратор ( 9 ). Тази отправна точка, стояща в основата на целия акт за преюдициалното запитване, е ясно формулирана във въпроси 6 и 9. Това налага едно предварително уточнение: кой точно трябва да спазва ОРЗД в настоящия случай? Кой е администраторът в тази конкретна операция по обработване? (2)

32.

На второ място, тази несигурност повдига и друг важен въпрос: кои конкретни разпоредби на ОРЗД се прилагат по отношение на искания за предавания на данни и кои от тези разпоредби се отнасят по-специално до вида и количеството данни, които публичен орган може да изиска от частно предприятие? В това отношение е доста показателно, че само в три от въпросите, отправени от запитващата юрисдикция, се споменава член 5, параграф 1 ОРЗД — трансверсална разпоредба, в която се определят принципите за обработване на лични данни от който и да било администратор. Напротив, в останалите въпроси се прави препратка просто към „изискванията, определени в ОРЗД“, без да се уточнява в кои конкретни разпоредби се съдържат тези изисквания.

33.

Ето защо е нужно още едно предварително уточнение за приложимата или приложимите разпоредби на ОРЗД, по-специално за отношенията между предприятието жалбоподател и данъчната администрация ответник. Как конкретно ОРЗД регламентира такива искания за предаване на данни и взаимните права и задължения между частно предприятие и публичен орган? (3)

34.

След казаното до момента, преди да разгледам тези два аспекта, ще припомня защо според мен прилагането и съблюдаването на ОРЗД не може да се разглежда абстрактно чрез тълкуване на определения, несвързани с конкретна операция по обработване, която трябва да се вземе за отправна точка. Едва след като това бъде обяснено ще стане възможно правилно да се анализират участниците и съответните им задължения (1).

35.

В разглеждания случай всички заинтересовани страни, включително латвийското правителство, са съгласни, че ако за отправна точка в анализа се вземат законовите определения на понятията „лични данни“ и „обработване“ по член 4 от ОРЗД, то тогава посоченият правен инструмент определено е приложим в случая, разглеждан в главното производство.

36.

Първо, данните, за които се отнася искането за предоставяне на информация, са лични данни по смисъла на член 4, точка 1 от ОРЗД. Исканата информация — като телефонни номера на субекти на данни или номерата на шаситата на автомобили — съставлява „информация, свързана с идентифицирано […] лице или […] лице, което може да бъде идентифицирано“. Тази информация всъщност позволява да бъдат идентифицирани продавачи на автомобили и следователно потенциални данъкоплатци.

37.

Второ, съгласно установената съдебна практика съобщаване на данни ( 10 ) или разкриване на лични данни чрез предаване, също като съхраняване или всеки друг начин, по който данните стават достъпни, съставлява „обработване“ ( 11 ). В крайна сметка „разкриването чрез предаване“ е включено в списъка на операциите по обработване в член 4, точка 2 от ОРЗД.

38.

Трето, обработването на лични данни очевидно се извършва с автоматични средства по смисъла на член 2, параграф 1 от ОРЗД.

39.

Освен това нито едно от изключенията, които при всички случаи трябва да се тълкуват стриктно, ( 12 ) не е приложимо в разглеждания случай. В светлината на решение Österreischischer Rundfunk и др. ( 13 ) и особено след скорошното решение „Точки за пътнотранспортни нарушения“ ( 14 ) не може да се твърди, че въпросното обработване на лични данни се извършва „в хода на дейности, които са извън приложното поле на правото на Съюза“ по смисъла на член 2, параграф 2, буква а) от ОРЗД.

40.

По същия начин изключението, предвидено в член 2, параграф 2, буква г) от ОРЗД, изглежда, също не се задейства. Съгласно тази разпоредба, „компетентни органи“, изглежда, са органи като полицията или държавното обвинение ( 15 ). Сред тях не са данъчни органи, действащи с цел събиране на данъци, нито, и дори още по-малко, доставчици на услуги за публикуване на обяви в интернет. Освен това, дори да е възможно обработването на данни от компетентен данъчен орган в някои случаи да доведе до разкриването на престъпление под формата на данъчна измама, на този етап това е само една хипотетична възможност ( 16 ).

41.

Следователно, ако подходим по този начин, неизбежно ще заключим, че ОРЗД действително е приложим: налице са лични данни, които се обработват с автоматични средства. Както бе посочено обаче във въведението на настоящото заключение, такъв подход, основан на релевантните понятия по член 4 от ОРЗД като „обработване“ ( 17 ), „лични данни“ ( 18 ) или „администратор“ ( 19 ), тълкувани широко и извън конкретна операция по обработване, означава, че всяко съобщаване на каквато и да е информация ще се урежда от ОРЗД.

42.

За да се изтълкуват правилно задълженията на всички участници, отправната точка за всеки анализ съгласно ОРЗД трябва да бъде ясното идентифициране на конкретна операция по обработване. Само тогава може да се пристъпи към оценката на задълженията, възникващи по силата на ОРЗД за действителните участници в обработването на данни в тази конкретна операция ( 20 ). Именно конкретната операция по обработване, работата по данните и с тях, е онова, което се регламентира. Регулаторните логика и фокус на ОРЗД се основават на постигането на резултати и са ориентирани към процеса, поради което непременно са динамични.

43.

Коя е конкретната операция по обработване в настоящия случай? Изпълнението на искания за предоставяне на информация като тези в главното производство несъмнено изисква обработване на лични данни, за което ОРЗД по принцип ще бъде приложим. В настоящия случай са налице две различни образувания, които извършват обработка на данни на някакъв етап. Във въпросите си запитващата юрисдикция се фокусира върху обработването от страна на ответника, тоест националната данъчна администрация. От фактите по делото обаче изглежда, че първо трябва да се извърши обработване от страна на жалбоподателя, тоест частното предприятие.

44.

В решение Fashion ID ( 21 ) Съдът разглежда въпросните конкретни операции при обработването на данни, за да идентифицира съответните „администратори“. Съдът постановява, че понятието „администратор“ не препраща непременно към само едно образувание, а може да се отнася до няколко действащи лица, участващи в обработването, за всяко от които при това положение съществува задължение да спазва приложимите разпоредби относно защитата на данните ( 22 ). Физическо или юридическо лице обаче не може да се счита за администратор в предходните или последващите операции по веригата, за които то не определя нито целите, нито средствата ( 23 ).

45.

В разглеждания случай ответникът вероятно ще е администратор от момента, в който получи исканите данни от жалбоподателя и започне да ги обработва по смисъла на член 4, точка 2 от ОРЗД ( 24 ). На този етап ответникът не само ще е започнал да обработва данните, но също така вероятно ще е определил средствата и целите на обработването, което той ще извърши, за целите на член 4, точка 7 от ОРЗД. Когато извършва сам всякакви бъдещи операции по обработване на данни, ответникът ще трябва да съблюдава — стига държавата членка да не е приела ограничения на основание член 23 ОРЗД в това отношение — принципите, свързани с качеството на данните, по член 5 от ОРЗД и да обоснове операцията или операциите си по обработване с някоя от хипотезите, предвидени в член 6, параграф 1 от ОРЗД ( 25 ).

46.

От акта за преюдициално запитване обаче е очевидно, че в настоящото производство този етап все още не е достигнат. Данъчната администрация не притежава исканите данни. Следователно тя не би могла да започне каквато и да е операция по обработване на тези данни. Освен това Съдът не е получил информация какво възнамерява да направи ответникът с данните или какъв вид обработка ще извърши от своя страна.

47.

Всичко, което се е случило се до момента, е, че данъчната администрация е поискала от едно частно предприятие да ѝ предостави определен набор от данни. Това само по себе си не е обработване на каквито и да било лични данни, със сигурност не и на данните, които тепърва трябва да бъдат получени. В тази фактическа хипотеза жалбоподателят — частното предприятие — остава администратор на данните, доколкото е получил данните на първо място чрез извършване на дейността си и следователно за определени от самия него средства и цели. Докато обработва данните, които притежава, за да ги съобщи на ответника съобразно условията, които е получил, жалбоподателят продължава да бъде администраторът и за тази операция по обработване. Именно жалбоподателят извършва такова допълнително обработване ( 26 ).

48.

В този контекст и в съответствие с член 6, параграф 1, буква в) от ОРЗД по този начин жалбоподателят гарантира спазването на законово задължение, което носи в качеството си на администратор, а именно на член 15, параграф 6 от Закона за данъците и таксите. В качеството си на администратор жалбоподателят също така е длъжен да спазва ОРЗД, когато обработва лични данни, както и при съобщаването на тези данни на ответника. Запитващата юрисдикция обаче не повдига въпрос за обхвата на обработването на данни, което жалбоподателят трябва да извърши, за да изпълни въпросното искане. Всъщност тя не повдига никакви въпроси, свързани с възможни задължения на жалбоподателя по ОРЗД при извършването на въпросното обработване.

49.

Като набелязва ответника за предполагаемия носител на задължения по ОРЗД, запитващата юрисдикция, изглежда, се интересува от (правното) основание за обработване по смисъла на член 6, параграф 3 от ОРЗД, тоест от член 15, параграф 6 от Закона за данъците и таксите, прилаган по-нататък чрез искания за предоставяне на информация, отправяни от ответника.

50.

В обобщение, ключовият проблем, който стои в основата на всичките девет въпроса, отправени от запитващата юрисдикция, изглежда, е този за обхвата и условията за предавания на лични данни между двама последователни администратори ( 27 ). Кои разпоредби на ОРЗД, ако изобщо има такива, уреждат взаимоотношенията между последващи администратори? Съдържа ли ОРЗД някакви (материалноправни или времеви) ограничения на обхвата и вида предавания на лични данни между двама администратори, а именно в настоящия случай частно предприятие и публичен орган? Всички тези въпроси се отнасят до правното основание за получаване на лични данни и не засягат наистина операцията по обработване.

51.

ОРЗД се отнася преди всичко до защитата на лични данни на субектите на данни и връзката между тези субекти и всяко образувание, което обработва техните данни. За тази цел ОРЗД определя правата на субектите на данни и задълженията на съответните администратори при обработването на лични данни.

52.

Подобна регулаторна логика се фокусира върху данните и върху образуванията, които имат достъп до тях и работят с тях. Много малко разпоредби в ОРЗД пряко и изрично регламентират взаимоотношенията между образуванията, които обработват данните ( 28 ). Вярно е, че ОРЗД косвено засяга тези взаимоотношения. Той задължава всяко последващо образувание, което получи данните, да защитава тях и правата на субектите на данни. По този начин ОРЗД всъщност предвижда определени условия за разкриване на данни и предавания на данни. Това обаче определено не означава, че ОРЗД пряко ще регламентира отношенията между тези образувания.

53.

В известен смисъл, ако данните трябва да се разглеждат като стоки, то тогава регулаторната логика на ОРЗД е аналогична на конкретен публичноправен режим за определени видове (ценни, художествени, исторически) блага. Такъв режим налага определени ограничения върху тези стоки: как те могат да бъдат произведени, как трябва да се използват, при какви условия могат да бъдат променяни, съхранявани, препродадени или унищожени. Такъв специфичен режим защитава стоките и по този начин косвено обвързва всеки последващ собственик или притежател на тези стоки. Сам по себе си обаче този специфичен режим остава привързан към стоките. Той не регламентира нито частните договорки, при които може да се извърши продажбата на тези стоки между два частноправни субекта, нито условията, при които същите стоки могат или трябва да бъдат прехвърлени от частноправно към публичноправно образувание. Регулирането на стоките е различно от регулирането на съответното право на собственост върху тези стоки и търговията с тях.

54.

Разумното тълкуване на ОРЗД е възможно само чрез изясняване на регулаторната му логика и чрез фокусиране върху конкретната операция по обработване като отправна точка за потенциални задължения, възникващи по силата на този инструмент. В противен случай ОРЗД винаги ще бъде приложим, въпреки че какъвто и творчески прочит да се прави на Регламента, просто няма да има разпоредба, която да урежда конкретния поставен въпрос. Неизбежно в такива случаи ще се оказва, че ОРЗД не противоречи на определени национални законови разпоредби или практики. Тази „липса на противоречие“ обаче няма непременно да се дължи на националната уредба, която по принцип е законосъобразна, а по-скоро просто на липсата на уредба на този проблем в ОРЗД, дори и той да засяга по един или друг начин личните данни.

55.

Практиката на Съда познава подобни „лъжливи положителни резултати“ при различни задължения за разкриване на данни, наложени в националното законодателство поради разнообразни причини. И отново, повечето от тези случаи не се отнасят до продължаваща операция по обработване като такава, а по-скоро до предшестващия въпрос за правното основание за такава бъдеща операция. Те варират от завеждането на гражданско дело за упражняване на авторски права ( 29 ) до правилното управление на публични средства ( 30 ) или гарантирането на националната сигурност ( 31 ). Сред примерите в това отношение могат да се посочат и случаи като Rigas satiksme ( 32 ), Promusicae ( 33 ), Bonnier ( 34 ) или J & S Service ( 35 ).

56.

Със сигурност във всички тези ситуации ОРЗД е бил приложим за правата на субектите на данни спрямо администратора или администраторите в контекста на конкретните операции по обработване, които току-що са били извършени или са били на път да бъдат извършени. И все пак, отбелязвам отново, регулаторната логика и правилният обхват на ОРЗД трябва да следват потока на данни и да гарантират, че личните данни са защитени в рамките на операциите по обработване. ОРЗД няма за цел да регулира абсолютно всяко взаимоотношение нагоре по веригата между различните образувания, които биха могли да притежават данни, включително причините защо и как са могли да се сдобият с тези данни. С други думи, ОРЗД не гарантира каквито и да е „права“ на един администратор спрямо друг.

57.

Това не означава, че тези аспекти не са регламентирани със закон. Това е направено, но посредством други инструменти, посветени основно на правоприлагането. Именно в тези инструменти се намира правното основание за обработването, което се изисква на първо място от член 6, параграф 3 от ОРЗД. Когато става дума за задължителни предавания на лични данни, по-скоро логично тези предавания всъщност са предвидени в „правоприлагащи инструменти“ — било по правото на Съюза ( 36 ), било по националното право. Когато става дума за доброволни предавания на лични данни, доколкото това е възможно и допустимо от публичноправния режим, какъвто е ОРЗД, основанието за тези предавания ще се съдържа в националното търговско или договорно право с оглед на вида договорености, съществуващи между съответните последващи администратори.

58.

Като се вземат предвид тези уточнения, според мен случаят (все още) не засяга каквато и да било операция по обработване. Той се отнася до правното основание за това обработване, а това е въпрос, който само се отбелязва в ОРЗД, но в него самия не се регламентира пряко. Независимо от това обаче, предвид гореизложеното и в усилията си да окажа пълно съдействие на запитващата юрисдикция, в следващия раздел на настоящото заключение ще очертая основната рамка, която произтича от ОРЗД и която ще бъде приложима за операцията по обработване след като бъде извършена от администратора, а именно частното предприятие (Б). Целта на ОРЗД е да защити субекта на данни, а не дадено частно предприятие срещу публична намеса в неговата свобода да извършва икономическа дейност или правото му на собственост под формата на експлоатация на данни. Това не означава, че подобен въпрос не би могъл да породи легитимна загриженост, а по-скоро че едва ли може да бъде уреден с ОРЗД (В).

59.

Следва едно по-скоро общо обсъждане на правното основание за обработването на данни, което жалбоподателят ще трябва да извърши, изпълнявайки искането на ответника за предоставяне на информация. В това отношение относимата разпоредба вероятно ще бъде член 6 от ОРЗД, и по-специално параграфи 1 и 3 от него, разгледани в контекста на съображение 45.

60.

В самото начало трябва да се изтъкне фактът, че на Съда не е предоставена никаква конкретна информация за каквито и да било допълнителни приложими национални правила за защита на данните при обстоятелства като тези в главното производство. Съдът също така не е получавал каквото и да било информация дали освен член 15, параграф 6 от Закона за данъците и таксите съществуват и други национални актове с общо приложение (например наредба или насоки за прилагане), които допълнително уреждат въпросното задължение за доставчиците на услуги (за публикуване на обяви в интернет) да съобщават определени данни на данъчните органи. Налице е и много оскъдна информация за националната правна рамка за прилагане на ОРЗД като цяло.

61.

Освен това не е пояснено дали член 23, параграф 1, буква д) от ОРЗД е транспониран в националното законодателство по някакъв начин. Въпросът дали тази разпоредба на правото на Съюза е транспонирана, не е определящ за законосъобразността на искането за предоставяне на информация. Той обаче е релевантен за определяне на обхвата и естеството на задълженията, които могат да възникнат за последващ администратор (публичен орган) по отношение на субектите на данни, както и за определяне на задълженията на първоначалния администратор и информацията, която той трябва да предостави на субектите на данни.

62.

Поради това анализът по-долу няма как да не бъде донякъде с общ характер. Ще разгледам принципите, произтичащи от член 6 от ОРЗД за бъдещото обработване на данни от частно предприятие в изпълнение на искане за предоставяне на данни от публичен орган, първо, спрямо целта на такива предавания на данни (1) и второ, спрямо обхвата и продължителността на предаването им (2). След това ще разгледам правното основание за такива предавания на данни, тъй като изискванията към това основание добиват повече яснота, след като бъдат разгледани предишните подвъпроси (3).

63.

По принцип общата цел, за която данъчната администрация иска разкриване на лични данни в главното производство, е несъмнено легитимна. Гарантирането на надлежното събиране на данъци и разкриването на евентуални нарушения на задължението за плащане на данъци със сигурност могат да попадат в обхвата на видовете легитимни цели за обработване на данни по член 6, параграфи 1 и 3 от ОРЗД ( 37 ).

64.

Ключът към проблемите, които се повдигат в настоящия случай, е нивото на абстрактност, на което тази цел следва да се обяви. В това отношение, изглежда, има известно объркване между два вида специфични цели: (i) търсене на определен вид информация (за да се разкрият нарушения на закона), за разлика от (ii) проверка дали са извършени определени нарушения (и искане да се разкрият конкретни данни, за да се потвърди това предположение).

65.

Естеството (и съответно обхватът) на двата вида предавания на данни е различен. Логиката на търсенето и откриването е ex ante, широка и в голяма степен неопределена спрямо точните субекти на данни. Ако целта е да се открият възможни нарушения, то тогава образната мрежа трябва да се хвърли доста нашироко. Напротив, логиката на проверката за евентуални нарушения чрез разкриване на релевантни данни може да бъде далеч по-нюансирана и фокусирана. В този случай логиката е много повече ex post и е фокусирана върху проверката на определени подозрения, които обикновено са свързани с различим субект на данни.

66.

Според мен член 6 от ОРЗД допуска и двете хипотези. Член 6, параграф 3 от ОРЗД съответно изисква ясно правно основание и за двата вида предавания на такива данни.

67.

Разбирам обаче колебанията на запитващата юрисдикция в контекста на разглеждания случай, като се има предвид формулировката на член 15, параграф 6 от Закона за данъците и таксите. Съгласно редакцията, която явно е била действаща при отправяне на преюдициалното запитване, доставчиците на услуги за публикуване на обяви в интернет могат да бъдат задължавани да представят информация за (съответните) данъчнозадължени лица по искане на Държавната данъчна администрация.

68.

Следователно в настоящия случай целта на разкриването на данни, посочена в съответното правно основание, изглежда, попада във втората хипотеза, очертана по-горе: проверка на определена информация за конкретни данъчнозадължени лица. Националната данъчна администрация обаче, изглежда, е използвала това правно основание, за да отправи т.нар. искане за (неограничени) предавания на данни или дори отявлено събиране на данни, за да проведе обща операция по търсене и откриване, която попада в първата хипотеза, очертана по-горе. Тук откриваме логическия дисонанс, който, изглежда, стои в основата на този случай на национално равнище и който създава чувство на объркване както за пропорционалността на такава мярка (2), така и за правилното правно основание за нея (3).

69.

Пропорционалността, както и „минимизирането“ в контекста на същата проблематика, всъщност е изследване на връзката между (заявените) цели и (избраните) средства. Проблемът в настоящия случай е, че в зависимост от избраната цел в двете (идеални ( 38 )) хипотези, очертани току-що, оценката на пропорционалността вероятно ще е различна.

70.

В рамките на целта за „търсене и откриване“ публичните органи ще разпрострат мрежата си възможно най-широко, за да осигурят намирането на релевантната информация. Това може да доведе до обработване на голямо количество данни. Необходимостта да се получат и обработят големи масиви от данни, всъщност е присъща за този вид общо и неопределено търсене на информация. В тази хипотеза пропорционалността и свеждането до минимум на обработването на данни може действително да се свърже само с вида на поисканите данни, където евентуално може да бъде намерена нужната информация ( 39 ).

71.

В рамките на целта за „проверка“, където публичните органи се нуждаят от получаване на доказателства, свързани със съдържанието на конкретна транзакция или набор транзакции, оценката на пропорционалността естествено може да бъде по-взискателна. В такъв случай данъчната администрация може единствено да поиска информация за конкретни транзакции в рамките на определен период от време, за да извърши ex post проверки, обикновено по отношение на конкретни данъчнозадължени лица. Следователно исканията за предоставяне на информация най-вероятно ще бъдат съобразени с конкретните данни, които съдържат този вид информация.

72.

Логиката на съображение 31 от ОРЗД, доколкото мога да открия някаква, изглежда, се отнася само до втората хипотеза. Съгласно второто изречение на това съображение — на което заинтересованите страни се позовават и което обсъждат обширно, особено Комисията — исканията за съобщаване на данни, изпратени от публичните органи, следва винаги да са в писмена форма, да са обосновани и да засягат само отделни случаи и не следва да се отнасят до целия регистър с лични данни или да водят до свързване на регистри на лични данни.

73.

Според мен обаче не е възможно да се извади (част от) съображение от регламент извън неговия контекст, то да се разглежда като независима и обвързваща разпоредба, без дори да бъде отразено в правно обвързващия текст на този инструмент ( 40 ), и въз основа на това да се обяви, че всички предавания на лични данни на публични органи могат да се извършат единствено при тези условия. Просто не мога да възприема виждането, че част от съображение 31, взета отделно, забранява всички по-мащабни предавания на данни към публични органи, дори и тези, за които има подходящо правно основание (в националното право и/или правото на Съюза) и са в съответствие с всички задължителни разпоредби на ОРЗД.

74.

В контекста на настоящия случай латвийското правителство твърди, че количеството поискана информация може да се счита за разумно, тъй като искането за съобщаване засяга само обяви, публикувани в секция „Леки автомобили“, която е една измежду 112‑те секции на въпросния портал, управляван от жалбоподателя. Белгийското и испанското правителство добавят, че според тях проблемът не е в количеството данни, а по-скоро във вида на поисканите данни.

75.

Съгласен съм с тези становища.

76.

Пропорционалност при търсене и откриване ex ante означава „проверка на качеството“ по отношение на вида поискани данни. „Проверката на количеството“ може да се осъществи напълно само при проверка ex post на определени факти. В противен случай повечето средства за наблюдение или надзор на данни биха били на практика изключени.

77.

При условие че съществува подходящо правно основание в правото на Съюза или националното право, национална данъчна администрация може по принцип да поиска всички необходими данни във връзка с тип проверка, която трябва да извърши, без каквито и да е времеви ограничения. Единственото ограничение, произтичащо от ОРЗД, е пропорционалност по отношение на вида поискани данни. Както правилно посочва гръцкото правителство, исканията за предоставяне на информация следва да бъдат ограничени до вида данни, отнасящи се до икономическата дейност на данъкоплатците, а не до личния им живот.

78.

Например, ако заявената цел е да се разкрият недекларирани доходи от продажбата на автомобили втора употреба, данъчната администрация няма правото да поиска също информация дали лицето, което продава автомобила, е червенокосо, дали следва определен хранителен режим, или пък дали притежава плувен басейн. Следователно видът поискана информация трябва да бъде ясно свързан с обявеното търсене и разследване.

79.

Отделно от това, оценката за пропорционалност и в двете хипотези, очертани по-горе, следва да се извършва от националната юрисдикция предвид фактическите и правни обстоятелства във всеки отделен случай ( 41 ). Казано просто, в настоящия случай въпросът, който трябва да си зададем, е дали видът поискани данни е подходящ, така че ответникът да получи необходимата информация, за да постигне заявената от него цел?

80.

И накрая, едва сега ключовият въпрос за правното основание може да бъде качествено преценен с оглед на направените току-що уточнения. Естествено и двете хипотези, очертани в предишните подраздели на настоящото заключение („търсене и откриване“ и „проверка“), изискват правно основание съгласно член 6, параграф 3 от ОРЗД, за да може жалбоподателят да извърши обработване. Тази разпоредба изрично позволява конкретно адаптиране на прилагането на общите правила на ОРЗД по силата на право на Съюза или на правото на държавите членки.

81.

При всички случаи обаче предвиденото правно основание трябва логично да обхваща конкретната цел и вида обработване на данни, което се извършва за тази цел. Как точно това ще се постигне, е въпрос на конкретни разпоредби за адаптиране, приети от държавата членка или от Съюза на основание член 6, параграф 3 от ОРЗД. По принцип, колкото по-обобщени, по-големи и постоянни са предаванията на данни, толкова по-стабилно, подробно и изрично трябва да е законодателното основание, тъй като такива предавания на данни представляват по-голяма намеса в защитата на данни. Напротив, колкото по-сдържани и ограничени са исканията за разкриване на данни — обикновено за един или няколко субекта на данни или пък за ограничен обем данни — толкова по-вероятно е тези искания да се изпълнят на равнището на индивидуални административни искания, като законодателната овластяваща клауза остане доста широка и обща.

82.

С други думи, двете регулаторни нива, а именно законодателното и административното, действат съвместно, за да оформят крайното правно основание за обработване на данни. Поне едно от тях трябва да е достатъчно конкретно и съобразено с определен вид или определен обем искани лични данни. Колкото повече е предвидено на законодателно и структурно ниво за такива предавания на данни, толкова по-малко е нужно да се съдържа в индивидуалното административно искане. Законодателното ниво дори може да бъде толкова подробно и обстойно, че да е напълно самодостатъчно и самоизпълнимо. Напротив, колкото по-общо и неясно е законодателното ниво, толкова повече подробности — включително ясно изявление за целта, което съответно ще ограничи обхвата — ще са необходими на нивото на индивидуалното административно искане.

83.

Тази точка косвено дава отговор на въпроса, повдигнат от запитващата юрисдикция по отношение на пропорционалността — въпрос, който всъщност може най-добре да се разгледа тук при определянето дали данъчните администрации могат да правят искания за предоставяне на данни, които са неограничени във времето. Според мен съгласно ОРЗД те могат да го правят. По-релевантният въпрос обаче следва да бъде дали по националното законодателство те разполагат с подходящо правно основание за онова, което по същество представлява текущо и постоянно предаване на данни. Стига за такива предавания на данни да има ясно основание, както и продължителност, по националното право, член 6, параграф 3 от ОРЗД допуска това. И отново, съображение 31 от ОРЗД не променя съществено нещата в това отношение ( 42 ). Не виждам особено практическо приложение това съображение да се разглежда в смисъл, че ефективно изисква административните органи да издават непрекъснато (било то всеки ден, месец, или година) идентични индивидуални искания, за да получат нещо, което вече щяха да са получили въз основа на националното законодателство.

84.

В разглеждания случай правното основание за обработването, изглежда, се формира както от член 15, параграф 6 от Закона за данъците и таксите, така и от конкретните искания за разкриване на данни, направени от данъчната администрация. Изглежда съответно, че е налице двустранно правно основание с обща законодателна овластяваща разпоредба и нейно конкретно целенасочено административно приложение.

85.

Като цяло такова двойно правно основание изглежда достатъчно да оправдае обработването на лични данни от жалбоподателя за целите на тяхното предаване на публичен орган съгласно член 6, параграф 1, буква в) и параграф 3 от ОРЗД. Въпреки че националното законодателство, в което се предвиждат правомощия за данъчната администрация да изисква информация, е доста общо, конкретните искания за предоставяне на данни изглеждат в голяма степен насочени към определен вид данни, въпреки потенциално големия им обем.

86.

В крайна сметка националната юрисдикция следва да провери — при пълно познаване на националното законодателство, включително и на други национални правила за прилагане, които не са упоменати в хода на настоящото производство — дали исканото обработване на данни от жалбоподателя в главното производство отговаря на изискванията, изложени в този раздел на заключението.

87.

Въпросът, който стои в основата на тази преценка и който се нуждае от особено внимание, е дали член 15, параграф 6 от Закона за данъците и таксите, в комбинация с конкретните искания за предоставяне на информация, съответства на изискването за предвидимост ( 43 ), когато се разглежда правното основание. Законодателството, което позволява предавания на данни, трябва да определя ясни и точни правила, уреждащи обхвата и прилагането на въпросната мярка, и да налага минимални гаранции, така че лицата, чиито лични данни са засегнати, да разполагат с достатъчно гаранции, че данните им ще бъдат ефективно защитени срещу риска от злоупотреба ( 44 ).

88.

Следователно, правното основание като цяло (законодателно и административно ниво в съвкупност) трябва да бъде формулирано достатъчно прецизно за всички засегнати лица: публичните органи, що се отнася до това какво могат да поискат, предприятията, що се отнася до това какво могат да предоставят, и най-вече субектите на данни, така че те да знаят кой би могъл да има достъп до техните данни и за какви цели. Може да се припомни, че информацията за обработването на данни всъщност е ключово изискване по ОРЗД. Субектите на данни трябва да са наясно, че е налице обработване, като тази информацията е предпоставка за упражняване на други права, а именно на достъп, поправяне или изтриване ( 45 ).

89.

Освен ако член 23 от ОРЗД не е транспониран в националното законодателство, за да ограничи правата на субектите на данни по глава III на ОРЗД, от членове 13 и 14 от ОРЗД следва, че администраторът на обработването трябва да предостави информация на субекта на данни. В контекста на последващи предавания на данни, може да се окаже трудно да се определи кой носи задължението за информиране ( 46 ). Освен това в практически план, при липса на всякакви приети по член 23, параграф 1 от ОРЗД ограничения, които в националното законодателство трябва да отговарят на изискването по член 23, параграф 2 от ОРЗД, получил данните публичен орган може да бъде задължен да предостави подходяща информация съгласно член 14 от ОРЗД на всички засегнати субекти на данни. Ако няма ясно и предвидимо правно основание, позволяващо в крайна сметка да се осъществяват такива предавания на данни, едва ли може да се очаква от администратора, който е събрал данните, предварително надлежно да информира субекта на данни в съответствие с член 13 от ОРЗД.

90.

В заключение, според мен член 6, параграф 1, буква в) и параграф 3 от ОРЗД допуска национални правила, в които се предвижда, без никакво ограничение във времето, задължение за доставчиците на услуги за публикуване на обяви в интернет да съобщават определени лични данни на данъчна администрация, стига в националното право да има ясно правно основание за такъв вид предаване на данни и поисканите данни да са подходящи и необходими за изпълнението от данъчната администрация на официалните ѝ задачи.

91.

Едва ли е моя работа да спекулирам какви са истинските мотиви на страните в производството пред националната юрисдикция. Ето защо ще остана верен на надеждите си, че съществуват добри самаряни, които безкористно се застъпват в защита на другите. Защо частно дружество да не може просто да защити правата на субектите на данни, от които са събрани личните данни?

92.

Въпреки че можем само да се радваме, когато търговски предприятия се ангажират с каузата за защита на данните, предполагам, че някои други предприятия могат да имат други причини, поради които желаят да се противопоставят на разпоредени от публичната власт предавания на събраните от тях лични данни. Такава причина може да е свързана с разходите за такова начинание. Трябва ли на публичните органи да се позволи ефективно да възлагат навън част от упражняването на функциите като публична администрация, като по този начин принудят частните предприятия да понесат разходите за упражняване на дейност, представляваща по същество работа като публична администрация? Този въпрос придобива значение при постоянни предавания на големи масиви данни, които частните предприятия се предполага, че ще извършват в името на общото благо без каквато и да била компенсация ( 47 ). Други причини могат да бъдат по-скоро свързани с икономическата дейност. Ако дори за кратко предположим — естествено, абсолютно хипотетично — че хората по принцип не обичат да плащат данъци, то не би било пресилено да предположим също така, че някои от тези хора могат да предпочетат други начини за публикуване на обяви за своите автомобили втора употреба, различни от онлайн портал, който впоследствие съобщава тази информация на данъчните власти.

93.

Постигането на равновесие между всички интереси в такава ситуация далеч не е лесно. От една страна, възможността публичната власт да изисква данни от частни предприятия, които да са изготвени и представени в съответствие с точните ѝ изисквания, може опасно да се доближи до принудително възлагане навън на упражняването на функции на публична администрация. Това по-специално може да е случаят с данните, които иначе са свободно достъпни и които публичните органи могат сами да съберат с малки технически усилия. От друга страна, както белгийското правителство уместно подчертава, изтъквайки по-широкото значение на положението в главното производство, навярно ще е необходим по-нюансиран отговор в случаи на различни видове платформи за икономика на споделянето или в други хипотези, където публичните органи искат достъп до данни, които са от съществено значение за обявените легитимни цели, но не са свободно достъпни, и които следователно публичните органи не могат сами да съберат. Дори и при такива обстоятелства обаче проблемът с възможната компенсация остава отворен.

94.

Определено виждам как такива проблеми дебнат на фона на главното производство. Намирането на разумен баланс в такива случаи обаче трябва да става главно на национално ниво или на ниво ЕС при приемането на съответното законодателство, в което се предвижда правното основание за подобен вид предаване на данни. Това не следва да бъде предмет на съдебна намеса, a fortiori когато запитващата юрисдикция дори не повдига изрично някой от тези въпроси. Още повече че съществуват поне още две причини защо настоящият случай не е подходящият повод за навлизане в подобен вид дискусия.

95.

Първо, подобно на редица други въпроси, които по някакъв начин кръжат около потока лични данни, но не засягат действително защитата на правата на субектите на данни, тези въпроси просто не са специално регламентирани от ОРЗД. Въпросът с правната защита на администраторите на данни, които са частни предприятия, срещу потенциално незаконосъобразна или непропорционална намеса в свободата им на стопанска инициатива, възможното им право на собственост ( 48 ) или дори потенциалното им право на справедлива компенсация за предадените данни, не е въпрос, уреден в ОРЗД.

96.

На второ място, след като правното основание за такова предаване на данни не е предвидено в правото на Съюза ( 49 ), то тогава въпросът за евентуална компенсация за такива наложени предавания на данни едва ли може да е и въпрос в обхвата на правото на Съюза. Това обаче не означава, както бе отбелязано, че тези въпроси не могат да възникнат, дори и като проблематика, свързана със защитата на основни права (на засегнатите администратори на данни). Тези въпроси обаче тогава трябва надлежно да се разгледат от националните правораздавателни органи на държавите членки, изискващи такива предавания на данни. Всеки случай от този вид трябва следователно да се отнесе до национален (конституционен) правораздавателен орган.

97.

Предлагам на Съда да отговори на поставените от Administratīvā apgabaltiesa (Регионален административен съд, Латвия) преюдициални въпроси по следния начин: