–

за Proximus NV, от P. Craddock и T. de Haan, avocats, и от Е. Van Bogget, advocaat,

–

за Gegevensbeschermingsautoriteit, от C. Buggenhoudt, E. Cloots и J. Roets, advocaten,

–

за италианското правителство, от G. Palmieri, в качеството на представител, подпомагана от E. De Bonis, avvocato dello Stato,

–

за латвийското правителство, от E. Bārdiņš, J. Davidoviča и K. Pommere, в качеството на представители,

–

за португалското правителство, от P. Barros da Costa, L. Inez Fernandes, M. J. Ramos и C. Vieira Guerra, в качеството на представители,

–

за румънското правителство, от E. Gane и L. Liţu, в качеството на представители,

–

за Европейската комисия, от S. L. Kalėda, H. Kranenborg и P.‑J. Loewenthal, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 12, параграф 2 във връзка с член 2, втора алинея, буква е) от Директива 2002/58/ЕО на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63), изменена с Директива 2009/136/ЕО на Европейския парламент и на Съвета от 25 ноември 2009 г. (ОВ L 337, 2009 г., стр. 11) (наричана по-нататък „Директива 2002/58“), както и на член 5, параграф 2 и членове 17, 24 и 95 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (OB L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между Proximus NV, белгийско публичноправно дружество, и Gegevensbeschermingsautoriteit (Орган за защита на данните, Белгия, наричан по-нататък „ОЗД“) по повод на решението, с което Geschillenkamer van de Gegevensbeschermingsautoriteit (Състав за уреждане на спорове на ОЗД, наричан по-нататък „Съставът за уреждане на спорове“) налага на Proximus коригиращи мерки и глоба в размер на 20000 EUR за нарушение на редица разпоредби от ОРЗД.

3

Съгласно член 2, буква з) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10):

„По смисъла на настоящата директива:

[…]

4

Съображения 10, 17, 38 и 39 от Директива 2002/58 гласят:

[…]

[…]

5

Член 1 от тази директива предвижда:

„1.   Настоящата директива предвижда да се хармонизират националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в електронно съобщителния сектор и да се осигури свободно движение на такива данни и оборудване за електронни съобщения и услуги в Общността.

2.   Разпоредбите на настоящата директива конкретизират и допълват Директива 95/46/ЕО за целите, упоменати в параграф 1. Освен това те се грижат за защита на легитимните интереси на абонати, които са юридически лица.

[…]“.

6

Съгласно член 2 („Дефиниции“), втора алинея, буква е) от посочената директива:

„Прилагат се също следните дефиниции:

[…]

7

Член 12 от същата директива, озаглавен „Указатели на абонати“, гласи:

„1.   Държавите членки следят абонатите да са информирани безплатно и преди да са включени в указателя, относно целта (целите) на отпечатания или електронен указател на абонати, достъпен до широката публика или, който може да се получи чрез справки, в които техните лични данни могат да бъдат включени, и за всяко по-нататъшно използване въз основа на функции за търсене, включени в електронните версии на указателя.

2.   Държавите членки следят на абонатите да бъде дадена възможност да определят дали техните лични данни да бъдат включени в публичен указател и, ако е така, кои данни, до степен достатъчна за целите на указателя, както е определено от доставчика на указателя, както и да провер[ят], коригира[т] или оттегл[ят] такива данни. Невключването в публичния указател на абонати, проверката, коригирането или оттеглянето на лични данни от него трябва бъде безплатно.

3.   Държавите членки могат да изискват за всяка цел на публичен указател, освен тази за търсене на координати на лица на база техните имена и когато е необходимо минимален брой други идентификатори, да бъде поискано допълнително съгласие от абонатите.

[…]“.

8

Съображения 42, 66 и 173 от ОРЗД гласят:

[…]

[…]

9

Съгласно член 4, точки 2, 7 и 11 от този регламент:

„За целите на настоящия регламент:

[…]

[…]

[…]

10

Член 5 от ОРЗД е озаглавен „Принципи, свързани с обработването на лични данни“ и предвижда:

„1.   Личните данни са:

[…].

2.   Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.

11

Съгласно член 6 от ОРЗД, озаглавен „Законосъобразност на обработването“:

„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

[…]“.

12

Член 7 („Условия за даване на съгласие“) от ОРЗД гласи:

„1.   Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.

[…]

3.   Субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне. Преди да даде съгласие, субектът на данни бива информиран за това. Оттеглянето на съгласие е също толкова лесно, колкото и даването му

[…]“.

13

Член 16 („Право на коригиране“) от ОРЗД предвижда:

„Субектът на данни има право да поиска от администратора да коригира без ненужно забавяне неточните лични данни, свързани с него. Като се имат предвид целите на обработването субектът на данните има право непълните лични данни да бъдат попълнени, включително чрез добавяне на декларация“.

14

Съгласно член 17 от ОРЗД, озаглавен „Право на изтриване (право „да бъдеш забравен“)“:

„1.   Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът има задължението да изтрие без ненужно забавяне личните данни, когато е приложимо някое от посочените по-долу основания:

[…]

[…]

2.   Когато администраторът е направил личните данни обществено достояние и е задължен съгласно параграф 1 да изтрие личните данни, той, като отчита наличната технология и разходите по изпълнението, предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че субектът на данните е поискал изтриване от тези администратори на всички връзки, копия или реплики на тези лични данни.

[…]“.

15

Член 19 („Задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването“) от ОРЗД предвижда:

„Администраторът съобщава за всяко извършено в съответствие с член 16, член 17, параграф 1 и член 18 коригиране, изтриване или ограничаване на обработване на всеки получател, на когото личните данни са били разкрити, освен ако това е невъзможно или изисква несъразмерно големи усилия. Администраторът информира субекта на данните относно тези получатели, ако субектът на данните поиска това“.

16

Съгласно член 24 от ОРЗД, озаглавен „Отговорност на администратора“:

„1.   Като взема предвид естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящия регламент. Тези мерки се преразглеждат и при необходимост се актуализират.

2.   Когато това е пропорционално на дейностите по обработване, посочените в параграф 1 мерки включват прилагане от страна на администратора на подходящи политики за защита на данните.

[…]“.

17

Член 94 („Отмяна на Директива 95/46/ЕО“), параграф 2 от ОРЗД гласи:

„Позоваванията на отменената директива се тълкуват като позовавания на настоящия регламент. […]“.

18

Член 95 от ОРЗД, озаглавен „Връзка с Директива 2002/58/ЕО“, предвижда:

„Настоящият регламент не налага допълнителни задължения на физическите или юридическите лица по отношение на обработването във връзка с предоставянето на обществено достъпни електронни съобщителни услуги в обществени съобщителни мрежи в [Европейския съюз], по отношение на въпроси, за които са им наложени специални задължения със същата цел, установени в Директива 2002/58/ЕО“.

19

Съгласно член 133 от Wet betreffende de elektronische communicatie (Закон за електронните комуникации) от 13 юни 2005 г. (Belgisch Staatsblad, 20 юни 2005 г., стр. 28070), който транспонира в белгийското право член 12 от Директива 2002/58:

„§ 1.   Доставчиците на публичнодостъпни телефонни услуги уведомяват абонатите си безплатно и преди да ги включат в указател или телефонна справочна услуга:

В указателя или телефонната справочна услуга могат да бъдат включени само лични данни, които са релевантни във връзка с целта, съобщена в съответствие с първа алинея, и за които съответният абонат е посочил, че могат да присъстват във въпросния указател или във въпросната телефонна справочна услуга.

За тази цел операторът поставя на абоната два отделни въпроса:

[…]

§ 2.   Всеки абонат има право да се запознае със свързаните с него лични данни съгласно условията, определени в или в съответствие със Закона от 8 декември 1992 г. относно защитата на правото на неприкосновеност на личния живот при обработването на лични данни.

Освен това всеки абонат има право да поиска безплатно коригиране или премахване от указателя или от телефонната справочна услуга на свързаните с него лични данни в съответствие с процедурите и условията, определени от краля след становище на Комисията за защита на неприкосновеността на личния живот и на Института“.

20

Член 45, параграф 2 от посочения закон задължава операторите на телефонни услуги да предоставят данните за абонатите си на разположение на доставчиците на публични указатели. По силата на член 45, параграф 3 от същия закон тези оператори държат отделно данните на абонатите, които са посочили, че не желаят да бъдат включени в указател, за да им дадат възможност да получат този указател, без данните им да присъстват в него.

21

Proximus, доставчик на далекосъобщителни услуги в Белгия, предоставя и телефонни указатели и публичнодостъпни телефонни справочни услуги (наричани по-нататък „указателите“) в съответствие с разпоредбите на Закона за електронните комуникации. Указателите съдържат името, адреса и телефонния номер (наричани по-нататък „данните за контакт“) на абонатите на различните доставчици на публичнодостъпни телефонни услуги (наричани по-нататък „операторите“). Съществуват и други указатели, публикувани от трети лица.

22

Данните за контакт на тези абонати редовно се съобщават на Proximus от операторите, с изключение на данните на абонатите, изразили желание да не бъдат включени в издаваните от Proximus указатели. В Белгия разграничението между абонатите, които искат да бъдат включени в указател, и тези, които не желаят това, на практика се провежда посредством съответния параметър в записа на всеки абонат, а именно „NNNNN“ за абонатите, чиито данни за контакт могат да се включат в указатели, и „XXXXX“ за абонатите, чиито данни за контакт остават поверителни. Proximus предава данните за контакт, които получава, и на друг доставчик на указатели.

23

Жалбоподателят е абонат на оператора на телефонни услуги Telenet, осъществяващ дейност на белгийския пазар. Telenet не предоставя указатели, но предава данните за контакт на абонатите си на доставчици на указатели, и по-специално на Proximus.

24

На 13 януари 2019 г. този абонат иска от Proximus данните му за контакт да не бъдат включвани в указателите, издавани както от Proximus, така и от трети лица. Вследствие на това искане Proximus променя статута на този абонат в своята информационна система, така че данните за контакт на посочения абонат вече да не се правят обществено достояние.

25

На 31 януари 2019 г. Proximus получава от Telenet рутинна актуализация на данните за абонатите на последния. Тази актуализация съдържа нови данни за съответния абонат, които не са посочени като поверителни. Въпросните данни са обработени автоматично от Proximus и са записани по такъв начин, че отново присъстват в неговите указатели.

26

На 14 август 2019 г., след като узнава, че телефонният му номер е публикуван в указателите на Proximus и на трети лица, абонатът отново иска от Proximus данните му да не бъдат включвани в тях. На същата дата Proximus отговаря на жалбоподателя, че е премахнал данните му от указателите и се е свързал с Google, за да бъдат изтрити съответните връзки към уебсайта на Proximus. Proximus също така уведомява абоната, че е предал данните му за контакт на други доставчици на указатели и че чрез месечните актуализации тези доставчици ще бъдат информирани за искането на жалбоподателя.

27

Едновременно с това посоченият абонат подава жалба до ОЗД срещу Proximus, с мотива че въпреки искането му данните му за контакт да не бъдат включвани в указателите, телефонният му номер все пак присъства в някои от тези указатели.

28

На 5 септември 2019 г. съответният абонат и Proximus отново обменят кореспонденция относно публикуването на данните на този абонат в указателя на трето лице. В този контекст Proximus подчертава, че предава данните за контакт на своите абонати на други доставчици на указатели, но няма поглед върху вътрешните процедури на тези други доставчици.

29

На 30 юли 2020 г. — след провеждане на състезателно производство — Съставът за уреждане на спорове приема решение, с което налага на Proximus коригиращи мерки, както и глоба в размер на 20000 EUR за нарушение по-специално на член 6 от ОРЗД във връзка с член 7 от този регламент и на член 5, параграф 2 от посочения регламент във връзка с член 24 от него. По-специално, най-напред, той разпорежда на Proximus да вземе подходящи и незабавни мерки, за да отрази оттеглянето на съгласието на съответния абонат и да се съобрази с исканията на последния, насочени към упражняване на правото му на изтриване на свързаните с него данни. По-нататък, той разпорежда на Proximus да вземе подходящи технически и организационни мерки, за да гарантира, че извършваното от него обработване на лични данни съответства на разпоредбите на ОРЗД. Накрая, той разпорежда на Proximus да прекрати незаконосъобразното предаване на тези данни на други доставчици на указатели.

30

На 28 август 2020 г. Proximus обжалва това решение пред Hof van beroep te Brussel (Апелативен съд Брюксел, Белгия).

31

Според Proximus съгласно член 45, параграф 3 от Закона за електронните комуникации не се изисква съгласие от абоната, а самите абонати трябва да поискат да не бъдат включени в указателя съгласно т.нар. подход „opt-out“. При липса на такова искане съответният абонат всъщност можел да бъде включен в тези указатели. Поради това според Proximus в случая не е необходимо „съгласие“ по смисъла на Директива 95/46 или по смисъла на ОРЗД от страна на абоната.

32

Противоположното схващане на ОЗД по същество е, че член 12, параграф 2 от Директива 2002/58 и член 133, параграф 1 от Закона за електронните комуникации изискват „съгласието на абонатите“ по смисъла на ОРЗД, за да могат доставчиците на указатели да обработват и предават личните им данни.

33

Запитващата юрисдикция счита, че Директива 2002/58 представлява lex specialis по отношение на ОРЗД, както според нея се потвърждава от съображение 173 и член 95 от ОРЗД. Следователно в случаите, в които Директива 2002/58 уточнява правилата на ОРЗД, специалните разпоредби на тази директива (като lex specialis) имат предимство пред по-общите разпоредби на ОРЗД.

34

В този контекст запитващата юрисдикция отбелязва, че член 12, параграф 2 от Директива 2002/58 и член 133, параграф 1 от Закона за електронните комуникации изискват волеизявление от страна на абонатите, за да могат доставчиците на указатели да обработват личните им данни, но същевременно те не уточняват дали това волеизявление трябва да се осъществи чрез упражняването на право на избор, както поддържа Proximus, или чрез даването на същинско съгласие по смисъла на ОРЗД, както смята ОЗД. По този въпрос запитващата юрисдикция подчертава, че съгласно практиката на Съда, и по-специално съгласно решение от 5 май 2011 г., Deutsche Telekom (C‑543/09, EU:C:2011:279, т. 61), при тълкуването на член 12 от Директива 2002/58 с оглед на контекста и систематичното място на тази разпоредба се налага изводът, че разглежданото волеизявление съответства на „съгласие“, което се отнася до целта на публикуването на личните данни в публичния указател, а не до издаването им от конкретен доставчик на указатели.

35

Освен това, имайки предвид, че нито в Директива 2002/58, нито в Закона за електронните комуникации, нито в подзаконов акт е предвиден специален режим относно оттеглянето на това волеизявление или на това „съгласие“ от абоната, запитващата юрисдикция поставя въпроса дали всички разпоредби на ОРЗД трябва да се прилагат автоматично и без ограничения и в специфичния контекст на телефонните указатели.

36

При тези обстоятелства Hof van beroep te Brussel (Апелативен съд Брюксел) решава да спре производството и да постави на Съда следните преюдициални въпроси:

37

Proximus твърди, че главното производство не се отнася до публикуването от оператор на телефонни услуги на указатели, съдържащи лични данни, поради което първият преюдициален въпрос трябва да се приеме за недопустим, доколкото се отнася до такъв случай.

38

Съгласно постоянната съдебна практика въпросите, които са свързани с тълкуването на правото на Съюза и са поставени от националния съд в нормативната и фактическа рамка, която той определя съгласно своите правомощия и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по отправеното от национална юрисдикция запитване само ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, т. 48 и цитираната съдебна практика).

39

В настоящия случай спорът в главното производство е между физическо лице и дружество, което не е неговият оператор на телефонни услуги, относно начина, по който посоченото дружество е обработвало личните данни на това лице при публикуването на указатели. Следователно първият въпрос е недопустим, доколкото се търси тълкуване на изискванията, произтичащи от член 12, параграф 2 от Директива 2002/58 за случая, когато операторът на телефонни услуги на физическото лице сам публикува личните му данни в указатели.

40

От горното следва, че с първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 12, параграф 2 от Директива 2002/58 във връзка с член 2, втора алинея, буква е) от тази директива и с член 95 от ОРЗД трябва да се тълкува в смисъл, че „съгласието“ по смисъла на член 4, точка 11 от ОРЗД на абоната на оператор на телефонни услуги се изисква, за да се включат личните данни на този абонат в указатели, публикувани от доставчици, различни от този оператор.

41

За да се отговори на този въпрос, е важно да се припомни, че съгласно член 1, параграф 1 от Директива 2002/58 тя предвижда да се хармонизират националните разпоредби, необходими за осигуряване на еднаква степен на защита на основните права и свободи, и по-специално правото на неприкосновеност на личния живот и правото на поверителност по отношение на обработката на лични данни в електронно съобщителния сектор.

42

В това отношение следва да се напомни, че видно от член 12, параграф 1 от тази директива, както и от съображение 38 от нея, преди да бъдат включени в публичен указател, абонатите следва да бъдат информирани за целите на указателя и за всяко възможно специфично използване на указателя, например посредством функциите за търсене, включени в софтуера на електронните версии на указателите.

43

По-нататък, във връзка със задължението за предварително информиране на абонатите по член 12, параграф 1 от посочената директива в съображение 39 от нея се пояснява, че „[к]огато [личните] данни[…] могат да бъдат предадени на една или повече трети страни, абонатът трябва да бъде информиран за тази възможност и за получателя или за категориите възможни получатели“.

44

След като получи информацията по член 12, параграф 1 от Директива 2002/58, абонатът има възможност да реши дали личните му данни да бъдат включени в публичен указател и евентуално кои от личните му данни да бъдат включени в него, както следва от параграф 2 от същия член.

45

Както Съдът вече е приел, това предварително информиране позволява на съответния абонат да даде съгласие за публикуването на личните му данни в публични телефонни указатели, като такова съгласие е необходимо за целите на подобно публикуване (вж. в този смисъл решение от 5 май 2011 г., Deutsche Telekom, C‑543/09, EU:C:2011:279, т. 54 и 58).

46

Изискването за получаване на съгласие от съответния абонат за целите на публикуването на тези данни в указатели се потвърждава от член 12, параграф 3 от Директива 2002/58, съгласно който държавите членки могат да изискват „да бъде поискано допълнително съгласие от абонатите“ за всяка цел на публичен указател освен тази за търсене на координати на лица на база техните имена.

47

Както обаче Съдът е уточнил, при тълкуването на член 12 от Директива 2002/58 с оглед на контекста и систематичното място на тази разпоредба се налага изводът, че съгласието по смисъла на параграф 2 от този член се отнася до целта на публикуването на личните данни в публичния указател, а не до издаването им от конкретен доставчик на указатели. Поради това, когато се е съгласил данните му да бъдат публикувани в указател с особена цел, абонатът по принцип няма интерес да се противопоставя на публикуването на същите данни в друг сходен указател (решение от 5 май 2011 г., Deutsche Telekom, C‑543/09, EU:C:2011:279, т. 61 и 62).

48

В това отношение съображение 39 от посочената директива потвърждава, че предаването на лични данни на абонати на трети лица е допустимо, при условие че „данните не могат да се използват за други цели, освен за тези, за които са събрани“.

49

Оттук следва, че след като оператор на телефонни услуги като Telenet е информирал абоната за възможността да предаде личните му данни на трето предприятие (като Proximus или други трети лица) с цел публикуването им в публичен указател и след като абонатът се е съгласил с публикуването на посочените данни в такъв указател, предаването от този оператор или от това предприятие на същите данни на друго предприятие, което иска да ги публикува в печатен или електронен публичен указател или да осигури достъп до тях посредством справочна услуга, не трябва отново да зависи от съгласието на посочения абонат, тъй като е гарантирано, че съответните данни няма да бъдат използвани за други цели, освен за тези, за които са събрани с оглед на първото им публикуване. Всъщност съгласието по смисъла на член 12, параграф 2 от Директива 2002/58 на надлежно информирания абонат личните му данни да бъдат включени в публичен указател, се отнася до целта на публикуването им и поради това обхваща всяко следващо обработване на тези данни от трети предприятия, които извършват дейност на пазара на публичните телефонни справочни услуги и указатели, стига обработването да се извършва със същата цел (решение от 5 май 2011 г., Deutsche Telekom, C‑543/09, EU:C:2011:279, т. 65).

50

За сметка на това, както е посочено в съображение 39 от тази директива, ако страната, събираща данните от абонатите, или трета страна, на която данните са били предадени, желае да използва данните с допълнителна цел, трябва да се получи подновено съгласие от абоната, или от първата страна, събираща данните, или от третата страна, на която данните са били предадени.

51

Що се отнася до начина, по който трябва да бъде изразено такова съгласие, от член 2, втора алинея, буква е) от Директива 2002/58 във връзка с член 94, параграф 2 и член 95 от ОРЗД следва, че по принцип това съгласие трябва да отговаря на изискванията, произтичащи от член 4, точка 11 от този регламент.

52

В случая член 4, точка 11 от ОРЗД, който е разпоредбата, приложима към разглежданите в главното производство факти, дефинира „съгласието на субекта на данните“ в смисъл, че се изисква „свободно изразено, конкретно, информирано и недвусмислено“ указание за волята на субекта на данните под формата на изявление или „ясно потвърждаващо действие“, което изразява съгласието му свързаните с него лични данни да бъдат обработени.

53

От горното следва, че такова съгласие е необходимо, за да могат личните данни относно абоната на оператор на телефонни услуги да бъдат включени в указатели.

54

Ето защо публикуването на лични данни на въпросния абонат в указатели като издаваните от Proximus или от други доставчици може да се счита за законосъобразно по смисъла на член 6, параграф 1, буква а) от ОРЗД само при наличието на такова съгласие, дадено изрично на оператора на телефонни услуги или на някой от тези доставчици на указатели.

55

Все пак, както бе припомнено в точка 49 от настоящото решение, такова съгласие не предполага, че към датата, на която е дадено, субектът на данните непременно знае кои са всички конкретни доставчици на указатели, които ще обработват личните му данни.

56

По изложените съображения на първия въпрос следва да се отговори, че член 12, параграф 2 от Директива 2002/58 във връзка с член 2, втора алинея, буква е) от тази директива и с член 95 от ОРЗД трябва да се тълкува в смисъл, че „съгласието“ по смисъла на член 4, точка 11 от ОРЗД на абоната на оператор на телефонни услуги се изисква, за да се включат личните данни на този абонат в указатели, публикувани от доставчици, различни от този оператор, като това съгласие може да бъде дадено или на посочения оператор, или на някой от тези доставчици.

57

С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 17 от ОРЗД трябва да се тълкува в смисъл, че искането на абоната за премахване на личните му данни от указателите представлява позоваване на „правото на изтриване“ по смисъла на този член.

58

Най-напред, следва да се отбележи, че според Proximus член 17 от ОРЗД не се прилага по отношение на доставчик на указатели, който, както е в случая, не е операторът на телефонни услуги на абоната, и искане като посоченото в предходната точка от настоящото решение би трябвало най-много да се счита за искане за коригиране по смисъла на член 16 от този регламент, поради което вторият преюдициален въпрос е недопустим, доколкото е ирелевантен за главното производство.

59

Изтъкнатите от този участник в преюдициалното производство доводи обаче по същество са свързани с приложното поле, както и с обхвата, а следователно и с тълкуването на разпоредбите на правото на Съюза, до които се отнася вторият въпрос. Ето защо подобни доводи, които се отнасят до поставения въпрос по същество, поначало не могат да обусловят неговата недопустимост (решение от 13 януари 2022 г., Minister Sprawiedliwości, C‑55/20, EU:C:2022:6, т. 83).

60

Затова вторият преюдициален въпрос е допустим.

61

На първо място, важно е да се подчертае, че съгласно член 12, параграф 2, второ изречение от Директива 2002/58 абонатите трябва по-специално да имат възможност да предизвикат премахването на свързаните с тях лични данни от публичните указатели.

62

При все това предоставянето на такава възможност за абонатите не представлява специално задължение по смисъла на член 95 от ОРЗД за доставчиците на указатели, което би позволило да се изключи прилагането на релевантните разпоредби на този регламент. Всъщност, както по същество отбелязва генералният адвокат в точка 54 от заключението си, Директива 2002/58 не съдържа указания относно условията, изпълнението и последиците на исканията за премахване на личните данни. Поради това, както впрочем следва от съображение 10 от тази директива във връзка с член 94 от ОРЗД, разпоредбите на този регламент биха могли да се приложат в такъв случай.

63

На второ място, от член 17, параграф 1, букви б) и г) от ОРЗД следва, че субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни, а администраторът има задължението да изтрие без ненужно забавяне личните данни по-специално когато субектът на данните „оттегля своето съгласие, върху което се основава обработването на данните съгласно член 6, параграф 1, буква а) […], и няма друго правно основание за обработването“, или пък когато „личните данни са били обработвани незаконосъобразно“.

64

В това отношение, от една страна, от отговора на първия преюдициален въпрос следва, че публикуването на личните данни на абонат в указатели се основава на съгласието на този абонат.

65

От друга страна, от член 6, параграф 1, буква а) и член 7, параграф 3 от ОРЗД следва, че такова съгласие е едно от необходимите условия, позволяващи да се направи извод за законосъобразността на обработването на личните данни на съответния абонат, и че това съгласие може да бъде оттеглено във всеки момент при условия, които са също толкова прости, колкото тези, които са позволили на субекта на данните да даде такова съгласие.

66

В настоящия случай, когато абонатът иска данните му вече да не присъстват в указател, той оттегля съгласието си за публикуването на тези данни. Въз основа на оттеглянето на съгласието му и при липса на друго правно основание за такова обработване той получава правото да поиска изтриване на неговите лични данни от указателя по силата на член 17, параграф 1, буква б) от ОРЗД или — в случай че администраторът продължава да публикува незаконосъобразно посочените данни — по силата на член 17, параграф 1, буква г) от този регламент.

67

При това положение следва да се приеме, че искането на абонат за премахване на личните му данни от указателите може да се разглежда като позоваване на „правото на изтриване“ на посочените данни по смисъла на член 17 от ОРЗД.

68

Този извод не може да бъде поставен под въпрос от довода на Proximus, че подобно искане трябва да се разглежда като целящо да позволи на абоната да упражни правото си да поиска от администратора да коригира свързаните с него лични данни на основание член 16 от ОРЗД. Всъщност съгласно тази разпоредба такова коригиране е възможно, когато тези данни са неточни, и има за цел да позволи на субекта на данните да постигне попълването им.

69

В настоящия случай искането за премахване на съдържащите се в указател данни на абонат е насочено не към замяната на неточни с точни данни, нито към попълването на непълни данни, а към премахването на публикувани правилни данни.

70

Обстоятелството, че в случая подобно премахване се изразява само в промяна на параметъра в записа на съответния абонат в базата данни на Proximus, от която личните данни на този абонат са публикувани в указателите, не може да попречи искане за премахване на съдържащите се в тези указатели лични данни да се счита за „искане за изтриване“ по смисъла на член 17 от ОРЗД. Всъщност, както е видно от преписката, с която разполага Съдът, предвиденият от посочения оператор начин на премахване представлява само техническа или организационна мярка, която се оказва необходима, за да се изпълни искането за изтриване на личните данни на субекта на данните и за да се попречи на разкриването на тези данни.

71

По изложените съображения на втория въпрос следва да се отговори, че член 17 от ОРЗД трябва да се тълкува в смисъл, че искането на абонат за премахване на личните му данни от указателите представлява позоваване на „правото на изтриване“ по смисъла на този член.

72

С третия си въпрос запитващата юрисдикция иска по същество да се установи дали член 5, параграф 2 и член 24 от ОРЗД трябва да се тълкуват в смисъл, че национален надзорен орган може да изисква от доставчика на указатели в качеството му на администратор да вземе подходящи технически и организационни мерки, за да информира други администратори, а именно оператора на телефонни услуги, който му е предал личните данни на своя абонат, и други доставчици на указатели, на които самият той е предоставил такива данни, за оттеглянето на съгласието от този абонат.

73

В самото начало е важно да се отбележи, че в случая Proximus обработва лични данни на жалбоподателя, като ги публикува и ги съобщава на други доставчици на указатели. Telenet, операторът на телефонни услуги, също обработва тези данни по-специално като ги предава на Proximus. Същото се отнася и за другите доставчици на указатели, на които Proximus е предал данните за контакт на жалбоподателя и които са ги публикували.

74

Освен това е важно да се отбележи, от една страна, че както бе припомнено в точка 20 от настоящото решение, макар Законът за електронните комуникации да задължава операторите на телефонни услуги да предават данните за абонатите си на доставчиците на публични указатели, тези оператори все пак трябва да държат отделно данните за абонатите, които са поискали да не бъдат включвани в указатели, така че тези абонати да могат да получат копие от указателя, без техните данни да присъстват в него.

75

От преписката, с която разполага Съдът, е видно, че на практика абонатът обикновено дава съгласие пред своя оператор на телефонни услуги личните му данни да бъдат публикувани в указател, като това съгласие позволява тези данни да бъдат предадени на трето лице, доставчик на указатели. Този доставчик на свой ред може въз основа на същото съгласие да съобщава такива данни на други доставчици на указатели, като по този начин тези администратори създават верига, в която всеки от тях последователно обработва посочените данни самостоятелно въз основа на едно и също съгласие.

76

От друга страна, от преписката, с която разполага Съдът, се установява също, че актуализацията на базата данни на Proximus, целяща да се вземе предвид оттеглянето на съгласието на жалбоподателя, е била изтрита, когато операторът на телефонни услуги е предал на Proximus нов списък с данни за абонатите си, които да бъдат публикувани в указателите, като в този списък не е взето предвид оттеглянето на съгласието на жалбоподателя, извършено пред Proximus.

77

Така в този контекст възниква въпросът дали, когато абонат на оператор на телефонни услуги оттегли съгласието си да бъде включен в указателите на доставчик на указатели като Proximus, този доставчик трябва не само да актуализира собствената си база данни, за да вземе предвид това оттегляне, но и да уведоми за него оператора на телефонни услуги, който му е предоставил данните, както и другите доставчици на указатели, на които самият той е предал такива данни.

78

На първо място, следва да се припомни, че член 6, параграф 1, буква а) от ОРЗД предвижда, че обработването е законосъобразно само ако и доколкото субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели. От акта за преюдициално запитване е видно, че жалбоподателят е оттеглил своето съгласие по смисъла на член 7, параграф 3 от този регламент личните му данни да бъдат обработвани с цел публикуването им в указатели. След такова оттегляне обработването на тези данни с цел включването им в публичните указатели, включително обработването им за същата цел от операторите на телефонни услуги или от други доставчици на указатели, които се основават на същото съгласие, вече няма правно основание и поради това е незаконосъобразно с оглед на член 6, параграф 1, буква а) от посочения регламент.

79

На второ място, важно е да се припомни, че съгласно член 5, параграф 1, буква а) и параграф 2 от ОРЗД администраторът трябва да се увери, че е в състояние да докаже, че личните данни са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните.

80

Що се отнася до член 24 от ОРЗД, той изисква с оглед на естеството, обхвата, контекста и целите на обработването администраторът да въвежда подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с този регламент.

81

Както отбелязва генералният адвокат в точка 67 от заключението си, член 5, параграф 2 и член 24 от ОРЗД налагат на администраторите общи изисквания за отчетност и съответствие. По-специално тези разпоредби изискват администраторът да приеме подходящи мерки, насочени към предотвратяване на евентуални нарушения на предвидените в ОРЗД правила за гарантиране на правото на защита на данните.

82

От тази гледна точка член 19 от ОРЗД предвижда по-специално че администраторът съобщава на всеки получател, на когото са били разкрити лични данни, за всяко извършено в съответствие с член 17, параграф 1 от този регламент изтриване, освен ако това е невъзможно или изисква несъразмерно големи усилия.

83

От общите изисквания, предвидени в член 5, параграф 2 и член 24 от ОРЗД във връзка с член 19 от същия, следва, че администратор на лични данни като Proximus трябва да вземе подходящи технически и организационни мерки, за да информира другите доставчици на указатели, на които е предоставил такива данни, за извършеното пред него оттегляне на съгласието на субекта на данните. При обстоятелства като уточнените в точка 76 от настоящото решение този администратор трябва също така да информира оператора на телефонни услуги, който му е съобщил тези лични данни, за да може последният да адаптира списъка на личните данни, който автоматично предава на този доставчик на указатели, и да отдели данните на абонатите си, които са указали волята си да оттеглят съгласието си тези данни да бъдат направени обществено достояние.

84

Всъщност, когато (както е в настоящия случай) различни администратори се основават на еднократно даденото съгласие на субекта на данните, за да обработват неговите лични данни с една и съща цел, то, за да се оттегли съгласието на този субект, е достатъчно за целите на търсеното оттегляне той да се обърне към някой от администраторите, които се основават на въпросното съгласие.

85

Както правилно отбелязва Комисията, за да се гарантира ефективността на предвиденото в член 7, параграф 3 от ОРЗД право на оттегляне на съгласието и да се осигури, че съгласието на субекта на данните е тясно свързано с целта, за която е дадено, администраторът, пред когото субектът на данните е оттеглил съгласието си за обработване на личните му данни, действително е длъжен да информира за това оттегляне всяко лице, което му е предало тези данни, както и лицето, на което той на свой ред е предал посочените данни. Така информираните администратори след това на свой ред имат задължението да предадат тази информация на другите администратори, на които са предоставили такива данни.

86

В това отношение е важно, най-напред, да се отбележи, че такова задължение за информиране има за цел да предотврати всяко евентуално нарушение на правилата, предвидени от ОРЗД за гарантиране на правото на защита на данните, и затова се вписва в рамките на подходящите мерки по смисъла на член 24 от този регламент. Освен това, както подчертава генералният адвокат в точка 68 от заключението си, това задължение се вписва и в рамките на изискването по член 12, параграф 2 от този регламент, съгласно който администраторът е длъжен да съдейства за упражняването на правата на субектите на данните в частност по член 17 от посочения регламент.

87

По-нататък, следва да се отбележи, че липсата на такова задължение на администратора за информиране относно оттеглянето на съгласието на субекта на данните би могла да направи оттеглянето на съгласието особено трудно, тъй като този субект би могъл да се смята за задължен да се обърне към всеки от операторите. Така подобен подход би противоречал на член 7, параграф 3 от ОРЗД, съгласно който оттеглянето на съгласието за обработване на лични данни трябва да бъде също толкова лесно, колкото и даването му.

88

Накрая, съгласно съдебната практика, припомнена в точка 49 от настоящото решение, съгласието по смисъла на член 12, параграф 2 от Директива 2002/58 на надлежно информирания абонат личните му данни да бъдат включени в публичен указател, се отнася до целта на публикуването им и поради това обхваща всяко следващо обработване на тези данни от трети предприятия, които извършват дейност на пазара на указателите, стига обработването да се извършва със същата цел.

89

От това следва, както отбелязва генералният адвокат в точка 68 от заключението си, че щом като доставчик на указатели може да се позове на съгласието на абонат за обработване на данните му за тази цел, дадено на друг доставчик или на неговия оператор на телефонни услуги, то за оттегляне на съгласието трябва да е възможно абонатът да се свърже с който и да е от доставчиците на указатели или с този оператор, за да бъдат премахнати данните му за контакт от указатели, публикувани от всички субекти, които се основават на еднократно даденото от него съгласие.

90

По изложените съображения на третия въпрос следва да се отговори, че член 5, параграф 2 и член 24 от ОРЗД трябва да се тълкуват в смисъл, че национален надзорен орган може да изисква от доставчика на указатели в качеството му на администратор да вземе подходящи технически и организационни мерки, за да информира други администратори, а именно оператора на телефонни услуги, който му е предал личните данни на своя абонат, и другите доставчици на указатели, на които е предоставил такива данни, за оттеглянето на съгласието от този абонат.

91

С четвъртия си въпрос запитващата юрисдикция иска по същество да се установи дали член 17, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че не допуска национален надзорен орган да разпореди на доставчик на указатели, от когото абонат на оператор на телефонни услуги е поискал вече да не публикува свързаните с него лични данни, да предприеме „разумни […] мерки“ по смисъла на тази разпоредба, за да информира доставчиците на търсачки за това искане за изтриване.

92

За да се отговори на този въпрос, е важно да се припомни, че член 17, параграф 2 от ОРЗД задължава администратора, който е направил личните данни обществено достояние — като отчита наличната технология и разходите по изпълнението — да предприема разумни стъпки, включително технически мерки, за да уведоми администраторите, обработващи личните данни, че субектът на данните е поискал изтриване от тези администратори на всички връзки към тези лични данни или на всички техни копия или реплики.

93

Както следва от съображение 66 от ОРЗД, целта на това задължение е утвърждаване на правото да бъдеш забравен в онлайн средата и поради това то се отнася по-специално до информацията, предоставена в интернет от доставчиците на търсачки, които обработват публикувани онлайн данни.

94

В настоящия случай е безспорно, че Proximus е публикувал в указателя си личните данни на жалбоподателя и следователно това дружество трябва да се счита за администратор, който е направил обществено достояние такива данни, по смисъла на член 17, параграф 2 от ОРЗД.

95

В допълнение, следва да се припомни, от една страна, че съгласно постоянната съдебна практика дейността на интернет търсачка, изразяваща се в намиране на публикувана или въведена в интернет от трети лица информация, автоматичното ѝ индексиране, временно съхраняване и накрая, предоставянето ѝ на разположение на потребителите на интернет в определен ред на предпочитание, трябва да се квалифицира като „обработване“ на лични данни по смисъла на член 4, точка 2 от ОРЗД, когато тази информация съдържа лични данни, а от друга страна, че лицето, което управлява интернет търсачката, трябва да се счита за „администратор“ по смисъла на член 4, точка 7 от този регламент и следователно и по смисъла на член 17, параграф 2 от него (вж. в този смисъл решение от 24 септември 2019 г., GC и др. (Премахване на чувствителни данни от резултатите при търсене), C‑136/17, EU:C:2019:773, т. 35 и цитираната съдебна практика).

96

Ето защо при обстоятелства като разглежданите в главното производство следва да се приеме, че администратор като Proximus е длъжен по силата на член 17, параграф 2 от ОРЗД да предприеме разумни мерки, за да информира доставчиците на търсачки за отправеното до него искане от абоната на оператор на телефонни услуги за изтриване на неговите лични данни. Както обаче отбелязва генералният адвокат в точка 76 от заключението си, за да се прецени дали предприетите от доставчика на указатели мерки са разумни, член 17, параграф 2 от ОРЗД предвижда да се отчита наличната технология и разходите по изпълнението, като тази задача се възлага преди всичко на компетентния по тези въпроси орган и подлежи на съдебен контрол.

97

В настоящия случай, от представеното от ОЗД писмено становище, което не е оспорено в това отношение от другите участници в преюдициалното производство, следва, че през второто тримесечие на 2020 г. броят на действащите в Белгия доставчици на интернет търсачки е ограничен. По-специално Google притежава пазарен дял между 90 % (за търсения от настолни компютри) и 99 % (за търсения от смартфони и таблети).

98

Освен това, както бе посочено в точка 26 от настоящото решение, от преписката пред Съда е видно, че след като абонатът е поискал данните му да не бъдат включвани в указателите на този доставчик, Proximus е отговорил, че не само е премахнал тези данни от телефонните указатели и от телефонните справочни услуги, но и се е свързал с Google, за да бъдат изтрити съответните връзки към уебсайта на Proximus.

99

По изложените съображения на четвъртия въпрос следва да се отговори, че член 17, параграф 2 от ОРЗД трябва да се тълкува в смисъл, че допуска национален надзорен орган да разпореди на доставчик на указатели, от когото абонат на оператор на телефонни услуги е поискал вече да не публикува свързаните с него лични данни, да предприеме „разумни […] мерки“ по смисъла на тази разпоредба, за да информира доставчиците на търсачки за това искане за изтриване на данните.

100

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (четвърти състав) реши: