РЕШЕНИЕ НА СЪДА (втори състав)

20 декември 2017 година ( *1 )

„Преюдициално запитване — Защита на физическите лица при обработването на лични данни — Директива 95/46/ЕО — Член 2, буква а) — Понятие „лични данни“ — Писмени отговори, дадени от кандидата по време на изпит за професионални умения — Коментари на проверителя по тези отговори — Член 12, букви а) и б) — Обхват на правата на засегнатото лице на достъп и на поправяне“

По дело C‑434/16

с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Supreme Court (Върховен съд, Ирландия) с акт от 29 юли 2016 г., постъпил в Съда на 4 август 2016 г., в рамките на производство по дело

Peter Nowak

срещу

Data Protection Commissioner,

СЪДЪТ (втори състав),

състоящ се от: M. Ilešič (докладчик), председател на състава, A. Rosas, C. Toader, A. Prechal, и E. Jarašiūnas, съдии,

генерален адвокат: J. Kokott,

секретар: M. Aleksejev, администратор,

предвид изложеното в писмената фаза на производството и в съдебното заседание от 22 юни 2017 г.,

като има предвид становищата, представени:

–	за г‑н Nowak, от G. Rudden, solicitor, и N. Travers, SC,

–	за Data Protection Commissioner, от D. Young, solicitor, и P. A. McDermott, SC,

–	за Ирландия, от E. Creedon, L. Williams и A. Joyce, в качеството на представители, подпомагани от A. Caroll, barrister

–	за чешкото правителство, от M. Smolek и J. Vláčil, в качеството на представители,

–	за гръцкото правителство, от G. Papadaki и S. Charitaki, в качеството на представители,

–	за унгарското правителство, от M. Z. Fehér и A. Pálfy, в качеството на представители,

–	за австрийското правителство, от G. Eberhard, в качеството на представител,

–	за полското правителство, от B. Majczyna, в качеството на представител,

–	за португалското правителство, от L. Inez Fernandes, M. Figueiredo и I. Oliveira, в качеството на представители,

–	за Европейската комисия, от D. Nardi и H. Kranenborg, в качеството на представители,

след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 20 юли 2017 г.,

постанови настоящото

Решение

Преюдициалното запитване се отнася до тълкуването на Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).

Запитването е отправено в рамките на спор между г‑н Peter Nowak и Data Protection Commissioner (комисар за защита на личните данни, Ирландия) по повод отказа на последния да предостави на г‑н Nowak достъп до коригирана работа от изпит, на който се е явил като кандидат, с довода че съдържащата се в нея информация не представлява лични данни.

Правна уредба

Правото на Съюза

Директива 95/46

Съгласно член 1 от Директива 95/46 с нея се цели защита на основните права и свободи на физическите лица, и в частност правото им на личен живот при обработването на лични данни, както и премахване на препятствията за свободното движение на тези данни, а в съображения 25, 26 и 41 от нея се посочва следното:

„(25)

като имат предвид, че принципите на защита трябва да бъдат отразени, от една страна, в задълженията, наложени на лицата […] отговорни за обработването, в частност по отношение на качеството на данните, техническата надеждност, уведомяването на надзорния орган и обстоятелствата, при които може да се извършва подобна обработка, и от друга страна, в правата, предоставени на лицата, чиито данни са подложени на обработване, да бъдат уведомявани за извършването на такава обработка, да имат достъп до данните, да могат да поискат поправка и дори да възразят срещу обработването на данни при определени обстоятелства;

(26)

като имат предвид, че принципите на защита трябва да се прилагат за всяка информация, отнасяща се до идентифицирано лице или подлежащо на идентификация лице; като имат предвид, че за да се определи дали едно лице подлежи на идентификация, следва да се разглежда съвкупността от всички средства, които биха могли да бъдат използвани разумно от администратора или от друго лице с цел идентифицирането на даденото лице; като имат предвид, че принципите на защита не се отнасят до данни, които са направени анонимни по начин, който прави невъзможно идентифицирането на съответното физическо лице; […]

[…]

(41)	като имат предвид, че всяко лице трябва да може да упражнява правото си на достъп до данните, свързани с него, които се обработват, за да провери, в частност, точността на данните и законосъобразността на обработването […]“.

В член 2, буква а) от тази директива понятието „лични данни“ е определено като „всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самоличност“.

Глава II, раздел I („Принципи, отнасящи се до качеството на данните“), член 6 от посочената директива гласи следното:

„1. Държавите членки предвиждат, че личните данни трябва:

а)	да се обработват справедливо и законно;

б)

да се събират за конкретни, ясно формулирани и законни цели и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели. Допълнителната обработка на данните за исторически, статистически или научни цели няма да се разглежда като несъвместима, при условие че държавите членки предоставят необходимите гаранции за това;

в)	да бъдат адекватни, релевантни, и да не са прекомерни по отношение на целите, за които се събират и/или обработват допълнително;

г)	да бъдат точни и при необходимост да се актуализират; трябва да се предприемат всички възможни разумни стъпки, за да се гарантира, че данни, които са неточни или непълни по отношение на целите, за които са събрани, или за които се обработват допълнително, се изтриват или поправят;

д)

да се поддържат във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за целите, за които тези данни са събрани или обработени допълнително. Държавите членки предвиждат подходящи гаранции за личните данни, съхранявани за по-дълъг срок за исторически, статистически или научни цели.

2. Администраторът осигурява спазването на параграф 1“.

Глава II, раздел II („Критерии за законосъобразност на обработването на лични данни“), член 7 от Директива 95/46 гласи:

„Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:

а)	съответното физическо лице е дало недвусмислено своето съгласие за това; или

[…]

в)	обработването е необходимо за спазването на правно задължение, чийто субект е администраторът; или

[…]

д)	обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или трето лице, на което се разкриват данните; или

е)

обработването е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, с изключение на случаите, когато пред тези интереси имат преимущество интереси, свързани с основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1“.

Член 12 от тази директива е озаглавен „Право на достъп“ и гласи:

„Държавите членки гарантират на всяко физическо лице правото да получи от администратора:

а)

без принуда, на разумни интервали от време и без прекалено забавяне или разходи:

–	потвърждение за това, дали отнасящи се до него данни се обработват, както и информация най-малкото за целите на тази обработка, категориите данни и получателите или категориите получатели, на които данните се разкрива,

–	съобщение до него в разбираема форма относно данните, които се обработват, както и за всяка налична информация за техния източник,

[…]

б)	според случая, поправянето, изтриването или блокирането на данните, чиято обработка не е в съответствие с разпоредбите на настоящата директива, и по-конкретно поради непълнота или неточност на самите данни;

в)	уведомление до трети страни, на които е разкрита информация за каквото и да е поправяне, изтриване или блокиране, извършени в съответствие с разпоредбите на буква б), освен ако това се окаже невъзможно или е свързано с прекомерни усилия“.

Член 13 от посочената директива е озаглавен „Изключения и ограничения“ и гласи:

„1. Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на:

[…]

ж)	защита на съответното физическо лице или на правата и свободите на други лица.

[…]“.

Член 14 от Директива 95/46 е озаглавен „Право на съответното физическо лице на възражение“ и в него се предвижда следното:

„Държавите членки предоставят на съответното физическо лице правото:

а)

най-малкото в случаите, упоменати в член 7, букви д) и е), на възражение по всяко време, въз основа на неопровержими законови основания, свързани с неговото конкретно положение във връзка с обработваните данни, освен ако националното законодателство не е предвидило друго. В случаите, когато възражението е оправдано, обработването, започнато от администратора, не може вече да съдържа посочените данни;

[…]“.

Член 28 от посочената директива е озаглавен „Надзорен орган“ и гласи:

„1. Всяка държава членка предвижда, че на нейната територия един или повече държавни органи отговарят за контрола на прилагането на разпоредбите, приети от държавите членки, съгласно настоящата директива.

[…]

3. В частност, на всеки орган са предоставени:

–	правомощия по разследване, като право на достъп до данните, съставляващи предмет на операциите по обработка, както и право на събиране на цялата информация, необходима за изпълнението на функциите по надзора,

–	ефективни правомощия на намеса, като например […] право на разпореждане на блокиране, изтриване или унищожаване на данни, на въвеждане на временна или окончателна забрана върху обработването […]

[…]

Решенията на надзорния орган, предмет на жалби, могат да бъдат обжалвани по съдебен ред.

4. Всеки надзорен орган разглежда искове, подадени от което и да е лице, от дружество, представляващо това лице, отнасящи се до защита на неговите права и свободи при обработването на лични данни. Лицето се уведомява за хода на иска.

[…]“.

Регламент (ЕС) 2016/679

Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1) е приложим от 25 май 2018 г. по силата на член 99, параграф 2 от него. Съгласно член 94, параграф 1 от този регламент Директива 95/46 се отменя, считано от тази дата.

В член 15, озаглавен „Право на достъп на субекта на данните“, от същия регламент се предвижда следното:

„1. Субектът на данните има право да получи от администратора потвърждение дали се обработват лични данни, свързани с него, и ако това е така, да получи достъп до данните […]

[…]

3. Администраторът предоставя копие от личните данни, които са в процес на обработване. […]

4. Правото на получаване на копие, посочено в параграф 3, не влияе неблагоприятно върху правата и свободите на други лица“.

Член 23 от Регламент 2016/679 е озаглавен „Ограничения“ и гласи:

„1. В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 […], когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:

[…]

д)	други важни цели от широк обществен интерес за Съюза или за държава членка, и по-специално важен икономически или финансов интерес на Съюза или на държава членка, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност;

[…]

и)	защитата на субекта на данните или на правата и свободите на други лица;

[…]“.

Ирландското право

С Data Protection Act 1988 (Закон от 1988 г. за защита на данните), изменен с Data Protection (Amendment) Act 2003 (Закон от 2003 г. за изменение на Закона за защита на данните) (наричан по-нататък „Законът за защита на данните“) се цели транспониране на Директива 95/46 в ирландския правен ред. В член 1, параграф 1 от тази закон понятието „лични данни“ се определя по следния начин:

„данни, свързани с живо физическо лице, което е идентифицирано или може да бъде идентифицирано въз основа на същите тези данни, или въз основа на данни, свързани с друга информация, с която администраторът на данни разполага или може да се сдобие“.

Правото на достъп е уредено в член 4 от Закона за защита на данните, като параграф 6 от него се отнася конкретно за исканията за достъп до изпитни резултати и гласи следното:

„а)

Молба от лице по параграф 1 от настоящия член, свързана с резултатите от изпит, на който то се е явило като кандидат, за целите на настоящия член се счита за направена

i)	на датата на публикуването за първи път на изпитните резултати, или

ii)	на датата на подаване на молбата,

според това коя от двете е по-късна; […]

б)	По смисъла на настоящия параграф „изпит“ означава всеки процес на определяне на знанията, интелекта, способностите и уменията на дадено лице въз основа на представянето му на тест, в процес на работа или друга дейност“.

16	В член 6 от Закона за защита на данните се въвежда право на поправяне и на изтриване на личните данни, чието обработване не съответства на този закон.

17	Член 10, параграф 1, буква б), подточка i) от Закона за защита на данните задължава комисаря за защита на данните да проведе разследване по съответната жалба „освен ако не приеме, че е несъстоятелна или със злонамерен характер“.

Спорът в главното производство и преюдициалните въпроси

В качеството си на стажант експерт-счетоводител г‑н Nowak издържа успешно изпитите по счетоводство за първо ниво и три от изпитите за второ ниво, организирани от Institute of Chartered Accountants of Ireland (ирландска професионална организация на експерт-счетоводителите, наричана по-нататък „професионалната организация на експерт-счетоводителите“). Той обаче не издържа изпита по „стратегическо финансово и управленско счетоводство“, в който на кандидатите се предоставя възможност да използват материали (изпит „с отворена книга“).

След като за четвърти път не успява да издържи този изпит, през есента на 2009 г. г‑н Nowak най-напред подава жалба, с която оспорва изпитния резултат. След като през март 2010 г. тази жалба е отхвърлена, през май 2010 г. той подава молба на основание член 4 от Закона за защита на данните за достъп до всички засягащи го лични данни, съхранявани от професионалната организация на експерт-счетоводителите.

20	С писмо от 1 юни 2010 г. професионалната организация на експерт-счетоводителите изпраща на г‑н Nowak 17 документа, но отказва да му предостави неговата писмена изпитна работа, с довода че тя не съдържала лични данни по смисъла на Закона за защита на данните.

Тогава г‑н Nowak се обръща към комисаря за защита на данните, за да оспори основателността на мотивите за отказа за предоставяне на писмената му изпитна работа. През юни 2010 г. комисарят за защита на данните му отговаря с електронно съобщение, в което по-специално посочва, че „писмените изпитни работи обикновено не се вземат предвид [за целите на защитата на данните] […] тъй като тези материали по принцип не представляват лични данни“.

22	Този отговор на комисаря за защита на данните е последван от размяна на кореспонденция между г‑н Nowak и същия, която приключва на 1 юли 2010 г. с подаването на официална жалба от г‑н Nowak.

С електронно съобщение от 21 юли 2010 г. комисарят за защита на данните уведомява г‑н Nowak, че след анализ на преписката не е установено материалноправно нарушение на Закона за защита на данните и че на основание член 10, параграф 1, буква б), подточка i) от този закон — разпоредба относно жалбите, които са несъстоятелни или със злонамерен характер — решава да не провежда разследване по жалбата му. В това електронно съобщение се посочва и че документите, по отношение на които г‑н Nowak иска да упражни „право на поправяне“, „не представляват лични данни, за които се прилага член 6 от Закона за защита на данните“.

Г‑н Nowak обжалва това решение пред Circuit Court (Окръжен съд, Ирландия). Последният стига до заключение, че жалбата е недопустима, тъй като, при липса на извършено разследване по жалбата от комисаря за защита на данните, нямало решение, което може да се обжалва. При условията на евентуалност този съд счита жалбата за неоснователна, тъй като писмената изпитна работа не представлява лични данни.

Г‑н Nowak обжалва решението на посочения съд пред High Court (Висш съд, Ирландия), който обаче го потвърждава. От своя страна решението на High Court (Висш съд) е потвърдено от Court of Appeal (Апелативен съд, Ирландия). Supreme Court (Върховен съд, Ирландия) допуска подаването на жалба до него срещу решението на Court of Appeal (Апелативен съд) и приема, че подадената от г‑н Nowak жалба срещу решението на комисаря за защита на данните е допустима.

Тъй като обаче изпитва съмнения дали писмена изпитна работа може да се счита за лични данни по смисъла на Директива 95/46, Supreme Court (Върховен съд) решава да спре производството и постави на Съда следните преюдициални въпроси:

„1)	Може ли информацията, записана в/като отговори, дадени от кандидат по време на изпит за професионални умения, да се квалифицира като лични данни по смисъла на Директива 95/46?

При отговор на първия въпрос в смисъл, че цялата или част от информацията може да бъде квалифицирана като лични данни по смисъла на тази директива, какви фактори са релевантни, за да се прецени дали в конкретен случай такава писмена работа представлява лични данни, и каква тежест трябва да се придаде на тези фактори?“.

По преюдициалните въпроси

С въпросите си, които следва да се разгледат заедно, запитващата юрисдикция по същество иска да се установи дали член 2, буква а) от Директива 95/46 трябва да се тълкува в смисъл, че при условия като тези в главното производство писмените отговори, дадени от кандидат по време на изпит за професионални умения, и евентуалните коментари на проверителя по тези отговори представляват лични данни по смисъла на тази разпоредба.

В това отношение трябва да се припомни, че в член 2, буква а) от Директива 95/46 личните данни са определени като „всяка информация, свързана с идентифицирано или подлежащо на идентификация лице“. Съгласно същата разпоредба „за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самоличност“.

29	Безспорно е, че кандидат на изпит за професионални умения е физическо лице, което може да се идентифицира пряко по името му или непряко по идентификационен номер, които са отбелязани върху писмената изпитна работа или заглавната страница на тази работа.

30	Противно на това, което, изглежда, твърди комисарят за защита на данните, в този контекст е без значение дали проверителят може да идентифицира кандидата в момента на поправяне и оценяване на писмената изпитна работа.

Всъщност, за да могат определени данни да се квалифицират като „лични данни“ по смисъла на член 2, буква а) от Директива 95/46, не се изисква цялата информация, позволяваща идентифицирането на съответното лице, да се намира в ръцете на едно-единствено лице (решение от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 43). Безспорно е освен това, че ако проверителят не знае самоличността на кандидата при оценяването на дадените от него отговори на изпит, организиращият изпита субект — в разглеждания случай професионалната организация на експерт-счетоводителите — все пак разполага с необходимата информация, позволяваща му да идентифицира без затруднения или съмнения този кандидат чрез неговия идентификационен номер, отбелязан върху писмената изпитна работа или заглавната ѝ страница, и съответно да му припише неговите отговори.

32	Трябва обаче да се провери дали писмените отговори, дадени от кандидата по време на изпит за професионални умения, и евентуалните коментари на проверителя по тях представляват информация, засягаща този кандидат, по смисъла на член 2, буква а) от Директива 95/46.

33	Както Съдът вече е приел, приложното поле на Директива 95/46 е много широко и визираните от нея лични данни са разнообразни (решение от 7 май 2009 г., Rijkeboer, C‑553/07, EU:C:2009:293, т. 59 и цитираната съдебна практика).

Всъщност употребата на израза „всяка информация“ в определението на понятието „лични данни“ в член 2, буква а) от Директива 95/46 отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което не се свежда до чувствителната информация или информацията с частен характер, а потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга“ съответното лице.

35	Що се отнася до последното условие, то е изпълнено, ако поради своето съдържание, крайна цел или последици, информацията е свързана с определено лице.

36	Както по същество посочват г‑н Nowak, чешкото, гръцкото, унгарското и португалското правителство, както и Европейската комисия, писмените отговори, дадени от кандидат на изпит за професионални умения, представляват такава информация, свързана с личността му.

37	Всъщност, най-напред, съдържанието на тези отговори отразява равнището на знания и умения на кандидата в определена област, както евентуално и мисловния процес, преценката и критичното му мислене. При ръкописна изпитна работа отговорите освен това съдържат информация за неговия почерк.

38	Крайната цел на събирането на тези отговори е да се оценят професионалните способности на кандидата и уменията му за упражняване на съответната професия.

Накрая, използването на тази информация, което по-специално намира отражение в издържането или неиздържането от кандидата на съответния изпит, може да има последици за неговите права и интереси, тъй като може да предопредели или повлияе например на шансовете му за достъп до желаната професия или работа.

40	Констатацията, че писмените отговори, дадени от кандидат на изпит за професионални умения, представляват информация, която засяга този кандидат поради нейното съдържание, крайна цел и последици, освен това се отнася и за хипотезата, както в разглеждания случай, на изпит „с отворена книга“.

Всъщност, както отбелязва генералният адвокат в точка 24 от заключението си, с всеки изпит се цели да се установят и документират постигнатите индивидуални резултати от конкретно лице, тоест от кандидата, а не — за разлика от представителната анкета — да се придобие на информация, която е независима от това лице.

42	Що се отнася до коментарите на проверителя по отговорите на кандидата, налага се изводът, че и те като отговорите, дадени от кандидата по време на изпита, представляват информация, засягаща този кандидат.

Съдържанието на тези коментари съответно е отражение на становището или преценката на проверителя относно индивидуалните резултати, постигнати от кандидата по време на изпита, и по-специално относно неговите знания и умения в съответната област. Крайната цел на тези коментари освен това е именно да се документира извършеното от проверителя оценяване на постигнатите резултати от кандидата и те могат да имат последици за последния, както бе посочено в точка 39 от настоящото решение.

Констатацията, че коментарите на проверителя по отговорите, дадени от кандидата по време на изпита, представляват информация, която поради своето съдържание, крайна цел и последици е свързана с този кандидат, не може да се постави под въпрос с обстоятелството, че тези коментари представляват и информация, засягаща проверителя.

45	Всъщност една и съща информация може да засяга няколко физически лица и съответно за тях да представлява лични данни по смисъла на член 2, буква а) от Директива 95/46, при условие че тези лица са идентифицирани или могат да бъдат идентифицирани.

Освен това, противно на твърденията на комисаря за защита на данните и на ирландското правителство, за квалифицирането като лични данни на писмените отговори, дадени от кандидата по време на изпит за професионални умения, и на евентуалните коментари на проверителя по тези отговори, не може да има значение обстоятелството, че това квалифициране по принцип осигурява на кандидата права на достъп и на поправяне по силата на член 12, букви а) и б) от Директива 95/46.

47	В това отношение най-напред трябва да се припомни, както отбелязва Комисията в хода на съдебното заседание, че множество предвидени в Директива 95/46 принципи и гаранции са свързани с това квалифициране и зависят от него.

Всъщност съгласно съображение 25 от Директива 95/46 предвидените в нея принципи на защита намират отражение, от една страна, в задълженията, наложени на онези, които обработват данните — що се отнася по-специално до качеството на данните, техническата надеждност, уведомяването на надзорния орган и обстоятелствата, при които може да се извършва подобна обработка — и от друга страна, в правата, предоставени на лицата, чиито данни са подложени на обработване, да бъдат уведомявани за извършването му, да имат достъп до данните, да поискат поправката им и дори да възразят срещу обработването при определени обстоятелства.

Поради това да се отхвърли квалифицирането като „лични данни“ на засягащата кандидат информация — която се съдържа в неговите отговори, дадени по време на изпит за професионални умения, и в коментарите на проверителя по тях — би означавало тази информацията напълно да бъде изключена от задължението за спазване на принципите и гаранциите в областта на защитата на личните данни, и по-специално на принципите, свързани с качеството на такива данни и със законосъобразността на обработването им съгласно членове 6 и 7 от Директива 95/46, както и на предвидените в членове 12 и 14 от тази директива права на засегнатото лице на достъп, на поправяне и на възражение, и от упражнявания от надзорния орган контрол по силата на член 28 от посочената директива.

Както посочва генералният адвокат в точка 26 от заключението си, безспорно е, че кандидатът на изпит по-специално има законен интерес, обоснован със защитата на личния му живот, да може да възрази срещу обработването на отговорите, дадени по време на този изпит, и на коментарите на проверителя по тези отговори извън изпитната процедура, и по-специално срещу предоставянето им на трети лица, а дори и публикуването им, без негово разрешение. Освен това организиралият изпита субект в качеството си на администратор на данните е длъжен да гарантира, че тези отговори и коментари се съхраняват по начин, непозволяващ трети лица да имат незаконосъобразен достъп до тях.

По-нататък, трябва да се констатира, че правата на достъп и на поправяне, предвидени в член 12, букви а) и б) от Директива 95/46, също може да бъдат обосновани по отношение на писмените отговори, дадени от кандидата по време на изпит за професионални умения, и на евентуалните коментари на проверителя по тях.

52	Несъмнено, предвиденото в член 12, буква б) от Директива 95/46 право на поправяне очевидно не може да позволи на кандидат „да поправи“ a posteriori „неправилни“ отговори.

Всъщност, видно от член 6, параграф 1, буква г) от Директива 95/46, точността и пълнотата на личните данни трябва да се преценяват с оглед на крайната цел, за която тези данни са били събрани. Що се отнася до отговорите на кандидат на изпит, тази крайна цел се изразява в осигуряване на възможност да се оцени равнището на знания и умения на този кандидат в момента на изпита. Въпросното равнище се разкрива именно чрез евентуалните грешки в тези отговори. Такива грешки съответно изобщо не представляват неточност по смисъла на Директива 95/46, която да осигурява право на поправяне по силата на член 12, буква б) от тази директива.

От друга страна обаче, е възможно да възникнат положения, при които отговорите на кандидат на изпит и коментарите на проверителя по тези отговори да се окажат неточни по смисъла на член 6, параграф 1, буква г) от Директива 95/46, например в резултат на размяна по погрешка на писмените изпитни работи, поради което отговорите на друг кандидат са приписани на съответния кандидат, или на изгубване на част от листовете с отговорите на този кандидат, поради което отговорите се оказват непълни, или пък на неточно документиране в евентуалните коментари на проверителя на оценката, дадена от него на отговорите на съответния кандидат.

Освен това, както отбелязва генералният адвокат в точка 37 от заключението си, не може да се изключи възможността на основание член 12, буква б) от Директива 95/46 кандидат да има право да поиска от администратора на данните отговорите му на изпита и коментарите на проверителя по тях след определен период от време да бъдат изтрити, тоест унищожени. Всъщност по силата на член 6, параграф 1, буква д) от тази директива личните данни по принцип може да се съхраняват във форма, позволяваща идентифицирането на съответното лице за срок, не по-дълъг от необходимия за реализирането на крайните цели, за които тези данни са събрани или обработени впоследствие. Предвид крайната цел на отговорите, дадени от кандидат по време на изпит, и на коментарите на проверителя по тези отговори тяхното съхраняване във форма, позволяваща идентифицирането на кандидата, a priori вече не изглежда необходимо, след като изпитната процедура приключи окончателно и повече не може да се обжалва, поради което тези отговори и коментари са загубили всякаква доказателствена стойност.

Тъй като съответно е възможно писмените отговори, дадени от кандидат по време на изпит за професионални умения, и евентуалните коментари на проверителя по тях да бъдат подложени на проверка — по-специално, що се отнася до тяхната точност и до необходимостта от съхраняването им по смисъла на член 6, параграф 1, букви г) и д) от Директива 95/46 — и да бъдат поправени или изтрити на основание член 12, буква б) от същата директива, трябва да се приеме, че предоставянето на кандидат на право на достъп до тези отговори и коментари по силата на член 12, буква а) от същата директива служи на целта на последната, а именно да гарантира защитата на правото на кандидата на личен живот при обработването на засягащите го данни (вж. a contrario решение от 17 юли 2014 г., YS и др., C‑141/12 и C‑372/12, EU:C:2014:2081, т. 45 и 46), при това независимо дали въпросният кандидат разполага с такова право на достъп и по силата на националната правна уредба, приложима към изпитната процедура.

В този контекст следва да се отбележи, че защитата на основното право на личен живот по-специално предполага всяко физическо лице да може да се увери, че засягащите го лични данни са точни и се обработват законосъобразно. Както следва от съображение 41 от Директива 95/46, именно за да може да извърши необходимите проверки, по силата на член 12, буква а) от тази директива съответното лице разполага с право на достъп до данните, които го засягат и са предмет на обработка. Това право на достъп е необходимо по-специално за да се даде възможност на лицето при необходимост да изиска от администратора да поправи, изтрие или блокира неговите данни и така да упражни правото по член 12, буква б) от посочената директива (решение от 17 юли 2014 г., YS и др., C‑141/12 и C‑372/12, EU:C:2014:2081, т. 44 и цитираната съдебна практика).

58	Накрая, трябва да се констатира, от една страна, че правата на достъп и на поправяне по член 12, букви а) и б) от Директива 95/46 не обхващат изпитните въпроси, които сами по себе си не представляват лични данни на кандидата.

59	От друга страна, както в Директива 95/46, така и в Регламент 2016/679, който я заменя, се предвиждат някои ограничения на тези права.

Така съгласно член 13, параграф 1, буква ж) от Директива 95/46 държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени по-специално в член 6, параграф 1 и в член 12 от тази директива, ако подобно ограничаване представлява необходима мярка за гарантиране на правата и свободите на други лица.

Член 23, параграф 1, буква д) от Регламент 2016/679 разширява списъка с основания за ограничения, който понастоящем е предвиден в член 13, параграф 1 от Директива 95/46, с „други важни цели от широк обществен интерес за Съюза или за държава членка“. Освен това в член 15 от Регламент 2016/679, която разпоредба се отнася до правото на достъп на засегнатото лице, и по-специално в параграф 4 от него, се предвижда, че правото на получаване на копие от личните данни не трябва да влияе неблагоприятно върху правата и свободите на други лица.

Предвид гореизложените съображение на поставените въпроси следва да се отговори, че член 2, буква а), от Директива 95/46 трябва да се тълкува в смисъл, че при условия като тези в главното производство писмените отговори, дадени от кандидат по време на изпит за професионални умения, и евентуалните коментари на проверителя по тези отговори представляват лични данни по смисъла на тази разпоредба.

По съдебните разноски

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (втори състав) реши:

Член 2, буква а) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкува в смисъл, че при условия като тези в главното производство писмените отговори, дадени от кандидат по време на изпит за професионални умения, и евентуалните коментари на проверителя по тези отговори представляват лични данни по смисъла на тази разпоредба.

Подписи

( *1 ) Език на производството: английски.