TEISINGUMO TEISMO (penktoji kolegija) SPRENDIMAS
2022 m. vasario 24 d. ( *1 )
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 2 straipsnis – Taikymo sritis – 4 straipsnis – Sąvoka „duomenų tvarkymas“ – 5 straipsnis – Su duomenų tvarkymu susiję principai – Tikslo apribojimo principas – Duomenų kiekio mažinimas – 6 straipsnis – Tvarkymo teisėtumas – Būtinas duomenų tvarkymas, siekiant atlikti duomenų valdytojui pavestą užduotį, vykdomą dėl viešojo intereso – Būtinas duomenų tvarkymas, siekiant įvykdyti duomenų valdytojui taikomą teisinę prievolę – 23 straipsnis – Apribojimai – Duomenų tvarkymas mokesčių tikslais – Prašymas pateikti informaciją, susijusią su transporto priemonių skelbimais internete – Proporcingumas“
Byloje C‑175/20
dėl Administratīvā apgabaltiesa (Apygardos administracinis teismas, Latvija) 2020 m. kovo 11 d. nutartimi, kurią Teisingumo Teismas gavo 2020 m. balandžio 14 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje
„SS“ SIA
prieš
Valsts ieņēmumu dienests
TEISINGUMO TEISMAS (penktoji kolegija),
kurį sudaro kolegijos pirmininkas E. Regan, penktosios kolegijos teisėjo pareigas einantis Teisingumo Teismo pirmininkas K. Lenaerts, ketvirtosios kolegijos pirmininkas C. Lycourgos, teisėjai I. Jarukaitis ir M. Ilešič (pranešėjas),
generalinis advokatas M. Bobek,
kancleris A. Calot Escobar,
atsižvelgęs į rašytinę proceso dalį,
išnagrinėjęs pastabas, pateiktas:
– |
„SS“ SIA, atstovaujamos M. Ruķers, |
– |
Latvijos vyriausybės, iš pradžių atstovaujamos K. Pommere, V. Soņeca ir L. Juškeviča, vėliau K. Pommere, |
– |
Belgijos vyriausybės, atstovaujamos J.‑C. Halleux ir P. Cottin, padedamų avocat C. Molitor, |
– |
Graikijos vyriausybės, atstovaujamos E.‑M. Mamouna ir O. Patsopoulou, |
– |
Ispanijos vyriausybės, iš pradžių atstovaujamos J. Rodríguez de la Rúa Puig ir S. Jiménez García, vėliau J. Rodríguez de la Rúa Puig, |
– |
Europos Komisijos, iš pradžių atstovaujamos H. Kranenborg, D. Nardi ir I. Rubene, vėliau H. Kranenborg ir I. Rubene, |
susipažinęs su 2021 m. rugsėjo 2 d. posėdyje pateikta generalinio advokato išvada,
priima šį
Sprendimą
1 |
Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; klaidų ištaisymai OL L 127, 2018, p. 2; OL L 74, 2021, p. 35), be kita ko, dėl jo 5 straipsnio 1 dalies, išaiškinimo. |
2 |
Šis prašymas pateiktas nagrinėjant „SS“ SIA ir Valsts ieņēmumu dienests (Valstybinis mokesčių administratorius, Latvija, toliau – Latvijos mokesčių administratorius) ginčą dėl prašymo pateikti informaciją apie transporto priemonių pardavimo skelbimus, paskelbtus SS interneto svetainėje. |
Teisinis pagrindas
Sąjungos teisė
Reglamentas 2016/679
3 |
SESV 16 straipsniu grindžiamas Reglamentas 2016/679, remiantis jo 99 straipsnio 2 dalimi, taikomas nuo 2018 m. gegužės 25 d. |
4 |
Šio reglamento 1, 4, 10, 19, 26, 31, 39, 41 ir 50 konstatuojamosiose dalyse nurodyta:
<…>
<…>
<…>
<…>
<…>
<…>
<…>
<…>
|
5 |
Reglamento 2016/679 2 straipsnyje „Materialinė taikymo sritis“ nustatyta: „1. Šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti ją sudaryti, tvarkymui ne automatizuotomis priemonėmis. 2. Šis reglamentas netaikomas asmens duomenų tvarkymui, kai:
<…>“ |
6 |
Šio reglamento 4 straipsnis „Apibrėžtys“ suformuluotas taip: „Šiame reglamente:
<…>
<…>
<…>“ |
7 |
Minėto reglamento 5 straipsnyje „Su asmens duomenų tvarkymu susiję principai“ nustatyta: „1. Asmens duomenys turi būti:
2. Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“ |
8 |
To paties reglamento 6 straipsnyje „Tvarkymo teisėtumas“ numatyta: „1. Duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu taikoma bent viena iš šių sąlygų, ir tik tokiu mastu, kokiu ji yra taikoma:
Šios pastraipos f punktas netaikomas duomenų tvarkymui, kurį valdžios institucijos atlieka vykdydamos savo užduotis. 2. Valstybės narės gali toliau taikyti arba nustatyti konkretesnes nuostatas šio reglamento taisyklių taikymui pritaikyti, kiek tai susiję su duomenų tvarkymu, kad būtų laikomasi 1 dalies c ir e punktų, tiksliau nustatydamos konkrečius duomenų tvarkymui keliamus reikalavimus ir kitas teisėto ir sąžiningo duomenų tvarkymo užtikrinimo priemones, įskaitant kitais specialiais IX skyriuje numatytais duomenų tvarkymo atvejais. 3. 1 dalies c ir e punktuose nurodytas duomenų tvarkymo pagrindas nustatomas:
Duomenų tvarkymo tikslas nustatomas tame teisiniame pagrinde arba, 1 dalies e punkte nurodyto duomenų tvarkymo atveju, yra būtinas, siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. <…> Sąjungos arba valstybės narės teisė atitinka viešojo intereso tikslą ir yra proporcinga teisėtam tikslui, kurio siekiama. 4. Kai duomenų tvarkymas kitu tikslu nei tas dėl kurio duomenys buvo surinkti, nėra grindžiamas duomenų subjekto sutikimu arba Sąjungos ar valstybės narės teise, kuri yra demokratinėje visuomenėje būtina ir proporcinga priemonė 23 straipsnio 1 dalyje nurodytiems tikslams apsaugoti, duomenų valdytojas siekdamas įsitikinti, ar duomenų tvarkymas kitu tikslu yra suderinamas su tikslu, dėl kurio iš pradžių asmens duomenys buvo surinkti, atsižvelgia, inter alia, į:
|
9 |
Reglamento 2016/679 13 straipsnio 3 dalyje nustatyta: „Jeigu duomenų valdytojas ketina toliau tvarkyti asmens duomenis kitu tikslu nei tas, kuriuo asmens duomenys buvo renkami, prieš taip toliau tvarkydamas duomenis duomenų valdytojas pateikia duomenų subjektui informaciją apie tą kitą tikslą ir visą kitą atitinkamą papildomą informaciją, kaip nurodyta 2 dalyje.“ |
10 |
Šio reglamento 14 straipsnyje numatyta: „1. Kai asmens duomenys yra gauti ne iš duomenų subjekto, duomenų valdytojas pateikia duomenų subjektui šią informaciją: <…>
<…> 5. 1–4 dalys netaikomos, jeigu ir tiek, kiek: <…>
<…>“ |
11 |
Minėto reglamento 23 straipsnio 1 dalies e punktas suformuluotas taip: „Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui arba duomenų tvarkytojui, teisėkūros priemone gali būti apribotos 12–22 straipsniuose ir 34 straipsnyje, taip pat 5 straipsnyje tiek, kiek jo nuostatos atitinka 12–22 straipsniuose numatytas teises ir prievoles, nustatytos prievolės ir teisės, kai tokiu apribojimu gerbiama pagrindinių teisių ir laisvių esmė ir jis demokratinėje visuomenėje yra būtina ir proporcinga priemonė siekiant užtikrinti: <…>
<…>“ |
12 |
Reglamento 2016/679 25 straipsnio 2 dalyje numatyta: „Duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemones, kuriomis užtikrina, kad standartizuotai būtų tvarkomi tik tie asmens duomenys, kurie yra būtini kiekvienam konkrečiam duomenų tvarkymo tikslui. Ta prievolė taikoma surinktų asmens duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui. Visų pirma tokiomis priemonėmis užtikrinama, kad standartizuotai be fizinio asmens įsikišimo su asmens duomenimis negalėtų susipažinti neribotas fizinių asmenų skaičius.“ |
Direktyva 2016/680
13 |
Direktyvos 2016/680 10 ir 11 konstatuojamosiose dalyse nurodyta:
|
14 |
Šios direktyvos 3 straipsnyje nustatyta: „Šioje direktyvoje: <…> 7. kompetentinga institucija –
<…>“ |
Latvijos teisė
15 |
Remiantis likums „Par nodokļiem un nodevām“ (Mokesčių ir rinkliavų įstatymas, Latvijas Vēstnesis, 1995, Nr. 26, toliau – Mokesčių ir rinkliavų įstatymas) 15 straipsnio 6 dalies redakcija, taikytina pagrindinės bylos aplinkybėms, interneto reklamos paslaugų teikėjai turi pareigą pateikti, kai to paprašo Latvijos mokesčių administratorius, bet kokią turimą informaciją apie mokesčių mokėtojus, kurie pasinaudojo tomis paslaugomis reklamoms skelbti. |
Pagrindinė byla ir prejudiciniai klausimai
16 |
SS yra Latvijoje įsisteigusi internete skelbiamų skelbimų paslaugų teikėja. |
17 |
2018 m. rugpjūčio 28 d. Latvijos mokesčių administratorius pateikė SS Mokesčių ir rinkliavų įstatymo 15 straipsnio 6 dalimi grindžiamą prašymą pateikti informaciją, jame paragino šią bendrovę atkurti šio mokesčių administratoriaus turėtą prieigą prie transporto priemonių, kurių skelbimai buvo paskelbti šios bendrovės interneto svetainėje, važiuoklės numerių, taip pat prie pardavėjų telefono numerių ir ne vėliau kaip iki 2018 m. rugsėjo 3 d. pateikti jai informaciją apie skelbimus, paskelbtus šios svetainės rubrikoje „Lengvieji automobiliai“ laikotarpiu nuo 2018 m. liepos 14 d. iki rugpjūčio 31 d. |
18 |
Prašyme buvo patikslinta, kad ši informacija, įskaitant nuorodą į skelbimą, jo tekstą, prekių ženklą, modelį, važiuoklės numerį ir transporto priemonės kainą bei pardavėjo telefono numerį, turi būti pateikta elektroninėmis priemonėmis tokiu formatu, kuris leistų filtruoti arba atrinkti duomenis. |
19 |
Be to, tais atvejais, kai nebuvo galima atkurti prieigos prie nagrinėjamoje interneto svetainėje paskelbtuose skelbimuose esančios informacijos, SS buvo paprašyta nurodyti priežastį ir ne vėliau kaip trečią kiekvieno mėnesio dieną pateikti svarbią informaciją apie praėjusį mėnesį paskelbtus skelbimus. |
20 |
Manydama, kad Latvijos mokesčių administratoriaus prašymas neatitinka Reglamente 2016/679 įtvirtintų asmens duomenų proporcingumo ir duomenų kiekio mažinimo principų, SS dėl šio prašymo pateikė skundą Latvijos mokesčių administratoriaus generaliniam direktoriui. |
21 |
2018 m. spalio 30 d. sprendimu jis atmetė skundą ir, be kita ko, nurodė, kad tvarkydamas pagrindinėje byloje nagrinėjamus asmens duomenis Latvijos mokesčių administratorius vykdė pagal įstatymą jam suteiktus įgaliojimus. |
22 |
Siekdama panaikinti tą sprendimą SS pateikė skundą administratīvā rajona tiesa (Apylinkės administracinis teismas, Latvija). Be argumentų, kuriuos išdėstė skunde, ji tvirtino, kad, pažeidžiant Reglamento 2016/679 5 straipsnio 1 dalį, minėtame sprendime nenurodyta nei konkretaus Latvijos mokesčių administratoriaus numatyto asmens duomenų tvarkymo tikslo, nei jam būtinų duomenų kiekio. |
23 |
2019 m. gegužės 21 d. sprendimu administratīvā rajona tiesa (Apylinkės administracinis teismas) atmetė šį skundą ir iš esmės nurodė, kad Latvijos mokesčių administratorius galėjo pagrįstai prašyti leisti susipažinti su informacija, susijusia su visais asmenimis ir neribotais kiekiais, nebent tokia informacija būtų laikoma nesuderinama su mokesčių surinkimo tikslais. Be to, tas teismas nusprendė, kad Reglamento 2016/679 nuostatos šiam administratoriui netaikytinos. |
24 |
Dėl to sprendimo SS pateikė apeliaciją prašymą priimti prejudicinį sprendimą pateikusiam teismui ir nurodė, kad, pirma, Latvijos mokesčių administratoriui taikomos Reglamento 2016/679 nuostatos ir, antra, kas mėnesį ir be apribojimų laiko atžvilgiu reikalaudamas didelio asmens duomenų, susijusių su neribotu skelbimų skaičiumi, kiekio ir nenurodydamas mokesčių mokėtojų, kuriems bus taikoma mokesčių kontrolė, šis administratorius pažeidė proporcingumo principą. |
25 |
Prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo, kad pagrindinėje byloje neginčijama nei tai, kad nagrinėjamas prašymas pateikti informaciją yra glaudžiai susijęs su asmens duomenų tvarkymu, nei tai, kad Latvijos mokesčių administratorius turi teisę gauti reklamos paslaugų internete teikėjo turimą informaciją, kuri yra būtina konkrečioms mokesčių rinkimo priemonėms įgyvendinti. |
26 |
Pagrindinė byla susijusi su informacijos, kurios gali prašyti Latvijos mokesčių administratorius, kiekiu ir rūšimi, jos ribotumu ar neribotumu, taip pat su klausimu, ar SS taikoma pareiga teikti informaciją turi būti ribojama laiko atžvilgiu. |
27 |
Konkrečiai kalbant, prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad turi nustatyti, ar pagrindinės bylos aplinkybėmis asmens duomenys tvarkomi skaidriai duomenų subjektų atžvilgiu, ar atitinkamame prašyme pateikti informaciją jos prašoma nustatytais, aiškiai apibrėžtais bei teisėtais tikslais ir ar asmens duomenys tvarkomi tik tiek, kiek tai iš tikrųjų būtina Latvijos mokesčių administratoriaus funkcijoms vykdyti, kaip tai suprantama pagal Reglamento 2016/679 5 straipsnio 1 dalį. |
28 |
Šiuo tikslu būtina apibrėžti kriterijus, leidžiančius įvertinti, ar Latvijos mokesčių administratoriaus prašymu pateikti informaciją paisoma pagrindinių laisvių ir teisių esmės ir ar pagrindinėje byloje nagrinėjamas prašymas pateikti informaciją gali būti laikomas būtinu ir proporcingu demokratinėje visuomenėje, siekiant užtikrinti svarbius Sąjungos tikslus ir Latvijos viešuosius interesus biudžeto ir mokesčių srityje. |
29 |
Šiomis aplinkybėmis Administratīvā apgabaltiesa (Apygardos administracinis teismas, Latvija) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:
|
Dėl prejudicinių klausimų
Dėl pirmojo klausimo
30 |
Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Reglamento 2016/679 nuostatas reikia aiškinti taip, kad šiame reglamente, visų pirma jo 5 straipsnio 1 dalyje, nustatyti reikalavimai taikomi valstybės narės mokesčių administratoriui renkant iš ekonominės veiklos vykdytojo informaciją, susijusią su dideliu asmens duomenų kiekiu. |
31 |
Siekiant atsakyti į šį klausimą, reikia patikrinti, pirma, ar toks prašymas patenka į Reglamento 2016/679 2 straipsnio 1 dalyje apibrėžtą materialinę jo taikymo sritį, ir, antra, ar jo nėra tarp asmens duomenų tvarkymo, kuris pagal šio reglamento 2 straipsnio 2 dalį nepatenka į šią taikymo sritį. |
32 |
Pirma, pagal Reglamento 2016/679 2 straipsnio 1 dalį šis reglamentas taikomas asmens duomenų tvarkymui, visiškai arba iš dalies atliekamam automatizuotomis priemonėmis, ir asmens duomenų, kurie sudaro susisteminto rinkinio dalį ar yra skirti jai sudaryti, tvarkymui ne automatizuotomis priemonėmis. |
33 |
Reglamento 2016/679 4 straipsnio 1 punkte „asmens duomenys“ apibrėžti kaip bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti; t. y. apie asmenį, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius. Šiuo klausimu šio reglamento 26 konstatuojamojoje dalyje nurodyta, kad siekiant nuspręsti, ar galima nustatyti fizinio asmens tapatybę, reikėtų atsižvelgti į visas priemones, kurias asmens tapatybei tiesiogiai ar netiesiogiai nustatyti, pagrįstai tikėtina, galėtų naudoti duomenų valdytojas ar kitas asmuo. |
34 |
Pagrindinėje byloje neginčijama, kad informacija, kurią Latvijos mokesčių administratorius prašo pateikti, yra asmens duomenys, kaip tai suprantama pagal Reglamento 2016/679 4 straipsnio 1 punktą. |
35 |
Pagal šio reglamento 4 straipsnio 2 punktą asmens duomenų rinkimas, susipažinimas su jais, atskleidimas persiunčiant, taip pat kitu būdu sudarant galimybę jais naudotis yra „duomenų tvarkymas“, kaip tai suprantama pagal minėtą reglamentą. Iš šios nuostatos formuluotės, visų pirma žodžių junginio „bet kokia<…> operacija“, matyti, kad Sąjungos teisės aktų leidėjas siekė suteikti sąvokai „duomenų tvarkymas“ plačią taikymo sritį. Šį aiškinimą patvirtina tai, kad minėtoje nuorodoje nėra išsamaus operacijų sąrašo, o vartojamas junginys „kaip antai“. |
36 |
Nagrinėjamu atveju Latvijos mokesčių administratorius reikalauja, kad atitinkamas ekonominės veiklos vykdytojas atkurtų šio administratoriaus prieigą prie transporto priemonių važiuoklės numerių, kurie nurodyti tokio veiklos vykdytojo interneto svetainėje paskelbtame skelbime, ir pateiktų informaciją apie šioje svetainėje paskelbtus skelbimus. |
37 |
Tokiu prašymu, kuriuo valstybės narės mokesčių administratorius prašo ekonominės veiklos vykdytojo atskleisti ir suteikti galimybę naudotis asmens duomenimis, kuriuos pagal šios valstybės narės nacionalinės teisės aktus toks veiklos vykdytojas privalo pateikti ir suteikti galimybę jais naudotis, pradedamas šių duomenų „rinkimo“ procesas, kaip tai suprantama pagal Reglamento 2016/679 4 straipsnio 2 punktą. |
38 |
Be to, atitinkamo ekonominės veiklos vykdytojo atliekamas minėtų duomenų atskleidimas ir pateikimas šiam administratoriui reiškia „duomenų tvarkymą“, kaip jis suprantamas pagal šio 4 straipsnio 2 punktą. |
39 |
Antra, reikia išnagrinėti, ar operacija, kai valstybės narės mokesčių administratorius siekia iš ekonominės veiklos vykdytojo rinkti tam tikrų apmokestinamų asmenų asmens duomenis, gali būti laikoma nepatenkančia į Reglamento 2016/679 taikymo sritį pagal jo 2 straipsnio 2 dalį. |
40 |
Šiuo klausimu pirmiausia reikia priminti, kad šioje nuostatoje numatytos šio reglamento taikymo srities, apibrėžtos jo 2 straipsnio 1 dalyje, išimtys, kurios turi būti aiškinamos siaurai (2020 m. liepos 16 d. Sprendimo Facebook Ireland ir Schrems, C‑311/18, EU:C:2020:559, 84 punktas). |
41 |
Konkrečiai kalbant, Reglamento 2016/679 2 straipsnio 2 dalies d punkte nustatyta, kad šis reglamentas netaikomas asmens duomenų tvarkymui, kurį atlieka kompetentingos institucijos nusikalstamų veikų prevencijos, tyrimo, nustatymo ar patraukimo baudžiamojon atsakomybėn už jas, baudžiamųjų sankcijų vykdymo tikslais. |
42 |
Kaip matyti iš šio reglamento 19 konstatuojamosios dalies, ši išimtis grindžiama aplinkybe, kad kompetentingų valdžios institucijų atliekamą asmens duomenų tvarkymą šiais tikslais reglamentuoja konkretesnis Sąjungos teisės aktas, t. y. Direktyva 2016/680, kuri buvo priimta tą pačią dieną kaip Reglamentas 2016/679 ir kurios 3 straipsnio 7 punkte apibrėžta „kompetentinga institucija“; tokia apibrėžtis pagal analogiją turi būti taikoma šio reglamento 2 straipsnio 2 dalies d punktui (šiuo klausimu žr. 2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 69 punktą). |
43 |
Iš Direktyvos 2016/680 10 konstatuojamosios dalies matyti, kad sąvoka „kompetentinga institucija“ turi būti aiškinama ją siejant su asmens duomenų apsauga teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityje, atsižvelgiant į pakeitimus, kuriuos šiuo atžvilgiu gali būti būtina atlikti dėl specifinio šių sričių pobūdžio. Be to, šios direktyvos 11 konstatuojamojoje dalyje nurodyta, kad Reglamentas 2016/679 taikomas asmens duomenų tvarkymui, kurį atlieka „kompetentinga institucija“, kaip ji suprantama pagal minėtos direktyvos 3 straipsnio 7 punktą, tačiau atliekamam kitais tikslais nei joje numatytieji (2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 70 punktas). |
44 |
Taigi neatrodo, kad valstybės narės mokesčių administratorius, kai prašo ekonominės veiklos vykdytojo pateikti jam kai kurių apmokestinamų asmenų asmens duomenis mokesčių surinkimo ir kovos su mokesčių sukčiavimu tikslais, galėtų būti laikomas „kompetentinga institucija“, kaip tai suprantama pagal Direktyvos 2016/680 3 straipsnio 7 punktą, nei kad tokiems prašymams pateikti informaciją gali būti taikoma Reglamento 2016/679 2 straipsnio 2 dalies d punkte numatyta išimtis. |
45 |
Be to, net jeigu neatmetama galimybė, kad pagrindinėje byloje nagrinėjami duomenys gali būti naudojami vykdant tam tikrų asmenų baudžiamąjį persekiojimą už pažeidimus mokesčių srityje, neatrodo, kad pagrindinėje byloje nagrinėjami duomenys yra surinkti konkrečiu tokio baudžiamojo persekiojimo tikslu arba vykdant valstybės veiklą baudžiamosios teisės srityje (šiuo klausimu žr. 2017 m. rugsėjo 27 d. Sprendimo Puškár, C‑73/16, EU:C:2017:725 40 punktą). |
46 |
Vadinasi, veikla, kai valstybės narės mokesčių administratorius renka asmens duomenis, susijusius su transporto priemonių skelbimais, paskelbtais ekonominio veiklos vykdytojo interneto svetainėje, patenka į Reglamento 2016/679 materialinę taikymo sritį, todėl toks administratorius turi laikytis, be kita ko, šio reglamento 5 straipsnyje įtvirtintų su asmens duomenų tvarkymu susijusių principų. |
47 |
Atsižvelgiant į visa tai, kas išdėstyta, į pirmąjį klausimą reikia atsakyti: Reglamento 2016/679 nuostatos turi būti aiškinamos taip, kad šiame reglamente, visų pirma jo 5 straipsnio 1 dalyje, nustatyti reikalavimai taikomi valstybės narės mokesčių administratoriaus atliekamam informacijos, susijusios su dideliu asmens duomenų kiekiu, rinkimui iš ekonominio veiklos vykdytojo. |
Dėl antrojo klausimo
48 |
Antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Reglamento 2016/679 nuostatas reikia aiškinti taip, kad valstybės narės mokesčių administratorius gali nukrypti nuo šio reglamento 5 straipsnio 1 dalies nuostatų, net jeigu tokia teisė jam nebuvo suteikta pagal šios valstybės narės nacionalinę teisę. |
49 |
Pirmiausia reikia priminti, kad, kaip matyti iš Reglamento 2016/679 10 konstatuojamosios dalies, juo siekiama, be kita ko, užtikrinti aukštą fizinių asmenų apsaugos lygį Sąjungoje. |
50 |
Šiuo tikslu Reglamento 2016/679 II skyriuje nustatyti asmens duomenų tvarkymo principai, o III skyriuje numatytos duomenų subjekto teisės, kurių turi būti laikomasi tvarkant asmens duomenis. Konkrečiai kalbant, bet koks asmens duomenų tvarkymas visų pirma turi atitikti minėto reglamento 5 straipsnyje nurodytus su asmens duomenų tvarkymu susijusius principus (šiuo klausimu žr. 2020 m. spalio 6 d. Sprendimo La Quadrature du Net ir kt., C‑511/18, C‑512/18 ir C‑520/18, EU:C:2020:791, 208 punktą). |
51 |
Vis dėlto pagal Reglamento 2016/679 23 straipsnį Sąjungai ir valstybėms narėms leidžiama priimti „teisines priemones“, ribojančias, be kita ko, šio reglamento 5 straipsnyje numatytų pareigų ir teisių apimtį, jeigu jos atitinka šio reglamento 12–22 straipsniuose numatytas teises ir pareigas, kai toks apribojimas atitinka pagrindinių laisvių ir teisių esmę ir yra būtina bei proporcinga demokratinėje visuomenėje priemonė, siekiant užtikrinti svarbius Sąjungos ar atitinkamos valstybės narės bendrojo intereso tikslus, be kita ko, susijusius su svarbiais ekonominiais ir finansiniais interesais, įskaitant biudžeto ir mokesčių srityje. |
52 |
Šiuo klausimu iš Reglamento 2016/679 41 konstatuojamosios dalies matyti, kad šiame reglamente pateikta nuoroda į „teisėkūros priemonę“ nebūtinai reiškia, kad Parlamentas turi priimti teisėkūros procedūra priimamą aktą. |
53 |
Atsižvelgiant į tai, reikia priminti, kad, kaip nurodyta Reglamento 2016/679 4 konstatuojamojoje dalyje, juo paisoma visų Chartijoje pripažintų ir Sutartyse įtvirtintų pagrindinių teisių ir laisvių bei principų, tarp kurių, be kita ko, yra teisė į asmens duomenų apsaugą. |
54 |
Chartijos 52 straipsnio 1 dalies pirmame sakinyje nurodyta, kad bet koks šios Chartijos pripažintų teisių ir laisvių, tarp kurių, be kita ko, yra Chartijos 7 straipsnyje įtvirtinta teisė į privatų gyvenimą ir jos 8 straipsnyje įtvirtinta teisė į asmens duomenų apsaugą, apribojimas turi būti numatytas įstatymo, o tai visų pirma reiškia, kad pačiame teisiniame pagrinde, kuriuo leidžiamas šių teisių suvaržymas, turi būti apibrėžta atitinkamos teisės įgyvendinimo apribojimo apimtis (šiuo klausimu žr. 2020 m. spalio 6 d. Sprendimo Privacy International, C‑623/17, EU:C:2020:790, 65 punktą ir jame nurodytą jurisprudenciją). |
55 |
Šiuo klausimu Teisingumo Teismas, be kita ko, nusprendė, kad teisės normose, kuriose numatyta priemonė, leidžianti tokį suvaržymą, turi būti nustatytos aiškios ir tikslios taisyklės, reglamentuojančios nagrinėjamos priemonės apimtį ir taikymą bei nustatančios minimalius reikalavimus, kad asmenys, kurių asmens duomenys buvo perduoti, turėtų pakankamai garantijų, leidžiančių veiksmingai apsaugoti šiuos duomenis nuo piktnaudžiavimo pavojų (šiuo klausimu žr. 2021 m. kovo 2 d. Sprendimo Prokuratuur (Prieigos prie elektroninių pranešimų duomenų sąlygos), C‑746/18, EU:C:2021:152, 48 punktą ir jame nurodytą jurisprudenciją). |
56 |
Taigi bet kuri pagal Reglamento 2016/679 23 straipsnį priimta priemonė, kaip šio reglamento 41 konstatuojamojoje dalyje pažymėjo Sąjungos teisės aktų leidėjas, turi būti aiški ir tiksli, o jos taikymas turėtų būti numatomas tiems asmenims, kuriems ji turi būti taikoma. Konkrečiai kalbant, tokie asmenys turi galėti nustatyti aplinkybes ir sąlygas, kuriomis gali būti apribota šio reglamento jiems suteikiamų teisių apimtis. |
57 |
Iš to, kas išdėstyta, matyti, kad valstybės narės mokesčių administratorius negali nukrypti nuo Reglamento 2016/679 5 straipsnio nuostatų, jei Sąjungos teisėje ar nacionalinėje teisėje nėra aiškaus ir tikslaus teisinio pagrindo, kurio taikymą teisės subjektai gali numatyti, nustatančio aplinkybes ir sąlygas, kuriomis šiame 5 straipsnyje numatytų pareigų ir teisių apimtis gali būti apribota. |
58 |
Taigi į antrąjį klausimą reikia atsakyti: Reglamento 2016/679 nuostatos turi būti aiškinamos taip, kad valstybės narės mokesčių administratorius negali nukrypti nuo šio reglamento 5 straipsnio 1 dalies nuostatų, jeigu tokia teisė jam nebuvo suteikta teisėkūros priemone, kaip tai suprantama pagal šio reglamento 23 straipsnio 1 dalį. |
Dėl trečiojo–devintojo klausimų
59 |
Trečiuoju–devintuoju klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Reglamento 2016/679 nuostatos aiškintinos taip, kad pagal jas draudžiama valstybės narės mokesčių administratoriui reikalauti, kad internete paskelbtų skelbimų paslaugų teikėjas neribotu laikotarpiu jam teiktų informaciją apie visus interneto skelbimus skelbiančius mokesčių mokėtojus, kai nenurodomas prašymo pateikti informaciją tikslas. |
60 |
Pirmiausia reikia pažymėti, kad, esant tokiai situacijai, kaip nagrinėjama pagrindinėje byloje, gali būti nustatytos dvi asmens duomenų tvarkymo operacijos. Iš šio sprendimo 37 ir 38 punktų matyti, kad kalbama apie mokesčių administratoriaus atliekamą asmens duomenų rinkimą iš atitinkamo paslaugų teikėjo ir apie šio paslaugų teikėjo atliekamą tokių duomenų atskleidimą, juos perduodant šiam administratoriui. |
61 |
Kaip matyti iš šio sprendimo 50 punkte nurodytos jurisprudencijos, bet koks asmens duomenų tvarkymas, išskyrus Reglamento 2016/679 23 straipsnyje numatytas išimtis, turi būti atliekamas laikantis su asmens duomenų tvarkymu susijusių principų, įtvirtintų šio reglamento 5 straipsnyje, ir paisant šio reglamento 12–22 straipsniuose numatytų duomenų subjektų teisių. |
62 |
Nagrinėjamu atveju prašymą priimti prejudicinį sprendimą pateikusiam teismui visų pirma kyla klausimas dėl aplinkybės, kad, pirma, šio sprendimo 60 punkte nurodytos duomenų tvarkymo operacijos susijusios su neapibrėžtu informacijos kiekiu ir neapibrėžtu laikotarpiu, ir, antra, kad šio tvarkymo tikslas nėra nurodytas prašyme pateikti informaciją. |
63 |
Šiuo klausimu reikia pažymėti, pirma, kad Reglamento 2016/679 5 straipsnio 1 dalies b punkte numatyta, jog asmens duomenys turi būti renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais. |
64 |
Visų pirma reikalavimas, kad duomenų tvarkymo tikslai turi būti nustatyti, kaip matyti iš šio reglamento 39 konstatuojamosios dalies, reiškia, kad jie turi būti nustatyti ne vėliau kaip renkant asmens duomenis. |
65 |
Be to, duomenų tvarkymo tikslai turi būti aiškūs, o tai reiškia, kad jie turi būti aiškiai nurodyti. |
66 |
Galiausiai šie tikslai turi būti teisėti. Taigi svarbu, kad jais būtų užtikrinamas teisėtas duomenų tvarkymas, kaip tai suprantama pagal minėto reglamento 6 straipsnio 1 dalį. |
67 |
Šio sprendimo 60 punkte nurodytos tvarkymo operacijos pradėtos Latvijos mokesčių administratoriui paprašius interneto reklamos paslaugų teikėjo atskleisti asmens duomenis. Šiuo klausimu matyti, kad pagal Mokesčių ir rinkliavų įstatymo 15 straipsnio 6 dalį šis paslaugų teikėjas turi patenkinti tokį prašymą. |
68 |
Atsižvelgiant į tai, kas išdėstyta šio sprendimo 64 ir 65 punktuose, būtina, kad šių tvarkymo operacijų tikslai būtų aiškiai nurodyti tokiame prašyme. |
69 |
Jei minėtame prašyme nurodyti tikslai yra būtini siekiant atlikti užduotį, vykdomą viešojo intereso labui arba vykdant mokesčių administratoriui pavestas viešosios valdžios funkcijas, šios aplinkybės pakanka, kaip matyti iš Reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos pradžios ir e punkto, siejamo su šio reglamento 6 straipsnio 3 dalies antra pastraipa, kad toks duomenų tvarkymas taip pat atitiktų teisėtumo reikalavimą, primintą šio sprendimo 66 punkte. |
70 |
Šiuo klausimu reikia priminti, kad mokesčių rinkimo ir kovos su mokesčių slėpimu tikslai turi būti laikomi užduotimis, vykdomomis viešojo intereso labui, kaip tai suprantama pagal Reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos e punktą (pagal analogiją žr. 2017 m. rugsėjo 27 d. Sprendimo Puškár, C‑73/16, EU:C:2017:725, 108 punktą). |
71 |
Iš to matyti, kad tuo atveju, kai nagrinėjamas asmens duomenų atskleidimas nėra tiesiogiai pagrįstas teisės nuostata, kuri yra tokio atskleidimo pagrindas, bet išplaukia iš kompetentingos viešosios valdžios institucijos prašymo, būtina, kad šiame prašyme būtų patikslinti konkretūs šio duomenų rinkimo tikslai, atsižvelgiant į užduotį, susijusią su viešuoju interesu arba viešosios valdžios funkcijų vykdymu, kad minėto prašymo gavėjas galėtų įsitikinti, jog nagrinėjamas asmens duomenų perdavimas yra teisėtas, o nacionaliniai teismai – patikrinti atitinkamų duomenų tvarkymo operacijų teisėtumą. |
72 |
Antra, pagal Reglamento 2016/679 5 straipsnio 1 dalies c punktą asmens duomenys turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi. |
73 |
Šiuo klausimu reikia priminti, kad pagal suformuotą jurisprudenciją tokių duomenų apsaugos principo išimtys ir apribojimai turi neviršyti to, kas tikrai būtina (šiuo klausimu žr. 2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 110 punktą ir jame nurodytą jurisprudenciją). |
74 |
Iš to matyti, kad duomenų valdytojas, įskaitant atvejį, kai jis veikia vykdydamas jam patikėtą viešojo intereso užduotį, negali bendrai ir nediferencijuotai rinkti asmens duomenų; jis turi nerinkti duomenų, kurie nėra tikrai būtini duomenų tvarkymo tikslams pasiekti. |
75 |
Nagrinėjamu atveju reikia pažymėti, kad, kaip matyti iš šio sprendimo 17–19 punktų, Latvijos mokesčių administratorius paprašė atitinkamo ekonominės veiklos vykdytojo pateikti jam duomenis, susijusius su šio veiklos vykdytojo interneto svetainėje nuo 2018 m. liepos 14 d. iki rugpjūčio 31 d. paskelbtais lengvųjų automobilių skelbimais, o tuo atveju, jei neįmanoma atkurti prieigos prie šios informacijos, ne vėliau kaip trečią kiekvieno mėnesio dieną teikti duomenis, susijusius su lengvųjų automobilių skelbimais, paskelbtais minėto veiklos vykdytojo interneto svetainėje per paskutinį mėnesį, ir šiame prašyme nebuvo nurodyta tokio informacijos teikimo pabaigos termino. |
76 |
Atsižvelgiant į tai, kas išdėstyta šio sprendimo 74 punkte, prašymą priimti prejudicinį sprendimą pateikęs teismas turi patikrinti, ar šių duomenų rinkimo tikslas gali būti pasiektas Latvijos mokesčių administratoriui potencialiai neturint duomenų apie visus lengvųjų automobilių skelbimus, paskelbtus minėto operatoriaus interneto svetainėje, ir, be kita ko, ar tikėtina, kad šis administratorius, taikydamas konkrečius kriterijus, galėtų prašymą pateikti informaciją sieti tik su tam tikrais skelbimais. |
77 |
Šiomis aplinkybėmis reikia pažymėti, kad pagal Reglamento 2016/679 5 straipsnio 2 dalyje įtvirtintą atskaitomybės principą duomenų valdytojas turi galėti įrodyti, kad laikosi šio straipsnio 1 dalyje įtvirtintų su asmens duomenų tvarkymu susijusių principų. |
78 |
Taigi Latvijos mokesčių administratorius turi įrodyti, kad pagal šio reglamento 25 straipsnio 2 dalį siekė kiek įmanoma sumažinti rinktinų asmens duomenų kiekį. |
79 |
Kadangi Latvijos mokesčių administratoriaus prašymas atskleisti duomenis neapribotas laiko atžvilgiu tuo atveju, kai atitinkamas skelbimų paslaugų teikėjas negali atkurti prieigos prie prašyme nurodytu laikotarpiu paskelbtų skelbimų, reikia priminti, kad, atsižvelgiant į duomenų kiekio mažinimo principą, duomenų valdytojas, atsižvelgdamas į atitinkamo duomenų rinkimo tikslą, taip pat privalo apriboti asmens duomenų rinkimo laikotarpį tuo, kas tikrai būtina. |
80 |
Taigi duomenų rinkimo laikotarpis negali viršyti laikotarpio, kuris yra tikrai būtinas numatytam bendrojo intereso tikslui pasiekti. |
81 |
Kaip matyti iš šio sprendimo 77 punkto, įrodinėjimo pareiga šiuo klausimu tenka Latvijos mokesčių administratoriui. |
82 |
Vis dėlto aplinkybė, kad minėti duomenys renkami, kai Latvijos mokesčių administratoriaus prašyme pateikti informaciją tokio tvarkymo trukmė nėra apribota, savaime neleidžia manyti, kad duomenų tvarkymo trukmė viršija trukmę, tikrai būtiną numatytam tikslui pasiekti. |
83 |
Šiomis aplinkybėmis reikia priminti, jog tam, kad būtų įvykdytas proporcingumo reikalavimas, įtvirtintas Reglamento 2016/679 5 straipsnio 1 dalies c punkte (šiuo klausimu žr. 2021 m. birželio 22 d. Sprendimo Latvijas Republikas Saeima (Baudos taškai), C‑439/19, EU:C:2021:504, 98 punktą ir jame nurodytą jurisprudenciją), teisės aktuose, kuriais grindžiamas duomenų tvarkymas, turi būti numatytos aiškios ir tikslios taisyklės, reglamentuojančios nagrinėjamos priemonės apimtį ir taikymą bei nustatančios minimalius reikalavimus, kad asmenys, kurių asmens duomenys tvarkomi, turėtų pakankamai garantijų, leidžiančių veiksmingai apsaugoti šiuos duomenis nuo piktnaudžiavimo pavojų. Tokie teisės aktai turi būti teisiškai privalomi pagal nacionalinę teisę, visų pirma juose turi būti nurodyta, kokiomis aplinkybėmis ir sąlygomis gali būti imtasi tokios duomenų tvarkymą numatančios priemonės, taip užtikrinant, kad teisių suvaržymas neviršytų to, kas tikrai būtina (2020 m. spalio 6 d. Sprendimo Privacy International, C‑623/17, EU:C:2020:790, 68 punktas ir jame nurodyta jurisprudencija). |
84 |
Vadinasi, nacionalinės teisės aktai, reglamentuojantys tokį prašymą pateikti duomenis, koks yra nagrinėjamas pagrindinėje byloje, turi būti pagrįsti objektyviais kriterijais, kad būtų nustatytos aplinkybės ir sąlygos, kurioms esant interneto paslaugų teikėjas turi perduoti jo paslaugų naudotojų asmens duomenis (šiuo klausimu žr. 2020 m. spalio 6 d. Sprendimo Privacy International, C‑623/17, EU:C:2020:790, 78 punktą ir jame nurodytą jurisprudenciją). |
85 |
Atsižvelgiant į visa tai, kas išdėstyta, į trečiąjį–devintąjį klausimus reikia atsakyti: Reglamento 2016/679 nuostatos turi būti aiškinamos taip, kad jomis nedraudžiama valstybės narės mokesčių administratoriui reikalauti, kad internete paskelbtų skelbimų paslaugų teikėjas pateiktų informaciją apie asmenis, paskelbusius skelbimus vienoje iš jo interneto svetainės skilčių, su sąlyga, kad šie duomenys yra būtini siekiant konkrečių tikslų, kuriems jie renkami, o duomenų rinkimo laikotarpis neviršija laikotarpio, kuris yra tikrai būtinas numatytam bendrojo intereso tikslui pasiekti. |
Dėl bylinėjimosi išlaidų
86 |
Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos. |
Remdamasis šiais motyvais, Teisingumo Teismas (penktoji kolegija) nusprendžia: |
|
|
|
Parašai. |
( *1 ) Proceso kalba: latvių.