Lieta C‑579/21

Tiesvedība, ko sācis J.M.

(Itä‑Suomen hallinto‑oikeus lūgums sniegt prejudiciālu nolēmumu)

Tiesas (pirmā palāta) 2023. gada 22. jūnija spriedums

Lūgums sniegt prejudiciālu nolēmumu – Personas datu apstrāde – Regula (ES) 2016/679 – 4. un 15. pants – Tiesību piekļūt 15. pantā minētajai informācijai apjoms – Informācija, kas atrodas apstrādes sistēmas žurnalēšanas datnēs (log data) – 4. pants – Jēdziens “personas dati” – Jēdziens “saņēmēji” – Piemērošana laikā

1. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Piemērošana laikā – Datu subjekta tiesības piekļūt saviem personas datiem – Piekļuves pieprasījums, kas iesniegts pēc dienas, kad regula kļuvusi piemērojama – Datu apstrāde, kas veikta pirms dienas, kad regula kļuvusi piemērojama – Regulas piemērojamība

   (Eiropas Parlamenta un Padomes Regulas 2016/679 15. pants un 99. panta 2. punkts)

   (skat. 30.–36. punktu un rezolutīvās daļas 1. punktu)

2. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Datu subjekta tiesības piekļūt saviem personas datiem – Informācija par šo datu aplūkošanas darbībām – Jēdziens – Informācija par šo darbību veikšanas laikiem un nolūkiem – Iekļaušana – Informācija par šīs darbības veikušo personu identitāti – Šo datu pārziņa darbinieki, kas šīs darbības veikuši tā pakļautībā – Izslēgšana – Izņēmums – Tvērums

   (Eiropas Parlamenta un Padomes Regulas 2016/679 15. panta 1. punkts)

   (skat. 39.–49., 52.–59., 61., 62., 69.–76. un 79.–83. punktu un rezolutīvās daļas 2. punktu)

3. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Datu subjekta tiesības piekļūt saviem personas datiem – Informācija par šo datu aplūkošanas darbībām – Informācija par šo darbību veikšanas laikiem un nolūkiem – Pārzinis, kas veic reglamentētu darbību – Datu subjekts, kas ir gan šā pārziņa klients, gan darbinieks – Ietekmes uz viņa piekļuves tiesību apjomu neesamība

   (Eiropas Parlamenta un Padomes Regulas 2016/679 15. panta 1. punkts)

   (skat. 85.–89. punktu un rezolutīvās daļas 3. punktu)

Rezumējums

J.M. bija kādas Somijas banku iestādes darbinieks un klients. 2014. gadā viņš uzzināja, ka 2013. gadā šīs iestādes darbinieki bija vairākkārt aplūkojuši viņa kā klienta datus. Šaubīdamies par šīs aplūkošanas likumīgumu, J.M. – kurš pa to laiku bija atlaists no darba šajā iestādē – 2018. gadā lūdza šo iestādi darīt viņam zināmu viņa kā klienta datus aplūkojušo personu identitāti, konkrētos aplūkošanas datumus, kā arī datu apstrādes nolūkus.

Banku iestāde – kā datu pārzinis ( 1 ) – atteicās izpaust aplūkošanas darbības veikušo darbinieku identitāti, pamatojoties uz to, ka šī informācija ir šo darbinieku personas dati. Tā paskaidroja, ka minētos datus pēc tās norādījumiem aplūkojis tās iekšējās revīzijas dienests, veicot izmeklēšanu par iespējamo J.M. interešu konfliktu saistībā ar kādu citu klientu.

Pēc tam J.M. vērsās uzraudzības iestādē – Somijas Datu aizsardzības uzraudzītāja birojā – ar pieprasījumu, lai panāktu, ka viņam tiek darīta zināma viņa kā klienta datus aplūkojušo personu identitāte. Pēc tam, kad šis pieprasījums tika noraidīts, pamatojoties uz to, ka viņa datus apstrādājušo darbinieku žurnalēšanas datnes ir šo darbinieku personas dati, J.M. vērsās iesniedzējtiesā. Minētā tiesa vēlas noskaidrot, vai uz tādu datu apstrādes darbību gaitā radīto žurnalēšanas datņu – kurās norādīta informācija par apstrādes nolūkiem un datu saņēmējiem, kā arī šīs darbības veikušo personu, kas šajā gadījumā ir pārziņa darbinieki, identitāti – izpaušanu attiecas VDAR 15. pants.

Spriedumā Tiesa spriež par VDAR 15. panta piemērošanu laikā saistībā ar pieprasījumu piekļūt šajā tiesību normā minētajai informācijai, kas iesniegts pēc dienas, kad šī regula kļuvusi piemērojama. Tā arī precizē apjomu, kādā datu subjektam ir tiesības saņemt no pārziņa piekļuvi saviem datiem, kas tiek apstrādāti, kā arī informācijai par šiem datiem ( 2 ).

Tiesas vērtējums

Pirmām kārtām, Tiesa nospriež, ka VDAR 15. pants ir piemērojams pieprasījumam par piekļuvi šajā tiesību normā minētajai informācijai situācijā, kad apstrādes darbības, uz kurām attiecas šis pieprasījums, ir veiktas pirms dienas, kad minētā regula kļuvusi piemērojama, taču pieprasījums ir iesniegts pēc šīs dienas. Proti, VDAR 15. panta 1. punkts neattiecas uz datu subjekta personas datu apstrādes likumīguma nosacījumiem, bet gan vienīgi precizē apjomu, kādā šim datu subjektam ir tiesības piekļūt šajā tiesību normā minētajiem datiem un informācijai. Tādējādi ar šo tiesību normu datu subjektiem ir piešķirtas procesuāla rakstura tiesības saņemt informāciju par savu personas datu apstrādi. Tā kā šī tiesību norma ir procesuāls noteikums, tā ir piemērojama pieprasījumiem par piekļuvi, kas iesniegti pēc tam, kad šī regula kļuvusi piemērojama, kā tas ir J.M. pieprasījuma gadījumā.

Otrām kārtām, Tiesa uzsver, ka ar kāda subjekta personas datu aplūkošanas darbībām saistītā informācija par šo darbību veikšanas laikiem un nolūkiem ir informācija, ko šis subjekts saskaņā ar VDAR 15. panta 1. punktu ir tiesīgs saņemt no pārziņa.

Jau no šīs tiesību normas un tajā rodamo jēdzienu tekstuālās analīzes izriet, ka piekļuves tiesībām, kas tajā atzītas datu subjektam, ir raksturīgi, ka tās informācijas apjoms, kura datu pārzinim jāsniedz šim datu subjektam, ir liels.

Arī no šīs tiesību normas konteksta izriet, ka tās mērķis ir nodrošināt datu subjektam personas datu apstrādes procesa pārredzamību, bez kuras šis subjekts nespētu pārliecināties par savu datu apstrādes likumīgumu.

Visbeidzot, apstiprinājums šādai VDAR 15. panta 1. punktā paredzēto piekļuves tiesību apjoma interpretācijai rodams šīs regulas mērķos, pie kuriem pieder vajadzība nodrošināt konsekventu un augsta līmeņa aizsardzību fiziskām personām Savienībā, kā arī ļaut datu subjektam pārliecināties, ka viņa personas dati ir pareizi un ka tie tiek apstrādāti likumīgi.

Jautājumā par J.M. pieprasīto informāciju Tiesa, pirmkārt, norāda, ka aplūkošanas darbības, kas veiktas attiecībā uz J.M. personas datiem, ir “apstrāde” ( 3 ), tāpēc šo darbību dēļ viņam rodas ne vien tiesības piekļūt šiem datiem, bet arī tiesības panākt, ka viņam tiek sniegta informācija par šīm darbībām ( 4 ). Šajā ziņā tā uzsver, ka ziņas par aplūkošanas datumiem ļautu datu subjektam saņemt apstiprinājumu, ka viņa personas dati patiešām ir apstrādāti, savukārt šīs apstrādes datums ir faktors, kas ļautu pārbaudīt tās likumīgumu. Tiesa arī piebilst, ka informācija par apstrādes nolūkiem ir expressis verbis minēta VDAR ( 5 ) un ka šajā regulā ir paredzēts, ka pārzinis informē datu subjektu par saņēmējiem, kuriem viņa dati ir izpausti ( 6 ).

Otrkārt, par to, vai šis informācijas kopums ir sniedzams attiecīgo apstrādes darbību žurnalēšanas datņu formā, Tiesa paskaidro, ka iesniegt šajās datnēs ietvertās informācijas kopiju var izrādīties nepieciešams, lai tiktu izpildīts pārziņa pienākums sniegt datu subjektam piekļuvi visai VDAR 15. panta 1. punktā minētajai informācijai un nodrošināt godprātīgu un pārredzamu apstrādi.

Šīs datnes ne vien atklāj datu apstrādes esamību ( 7 ), bet arī informē par aplūkošanas darbību biežumu un intensitāti. Šādi tās ļauj datu subjektam pārliecināties, ka veiktās apstrādes pamatā patiešām ir pārziņa norādītie nolūki.

Šajās datnēs ir ietverta arīdzan informācija par datus aplūkojušo personu identitāti. Šajā gadījumā datu subjektam patiešām ir tiesības saņemt no pārziņa informāciju par saņēmējiem vai saņēmēju kategorijām, kam personas dati ir vai tiks izpausti ( 8 ), taču pārziņa darbinieki nav uzskatāmi par “saņēmējiem” ( 9 ), ja personas datus tie apstrādā minētā pārziņa pakļautībā un atbilstoši tā norādījumiem. Tādējādi, lai arī informācija par šo darbinieku identitāti datu subjektam varētu būt nepieciešama, lai pārliecinātos par savu personas datu apstrādes likumīgumu, šīs informācijas sniegšana iespējami varētu radīt šo darbinieku tiesību un brīvību aizskārumu, jo šī informācija savukārt ietver šo darbinieku personas datus. Šādā gadījumā datu subjekta piekļuves tiesības ir jāsamēro ar citu personu tiesībām un brīvībām. Tāpēc Tiesa secina, ka apstrādāto datu subjektam VDAR 15. panta 1. punktā nav paredzētas tiesības panākt no pārziņa piekļuvi informācijai par to pārziņa darbinieku identitāti, kuri šīs apstrādes darbības ir veikuši tā pakļautībā un atbilstoši tā norādījumiem, ja vien šī informācija nav nepieciešama, lai datu subjekts varētu efektīvi izmantot tam šajā regulā piešķirtās tiesības, un ar nosacījumu, ka tiek ņemtas vērā šo darbinieku tiesības un brīvības.

Visbeidzot, treškārt, Tiesa atzīst – apstāklis, ka pārzinis veic bankas darbību regulētā jomā un ka persona, kuras personas dati ir apstrādāti kā pārziņa klienta dati, bija arī šā pārziņa darbinieks, principā neietekmē šai personai saskaņā ar VDAR 15. panta 1. punktu piešķirto tiesību apjomu. Proti, attiecībā uz šo tiesību tvērumu nevienā šīs regulas normā nav veikta nošķiršana atkarībā no pārziņa darbību rakstura vai tās personas statusa, kuras personas dati tiek apstrādāti.

( 1 ) Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 4. panta 7. punkta izpratnē.

( 2 ) Tiesības, kas paredzētas VDAR 15. panta 1. punktā.

( 3 ) VDAR 4. panta 2. punkta izpratnē.

( 4 ) VDAR 15. panta 1. punkts.

( 5 ) VDAR 15. panta 1. punkta a) apakšpunkts.

( 6 ) VDAR 15. panta 1. punkta c) apakšpunkts.

( 7 ) Informācija, kurai datu subjektam ir jābūt piekļuvei saskaņā ar VDAR 15. panta 1. punktu.

( 8 ) Saskaņā ar VDAR 15. panta 1. punkta c) apakšpunktu.

( 9 ) VDAR 15. panta 1. punkta c) apakšpunkta izpratnē.