–

w imieniu „SS” SIA – M. Ruķers,

–

w imieniu rządu łotewskiego – początkowo K. Pommere, V. Soņeca i L. Juškeviča, a następnie K. Pommere, w charakterze pełnomocników,

–

w imieniu rządu belgijskiego – J.-C. Halleux i P. Cottin, w charakterze pełnomocników, których wspierał C. Molitor, avocat,

–

w imieniu rządu greckiego – E.-M. Mamouna i O. Patsopoulou, w charakterze pełnomocników,

–

w imieniu rządu hiszpańskiego – początkowo J. Rodríguez de la Rúa Puig i S. Jiménez García, a następnie J. Rodríguez de la Rúa Puig, w charakterze pełnomocników,

–

w imieniu Komisji Europejskiej – początkowo H. Kranenborg, D. Nardi i I. Rubene, a następnie H. Kranenborg i I. Rubene, w charakterze pełnomocników

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2), a w szczególności art. 5 ust. 1 tego rozporządzenia.

2

Wniosek ten został przedstawiony w ramach sporu pomiędzy „SS” SIA a Valsts ieņēmumu dienests (urzędem podatkowym, Łotwa, zwanym dalej „łotewskim organem podatkowym”) w przedmiocie wniosku o udzielenie informacji dotyczących ogłoszeń o sprzedaży pojazdów publikowanych na stronie internetowej SS.

3

Rozporządzenie 2016/679 – którego podstawę prawną stanowi art. 16 TFUE – ma zastosowanie, jak wskazano w art. 99 ust. 2 tego aktu prawnego, od dnia 25 maja 2018 r.

4

Motywy 1, 4, 10, 19, 26, 31, 39, 41 i 50 tego rozporządzenia mają następujące brzmienie:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

[…]

5

Artykuł 2 rozporządzenia 2016/679, zatytułowany „Materialny zakres stosowania”, stanowi:

„1.   Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

2.   Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:

[…]”.

6

Artykuł 4 tego rozporządzenia, zatytułowany „Definicje”, ma następujące brzmienie:

„Na użytek niniejszego rozporządzenia:

[…]

[…]

[…]”.

7

Zgodnie z art. 5 rzeczonego rozporządzenia, zatytułowanym „Zasady dotyczące przetwarzania danych osobowych”:

„1.   Dane osobowe muszą być:

2.   Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (rozliczalność)”.

8

Artykuł 6 tego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi:

„1.   Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

2.   Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX.

3.   Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. […] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.

4.   Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:

9

Zgodnie z art. 13 ust. 3 rozporządzenia 2016/679:

„Jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2”.

10

Artykuł 14 tego rozporządzenia stanowi:

„1.   Jeżeli danych osobowych nie pozyskano od osoby, której dane dotyczą, administrator podaje osobie, której dane dotyczą, następujące informacje:

[…]

[…]

5.   Ustępy 1–4 nie mają zastosowania, gdy – i w zakresie, w jakim:

[…]

[…]”.

11

Zgodnie z art. 23 ust. 1 lit. e) tego rozporządzenia:

„Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:

[…]

[…]”.

12

Artykuł 25 ust. 2 tego rozporządzenia 2016/679 stanowi:

„Administrator wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Obowiązek ten odnosi się do ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W szczególności środki te zapewniają, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych”.

13

Motywy 10 i 11 dyrektywy 2016/680 stanowią:

14

Artykuł 3 tej dyrektywy stanowi:

„Na użytek niniejszej dyrektywy:

[…]

7) »właściwy organ« oznacza:

[…]”.

15

Zgodnie z art. 15 ust. 6 likums „Par nodokļiem un nodevām” (ustawy o podatkach i opłatach, Latvijas Vēstnesis, 1995, nr 26), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym (zwanej dalej „ustawą o podatkach i opłatach”), podmioty świadczące usługi publikacji ogłoszeń w Internecie są zobowiązane, na żądanie łotewskiego organu podatkowego, do dostarczenia posiadanych przez nie informacji dotyczących podatników, którzy opublikowali ogłoszenia, korzystając z tych usług.

16

Spółka SS jest podmiotem świadczącym usługi w zakresie publikowania ogłoszeń w Internecie, mającym siedzibę na Łotwie.

17

W dniu 28 sierpnia 2018 r. łotewski organ podatkowy skierował do SS, na podstawie art. 15 ust. 6 ustawy o podatkach i opłatach, wniosek o udzielenie informacji, w którym wezwał tę spółkę do odnowienia dostępu, którym dysponował wcześniej ten organ podatkowy, do numerów identyfikacyjnych pojazdów będących przedmiotem ogłoszeń publikowanych na portalu internetowym rzeczonej spółki, a także do numerów telefonu sprzedających, oraz do dostarczenia, nie później niż do dnia 3 września 2018 r., informacji na temat ogłoszeń opublikowanych w okresie od 14 lipca do 31 sierpnia 2018 r. w sekcji „samochody osobowe” tego portalu.

18

We wniosku tym wyjaśniono, że informacje te, obejmujące link do ogłoszenia, tekst tego ogłoszenia, markę pojazdu, model, numer identyfikacyjny pojazdu i jego cenę, a także numer telefonu sprzedawcy, powinny być przekazywane drogą elektroniczną, w formacie umożliwiającym filtrowanie lub wybieranie danych.

19

Ponadto na wypadek, gdyby dostęp do informacji zawartych w ogłoszeniach publikowanych na wskazanym portalu internetowym nie mógł zostać przywrócony, spółka SS została wezwana do wskazania przyczyn takiego stanu rzeczy, a także do dostarczania, najpóźniej trzeciego dnia każdego miesiąca, istotnych informacji dotyczących ogłoszeń opublikowanych w poprzednim miesiącu.

20

Uznawszy, że wystosowany przez łotewski organ podatkowy wniosek o udzielenie informacji jest niezgodny z zasadami proporcjonalności i minimalizacji danych osobowych, ustanowionymi w rozporządzeniu 2016/679, spółka SS złożyła zażalenie na ten wniosek do pełniącego obowiązki dyrektora generalnego łotewskiego organu podatkowego.

21

Decyzją z dnia 30 października 2018 r. oddalił on to zażalenie, wskazawszy w szczególności, że w ramach przetwarzania danych osobowych, o którym mowa w postępowaniu głównym, łotewski organ podatkowy wykonywał uprawnienia przyznane mu na mocy ustawy.

22

Spółka SS wniosła do administratīvā rajona tiesa (sądu administracyjnego pierwszej instancji, Łotwa) skargę o stwierdzenie nieważności tej decyzji. Oprócz argumentów przedstawionych w zażaleniu, w skardze tej podniosła ona, że we wspomnianej decyzji nie wskazano konkretnego celu przetwarzania danych osobowych przewidywanego przez łotewski organ podatkowy ani ilości niezbędnych do tego celu danych, co stanowi naruszenie art. 5 ust. 1 rozporządzenia 2016/679.

23

Wyrokiem z dnia 21 maja 2019 r. administratīvā rajona tiesa (sąd administracyjny pierwszej instancji) oddalił tę skargę, wskazawszy zasadniczo, że łotewski organ podatkowy miał podstawy, by żądać dostępu do informacji dotyczących dowolnej osoby i w nieograniczonej ilości, chyba że informacje te zostałyby uznane za niezgodne z celami poboru podatku. Sąd pierwszej instancji uznał ponadto, że przepisy rozporządzenia 2016/679 nie mają zastosowania do tego organu.

24

Spółka SS wniosła apelację od tego wyroku do sądu odsyłającego, podnosząc, po pierwsze, że łotewski organ podatkowy podlega przepisom rozporządzenia 2016/679, a po drugie, że wymagając przekazywania co miesiąc i przez nieograniczony czas znacznej ilości danych osobowych dotyczących nieograniczonej liczby ogłoszeń, bez wskazania konkretnych podatników, przeciwko którym została wszczęta kontrola podatkowa, organ ten naruszył zasadę proporcjonalności.

25

Sąd odsyłający wskazuje, iż w ramach sporu w postępowaniu głównym bezsporne jest to, że zastosowanie się do żądania wniosku o udzielenie informacji jest nierozerwalnie związane z przetwarzaniem danych osobowych i że łotewski organ podatkowy ma prawo do uzyskania informacji, którymi dysponuje podmiot świadczący usługi w zakresie publikowania reklam w Internecie i które są niezbędne do wykonania konkretnych czynności w zakresie poboru podatku.

26

Spór w postępowaniu głównym dotyczy ilości i rodzaju informacji, jakich może żądać łotewski organ podatkowy, ograniczonego lub nieograniczonego charakteru tych informacji, a także kwestii, czy obowiązek przekazania informacji, któremu podlega spółka SS, powinien być ograniczony w czasie.

27

W szczególności sąd odsyłający uważa, że to do niego należy ustalenie, czy w okolicznościach sprawy rozpoznawanej w postępowaniu głównym przetwarzanie danych osobowych jest dokonywane w sposób przejrzysty w stosunku do osób, których dane dotyczą, czy informacji wyszczególnionych w przedmiotowym wniosku o udostępnienie zażądano w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz czy przetwarzanie danych osobowych jest dokonywane wyłącznie w zakresie, w jakim jest ono rzeczywiście konieczne do wykonywania przez łotewski organ podatkowy jego funkcji, w rozumieniu art. 5 ust. 1 rozporządzenia 2016/679.

28

Wykonanie tego zadania wymaga określenia kryteriów pozwalających na dokonanie oceny, czy wniosek o udostępnienie informacji wystosowany przez łotewski organ podatkowy respektuje istotę swobód i praw podstawowych oraz czy w demokratycznym społeczeństwie wniosek, o którym mowa w postępowaniu głównym, może zostać uznany za konieczny i proporcjonalny do zagwarantowania realizacji ważnych celów Unii oraz poszanowania łotewskich interesów publicznych w dziedzinie budżetowej i podatkowej.

29

W tych okolicznościach Administratīvā apgabaltiesa (regionalny sąd administracyjny, Łotwa) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

30

Poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy przepisy rozporządzenia 2016/679 należy interpretować w ten sposób, że wymogom tego rozporządzenia, a w szczególności tym, o których mowa w jego art. 5 ust. 1, podlega zbieranie od podmiotu gospodarczego przez organ podatkowy państwa członkowskiego informacji zawierających znaczną ilość danych osobowych.

31

Aby udzielić odpowiedzi na to pytanie należy zbadać w pierwszej kolejności, czy tego rodzaju wniosek o udzielenie informacji jest objęty przedmiotowym zakresem stosowania rozporządzenia 2016/679, określonym w art. 2 ust. 1 tego rozporządzenia, a w drugiej kolejności, czy nie figuruje on wśród rodzajów przetwarzania danych osobowych, które art. 2 ust. 2 tego rozporządzenia wyłącza z tego zakresu stosowania.

32

W pierwszej kolejności zgodnie z brzmieniem art. 2 ust. 1 rozporządzenia 2016/679 ma ono zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

33

W art. 4 pkt 1 rozporządzenia 2016/679 uściślono, że „dane osobowe” oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, to jest o osobie fizycznej, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. W motywie 26 tego rozporządzenia wyjaśniono w tym względzie, że aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby, w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej.

34

W ramach sporu w postępowaniu głównym bezsporne jest to, że informacje, o których przekazanie wnosi łotewski organ podatkowy, stanowią dane osobowe w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679.

35

Zgodnie z art. 4 pkt 2 tego rozporządzenia zbieranie, przeglądanie, ujawnianie poprzez przesłanie lub innego rodzaju udostępnianie danych osobowych stanowią „przetwarzanie” w rozumieniu wskazanego rozporządzenia. Z brzmienia tego przepisu, a w szczególności z wyrażenia „[każdą] operację”, wynika, że prawodawca Unii zamierzał nadać pojęciu „przetwarzania” szeroki zakres. Taką wykładnię potwierdza niewyczerpujący charakter czynności wymienionych we wspomnianym przepisie, wyrażony poprzez użycie sformułowania „taką jak”.

36

W niniejszej sprawie łotewski organ podatkowy zwrócił się do zainteresowanego podmiotu gospodarczego z żądaniem przywrócenia dostępu służb tego organu do numerów identyfikacyjnych pojazdów będących przedmiotem ogłoszeń publikowanych na portalu internetowym prowadzonym przez ten podmiot gospodarczy oraz dostarczenia rzeczonym służbom informacji o ogłoszeniach publikowanych na owym portalu.

37

Tego rodzaju wniosek, w którym organ podatkowy państwa członkowskiego domaga się od podmiotu gospodarczego przekazania i udostępnienia danych osobowych, które ten ostatni jest zobowiązany dostarczyć i udostępnić temu organowi na podstawie przepisów krajowych tego państwa członkowskiego, rozpoczyna proces „zbierania” tych danych w rozumieniu art. 4 pkt 2 rozporządzenia 2016/679.

38

Ponadto przekazanie i udostępnienie temu organowi rzeczonych danych przez zainteresowany podmiot gospodarczy wiąże się z „przetwarzaniem” w rozumieniu art. 4 pkt 2 tego rozporządzenia.

39

W drugiej kolejności należy zbadać, czy działanie, poprzez które organ podatkowy państwa członkowskiego stara się zebrać od podmiotu gospodarczego dane osobowe dotyczące niektórych podatników, może zostać uznane za wyłączone z zakresu stosowania rozporządzenia 2016/679 na podstawie art. 2 ust. 2 tego rozporządzenia.

40

W tym względzie należy na wstępie przypomnieć, że przepis ten przewiduje wyjątki dotyczące określonego w art. 2 ust. 1 tego rozporządzenia jego zakresu zastosowania oraz że wyjątki te powinny być interpretowane w sposób ścisły (wyrok z dnia 16 lipca 2020 r., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, pkt 84).

41

W szczególności art. 2 ust. 2 lit. d) rozporządzenia 2016/679 przewiduje, że rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych dokonywanego przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar.

42

Jak wynika z motywu 19 tego rozporządzenia, wyjątek ten jest uzasadniony tym, że przetwarzanie danych osobowych w takich celach i przez właściwe organy podlega szczególnemu aktowi Unii, a mianowicie dyrektywie 2016/680, która została przyjęta tego samego dnia co rozporządzenie 2016/679 i która definiuje w art. 3 pkt 7, co należy rozumieć przez „właściwy organ”, a definicję taką należy stosować analogicznie do art. 2 ust. 2 lit. d) tego rozporządzenia [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 69].

43

Z motywu 10 dyrektywy 2016/680 wynika, że pojęcie „właściwego organu” należy rozumieć w związku z ochroną danych osobowych w dziedzinie współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej, z uwzględnieniem zmian, które mogą okazać się niezbędne w tym względzie ze względu na szczególny charakter tych dziedzin. Ponadto motyw 11 tej dyrektywy mówi o tym, że rozporządzenie 2016/679 ma zastosowanie do przetwarzania danych osobowych dokonywanego przez „właściwy organ” w rozumieniu art. 3 pkt 7 tej dyrektywy, lecz do celów innych niż w niej przewidziane [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 70].

44

W związku z tym nie wydaje się, aby w sytuacji gdy organ podatkowy państwa członkowskiego zwraca się do podmiotu gospodarczego o przekazanie mu danych osobowych dotyczących niektórych podatników w celu poboru podatku i zwalczania przestępstw podatkowych, ów organ mógł zostać uznany za „właściwy organ” w rozumieniu art. 3 pkt 7 dyrektywy 2016/680, a związku z tym, aby takie wnioski o udzielenie informacji mogły być objęte wyjątkiem przewidzianym w art. 2 ust. 2 lit. d) rozporządzenia 2016/679.

45

Ponadto, nawet jeśli nie można wykluczyć wykorzystania danych osobowych, o których mowa w postępowaniu głównym, w kontekście postępowań karnych, które mogłyby zostać wszczęte przeciwko niektórym osobom w przypadku podejrzenia popełnienia przestępstwa skarbowego, nie wydaje się, żeby owe dane był zgromadzone w szczególnym celu prowadzenia takich postępowań karnych lub w ramach działalności państwa w obszarach prawa karnego (zob. podobnie wyrok z dnia 27 września 2017 r., Puškár, C‑73/16, EU:C:2017:725, pkt 40).

46

W związku z tym zbieranie przez organ podatkowy państwa członkowskiego danych osobowych dotyczących ogłoszeń sprzedaży pojazdów publikowanych na stronie internetowej podmiotu gospodarczego jest objęte przedmiotowym zakresem stosowania rozporządzenia 2016/679 i w konsekwencji organ ten musi przestrzegać w szczególności zasad dotyczących przetwarzania danych osobowych, określonych w art. 5 tego rozporządzenia.

47

W świetle wszystkich powyższych rozważań na pytanie pierwsze należy odpowiedzieć, że przepisy rozporządzenia 2016/679 należy interpretować w ten sposób, że wymogom tego rozporządzenia, a w szczególności tym, o których mowa w jego art. 5 ust. 1, podlega zbieranie od podmiotu gospodarczego przez organ podatkowy państwa członkowskiego informacji zawierających znaczną ilość danych osobowych.

48

Poprzez pytanie drugie sąd odsyłający dąży w istocie do ustalenia, czy przepisy rozporządzenia 2016/679 należy interpretować w ten sposób, że organ podatkowy państwa członkowskiego może odstąpić od stosowania przepisów art. 5 ust. 1 tego rozporządzenia, nawet jeśli takie prawo nie zostało mu przyznane na mocy prawa krajowego tego państwa członkowskiego.

49

Na wstępie należy przypomnieć, że jak wynika z motywu 10 rozporządzenia 2016/679, akt ten ma na celu w szczególności zapewnienie wysokiego poziomu ochrony osób fizycznych w Unii.

50

W tym kontekście rozdziały II i III rozporządzenia 2016/679 określają odpowiednio zasady dotyczące przetwarzania danych osobowych oraz prawa osoby, której dane dotyczą, jakie powinny być przestrzegane przy każdym przetwarzaniu danych osobowych. W szczególności każde przetwarzanie danych osobowych powinno być zgodne z zasadami dotyczącymi przetwarzania takich danych, określonymi w art. 5 wspomnianego rozporządzenia (zob. podobnie wyrok z dnia 6 października 2020 r., La Quadrature du Net i in., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 208).

51

Artykuł 23 rozporządzenia 2016/679 upoważnia jednak Unię i państwa członkowskie do przyjmowania „aktów prawnych” ograniczających zakres obowiązków i praw przewidzianych w szczególności w art. 5 tego rozporządzenia – o ile przepisy takich aktów odpowiadają prawom i zobowiązaniom przewidzianym w art. 12–22 tego rozporządzenia – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym ważnym celom leżącym w ogólnym interesie publicznym Unii lub danego państwa członkowskiego, takim jak w szczególności ważny interes gospodarczy lub finansowy, między innymi w dziedzinach budżetowych i podatkowych.

52

W tym względzie z motywu 41 rozporządzenia 2016/679 wynika, że zawarte w tym rozporządzeniu odniesienie do „aktu prawnego” niekoniecznie oznacza, że wymagane jest przyjęcie aktu prawnego przez parlament.

53

Niemniej jednak należy przypomnieć, że – jak stanowi motyw 4 rozporządzenia 2016/679 – rozporządzenie to nie narusza praw podstawowych, wolności i zasad uznanych w karcie oraz zapisanych w traktatach, do których należy w szczególności ochrona danych osobowych.

54

Tymczasem zgodnie z art. 52 ust. 1 zdanie pierwsze karty wszelkie ograniczenia w korzystaniu z uznanych w tym akcie praw i wolności, do których należą między innymi prawo do poszanowania życia prywatnego, zagwarantowane w art. 7 karty, oraz prawo do ochrony danych osobowych, zapisane w art. 8 karty, muszą być przewidziane ustawą, co oznacza w szczególności, że podstawa prawna umożliwiająca ingerencję w te prawa powinna sama określać zakres ograniczenia wykonywania danego prawa (zob. podobnie wyrok z dnia 6 października 2020 r., Privacy International, C‑623/17, EU:C:2020:790, pkt 65 i przytoczone tam orzecznictwo).

55

W tym względzie Trybunał orzekł ponadto, że uregulowanie zawierające środek umożliwiający taką ingerencję musi zawierać jasne i precyzyjne przepisy regulujące zakres i sposób stosowania takiego środka oraz ustanawiające minimalne wymogi służące temu, aby osoby, których dane osobowe zostały przekazane, miały wystarczające gwarancje pozwalające na skuteczną ochronę tych danych przed ryzykiem nadużyć (zob. podobnie wyrok z dnia 2 marca 2021 r., Prokuratuur (Warunki dostępu do danych dotyczących łączności elektronicznej), C‑746/18, EU:C:2021:152, pkt 48 i przytoczone tam orzecznictwo].

56

W konsekwencji, jak podkreślił zresztą prawodawca Unii w motywie 41 rozporządzenia 2016/679, każdy akt prawny przyjęty na podstawie art. 23 tego rozporządzenia powinien być jasny i precyzyjny, a jego stosowanie przewidywalne dla osób mu podlegających. W szczególności osoby te powinny być w stanie określić okoliczności i warunki, w jakich zakres praw przyznanych im przez wspomniane rozporządzenie może podlegać ograniczeniu.

57

Z powyższych rozważań wynika, że organ podatkowy państwa członkowskiego nie może odstąpić od stosowania przepisów art. 5 rozporządzenia 2016/679 w braku jasnej i precyzyjnej podstawy prawnej w prawie Unii lub w prawie krajowym, której stosowanie jest przewidywalne dla jednostek oraz która określa okoliczności i warunki, w których zakres obowiązków i praw przewidzianych we wspomnianym art. 5 może zostać ograniczony.

58

W związku z tym na pytanie drugie należy odpowiedzieć, że przepisy rozporządzenia 2016/679 należy interpretować w ten sposób, że organ podatkowy państwa członkowskiego nie może odstąpić od stosowania przepisów art. 5 ust. 1 tego rozporządzenia, w sytuacji gdy takie prawo nie zostało mu przyznane na mocy aktu prawnego w rozumieniu art. 23 ust. 1 wskazanego rozporządzenia.

59

Poprzez pytania od trzeciego do dziewiątego, które należy przeanalizować łącznie, sąd odsyłający dąży w istocie do ustalenia, czy przepisy rozporządzenia 2016/679 należy interpretować w ten sposób, że stoją one na przeszkodzie nałożeniu przez organ podatkowy państwa członkowskiego na podmiot świadczący usługi w zakresie publikacji ogłoszeń w Internecie obowiązku przekazywania temu organowi przez nieokreślony czas informacji dotyczących wszystkich podatników, którzy opublikowali ogłoszenia w jednej z rubryk portalu internetowego prowadzonego przez ten podmiot, w sytuacji gdy organ podatkowy nie sprecyzował celu tego wniosku o udzielenie informacji.

60

Na wstępie należy zauważyć, że w sytuacji takiej jak rozpatrywana w postępowaniu głównym mogą mieć miejsce dwa rodzaje przetwarzania danych osobowych. Jak wynika z pkt 37 i 38 niniejszego wyroku, mamy tu do czynienia z dokonywanym przez organ podatkowy zbieraniem danych osobowych od danego usługodawcy, a w związku z tym z przekazywaniem tych danych organowi podatkowemu przez tego usługodawcę.

61

Jak wynika z orzecznictwa przytoczonego w pkt 50 niniejszego wyroku, z zastrzeżeniem odstępstw dopuszczonych w art. 23 rozporządzenia 2016/679, każda z tych operacji przetwarzania powinna być zgodna z zasadami dotyczącymi przetwarzania danych osobowych określonymi w art. 5 tego rozporządzenia, jak również respektować prawa osoby, której dane dotyczą, określone w art. 12–22 wskazanego aktu prawnego.

62

W niniejszej sprawie wątpliwości sądu odsyłającego budzą w szczególności okoliczności, po pierwsze, że operacje przetwarzania wskazane w pkt 60 niniejszego wyroku dotyczą informacji w nieokreślonej liczbie, odnoszących się do nieokreślonego okresu, a po drugie, że cel tego przetwarzania nie został sprecyzowany w treści żądania przekazania informacji.

63

W tym względzie należy w pierwszej kolejności podkreślić, że art. 5 ust. 1 lit. b) rozporządzenia 2016/679 przewiduje w szczególności, że dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach.

64

Przede wszystkim wymóg, aby cele przetwarzania były konkretne, oznacza, jak wynika z motywu 39 tego rozporządzenia, że należy je określić najpóźniej w momencie zbierania danych osobowych.

65

Poza tym cele przetwarzania powinny być wyraźne, co oznacza, że należy je jasno wskazać.

66

Wreszcie cele te muszą być zgodne z prawem. Konieczne jest zatem zapewnienie przetwarzania w sposób zgodny z prawem w rozumieniu art. 6 ust. 1 rzeczonego rozporządzenia.

67

Przetwarzanie, o którym mowa w pkt 60 niniejszego wyroku, zostaje rozpoczęte poprzez wystosowanie przez łotewski organ podatkowy do podmiotu świadczącego usługi w zakresie publikowania ogłoszeń w Internecie żądania przekazania danych osobowych. Wydaje się w tym względzie, że zgodnie z art. 15 ust. 6 ustawy o podatkach i opłatach usługodawca ten jest zobowiązany do spełnienia takiego żądania.

68

W świetle rozważań przedstawionych w pkt 64 i 65 niniejszego wyroku konieczne jest, aby cele tego przetwarzania zostały jasno określone w treści żądania.

69

O ile cele określone w ten sposób w treści owego żądania są niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej organowi podatkowemu, okoliczność ta – jak wynika z art. 6 ust. 1 akapit pierwszy i lit. e) rozporządzenia 2016/679 w związku z art. 6 ust. 3 akapit drugi tego rozporządzenia – wystarczy, by przetwarzanie to spełniało również wymóg zgodności z prawem, o którym przypomniano w pkt 66 niniejszego wyroku.

70

W tym względzie należy przypomnieć, że pobór podatku i zwalczanie przestępstw podatkowych należy uznać za zadania realizowane w interesie publicznym w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) rozporządzenia 2016/679 (zob. analogicznie wyrok z dnia 27 września 2017 r., Puškár, C‑73/16, EU:C:2017:725, pkt 108).

71

Wynika z tego, że w przypadku gdy przekazanie danych osobowych nie jest bezpośrednio oparte na przepisie prawnym stanowiącym jego podstawę, lecz wynika z żądania właściwego organu władzy publicznej, konieczne jest, aby w treści tego żądania określono konkretne cele tego zbierania danych z punktu widzenia zadania realizowanego w interesie publicznym lub sprawowania władzy publicznej, tak aby adresat owego żądania mógł upewnić się, że przekazanie danych osobowych jest zgodne z prawem oraz aby sądy krajowe mogły przeprowadzić kontrolę zgodności z prawem danej operacji przetwarzania.

72

W drugiej kolejności zgodnie z art. 5 ust. 1 lit. c) rozporządzenia 2016/679 dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.

73

W tym względzie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem odstępstwa i ograniczenia zasady ochrony takich danych powinny być stosowane w granicach tego, co jest ściśle konieczne [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 110 i przytoczone tam orzecznictwo].

74

Wynika z tego, że administrator danych, również wówczas, gdy działa w ramach powierzonego mu zadania realizowanego w interesie publicznym, nie może zbierać danych osobowych w sposób ogólny i niezróżnicowany oraz że powinien on powstrzymać się od zbierania danych, które nie są absolutnie niezbędne z punktu widzenia celów przetwarzania.

75

W niniejszej sprawie należy zauważyć, że – jak wynika z pkt 17–19 niniejszego wyroku – łotewski organ podatkowy zwrócił się do zainteresowanego podmiotu gospodarczego o dostarczenie mu danych dotyczących ogłoszeń sprzedaży samochodów osobowych opublikowanych na jego stronie internetowej w okresie od dnia 14 lipca do dnia 31 sierpnia 2018 r., a w wypadku gdyby dostęp do tych informacji nie mógł zostać przywrócony, o dostarczanie mu najpóźniej trzeciego dnia każdego miesiąca danych dotyczących ogłoszeń sprzedaży samochodów osobowych opublikowanych na jego stronie internetowej w ciągu trzech ostatnich miesięcy, przy czym to drugie żądanie nie zostało w żaden sposób ograniczone w czasie.

76

W świetle rozważań przedstawionych w pkt 74 niniejszego wyroku do sądu odsyłającego należy zbadanie, czy cel zbierania tych danych może zostać osiągnięty bez potencjalnego dostępu łotewskiego organu podatkowego do danych dotyczących wszystkich ogłoszeń sprzedaży samochodów osobowych opublikowanych na stronie internetowej tego podmiotu gospodarczego, a w szczególności czy możliwe jest, że organ ten wyselekcjonuje określone ogłoszenia na podstawie konkretnych kryteriów.

77

W tym kontekście należy podkreślić, że zgodnie z zasadą odpowiedzialności ustanowioną w art. 5 ust. 2 rozporządzenia 2016/679 administrator danych powinien być w stanie wykazać, że przestrzega określonych w ust. 1 tego artykułu zasad dotyczących przetwarzania danych osobowych.

78

W związku z tym to łotewski organ podatkowy powinien wykazać, że zgodnie z art. 25 ust. 2 tego rozporządzenia dążył, w miarę możliwości, do minimalizacji ilości danych osobowych, które mają zostać zebrane.

79

Co się tyczy okoliczności, że wystosowany przez łotewski organ podatkowy wniosek o udzielenie informacji nie przewiduje – w przypadku nieprzywrócenia przez dany podmiot świadczący usługi w zakresie publikacji ogłoszeń dostępu do ogłoszeń opublikowanych w okresie objętym tym wnioskiem – żadnego ograniczenia czasowego, należy przypomnieć, że biorąc pod uwagę zasadę minimalizacji danych, administrator danych jest również zobowiązany ograniczyć do niezbędnego minimum, w świetle zamierzonego celu przetwarzania danych, okres zbierania przedmiotowych danych osobowych.

80

W związku z tym okres, w odniesieniu do którego dane są zbierane, nie może przekraczać czasu, jaki jest absolutnie niezbędny do osiągnięcia zamierzonego celu leżącego w interesie ogólnym.

81

Jak wynika z pkt 77 niniejszego wyroku, ciężar dowodu w tym zakresie spoczywa na łotewskim organie podatkowym.

82

Jednakże okoliczność, że rzeczone dane są zbierane bez określenia przez łotewski organ podatkowy, w treści samego wniosku o udzielenie informacji, ograniczenia czasowego dla takiego przetwarzania, nie pozwala sama w sobie na uznanie, że czas trwania przetwarzania przekracza okres absolutnie niezbędny do osiągnięcia zamierzonego celu.

83

W tym kontekście należy jednak przypomnieć, że aby spełnić wymóg proporcjonalności wyrażony w art. 5 ust. 1 lit. c) rozporządzenia 2016/679 [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 98 i przytoczone tam orzecznictwo], uregulowanie, na podstawie którego ma miejsce przetwarzanie, musi zawierać jasne i precyzyjne przepisy regulujące zakres i sposób stosowania danego środka oraz ustanawiające minimalne wymogi służące temu, aby osoby, o których dane osobowe chodzi, miały wystarczające gwarancje pozwalające na skuteczną ochronę tych danych przed ryzykiem nadużyć. Uregulowanie to musi być prawnie wiążące w prawie wewnętrznym i w szczególności wskazywać, w jakich okolicznościach i pod jakimi warunkami można przyjąć środek przewidujący przetwarzanie takich danych, gwarantując w ten sposób, że ingerencja zostanie ograniczona do tego, co absolutnie niezbędne (wyrok z dnia 6 października 2020 r., Privacy International, C‑623/17, EU:C:2020:790, pkt 68 i przytoczone tam orzecznictwo).

84

Wynika z tego, że uregulowania krajowe odnoszące się do wniosku o udzielenie informacji, takiego jak rozpatrywany w postępowaniu głównym, muszą opierać się na obiektywnych kryteriach, tak aby możliwe było określenie okoliczności i warunków, w jakich podmiot świadczący usługi online jest zobowiązany do przekazywania danych osobowych dotyczących osób korzystających z tych usług (zob. podobnie wyrok z dnia 6 października 2020 r., Privacy International, C‑623/17, EU:C:2020:790, pkt 78 i przytoczone tam orzecznictwo).

85

W świetle wszystkich powyższych rozważań na pytania od trzeciego do dziewiątego należy odpowiedzieć, że przepisy rozporządzenia 2016/679 należy interpretować w ten sposób, iż nie stoją one na przeszkodzie nałożeniu przez organ podatkowy państwa członkowskiego na podmiot świadczący usługi w zakresie publikacji ogłoszeń w Internecie obowiązku przekazywania temu organowi informacji dotyczących podatników, którzy opublikowali ogłoszenia w jednej z rubryk portalu internetowego prowadzonego przez ten podmiot, pod warunkiem że dane te są niezbędne w świetle konkretnych celów, do których są one zbierane, i że okres, w odniesieniu do którego owe dane są zbierane, nie przekracza czasu, jaki jest absolutnie niezbędny do osiągnięcia zamierzonego celu interesu ogólnego.

86

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (piąta izba) orzeka, co następuje: