–

pentru Nemzeti Adatvédelmi és Információszabadság Hatóság, de G. J. Dudás, ügyvéd;

–

pentru UC, de D. Karsai și V. Łuszcz, ügyvédek;

–

pentru guvernul maghiar, de Zs. Biró‑Tóth și M. Z. Fehér, în calitate de agenți;

–

pentru guvernul ceh, de L. Březinová, M. Smolek și J. Vláčil, în calitate de agenți;

–

pentru Comisia Europeană, de A. Bouchagiar, C. Kovács și H. Kranenborg, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolului 14 alineatul (1) și alineatul (5) litera (c), a articolului 32, precum și a articolului 77 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2

Această cerere a fost formulată în cadrul unui litigiu între Nemzeti Adatvédelmi és Információszabadság Hatóság (Autoritatea Națională pentru Protecția Datelor și Libertatea Informațională, Ungaria) (denumită în continuare „autoritatea națională”), pe de o parte, și UC, pe de altă parte, în legătură cu existența unei obligații de informare cu privire la prelucrarea datelor cu caracter personal pe care o are Budapest Főváros Kormányhivatala (Serviciile Administrative din Budapesta‑Capitală, Ungaria) (denumite în continuare „autoritatea administrativă emitentă”), însărcinată cu eliberarea certificatelor de imunitate persoanelor vaccinate împotriva COVID-19 sau care au contractat această boală.

3

Potrivit considerentelor (1), (10) și (61)-(63) ale RGPD:

[…]

[…]

4

Articolul 1 din acest regulament, intitulat „Obiect și obiective”, prevede la alineatul (2):

„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal.”

5

Articolul 4 din regulamentul menționat, intitulat „Definiții”, prevede:

„În sensul prezentului regulament:

[…]

[…]”

6

Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, prevede la alineatul (1):

„Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

[…]

[…]”

7

Articolul 9 din acest regulament, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, prevede la alineatele (1) și (2):

„(1)   Se interzice prelucrarea de date cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate și prelucrarea de date genetice, de date biometrice pentru identificarea unică a unei persoane fizice, de date privind sănătatea sau de date privind viața sexuală sau orientarea sexuală ale unei persoane fizice.

(2)   Alineatul (1) nu se aplică în următoarele situații:

[…]

[…]”

8

Capitolul III din RGPD, intitulat „Drepturile persoanei vizate”, cuprinde mai multe secțiuni, printre care secțiunea 2 intitulată „Informare și acces la datele cu caracter personal”.

9

În această secțiune 2 din RGPD se găsesc articolul 13 referitor la „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, articolul 14 referitor la „Informații care se furnizează în cazul în care datele cu caracter personal nu au fost colectate de la persoana vizată” și articolul 15 referitor la „Dreptul de acces al persoanei vizate”.

10

Potrivit articolului 14 din acest regulament:

„(1)   În cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul furnizează persoanei vizate următoarele informații:

(2)   Pe lângă informațiile menționate la alineatul (1), operatorul furnizează persoanei vizate următoarele informații necesare pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată:

[…]

(4)   În cazul în care operatorul intenționează să prelucreze ulterior datele cu caracter personal într‑un alt scop decât cel pentru care acestea au fost obținute, operatorul furnizează persoanei vizate, înainte de această prelucrare ulterioară, informații privind scopul secundar respectiv și orice informații suplimentare relevante, în conformitate cu alineatul (2).

(5)   Alineatele (1)-(4) nu se aplică dacă și în măsura în care:

11

Articolul 32 din regulamentul menționat, intitulat „Securitatea prelucrării”, are următorul cuprins:

„(1)   Având în vedere stadiul actual al dezvoltării, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu diferite grade de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, incluzând printre altele, după caz:

(2)   La evaluarea nivelului adecvat de securitate, se ține seama în special de riscurile prezentate de prelucrare, generate în special, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate într‑un alt mod.

(3)   Aderarea la un cod de conduită aprobat, menționat la articolul 40, sau la un mecanism de certificare aprobat, menționat la articolul 42, poate fi utilizată ca element prin care să se demonstreze îndeplinirea cerințelor prevăzute la alineatul (1) din prezentul articol.

(4)   Operatorul și persoana împuternicită de acesta iau măsuri pentru a asigura faptul că orice persoană fizică care acționează sub autoritatea operatorului sau a persoanei împuternicite de operator și care are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului, cu excepția cazului în care această obligație îi revine în temeiul dreptului Uniunii sau al dreptului intern.”

12

Articolul 55 din același regulament, intitulat „Competența”, prevede la alineatul (1):

„Fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu prezentul regulament pe teritoriul statului membru de care aparține.”

13

Articolul 57 din RGPD, intitulat „Sarcini”, prevede la alineatul (1):

„Fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament, fiecare autoritate de supraveghere, pe teritoriul său:

[…]

[…]”

14

Articolul 58 din acest regulament, intitulat „Competențe”, prevede la alineatul (3):

„Fiecare autoritate de supraveghere are toate următoarele competențe de autorizare și de consiliere:

[…]

[…]”

15

Articolul 77 din regulamentul menționat, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede la alineatul (1):

„Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.”

16

Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, are următorul cuprins:

„(1)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.

(2)   Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77.

(3)   Acțiunile introduse împotriva unei autorități de supraveghere sunt aduse în fața instanțelor din statul membru în care este stabilită autoritatea de supraveghere.

(4)   În cazul în care acțiunile sunt introduse împotriva unei decizii a unei autorități de supraveghere care a fost precedată de un aviz sau o decizie a comitetului în cadrul mecanismului pentru asigurarea coerenței, autoritatea de supraveghere transmite curții avizul respectiv sau decizia respectivă.”

17

Articolul 10 din Regulamentul (UE) 2021/953 al Parlamentului European și al Consiliului din 14 iunie 2021 privind cadrul pentru eliberarea, verificarea și acceptarea certificatelor interoperabile de vaccinare, testare și vindecare de COVID-19 (certificatul digital al UE privind COVID) pentru a facilita libera circulație pe durata pandemiei de COVID-19 (JO 2021, L 211, p. 1), intitulat „Protecția datelor cu caracter personal”, prevedea la alineatul (1):

„[RGPD] se aplică prelucrării datelor cu caracter personal efectuate la punerea în aplicare a prezentului regulament.”

18

Potrivit articolului 2 alineatul 1 din a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet [Decretul guvernamental 60/2021 (II.12.) privind certificatul de imunitate împotriva coronavirusului] din 12 februarie 2021, în versiunea aplicabilă în litigiul principal (denumit în continuare „Decretul 60/2021”):

„Certificatul de imunitate trebuie să conțină:

19

În conformitate cu articolul 2 alineatele 6 și 7 din Decretul nr. 60/2021, certificatul de imunitate este eliberat de administrația emitentă din oficiu sau la cerere oricărei persoane fizice abilitate să îl primească.

20

Articolul 3 alineatul 3 din acest decret prevede:

„În cazurile menționate la articolul 2 alineatul 6 literele c) și d), [Serviciile Administrative din Budapesta] colectează, prin transmiterea automată de informații – dacă este necesar, prin intermediul serviciilor competente ale összerendelési nyilvántartás [(Registrul de gestionare electronică a datelor de identificare, Ungaria)] –

21

UC, o persoană fizică, a primit din partea administrației în temeiul Decretului nr. 60/2021 un certificat de imunitate care atestă vaccinarea sa împotriva COVID-19.

22

La 30 aprilie 2021, UC a declanșat o procedură administrativă în legătură cu prelucrarea datelor cu caracter personal care îl privesc depunând la autoritatea națională o plângere în temeiul articolului 77 alineatul (1) din RGPD, astfel încât să se dea dispoziție ca administrația emitentă să asigure conformitatea operațiunilor sale de prelucrare cu dispozițiile RGPD. În plângerea sa, reclamantul a criticat autoritatea administrativă emitentă printre altele pentru că nu a întocmit și publicat o declarație în legătură cu protecția datelor cu caracter personal legate de eliberarea certificatelor de imunitate și susține că nu existau suficiente informații cu privire la scopul și la temeiul juridic al prelucrării acestor date și nici cu privire la drepturile de care beneficia persoana vizată și la modul în care le putea exercita.

23

În cadrul procedurii declanșate pe baza acestei plângeri, autoritatea administrativă emitentă a declarat că își îndeplinea sarcinile legate de eliberarea certificatului de imunitate în temeiul articolului 2 din Decretul 60/2021, prelucrarea datelor cu caracter personal având ca temei juridic articolul 6 alineatul (1) litera (e) din RGPD, precum și articolul 9 alineatul (2) litera (i) din acest regulament în ceea ce privește prelucrarea datelor cu caracter personal încadrabile în categorii speciale.

24

În plus, autoritatea administrativă emitentă a indicat că datele cu caracter personal pe care le prelucra le obținea de la un alt organism în conformitate cu dispozițiile Decretului 60/2021. Plecând de la această realitate, ea a afirmat că, potrivit articolului 14 alineatul (5) litera (c) din RGPD, nu era obligată să furnizeze informații privind prelucrarea acestor date. Ea a redactat și publicat totuși pe site‑ul său internet declarația în legătură cu protecția datelor cu caracter personal solicitată.

25

Prin decizia din 15 noiembrie 2021, autoritatea națională a respins cererea lui UC și a constatat că nu exista o obligație de informare în sarcina autorității administrative emitente, deoarece prelucrarea datelor cu caracter personal în cauză se încadra la excepția prevăzută la articolul 14 alineatul (5) litera (c) din RGPD.

26

În special, această autoritate a considerat că Decretul 60/2021 constituia temeiul juridic al prelucrării și că el impunea expres autorității administrative emitente să colecteze datele în cauză. Potrivit autorității naționale, publicarea informațiilor privind prelucrarea datelor cu caracter personal de către autoritatea administrativă emitentă pe site‑ul său internet constituia o bună practică, iar nu o obligație legală.

27

În plus, autoritatea națională a examinat din oficiu dacă existau măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate, în sensul articolului 14 alineatul (5) litera (c) a doua alternativă din RGPD, și a apreciat că trebuie luate în considerare în acest sens articolele 2, 3 și 5-7 din Decretul 60/2021.

28

UC a introdus o acțiune administrativă împotriva acestei decizii la Fővárosi Törvényszék (Curtea din Budapesta‑Capitală, Ungaria) care a anulat decizia menționată și a dispus ca această autoritate să înceapă o nouă procedură.

29

În hotărârea sa, această instanță a considerat că excepția prevăzută la articolul 14 alineatul (5) litera (c) din RGPD nu era aplicabilă, întrucât anumite date cu caracter personal prezentate în legătură cu certificatele de imunitate nu erau obținute de operator de la un alt organism, ci erau generate chiar de acest operator în cadrul sarcinilor pe care le îndeplinește. Potrivit instanței amintite, aceasta era situația în ceea ce privea numărul de serie al certificatului de imunitate data de expirare a certificatului eliberat unei persoane care a contractat boala, codul QR de pe card, codul de bare și celelalte coduri alfanumerice de pe scrisoarea de predare a certificatului, precum și datele cu caracter personal generate de procesul de gestionare a dosarelor operatorului. În opinia aceleiași instanțe, numai datele cu caracter personal obținute de la un alt organism puteau face obiectul excepției prevăzute la articolul 14 alineatul (5) litera (c) din RGPD.

30

Împotriva acestei hotărâri, autoritatea națională a sesizat Kúria (Curtea Supremă, Ungaria), care este instanța de trimitere, cu o cale de atac extraordinară.

31

În acest context, instanța menționată ridică mai întâi problema dacă excepția prevăzută la articolul 14 alineatul (5) litera (c) din RGPD este aplicabilă tuturor prelucrărilor de date cu caracter personal, cu excluderea celor care privesc datele cu caracter personal colectate de la persoana vizată.

32

În caz afirmativ, instanța ridică problema dacă autoritatea de supraveghere, la soluționarea unei plângeri formulate în temeiul articolului 77 alineatul (1) din RGPD, este competentă să verifice, pentru a se pronunța cu privire la aplicabilitatea acestei excepții, dacă dreptul național sub incidența căruia intră operatorul prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.

33

În cazul unui răspuns afirmativ, instanța de trimitere dorește să afle în cele din urmă dacă această verificare privește și caracterul adecvat al măsurilor pe care operatorul este obligat, în temeiul articolului 32 din RGPD, să le pună în aplicare pentru a garanta securitatea prelucrării datelor cu caracter personal.

34

În aceste condiții, Kúria (Curtea Supremă), a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

35

La 16 ianuarie 2024, Curtea a invitat părțile și persoanele interesate prevăzute la articolul 23 din Statutul Curții de Justiție a Uniunii Europene să răspundă la anumite întrebări în scris, în temeiul articolului 61 din Regulamentul de procedură al Curții. Au răspuns la aceste întrebări reclamanta și pârâtul din litigiul principal, guvernele maghiar și ceh, precum și Comisia Europeană.

36

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 14 alineatul (5) litera (c) din RGPD trebuie interpretat în sensul că excepția referitoare la obligația operatorului de informare a persoanei vizate, prevăzută de această dispoziție, privește numai datele cu caracter personal pe care operatorul le‑a colectat de la o altă persoană decât persoana vizată sau dacă se referă și la datele cu caracter personal pe care acest operator le‑a generat el însuși în cursul îndeplinirii sarcinilor sale.

37

Articolul 14 alineatele (1), (2) și (4) din acest regulament stabilește informațiile pe care operatorul este obligat să le furnizeze persoanei vizate, în sensul articolului 4 punctul 1 din același regulament, atunci când datele cu caracter personal nu au fost colectate de la această persoană.

38

Articolul 14 alineatul (5) din același regulament prevede excepții de la această obligație. Printre aceste excepții, litera (c) a alineatului (5) menționat prevede că obligația menționată nu se aplică în cazul și în măsura în care obținerea sau divulgarea informațiilor este prevăzută în mod expres de dreptul Uniunii sau de dreptul intern sub incidența căruia intră operatorul și care prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.

39

Pentru a stabili dacă această excepție se aplică în cazul datelor cu caracter personal generate de operatorul însuși în cadrul exercitării sarcinilor sale, pe baza datelor obținute de la o altă persoană decât persoana vizată, este necesar, potrivit unei jurisprudențe constante, să se țină seama nu numai de termenii dispoziției care o prevede, ci și de contextul acestei dispoziții și de obiectivele urmărite de reglementarea din care face parte excepția (a se vedea în acest sens Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 32 și jurisprudența citată).

40

În primul rând, trebuie să se stabilească, având în vedere modul de redactare a articolului 14 alineatul (5) litera (c) din RGPD, obiectul „obținerii sau divulgării” avut în vedere de această dispoziție.

41

Astfel, primo, există o divergență între diferitele versiuni lingvistice ale dispoziției menționate. Versiunea în limba franceză a dispoziției menționate face referire la obținerea sau divulgarea „informations”, în timp ce, mai întâi, versiunile în limbile maghiară („adat”), estonă („isikuandmed”), croată („podataka”), lituaniană („duomenų”), neerlandeză („gegevens”), portugheză („dados”), română („datelor”), precum și suedeză („uppgifter”) fac referire la obținerea sau la divulgarea „datelor”, apoi versiunea în limba finlandeză conține un termen („tietojen”) care poate viza atât „date”, cât și „informații” și, în sfârșit, versiunile în limbile bulgară, spaniolă, cehă, daneză, germană, greacă, engleză, italiană, letonă, malteză, polonă, slovacă și slovenă nu menționează obiectul obținerii sau al divulgării.

42

Or, conform unei jurisprudențe de asemenea constante, formularea utilizată în una dintre versiunile lingvistice ale unei dispoziții a dreptului Uniunii nu poate constitui singura bază de interpretare a acestei dispoziții și nici nu se poate atribui respectivei formulări un caracter prioritar în raport cu celelalte versiuni lingvistice. Dispozițiile dreptului Uniunii trebuie, așadar, să fie interpretate și aplicate în mod uniform, în lumina versiunilor existente în toate limbile Uniunii. În caz de neconcordanță între diferitele versiuni lingvistice ale unui text al dreptului Uniunii, dispoziția în cauză trebuie să fie interpretată în funcție de economia generală și de finalitatea reglementării din care face parte (Hotărârea din 21 martie 2024, Cobult, C‑76/23, EU:C:2024:253, punctul 25 și jurisprudența citată).

43

În ceea ce privește economia generală a RGPD, articolul 14 alineatul (5) din acest regulament trebuie interpretat în lumina considerentelor (61) și (62) ale acestuia, care fac referire, pe de o parte, la „datele cu caracter personal […] obținute și la datele cu caracter personal […] divulgate”, precum și la „înregistrarea sau divulgarea datelor cu caracter personal […] prevăzute în mod expres de lege” și, pe de altă parte, la „informațiile […] furnizate” sau „care se furnizează”. Interpretarea potrivit căreia „obținerea sau divulgarea”, în sensul articolului 14 alineatul (5) litera (c) din RGPD, vizează date cu caracter personal este confirmată în plus de domeniul de aplicare larg al noțiunii de „prelucrare”, în sensul articolului 4 punctul 2 din RGPD, care reglementează orice operațiune aplicată datelor cu caracter personal [a se vedea în acest sens Hotărârea din 5 octombrie 2023, Ministerstvo zdravotnictví (Aplicare mobilă COVID-19), C‑659/22, EU:C:2023:745, punctul 27 și jurisprudența citată].

44

În ceea ce privește finalitatea reglementării din care face parte articolul 14 alineatul (5) litera (c) din RGPD, este suficient să se observe, astfel cum a procedat doamna avocată generală la punctul 31 din concluzii, că ratio legis a acestei excepții constă în faptul că obligația de informare a persoanei vizate impusă de articolul 14 alineatele (1), (2) și (4) din acest regulament nu se justifică atunci când o altă dispoziție a dreptului Uniunii sau a dreptului unui stat membru impune operatorului, în mod suficient de complet și obligatoriu, să îi furnizeze acestei persoane informații referitoare la obținerea sau la divulgarea datelor cu caracter personal. Astfel, în ipoteza care face obiectul acestui articol 14 alineatul (5) litera (c), persoanele vizate trebuie să cunoască suficient modalitățile și scopurile obținerii sau divulgării acestor date.

45

În consecință, este necesar să se considere, având în vedere modul de redactare a articolului 14 alineatul (5) litera (c) din RGPD în toate versiunile sale lingvistice, că această dispoziție trebuie înțeleasă ca referindu‑se la obținerea sau la comunicarea datelor cu caracter personal.

46

Secundo, trebuie să se constate că modul de redactare a articolului 14 alineatul (5) litera (c) din RGPD nu limitează excepția pe care o prevede doar la datele cu caracter personal obținute de operator de la o altă persoană decât persoana vizată și nici nu exclude datele care au fost generate, pe baza unor astfel de date, chiar de operator în cadrul îndeplinirii sarcinilor sale.

47

Rezultă că toate datele cu caracter personal care au făcut obiectul unei „obțineri”, în sensul dispoziției menționate, de către operator sunt cele pe care acesta din urmă le colectează de la o altă persoană decât persoana vizată și cele pe care le‑a generat el însuși, în cadrul exercitării sarcinilor sale, pe baza datelor obținute de la o altă persoană decât persoana vizată.

48

În al doilea rând, trebuie să se observe că domeniul de aplicare material al articolului 14 din RGPD este definit în mod negativ în raport cu articolul 13 din acest regulament. Astfel cum reiese din chiar titlurile acestor dispoziții, acest articol 13 privește informațiile care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată, în timp ce acest articol 14 privește informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată. Având în vedere această dihotomie, toate situațiile în care datele nu sunt obținute de la persoana vizată intră în domeniul de aplicare material al articolului 14.

49

Prin urmare, din interpretarea coroborată a articolelor 13 și 14 din RGPD rezultă că atât datele cu caracter personal obținute de operator de la o altă persoană decât persoana vizată, cât și datele generate de operatorul însuși, care, prin natura lor, nu au fost obținute de la persoana vizată, intră în domeniul de aplicare al acestui articol 14. Rezultă că excepția prevăzută la articolul 14 alineatul (5) litera (c) menționat se aplică acestor două categorii de date.

50

În al treilea rând, articolul 14 alineatul (5) litera (c) din RGPD trebuie interpretat într‑un sens conform cu obiectivul urmărit de acest regulament, care constă printre altele, astfel cum reiese din articolul 1 din acesta raportat la considerentele (1) și (10) ale acestuia, în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din Carta drepturilor fundamentale și la articolul 16 alineatul (1) TFUE (a se vedea în acest sens Hotărârea din 7 martie 2024, IAB Europe, C‑604/22, EU:C:2024:214, punctul 53 și jurisprudența citată).

51

În această privință, din considerentul (63) al RGPD reiese că legiuitorul Uniunii a dorit ca o persoană vizată, în sensul acestui regulament, să dispună de dreptul de acces la datele cu caracter personal care au fost obținute în ceea ce o privește pentru a lua cunoștință de prelucrarea care se efectuează și pentru a verifica legalitatea acesteia.

52

Astfel, operatorul poate fi scutit de obligația sa de informare care îi revine în mod normal față de o persoană vizată, cu condiția ca această persoană să fie în măsură să aibă un control asupra datelor sale cu caracter personal și să își exercite drepturile pe care i le conferă RGPD.

53

În conformitate cu obiectivul urmărit de acest regulament, excepția de la obligația de informare a persoanei vizate, prevăzută la articolul 14 alineatul (5) litera (c) din RGPD, impune, pe de o parte, ca obținerea sau divulgarea datelor cu caracter personal de către operator să fie prevăzută în mod expres de dreptul Uniunii sau de dreptul intern sub incidența căruia intră acest operator. Pe de altă parte, acest drept trebuie să prevadă măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.

54

Rezultă că, pentru a fi pe deplin conformă cu obiectivul urmărit de RGPD, aplicarea articolului 14 alineatul (5) litera (c) din acest regulament este condiționată de respectarea strictă a condițiilor pe care le prevede această dispoziție, și anume printre altele existența unui nivel de protecție a persoanei vizate care să fie cel puțin echivalent cu cel garantat de articolul 14 alineatele (1)-(4) din regulamentul menționat.

55

Ținând seama de motivele care precedă, este necesar să se răspundă la prima întrebare că articolul 14 alineatul (5) litera (c) din RGPD trebuie interpretat în sensul că excepția referitoare la obligația operatorului de informare a persoanei vizate, prevăzută de această dispoziție, privește fără deosebire toate datele cu caracter personal pe care operatorul nu le‑a obținut în mod direct de la persoana vizată, indiferent dacă aceste date au fost obținute de operator de la o altă persoană decât persoana vizată sau dacă ele au fost generate de operatorul însuși în cadrul îndeplinirii sarcinilor sale.

56

Prin intermediul celei de a doua și al celei de a treia întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 14 alineatul (5) litera (c) și articolul 77 alineatul (1) din RGPD trebuie interpretate în sensul că, în cadrul procedurii de soluționare a unei plângeri, autoritatea de supraveghere are competența să verifice dacă dreptul intern sub incidența căruia intră operatorul prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate, în vederea aplicării excepției prevăzute la acest articol 14 alineatul (5) litera (c), și, în caz afirmativ, dacă această verificare se referă și la caracterul adecvat al măsurilor pe care operatorul este obligat să le pună în aplicare în temeiul articolului 32 din acest regulament pentru a garanta securitatea prelucrării datelor cu caracter personal.

57

În primul rând, trebuie amintit că, în temeiul articolului 77 alineatul (1) din RGPD, fără a aduce atingere niciunei alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere în cazul în care consideră că prelucrarea datelor cu caracter personal care o privesc încalcă acest regulament.

58

În ceea ce privește competența autorităților de supraveghere, articolul 55 alineatul (1) din regulamentul menționat prevede că fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu același regulament pe teritoriul statului membru de care aparține.

59

În ceea ce privește aceste sarcini, articolul 57 alineatul (1) litera (a) din RGPD prevede că fiecare autoritate de supraveghere, pe teritoriul său, monitorizează și asigură aplicarea acestui regulament.

60

RGPD nu conține nicio dispoziție de natură să înlăture din competența acestor autorități de supraveghere anumite aspecte ale aplicării excepției prevăzute la articolul 14 alineatul (5) litera (c) din acest regulament.

61

În temeiul acestei dispoziții, operatorul este scutit de obligația de a furniza persoanei vizate informațiile menționate la articolul 14 alineatele (1), (2) și (4) din RGPD în cazul și în măsura în care, pe de o parte, obținerea sau divulgarea datelor cu caracter personal este prevăzută în mod expres de dreptul Uniunii sau de dreptul intern sub incidența căruia intră operatorul și, pe de altă parte, acest drept prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate.

62

Prin urmare, o plângere formulată în temeiul articolului 77 alineatul (1) din RGPD poate avea la bază o încălcare a obligației operatorului de informare rezultând din nerespectarea condițiilor de aplicare a excepției prevăzute la articolul 14 alineatul (5) litera (c) din acest regulament.

63

În ceea ce privește prima condiție, amintită la punctul 61 din prezenta hotărâre, autoritatea de supraveghere sesizată cu o astfel de plângere poate fi pusă în situația de a verifica dacă dreptul Uniunii sau dreptul național prevede că operatorul trebuie să obțină sau să divulge date cu caracter personal.

64

În ceea ce privește a doua condiție, este necesar să se constate, după cum a procedat și doamna avocată generală la punctele 67 și 69 din concluzii, că domeniul de aplicare al expresiei „măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate” nu este precizat în RGPD. În aceste condiții, dispozițiile dreptului Uniunii sau ale dreptului statului membru care prevăd astfel de măsuri și sub incidența cărora intră operatorul trebuie să garanteze, astfel cum s‑a arătat la punctul 54 din prezenta hotărâre, un nivel de protecție a persoanei vizate în ceea ce privește prelucrarea datelor sale cu caracter personal care să fie cel puțin echivalent cu cel prevăzut la articolul 14 alineatele (1)-(4) din același regulament. Astfel, aceste dispoziții trebuie să fie de natură să permită persoanei vizate să exercite un control asupra datelor sale cu caracter personal și să își exercite drepturile pe care i le conferă RGPD.

65

În acest scop, este important în special ca dispozițiile respective să indice în mod clar și previzibil sursa de unde persoana vizată va obține informații cu privire la prelucrarea datelor cu caracter personal care o privesc.

66

În contextul transmiterii datelor cu caracter personal între organismele unui stat membru și al generării unor astfel de date de către un operator pornind de la datele obținute de la o altă persoană decât persoana vizată, trebuie arătat că, în situația în care aceasta din urmă formulează o plângere, va reveni autorității de supraveghere sarcina de a verifica printre altele dacă dreptul național sau dreptul relevant al Uniunii definește cu suficientă precizie diferitele tipuri de date cu caracter personal care trebuie obținute sau divulgate, precum și datele cu caracter personal pe care acesta ajunge să le genereze în cadrul îndeplinirii sarcinilor sale și dacă acest drept prevede modul în care persoana vizată are acces efectiv la informațiile menționate la articolul 14 alineatele (1), (2) și (4) din RGPD.

67

Astfel cum subliniază Comisia în observațiile scrise, verificarea de către o autoritate de supraveghere a îndeplinirii tuturor condițiilor de aplicare a excepției prevăzute la articolul 14 alineatul (5) litera (c) din RGPD nu face totuși parte dintr‑o examinare a validității dispozițiilor relevante de drept național. Această autoritate apreciază numai dacă, într‑un anumit caz, operatorul are sau nu dreptul să invoce față de persoana vizată excepția prevăzută de această dispoziție.

68

În ceea ce privește rezultatul unei asemenea verificări, trebuie amintit că, în temeiul articolului 78 din acest regulament, atunci când, într‑un caz anume, autoritatea de supraveghere decide că plângerea persoanei vizate este nefondată, aceasta din urmă trebuie să dispună în statul său membru de dreptul la o cale de atac jurisdicțională efectivă împotriva acestei decizii de respingere.

69

În schimb, atunci când această autoritate consideră că plângerea este fondată și că nu sunt îndeplinite condițiile de aplicare a excepției prevăzute la articolul 14 alineatul (5) litera (c) din regulamentul menționat, ea obligă operatorul să îi furnizeze persoanei vizate informațiile, în conformitate cu articolul 14 alineatele (1), (2) și (4) din același regulament.

70

În al doilea rând, referitor la aspectul dacă această verificare trebuie să privească și caracterul adecvat, din perspectiva articolului 32 din RGPD, al măsurilor pe care operatorul este obligat să le pună în aplicare pentru a asigura securitatea prelucrării, trebuie subliniat că articolul 14 alineatul (5) litera (c) din acest regulament stabilește o excepție numai de la obligația de informare prevăzută la articolul 14 alineatele (1), (2) și (4) din regulamentul menționat, fără a prevedea o derogare de la obligațiile care se regăsesc în alte dispoziții ale aceluiași regulament, printre care articolul 32 din acesta.

71

Acest articol 32 obligă operatorul și persoana împuternicită de operator să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura un nivel adecvat de securitate a prelucrării datelor cu caracter personal. Caracterul adecvat al unor astfel de măsuri trebuie evaluat concret, ținând seama de riscurile asociate prelucrării în cauză și evaluând dacă natura, conținutul și punerea în aplicare a acestor măsuri sunt adaptate respectivelor riscuri (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctele 42, 46 și 47, precum și Hotărârea din 25 ianuarie 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punctele 37 și 38).

72

Având în vedere termenii fiecăreia dintre aceste două dispoziții, trebuie arătat că obligațiile consacrate la articolul 32 din RGPD, care trebuie respectate în orice situație și independent de existența sau inexistența unei obligații de informare în temeiul articolului 14 din acest regulament, au o natură și o întindere diferite în raport cu obligația de informare prevăzută la acest articol 14.

73

Astfel, în cazul unei plângeri formulate în temeiul articolului 77 alineatul (1) din RGPD pentru motivul că operatorul a invocat în mod eronat excepția prevăzută la articolul 14 alineatul (5) litera (c) din acest regulament, obiectul verificărilor care trebuie efectuate de autoritatea de supraveghere este limitat de domeniul de aplicare doar al articolului 14 din regulamentul menționat, respectarea articolului 32 din acesta nefiind inclusă în aceste verificări.

74

Ținând seama de motivele care precedă, este necesar să se răspundă la a doua și a treia întrebare că articolul 14 alineatul (5) litera (c) și articolul 77 alineatul (1) din RGPD trebuie interpretate în sensul că, în cadrul procedurii de soluționare a unei plângeri, autoritatea de supraveghere are competența să verifice dacă dreptul intern sub incidența căruia intră operatorul prevede măsuri adecvate pentru a proteja interesele legitime ale persoanei vizate, în vederea aplicării excepției prevăzute la acest articol 14 alineatul (5) litera (c). Această verificare nu se referă însă la caracterul adecvat al măsurilor pe care operatorul este obligat să le pună în aplicare în temeiul articolului 32 din acest regulament pentru a garanta securitatea prelucrării datelor cu caracter personal.

75

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a treia) declară: