–

за чешкото правителство, от L. Březinová, M. Smolek и J. Vláčil, в качеството на представители,

–

за Европейската комисия, от A. Bouchagiar и P. Ondrůšek, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 4, точка 1 и член 6, параграф 1, букви в) и д) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между L. H. и Ministerstvo zdravotnictví (Министерство на здравеопазването, Чешка република) по повод на решение на последното да не предостави на L. H. определена информация относно представители на юридически лица, посочена в договори за покупка на тестове за диагностика на COVID‑19 и в сертификати за тези тестове.

3

Съображения 1, 4, 10, 14 и 154 от ОРЗД гласят:

[…]

[…]

[…]

[…]

4

Член 1 от ОРЗД е озаглавен „Предмет и цели“ и параграф 2 от него гласи:

„С настоящия регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни“.

5

Съгласно член 4 от ОРЗД, озаглавен „Определения“:

„За целите на настоящия регламент:

[…]“.

6

Член 5 от ОРЗД, озаглавен „Принципи, свързани с обработването на лични данни“, гласи:

„1.   Личните данни са:

[…]“.

7

Член 6 от ОРЗД, озаглавен „Законосъобразност на обработването“, предвижда:

„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

[…]

2.   Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

3.   Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент […] общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.

[…]“.

8

Член 86 от ОРЗД, озаглавен „Обработване и публичен достъп до официални документи“, е част от глава IX от този регламент, която съдържа разпоредби, свързани с особени ситуации на обработване. Тази разпоредба предвижда:

„Лични данни в официални документи, държани от публичен орган или публична или частна структура за изпълнение на задача от обществен интерес могат да бъдат разкривани от този орган или структура в съответствие с правото на Съюза или правото на държавата членка, на което се подчинява публичният орган или структура, за да се съгласува публичният достъп до официални документи с правото на защита на личните данни в съответствие с настоящия регламент“.

9

Zákon č. 106/1999 Sb., o svobodném přístupu k informacím (Закон № 106/1999 за свободния достъп до информация) предвижда задължение за публичните органи да предоставят информация на физическото или юридическото лице, което е поискало това.

10

Съгласно член 8а, параграф 1 от този закон лицето, което дължи информацията, предоставя информация, свързана с личността, аспектите от личната сфера, личния живот на физическо лице и личните данни, само в съответствие с правната уредба, уреждаща тяхната защита.

11

L. H. подава до Министерството на здравеопазването искане за информация относно идентифицирането на лица, подписали сключени от това министерство договори за покупка на тестове за COVID‑19 и сертификати, свързани с тези тестове и доказващи възможността те да бъдат използвани на територията на Съюза.

12

Посоченото министерство уважава частично искането на L. H. и му предоставя сертификатите за посочените тестове, като заличава информацията за физическите лица, подписали тези сертификати от името на съответните юридически лица, включително собственото и фамилното име, подписа и заеманата от тези физически лица длъжност, както и в някои случаи електронния адрес, телефонния номер и уебсайта на тези юридически лица. Заличаването на тази информация се обосновава със защитата на личните данни на физическите лица, посочени в тези сертификати, в съответствие с изискванията на ОРЗД.

13

L. H. подава жалба за отмяна на решението на Министерството на здравеопазването до Městský soud v Praze (Градски съд Прага, Чешка република) в частта, в която е заличена посочената информация. Този съд уважава жалбата, като приема, че Министерството не може по принцип да откаже да предостави информация, представляваща лични данни, без предварително да е уведомило или да е получило становището на субектите на данни относно искането за разкриване на тези данни, както предвижда релевантната национална съдебна практика. Всъщност според посочения съд по този начин Министерството на здравеопазването, от една страна, не е признало на субектите на данни качеството „страни в производството“ по смисъла на националното право и от друга страна, не е установило надлежно, че не е изпълнено нито едно от условията за законосъобразност, посочени в член 6, параграф 1 от ОРЗД.

14

Министерството на здравеопазването подава касационна жалба срещу решението на Městský soud v Praze (Градски съд Прага) пред запитващата юрисдикция Nejvyšší správní soud (Върховен административен съд, Чешка република). Според Министерството фактът, че не е уведомило засегнатите физически лица за искането за предоставяне на разглежданите данни, не може да представлява процесуално нарушение. Посоченото министерство изтъква, че тези лица упражняват дейността си от Китай и Обединеното кралство, където са регистрирани юридическите лица, издаващи сертификатите, и че местоживеенето на посочените лица не му е известно. Следователно за него било невъзможно да ги уведоми и да се консултира с тях по този въпрос.

15

В този контекст запитващата юрисдикция иска да се установи, на първо място, дали разглежданите в главното производство данни представляват „лични данни“ по смисъла на член 4, точка 1 от ОРЗД. С оглед на съображение 14 от този регламент тя е склонна да приеме, че такава информация представлява данни за юридическо лице, които не попадат в приложното поле на посочения регламент. Тази юрисдикция обаче отбелязва, че в практиката на Съда се отдава предимство на широкото тълкуване на понятието „лични данни“, от което следвало, че информацията, свързана с физически лица, които могат да бъдат идентифицирани, произхождаща по-специално от търговски регистър, попада в обхвата на това понятие.

16

На второ място, ако Съдът приеме, че разглежданите в главното производство данни представляват лични данни, запитващата юрисдикция иска да се установи дали е съвместима с правото на Съюза релевантната национална съдебна практика, която задължава администратора, сезиран с искане за разкриване на тези данни, да уведоми субекта на данни и да се консултира с него, преди да ги предостави на заявителя. Запитващата юрисдикция уточнява още, че това задължение се налага и в случаи, в които самият ОРЗД не изисква съгласието на субекта на данни, а именно в случаи, различни от посочения в член 6, параграф 1, буква а) от ОРЗД. Следователно посоченото задължение надхвърляло изискванията на ОРЗД и по този начин потенциално повече затруднявало достъпа до разглежданите данни, отколкото в други държави членки. Освен това, като се има предвид приложното поле на ОРЗД, би било трудно, ако не и невъзможно, задължението за предварително уведомяване и консултиране да се прилага систематично, по-специално що се отнася до регистри, отнасящи се до голям брой лица, установени в различни държави.

17

При тези условия Nejvyšší správní soud (Върховен административен съд) решава да спре производството по делото и да постави на Съда следните преюдициални въпроси:

18

С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 4, точки 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че разкриването на собствено и фамилно име, подпис и данни за контакт на физическо лице, представляващо юридическо лице, представлява обработване на лични данни, дори разкриването да се извършва единствено с цел да се позволи идентифицирането на физическото лице, оправомощено да действа от името на това юридическо лице.

19

В самото начало е важно да се отбележи, че според данните, предоставени от запитващата юрисдикция, юридическите лица, които са издали разглежданите в главното производство сертификати, са установени в трети страни, а именно Китай и Обединеното кралство. Макар при определени условия спрямо такива юридически лица да могат да се прилагат правилата за оповестяване, предвидени в Директива (ЕС) 2017/1132 на Европейския парламент и на Съвета от 14 юни 2017 година относно някои аспекти на дружественото право (ОВ L 169, 2017 г., стр. 46), по-специално що се отнася до задължителното оповестяване на самоличността на лицата, упълномощени да обвързват тези юридически лица по отношение на трети лица, нищо в преписката, с която разполага Съдът, не сочи, че тази директива е релевантна в случая.

20

След тази предварителна бележка следва да се припомни, че съгласно член 4, точка 1 от ОРЗД „лични данни“ означава „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано“. По смисъла на тази разпоредба „физическо лице, което може да бъде идентифицирано“, е „лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

21

Съгласно постоянната съдебна практика употребата на израза „всяка информация“ в определението на понятието „лични данни“ по член 4, точка 1 от ОРЗД, отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга“ съответното лице. Дадена информация засяга физическо лице, което е идентифицирано или може да бъде идентифицирано, ако поради своето съдържание, крайна цел или последици тя е свързана с лице, което може да бъде идентифицирано (решения от 7 март 2024 г., IAB Europe, C‑604/22, EU:C:2024:214, т. 36 и 37, и от 4 октомври 2024 г., Агенция по вписванията, C‑200/23, EU:C:2024:827, т. 130 и 131 и цитираната съдебна практика).

22

Така информацията относно самоличността на физически лица, които са идентифицирани или могат да бъдат идентифицирани, които, в качеството си на орган, създаден в съответствие със закона, или като членове на такъв орган са упълномощени да представляват дружеството в отношенията с трети лица, представлява „лични данни“ по смисъла на член 4, точка 1 от ОРЗД. Обстоятелството, че тази информация се вписва в контекста на професионална дейност, не е от естество да ѝ отнеме квалификацията „лични данни“ (вж. по аналогия решение от 9 март 2017 г., Manni, C‑398/15, EU:C:2017:197, т. 32 и 34 и цитираната съдебна практика).

23

Както отбелязва Комисията, това тълкуване не може да бъде опровергано от съображение 14 от ОРЗД. Всъщност второто изречение от това съображение препраща по-специално към „наименованието“ и „данните за връзка“ на юридическото лице, а не на физическите лица, действащи от името или за сметка на юридическо лице.

24

В случая следва да се констатира, че личното и фамилното име на физическо лице, което е идентифицирано или може да бъде идентифицирано, са лични данни по смисъла на член 4, точка 1 от ОРЗД. Същото се отнася и за подписа на такова физическо лице (вж. в този смисъл решение от 4 октомври 2024 г., Агенция по вписванията, C‑200/23, EU:C:2024:827, т. 136).

25

Що се отнася до другите данни за контакт, разглеждани в главното производство, запитващата юрисдикция следва да провери с оглед на съдебната практика, припомнена в точка 21 от настоящото решение, дали тези данни за контакт са свързани с физическо лице, което е идентифицирано или може да бъде идентифицирано.

26

Що се отнася до понятието „обработване“ по смисъла на член 4, точка 2 от ОРЗД, то означава „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

27

Така от израза „всяка операция“ следва, че законодателят на Съюза е искал да придаде широк обхват на това понятие, което се потвърждава от неизчерпателния характер на изброените в посочената разпоредба операции, изразен с думата „като“, което включва разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, като тези операции могат да се извършват чрез автоматични или други средства (вж. в този смисъл решение от 7 март 2024 г., Endemol Shine Finland, C‑740/22, EU:C:2024:216, т. 29 и 30 и цитираната съдебна практика).

28

При всички положения от текста на член 4, точка 2 от ОРЗД по никакъв начин не следва, че законодателят на Съюза е възнамерявал да запази квалификацията „обработване“ за тези операции в зависимост от тяхната цел.

29

Подобно тълкуване е в съответствие с преследваната от ОРЗД цел, както следва от член 1 и от съображения 1 и 10 от този регламент, а именно да се гарантира висока степен на защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот при обработването на лични данни, закрепено в член 8, параграф 1 от Хартата и в член 16, параграф 1 ДФЕС (вж. в този смисъл решение от 9 януари 2025 г., Mousse, C‑394/23, EU:C:2025:2, т. 21 и цитираната съдебна практика).

30

В случая разкриването на данни като собствено и фамилно име, подпис и данни за контакт на физическо лице, представляващо юридическо лице, попада в обхвата на понятието „обработване“ по смисъла на член 4, точка 2 от ОРЗД. Както следва от точки 27—29 от настоящото решение, обстоятелството, че разкриването на такива данни има за единствена цел да позволи идентифицирането на физическо лице, оправомощено да действа от името на юридическо лице, е ирелевантно за квалифицирането като „обработване“ по смисъла на тази разпоредба.

31

С оглед на изложените по-горе съображения на първия въпрос следва да се отговори, че член 4, точки 1 и 2 от ОРЗД трябва да се тълкува в смисъл, че разкриването на собствено и фамилно име, подпис и данни за контакт на физическо лице, представляващо юридическо лице, представлява обработване на лични данни. Обстоятелството, че това разкриване се извършва единствено с цел да се позволи идентифицирането на физическото лице, оправомощено да действа от името на това юридическо лице, е ирелевантно в това отношение.

32

С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, букви в) и д) от ОРЗД трябва да се тълкува в смисъл, че не допуска национална съдебна практика, която задължава администратор, който е публичен орган, натоварен да съгласува публичният достъп до официални документи с правото на защита на личните данни, да уведоми засегнатото физическо лице и да се консултира с него преди оповестяването на официални документи, съдържащи такива данни.

33

В съответствие с преследваната от ОРЗД цел, припомнена в точка 29 от настоящото решение, всяко обработване на лични данни трябва по-конкретно да е в съответствие с принципите за обработването на такива данни, прогласени в член 5 от този регламент, и да отговаря на условията за законосъобразност, изброени в член 6 от посочения регламент (решение от 9 януари 2025 г., Mousse, C‑394/23, EU:C:2025:2, т. 22 и цитираната съдебна практика).

34

Член 5, параграф 1, буква а) от ОРЗД предвижда, че личните данни трябва да бъдат обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните.

35

Член 6, параграф 1, буква в) от ОРЗД предвижда, че обработването може да бъде законосъобразно само ако и доколкото е необходимо за спазването на законово задължение, което се прилага спрямо администратора. Съгласно член 6, параграф 1, буква д) от този регламент такова обработване може също да бъде законосъобразно само ако и доколкото е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора.

36

Съгласно член 6, параграф 2 от ОРЗД държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д) от този член, като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

37

Член 6, параграф 3 от ОРЗД предвижда, че основанието за обработването, посочено в параграф 1, букви в) и д) от този член 6, се установява, според случая, от правото на Съюза или правото на държавата членка, което се прилага спрямо администратора. Съответното правно основание трябва да отговаря на цел от обществен интерес и да е пропорционално на преследваната легитимна цел. Това правно основание може да включва и конкретни разпоредби за адаптиране на прилагането на разпоредбите на ОРЗД, като например общите условия, които определят законосъобразността на обработването от администратора, или операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX от ОРЗД.

38

Следва още да се отбележи, че в областта на публичния достъп до официални документи член 86 от ОРЗД, който е част от глава IX от него, предвижда, че лични данни в официални документи, държани от публичен орган или публична или частна структура за изпълнение на задача от обществен интерес, могат да бъдат разкривани от този орган или структура в съответствие с правото на Съюза или правото на съответната държава членка, за да се съгласува публичният достъп до официални документи с правото на защита на личните данни.

39

Този член трябва да се тълкува с оглед, първо, на съображение 4 от ОРЗД, което гласи по-специално, че правото на защита на личните данни не е абсолютно право, второ, на съображение 154 от този регламент, от което по-специално следва, че може да се счита, че публичният достъп до официални документи е в обществен интерес, и трето, на съдебната практика, съгласно която принципът на прозрачност, предвиден в членове 1 и 10 ДЕС и член 15 ДФЕС, дава възможност за по-голямо участие на гражданите в процеса на вземане на решения и е гаранция за по-голяма законосъобразност, ефективност и отговорност на администрацията пред гражданите в демократичната система (решение от 22 ноември 2022 г., Luxembourg Business Registers, C‑37/20 и C‑601/20, EU:C:2022:912, т. 60 и цитираната съдебна практика).

40

Макар, както следва от съображение 10 от ОРЗД, държавите членки да имат право да запазят или да въведат национални разпоредби, които да уточнят по-нататък реда за прилагане на правилата на този регламент, тези държави трябва все пак да използват свободата си на преценка при условията и в пределите, предвидени в посочения регламент, и следователно трябва да приемат законодателство, което да не засяга съдържанието и целите на този регламент (вж. в този смисъл решение от 30 март 2023 г., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, т. 59 и цитираната съдебна практика).

41

Освен това в съответствие с принципа на пропорционалност държавите членки трябва да се уверят, че практическите последици, по-специално от организационно естество, породени от определените от тях допълнителни изисквания, не са прекомерни (вж. в този смисъл решение от 21 декември 2023 г., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, т. 67).

42

В случая разглежданото в главното производство обработване може да попадне в обхвата както на буква в), така и на буква д) от член 6, параграф 1 от ОРЗД, тъй като със Закон № 106/1999 на администратора е наложено задължение при изпълнението на задача от обществен интерес да гарантира публичния достъп до официални документи. В това отношение е безспорно, че този закон задължава публичните органи да предоставят информация, включително официални документи, на лицата, които са поискали това.

43

При това положение, когато исканата информация съдържа лични данни, посоченият закон предвижда, че тези данни могат да бъдат разкривани само при спазване на правната уредба относно тяхната защита, която, както отбелязва запитващата юрисдикция, включва ОРЗД. От акта за преюдициално запитване е видно, че практиката на запитващата юрисдикция установява допълнителни задължения, които се добавят към изрично предвидените в този регламент. Всъщност тя задължава публичните органи да уведомят субекта на данни и да се консултират с него, преди да пристъпят към каквото и да било разкриване на посочените данни.

44

Що се отнася до съвместимостта на национална съдебна практика като разглежданата в главното производство с ОРЗД, следва да се констатира, че съгласно разпоредбите, посочени в точки 36 и 37 от настоящото решение, държавите членки могат да въведат специални разпоредби, за да гарантират законосъобразно и добросъвестно обработване в особени ситуации на обработване като посочените в член 86 от ОРЗД. В това отношение такава съдебна практика може да бъде част от правното основание на обработването по смисъла на член 6, параграф 3 от ОРЗД.

45

Следователно член 6, параграф 1, букви в) и д) от ОРЗД по принцип допуска национална съдебна практика, която предвижда задължение за уведомяване на субекта на данни и консултиране с него, преди да бъдат разкрити отнасящите се до него лични данни. Всъщност подобно задължение може да гарантира законосъобразно, добросъвестно и прозрачно обработване по отношение на това лице по смисъла на член 5, параграф 1, буква а) от ОРЗД, като му позволи да изрази становището си относно предвиденото разкриване. Така това задължение допринася за постигането на целта, припомнена в точка 29 от настоящото решение, като същевременно позволява на публичния орган при пълно познаване на фактите да извърши изискваното от член 86 от ОРЗД съгласуване.

46

С оглед обаче на съдебната практика, припомнена в точки 40 и 41 от настоящото решение, неограниченото изпълнение на посоченото задължение би могло да доведе до непропорционално ограничаване на публичния достъп до официални документи. Всъщност е възможно по различни причини уведомяването на субекта на данни и/или консултирането с него да се окажат невъзможни или да изискват непропорционално големи усилия. В такъв контекст позоваването на практическа невъзможност за уведомяване на това лице и консултиране с него, за да се обоснове системният отказ да се разкрие каквато и да било информация за посоченото лице, би довело до изключване на всеки опит за съгласуване на наличните интереси, при положение че такова съгласуване е изрично предвидено в член 86 от ОРЗД.

47

В случая, освен ако запитващата юрисдикция не установи друго, Министерството на здравеопазването, изглежда, основава решението си да не предостави цялата поискана информация, само на тази практическа невъзможност, без по никакъв начин да се опитва да постигне съгласуване на интересите.

48

С оглед на всички изложени по-горе съображения на втория въпрос следва да се отговори, че член 6, параграф 1, букви в) и д) във връзка с член 86 от ОРЗД трябва да се тълкува в смисъл, че допуска национална съдебна практика, която задължава администратор, който е публичен орган, натоварен да съгласува публичния достъп до официални документи с правото на защита на личните данни, да уведоми засегнатото физическо лице и да се консултира с него преди оповестяването на официални документи, съдържащи такива данни, при условие че това задължение не е невъзможно за изпълнение или не изисква непропорционално големи усилия и следователно не води до непропорционално ограничаване на публичния достъп до тези документи.

49

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (първи състав) реши: