Orice persoană are dreptul să știe cui i-au fost comunicate datele sale personale| Hotărârea CJUE

Un cetățean a solicitat societății Österreichische Post, principalul operator de servicii poștale și logistice din Austria, să îi comunice identitatea destinatarilor cărora aceasta le comunicase datele lui personale.

El s-a întemeiat pe Regulamentul general privind protecția datelor UE (RGPD). Acest regulament prevede că o persoană vizată are dreptul de a obține din partea operatorului informațiile referitoare la destinatarii sau categoriile de destinatari cărora aceste date cu caracter personal le-au fost sau urmează să le fie comunicate.

Ca răspuns la cererea cetățeanului, Österreichische Post s-a limitat să indice că utilizează date cu caracter personal, în măsura autorizată de lege, în cadrul activității sale de editor al anuarelor telefonice și că propune aceste date unor parteneri comerciali în scopuri de marketing. Cetățeanul a chemat atunci în judecată societatea Österreichische Post în fața instanțelor austriece. În cursul procedurii judiciare, Österreichische Post l-a informat din nou pe cetățean că datele sale fuseseră transmise unor clienți, printre care agenți de publicitate în sectorul vânzării prin corespondență și al comerțului fizic, întreprinderi informatice, editori de adrese și asociații, precum organizații caritabile, organizații neguvernamentale (ONG) sau partide politice Curtea Supremă, Austria, sesizată cu litigiul în ultimă instanță, dorește să afle dacă RGPD lasă la libera alegere a operatorului datelor să comunice fie identitatea concretă a destinatarilor, fie numai categoriile de destinatari, sau dacă regulamentul menționat oferă persoanei vizate dreptul de a cunoaște identitatea concretă a acestora.

Prin hotărârea pronunțată în 12 Ianuarie 2023,Curtea de Justiție răspunde că, atunci când aceste date au fost sau urmează să le fie divulgate unor destinatari, operatorul are obligația de a-i furniza persoanei vizate, la cerere, identitatea însăși a acestor destinatari. Numai în cazul în care nu este (încă) posibil să se identifice acești destinatari, operatorul se poate limita să indice numai categoriile de destinatari în cauză. Situația este aceeași atunci când operatorul demonstrează că cererea este în mod vădit nefondată sau excesivă.

Curtea subliniază că acest drept de acces al persoanei vizate este necesar pentru a-i permite să își exercite alte drepturi care îi sunt recunoscute de RGPD, și anume dreptul la rectificare, dreptul la ștergerea datelor („dreptul de a fi uitat”), dreptul la restricționarea prelucrării, dreptul de opoziție la prelucrare sau dreptul la o cale de atac în cazul în care suferă un prejudiciu.

În esență orice persoană are dreptul să știe cui i-au fost comunicate datele sale personale, însă operatorul se poate limita să indice categoriile de destinatari, cu excepția cazului în care este imposibilă identificarea acestora sau a cazului în care cererea este vădit nefondată sau excesivă.

“Articolul 15 alineatul (1) litera (c) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că dreptul de acces al persoanei vizate la datele cu caracter personal care o privesc, prevăzut de această dispoziție, implică, atunci când aceste date le-au fost sau urmează să le fie divulgate unor destinatari, obligația operatorului de a-i furniza acestei persoane identitatea însăși a acestor destinatari, cu excepția cazului în care este imposibil să se identifice acești destinatari sau a cazului în care operatorul menționat demonstrează că cererile de acces ale persoanei vizate sunt în mod vădit nefondate sau excesive, în sensul articolului 12 alineatul (5) din Regulamentul 2016/679, cazuri în care acesta îi poate indica acestei persoane numai categoriile de destinatari în cauză.”

Hotărâre integrală: https://curia.europa.eu/juris/document/document.jsf?docid=269146&mode=req&pageIndex=1&dir=&occ=first&part=1&text=&doclang=RO&cid=249926