Strasbūras, 2006 m. birželio 9 d.

Gerb. pone D.,

2004 m. rugpjūčio 7 d. Jūs pateikėte skundą Europos ombudsmenui dėl Europos Komisijos sprendimo baigti tyrimą dėl Jūsų skundo dėl pažeidimo Nr. 2003/4734, SG 03 A/5938/2.

2004 m. rugsėjo 14 d. persiunčiau skundą Komisijos pirmininkui. 2004 m. lapkričio 17 d. Komisija pateikė savo nuomonę. Persiunčiau ją Jums kartu su kvietimu pateikti pastabas, kurį Jūs išsiuntėte 2004 m. gruodžio 15 d. 2005 m. balandžio 12 d. atsiuntėte man papildomų pastabų.

2005 m. birželio 7 d. nusprendžiau paprašyti Europos duomenų apsaugos priežiūros pareigūno pateikti pastabas ir tą pačią dieną apie tai jus informavau. 2005 m. birželio 29 d. Europos duomenų apsaugos priežiūros pareigūnas atsiuntė atsakymą. Persiunčiau ją Jums kartu su prašymu pateikti pastabas, kurį Jūs išsiuntėte 2005 m. liepos 27 d.

2005 m. gruodžio 13 d. pateikiau pasiūlymą dėl draugiško jūsų bylos sprendimo ir tą pačią dieną jus apie tai informavau. 2006 m. gegužės 12 d. Komisija išsiuntė savo atsakymą. Persiunčiau ją Jums kartu su kvietimu pateikti pastabas, kurį Jūs išsiuntėte 2006 m. gegužės 29 d.

Dabar rašau, kad praneščiau apie atliktų tyrimų rezultatus.

Siekiant išvengti nesusipratimų, svarbu priminti, kad EB sutartimi ombudsmenui suteikiami įgaliojimai tirti galimus netinkamo administravimo atvejus tik Bendrijos institucijų ir įstaigų veikloje. Ombudsmeno statute konkrečiai nustatyta, kad ombudsmenui negali būti skundžiami jokie kitų institucijų ar asmenų veiksmai.

Todėl ombudsmenė, tirdama Jūsų skundą, siekė ištirti, ar Europos Komisijos veikloje nebuvo netinkamo administravimo atvejų.

Skundas

Skundo pateikėjas, Vokietijos pilietis, Komisijai pateikė skundą dėl pažeidimo Nr. 2003/4734, SG 03 A/5938/2. Šis skundas dėl pažeidimo buvo susijęs su Hamburgo valstijos registracijos įstatymu (toliau – Registracijos įstatymas). Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas (ES) 2016/679) ir jo įgyvendinamuosius teisės aktus. Skundo pateikėjo teigimu, pagal Registracijos įstatymą Hamburgo valstijos turimus asmens duomenis buvo leidžiama perduoti tretiesiems asmenims neinformavus duomenų subjekto ir nesuteikus jam galimybės prieštarauti, net jei buvo aišku, kad šie tretieji asmenys ketina parduoti duomenis tiesioginės rinkodaros tikslais. Skundo pateikėjo nuomone, tai buvo Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto pažeidimas. 14 straipsnyje nustatyta:

„14 straipsnis

DUOMENŲ SUBJEKTO TEISĖS IR JŲ ĮGYVENDINIMAS

Valstybės narės suteikia duomenų subjektui teisę:

a) bent 7 straipsnio e ir f punktuose nurodytais atvejais bet kuriuo metu dėl įtikinamų teisėtų priežasčių, susijusių su jo konkrečia padėtimi, nesutikti, kad būtų tvarkomi su juo susiję duomenys, išskyrus atvejus, kai nacionalinės teisės aktuose nustatyta kitaip. Jei yra pagrįstas prieštaravimas, duomenų valdytojo inicijuotas duomenų tvarkymas nebegali būti susijęs su tais duomenimis;

- nesutikti, kad būtų tvarkomi jo asmens duomenys, kai šie duomenys tvarkomi ar ketinami tvarkyti tiesioginės rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara; - nesutikti, kad būtų tvarkomi jo asmens duomenys, kai šie duomenys tvarkomi ar ketinami tvarkyti tiesioginės rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara;

Valstybės narės imasi būtinų priemonių užtikrinti, kad duomenų subjektai žinotų apie b punkto pirmoje pastraipoje nurodytą teisę.“

Pagrįsdamas 14 straipsnio 1 dalies b punkto aiškinimą, skundo pateikėjas nurodė „29 straipsnio duomenų apsaugos darbo grupės“ nuomonę („Nuomonė 7/2003 dėl viešojo sektoriaus informacijos pakartotinio naudojimo ir asmens duomenų apsaugos. Pusiausvyros užtikrinimas“, priimta 2003 m. gruodžio 12 d.(2)). Nuomonė buvo pateikta dėl Komisijos pasiūlymo dėl direktyvos dėl viešojo sektoriaus dokumentų pakartotinio naudojimo (3). Šioje nuomonėje Duomenų apsaugos darbo grupė paminėjo Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkte numatytą teisę ir, nors konkrečiai nenagrinėjo šio klausimo, įvairiose nuomonės dalyse paminėjo tiesioginės rinkodaros klausimą.

Skundo pateikėjas taip pat nurodė Hamburgo administracinio teismo sprendimą (VG Hamburg, Nr. 6 VG 3795/99), kuriame teismas priėmė skundo pateikėjui palankų sprendimą byloje prieš Hamburgo valstybę. Skundo pateikėjas apskundė Hamburgo valstijos sprendimą atmesti jo prašymą dėl „informacijos bloko“ („Auskunftssperre“), susijusio su jo asmens duomenimis viešajame registre. Skundo pateikėjas paprašė tokio informacijos bloko, kad būtų išvengta tiesioginės rinkodaros. Teismas konstatavo, kad i) Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktas taikomas tiesiogiai; ii) kad šis straipsnis nebuvo tinkamai perkeltas į Hamburgo valstybės teisės aktus; ir iii) kad šis straipsnis, atsižvelgus į viską, turėtų būti taikomas skundo pateikėjo naudai. Hamburgo žemė apskundė šį sprendimą.

2004 m. sausio 14 d. ir vasario 2 d. raštais Komisija informavo skundo pateikėją, kad iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto negalima nustatyti atskiros teisės prieštarauti visoms viešosioms įstaigoms, įskaitant viešąjį registrą. Kalbant konkrečiai apie tiesioginę rinkodarą, Komisija informavo skundo pateikėją, kad 14 straipsnio 1 dalies b punktas taikomas tik subjektui, kuris iš tikrųjų ketina naudoti asmens duomenis tiesioginei rinkodarai. Viešasis registras, kuriame renkami ir tvarkomi atitinkami asmens duomenys, nepatenka į šią kategoriją.

Skunde Europos ombudsmenui skundo pateikėjas apibendrintai teigė, kad Komisijos atsakymas į jo skundą dėl pažeidimo buvo teisiškai klaidingas. Jis teigė, kad Komisija turėtų atnaujinti jo skundo dėl pažeidimo tyrimą.

PRAŠYMAS

Komisijos nuomonė

Skundas buvo perduotas Komisijai, kad ši pareikštų savo nuomonę.

Savo nuomonėje Komisija nurodė, kad savo sprendimą užbaigti bylą ji grindė šiais argumentais:

Iš tiesų pagal Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą duomenų subjektams suteikiama teisė nesutikti, kad asmens duomenys būtų naudojami tiesioginės rinkodaros tikslais. Tačiau ši teisė nukreipta prieš duomenų valdytoją, t. y. įstaigą, planuojančią naudoti duomenis tiesioginės rinkodaros tikslais.

Tiesa, Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotė šiuo klausimu nėra visiškai aiški, ypač kai jis skaitomas kartu su direktyvos 2 straipsnio b ir d punktais.

Tačiau aiškinant direktyvą taip pat reikėtų atsižvelgti į teisės aktų leidėjo ketinimą užtikrinti, kad 14 straipsnio 1 dalies b punktas būtų taikomas tik toms įstaigoms, kurios pačios ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais.

Šis ketinimas aiškiai matyti iš 14 straipsnio 1 dalies b punkto, kuriame kalbama apie numatomą duomenų tvarkymą tiesioginės rinkodaros tikslais ir, be to, patikslinama, kad tokius duomenis skelbiančios viešosios įstaigos pačios neplanuoja tvarkyti duomenų tiesioginės rinkodaros tikslais. Duomenys atskleidžiami pagal viešųjų įstaigų teisinę prievolę atskleisti tokius duomenis (šiuo atveju Registracijos įstatymo 34 straipsnis).

Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą Vokietija perkėlė į nacionalinę teisę Federalinio duomenų apsaugos įstatymo 28 straipsnio 4 dalimi, pagal kurią nevalstybinėms įstaigoms ir konkurencingoms viešosios teisės reglamentuojamoms įmonėms, taigi ir potencialiems reklamuotojams, draudžiama naudoti asmens duomenis, jei duomenų subjektas pareiškia prieštaravimą.

Vis dėlto neatskiriama teisė prieštarauti tam, kad viešosios įstaigos, kaip antai registravimo institucija, naudotų asmens duomenis, negali būti kildinama nei iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotės, nei iš jo tikslo.

29 straipsnio duomenų apsaugos darbo grupės nuomonė 7/2003, kuria rėmėsi skundo pateikėjas, nekeičia šio teisinio vertinimo. Nors šioje nuomonėje buvo daroma nuoroda į Duomenų apsaugos direktyvos 14 straipsnyje įtvirtintą teisę prieštarauti, tai buvo susiję su pačia tiesioginės rinkodaros įstaiga, o ne su viešąja įstaiga.

Atsižvelgdama į tai, Komisija nematė jokios priežasties, dėl kurios ji turėtų persvarstyti savo poziciją.

Savo nuomonės pabaigoje Komisija pareiškė, kad ji rengia dvišales derybas su valstybėmis narėmis ir nacionalinėmis duomenų apsaugos institucijomis, kad aptartų Duomenų apsaugos direktyvos įgyvendinimą. Komisija pareiškė, kad per šias derybas ji ketina iškelti registracijos duomenų paskelbimo klausimą.

Skundo pateikėjo pastabos

Komisijos nuomonė buvo persiųsta pastabas pateikusiam skundo pateikėjui.

Savo pastabose skundo pateikėjas paliko galioti savo skundą.

Tolesni tyrimai

Atidžiai apsvarstęs Komisijos nuomonę ir skundo pateikėjo pastabas, ombudsmenas nusprendė, kad būtų tikslinga konsultuotis su Europos duomenų apsaugos priežiūros pareigūnu (EDAPP). Todėl 2005 m. birželio 7 d. ombudsmenas paprašė EDAPP pateikti pastabas dėl Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto aiškinimo.

Europos duomenų apsaugos priežiūros pareigūno nuomonė

EDAPP atsakė 2005 m. birželio 20 d. pateikdamas šias pastabas:

Direktyvos 14 straipsnio 1 dalies b punkte numatyta duomenų subjekto teisė nesutikti, kad jo asmens duomenys būtų tvarkomi tiesioginės rinkodaros tikslais. Kitaip nei 14 straipsnio 1 dalies a punkte nurodyta teisė prieštarauti dėl „įtikinamų teisėtų priežasčių, susijusių su konkrečia jo padėtimi“, pagal kurią reikalaujama atlikti papildomą vertinimą siekiant nustatyti, ar prieštaravimas yra pagrįstas, 14 straipsnio 1 dalies b punkte nurodyta teisė prieštarauti yra absoliuti ta prasme, kad nereikia toliau derinti interesų.

Tačiau reikėtų pažymėti, kad 14 straipsnio 1 dalies b punkte numatytos alternatyvios galimybės, susijusios su asmenų vykdoma jų asmens duomenų atskleidimo kontrole, iš kurių valstybės narės gali rinktis.

Duomenų subjektas turi teisę bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi tokios rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara. Antruoju variantu užtikrinama teisė būti informuotam prieš tai, kai asmens duomenys pirmą kartą atskleidžiami trečiosioms šalims arba naudojami jų vardu tiesioginės rinkodaros tikslais, ir aiškiai suteikiama teisė nemokamai nesutikti su tokiu atskleidimu ar naudojimu.

Jei valstybė narė teikia pirmenybę pirmajai galimybei, ji turi imtis būtinų priemonių užtikrinti, kad duomenų subjektai žinotų apie toje galimybėje nurodytos teisės buvimą. Tai nurodyta 14 straipsnio 2 dalyje, kurioje daroma nuoroda į „b punkto pirmą pastraipą“. Šių nuostatų struktūra aiškiai matyti iš direktyvos teksto prancūzų kalba ir numanoma iš redakcijų anglų ir vokiečių kalbomis.

Atrodo, kad 14 straipsnio 1 dalyje nurodytos galimybės nėra visiškai lygiavertės. Pirmoji galimybė skirta duomenų valdytojui ir pagal ją, atrodo, reikalaujama, kad pats duomenų valdytojas „ketina“ tvarkyti duomenis tiesioginės rinkodaros tikslais. Antroji galimybė susijusi su informacijos atskleidimu trečiosioms šalims arba naudojimu jų vardu tiesioginės rinkodaros tikslais. Tačiau iš tikrųjų tikėtina, kad šios dvi galimybės iš dalies sutampa, visų pirma tais atvejais, kai duomenų valdytojas tvarko duomenis siekdamas suteikti galimybę jais naudotis trečiosioms šalims tiesioginės rinkodaros tikslais.

Kad ir koks būtų scenarijus, atrodo aišku, kad 14 straipsnio 1 dalies b punktas taikomas tik tais atvejais, kai asmens duomenys turi būti tvarkomi „tiesioginės rinkodaros tikslais“. Kitaip tariant, joje nenumatyta bendra teisė nesutikti su duomenų perdavimu trečiosioms šalims, kai yra tik galimybė, kad asmens duomenys bus tvarkomi tiesioginės rinkodaros tikslais, kaip bus įprasta, kai visuomenė galės susipažinti su viešojo sektoriaus bylose esančiais duomenimis.

Nors atrodo, kad Komisijos nuomonė nevisiškai atspindi 14 straipsnio 1 dalies b punkto taikymo sritį, kaip nurodyta pirmiau, atlikus išsamesnę analizę greičiausiai nebūtų padarytos kitokios išvados.

Skundo pateikėjo pastabos

2005 m. liepos 27 d. skundo pateikėjas pateikė savo pastabas. Jis iš esmės laikėsi savo nuomonės ir pareiškė, kad jei EDAPP aiškinimas būtų patvirtintas, klausimas turėtų būti pateiktas nagrinėti Europos Parlamentui. Jis pridūrė, kad EDAPP nuomonė suformuluota atsargiai ar net neaiškiai ir kad EDAPP, atrodo, pripažįsta, jog yra neatitikimas tarp direktyvos ir praktikos (4).

OMBUDSMAN'S EFFORTS ĮGYVENDINTI DRAUGIŠKĄ SPRENDIMĄ

Atidžiai apsvarsčiusi nuomones ir pastabas, ombudsmenė nebuvo įsitikinusi, kad Komisija tinkamai reagavo į skundo pateikėjo teiginį ir pretenziją. Todėl pagal Ombudsmeno statuto (5) 3 straipsnio 5 dalį ombudsmenas raštu kreipėsi į Komisijos pirmininką, prašydamas pasiūlyti draugišką sprendimą remiantis šia skundo pateikėjo ir Komisijos ginčijamų klausimų analize:

1 Kaltinimas
klaidingu aiškinimu - Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto taikymo sritis

1.1 Skundo pateikėjas, Vokietijos pilietis, Europos Komisijai pateikė skundą dėl pažeidimo Nr. 2003/4734, SG 03 A/5938/2. Šis skundas dėl pažeidimo buvo susijęs su Hamburgo valstijos registracijos įstatymu (toliau – Registracijos įstatymas). Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas)(toliau – Reglamentas (ES) 2016/679) ir jo įgyvendinamuosius teisės aktus. Skundo pateikėjo teigimu, pagal Registracijos įstatymą Hamburgo valstijos turimus asmens duomenis buvo leidžiama perduoti tretiesiems asmenims neinformavus duomenų subjekto ir nesuteikus jam galimybės prieštarauti, net jei buvo aišku, kad šie tretieji asmenys ketina parduoti duomenis tiesioginės rinkodaros tikslais. Skundo pateikėjo nuomone, tai buvo Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto pažeidimas. 2004 m. sausio 14 d. ir vasario 2 d. raštais Komisija informavo skundo pateikėją, kad iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto negalima nustatyti atskiros teisės prieštarauti visoms viešosioms įstaigoms, įskaitant viešąjį registrą. Kalbant konkrečiai apie tiesioginę rinkodarą, Komisija informavo skundo pateikėją, kad 14 straipsnio 1 dalies b punktas taikomas tik subjektui, kuris iš tikrųjų ketina naudoti asmens duomenis tiesioginei rinkodarai. Viešasis registras, kuriame renkami ir tvarkomi atitinkami asmens duomenys, nepatenka į šią kategoriją. Skunde Europos ombudsmenui skundo pateikėjas teigė, kad Komisijos atsakymas į jo skundą dėl pažeidimo buvo teisiškai klaidingas. Jis teigė, kad Komisija turėtų atnaujinti jo skundo dėl pažeidimo tyrimą.

1.2 Savo nuomonėje Komisija laikėsi nuomonės, kurią jau buvo pateikusi skundo pateikėjui. Jis nurodė, kad Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotė nėra visiškai aiški, ypač kai jis skaitomas kartu su direktyvos 2 straipsnio b ir d punktais. Tačiau aiškinant direktyvą taip pat reikėtų atsižvelgti į teisės aktų leidėjo ketinimą užtikrinti, kad 14 straipsnio 1 dalies b punktas būtų taikomas tik toms įstaigoms, kurios pačios ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais. Šis ketinimas aiškiai matyti iš 14 straipsnio 1 dalies b punkto, nes jis susijęs su numatomu duomenų tvarkymu tiesioginės rinkodaros tikslais. (Tokius duomenis skelbiančios viešosios įstaigos pačios neplanuoja tvarkyti duomenų tiesioginės rinkodaros tikslais. Jie perduoda duomenis pagal jiems nustatytas teisines prievoles, šiuo atveju - Registracijos įstatymo 34 straipsnį.) Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą Vokietija perkėlė į nacionalinę teisę Federalinio duomenų apsaugos įstatymo 28 straipsnio 4 dalimi, pagal kurią nevalstybinėms įstaigoms ir konkurencingoms viešosios teisės reglamentuojamoms įmonėms, taigi ir potencialiems reklamuotojams, draudžiama naudoti asmens duomenis, jei duomenų subjektas pateikia prieštaravimą. Vis dėlto neatskiriama teisė prieštarauti tam, kad viešosios įstaigos, kaip antai registravimo institucija, naudotų asmens duomenis, negali būti kildinama nei iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotės, nei iš jo tikslo.

1.3 Savo pastabose dėl Komisijos nuomonės skundo pateikėjas laikėsi savo teiginio ir tvirtinimo.

1.4 Atidžiai apsvarstęs Komisijos nuomonę ir skundo pateikėjo pastabas, ombudsmenas nusprendė, kad būtų tikslinga konsultuotis su EDAPP. Todėl 2005 m. birželio 7 d. ombudsmenas paprašė EDAPP pateikti pastabas dėl Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto aiškinimo. Savo nuomonėje EDAPP visų pirma pažymėjo, kad:

Direktyvos 14 straipsnio 1 dalies b punkte numatytos alternatyvios galimybės, susijusios su fizinių asmenų vykdoma jų asmens duomenų atskleidimo kontrole, iš kurių valstybės narės gali rinktis. Duomenų subjektas turi teisę bet kuriuo metu nesutikti, kad su juo susiję asmens duomenys būtų tvarkomi tokios rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara. Antruoju variantu užtikrinama teisė būti informuotam prieš tai, kai asmens duomenys pirmą kartą atskleidžiami trečiosioms šalims arba naudojami jų vardu tiesioginės rinkodaros tikslais, ir aiškiai suteikiama teisė nemokamai nesutikti su tokiu atskleidimu ar naudojimu. Jei valstybė narė teikia pirmenybę pirmajai galimybei, ji turi imtis būtinų priemonių užtikrinti, kad duomenų subjektai žinotų apie toje galimybėje nurodytos teisės buvimą. Tai nurodyta 14 straipsnio 2 dalyje, kurioje daroma nuoroda į „b punkto pirmą pastraipą“. Šių nuostatų struktūra aiškiai matoma direktyvos tekste prancūzų kalba ir labiau numanoma versijose anglų ir vokiečių kalbomis. Atrodo, kad 14 straipsnio 1 dalyje nurodytos galimybės nėra visiškai lygiavertės. Pirmoji galimybė skirta duomenų valdytojui ir pagal ją, atrodo, reikalaujama, kad pats duomenų valdytojas „ketina“ tvarkyti duomenis tiesioginės rinkodaros tikslais. Antroji galimybė susijusi su informacijos atskleidimu trečiosioms šalims arba naudojimu jų vardu tiesioginės rinkodaros tikslais. Tačiau iš tikrųjų gali būti tam tikrų sutapimų, visų pirma tais atvejais, kai duomenų valdytojas tvarko duomenis siekdamas suteikti galimybę jais naudotis trečiosioms šalims tiesioginės rinkodaros tikslais. Kad ir koks būtų scenarijus, atrodo aišku, kad 14 straipsnio 1 dalies b punktas taikomas tik tais atvejais, kai asmens duomenys turi būti tvarkomi „tiesioginės rinkodaros tikslais“. Kitaip tariant, joje nenumatyta bendra teisė nesutikti su duomenų perdavimu trečiosioms šalims, kai yra tik galimybė, kad asmens duomenys bus tvarkomi tiesioginės rinkodaros tikslais, kaip bus įprasta, kai visuomenė galės susipažinti su viešojo sektoriaus bylose esančiais duomenimis.

1.5 Savo nuomonėje Komisija iš esmės paaiškino mananti, kad 14 straipsnio 1 dalies b punktas taikomas tik toms įstaigoms, kurios pačios ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais. Be to, Komisija manė, kad tokios įstaigos gali būti tik nevalstybinės įstaigos arba konkurencingos viešosios teisės reglamentuojamos įmonės (7). Savo nuomonėje EDAPP nurodė, kad 14 straipsnio 1 dalies b punktas taip pat gali apimti atvejį, kai duomenų valdytojas tvarko duomenis siekdamas suteikti galimybę jais naudotis trečiosioms šalims tiesioginės rinkodaros tikslais. Tačiau EDAPP padarė išvadą, kad 14 straipsnio 1 dalies b punkte nenumatyta bendra teisė prieštarauti duomenų perdavimui trečiosioms šalims, kai yra tik galimybė, kad asmens duomenys bus tvarkomi tiesioginės rinkodaros tikslais, kaip bus įprasta, kai visuomenė galės susipažinti su viešojo sektoriaus bylose esančiais duomenimis.

1.6 Ombudsmenas pažymėjo, kad pagal Duomenų apsaugos direktyvos 2 straipsnio b punktą "asmens duomenų tvarkymas"- tai bet kokia su asmens duomenimis atliekama operacija ar operacijų seka [...]"(8). Be to, direktyvos 2 straipsnio d punkte nustatyta, kad „duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones“. Direktyvos 14 straipsnio 1 dalies b punkte nurodytos sąvokos „tvarkymas“ ir „duomenų valdytojas“ negali būti aiškinamos siauriau. Tačiau Komisijos nuomonė, kad 14 straipsnio 1 dalies b punktas taikomas tik toms įstaigoms, kurios pačios ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais, reiškia siauresnį sąvokos „tvarkymas“ aiškinimą, nes ji, inter alia, neapima tokių duomenų tvarkymo veiksmų kaip „atskleidimas perduodant, platinant ar kitu būdu sudarant galimybę jais naudotis“(2 straipsnio b punktas). Be to, atrodo, kad pagal Komisijos aiškinimą 14 straipsnio 1 dalies b punkte vartojama sąvoka „duomenų valdytojas“ neapima valdžios institucijų ir įstaigų, kurios nėra „konkurencingos viešosios teisės reglamentuojamos įmonės“ (žr. pastabas 1.5 punkte), nepaisant to, kad direktyvos 2 straipsnio d punkte yra aiški nuoroda į „valdžios instituciją“, ir nepaisant to, kad 14 straipsnio 1 dalies b punkto tekste toks skirtumas nedaromas.

1.7 Savo nuomonėje Komisija nurodė, kad pirmiau minėtas jos aiškinimas atspindi "teisės aktų leidėjo ketinimą". Tačiau Komisija šiuo klausimu nepateikė jokios konkrečios informacijos.

1.8 Atsižvelgdamas į tai, kas išdėstyta pirmiau, ombudsmenas nusprendė, kad Komisija nepateikė pagrįstų ir įtikinamų argumentų dėl 14 straipsnio 1 dalies b punkto aiškinimo, kuriais remdamasi ji manė, kad ši nuostata negali būti taikoma skundo pateikėjo nurodytoms aplinkybėms, ir dėl kurių ji pateikė atsakymą, kaip tai padarė. Ombudsmenė nustatė, kad tai gali būti netinkamo administravimo atvejis, todėl toliau pateikė pasiūlymą dėl draugiško sprendimo.

Pasiūlymas dėl draugiško sprendimo

Ombudsmenė pasiūlė Komisijai apsvarstyti galimybę iš naujo išnagrinėti savo atsakymą skundo pateikėjui ir atnaujinti skundo pateikėjo skunde dėl pažeidimo iškeltų klausimų tyrimą.

Europos Komisijos atsakymas Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto
aiškinimas

Komisija nusprendė atlikti naują teisinę bylos analizę ir savo pačios pateiktą Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto aiškinimą, atsižvelgdama į skundo pateikėjo ir ombudsmeno argumentus, pateiktus jo pasiūlyme dėl draugiško sprendimo.

Direktyvos 14 straipsnio 1 dalies b punkte nustatyta teisė nesutikti, kad asmens duomenys būtų naudojami tiesioginės rinkodaros tikslais, yra papildoma subjektyvi duomenų subjekto teisė be jokių apribojimų ar papildomų sąlygų. Ši teisė nukreipta prieš duomenų valdytoją tiek viešajame, tiek privačiajame sektoriuje, nes Duomenų apsaugos direktyvos nuostatos taikomos abiem. Komisija neapribojo savo taikymo srities neviešosiomis įstaigomis ar konkurencingomis viešosios teisės reglamentuojamomis įmonėmis, kurioms taikoma Vokietijos federalinio duomenų apsaugos įstatymo 28 straipsnio 4 dalis.

Todėl būtina, kad valstybės narės užtikrintų, jog 14 straipsnio 1 dalies b punktas visų pirma būtų taikomas tiems duomenų valdytojams, kurie patys ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais. Šį aiškinimą patvirtina teksto redakcija vokiečių kalba („gegen eine vom für die Verarbeitung Verantwortlichen beabsichtigte Verarbeitung“).

Tačiau, kaip Komisija jau pažymėjo savo 2004 m. lapkričio 17 d. atsakyme, Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotė šiuo atžvilgiu nėra visiškai vienareikšmė, ypač jį siejant su 2 straipsnio b punktu (duomenų tvarkymo sąvokos apibrėžtis) ir d punktu (duomenų valdytojo sąvokos apibrėžtis). Komisija peržiūrėjo versijas anglų ir prancūzų kalbomis („kurias duomenų valdytojas numatė“; „au traitement des données à caractère personnel la concernant envisagé par le responsable du traitement“ir mano, kad šios kalbinės versijos taip pat galėtų būti aiškinamos kaip skirtos ne tik duomenų valdytojo ketinimams, bet ir konkrečioms žinioms apie duomenų tvarkymo operaciją tiesioginės rinkodaros tikslais. Šie tikslai galėtų būti duomenų valdytojo arba trečiosios šalies tikslai.

Struktūrinio dialogo su valstybėmis narėmis ir Vokietijos teisės aktais rezultatai

Europos bendrijos ir Vokietijos teisinė aplinka nėra vienoda:

a) Europos bendrijoje struktūrinio dialogo su valstybėmis narėmis dėl direktyvos įgyvendinimo, kurį pradėjo Laisvės, saugumo ir teisingumo generalinio direktorato Duomenų apsaugos skyrius, rezultatai rodo, kad dauguma valstybių narių Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą aiškino plačiai, suteikdamos bendrą teisę nesutikti su visomis duomenų tvarkymo operacijomis tiesioginės rinkodaros tikslais. Todėl Komisija ketina remtis šia neseniai surinkta informacija ir kartu su valstybėmis narėmis spręs šiek tiek platesnio Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto aiškinimo klausimą. Tikimasi, kad bus patobulinti nacionalinės teisės aktai, užtikrinant tinkamą bendrosios teisės nesutikti su visomis duomenų tvarkymo operacijomis tiesioginės rinkodaros tikslais įgyvendinimą, o tai bus naudinga valstybių narių piliečiams.

b) Kai kurios Vokietijos federalinės žemės užtikrina teisę nesutikti tiesioginės rinkodaros tikslais konkrečiu atveju, kai katalogų leidėjai (privačios įmonės) prašo registro biurų pateikti asmens duomenis. Tuo tarpu, iš dalies pakeitus Vokietijos federalinį pagrindų registracijos įstatymą, Hamburgo įstatyme nustatyta bendra asmenų teisė prieštarauti dėl privačių asmenų internetu pateiktų prašymų pateikti informaciją.

Būsimi veiksmai, kurių turi imtis Komisija

Pripažindama, kad gali prireikti šiek tiek platesnio Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto aiškinimo, Komisija ketina kartu su valstybėmis narėmis spręsti platesnio aiškinimo klausimą. Atsižvelgdama į tai, Komisija taip pat nagrinės konkretų Hamburgo teisės aktų atvejį. Skundo pateikėjas bus atitinkamai informuotas.

Skundo pateikėjo pastabos

Skundo pateikėjas palankiai įvertino Komisijos atsakymą į ombudsmeno pasiūlymą dėl draugiško sprendimo, kurį jis laikė sėkmingu. Jis padėkojo ombudsmenui už tai, kad išnagrinėjo bylą.

SPRENDIMĄ

1 Kaltinimas dėl klaidingo aiškinimo - Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto taikymo sritis

1.1 Skundo pateikėjas, Vokietijos pilietis, pateikė Europos Komisijai skundą dėl pažeidimo. Skundas dėl pažeidimo buvo susijęs su Hamburgo valstijos registracijos įstatymu (toliau – Registracijos įstatymas). Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (toliau – Reglamentas (ES) 2016/679) ir jo įgyvendinamuosius teisės aktus.

Skundo pateikėjo teigimu, pagal Registracijos įstatymą Hamburgo valstijos turimus asmens duomenis buvo leidžiama perduoti tretiesiems asmenims neinformavus duomenų subjekto ir nesuteikus jam galimybės prieštarauti, net jei buvo aišku, kad šie tretieji asmenys ketina parduoti duomenis tiesioginės rinkodaros tikslais. Skundo pateikėjo nuomone, taip buvo pažeistas Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktas(10).

2004 m. sausio 14 d. ir vasario 2 d. raštais Komisija informavo skundo pateikėją, kad iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto negalima nustatyti atskiros teisės prieštarauti visoms viešosioms įstaigoms, įskaitant viešąjį registrą.

Kalbant konkrečiai apie tiesioginę rinkodarą, Komisija informavo skundo pateikėją, kad 14 straipsnio 1 dalies b punktas taikomas tik subjektui, kuris iš tikrųjų ketina naudoti asmens duomenis tiesioginei rinkodarai. Viešasis registras, kuriame renkami ir tvarkomi atitinkami asmens duomenys, nepatenka į šią kategoriją.

Skunde Europos ombudsmenui skundo pateikėjas teigė, kad Komisijos atsakymas į jo skundą dėl pažeidimo buvo teisiškai klaidingas. Jis teigė, kad Komisija turėtų atnaujinti jo skundo dėl pažeidimo tyrimą.

1.2 Savo nuomonėje Komisija laikėsi nuomonės, kurią jau buvo pateikusi skundo pateikėjui. Jis nurodė, kad Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotė nėra visiškai aiški, ypač kai jis skaitomas kartu su direktyvos 2 straipsnio b ir d punktais. Tačiau aiškinant direktyvą taip pat reikėtų atsižvelgti į teisės aktų leidėjo ketinimą užtikrinti, kad 14 straipsnio 1 dalies b punktas būtų taikomas tik toms įstaigoms, kurios pačios ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais. Šis ketinimas aiškiai matyti iš 14 straipsnio 1 dalies b punkto, kai kalbama apie numatomą duomenų tvarkymą tiesioginės rinkodaros tikslais. (Tokius duomenis skelbiančios viešosios įstaigos pačios neplanuoja tvarkyti duomenų tiesioginės rinkodaros tikslais. Jie perduoda duomenis pagal jiems nustatytas teisines prievoles, šiuo atveju - Registracijos įstatymo 34 straipsnį.) Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą Vokietija perkėlė į nacionalinę teisę Federalinio duomenų apsaugos įstatymo 28 straipsnio 4 dalimi, pagal kurią nevalstybinėms įstaigoms ir konkurencingoms viešosios teisės reglamentuojamoms įmonėms, taigi ir potencialiems reklamuotojams, draudžiama naudoti asmens duomenis, jei duomenų subjektas pateikia prieštaravimą. Vis dėlto neatskiriama teisė prieštarauti, kad viešosios įstaigos, kaip antai registravimo institucija, naudotų tokius asmens duomenis, negali būti kildinama nei iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotės, nei iš jo tikslo.

1.3 Savo pastabose dėl Komisijos nuomonės skundo pateikėjas laikėsi savo teiginio ir tvirtinimo. 2005 m. birželio 7 d. ombudsmenas paprašė Europos duomenų apsaugos priežiūros pareigūno (EDAPP) pateikti savo nuomonę šiuo klausimu, kuri 2005 m. birželio 29 d. buvo nusiųsta ombudsmenui.

1.4 2005 m. gruodžio 13 d. ombudsmenas pateikė draugišką pasiūlymą dėl sprendimo. Savo laiške Komisijai ombudsmenas pažymėjo, kad pagal Duomenų apsaugos direktyvos 2 straipsnio b punktą „asmens duomenų tvarkymas“– tai bet kokia su asmens duomenimis atliekama operacija ar operacijų seka [...]“(11). Be to, direktyvos 2 straipsnio d punkte nustatyta, kad „duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir priemones“. Direktyvos 14 straipsnio 1 dalies b punkte nurodytos sąvokos „tvarkymas“ ir „duomenų valdytojas“ negali būti aiškinamos siauriau.

Tačiau Komisijos nuomonė, kad 14 straipsnio 1 dalies b punktas taikomas tik toms įstaigoms, kurios pačios ketina naudoti asmens duomenis savo tiesioginės rinkodaros tikslais, reiškia siauresnį sąvokos „tvarkymas“ aiškinimą, nes ji, inter alia, neapima tokių duomenų tvarkymo veiksmų kaip „atskleidimas perduodant, platinant ar kitu būdu sudarant galimybę jais naudotis“(2 straipsnio b punktas). Be to, atrodo, kad pagal Komisijos aiškinimą 14 straipsnio 1 dalies b punkte vartojama sąvoka „duomenų valdytojas“ neapima valdžios institucijų ir įstaigų, kurios nėra „konkurencingos viešosios teisės reglamentuojamos įmonės“, nepaisant direktyvos 2 straipsnio d punkte pateiktos aiškios nuorodos į „valdžios instituciją“ ir to, kad 14 straipsnio 1 dalies b punkto tekste toks skirtumas nedaromas.

1.5 Atsižvelgdamas į tai, kas išdėstyta pirmiau, ombudsmenas nusprendė, kad Komisija nepateikė pagrįstų ir įtikinamų argumentų dėl 14 straipsnio 1 dalies b punkto aiškinimo, kuriais remdamasi ji manė, kad ši nuostata negali būti taikoma skundo pateikėjo nurodytoms aplinkybėms, ir dėl kurių ji pateikė atsakymą, kaip tai padarė.

Ombudsmenė nustatė, kad tai gali būti netinkamo administravimo atvejis, todėl pateikė draugišką sprendimo pasiūlymą, pagal kurį Komisija galėtų apsvarstyti galimybę iš naujo išnagrinėti savo atsakymą skundo pateikėjui ir apsvarstyti galimybę atnaujinti skundo pateikėjo skunde dėl pažeidimo iškeltų klausimų tyrimą.

1.6 Atsakydama į ombudsmenės pasiūlymą dėl draugiško sprendimo, Komisija pateikė atnaujintą teisinę analizę, kurią ji atliko atsižvelgdama į ombudsmenės pasiūlyme dėl draugiško sprendimo pateiktus argumentus. Komisija, inter alia, pažymėjo, kad ji peržiūrėjo direktyvos 14 straipsnio 1 dalies b punkto versijas anglų ir prancūzų kalbomis („ which the controller expects “; „au traitement des données à caractère personnel la concernant envisagé par le responsable du traitement“ir mano, kad šios kalbinės versijos taip pat galėtų būti aiškinamos kaip orientuotos ne tik į duomenų valdytojo ketinimus, bet ir į konkrečias žinias apie duomenų tvarkymo operaciją tiesioginės rinkodaros tikslais. Šie tikslai galėtų būti duomenų valdytojo arba trečiosios šalies tikslai.

Taigi Komisija pripažino, kad gali reikėti plačiau aiškinti Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą. Todėl kartu su valstybėmis narėmis būtų sprendžiamas klausimas dėl platesnio Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto aiškinimo. Atsižvelgdama į tai, Komisija taip pat nagrinėtų konkretų Hamburgo teisės aktų atvejį. Komisija įsipareigojo tinkamai informuoti skundo pateikėją.

1.7 Savo pastabose skundo pateikėjas palankiai įvertino Komisijos atsakymą į draugiško sprendimo pasiūlymą, kurį jis laikė sėkmingu, ir padėkojo ombudsmenui už bylos nagrinėjimą.

Išvada

Ombudsmenui ėmusis iniciatyvos, paaiškėjo, kad skundas išspręstas draugiškai. Todėl ombudsmenas užbaigia bylą.

Apie šį sprendimą taip pat bus pranešta Komisijos pirmininkui.

Ombudsmeno sprendimo kopija taip pat bus nusiųsta susipažinti Europos duomenų apsaugos priežiūros pareigūnui.

Jūsų nuoširdžiai,

 

P. Nikiforos DIAMANDOUROS

---

(1) Oficialusis leidinys 1995 L 281, p. 31.

(2) http://europa.eu.int/comm/internal_market/privacy/workingroup/wp2005/wpdocs05_en.htm

(3) Dėl šio pasiūlymo buvo priimta Europos Parlamento ir Tarybos direktyva 2003/98/EB dėl viešojo sektoriaus dokumentų pakartotinio naudojimo, OL L 345, 2003, p. 90.

(4) Skundo pateikėjas nurodė šią EDAPP nuomonės dalį:

„Panašu, kad 14 straipsnio 1 dalyje nurodytos galimybės nėra visiškai lygiavertės. Pirmoji galimybė skirta duomenų valdytojui ir, atrodo, reikalauja, kad jis pats ketintų tvarkyti duomenis tiesioginės rinkodaros tikslais. Antroji galimybė susijusi su informacijos atskleidimu trečiosioms šalims arba naudojimu jų vardu tiesioginės rinkodaros tikslais. Tačiau iš tikrųjų gali būti tam tikrų sutapimų, ypač tais atvejais, kai duomenų valdytojas tvarko duomenis siekdamas suteikti galimybę jais naudotis trečiosioms šalims tiesioginės rinkodaros tikslais.“

(5) 1994 m. kovo 9 d. Europos Parlamento sprendimas 94/262 dėl ombudsmeno pareigų atlikimą reglamentuojančių nuostatų ir bendrųjų sąlygų, OL L 113, 1994, p. 15.

(6) Oficialusis leidinys 1995 L 281, p. 31.

(7) Komisija savo nuomonėje nurodė, kad „Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punktą Vokietija perkėlė į nacionalinę teisę Federalinio duomenų apsaugos įstatymo 28 straipsnio 4 dalimi, pagal kurią nevalstybinėms įstaigoms ir konkurencingoms viešosios teisės reglamentuojamoms įmonėms, taigi ir potencialiems reklamuotojams, draudžiama naudoti asmens duomenis, jei duomenų subjektas pateikia prieštaravimą“, ir kad „nei iš Duomenų apsaugos direktyvos 14 straipsnio 1 dalies b punkto formuluotės, nei iš jo tikslo neišplaukia neatskiriama teisė prieštarauti viešosioms įstaigoms, pvz., registravimo institucijai“.

(8) Asmens duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.

(9) Oficialusis leidinys 1995 L 281, p. 31.

- teisę nesutikti su asmens duomenų tvarkymu;

Valstybės narės suteikia duomenų subjektui teisę:

a) bent 7 straipsnio e ir f punktuose nurodytais atvejais bet kuriuo metu dėl įtikinamų teisėtų priežasčių, susijusių su jo konkrečia padėtimi, nesutikti, kad būtų tvarkomi su juo susiję duomenys, išskyrus atvejus, kai nacionalinės teisės aktuose nustatyta kitaip. Jei yra pagrįstas prieštaravimas, duomenų valdytojo inicijuotas duomenų tvarkymas nebegali būti susijęs su tais duomenimis;

- nesutikti, kad būtų tvarkomi jo asmens duomenys, kai šie duomenys tvarkomi ar ketinami tvarkyti tiesioginės rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara; - nesutikti, kad būtų tvarkomi jo asmens duomenys, kai šie duomenys tvarkomi ar ketinami tvarkyti tiesioginės rinkodaros tikslais, įskaitant profiliavimą, kiek jis susijęs su tokia tiesiogine rinkodara;

Valstybės narės imasi būtinų priemonių užtikrinti, kad duomenų subjektai žinotų apie b punkto pirmoje pastraipoje nurodytą teisę.“

Asmens duomenų tvarkymas –bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas.