C-77/21

62021CC0077

NÁVRHY GENERÁLNEHO ADVOKÁTA

PRIIT PIKAMÄE

prednesené 31. marca 2022 ( 1 )

Vec C‑77/21

Digi Távközlési és Szolgáltató Kft.

2.

To je jedna z otázok nastolených v prejednávanej veci, ktorá umožní Súdnemu dvoru doplniť jeho čoraz bohatšiu judikatúru týkajúcu sa nariadenia (EÚ) 2016/679 ( 2 ), pokiaľ ide konkrétnejšie o zásady obmedzenia účelu a minimalizácie uchovávania formulované v článku 5 ods. 1 písm. b) a e) tohto aktu.

I. Právny rámec

3.

V prejednávanej veci sú relevantné články 4 až 6, 13 a 32 GDPR.

II. Spor vo veci samej a prejudiciálne otázky

7.

Po vymazaní testovacej databázy Digi 25. septembra 2019 oznámila porušenie osobných údajov na Nemzeti Adatvédelmi és Információszabadság Hatóság (Národný úrad na ochranu údajov a slobodu informácií, ďalej len „Úrad“), v nadväznosti na čo tento Úrad začal vyšetrovanie.

8.

V rozhodnutí z 18. mája 2020 Úrad najmä dospel k záveru na jednej strane, že Digi porušila článok 5 ods. 1 písm. b) a e) GDPR tým, že po vykonaní nevyhnutných testov a odstránení problémov nevymazala testovaciu databázu, takže veľké množstvo osobných údajov bolo v tejto databáze uchovávaných bez akéhokoľvek účelu takmer 18 mesiacov v súbore, ktorý mohol umožňovať identifikáciu dotknutých osôb, pričom nevymazanie tejto databázy umožnilo porušenie osobných údajov. Na druhej strane sa Úrad domnieval, že Digi porušila článok 32 ods. 1 a 2 GDPR. Za týchto okolností Úrad uložil spoločnosti Digi pokutu vo výške 100000000 maďarských forintov (HUF) (približne 270000 eur).

9.

Digi napadla zákonnosť tohto rozhodnutia na vnútroštátnom súde.

„1.

Má sa zásada ‚obmedzenie účelu‘ vymedzená v článku 5 ods. 1 písm. b) [GDPR]… vykladať v tom zmysle, že je v súlade s uvedenou zásadou, ak prevádzkovateľ súbežne uchováva v inej databáze osobné údaje, ktoré boli inak získané na obmedzený legitímny účel a uchovávané spôsobom, ktorý je zlučiteľný s týmto účelom, alebo naopak v tom zmysle, že uchovávanie údajov v paralelnej databáze už nie je zlučiteľné s legitímnym účelom, na ktorý boli predmetné údaje získané?

2.

Ak sa odpovie na prvú prejudiciálnu otázku v tom zmysle, že súbežné uchovávanie údajov je v zásade nezlučiteľné so zásadou ‚obmedzenia účelu‘, je toto uchovávanie teda zlučiteľné so zásadou ‚minimalizácie uchovávania‘ stanovenou v článku 5 ods. 1 písm. e) [GDPR], ak prevádzkovateľ súbežne uchováva v inej databáze osobné údaje, ktoré boli inak získané a uchovávané na obmedzený legitímny účel?“

III. Konanie na Súdnom dvore

13.

15.

Z ustálenej judikatúry Súdneho dvora vyplýva, že prináleží iba vnútroštátnemu súdu, ktorý prejednáva spor a nesie zodpovednosť za následné súdne rozhodnutie, aby so zreteľom na osobitosti veci posúdil tak potrebu rozhodnutia v prejudiciálnom konaní na vydanie svojho rozsudku, ako aj relevantnosť otázok, ktoré kladie Súdnemu dvoru. Pokiaľ sa teda položené otázky týkajú výkladu alebo platnosti právneho pravidla Únie, Súdny dvor je v zásade povinný rozhodnúť. Z toho vyplýva, že pri otázkach položených vnútroštátnymi súdmi platí prezumpcia relevantnosti. Súdny dvor môže odmietnuť rozhodnúť o prejudiciálnej otázke položenej vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad nemá nijakú súvislosť s existenciou alebo predmetom sporu vo veci samej, ak ide o hypotetický problém alebo ak Súdny dvor nedisponuje skutkovými ani právnymi informáciami potrebnými na užitočnú odpoveď na uvedené otázky. V tomto prípade návrh na začatie prejudiciálneho konania obsahuje skutkové a právne okolnosti, ktoré sú dostatočné na pochopenie rozsahu prejudiciálnych otázok. Okrem toho a predovšetkým žiadna skutočnosť v spise, ktorý má Súdny dvor k dispozícii, neumožňuje domnievať sa, že požadovaný výklad práva Únie nemá súvislosť s existenciou alebo predmetom sporu vo veci samej, alebo že ide o hypotetický problém. ( 3 )

16.

V tejto súvislosti treba uviesť, že na vnútroštátny súd je podaná žaloba, v ktorej sa navrhuje zrušenie rozhodnutia, ktorým bola spoločnosti Digi uložená sankcia ako prevádzkovateľovi z dôvodu údajného porušenia zásad obmedzenia účelu a minimalizácie uchovávania uvedených v článku 5 ods. 1 písm. b) a e) GDPR, ktorého sa týka žiadosť tohto súdu o výklad. Návrh na začatie prejudiciálneho konania treba preto považovať za prípustný.

19.

Smernica 2002/58 v súlade s jej článkom 1 ods. 2 spresňuje a dopĺňa smernicu 95/46/ES ( 6 ) na účely uvedené v odseku 1, pričom podľa článku 94 ods. 2 GDPR sa odkazy na smernicu 95/46, obsiahnuté v smernici 2002/58, považujú za odkazy na toto nariadenie. ( 7 ) Podľa odôvodnenia 10 smernice 2002/58 sa v elektronickom komunikačnom sektore smernica 95/46 uplatňuje najmä na všetky aspekty ochrany základných práv a slobôd, ktoré nie sú výslovne predmetom ustanovení smernice 2002/58, vrátane povinností prevádzkovateľa osobných údajov a práv jednotlivcov. ( 8 )

20.

Podľa článku 5 GDPR je povinnosťou prevádzkovateľa zabezpečiť, že osobné údaje sú „spracúvané zákonným spôsobom, spravodlivo a transparentne“ [písmeno a)], že sú „získavané na konkrétne určené, výslovne uvedené a legitímne účely a [nebudú] sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi“ [písmeno b)], že sú „primerané, relevantné a [nie nadbytočné] vzhľadom na účely, na ktoré sa [získavajú a ďalej spracúvajú]“ [písmeno c)], že sú „správne a podľa potreby aktualizované“ [písmeno d)] a napokon, že sú „uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na [dosiahnutie účelov], na ktoré sa osobné údaje [získavajú alebo ďalej spracúvajú]“ [písmeno e)], pričom spracúvanie údajov na historické, štatistické alebo vedecké účely upravujú osobitné ustanovenia. V tejto súvislosti musí tento prevádzkovateľ prijať všetky primerané opatrenia, aby sa údaje, ktoré nespĺňajú požiadavky tohto ustanovenia, vymazali alebo opravili. ( 11 )

C.

O rozsahu návrhu na začatie prejudiciálneho konania

23.

Vnútroštátny súd chce získať od Súdneho dvora usmernenia k výkladu zásad obmedzenia účelu a minimalizácie uchovávania zakotvených v článku 5 ods. 1 písm. b) a e) GDPR, čo sa odráža vo formulácii dvoch odlišných prejudiciálnych otázok týkajúcich sa týchto ustanovení. Napriek tomu je druhá otázka týkajúca sa zásady minimalizácie uchovávania formulovaná iba pod podmienkou, že je dotknuté spracúvanie údajov nezlučiteľné so zásadou obmedzenia účelu.

24.

26.

Považujem za potrebné na úvod preskúmať pôsobnosť zásad definovaných v článku 5 ods. 1 písm. b) a e) GDPR, a to v súvislosti s pojmom uchovávania, ktorý bol v rozhodnutí vnútroštátneho súdu a v písomnostiach zainteresovaných strán použitý na opis vytýkanej spracovateľskej operácie z dvoch uhlov pohľadu. Prvý uhol pohľadu sa týka samotného úkonu uchovania alebo zálohovania údajov, v tomto prípade uloženia kópie údajov časti predplatiteľov spoločnosti Digi do dodatočnej internej databázy. Druhý uhol pohľadu zohľadňuje uchovávanie v zmysle udržiavania tejto databázy počas určitého času. Položená otázka je teda otázkou trvania uloženia údajov. V tejto súvislosti sa na vyššie uvedenú časovú otázku podľa môjho názoru nevzťahuje zásada obmedzenia účelu, ale výlučne zásada minimalizácie uchovávania.

27.

Zásada obmedzenia účelu upravená v článku 5 ods. 1 písm. b) GDPR má dvojakú zložku: osobné údaje musia byť na jednej strane získané na „konkrétne určené, výslovne uvedené a legitímne účely“ a na druhej strane sa nesmú ďalej „spracúvať spôsobom, ktorý nie je zlučiteľný“ s týmito účelmi. Táto zásada má čo najjasnejšie vymedziť používanie osobných údajov zaručením rovnováhy medzi rešpektovaním základných práv dotknutých osôb v oblasti súkromného života a ochrany údajov a priznaním určitej flexibility prevádzkovateľovi pri správe týchto údajov, ako to vyžaduje digitálny život a jeho náhody.

28.

Vo svojej druhej zložke, ktorá nás v tomto prípade zvlášť zaujíma, má uvedená zásada definovať rámec, v ktorom osobné údaje získané na daný účel možno použiť opakovane . V súlade s článkom 5 ods. 1 písm. b) GDPR treba každé spracúvanie po získaní údajov považovať za „ďalšie spracúvanie“, ktoré preto v prípade, ak sa naň nevzťahuje výnimka, musí spĺňať požiadavku zlučiteľnosti. ( 14 ) Táto požiadavka vyjadruje potrebu konkrétnej, logickej a dostatočne úzkej súvislosti medzi účelom získania údajov a ich ďalším spracúvaním. Inak povedané, toto spracúvanie nesmie byť odtrhnuté od pôvodného účelu získania údajov alebo sa s ním dostať do rozporu, pričom jeho obsah musí byť bez ohľadu na akýkoľvek časový aspekt zlučiteľný s dôvodom, na ktorý boli údaje získané.

2. O zásade obmedzenia účelu

32.

Overenie dodržania tejto zásady v jej druhej zložke si vyžaduje najprv určiť účel alebo účely získania daných údajov. Zo spisu predloženého Súdnemu dvoru vyplýva, že tieto údaje Digi získala na účely uzavretia a plnenia zmlúv o predplatených službách, ktoré ponúka ako poskytovateľ prístupu na internet a k televíznemu vysielaniu, a že zákonnosť tohto prvého spracúvania nie je medzi účastníkmi konania vo veci samej predmetom diskusie. To platí aj pre následnú spracovateľskú operáciu, ktorej sa nedalo vyhnúť a ktorá spočívala v uložení uvedených údajov na vyhradený nosič, ktorý budem označovať ako pôvodná databáza. ( 18 ) V tomto kontexte chce vnútroštátny súd najmä získať odpoveď na otázku, či je konkrétne určený, výslovne uvedený a legitímny účel získania údajov „zmenený“ tým, že tieto údaje boli skopírované do databázy pridanej k prvému uloženiu, ktoré medzi účastníkmi konania nie je sporné.

33.

Podľa judikatúry Súdneho dvora musia byť pravidlá ochrany osobných údajov obsiahnuté v GDPR dodržané pri každom spracúvaní osobných údajov definovanom v článku 2 tohto nariadenia. ( 19 ) Myslím si, že vyššie uvedená otázka vyjadruje nepochopenie požiadavky individuálneho posúdenia všetkých spracovateľských operácií vykonávaných s údajmi po ich získaní, ktorá v tomto prípade vyplýva z článku 5 ods. 1 písm. b) GDPR.

34.

a) O účeloch spracúvania

37.

Zo spisu predloženého Súdnemu dvoru a konkrétnejšie z vyhlásení spoločnosti Digi vyplýva, že v nadväznosti na technickú poruchu servera, ktorá spôsobila nedostupnosť pôvodnej databázy, tento podnik uložil kópiu údajov časti predplatiteľov do dodatočnej internej databázy, nazývanej „testovacia“ databáza, aby napravil technický problém a zabezpečil prístup k údajom v súlade s povinnosťou uloženou prevádzkovateľovi v článku 5 ods. 1 písm. f) a podrobne upravenou v článku 32 GDPR. ( 21 ) Digi tvrdí, že aj táto spracovateľská operácia tak prispela k tomu, aby bol dosiahnutý účel získania údajov, teda poskytovanie zmluvne dohodnutej služby. Za týchto okolností vytýkané uloženie nemá odlišný účel, čo vylučuje akékoľvek porušenie článku 5 ods. 1 písm. b) tohto nariadenia.

38.

Hoci overenie zákonnosti vyššie uvedenej spracovateľskej operácie najmä so zreteľom na požiadavky stanovené v článku 5 GDPR a všetky okolnosti, ktorými sa vyznačuje daný prípad, je celkom evidentne úlohou vnútroštátneho súdu, možno mu na tento účel poskytnúť viaceré usmernenia.

39.

42.

Ako sa zdôrazňuje v stanovisku 3/2013, ktoré vydala pracovná skupina podľa článku 29 ( 22 ), táto požiadavka presnosti platí pre každú spracovateľskú operáciu a nie iba v pôvodnom štádiu získavania údajov. Je zaujímavé uviesť, že v prípade spracúvania údajov na základe súhlasu dotknutej osoby, bude toto spracúvanie v súlade s článkom 6 ods. 1 písm. a) GDPR zákonné iba vtedy, ak táto osoba súhlasila s týmto spracúvaním na jeden alebo viacero „konkrétnych“ účelov.

43.

Za týchto okolností platí, že hoci dané spracúvanie môže sledovať naplnenie dvoch účelov, každý z nich musí byť presný a mať objektívny a dostatočne úzky vzťah s danou spracovateľskou operáciou.

44.

V druhom rade treba pripomenúť osobitný kontext, v ktorom sa musí posúdiť účel alebo účely ďalšieho spracúvania, o ktoré ide v tejto veci.

48.

V tejto súvislosti možno v rámci overenia tohto účelu zohľadniť dve konkrétne a objektívne skutočnosti. Po prvé článok 13 ods. 3 GDPR stanovuje, že keď sú osobné údaje týkajúce sa dotknutej osoby získané od tejto osoby a prevádzkovateľ má v úmysle ďalej spracúvať osobné údaje na iný účel, ako bol účel ich získania, poskytne tento prevádzkovateľ dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele ( 24 ) a ďalšie relevantné informácie uvedené v odseku 2 tohto ustanovenia. Po druhé článok 30 ods. 1 GDPR ukladá každému prevádzkovateľovi povinnosť viesť v písomnej podobe vrátane elektronickej podoby záznamy o spracovateľských činnostiach, za ktoré je zodpovedný a na požiadanie ich sprístupniť dozornému orgánu. Tieto záznamy obsahujú rôzne informácie vrátane informácií o účeloch spracúvania.

49.

V tomto prípade sa zdá preukázané, že Digi neinformovala žiadneho z dotknutých predplatiteľov o svojom úmysle skopírovať ich údaje a uložiť ich na interný nosič určený na vykonanie testov a opravu chýb, keďže sa domnievala, že táto spracovateľská operácia nemala účel odlišný od účelu získania údajov a teda nepatrila do pôsobnosti článku 13 ods. 3 GDPR. ( 25 ) Spis predložený Súdnemu dvoru navyše neumožňuje určiť, či je Digi v takej situácii, že môže využiť oslobodenie od povinnosti viesť záznamy upravenej v článku 30 ods. 5 tohto nariadenia. ( 26 )

50.

V každom prípade zdôrazňujem, že na pojednávaní Digi jasne uviedla, že technická porucha, ku ktorej došlo v roku 2018, nemala za následok prerušenie zmluvnej dohodnutej služby, pričom k vytýkanému uloženiu údajov došlo iba s ohľadom na riziko takéhoto prerušenia. Tieto vyhlásenia treba spojiť s objektívnymi vecnými zisteniami týkajúcimi sa výberu názvu databázy, nazývanej „testovacia“ databáza, skutočnosti, že táto databáza neobsahovala údaje všetkých predplatiteľov, ale iba tretiny z nich, a že po tom, čo na ňu Digi zabudla počas 18 mesiacov po vyriešení pôvodnej technickej poruchy, bola uvedená databáza okamžite vymazaná po hackerskom útoku v septembri 2019, ktorý sa dotkol bezpečnosti údajov.

Tento abstraktný a automatický prístup sa mi zdá byť v rozpore s požiadavkou posúdenia zákonnosti každej spracovateľskej operácie so zreteľom na všetky relevantné okolností danej veci. Práve tento prístup v skutočnosti zbavuje potrebného účinku povinnosť upravenú v článku 13 ods. 3 GDPR, a to poskytnúť dotknutým osobám informácie, ktoré im prevádzkovateľ musí poskytnúť, aby vo vzťahu k nim zabezpečil spravodlivé spracúvanie údajov. ( 27 ) Táto povinnosť má záväznú povahu vtedy, keď sú osobné údaje spracúvané tak, ako v tomto prípade, v rámci zmluvného vzťahu a na základe článku 6 ods. 1 písm. b) tohto aktu, ktorý sa týka nevyhnutnosti plniť zmluvu, bez toho, aby sa vyžadoval súhlas druhej zmluvnej strany. Napokon uvedený prístup nezohľadňuje dôvod existencie článku 5 ods. 1 písm. b) GDPR, t. j. že ďalšie spracúvanie sledujúce účel odlišný od účelu získania údajov nie je nevyhnutne nezákonné, keďže na dodržanie uvedeného ustanovenia stačí iba jeho zlučiteľnosť s týmto účelom.

b) O zlučiteľnosti spracúvania

54.

Článok 5 ods. 1 písm. b) GDPR neobsahuje žiadnu informáciu k podmienkam, za ktorých možno ďalšie spracúvanie plniace cieľ odlišný od účelu pôvodného získania údajov považovať za zlučiteľné s týmto účelom. V tejto súvislosti treba odkázať na článok 6 ods. 4 GDPR v spojení s odôvodnením 50 tohto aktu, ktorého obsah vyjadruje vzťah medzi zásadou obmedzenia účelu a právnym základom dotknutého spracúvania.

55.

Toto ustanovenie tak v prípade požiadavky zlučiteľnosti robí rozdiel v závislosti od toho, či spracúvanie na iný účel ako na účel, na ktorý boli údaje získané, je alebo nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1 GDPR.

a)

akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;

b)

okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;

c)

povahu osobných údajov, najmä či sa spracúvajú osobitné kategórie osobných údajov podľa článku 9 alebo osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa článku 10;

59.

V tejto súvislosti nepopierateľne existuje prepojenie medzi účelom pôvodného získania údajov, teda plnením zmluvy o predplatených službách internetu a televízneho vysielania, a spracúvaním, ktoré malo zaistiť bezpečnosť týchto údajov v dodatočnej internej databáze a bezpečné vykonanie testov určených na nápravu technickej poruchy potenciálne škodlivej pre poskytovanie zmluvne dohodnutej služby. Hoci tieto účely sa nezhodujú, ako je uvedené vyššie, sú logicky prepojené.

60.

Treba zdôrazniť, že toto spracúvanie sa neodkláňa od legitímnych očakávaní predplatiteľov týkajúcich sa ďalšieho použitia ich údajov. Dodatočné uloženie údajov na internom nosiči, odôvodnené nevyhnutnosťou vyriešiť technickú poruchu, ktorá ovplyvnila dostupnosť údajov pôvodnej databázy, nemožno totiž považovať za prekvapivé alebo nepravdepodobné. Navyše dotknuté údaje naďalej spracúval ten istý prevádzkovateľ a neboli sprístupnené tretím osobám, čo a priori preukazuje neexistenciu negatívneho vplyvu. Skutočnosť, že pri hackerskom útoku, ktorého obeťou bola Digi, bol hacker schopný získať prístup k údajom nachádzajúcim sa na tomto nosiči, neumožňuje podľa môjho názoru viesť k spätnému záveru o nezlučiteľnosti daného spracúvania.

3. O zásade minimalizácie uchovávania

61.

Odôvodnenie

39 GDPR tiež výslovne uvádza, že obdobie, počas ktorého sa údaje uchovávajú, musí byť „obmedzené na nevyhnutný rozsah“ a že na tento účel by mal prevádzkovateľ stanoviť lehoty na ich vymazanie alebo pravidelné preskúmanie. Článok 13 ods. 2 písm. a) GDPR stanovuje, že prevádzkovateľ musí poskytnúť dotknutej osobe pri získavaní osobných údajov okrem informácií uvedených v odseku 1 tohto článku ďalšie informácie, ktoré sú nevyhnutné na zabezpečenie spravodlivého a transparentného spracúvania, vrátane doby uchovávania osobných údajov alebo, ak to nie je možné, kritérií na jej určenie. ( 34 )

65.

V tomto kontexte treba so zreteľom na všetky okolnosti, ktorými sa vyznačuje prejednávaná vec, ( 35 ) určiť okamih, keď bolo prípadne možné považovať účely, ktoré plnilo uloženie kópie údajov časti predplatiteľov v dodatočnej internej databáze, za dosiahnuté, v dôsledku čoho by bolo toto spracúvanie zbavené dôvodu svojej existencie a Digi by bola povinná vymazať údaje. Je zjavné, že prináleží prevádzkovateľovi na základe zásady zodpovednosti upravenej v článku 5 ods. 2 GDPR, aby predložil dôkaz, že spracúvanie je so zreteľom na zásadu minimalizácie uchovávania zákonné, rovnako ako v prípade zásady obmedzenia účelu.

66.

Keďže v tomto prípade vytýkané uloženie plnilo cieľ zaistenia bezpečnosti údajov, a tým prispievalo k dosiahnutiu cieľa spočívajúceho v plnení zmluvy o predplatenej službe, Digi tvrdí, že doba uchovávania údajov nachádzajúcich sa v testovacej databáze sa zhodovala s dobou plnenia jej zmluvných povinností, čo vylučuje akékoľvek porušenie článku 5 ods. 1 písm. e) GDPR.

V. Návrh

70.

S prihliadnutím na predchádzajúce úvahy navrhujem Súdnemu dvoru, aby Fővárosi Törvényszék (Súd hlavného mesta Budapešť, Maďarsko) odpovedal takto:

1.

Článok 5 ods. 1 písm. b) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), sa má vykladať v tom zmysle, že v ňom uvedená zásada nebráni uchovávaniu zákonne získaných a uložených osobných údajov v dodatočnej internej databáze, pokiaľ toto spracúvanie sleduje rovnaké účely, ako boli účely získania údajov, alebo v prípade, že to tak nie je, je zlučiteľné s týmito účelmi, čo musí preukázať prevádzkovateľ, a to aj v prípade, keď spracúvaním plní svoju povinnosť zaručiť primeranú bezpečnosť osobných údajov upravenú v článku 5 ods. 1 písm. f) uvedeného nariadenia.

Ak uvedené spracúvanie na iný účel ako na účel, na ktorý boli údaje získané, nie je založené na súhlase dotknutej osoby alebo na legislatívnom akte Únie alebo členského štátu, na ktorý sa vzťahuje článok 23 ods. 1 nariadenia 2016/679, musí byť jeho zlučiteľnosť preukázaná najmä so zreteľom na kritériá formulované v článku 6 ods. 4 tohto nariadenia.

( 5 ) Rozsudok zo 6. októbra 2020, Privacy International ( C‑623/17 , EU:C:2020:790 , body 34 a 36 ).

( 6 ) Smernica Európskeho parlamentu a Rady 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355).

( 7 ) Treba pripomenúť, že keďže GDPR zrušilo a nahradilo smernicu 95/46 a relevantné ustanovenia tohto nariadenia majú v podstate rovnaký rozsah ako relevantné ustanovenia tejto smernice, judikatúra Súdneho dvora týkajúca sa uvedenej smernice je v zásade uplatniteľná aj na uvedené nariadenie (rozsudok zo 17. júna 2021, M.I.C.M., C‑597/19 , EU:C:2021:492 , bod 107 ).

( 8 ) Pozri rozsudok z 11. novembra 2020, Orange Romania ( C‑61/19 , EU:C:2020:901 ), k výhradnému uplatneniu ustanovení smernice 95/46 a GDPR vo veci týkajúcej sa súhlasu zákazníkov spoločnosti Orange România, poskytovateľa telekomunikačných mobilných služieb na rumunskom trhu, so získaním a uchovávaním kópií ich dokladov totožnosti.

( 9 ) Z bodu 2 pripomienok Komisie vyplýva, že tieto údaje zodpovedali týmto informáciám: meno, miesto a dátum narodenia, adresa, číslo preukazu totožnosti, v niektorých prípadoch osobné číslo, emailová adresa, číslo pevnej linky a číslo mobilného telefónu dotknutých osôb.

( 10 ) Rozsudok zo 6. októbra 2020, La Quadrature du Net a i. ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 208 ).

( 17 ) Pozri v tomto zmysle rozsudok zo 7. mája 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , bod 33 ).

( 18 ) Vzhľadom na povahu týchto spracovateľských operácií sa ich vhodným právnym základom zdá byť článok 6 ods. 1 písm. a) a b) GDPR, čo navyše v tomto prípade nie je predmetom diskusie.

( 19 ) Pozri analogicky rozsudok z 20. mája 2003, Österreichischer Rundfunk a i. ( C‑465/00, C‑138/01 a C‑139/01 , EU:C:2003:294 , bod 40 ).

( 20 ) Získanie osobných údajov zákazníkov a ich uloženie v pôvodnej databáze plnia súčasne ten istý účel, ktorým je poskytovanie zmluvne dohodnutej služby.

( 21 ) Pozri bod 13 pripomienok spoločnosti Digi.

( 22 ) Nezávislý poradný orgán zriadený podľa článku 29 smernice 95/46 a od prijatia GDPR nahradený Európskym výborom pre ochranu údajov.

( 28 ) Treba uviesť, že medzi spracúvaniami oslobodenými od požiadavky zlučiteľnosti sa nenachádza spracúvanie založené na článku 6 ods. 1 písm. c) GDPR, ktorý upravuje spracúvanie nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa, a najmä povinnosti uvedenej v článku 5 ods. 1 písm. f) tohto nariadenia týkajúcej sa zaručenia primeranej bezpečnosti údajov.

( 29 ) Pripomínam, že podľa článku 6 ods. 1 písm. a) GDPR je spracovanie je zákonné iba vtedy a iba v tom rozsahu, keď dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na „jeden alebo viaceré konkrétne účely“.

( 30 ) Táto podmienka nie je v tomto prípade predmetom diskusie.

( 31 ) Pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body) ( C‑439/19 , EU:C:2021:504 , bod 98 ).

( 32 ) Rozsudok zo 6. októbra 2020, La Quadrature du Net a i. ( C‑511/18, C‑512/18 a C‑520/18 , EU:C:2020:791 , bod 210 ).

( 33 ) Pozri analogicky rozsudok zo 7. mája 2009, Rijkeboer ( C‑553/07 , EU:C:2009:293 , bod 35 ).