Европейският съд отговори и на въпроса за чл. 17 от Регламент 2016/679
Администраторът на лични данни трябва, чрез подходящи технически и организационни мерки, да информира другите администратори, които са му предоставили тези данни или които са получили такива данни от него, за оттеглянето на съгласието на субекта на данните. Когато различни администратори разчитат на едно единствено съгласие на субекта на данните, достатъчно е субектът на данните да се свърже с някой от администраторите с цел оттегляне неговото или нейното съгласие.
Proximus, доставчик на телекомуникационни услуги в Белгия, публикува телефонни указатели и справочни услуги. Тези указатели съдържат името, адреса и телефонния номер на абонатите на различните доставчици на обществени телефонни услуги. Тези данни за контакт се съобщават на Proximus от операторите, освен когато абонатът е изразил желание да не бъде включен в указателите. Proximus също предоставя данните за контакт, които получава, на друг доставчик на указатели.
Telenet, оператор на телефонни услуги в Белгия, предава данните за контакт на своите абонати на доставчиците на указатели, включително на Proximus.
Един от тези абонати иска Proximus да не включва неговите данни за контакт в указателите, издавани както от Proximus, така и от трети лица. Proximus променя статута на този абонат, така че неговите данни за контакт вече да не бъдат публични.
Впоследствие обаче Proximus получава от Telenet актуализация на данните на съответния абонат, които не са посочени като поверителни. Тази информация е обработена автоматично от Proximus и данните са записани по такъв начин, че отново присъстват в неговите указатели.
В отговор на многократните искания на абоната данните му да не бъдат включвани, Proximus заяви, че е премахнал данните му от указателите и се е свързал с Google за изтриване на съответните връзки към уебсайта на Proximus. Proximus също така уведомява абоната, че е предал данните му за контакт на други доставчици на указатели и че чрез месечните актуализации тези доставчици ще бъдат информирани за искането на жалбоподателя.
В същото време засегнатият абонат подава жалба до белгийския орган за защита на данните. Съдебната камара на този орган нарежда на Proximus да предприеме коригиращи действия и да плати глоба от 20 000 евро за нарушение на няколко разпоредби от Общия регламент относно защита на данните (GDPR).
Proximus обжалва това решение, като твърди, че съгласието на абоната не е необходимо за целите на публикуването на неговите или нейните лични данни в телефонен указател, по-скоро абонатите трябва сами да поискат да не бъдат включвани в указателя. При липса на такова искане съответният абонат всъщност можел да бъде включен в тези указатели. Поради това според Proximus в случая не е необходимо „съгласие“ по смисъла на Директива 95/46 или по смисъла на GDPR от страна на абоната.
Заемайки обратното мнение, Органът за защита на данните твърди, че Директивата за неприкосновеността на личния живот и електронните комуникации изисква „съгласието на абонатите“ по смисъла на GDPR, за да могат доставчиците на указатели да обработват и предават техните лични данни.
Като се има предвид, че не са изготвени конкретни правила относно оттеглянето от страна на абонат на неговото или нейното изявление за желания или на това „съгласие“, Апелативният съд, Брюксел е отправил в преюдициално запитване до Съда.
В решението си, Съдът потвърждава, че съгласието на абонат, който е бил надлежно информиран, е необходимо за целите на публикуването на неговите или нейните лични данни в публичен указател и обхваща всяка последваща обработка на данни от предприятия на трети страни активни на пазара за общественодостъпни справочни услуги и указатели, при условие че тази обработка преследва същата цел.
Това съгласие изисква „свободно дадено, конкретно, информирано и недвусмислено“ посочване на желанията на субекта на данните под формата на изявление или на „ясно потвърждаващо действие“, което означава съгласие за обработването на лични данни, свързани с него. Подобно съгласие не предполага, че към датата, на която е дадено, субектът на данните непременно знае кои са всички конкретни доставчици на указатели, които ще обработват личните му данни.
Съдът също така отбелязва, че абонатите трябва да имат възможност личните им данни да бъдат изтеглени от указателите. Той счита, че искането на абонат за изтегляне на неговите или нейните данни може да се счита за използване на правото на изтриване по смисъла на GDPR.
След това Съдът потвърждава, че от общите задължения, установени в GDPR, следва, че администратор на лични данни като Proximus трябва, посредством подходящи технически и организационни мерки, да информира другите доставчици на указатели, които са получили такива данни от него за оттеглянето на съгласието на субекта на данните. Такъв администратор трябва също така да гарантира, че операторът на телефонната услуга, който му е съобщил тези лични данни, е информиран, така че този оператор да промени списъка с лични данни, който автоматично препраща на този доставчик на указатели. Когато, както в настоящия случай, различни администратори разчитат на едно единствено съгласие на субекта на данните, достатъчно е, за да може това лице да оттегли това съгласие, то или тя да се свърже с някой от администраторите.
И накрая, Съдът приема, че администратор като Proximus е длъжен, съгласно GDPR, да гарантира, че са предприети разумни мерки за информиране на доставчиците на търсачки за искането за изтриване на данните, отправено от абоната.