Становище на генералния адвокат по дело C-693/22
Полски съд се произнася по спор между компания и член на борда на директорите на друга компания, която е специализирана в онлайн продажби и срещу която първата компания има иск за дълг. Този член на борда може да носи лична отговорност, когато дружеството-длъжник не разполага с активи, за да удовлетвори вземането на дружеството-кредитор. Той обаче е на мнение, че това не е така, тъй като дружеството длъжник разполага освен с други активи и с две бази данни с потребители на създадената от него онлайн платформа. Те съдържат лични данни на стотици хиляди хора, които не са се съгласили с обработката на техните данни под формата на предоставяне на тези данни на трети страни извън тази платформа.
Полският съд има съмнения относно това дали такива бази данни може да са предмет на съдебно производство за принудително изпълнение, тъй като съдържат лични данни на стотици хиляди ползватели на платформата M., и че няма никакви доказателства, че ползвателите на тази платформа са дали съгласие за обработването на личните им данни, така че на трети лица извън посочената платформа да се предоставят на разположение тези данни. В това отношение се уточнява, че въпросните данни не спадат към специалните категории лични данни по смисъла на член 9 от ОРЗД/GDPR.
В своето заключение генералният адвокат Priit Pikamäe предлага Съдът да отговори положително.
Според него операциите, извършвани от съдебния изпълнител за целите на оценката на стойността на съответните бази данни и продажбата им чрез публичен търг, попадат в обхвата на GDPR.
Те включват най-малкото извличане, справка, използване и предоставяне на купувача на тези лични данни и следователно трябва да се разглеждат като „обработка“ на тези данни по смисъла на този регламент. Освен това генералният адвокат счита, че съдебният изпълнител трябва да се счита за администратор на личните данни.
Освен това генералният адвокат заключава, че въпросното обработване е законосъобразно, когато е необходимо за изпълнението на задача, изпълнявана при упражняването на официални правомощия, предоставени на съдебния изпълнител.
Накрая генералният адвокат отбелязва, че целта на обработката, извършена от съдебния служител, се различава от първоначалната цел да се даде възможност за използване на съответната платформа за онлайн продажби. За да може такава допълнителна обработка да се счита за съвместима с GDPR, тя трябва да представлява необходима и пропорционална мярка в едно демократично общество за постигане на една от целите от общ интерес, преследвани от този регламент. Според генералния адвокат целта да се гарантира изпълнението на гражданскоправни искове може по принцип да оправдае обработването на данните, разглеждани в настоящия случай.
Той също така заявява, че оценката дали дадена мярка е пропорционална, която трябва да извърши полският съд, включва балансиране на правото на собственост на компанията кредитор и правото на защита на личните данни на потребителите.
„Член 6, параграф 1, първа алинея, буква д), член 6, параграф 3 и член 6, параграф 4, първо изречение от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкуват в смисъл, че:
допускат национална правна уредба, която в производство по принудително изпълнение позволява съдебен изпълнител да осъществи продан на база данни, съдържаща лични данни, когато субектите на тези данни не са дали съгласието си за тази продан, при условие че извършеното от този съдебен изпълнител обработване на посочените данни представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантира изпълнението на гражданскоправен иск“.