Решение на Европейския съд по дело C-46/23
През 2020 г. общинската администрация на Újpest (Унгария) решава да предостави финансова подкрепа на лица, които са станали уязвими от пандемията от COVID-19. За тази цел тя иска от унгарската дирекция „Държавно съкровище“ и Служба на район IV към централната администрация на столицата Будапеща, Унгария (наричана по-нататък „районната служба“) да й предоставят личните данни, необходими за проверка на изискванията за допустимост за получаване на помощта. След като беше предупреден от доклад, унгарският орган, отговорен за защитата на данните („надзорният орган“), установява, че администрацията на Újpest, дирекцията „Държавно съкровище“ и районната служба са нарушили правилата на Общия регламент относно защитата на данните (GDPR/ОРЗД). На това основание са наложени глоби. Надзорният орган установява, че администрацията на Újpest не е информирала субектите на данни в рамките на едномесечния период, предвиден за тази цел, за действителното използване на техните данни, целта им или за техните права във връзка със защитата на данните.
На основание член 58, параграф 2, буква г от ОРЗД унгарският надзорен орган разпорежда на община Újpest да изтрие личните данни на субектите на данните, които съгласно предоставената от районната служба и „Държавното съкровище“ информация са имали право на помощта, но не са я поискали. Той преценява, че както „Държавното съкровище“, така и районната служба са нарушили съответните разпоредби при обработването на личните данни на въпросните субекти. Освен това налага на община Újpest и на дирекция „Държавно съкровище“ имуществена санкция във връзка със защитата на данните.
Община Újpest обжалва решението на унгарския надзорен орган пред Fővárosi Törvényszék (Будапещенски градски съд, Унгария), който е запитващата юрисдикция, като изтъква, че въпросният орган няма правомощие да разпореди изтриване на личните данни, съгласно член 58, параграф 2, буква г от ОРЗД, тъй като субектът на данните не е направил искане по смисъла на член 17 от този регламент.
Унгарският съд иска тълкуване на GDPR от Съда на ЕС.
В решението си Съдът на Европейските общности отговаря, че надзорният орган на държава-членка може да разпореди служебно, а именно дори при липса на предварително искане, отправено от субекта на данните в този смисъл, изтриването на неправомерно обработени данни, ако такива е необходима мярка, за да изпълни своята отговорност за гарантиране на пълното прилагане на GDPR. Ако този орган установи, че обработката на данните не е в съответствие с GDPR, той трябва да отстрани установеното нарушение, дори без предварително искане от субекта на данните. Изискване за наличие на такова искане би означавало, че администраторът, когато не е направено искане, може да запази въпросните данни и да продължи да ги обработва незаконосъобразно. Освен това надзорният орган на държава членка може да разпореди изтриването на неправомерно обработени лични данни както когато тези данни произхождат директно от субекта на данните, така и произхождат от друг източник.