Rozhodnutie SD EÚ vo veci Digi
Súdny dvor Európskej únie (SD EÚ) vydal dňa 20. októbra 2022 rozhodnutie vo veci C‑77/21 Digi, v ktorom sa venoval súladu vytvorenia databázy na vykonanie testov a opravu chýb z existujúcej databázy (testovacia databáza) so zásadou obmedzenia účelu a zásadou minimalizácie uchovávania.
SD EÚ uviedol, okrem iného, nasledovné:
- Zásady týkajúce sa spracúvania osobných údajov uvedené v článku 5 všeobecného nariadenia o ochrane údajov sa uplatňujú kumulatívne.
- Zásada obmedzenia účelu [článok 5 ods. 1 písm. b) všeobecného nariadenia o ochrane údajov] obsahuje dve požiadavky:
- účel pôvodného získania osobných údajov
- má byť identifikovaný najneskôr pri získavaní osobných údajov
- má byť jasne uvedený
- má zaručovať zákonnosť spracúvania v súlade s článkom 6 ods. 1 všeobecného nariadenia o ochrane údajov.
- ďalšie spracúvanie takýchto údajov
- akékoľvek spracúvanie osobných údajov, ktoré nasleduje po pôvodnom spracúvaní, ktoré pozostáva z pôvodného získavania týchto údajov, predstavuje „ďalšie“ spracúvanie uvedených údajov bez ohľadu na účel tohto ďalšieho spracúvania
- otázka zlučiteľnosti ďalšieho spracúvania osobných údajov s účelmi, na ktoré boli tieto údaje pôvodne získané, vzniká len v prípade, že účely tohto ďalšieho spracúvania nie sú totožné s účelmi pôvodného získavania
- je potrebné posúdiť v súlade s podmienkami uvedenými v článku 6 ods. 4 všeobecného nariadenia o ochrane údajov
- prepojenie medzi účelmi – potreba konkrétneho, logického a dostatočne úzkeho prepojenia medzi účelom pôvodného získania osobných údajov a ďalším spracúvaním;
- okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom – ďalšie spracúvanie sa nemá odchyľovať od legitímnych očakávaní dotknutých osôb;
- povaha osobných údajov;
- možné následky zamýšľaného ďalšieho spracúvania pre dotknuté osoby
- existencia primeraných záruk tak v rámci pôvodného spracúvania, ako aj v rámci zamýšľaného ďalšieho spracúvania.
- Zásada minimalizácie uchovávania [článok 5 ods. 1 písm. e) všeobecného nariadenia o ochrane údajov]
- vyžaduje, aby sa osobné údaje uchovávali vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na dosiahnutie účelov, na ktoré sa osobné údaje spracúvajú, t.j. prevádzkovateľ musí byť schopný preukázať, že osobné údaje sa uchovávajú len počas obdobia, ktoré je nevyhnutné na dosiahnutie účelov, na ktoré boli tieto údaje získané alebo na ktoré boli ďalej spracúvané; Aj spracúvanie údajov, ktoré bolo pôvodne zákonné, sa môže časom stať nezlučiteľné so všeobecným nariadením o ochrane údajov, ak už tieto údaje nie sú na tieto účely potrebné a údaje musia byť vymazané, ak boli tieto účely dosiahnuté.
- musí byť v kontexte každého spracúvania v súlade so zásadami týkajúcimi sa spracúvania údajov podľa čl. 5 a spĺňať jednu z podmienok týkajúcich sa zákonnosti spracúvania, uvedenú v čl. 6. Ak dotknutá osoba nesúhlasila so spracúvaním na jeden alebo viac konkrétnych účelov podľa čl. 6 ods. 1 písm. a), spracúvanie podľa ďalších písmen b) – f) musí spĺňať požiadavku nevyhnutnosti.
- bráni tomu, aby prevádzkovateľ uchovával v databáze vytvorenej na účely testovania a opravy chýb osobné údaje, ktoré boli predtým získané na iné účely, a to počas obdobia, ktoré je dlhšie ako obdobie nevyhnutné na vykonanie týchto testov a opravu týchto chýb.
Rozhodnutie je dostupné v predbežnom znení v slovenskom jazyku na tomto odkaze https://curia.europa.eu/juris/document/document.jsf?text=&docid=267405&pageIndex=0&doclang=SK&mode=lst&dir=&occ=first&part=1&cid=1085565