CJUE clarifică noțiunile de „plângere” și „cerere excesivă” în materia GDPR. Autoritățile de supraveghere pot refuza soluționarea cererilor sau pot percepe taxe doar în anumite condiții

Decizia, emisă pe 9 ianuarie în cauza C-416/23, a fost solicitată de Curtea Administrativă din Austria (Verwaltungsgerichtshof), care a cerut lămuriri cu privire la interpretarea unor articole din GDPR. Litigiul a pornit de la un caz din Austria, unde o persoană (FR) a depus numeroase plângeri împotriva unor diverși operatori de date, motivând încălcarea dreptului de acces la propriile date cu caracter personal. Autoritatea pentru Protecția Datelor din Austria (Österreichische Datenschutzbehörde – DSB) a refuzat însă să dea curs uneia dintre aceste plângeri, considerând-o „excesivă”. Hotărârea CJUE a fost cerută pentru a lămuri:

• dacă noțiunea de „cerere” din art. 57 alin. (4) GDPR include și „plângerile” depuse în temeiul art. 77;
• în ce condiții o cerere (plângere) poate fi calificată drept „excesivă”;
• dacă autoritățile de supraveghere au libertatea de a alege între perceperea unei taxe rezonabile sau refuzul prelucrării unei cereri vădit nefondate ori excesive.

Curtea a stabilit că termenul de „cerere” din art. 57 alin. (4) include și plângerile pe care persoanele vizate le depun în baza art. 77. Prin urmare, autoritățile de supraveghere pot invoca acest articol nu doar în cazul solicitărilor de informații, ci și atunci când examinează plângeri referitoare la prelucrarea datelor.

„Noțiunea de «cerere» care figurează în cuprinsul său include «plângerile» menționate la articolul 57 alineatul (1) litera (f) și la articolul 77 alineatul (1) din acest regulament”, se arată în hotărâre.

Numărul mare al plângerilor nu este suficient per se pentru a fi declarate „excesive”

Hotărârea clarifică faptul că o cerere nu poate fi considerată „excesivă” doar pentru că există un număr ridicat de plângeri formulate de aceeași persoană într-o anumită perioadă de timp. Pentru a refuza rezolvarea unei plângeri pe motiv că este excesivă, autoritatea de supraveghere trebuie să demonstreze existența unei intenții abuzive, adică să probeze faptul că persoana în cauză nu urmărește, în realitate, apărarea propriilor drepturi, ci are alte scopuri, de natură să paralizeze sau să supraîncarce nejustificat activitatea autorității.

Notă: Dar în ceea ce privește solicitările formulate de operatorii de date? Accesul la datele personale trebuie să fie gratuit, cu excepția situațiilor când cererile sunt excesive și nefondate sau când o persoană revine abuziv cu nenumărate cereri. În GDPR se prevede că cererile nefondate sau excesive pot da dreptul operatorului de date să refuze cererea sau să perceapă o taxă. De asemenea, dacă o persoană se întoarce cu solicitări după ce a obținut deja o copie cu datele, i se poate cere o taxă.

CJUE spune că autoritățile pot alege între perceperea unei taxe și refuzul tratării unei cereri, indicând că art. 57 alin.(4) acordă două opțiuni autorităților de supraveghere, în situația unor cereri vădit nefondate sau excesive:

1. Perceperea unei taxe rezonabile raportate la costurile administrative pe care le implică gestionarea cererii
   sau
2. Refuzul soluționării cererii, atunci când situația efectiv o impune.

Autoritățile sunt însă obligate să justifice alegerea făcute între cele două variante și să se asigure că măsura aleasă este proporțională și nu afectează în mod nejustificat drepturile persoanei vizate.

„O autoritate de supraveghere poate alege, printr-o decizie motivată, între a percepe o taxă rezonabilă […] sau a refuza să trateze aceste cereri […] asigurându-se de caracterul adecvat, necesar și proporțional al opțiunii alese”, subliniază Curtea.