Orice persoana are dreptul sa stie cui i-au fost comunicate datele sale personale

Un cetatean a solicitat societatii A–sterreichische Post, principalul operator de servicii postale si logistice din Austria, sa ii comunice identitatea destinatarilor carora aceasta le comunicase datele lui personale.

El s-a intemeiat pe Regulamentul general privind protectia datelor UE (GDPR). Acest regulament prevede ca o persoana vizata are dreptul de a obtine din partea operatorului informatiile referitoare la destinatarii sau categoriile de destinatari carora aceste date cu caracter personal le-au fost sau urmeaza sa le fie comunicate.

Ca raspuns la cererea cetateanului, A–sterreichische Post s-a limitat sa indice ca utilizeaza date cu caracter personal, in masura autorizata de lege, in cadrul activitatii sale de editor al anuarelor telefonice si ca propune aceste date unor parteneri comerciali in scopuri de marketing . Cetateanul a chemat atunci in judecata societatea A–sterreichische Post in fata instantelor austriece.

In cursul procedurii judiciare, A–sterreichische Post l-a informat din nou pe cetatean ca datele sale fusesera transmise unor clienti, printre care agenti de publicitate in sectorul vanzarii prin corespondenta si al comertului fizic, intreprinderi informatice, editori de adrese si asociatii, precum organizatii caritabile, organizatii neguvernamentale (ONG) sau partide politice Oberster Gerichtshof (Curtea Suprema, Austria), sesizata cu litigiul in ultima instanta, doreste sa afle daca GDPR lasa la libera alegere a operatorului datelor sa comunice fie identitatea concreta a destinatarilor, fie numai categoriile de destinatari, sau daca regulamentul mentionat ofera persoanei vizate dreptul de a cunoaste identitatea concreta a acestora.

Prin hotararea pronuntata, Curtea de Justitie raspunde ca, atunci cand aceste date au fost sau urmeaza sa le fie divulgate unor destinatari, operatorul are obligatia de a-i furniza persoanei vizate, la cerere, identitatea insasi a acestor destinatari.

Numai in cazul in care nu este (inca) posibil sa se identifice acesti destinatari, operatorul se poate limita sa indice numai categoriile de destinatari in cauza. Situatia este aceeasi atunci cand operatorul demonstreaza ca cererea este in mod vadit nefondata sau excesiva.

Curtea subliniaza ca acest drept de acces al persoanei vizate este necesar pentru a-i permite sa isi exercite alte drepturi care ii sunt recunoscute de GDPR, si anume dreptul la rectificare, dreptul la stergerea datelor (``dreptul de a fi uitat``), dreptul la restrictionarea prelucrarii, dreptul de opozitie la prelucrare sau dreptul la o cale de atac in cazul in care sufera un prejudiciu.

Hotararea Curtii in cauza C-154/21 | A–sterreichische Post (Informatii referitoare la destinatarii datelor cu caracter personal)