Concluziile avocatului general R. Norkus prezentate la 18 iunie 2026.###

Ediție provizorie

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL RIMVYDAS NORKUS

prezentate la 18 iunie 2026(1)

Cauza C‑185/25 [Waldfelber](i)

împotriva lui

[cerere de decizie preliminară formulată de Oberster Gerichtshof (Curtea Supremă, Austria)]

„ Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 4 punctul 7 – Noțiunea de «operator de date» – Persoană fizică care acționează în calitate de conducător al unui organism public – Directorul unei școli – Stabilirea scopurilor și a mijloacelor de prelucrare a datelor cu caracter personal – Date cu caracter personal cuprinse într‑un e‑mail trimis de director de la adresa sa de e‑mail profesională – Articolul 15 alineatul (1) litera (g) – Dreptul persoanei vizate de a avea acces la «orice informații disponibile» privind sursa datelor cu caracter personal – Date cu caracter personal care constau într‑o opinie cu privire la persoana vizată – Opinie întemeiată pe o discuție cu un terț – Dreptul persoanei vizate de a avea acces la informații cu privire la identitatea terțului – Articolul 82 – Dreptul la despăgubiri și răspunderea – Prejudiciu pretins cauzat de o încălcare a dreptului de acces – Excluderea răspunderii directorului – Validitatea excluderii ”

I. Introducere

1. Prezenta cauză privește o situație care nu este neobișnuită în mediul profesional. O persoană fizică, acționând în calitate de angajat sau reprezentant al unei entități juridice de drept privat ori de drept public, solicită unui terț, în cadrul unei conversații față în față, să își exprime opinia cu privire la o persoană selectată pentru ocuparea unei funcții în cadrul entității respective. În urma respectivei discuții, angajatul sau reprezentantul trimite un e‑mail de la adresa sa de e‑mail profesională persoanei responsabile cu propunerea candidatului, solicitându‑i să propună o altă persoană.

2. Persoana desemnată pentru ocuparea funcției ia cunoștință de existența acelui e‑mail și încearcă să afle identitatea terțului. Poate persoana respectivă să obțină aceste informații în temeiul Regulamentului (UE) 2016/679(2), în special al articolului 15 alineatul (1) litera (g)?

3. În temeiul acestei dispoziții, persoana vizată (și anume persoana fizică identificată sau identificabilă ale cărei date cu caracter personal(3) au fost prelucrate)(4) are dreptul de a obține „orice informații disponibile privind sursa” datelor sale cu caracter personal de la „operator”, în cazul în care respectivele date cu caracter personal nu sunt colectate de la persoana vizată însăși. În speță, presupusul „operator” (TS, intimatul din litigiul principal) este directorul unei școli primare din Austria. În această calitate, el organizează programe de formare continuă pentru cadrele didactice din școala sa. Astfel de programe sunt gestionate de Pädagogische Hochschule (Universitatea de Științe ale Educației), cu ajutorul „coordonatorilor de program” („Prozessbegleiter”).

4. Persoana în cauză (RS, recurentul din litigiul principal) este unul dintre acești coordonatori de program. TS, după ce a fost informat că un viitor program de formare pentru cadrele didactice din școala sa va fi coordonat de RS, a solicitat informații cu privire la reputația acestuia din urmă de la un terț. Pe baza informațiilor care i‑au fost furnizate, TS a trimis un e‑mail către Universitatea de Științe ale Educației de la adresa sa profesională, în care a solicitat desemnarea unui alt coordonator de program. Invocând articolul 15 alineatul (1) litera (g) din RGPD, RS dorește să afle identitatea terțului care a formulat aprecieri negative la adresa sa.

5. În acest context, Oberster Gerichtshof (Curtea Supremă, Austria) solicită precizări cu privire la domeniul de aplicare al acestei dispoziții. Aceasta ridică de asemenea, cu titlu introductiv, problema dacă o persoană precum TS poate fi considerată „operator” în sensul articolului 4 punctul 7 din RGPD. În sfârșit, instanța de trimitere solicită să se stabilească dacă efectele negative care rezultă dintr‑o încălcare a obligației de informare prevăzute la articolul 15 alineatul (1) din RGPD pot constitui un „[prejudiciu] cauzat de operațiunile […] de prelucrare care încalcă [acest] regulament”, în sensul articolului 82 alineatul (2) din RGPD, și pot determina obligația operatorului de a plăti despăgubiri. Aceasta solicită de asemenea să se stabilească dacă, într‑o astfel de situație, articolul 82 din RGPD se opune unei reglementări naționale care exclude posibilitatea ca persoanele care acționează în calitate de „funcționari executivi” ai anumitor entități publice juridice (precum în speță TS) să fie considerate răspunzătoare pentru un astfel de prejudiciu.

II. Cadrul juridic

A. Dreptul Uniunii

6. Potrivit considerentului (63) al RGPD:

„O persoană vizată ar trebui să aibă drept de acces la datele cu caracter personal colectate care o privesc și ar trebui să își exercite acest drept cu ușurință și la intervale de timp rezonabile, pentru a fi informată cu privire la prelucrare și pentru a verifica legalitatea acesteia. […] Orice persoană vizată ar trebui, prin urmare, să aibă dreptul de a cunoaște și de a i se comunica în special scopurile în care sunt prelucrate datele, dacă este posibil perioada pentru care se prelucrează datele cu caracter personal, destinatarii datelor cu caracter personal, logica de prelucrare automată a datelor cu caracter personal și, cel puțin în cazul în care se bazează pe crearea de profiluri, consecințele unei astfel de prelucrări. […] Acest drept nu ar trebui să aducă atingere drepturilor sau libertăților altora, inclusiv secretului comercial sau proprietății intelectuale și, în special, drepturilor de autor care asigură protecția programelor software. Cu toate acestea, considerațiile de mai sus nu ar trebui să aibă drept rezultat refuzul de a furniza toate informațiile persoanei vizate. […]”

7. Articolul 4 punctul 7 din regulamentul menționat definește „operatorul” ca fiind „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern”.

8. Articolul 15 alineatul (1) litera (g) din RGPD acordă persoanei vizate „dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și […] în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, orice informații disponibile privind sursa acestora”.

9. Articolul 82 alineatul (1) din RGPD acordă „[oricărei persoane] care a suferit un prejudiciu materiale sau moral ca urmare a unei încălcări a [acestui] regulament […] dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit”. Potrivit alineatului (2) al aceluiași articol, „[o]rice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă [acest] regulament”. Acesta precizează, de asemenea, că „[p]ersoana împuternicită de operator este răspunzătoare pentru prejudiciul cauzat de prelucrare numai în cazul în care nu a respectat obligațiile din prezentul regulament care revin în mod specific persoanelor împuternicite de operator sau a acționat în afara sau în contradicție cu instrucțiunile legale ale operatorului”.

B. Dreptul austriac

10. Capitolul 1 (intitulat „Răspunderea terților”) din Bundesgesetz über die Haftung der Gebietskörperschaften und der sonstigen Körperschaften und Anstalten des öffentlichen Rechts für in Vollziehung der Gesetze zugefügte Schäden (Amtshaftungsgesetz) [Legea federală privind răspunderea autorităților locale și a altor entități de drept public pentru prejudiciile cauzate în aplicarea legilor (denumită în continuare „Legea privind răspunderea oficială”)] din 18 decembrie 1948 (BGBl. 20/1949), în versiunea aplicabilă litigiului principal, conține articolul 1, care are următorul cuprins:

„Statul federal, [Länder], comunele și celelalte organisme de drept public și instituțiile din domeniul asigurărilor sociale – denumite în continuare «entitățile juridice» – răspund în conformitate cu legea civilă pentru vătămarea persoanelor sau distrugerea bunurilor săvârșite din culpă prin acte nelegale ale persoanelor care acționează în calitate de organe ale acestor entități în executarea legilor; astfel de funcționari executivi care aplică legea nu răspund față de persoana prejudiciată. [Prejudiciul] se repară numai prin plata unei sume de bani.”

11. Potrivit articolului 9 alineatul (5) (din capitolul II, intitulat „Proceduri”), „[n]u se poate invoca pe calea dreptului comun repararea prejudiciului cauzat de un funcționar executiv al unei entități juridice prevăzute la [articolul] 1 din această [lege] federală în punerea în executare a legii”.

III. Situația de fapt, procedura națională și întrebările preliminare

12. TS, intimatul din litigiul principal, este directorul unei școli primare din Austria. În această calitate, el organizează programe de formare continuă pentru cadrele didactice ale școlii, care au obligația legală de a participa la acestea.

13. Programele de formare în cauză sunt furnizate de Universitatea de Științe ale Educației. În special, aceasta pune la dispoziția școlilor personal de coordonare (coordonatori de program), selectat în mod special pentru a facilita desfășurarea acestor programe.

14. După ce a fost informat că RS, recurentul din litigiul principal, fusese propus de Universitatea pentru Științele Educației în calitate de coordonator al unui viitor program de formare destinat cadrelor didactice din școala sa, TS s‑a interesat cu privire la reputația lui RS în cadrul unei conversații față în față cu un cadru didactic (denumit în continuare „terțul”).

15. La câteva zile după conversația purtată cu terțul, TS a transmis, de pe adresa sa profesională de e‑mail, pe care o utilizează exclusiv în scopuri oficiale, folosind un calculator al școlii și un server desemnat în mod specific în acest scop, un e‑mail unui angajat al Universității de Științe ale Educației, în care solicita desemnarea unui alt coordonator de program (denumit în continuare „e‑mailul în litigiu”). El și‑a întemeiat solicitarea pe informațiile obținute de la terț cu privire la RS, potrivit cărora acesta din urmă critică sistemul de învățământ public și se află în conflict permanent cu autoritatea competentă în domeniul educației.

16. TS nu a întocmit nicio notă de consemnare și nici nu a realizat vreo altă înregistrare a conversației purtate cu terțul. El nu a divulgat în niciun alt mod informațiile obținute în cursul respectivei conversații. În afara e‑mailului în litigiu, nu există nicio altă consemnare în scris a datelor cu caracter personal referitoare la RS menționate în respectivul e‑mail.

17. După ce a luat cunoștință de conținutul e‑mailului în litigiu, RS i s‑a adresat lui TS pentru a‑și exprima nemulțumirea. El a solicitat să i se furnizeze anumite informații, referitoare printre altele la identitatea terțului, în temeiul articolului 15 alineatul (1) din RGPD, precum și să i se transmită o copie a datelor cu caracter personal care îl privesc și care au făcut obiectul prelucrării de către TS în cadrul e‑mailului respectiv.

18. În aceeași zi, TS l‑a informat pe RS, prin e‑mail, că nu a deținut niciodată date cu caracter personal care să îl privească și nici nu a comunicat astfel de date vreunei alte persoane. TS a arătat că s‑a limitat la a‑și exprima rezervele cu privire la desemnarea lui RS în calitate de coordonator al programului de formare la care urmau să participe cadrele didactice din școala sa.

19. RS a introdus ulterior o acțiune în justiție, solicitând obligarea lui TS să îi comunice anumite informații, referitoare printre altele la identitatea terțului, în temeiul articolului 15 alineatul (1) litera (g) din RGPD, precum și să îi transmită o copie a datelor cu caracter personal care îl privesc. El a solicitat de asemenea obligarea lui TS la plata sumei de 800 de euro cu titlu de despăgubire pentru prejudiciul moral pe care susține că l‑a suferit ca urmare a încălcării dreptului său la informare prevăzut la articolul 15 din RGPD. TS a formulat întâmpinare, susținând că numai entitatea legală în numele căreia a acționat putea fi considerată răspunzătoare și că nu a prelucrat și nici nu a stocat datele cu caracter personal ale lui RS.

20. Instanța de prim grad a respins acțiunea formulată de RS. Decizia respectivă a fost confirmată ulterior de instanța de apel competentă. În esență, ambele instanțe au considerat că TS acționase ca funcționar executiv, și anume al entității legale care guvernează școala, și că aceasta din urmă stabilise mijloacele de prelucrare a datelor cu caracter personal (server specific, adresă de e‑mail profesională). Având în vedere aceste elemente, ele au apreciat că ar fi contrar Legii privind răspunderea oficială ca TS să fie calificat drept „operator” în sensul RGPD. Instanța de apel a considerat de asemenea că, în orice caz, nu exista obligația de a consemna în scris numele terțului și, prin urmare, nici obligația de a comunica informații privind identitatea acestuia.

21. RS a formulat recurs împotriva deciziei pronunțate de instanța de apel la Oberster Gerichtshof (Curtea Supremă), care este instanța de trimitere.

22. Având îndoieli cu privire la interpretarea corectă a articolului 4 punctul 7, a articolului 15 alineatul (1) litera (g) și a articolului 82 din RGPD, instanța de trimitere a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1) Articolul 4 punctul 7 din [RGPD] trebuie interpretat în sensul că o persoană fizică care, în îndeplinirea atribuțiilor sale, nu acționează, în contextul prelucrării datelor cu caracter personal prin mijloacele stabilite și care i‑au fost puse la dispoziție în prealabil, în interesul propriu și personal, ci în calitate de director al unei organizații (agenție sau alt organism fără personalitate juridică) în spatele căreia se află însă o entitate juridică, este «operator» care poate fi acționat în justiție?

2a) Articolul 15 alineatul (1) litera (g) din RGPD trebuie interpretat în sensul că într‑un caz în care datele prelucrate constau într‑o afirmație factuală referitoare la persoana vizată sau într‑o evaluare calificativă a acestei persoane din conținutul unui e‑mail, în sintagma «orice informații disponibile privind sursa acestora» este inclus numai autorul e‑mailului sau și persoanele cu care autorul a discutat despre persoana vizată?

2b) În cazul în care numele nestocate ale interlocutorilor constituie «informații disponibile privind sursa acestora» în sensul articolului 15 alineatul (1) litera (g) din RGPD: la evaluarea comparativă a intereselor persoanei vizate de prelucrarea datelor și a intereselor unui asemenea interlocutor este relevantă împrejurarea că acesta nu a putut prevedea că afirmațiile sale vor deveni obiectul unei prelucrări de date?

3) Articolul 82 alineatul (2) din RGPD trebuie interpretat în sensul că efectele negative pentru persoana vizată, datorate încălcării acestui regulament, săvârșită ulterior prelucrării datelor cu caracter personal numai împotriva obligației de a acorda acces în sensul articolului 15 alineatul (1) din RGPD, constituie un prejudiciu cauzat prin «operațiunile […] de prelucrare care încalcă prezentul regulament» și determină obligația operatorului de a plăti despăgubiri?

4) În cazul unui răspuns afirmativ la prima întrebare sau la a treia întrebare: articolul 82 din RGPD se opune dispozițiilor naționale potrivit cărora prejudiciul cauzat unei persoane prejudiciate de un [funcționar executiv] în executarea legii printr‑un act de putere nu poate fi invocat direct împotriva [funcționarului executiv] însuși?”

23. Cererea de decizie preliminară din data de 18 februarie 2025 a fost depusă la grefa Curții la 7 martie 2025. Recurentul din litigiul principal, guvernele austriac și italian, precum și Comisia au depus observații scrise. Nu a avut loc o ședință.

IV. Apreciere

24. RGPD a fost adoptat cu obiectivul de a institui „un cadru solid […] în materie de protecție a datelor în Uniune”(5) prin „consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează […] dat[e] cu caracter personal”(6) și prin asigurarea, în special, a faptului că persoanele fizice beneficiază de un „nivel […] ridicat de protecție”(7) și au „control asupra propriilor date cu caracter personal”(8). În acest scop, articolele 12-15 din RGPD conferă persoanelor vizate dreptul de a obține anumite informații referitoare, printre altele, la prelucrarea(9) datelor lor cu caracter personal, precum și la categoriile de date cu caracter personal și la destinatari vizați. Astfel cum am explicat în introducere, în temeiul articolului 15 alineatul (1) litera (g) din RGPD, în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată, aceasta are de asemenea dreptul de a primi „orice informații disponibile privind sursa” datelor respective. Obligația de a furniza aceste informații revine în mod direct „operatorului”(10).

25. În același timp, considerentul (4) al RGPD precizează că dreptul la protecția datelor cu caracter personal, care este consacrat la articolul 8 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), „nu este un drept absolut” și „trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale”, inclusiv cu libertatea de gândire și de exprimare.

26. Rezultă că există limite în ceea ce privește diferitele drepturi pe care persoanele vizate le au în temeiul RGPD și care urmăresc să confere un efect util dreptului la protecția datelor cu caracter personal, inclusiv dreptului la informare prevăzut la articolul 15 alineatul (1) din acest regulament.

27. Prezenta cauză privește tocmai limitele acestui din urmă drept și, mai precis, măsura în care o persoană vizată (în speță, RS, recurentul din litigiul principal) este îndreptățită să obțină de la operator informații privind „sursa” datelor cu caracter personal care o privesc, în temeiul articolului 15 alineatul (1) litera (g) din RGPD. În cazul în care aceste date au fost prezentate de operator în urma unei discuții orale cu un terț (cum este cazul în litigiul principal), persoana vizată are dreptul de a‑i fi comunicată identitatea terțului?

28. Vom aborda această chestiune, care corespunde în esență celei de a doua întrebări preliminare adresate de Oberster Gerichtshof (Curtea Supremă), în secțiunea B de mai jos. Înainte de a face acest lucru, vom clarifica mai întâi, ca răspuns la prima întrebare, dacă o persoană fizică care (precum TS) prelucrează date cu caracter personal nu în interes propriu și personal, ci în exercitarea atribuțiilor sale în calitate de director al unei organizații (în speță, o școală) și prin intermediul mijloacelor puse la dispoziția sa și stabilite de organizația respectivă poate fi calificată drept „operator” în sensul articolului 4 punctul 7 din RGPD (secțiunea A).

29. În sfârșit, vom aborda a treia și a patra întrebare, care privesc dreptul la despăgubiri al persoanelor vizate, astfel cum este prevăzut la articolul 82 din RGPD. Mai precis, a treia întrebare se referă la aspectul dacă efectele negative care rezultă dintr‑o încălcare a obligației de informare prevăzute la articolul 15 alineatul (1) din RGPD pot constitui un „[prejudiciu] cauzat de operațiunile sale de prelucrare care încalcă [acest] regulament”, în sensul articolului 82 alineatul (2) din RGPD (secțiunea C). Prin intermediul celei de a patra întrebări, Curții i se solicită să examineze dacă acest articol se opune unei reglementări naționale care prevede că persoanele care acționează în calitate de „funcționari executivi”, cu alte cuvinte în numele anumitor entități juridice de drept public, nu pot fi trase la răspundere pentru prejudiciile cauzate persoanelor vizate în calitatea lor de operatori sau de persoane împuternicite de operatori (secțiunea D).

A. Noțiunea de „operator” (articolul 4 punctul 7 din RGPD) (întrebarea 1)

30. Articolul 4 punctul 7 din RGPD descrie două situații în care o „persoană fizică sau juridică, autoritate publică, agenție sau alt organism” poate fi calificată drept „operator”. Astfel, potrivit celei de a doua teze a acestei dispoziții, „operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern” (prima ipoteză)(11). A doua ipoteză este cea în care, în urma unei aprecieri a faptelor relevante, persoana în cauză este considerată că „singur[ă] sau împreună cu altele […] stabilește scopurile și mijloacele de prelucrare”. Curtea a precizat că, pentru a îndeplini acest criteriu, o persoană fizică sau juridică trebuie să „[influențeze în mod efectiv] prelucrarea datelor cu caracter personal”(12). Rezultă că o persoană fizică sau juridică, o autoritate publică, o agenție sau un alt organism care este efectiv în măsură să stabilească scopurile și mijloacele de prelucrare va fi considerat „operator”, indiferent dacă a fost desemnat în mod oficial ca atare (prin lege, printr‑un contract sau în alt mod)(13).

31. Prima întrebare a instanței de trimitere privește această a doua ipoteză. Astfel, această instanță arată că dreptul austriac îi desemnează în mod expres pe directorii școlilor primare ca fiind „operatori” numai în ceea ce privește datele cu caracter personal ale elevilor. Litigiul principal nu privește prelucrarea unor astfel de date. După cum am explicat deja, acesta se referă la prelucrarea de către directorul unei școli primare (TS) a datelor cu caracter personal ale unei persoane (RS) care a fost selectată pentru a coordona un program de formare pentru cadrele didactice ale școlii în cauză.

32. Oberster Gerichtshof (Curtea Supremă) identifică următoarele împrejurări ca fiind relevante pentru a stabili dacă TS poate fi calificat drept „operator” în sensul articolului 4 punctul 7 din RGPD: TS a acționat în exercitarea atribuțiilor sale; el a prelucrat datele cu caracter personal nu în interes propriu și personal, ci în interesul școlii și a făcut acest lucru utilizând mijloacele puse la dispoziția sa (adresa sa profesională de e‑mail, un calculator al școlii și un server desemnat în mod special în acest scop).

33. RS contestă exactitatea faptelor prezentate de instanța de trimitere. El susține că mijloacele utilizate de TS pentru colectarea datelor cu caracter personal în cauză (conversația orală cu terțul) nu i‑au fost impuse, că este posibil ca TS să fi acționat în scopuri proprii atunci când a colectat respectivele date de la terț și atunci când a trimis e‑mailul în litigiu (care conținea datele cu caracter personal) și că un astfel de set de operațiuni de prelucrare nu era, în orice caz, nici „normal”, nici necesar pentru îndeplinirea atribuțiilor lui TS în calitate de director. Potrivit lui RS, TS a depășit, așadar, marja de apreciere care îi fusese conferită și a acționat în afara limitelor atribuțiilor care îi reveneau în temeiul dreptului austriac.

34. Amintim că, în cadrul unei proceduri preliminare, Curții nu îi revine sarcina de a stabili dacă faptele invocate sunt dovedite, ci doar sarcina de a proceda la interpretarea dispozițiilor relevante ale dreptului Uniunii. Astfel, potrivit jurisprudenței Curții, întrebările referitoare la interpretarea dreptului Uniunii sunt adresate de instanța națională în cadrul normativ și factual pe care îl definește sub răspunderea sa și a cărui exactitate Curtea nu are competența să o verifice(14).

35. Rezultă că, în pofida argumentelor lui RS, pe care le‑am rezumat la punctul 33 de mai sus, ne vom limita, pentru a răspunde la prima întrebare, la elementele de fapt prezentate de instanța de trimitere, astfel cum sunt descrise la punctul 32 din prezentele concluzii.

36. În acest context, considerăm că o persoană fizică care (precum TS) prelucrează date cu caracter personal nu în interes propriu și personal, ci în exercitarea atribuțiilor sale în calitate de conducător al unei organizații (în speță, o școală) și utilizând mijloacele puse la dispoziția sa și stabilite de respectiva organizație nu poate fi calificată drept „operator” în sensul articolului 4 punctul 7 din RGPD. Guvernele austriac și italian, precum și Comisia susțin de asemenea această poziție.

37. În această privință, amintim că Curtea a statuat că articolul 4 alineatul (7) din RGPD definește în mod larg noțiunea de „operator”. Obiectivul acestei definiții largi constă, în conformitate cu cel al RGPD, în a asigura o protecție eficientă a drepturilor și a libertăților fundamentale ale persoanelor fizice, precum și în special un nivel ridicat de protecție a dreptului oricărei persoane la protecția datelor cu caracter personal care o privesc(15).

38. În același timp, Curtea a subliniat că operatorul trebuie să „[influențeze], în scopuri proprii, prelucrarea unor astfel de date”(16). Ca atare, este clar că o persoană fizică sau juridică, o autoritate publică, o agenție sau un alt organism care prelucrează date cu caracter personal în numele unei alte persoane, iar nu în scopuri proprii, nu poate fi calificat drept „operator” în sensul articolului 4 punctul 7 din RGPD.

39. Acest lucru este confirmat de considerentul (74) al regulamentului menționat, care precizează că responsabilitatea și răspunderea operatorului sunt aceleași pentru „orice prelucrare a datelor cu caracter personal efectuată de către acesta sau în numele său”(17), precum și de jurisprudența Curții referitoare la articolul 29 din acesta, potrivit căruia „orice persoană care acționează sub autoritatea operatorului […] care are acces la date cu caracter personal nu le prelucrează decât la cererea operatorului […]”. Curtea a dedus din această dispoziție că un operator nu poate fi exonerat de răspundere pentru simplul motiv că acest prejudiciu a fost cauzat de comportamentul culpabil al unei persoane care acționează sub autoritatea sa(18).

40. În plus și astfel cum a arătat instanța de trimitere în cererea sa de decizie preliminară, jurisprudența Curții conține diverse exemple în care datele cu caracter personal în cauză au fost prelucrate de o persoană fizică în numele unei entități juridice și în care respectiva entitate (iar nu persoana fizică) a fost totuși considerată „operator”(19). În special, Curtea a statuat că persoanele juridice (cum ar fi societățile) răspund nu numai pentru încălcările RGPD săvârșite de reprezentanții, directorii sau administratorii lor, ci și pentru cele săvârșite de orice altă persoană care acționează în cadrul activității comerciale a acestor persoane juridice și în numele lor(20). În opinia noastră, același lucru este valabil în mod firesc pentru orice „autoritate publică, agenție sau alt organism” pentru a utiliza termenii de la articolul 4 punctul 7 din RGPD.

41. Aceste constatări sunt conforme cu Orientările CEPD 07/2020, care prevăd în esență că, chiar și în cazul în care o anumită persoană este desemnată de o entitate juridică (societate sau organism public) ca fiind responsabilă de punerea în aplicare a activității de prelucrare, entitatea juridică rămâne responsabilă în ultimă instanță, în calitatea sa de operator, în caz de încălcare a normelor(21).

42. În opinia noastră, din aceste considerații rezultă că directorul unei școli care (precum TS) prelucrează date cu caracter personal nu în interes propriu și personal (cu alte cuvinte, nu în scopuri proprii), ci în calitate de conducător al unui astfel de organism public trebuie considerat ca acționând în numele acesteia din urmă. Într‑o asemenea situație, directorul școlii nu poate fi calificat drept „operator” în sensul articolului 4 punctul 7 din RGPD. Școala este în schimb „operatorul”(22).

43. Această concluzie nu este repusă în discuție de faptul că școala însăși nu are personalitate juridică. Astfel, Curtea a precizat deja că o entitate poate fi considerată „operator”, în sensul dispoziției menționate, chiar dacă aceasta ar fi lipsită de personalitate juridică(23).

44. Un rezultat diferit ar fi justificat, în opinia noastră, numai în cazul în care instanța de trimitere ar concluziona, în cadrul aprecierii situației de fapt care îi este prezentată, că, la prelucrarea datelor cu caracter personal ale lui RS, TS a acționat fie în afara sferei atribuțiilor sale, și anume exclusiv în scopuri proprii (caz în care ar fi singurul „operator”), fie atât în interes propriu și personal, cât și în interesul școlii (în calitate de operator asociat)(24). Dacă una dintre aceste ipoteze s‑ar confirma în litigiul principal, considerăm că ar trebui să se considere că TS a stabilit nu numai scopurile, ci și mijloacele de prelucrare. Astfel, în măsura în care ar fi utilizat în scopuri proprii adresa profesională de e‑mail, calculatorul școlii și serverul independent pus la dispoziția sa, utilizarea acestor mijloace ar fi fost neautorizată, astfel încât nu s‑ar mai putea considera că acestea fuseseră puse la dispoziția sa. Cu toate acestea, revine instanței de trimitere sarcina de a efectua o astfel de apreciere.

45. Având în vedere considerațiile care precedă, propunem Curții ca răspunsul său la prima întrebare să fie negativ. Având în vedere acest răspuns, considerăm că nu este necesar ca Curtea să răspundă la întrebările a doua, a treia și a patra, care privesc obligațiile care decurg din articolul 15 alineatul (1) litera (g) și din articolul 82 din RGPD la care ar fi supusă o persoană fizică precum TS dacă ar fi un „operator” în sensul articolului 4 punctul 7 din regulamentul menționat(25). Considerăm că aceasta este situația, independent de faptul că această întrebare nu este formulată în mod explicit ca fiind condiționată de răspunsul la prima întrebare(26).

46. Cu toate acestea, în ipoteza în care Curtea va adopta un punct de vedere diferit, precum și din motive de exhaustivitate, vom examina în continuare problemele de fond ridicate de întrebările a doua, a treia și a patra.

B. Domeniul de aplicare al dreptului la informare cu privire la sursa datelor cu caracter personal [articolul 15 alineatul (1) litera (g) din RGPD] (a doua întrebare)

47. A doua întrebare este compusă din două părți. Prin intermediul primei părți, instanța de trimitere solicită să se stabilească dacă, atunci când datele cu caracter personal prelucrate constau într‑o afirmație factuală referitoare la persoana vizată sau într‑o evaluare calificativă a acesteia, cuprinsă într‑un e‑mail, articolul 15 alineatul (1) litera (g) din RGPD trebuie interpretat în sensul că sintagma „orice informații disponibile privind sursa” se referă numai la identitatea autorului e‑mailului sau dacă aceasta vizează și identitatea persoanelor cu care autorul a discutat (oral) despre persoana vizată și pe a căror opinie se întemeiază respectiva afirmație factuală ori evaluare calificativă.

48. Pentru a plasa această întrebare în contextul său, amintim că, în litigiul principal, RS susține că ar trebui să aibă dreptul, în temeiul articolului 15 alineatul (1) litera (g) din RGPD, să afle de la TS (pe care îl consideră „operator” în sensul articolului 4 punctul 7 din acest regulament) identitatea terțului (cu care TS a discutat despre reputația sa), întrucât respectivul terț trebuie considerat „sursa” datelor cu caracter personal cuprinse în e‑mailul în litigiu, și anume a opiniei cu privire la RS.

49. A doua parte se referă la aspectul dacă, în cazul în care Curtea ar considera că identitatea unui astfel de terț constituie „informații disponibile privind sursa”, în sensul articolului 15 alineatul (1) litera (g) din RGPD, prezintă relevanță pentru evaluarea comparativă a intereselor persoanei vizate și ale unei astfel de persoane faptul că aceasta din urmă nu ar fi putut prevedea că declarațiile sale vor face obiectul unei prelucrări.

1. Prima parte a celei de a doua întrebări

50. Mai întâi, amintim că Curtea a statuat că utilizarea expresiei „orice informații” în definiția noțiunii de „date cu caracter personal”, care figurează la articolul 4 punctul 1 din RGPD, reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestei noțiuni, care înglobează potențial orice tip de informații, atât obiective, cât și subiective, sub formă de opinii sau de aprecieri, cu condiția ca acestea să fie „referitoare” la persoana în cauză(27).

51. Astfel cum presupune în mod întemeiat instanța de trimitere, rezultă că o opinie („evaluare calificativă”) referitoare la o persoană vizată (în speță, RS), cuprinsă într‑un e‑mail (în speță, e‑mailul transmis de TS către Universitatea de Științe ale Educației), constituie „date cu caracter personal” în sensul articolului 4 punctul 1 din RGPD.

52. În ceea ce privește „sursa”, în sensul articolului 15 alineatul (1) litera (g) din RGPD, a unei asemenea opinii sau a unei afirmații factuale referitoare la persoana vizată, care figurează într‑un e‑mail, observăm că nici această dispoziție, nici vreo altă dispoziție a regulamentului menționat nu definesc această noțiune. În lipsa unei astfel de definiții, conform unei jurisprudențe constante, trebuie să se țină seama nu numai de sensul obișnuit al termenului „sursă” în limbajul curent, ci și de contextul în care se înscrie această dispoziție și de obiectivele urmărite de reglementarea din care face parte(28).

53. În sensul său obișnuit, „sursa” unui lucru desemnează „persoana, locul sau elementul de la care acesta provine ori este obținut”(29). În consecință, pentru a determina informațiile care trebuie comunicate în temeiul articolului 15 alineatul (1) litera (g) din RGPD, trebuie să se analizeze proveniența respectivelor date cu caracter personal. În plus, întrucât articolul 15 alineatul (1) litera (g) din RGPD se aplică numai „în cazul în care datele cu caracter personal nu sunt colectate de la persoana vizată”, trebuie să se constate că „sursa” nu poate fi, în temeiul acestei dispoziții, persoana vizată însăși.

54. În ceea ce privește contextul articolului 15 alineatul (1) litera (g) din RGPD, observăm că termenul „sursă” apare și la articolul 14 alineatul (2) litera (f) din acest regulament, care prevede dreptul de a obține de la operator informații privind „sursa din care provin datele cu caracter personal”(30), atunci când acestea nu au fost obținute de la persoana vizată însăși. Acest lucru confirmă, în opinia noastră, că termenul „sursă” de la articolul 15 alineatul (1) litera (g) din RGPD desemnează proveniența datelor cu caracter personal.

55. În sfârșit, în ceea ce privește obiectivele RGPD, trebuie amintit că articolul 15 din RGPD „completează cadrul de transparență al acestui regulament, acordând persoanei vizate un drept de acces la datele sale cu caracter personal și un drept la informare cu privire la prelucrarea datelor respective”(31).

56. Alineatul (1) literele (a)-(h) al acestui articol urmărește să confere efect acestui din urmă drept. Prevăzând că persoana vizată are dreptul la informare cu privire la prelucrarea datelor sale cu caracter personal, această dispoziție îi permite persoanei vizate să verifice corectitudinea datelor cu caracter personal și legalitatea prelucrării, precum și să își exercite în mod efectiv drepturile conexe prevăzute de acest regulament, în special dreptul la rectificare, la ștergere (denumit în continuare „dreptul de a fi uitat”), la restricționarea prelucrării și la opoziție(32), toate acestea urmărind să consolideze „controlul” persoanei vizate asupra datelor sale cu caracter personal(33).

57. Considerăm că domeniul de aplicare al dreptului la informare cu privire la „sursa” datelor cu caracter personal, prevăzut la articolul 15 alineatul (1) litera (g) din RGPD, trebuie determinat în raport cu această funcție specifică(34). Ca atare, trebuie să se examineze dacă informațiile solicitate în temeiul acestei dispoziții sunt necesare pentru ca persoana vizată să se asigure de corectitudinea datelor sale cu caracter personal sau de legalitatea prelucrării respectivelor date ori pentru ca persoana vizată să își exercite în mod efectiv drepturile care îi revin în temeiul acestui regulament(35).

58. În opinia noastră, aceasta este situația atunci când, de exemplu, persoana vizată invocă articolul 15 alineatul (1) litera (g) din RGPD pentru a stabili „sursa” datelor inexacte care o privesc, astfel încât să se evite ca aceste date să fie transmise mai departe între diferiți operatori(36) (cu alte cuvinte, să se împiedice o „prelucrare” ulterioară), sau atunci când comunicarea informațiilor disponibile privind „sursa” datelor cu caracter personal relevante îi permite persoanei vizate să constate că, în privința acelorași date, a fost efectuată anterior o operațiune de prelucrare sau un set de operațiuni de prelucrare care intră în domeniul de aplicare material al RGPD și în raport cu care este îndreptățită să își exercite drepturile conferite de acest regulament.

59. Odată făcute aceste precizări, observăm că Comisia și guvernul italian consideră că, atunci când datele cu caracter personal relevante constau într‑o opinie („evaluare calificativă”) sau într‑o afirmație factuală referitoare la persoana vizată, cuprinsă într‑un e‑mail, „sursa” unei asemenea opinii sau afirmații este autorul e‑mailului (în speță, TS). Potrivit acestora, într‑o asemenea situație, articolul 15 alineatul (1) litera (g) din RGPD trebuie interpretat în sensul că sintagma „orice informații disponibile privind sursa” datelor nu include identitatea persoanelor cu care autorul a discutat (oral) despre persoana vizată înainte de a‑și forma opinia sau de a scrie afirmația factuală referitoare la aceasta.

60. Suntem de acord cu această poziție. Cu toate acestea, în opinia noastră, o astfel de concluzie nu poate fi trasă decât cu condiția ca opinia sau afirmația factuală referitoare la persoana vizată, cuprinsă în e‑mailul în discuție, să poată fi într‑adevăr atribuită autorului acelui e‑mail. În această privință, împărtășim opinia Comisiei potrivit căreia faptul că autorul face aluzie, în e‑mail, la opiniile altor persoane cu privire la persoana vizată este lipsit de relevanță, din moment ce datele cu caracter personal în discuție (și anume opinia sau afirmația factuală) pot fi în continuare atribuite autorului însuși și nu constituie o simplă citare a acelor opinii. Astfel, în această din urmă ipoteză, considerăm că „sursa” datelor cu caracter personal (opiniei) ar fi terțul sau terții ale căror opinii sunt citate, iar nu autorul e‑mailului.

61. În speță, revine instanței de trimitere sarcina de a stabili, în lumina elementelor de fapt de care dispune, dacă opinia („evaluarea calificativă”) referitoare la RS cuprinsă în e‑mailul în litigiu îi este într‑adevăr atribuibilă lui TS sau dacă, dimpotrivă, aceasta nu constă decât în aprecierile exprimate anterior în fața lui TS de un terț (și anume celălalt cadru didactic cu care TS a discutat despre RS), pe care TS s‑a limitat să le reproducă sau să le citeze în e‑mail, astfel cum pare să susțină RS(37). În cazul în care instanța de trimitere ar constata că opinia referitoare la RS cuprinsă în e‑mailul în litigiu îi este atribuibilă lui TS, considerăm, asemenea Comisiei și guvernului italian, că dreptul lui RS de a obține informații privind „sursa” acelei opinii, prevăzut la articolul 15 alineatul (1) litera (g) din RGPD, nu ar putea fi interpretat în sensul că îi conferă dreptul de a primi informații referitoare la un asemenea terț, întrucât numai TS ar putea fi considerat „sursa” opiniei în discuție.

62. Cu toate acestea, instanța de trimitere ridică problema dacă din împrejurarea că articolul 15 alineatul (1) litera (g) din RGPD face referire nu numai la „sursa” datelor cu caracter personal relevante, ci și la „orice informații disponibile privind sursa” rezultă că, chiar și atunci când „sursa” unei opinii sau a unei afirmații factuale referitoare la persoana vizată, cuprinsă într‑un e‑mail, este autorul e‑mailului, persoana vizată are dreptul de a obține informații privind elementele sau persoanele care au contribuit la formarea respectivei opinii ori la formularea afirmației factuale de către autor (precum identitatea unui terț cu care autorul a purtat o conversație orală).

63. În această privință, în primul rând, împărtășim opinia guvernului italian și a Comisiei potrivit căreia o astfel de interpretare a articolului 15 alineatul (1) litera (g) din RGPD ar fi prea largă, având în vedere multitudinea de elemente care ar interveni, în special în procesul de formare a unei opinii. Pentru a da un exemplu, să luăm în considerare situația de fapt din cauza în care s‑a pronunțat Hotărârea Nowak(38). O parte din datele cu caracter personal în cauză au fost observațiile subiective ale examinatorului înscrise pe foaia de examinare. Într‑o asemenea situație, ar putea expresia „orice informații disponibile privind sursa” datelor cu caracter personal, în sensul articolului 15 alineatul (1) litera (g) din RGPD, să cuprindă orice informație referitoare la persoanele cu care examinatorul ar fi putut interacționa în cursul evaluării răspunsurilor de pe foaia de examinare – de la, spre exemplu, un coleg care i‑a oferit sfaturi cu privire la evaluarea răspunsurilor candidaților până la un vecin care făcea un zgomot deosebit de deranjant și care l‑a iritat într‑atât încât a notat mai sever lucrările decât ar fi făcut‑o în mod normal? În opinia noastră, răspunsul este negativ.

64. În al doilea rând, având în vedere funcția specifică a dreptului de a obține informații privind sursa datelor cu caracter personal, prevăzut la articolul 15 alineatul (1) litera (g) din RGPD, pe care am descris‑o la punctul 57 de mai sus, nu înțelegem modul în care obținerea de informații privind identitatea unui terț care nu constituie „sursa” datelor cu caracter personal relevante (în speță, a unei opinii sau a unei afirmații factuale referitoare la persoana vizată, care figurează într‑un e‑mail), ci care a contribuit doar la formarea unei asemenea opinii sau la formularea unei asemenea afirmații de către autorul e‑mailului în urma unei conversații orale purtate cu acesta, ar permite persoanei vizate să se asigure de exactitatea datelor sale cu caracter personal ori de legalitatea prelucrării acestora ori să își exercite drepturile conferite de RGPD.

65. În al treilea rând, astfel cum s‑a arătat deja la punctele 25 și 26 din prezentele concluzii, considerentul (4) al RGPD precizează că dreptul la protecția datelor cu caracter personal nu este, în orice caz, „un drept absolut” și „trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale”, inclusiv cu libertatea de gândire și de exprimare. Situația este aceeași în ceea ce privește diferitele drepturi pe care persoanele vizate le au în temeiul RGPD și care urmăresc să confere un efect util dreptului la protecția datelor cu caracter personal, precum dreptul de acces la datele cu caracter personal prevăzut la articolul 15 din RGPD(39), despre care Curtea a constatat că nu ar trebui să aducă atingere drepturilor sau libertăților altora(40). Este de la sine înțeles că o evaluare comparativă similară trebuie efectuată și în ceea ce privește dreptul la informare cu privire la sursa datelor cu caracter personal în temeiul articolului 15 alineatul (1) litera (g) din RGPD.

66. În acest context, considerăm că este clar că divulgarea identității unui terț care nu constituie el însuși „sursa” datelor cu caracter personal relevante (în speță, a unei opinii sau a unei afirmații factuale referitoare la persoana vizată, cuprinsă într‑un e‑mail), ci care a contribuit doar la formarea unei asemenea opinii sau la formularea unei asemenea afirmații de către autorul e‑mailului în urma unei conversații orale purtate cu acesta, ar înclina în mod nejustificat balanța în favoarea persoanei vizate, aducând atingere unei serii de drepturi sau libertăți ale terțului respectiv, în special libertății sale de gândire și de exprimare(41) ori dreptului său la viață privată și la respectarea comunicațiilor(42).

67. Din considerațiile care precedă rezultă că, atunci când „sursa” unei opinii sau a unei afirmații factuale referitoare la persoana vizată, cuprinsă într‑un e‑mail, este însuși autorul e‑mailului, persoana vizată nu este îndreptățită, în temeiul articolului 15 alineatul (1) litera (g) din RGPD, să obțină informații privind elementele sau persoanele (precum identitatea unui terț cu care autorul a purtat o conversație orală) care au contribuit la formarea respectivei opinii sau la formularea unei asemenea afirmații de către autor.

68. Cu titlu de observație finală, amintim că articolul 15 alineatul (1) litera (g) din RGPD conferă persoanei vizate dreptul de a obține „orice informații disponibile privind sursa” datelor cu caracter personal care o privesc, iar nu un drept de a obține orice informații privind sursa respectivelor date și sursele acelei surse. În cazul în care, contrar propunerii noastre, Curtea ar adopta interpretarea acestei dispoziții expusă la punctul 62 din prezentele concluzii, consecința ar fi că, atunci când sursa datelor cu caracter personal este, de exemplu, un dosar sau o evidență, persoana vizată ar fi îndreptățită, în temeiul articolului 15 alineatul (1) litera (g) din RGPD, să obțină nu numai „orice informații disponibile” privind acel dosar sau acea evidență, ci și orice dosar ori evidență anterioară pe care acestea se întemeiază. Cu alte cuvinte, domeniul de aplicare al acestei dispoziții ar deveni nelimitat.

2. A doua parte a celei de a doua întrebări

69. A doua parte a celei de a doua întrebări privește situația în care un terț, iar nu autorul e‑mailului, trebuie considerat „sursa” datelor cu caracter personal în cauză, în speță o opinie sau o declarație factuală privind persoana vizată care figurează într‑un e‑mail. Astfel cum am explicat la punctul 60 din prezentele concluzii, această situație s‑ar regăsi numai în cazul în care opinia sau afirmația cuprinsă în e‑mail nu ar putea fi atribuită autorului acestuia, întrucât ea nu reprezintă decât reproducerea sau citarea unor opinii exprimate anterior de terț.

70. În opinia noastră, într‑o astfel de situație, este clar că ar fi aplicabilă și evaluarea comparativă menționată la punctul 65 din prezentele concluzii. Cu alte cuvinte, comunicarea identității „sursei” datelor cu caracter personal relevante în temeiul articolului 15 alineatul (1) litera (g) din RGPD nu ar fi automată. Drepturile și libertățile persoanei considerate „sursa” datelor trebuie de asemenea să fie luate în considerare și puse în balanță cu dreptul persoanei vizate de a obține informații privind sursa datelor cu caracter personal, în temeiul acestei dispoziții.

71. În această privință, faptul că terțul în cauză nu putea prevedea că declarațiile sale vor face obiectul unei prelucrări constituie un element relevant. Astfel, acest aspect indică faptul că terțul respectiv a participat la o conversație pe care o considera confidențială sau privată și al cărei conținut, precum și însăși participarea sa la aceasta, nu se aștepta să fie aduse la cunoștința persoanei vizate în virtutea dispozițiilor RGPD. În opinia noastră, într‑o asemenea situație, ar trebui acordată o importanță deosebită respectării dreptului terțului de exercitare a libertății de gândire și de exprimare(43), precum și respectării dreptului său la viață privată și la respectarea comunicațiilor(44).

72. În plus, nu vedem cum, chiar și în ipoteza în care opinia sau afirmația referitoare la persoana vizată, cuprinsă într‑un e‑mail, nu reprezintă decât reproducerea sau citarea unor opinii exprimate anterior oral de terț, obținerea de informații privind identitatea acestuia (și anume a „sursei”), în aplicarea articolului 15 alineatul (1) litera (g) din RGPD, ar putea contribui la realizarea obiectivului urmărit de această dispoziție, care constă, astfel cum am amintit la punctul 57 de mai sus, în a permite persoanei vizate să se asigure printre altele de exactitatea datelor sale cu caracter personal. Astfel, opiniile sunt, prin natura lor, inerent subiective. Aceasta înseamnă că, spre deosebire de afirmațiile factuale, exactitatea sau corectitudinea lor este dificil de verificat(45).

C. Dreptul la despăgubiri în temeiul articolului 82 din RGPD pentru încălcarea articolului 15 alineatul (1) din RGPD (a treia întrebare)

73. Prin intermediul celei de a treia întrebări, instanța de trimitere solicită să se stabilească dacă efectele negative suferite de o persoană vizată ca urmare a încălcării de către un operator a obligației de informare prevăzute la articolul 15 alineatul (1) din RGPD [în speță, obligația prevăzută la articolul 15 alineatul (1) litera (g) din RGPD de a furniza informații cu privire la „sursa” datelor cu caracter personal colectate] constituie un „[prejudiciu] cauzat de operațiunile […] de prelucrare care încalcă [acest] regulament”, în sensul articolului 82 alineatul (2) din RGPD, determinând astfel răspunderea operatorului și o obligație corelativă a acestuia de a o despăgubi pe persoana vizată.

74. După cum explică instanța de trimitere, ea solicită în esență Curții să clarifice dacă încălcarea acestei obligații poate da naștere unui drept la despăgubire al persoanei vizate în temeiul articolului 82 din RGPD, luat în considerare în ansamblul său. Mai concret, în cazul în care TS ar trebui considerat „operator” în sensul articolului 4 punctul 7 din acest regulament și s‑ar constata că a încălcat articolul 15 alineatul (1) litera (g) din acesta, ar avea RS dreptul la despăgubiri în temeiul articolului 82 din RGPD? Prin urmare, propunem ca Curtea să reformuleze cea de a treia întrebare astfel încât aceasta să privească interpretarea articolului menționat în ansamblul său, iar nu doar a alineatului (2) al acestuia(46).

75. Revenind acum la interpretarea articolului 82 din RGPD, înțelegem că îndoielile instanței de trimitere cu privire la interpretarea acestei dispoziții decurg din faptul că obligația de informare prevăzută la articolul 15 alineatul (1) din acest regulament ia naștere numai după ce a avut loc operațiunea relevantă de prelucrare a datelor cu caracter personal(47), precum și atunci când nu a avut loc efectiv nicio operațiune de prelucrare(48), în timp ce articolul 82 alineatul (2) din RGPD se referă la „prejudiciul cauzat de operațiunile […] de prelucrare […]”(49). Având în vedere acest mod de redactare, s‑ar putea prezuma, astfel cum pare să o facă instanța de trimitere, că dreptul la despăgubiri prevăzut la articolul 82 din regulamentul menționat ia naștere numai în cazul unui prejudiciu cauzat de o operațiune de prelucrare contrară RGPD, iar nu și în cazul unui prejudiciu rezultat din încălcarea unei obligații prevăzute de acest instrument care, asemenea obligației de informare prevăzute la articolul 15 alineatul (1), intervine ulterior unei asemenea operațiuni de prelucrare sau independent de aceasta.

76. Cu toate acestea, în opinia noastră, este clar că dreptul la despăgubiri prevăzut de dispoziția menționată anterior se extinde la prejudiciul cauzat de o încălcare a acestei obligații.

77. Primo, în ceea ce privește geneza articolului 82 din RGPD, amintim că dispoziția corespunzătoare a precursorului său, și anume articolul 23 din Directiva 95/46, făcea referire la „prejudicii ca urmare a unei prelucrări ilegale sau a oricărei acțiuni incompatibile cu dispozițiile de drept intern adoptate în temeiul [Directivei 95/46]”. Este evident că, la adoptarea RGPD, legiuitorul Uniunii nu a avut intenția de a reduce nivelul de protecție conferit persoanelor vizate în raport cu cel de care acestea beneficiau în temeiul Directivei 95/46, ci dimpotrivă(50).

78. În această privință, arătăm de asemenea că, în cursul procesului legislativ care a condus la adoptarea RGPD, Consiliul a sugerat limitarea dreptului la despăgubiri al persoanelor vizate la prejudiciile care sunt „rezultatul unei operațiuni de prelucrare care nu este conformă cu [RGPD]”(51). Această limitare nu figurează însă în versiunea finală a articolului 82 din regulamentul menționat.

79. Secundo, articolul 82 din RGPD îndeplinește o funcție dublă. Pe de o parte, acesta oferă persoanei vizate un drept la despăgubiri și stabilește în principiu răspunderea corespunzătoare a operatorului sau a persoanei împuternicite de operator pentru prejudiciul suferit [articolul 82 alineatul (1)]. Pe de altă parte, acesta stabilește condițiile specifice în care poate fi angajată răspunderea operatorului, a persoanei împuternicite de operator sau răspunderea lor comună pentru prejudiciul respectiv (ori în care aceștia pot fi exonerați de răspundere), precum și modul în care răspunderea trebuie repartizată între aceștia atunci când mai multe părți au fost implicate în operațiunea de prelucrare în cauză [articolul 82 alineatele (2)-(5)].

80. Rezultă că articolul 82 alineatul (2) din RGPD nu are ca obiect stabilirea domeniului de aplicare al dreptului la despăgubiri al persoanelor vizate ca atare. Acesta precizează în schimb regimul de răspundere al cărui principiu este stabilit la alineatul (1) al acestui articol(52).

81. Domeniul de aplicare al dreptului la despăgubiri trebuie, la rândul său, să fie stabilit în lumina modului de redactare a articolului 82 alineatul (1) din RGPD, care nu conține aceeași limitare precum alineatul (2) al acestui articol, întrucât prevede, în termeni mai generali, că „[o]rice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a [acestui] regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit”(53). Nu se face nicio referire la „prelucrare”.

82. Având în vedere aceste elemente, apreciem că referirea la „prejudiciul cauzat de operațiunile […] de prelucrare […]” care figurează la articolul 82 alineatul (2) din RGPD nu poate fi interpretată în sensul că limitează domeniul de aplicare al dreptului la despăgubiri prevăzut la articolul 82 alineatul (1) din acest regulament numai la un asemenea prejudiciu. Avocatul general Szpunar a ajuns la o concluzie similară în Concluziile prezentate în cauza Brillen Rottler(54), în care a descris alineatul (2) al articolului 82 din RGPD ca fiind o „dispoziție complementară”, iar nu o limitare a alineatului (1) al acestui articol.

83. În plus, în hotărârea pronunțată recent în cauza respectivă(55), Curtea a statuat în mod expres că, întrucât articolul 82 alineatul (1) din RGPD nu conține o referire la „prelucrare”, „drept[ul] la despăgubiri nu poate fi limitat la prejudiciile care rezultă dintr‑o prelucrare a datelor cu caracter personal”(56).

84. În hotărârea respectivă, Curtea a amintit de asemenea că articolul 82 alineatul (1) din RGPD figurează în capitolul VIII din acest regulament, care reglementează căile de atac, normele privind răspunderea și sancțiunile care permit protejarea drepturilor respective, și că trebuie interpretat în lumina considerentului (141) al RGPD, care enunță că orice persoană vizată ar trebui să aibă dreptul la o cale de atac eficientă în conformitate cu articolul 47 din cartă „în cazul în care consideră că drepturile sale în temeiul [acestui regulament] sunt încălcate”(57). Curtea a adăugat că aceste drepturi includ dreptul de acces al unei persoane vizate la datele sale cu caracter personal în temeiul articolului 15 alineatul (1) din RGPD. Prin urmare, acest drept, împreună cu celelalte drepturi conferite persoanelor vizate prin articolul 15 din RGPD, inclusiv dreptul de a obține informațiile enumerate la alineatul (1) literele (a)-(h), trebuie să beneficieze de protecția conferită de articolul 82 din RGPD, care trebuie, așadar, interpretat în sensul că se aplică prejudiciilor rezultate din încălcări ale acestor drepturi.

85. Tertio, considerăm că este evident că limitarea dreptului persoanei vizate de a obține despăgubiri în temeiul acestei dispoziții la prejudiciile cauzate de o prelucrare ilegală a datelor ar fi de asemenea incompatibilă cu obiectivele urmărite de acest regulament în ansamblul său, care constau, astfel cum am arătat la punctul 24 din prezentele concluzii, în asigurarea unui „nivel ridicat de protecție” și în „consolidarea […] drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal”. În Hotărârea Brillen Rottler(58), Curtea a precizat în esență că articolul 82 din RGPD urmărește să asigure punerea în aplicare a acestor obiective.

86. Astfel cum a arătat în mod întemeiat Comisia, dacă dreptul persoanei vizate de a primi despăgubiri în temeiul acestei dispoziții ar fi limitat la prejudiciile cauzate de o prelucrare ilegală a datelor, aceasta ar afecta nu numai protecția drepturilor prevăzute la articolul 15 din RGPD, ci și pe cea a aproape tuturor drepturilor persoanelor vizate prevăzute în capitolul III al acestuia(59), care ar deveni în mare măsură simbolice(60). Astfel, fiecăruia dintre aceste drepturi îi corespunde o obligație a operatorilor, la care aceștia nu sunt supuși decât după(61) ce a avut loc (pretinsa) prelucrare a datelor în cauză(62).

87. Pentru aceste motive, apreciem că efectele negative suferite de o persoană vizată ca urmare a încălcării obligației de informare prevăzute la articolul 15 alineatul (1) din RGPD pot fi considerate un „prejudiciu”, în sensul articolului 82 din acesta, determinând astfel obligația operatorului de a plăti o despăgubire persoanei vizate în temeiul acestei dispoziții.

D. Aspectul dacă articolul 82 din RGPD se opune unei reglementări naționale care prevede excluderea răspunderii operatorului (a patra întrebare)

88. Vom aborda în continuare a patra întrebare, prin care instanța de trimitere solicită, în cazul unui răspuns afirmativ la prima sau la a treia întrebare, să se stabilească dacă articolul 82 din RGPD se opune unei reglementări naționale care prevede că persoanele care acționează în calitate de „funcționari executivi”, cu alte cuvinte în numele anumitor entități juridice de drept public, nu pot fi considerate răspunzătoare pentru prejudiciul pe care îl cauzează persoanelor vizate, în calitatea lor de operatori sau de persoane împuternicite de operatori.

89. Această întrebare este adresată în legătură cu anumite particularități ale dreptului austriac, și anume cele prevăzute la articolul 1 din Legea privind răspunderea oficială, care prevede că persoanele care acționează în calitate de „funcționari executivi” ai federației, ai Länder, ai comunelor, ai altor entități de drept public și ai instituțiilor din domeniul asigurărilor sociale nu răspund, în aplicarea legii, pentru prejudiciile pe care le cauzează oricărei persoane ca urmare a comportamentelor lor ilegale. În consecință, împotriva unor astfel de persoane nu poate fi introdusă o acțiune în despăgubire în temeiul articolului 82 din RGPD(63).

90. În speță, înțelegem că TS, în calitatea sa de director al unei școli primare din Austria, trebuie considerat ca acționând ca un „funcționar executiv” al landului relevant (întrucât, în temeiul dreptului austriac, școlile nu au personalitate juridică și, prin urmare, nu pot fi acționate în justiție). Din cuprinsul articolului 1 din Legea privind răspunderea oficială rezultă că, chiar dacă TS ar îndeplini toate condițiile necesare pentru a fi calificat drept „operator” în sensul articolului 4 punctul 7 din RGPD în ceea ce privește prelucrarea datelor cu caracter personal în discuție în litigiul principal (ceea ce, astfel cum am explicat, nu pare să fie cazul), RS nu ar putea introduce o acțiune în despăgubire împotriva acestuia în temeiul articolului 82 din RGPD pentru prejudiciul pretins cauzat de încălcarea de către TS a articolului 15 alineatul (1) litera (g) din RGPD. Instanța de trimitere ridică problema dacă o astfel de dispoziție națională este contrară articolului 82 din RGPD.

91. Considerăm că răspunsul este negativ. Astfel, o dispoziție națională precum articolul 1 din Legea privind răspunderea oficială nu împiedică, în sine, o persoană vizată să introducă o acțiune în despăgubire atunci când încălcarea relevantă a RGPD a fost săvârșită de o persoană care acționează în numele unei entități juridice de drept public. Aceasta are ca efect doar transferarea răspunderii pentru plata despăgubirilor asupra entității în cauză.

92. Se pare că principalul obiectiv al unui asemenea transfer al răspunderii îl reprezintă asigurarea protecției victimei prin garantarea unui debitor solvabil(64). Prin urmare, contrar celor susținute de recurent, rațiunea care stă la baza unei dispoziții naționale precum articolul 1 din Legea privind răspunderea oficială nu este aceea de a restrânge protecția juridică a persoanelor vizate, ci, dimpotrivă, de a o consolida.

93. Având în vedere aceste considerații, nu înțelegem în ce mod o asemenea dispoziție națională ar putea fi considerată incompatibilă cu articolul 82 din RGPD.

94. Admitem că articolul 82 alineatul (2) din acest regulament, care prevede că „[o]rice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă [RGPD]”, ar putea fi înțeles, la prima vedere, ca impunând răspunderea directă a operatorului.

95. Cu toate acestea, rațiunea de a fi a articolului 82 din RGPD este, astfel cum a statuat în mod constant Curtea(65), de a oferi persoanei vizate o despăgubire integrală și efectivă pentru prejudiciul suferit ca urmare a unei încălcări a RGPD(66). Astfel cum am arătat deja la punctul 84 din prezentele concluzii, această dispoziție figurează în capitolul VIII din regulamentul menționat, care reglementează căile de atac, normele privind răspunderea și sancțiunile care permit protejarea drepturilor respective. Astfel, ea trebuie interpretată în lumina considerentului (141) al RGPD, care face referire în mod expres la dreptul persoanelor vizate la o cale de atac eficientă în conformitate cu articolul 47 din cartă, atunci când drepturile care le sunt conferite de acest regulament sunt încălcate.

96. Prin urmare, în opinia noastră, nu are importanță dacă despăgubirea este plătită direct de operator sau de persoana împuternicită de operator ori de persoana juridică de drept public care angajează o astfel de persoană sau este responsabilă pentru aceasta. Ceea ce contează este ca prejudiciul efectiv suferit de persoana vizată ca urmare a unei încălcări a RGPD să fie reparat integral.

97. Această concluzie nu este repusă în discuție de o comparație între articolul 82 din RGPD și articolul 83 alineatul (7) din acesta, care lasă în mod expres la aprecierea statelor membre stabilirea măsurii în care autorităților și organismelor publice li se pot aplica amenzi administrative. Potrivit lui RS, lipsa oricărei marje similare de apreciere în cuprinsul articolului 82 din RGPD nu poate fi interpretată decât în sensul că statelor membre nu le este permis să exonereze autoritățile publice și organismele și astfel funcționarii executivi de răspunderea pentru acțiunile în despăgubire întemeiate pe dreptul privat.

98. Acest argument nu ține însă seama de faptul că articolul 82 și articolul 83 din RGPD urmăresc obiective diferite(67). Prima dispoziție are o funcție exclusiv compensatorie (cu alte cuvinte, privește despăgubirea persoanei vizate pentru prejudiciul suferit), în timp ce cea de a doua are un scop punitiv(68). Considerăm că, tocmai în virtutea acestui scop punitiv, amenzile administrative trebuie în principiu să fie direct „legate” de operatorul sau de persoana împuternicită de operator în cauză.

99. În plus, astfel cum s‑a explicat la punctul 91 din prezentele concluzii, o dispoziție națională precum articolul 1 din Legea privind răspunderea oficială nu face decât să transfere răspunderea pentru despăgubiri de la persoana care acționează în numele unei entități juridice asupra entității respective(69). În schimb, atunci când adoptă norme în temeiul articolului 83 alineatul (7) din acest regulament, un stat membru poate exclude în totalitate aplicarea de amenzi administrative autorităților și organismelor sale publice.

100. În aceste condiții, considerăm că articolul 82 din RGPD nu se opune unor norme naționale în temeiul cărora persoanele care acționează în numele anumitor entități juridice de drept public nu pot fi considerate răspunzătoare pentru prejudiciul pe care îl cauzează persoanelor vizate, în calitatea lor de operatori sau de persoane împuternicite de operatori, cu condiția ca aceste norme să identifice și entitatea împotriva căreia pot fi introduse acțiuni în despăgubire de către astfel de persoane vizate.

V. Concluzie

101. Având în vedere considerațiile care precedă, propunem Curții să răspundă la întrebările preliminare adresate de Oberster Gerichtshof (Curtea Supremă, Austria) după cum urmează:

Articolul 4 punctul 7 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)

trebuie interpretat în sensul că o persoană fizică care, în exercitarea atribuțiilor sale, prelucrează date cu caracter personal nu în interes propriu și personal, ci în calitate de conducător al unei organizații și prin intermediul mijloacelor puse la dispoziția sa și stabilite de respectiva organizație nu are calitatea de „operator” în sensul acestei dispoziții.

1 Limba originală: engleza.

i Numele prezentei cauze este un nume fictiv. El nu corespunde numelui real al niciuneia dintre părțile din procedură.

2 Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1) (denumit în continuare „RGPD”).

3 A se vedea articolul 4 alineatul (1) din RGPD.

4 Ibidem.

5 A se vedea considerentul (7) al RGPD.

6 A se vedea considerentul (11) al RGPD.

7 A se vedea articolul 1 alineatul (2) din RGPD și considerentul (10) al acestuia.

8 A se vedea considerentul (7) al RGPD. Această reglementare are la bază concepția potrivit căreia persoana vizată este o persoană activă, capabilă să ia decizii cu privire la datele cu caracter personal care o privesc (a se vedea Spiecker gen. Döhmann, I.; Papakonstantinou, V.; Hornung, G., și De Hert, P., General Data Protection Regulation: Article‑by‑Article Commentary, Nomos, Baden‑Baden, 2023, p. 86).

9 „Prelucrarea” este definită la articolul 4 punctul 2 din RGPD ca fiind „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea”.

10 A se vedea articolul 15 alineatul (1) din RGPD: „[p]ersoana vizată are dreptul de a obține din partea operatorului […]” (sublinierea noastră).

11 Într‑o astfel de ipoteză, „scopurile și mijloacele de prelucrare a datelor cu caracter personal” sunt ele însele stabilite de dreptul Uniunii Europene sau de dreptul intern.

12 A se vedea Hotărârea din 10 iulie 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punctul 68). Această hotărâre privea interpretarea noțiunii de „operator”, astfel cum a fost definită la articolul 2 litera (d) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10). Deși această directivă nu mai este în vigoare și a fost înlocuită cu RGPD, interpretarea dată de Curte acestei dispoziții rămâne relevantă pentru aplicarea RGPD, dat fiind că definiția noțiunii respective este identică în ambele instrumente, cu excepția unor modificări formale minore. Astfel, ne vom referi fără distincție la hotărârile referitoare la unul sau la celălalt dintre aceste instrumente.

13 A se vedea de asemenea în această privință „Orientările 07/2020 privind conceptele de operator și persoană împuternicită de operator în cadrul RGPD” ale Comitetului european pentru protecția datelor (CEPD), versiunea 2.1, adoptate la 7 iulie 2021 (denumite în continuare „Orientările CEPD 07/2020”, disponibile la adresa https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), p. 3 și punctele 21 și 25-27.

14 A se vedea Hotărârea din 4 octombrie 2024, Bezirkshauptmannschaft Landeck (Tentativă de accesare a datelor cu caracter personal stocate pe un telefon mobil) (C‑548/21, EU:C:2024:830, punctul 41 și jurisprudența citată).

15 A se vedea Hotărârea din 5 decembrie 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, punctul 29).

16 Ibidem, punctul 30.

17 Sublinierea noastră.

18 A se vedea Hotărârea din 11 aprilie 2024, juris (C‑741/21, EU:C:2024:288, punctele 47-49).

19 Ibidem. A se vedea de asemenea în această privință Hotărârea din 22 iunie 2023, Pankki S (C‑579/21, EU:C:2023:501), Hotărârea din 5 decembrie 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950), și Hotărârea din 25 ianuarie 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72), în care s‑a constatat că „operatorii” erau societățile, chiar dacă presupusa „prelucrare” fusese efectuată de angajații respectivelor societăți.

20 A se vedea Hotărârea din 5 decembrie 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, punctul 44).

21 A se vedea punctele 18 și 19 din orientările menționate.

22 Suntem de acord cu Comisia că, prin intermediul primei întrebări, instanța de trimitere se limitează să solicite să se stabilească dacă o persoană precum TS poate fi calificată drept „operator” în sensul articolului 4 punctul 7 din RGPD. Astfel, în ipoteza în care Curtea ar fi de acord cu punctul nostru de vedere potrivit căruia trebuie să se răspundă negativ la această întrebare, nu considerăm că este necesar să se stabilească dacă școala sau landul în cauză trebuie considerat „operator”, iar nu TS.

23 A se vedea în acest sens Hotărârea din 27 februarie 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, punctele 30-34). A se vedea de asemenea Hotărârea din 11 ianuarie 2024, État belge (Date prelucrate de un jurnal oficial) (C‑231/22, EU:C:2024:7, punctul 36).

24 A se vedea în această privință Hotărârea din 7 martie 2024, IAB Europe (C‑604/22, EU:C:2024:214, punctele 56-59). Pentru un exemplu în care o entitate (comunitate religioasă) și membrii acesteia au fost efectiv considerați operatori asociați, a se vedea Hotărârea din 10 iulie 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551).

25 A se vedea în această privință Concluziile noastre prezentate în cauza Lindenberg (C‑205/25, EU:C:2026:312, denumite în continuare „Concluziile noastre prezentate în cauza Lindenberg”), în care, la punctul 49, arătăm că articolul 15 din RGPD nu poate fi exercitat decât împotriva operatorului.

26 Acest lucru este valabil și în cazul celei de a patra întrebări, care este adresată numai „în cazul unui răspuns afirmativ la prima sau la cea de a treia întrebare” (sublinierea noastră).

27 A se vedea în această privință Hotărârea din 20 decembrie 2017, Nowak (C‑434/16, EU:C:2017:994, punctul 34), referitoare la noțiunea de „date cu caracter personal”, astfel cum a fost definită la articolul 2 litera (a) din Directiva 95/46, precum și Hotărârea din 2 decembrie 2025, Russmedia Digital și Inform Media Press (C‑492/23, EU:C:2025:935, punctul 49). A se vedea de asemenea în această privință „Orientările 01/2022 privind drepturile persoanelor vizate – Dreptul de acces” ale CEPD, versiunea 2.1, adoptate la 28 martie 2023 (denumite în continuare „Orientările CEPD 01/2022”, disponibile la adresa: https://www.edpb.europa.eu/our‑work‑tools/our‑documents/guidelines/guidelines-012022-data‑subject‑rights‑right‑access_en), punctul 96.

28 A se vedea Hotărârea din 19 martie 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, punctul 24 și jurisprudența citată).

29 A se vedea definiția termenului „sursă” din versiunea online a Collins Dictionary, disponibilă la adresa: https://www.collinsdictionary.com/dictionary/english/source. Potrivit versiunii online Cambridge Dictionary, termenul „sursă” este în mod obișnuit înțeles ca desemnând locul din care provine ceva sau persoana ori elementul care furnizează informații (https://dictionary.cambridge.org/dictionary/english/source).

30 Sublinierea noastră.

31 A se vedea Hotărârea din 9 ianuarie 2025, Österreichische Datenschutzbehörde (Cereri excesive) (C‑416/23, EU:C:2025:3, punctul 46).

32 A se vedea în acest sens Hotărârea din 22 iunie 2023, Pankki S (C‑579/21, EU:C:2023:501, punctele 56-59 și jurisprudența citată). A se vedea de asemenea în această privință considerentul (63) al RGPD (punctul 6 de mai sus).

33 A se vedea punctul 24 de mai sus.

34 A se vedea prin analogie punctul 58 din Concluziile noastre prezentate în cauza Lindenberg, în care opinăm că domeniul de aplicare al dreptului de a obține o copie în temeiul articolului 15 alineatul (3) din RGPD rămâne strict delimitat de funcția sa.

35 A se vedea din nou în acest sens Hotărârea din 22 iunie 2023, Pankki S (C‑579/21, EU:C:2023:501, punctele 69-75), în care Curtea analizează dacă comunicarea informațiilor relevante poate fi necesară pentru a asigura o prelucrare echitabilă și transparentă, permițându‑i astfel persoanei vizate să își valorifice pe deplin drepturile conferite de regulamentul menționat.

36 A se vedea Orientările CEPD 01/2022, punctul 36.

37 Astfel, RS susține că, atunci când informațiile obținute în cursul unei conversații orale cu un terț sunt reproduse într‑un e‑mail exact în forma în care au fost primite (astfel cum consideră că s‑a întâmplat în litigiul principal), terțul însuși trebuie considerat „sursa” datelor cu caracter personal cuprinse în acel e‑mail.

38 Hotărârea din 20 decembrie 2017 (C‑434/16, EU:C:2017:994).

39 A se vedea considerentul (63) al RGPD.

40 A se vedea de asemenea în această privință Hotărârea din 22 iunie 2023, Pankki S (C‑579/21, EU:C:2023:501, punctul 77).

41 A se vedea articolul 11 din cartă și articolul 10 din Convenția pentru apărarea drepturilor omului și a libertăților fundamentale (denumită în continuare „CEDO”).

42 Protejate în temeiul articolului 7 din cartă și al articolului 8 din CEDO.

43 A se vedea articolul 11 din cartă și articolul 10 din CEDO.

44 Protejate în temeiul articolului 7 din cartă și al articolului 8 din CEDO.

45 Acestea fiind spuse, admitem că, într‑o astfel de situație, obținerea de informații privind identitatea sursei poate permite persoanei vizate să împiedice transmiterea ulterioară a datelor sale cu caracter personal între diferiți operatori (cu alte cuvinte, să împiedice „prelucrarea” ulterioară) (a se vedea punctul 58 de mai sus). Totuși, această simplă considerație nu este suficientă, în opinia noastră, pentru a justifica divulgarea identității sursei (terțului) persoanei în cauză.

46 În această privință, amintim că, în cadrul procedurii de cooperare dintre instanțele naționale și Curte instituite prin articolul 267 TFUE, este de competența acesteia din urmă să ofere instanței naționale un răspuns util care să îi permită să soluționeze litigiul cu care este sesizată. Din această perspectivă, Curtea trebuie, dacă este cazul, să reformuleze întrebările care îi sunt adresate și să ia în considerare, dacă este necesar, norme de drept al Uniunii la care instanța națională nu a făcut referire în enunțul întrebării sale [a se vedea Hotărârea din 30 aprilie 2026, Lidl Italia (Practici comerciale incorecte în privința unor produse alimentare), C‑301/25, EU:C:2026:357, punctul 25].

47 Persoana vizată are dreptul de a primi de la operator informațiile enumerate la articolul 15 alineatul (1) literele (a)-(h) din RGPD numai în cazul în care sunt prelucrate date cu caracter personal care o privesc.

48 Potrivit articolului 15 alineatul (1) din RGPD, persoana vizată are de asemenea „dreptul de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc” (sublinierea noastră).

49 Sublinierea noastră. A se vedea de asemenea articolul 82 alineatul (4) din RGPD și considerentul (146) al acestuia, care face referire la „orice prejudiciu pe care o persoană îl poate suferi ca urmare a unei prelucrări”.

50 A se vedea de asemenea în această privință Concluziile avocatului general Szpunar prezentate în cauza Brillen Rottler (C‑526/24, denumite în continuare „Concluziile prezentate în cauza Brillen Rottler”, EU:C:2025:723, punctele 69-71).

51 A se vedea în această privință Nota Președinției Consiliului nr. 9565/15 din 11 iunie 2015, „Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) – Preparation of a General Approach” [Propunerea de regulament al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (Regulamentul general privind protecția datelor) – Pregătirea unei abordări generale], disponibilă la adresa: https://data.consilium.europa.eu/doc/document/ST‑9565-2015-INIT/en/pdf (p. 185).

52 A se vedea Hotărârea din 4 octombrie 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punctul 159). A se vedea de asemenea în această privință Concluziile prezentate în cauza Brillen Rottler, în care avocatul general explică la punctul 70 că articolul 82 alineatul (2) din RGPD a introdus răspunderea persoanei împuternicite de operator, care nu figura la articolul 23 din Directiva 95/46.

53 Sublinierea noastră.

54 Punctul 73.

55 A se vedea Hotărârea din 19 martie 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, denumită în continuare „Hotărârea Brillen Rottler”).

56 A se vedea punctul 48. La punctul 59 din această hotărâre, Curtea a amintit de asemenea jurisprudența sa consacrată potrivit căreia, pentru a lua naștere un drept la despăgubiri, trebuie să fie stabilită existența unei legături de cauzalitate între prejudiciul suferit și o încălcare a RGPD, în sens larg. Potrivit cunoștințelor noastre, cerința mai restrictivă a existenței unei legături de cauzalitate între prejudiciul respectiv și o „prelucrare ilegală” (iar nu o „încălcare a RGPD”) apare numai în Hotărârea din 4 octombrie 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punctul 159). Aceasta figurează de asemenea la punctul 36 din Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal) (C‑300/21, EU:C:2023:370); totuși, punctul 32 al acestei hotărâri face referire într‑un mod mai general la o „încălcare a RGPD”.

57 Punctul 49.

58 Punctul 53.

59 Acest capitol cuprinde, pe lângă diferitele drepturi la informare prevăzute la articolele 12-15, dreptul la rectificarea datelor cu caracter personal (articolul 16), dreptul la ștergerea acestor date (articolul 17), dreptul de a restricționa prelucrarea datelor cu caracter personal (articolul 18) și dreptul la portabilitatea datelor (articolul 20).

60 A se vedea în acest sens Hotărârea Brillen Rottler, punctul 53.

61 Capitolul III din RGPD include, de asemenea, dreptul persoanei vizate de a se opune „în orice moment” prelucrării datelor cu caracter personal (articolul 21 din RGPD). Spre deosebire de celelalte drepturi prevăzute în acest capitol, considerăm că acest drept trebuie exercitat în timp ce datele respective sunt prelucrate, întrucât dă naștere, în principiu, unei obligații în sarcina operatorului de a nu mai prelucra datele cu caracter personal în cauză.

62 Situația este aceeași în ceea ce privește alte obligații impuse operatorilor prin capitolul III din RGPD, precum cele prevăzute la articolele 26 și 30 din acest regulament, a căror încălcare nu constituie o „prelucrare ilegală” (a se vedea în această privință Hotărârea Brillen Rottler, punctul 52 și jurisprudența citată).

63 A se vedea în această privință articolul 9 alineatul (5) din Legea privind răspunderea oficială, conținutul acestuia fiind prezentat la punctul 11 de mai sus.

64 A se vedea în această privință Kucsko‑Stadlmayer, G., „Art. 23 BV‑G” în Korinek, K., Holoubek M., ș.a. (eds), Österreichisches Bundesverfassungsrecht, Verlag Österreich, 2013. Temeiul constituțional al articolului 1 din Legea privind răspunderea oficială este articolul 23 din Bundes‑Verfassungsgesetz (denumită în continuare „B‑VG” sau „Legea constituțională federală”).

65 A se vedea în această privință Hotărârea din 4 octombrie 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, punctul 34 și jurisprudența citată), și Hotărârea din 4 septembrie 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, punctul 78 și jurisprudența citată).

66 A se vedea de asemenea în această privință considerentul (146) al RGPD, care enunță că „[p]ersoanele vizate ar trebui să primească despăgubiri integrale și eficace pentru prejudiciul pe care l‑au suferit”.

67 A se vedea în această privință Hotărârea din 11 aprilie 2024, juris (C‑741/21, EU:C:2024:288, punctul 56), și Hotărârea din 20 iunie 2024, PS (Adresă eronată) (C‑590/22, EU:C:2024:536, punctul 38).

68 A se vedea în această privință Hotărârea din 20 iunie 2024, Scalable Capital (C‑182/22 și C‑189/22, EU:C:2024:531, punctele 2 și 23 și jurisprudența citată), Hotărârea din 20 iunie 2024, PS (Adresă eronată) (C‑590/22, EU:C:2024:536, punctul 41), și Hotărârea din 4 septembrie 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, punctul 70 și jurisprudența citată).

69 În această privință, observăm că transferul de răspundere prevăzut de articolul 1 din Legea privind răspunderea oficială nu conduce neapărat la o exonerare totală de răspundere a „funcționarului executiv” în cauză. Astfel, potrivit articolului 23 alineatul (2) din Legea constituțională federală și articolului 3 din Legea privind răspunderea oficială, persoana juridică de drept public care a despăgubit o persoană vizată pentru prejudiciul cauzat de unul dintre „funcționarii executivi” ai săi poate exercita o acțiune în regres împotriva respectivului „funcționar executiv” atunci când acesta a acționat cu intenție sau din neglijență gravă.