PRESUDA SUDA (drugo vijeće)
20. prosinca 2017.(*)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Direktiva 95/46/EZ – Članak 2. točka (a) – Pojam ‚osobni podaci’ – Pisani odgovori kandidata na stručnom ispitu – Napomene ispitivača u vezi s tim odgovorima – Članak 12. točke (a) i (b) – Opseg prava dotične osobe na pristup i ispravak”
U predmetu C‑434/16,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Supreme Court (Vrhovni sud, Irska), odlukom od 29. srpnja 2016., koju je Sud zaprimio 4. kolovoza 2016., u postupku
Peter Nowak
protiv
Data Protection Commissioner,
SUD (drugo vijeće),
u sastavu: M. Ilešič (izvjestitelj), predsjednik vijeća, A. Rosas, C. Toader, A. Prechal i E. Jarašiūnas, suci,
nezavisna odvjetnica: J. Kokott,
tajnik: M. Aleksejev, administrator,
uzimajući u obzir pisani postupak i nakon rasprave održane 22. lipnja 2017.,
uzimajući u obzir očitovanja koja su podnijeli:
– za P. Nowaka, G. Rudden, solicitor, i N. Travers, SC,
– za Data Protection Commissionera, D. Young, solicitor, i P. A. McDermott, SC,
– za Irsku, E. Creedon, L. Williams i A. Joyce, u svojstvu agenata, uz asistenciju A. Caroll, barrister,
– za češku vladu, M. Smolek i J. Vláčil, u svojstvu agenata,
– za vladu Helenske Republike, G. Papadaki i S. Charitaki, u svojstvu agenata,
– za mađarsku vladu, M. Z. Fehér i A. Pálfy, u svojstvu agenata,
– za austrijsku vladu, G. Eberhard, u svojstvu agenta,
– za poljsku vladu, B. Majczyna, u svojstvu agenta,
– za portugalsku vladu, L. Inez Fernandes, M. Figueiredo i I. Oliveira, u svojstvu agenata,
– za Europsku komisiju, D. Nardi i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisne odvjetnice na raspravi održanoj 20. srpnja 2017.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je upućen u okviru spora između Petera Nowaka i Data Protection Commissionera (službenik za zaštitu podataka, Irska) u pogledu odbijanja potonjeg da P. Nowaku da pristup ispravljenom primjerku ispita na kojem je on bio kandidat, uz obrazloženje da informacije koje su u njemu sadržane nisu osobni podaci.
Pravni okvir
Pravo Unije
Direktiva 95/46
3 U skladu s člankom 1., Direktiva 95/46 ima za cilj zaštitu temeljnih prava i sloboda fizičkih osoba, a posebno prava na privatnost u vezi s obradom osobnih podataka, kao i uklanjanje zapreka slobodnom protoku tih podataka, kako je navedeno u uvodnim izjavama 25., 26. i 41.:
„(25) budući da se načela zaštite s jedne strane moraju odraziti u obvezama koje su preuzele osobe […] nadležn[e] za obradu, posebno u vezi s kvalitetom podataka, tehničkom sigurnošću, obavješćivanjem nadzornog tijela te okolnostima pod kojima se obrada može provoditi, i s druge strane, pravima koja imaju pojedinci čiji su podaci predmet obrade da ih se izvijesti da je obrada u tijeku, da imaju uvid u podatke, da zatraže ispravak i čak da se usprotive obradi pod nekim okolnostima;
(26) budući da se načela zaštite moraju primjenjivati na sve podatke u vezi s utvrđenim osobama ili osobama koje se mogu utvrditi; budući da je, kako bi se utvrdilo može li se osobu utvrditi, potrebno uzeti u obzir sva sredstva koja nadzornik ili bilo koja druga osoba može opravdano koristiti da utvrdi navedenu osobu; budući da se načela zaštite ne primjenjuju na podatke koji su anonimni na takav način da se osoba čiji se podaci obrađuju više ne može utvrditi; […]
[…]
(41) budući da svaka osoba mora biti u mogućnosti ostvariti pravo na pristup podacima koji se na nju odnose, a koji se obrađuju kako bi posebno provjerila točnost podataka te zakonitost obrade; […]”
4 Pojam „osobni podaci” definiran je u članku 2. točki (a) te direktive kao „bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (,osoba čiji se podaci obrađuju'); osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njegov fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet”.
5 Članak 6. te direktive, koji se nalazi u odjeljku I., naslovljenom „Načela koja se odnose na kvalitetu podataka”, u poglavlju II. te direktive, glasi:
„1. Države članice osiguravaju da su osobni podaci:
(a) obrađeni pošteno i zakonito;
(b) prikupljeni u posebne, izričite i zakonite svrhe te da ih se dalje ne obrađuje na način koji bi bio nespojiv s tom svrhom. Daljnja obrada podataka u povijesne, statističke ili znanstvene svrhe ne smatra se nespojivom pod uvjetom da ta država članica osigura odgovarajuću zaštitu;
(c) prikladni, relevantni i da nisu pretjerani u odnosu na svrhu zbog koje se prikupljaju i/ili dalje obrađuju;
(d) točni i, po potrebi, dopunjeni; potrebno je poduzeti sve odgovarajuće mjere da se podaci koji su netočni ili nepotpuni izbrišu ili isprave, uzimajući u obzir svrhu zbog koje se prikupljaju ili zbog koje se dalje obrađuju;
(e) pohranjeni u obliku koji dopušta identifikaciju subjekata podataka ne dulje nego što je to potrebno s obzirom na svrhu zbog koje su podaci prikupljeni ili zbog koje se dalje obrađuju. Države članice dužne su predvidjeti odgovarajuću zaštitu za pohranu osobnih podataka za duža razdoblja ili za povijesnu, statističku ili znanstvenu uporabu.
2. Nadzornik mora osigurati postupanje u skladu sa stavkom 1. ovog članka.”
6 Članak 7. Direktive 95/46, koji se nalazi u odjeljku II., naslovljenom „Mjerila za zakonitost obrade podataka”, u poglavlju II. te direktive, propisuje:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
(a) je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost; ili
[…]
(c) je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe; ili
[…]
(e) je obrada potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju; ili
(f) je obrada potrebna u svrhe zakonitog interesa koji ima nadzornik ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju koja zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.”
7 Članak 12. navedene direktive, naslovljen „Pravo na pristup”, propisuje:
„Države članice osiguravaju da svaka osoba čiji se podaci obrađuju ima pravo dobiti od nadzornika:
(a) bez prisile, u razumnim rokovima te bez pretjerane odgode ili troška:
– potvrdu obrađuju li se ili ne podaci koji se na nju odnose te podatak barem u vezi sa svrhom obrade, vrstom podataka te primateljem ili vrstom primatelja kojima se podaci otkrivaju,
– obavijest u razumljivom obliku o podacima koji se obrađuju te bilo koje podatke o njihovu izvoru,
[…]
(b) prema potrebi, ispravak, brisanje ili blokiranje podataka čija obrada nije u skladu s ovom Direktivom, posebno zbog nepotpunih ili netočnih podataka;
(c) obavijest trećim strankama kojima su podaci otkriveni o svim ispravcima, brisanjima ili blokiranju izvršenom u skladu s točkom (b), ako se to [ne] pokaže nemogućim ili [ne] uključuje nerazmjeran napor.”
8 Člankom 13. navedene direktive, naslovljenim „Iznimke i ograničenja”, određuje se:
„1. Države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz članka 6. stavka 1., članka 10., članka 11. stavka 1. te članaka 12. i 21. ove Direktive kada takvo ograničavanje predstavlja potrebne mjere za zaštitu:
[…]
(g) zaštite osobe čiji se podaci obrađuju ili prava i slobode drugih.
[…]”
9 Članak 14. Direktive 95/46, naslovljen „Pravo osobe čiji se podaci obrađuju na prigovor”, propisuje:
„Države članice odobravaju osobi čiji se podaci obrađuju pravo:
(a) barem u slučajevima iz članka 7. stavaka (e) i (f) ove Direktive, da prigovori u bilo kojem trenutku zbog jakih i zakonitih razloga u vezi njezine određene situacije na obradu podataka koji se odnose na nju, osim kada je drugačije propisano nacionalnim zakonodavstvom. Ako je prigovor osnovan, obrada koju je započeo nadzornik ne smije više obuhvaćati te podatke;
[…]”
10 U članku 28. iste direktive, naslovljenom „Nadzorno tijelo”, navodi se:
„1. Svaka država članica osigurava da je jedno ili više javnih tijela na njezinu području odgovorno za nadzor primjene odredbi koje su donijele države članice u skladu s ovom Direktivom.
[…]
3. Svako tijelo osobito dobiva:
– istražne ovlasti, kao što je ovlast pristupa podacima koji su predmet postupaka obrade i ovlasti za prikupljanje svih podataka potrebnih za izvršavanje svojih nadzornih dužnosti,
– učinkovite ovlasti za posredovanje, kao što je na primjer […] ovlasti naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade […]
[…]
Protiv odluka nadzornog tijela mogu se izjaviti žalbe putem sudova.
4. Svako nadzorno tijelo razmatra zahtjeve koje podnese bilo koja osoba ili bilo koja udruga koja zastupa tu osobu, u vezi zaštite njezinih prava i sloboda u odnosu na obradu osobnih podataka. Dotičnu osobu izvješćuje se o ishodu tog zahtjeva.
[…]”
Uredba (EU) 2016/679
11 Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1.) primjenjuje se, u skladu sa svojim člankom 99. stavkom 2., od 25. svibnja 2018. Članak 94. stavak 1. te uredbe propisuje da se Direktiva 95/46 stavlja izvan snage s učinkom od tog istog datuma.
12 Ta uredba u članku 15., naslovljenom „Pravo ispitanika na pristup”, propisuje:
„1. Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i […]
[…]
3. Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. […]
4. Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.”
13 Članak 23. Uredbe 2016/679, naslovljen „Ograničenja”, propisuje:
„1. Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. […], ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:
[…]
(e) drugih važnih ciljeva od općeg javnog interesa Unije ili države članice, osobito važnog gospodarskog ili financijskog interesa Unije ili države članice, što uključuje monetarna, proračunska i porezna pitanja, javno zdravstvo i socijalnu sigurnost;
[…]
(i) zaštite ispitanika ili prava i sloboda drugih.
[…]”
Irsko pravo
14 Data Protection Act 1988 (Zakon iz 1988. o zaštiti podataka), kako je izmijenjen Data Protection (Amendment) Actom 2003 (Zakon iz 2003. o izmjeni Zakona o zaštiti podataka) (u daljnjem tekstu: Zakon o zaštiti podataka), ima za cilj prenijeti Direktivu 95/46 u irsko pravo. Članak 1. stavak 1. tog zakona pojam „osobnih podataka” definira na sljedeći način:
„podaci o živoj osobi, koja je identificirana ili to može biti pomoću tih podataka ili pomoću podataka zajedno s drugim informacijama koje su u posjedu kontrolora podataka ili koje to mogu postati”.
15 Pravo na pristup uređeno je člankom 4. Zakona o zaštiti podataka, čiji stavak 6., koji se specifično odnosi na zahtjeve za pristup rezultatima ispita, glasi:
„(a) Za zahtjev koji podnese osoba na temelju stavka 1. ovog članka u vezi s rezultatima ispita na kojem je on bio kandidat smatra se da je za potrebe ovog članka podnesen
i. na dan prve objave rezultata ispita ili
ii. na dan zahtjeva,
ovisno koji je kasniji; […]
(b) U smislu ovog stavka ‚ispit’ znači svaki postupak kojim se utvrđuju znanje, inteligencija, sposobnosti ili vještine osobe na temelju njezina uspjeha na bilo kakvom testu, radu ili drugoj aktivnosti.”
16 Članak 6. Zakona o zaštiti podataka utvrđuje pravo na ispravak i brisanje osobnih podataka koji nisu obrađeni u skladu s tim zakonom.
17 Članak 10. stavak 1. točka (b) podtočka i. Zakona o zaštiti podataka službeniku za zaštitu podataka nameće obvezu ispitivanja prigovora, „osim ako smatra da je neozbiljan ili pakostan”.
Glavni postupak i prethodna pitanja
18 P. Nowak je kao računovođa na osposobljavanju položio ispite o računovodstvu s prve razine i tri ispita s druge razine koje je organizirao Institute of Chartered Accountants of Ireland (irska strukovna organizacija računovođa, u daljnjem tekstu: CAI). Međutim, nije uspio položio ispit „računovodstvo strateških financija i upravljanja”, koji je kandidatima omogućavao mogućnost upotrebe dokumenata (open book exam).
19 Nakon njegova četvrtog neuspjeha na tom ispitu u jeseni 2009. P. Nowak je, kao prvo, podnio prigovor radi osporavanja njegova rezultata. Nakon što je taj prigovor odbijen u ožujku 2010., u svibnju 2010. podnio je zahtjev za pristup, na temelju članka 4. Zakona o zaštiti podataka, koji se odnosio na sve njegove osobne podatke koje je u posjedu imao CAI.
20 CAI je dopisom od 1. lipnja 2010. P. Nowaku dostavio 17 dokumenata, međutim, odbio mu je proslijediti ispitni rad uz obrazloženje da on ne sadržava „osobne podatke” u smislu Zakona o zaštiti podataka.
21 P. Nowak potom se obratio službeniku za zaštitu podataka kako bi osporio osnovanost obrazloženja odbijanja slanja njegova ispitnog rada. U lipnju 2010. on mu je elektroničkom poštom odgovorio da se, među ostalim, „općenito govoreći, ispitni radovi ne ispituju [u svrhu zaštite podataka] […] jer, općenito govoreći, ti dokumenti ne predstavljaju osobne podatke”.
22 Tom odgovoru službenika za zaštitu podataka uslijedila je prepiska između P. Nowaka i tog službenika, koja je zaključena 1. srpnja 2010. podnošenjem P. Nowaka formalnog prigovora.
23 Dopisom od 21. srpnja 2010. službenik za zaštitu podataka obavijestio je P. Nowaka da nakon razmatranja spisa nije utvrdio materijalnu povredu Zakona o zaštiti podataka i da je u skladu s člankom 10. stavkom 1. točkom (b) podtočkom i. tog zakona, koji predviđa slučaj neozbiljnih ili pakosnih prigovora, odlučio ne ispitati njegov prigovor. Taj dopis usto je naveo da dokumenti u pogledu kojih P. Nowak želi ostvariti „pravo na ispravak” „nisu osobni podaci na koje se primjenjuje članak 6. Zakona o zaštiti podataka”.
24 P. Nowak podnio je tužbu protiv te odluke pred Circuit Courtom (Okružni sud, Irska). On je odlučio da je tužba nedopuštena, uz obrazloženje da zbog toga što službenik za zaštitu podataka nije ispitao prigovor ne postoji odluka koja se može pobijati. Podredno, taj je sud presudio da je tužba neosnovana jer ispitni rad nije osobni podatak.
25 P. Nowak podnio je žalbu protiv presude tog suda pred High Courtom (Visoki sud, Irska), koji je ipak potvrdio tu presudu. Presudu High Courta (Visoki sud) potom je potvrdio Court of Appeal (Žalbeni sud, Irska). Supreme Court (Vrhovni sud, Irska), koji je odobrio žalbu protiv presude Court of Appeala (Žalbeni sud), proglasio je nedopuštenom tužbu P. Nowaka protiv odluke službenika za zaštitu podataka.
26 Međutim, imajući dvojbe o tome može li ispitni rad biti osobni podatak u smislu Direktive 95/46, Supreme Court (Vrhovni sud) odlučio je prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
1. Mogu li informacije koje su sadržane u odgovorima kandidata ili koje se smatraju odgovorima kandidata, a koje su dane tijekom stručnog ispita, biti osobni podaci u smislu Direktive 95/46?
2. U slučaju da je odgovor na prvo pitanje takav da sve informacije ili dio takvih informacija može biti osobni podatak u smislu Direktive 95/46, koji su čimbenici relevantni za utvrđenje je li u svakom slučaju takav pisani tekst osobni podatak i koju težinu treba dati takvim čimbenicima?”
O prethodnim pitanjima
27 Svojim pitanjima, koje valja razmotriti zajedno, sud koji je uputio zahtjev u biti pita treba li članak 2. točku (a) Direktive 95/46 tumačiti na način da su u okolnostima poput onih u glavnom postupku pisani odgovori kandidata tijekom stručnog ispita i eventualne povezane napomene ispitivača osobni podaci u smislu te odredbe.
28 U tom pogledu treba podsjetiti da članak 2. točka (a) Direktive 95/46 definira osobne podatke kao „bilo koj[e] poda[tke] koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi”. Prema toj odredbi, „osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njezin fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet”.
29 Nije sporno da je kandidat na stručnom ispitu fizička osoba koja se može identificirati bilo izravno pomoću njezina imena bilo neizravno pomoću identifikacijskog broja, koji se navode na ispitnom radu ili njegovoj naslovnici.
30 Suprotno od onoga za što se čini da tvrdi službenik za zaštitu podataka, u tom kontekstu nije relevantno može li ispitivač identificirati kandidata u trenutku ispravljanja i ocjenjivanja ispitnog rada.
31 Naime, kako bi podatak bio „osobni podatak” u smislu članka 2. točke (a) Direktive 95/46, nije nužno da se sve informacije potrebne za identifikaciju dotične osobe nalaze u posjedu samo jedne osobe (presuda od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 43.). Nadalje, nije sporno da u slučaju da ispitivač ne poznaje identitet kandidata prilikom ocjenjivanja odgovora koje je on dao na ispitu, tijelo koje organizira ispit, u ovom slučaju CAI, naprotiv raspolaže potrebnim informacijama za identifikaciju bez poteškoća ili dvojbi tog kandidata pomoću njegova identifikacijskog broja, koji se nalazi na ispitnom radu ili njegovoj naslovnici i tako mu može pripisati njegove odgovore.
32 Međutim, valja provjeriti jesu li pisani odgovori kandidata na stručnom ispitu i eventualne povezane napomene ispitivača informacije koje se odnose na tog kandidata u smislu članka 2. točke (a) Direktive 95/46.
33 Kao što je to Sud već utvrdio, područje primjene Direktive 95/46 vrlo je široko i ona se odnosi na raznovrsne osobne podatke (presuda od 7. svibnja 2009., Rijkeboer, C‑553/07, EU:C:2009:293, t. 59. i navedena sudska praksa).
34 Naime, upotreba izraza „bilo koji podaci” u okviru definicije pojma „osobni podaci” u članku 2. točki (a) Direktive 95/46 odražava cilj zakonodavca Unije da tom pojmu da široki smisao, koji nije ograničen na osjetljive ili privatne podatke, nego može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu.
35 Što se tiče potonjeg uvjeta, on je ispunjen ako je zbog svojeg sadržaja, cilja ili učinka podatak povezan s određenom osobom.
36 Kao što su to u biti istaknuli P. Nowak, češka, grčka, mađarska, austrijska i portugalska vlada te Europska komisija, pisani odgovori kandidata na stručnom ispitu jesu takvi podaci povezani s tom osobom.
37 Naime, prije svega, sadržaj tih odgovora odražava razinu znanja i sposobnosti kandidata u određenom području i, prema potrebi, njegov misaoni proces, rasuđivanje i kritički duh. U slučaju rukom pisanog ispita, odgovori usto sadržavaju podatke o njegovu rukopisu.
38 Nadalje, skupljanje takvih odgovora ima za cilj ocijeniti profesionalne kapacitete kandidata i njegovu sposobnost za izvršavanje dotičnog posla.
39 Naposljetku, upotreba tih podataka, koja rezultira uspjehom ili neuspjehom kandidata na dotičnom ispitu, može imati učinak na njegova prava i interese jer može odrediti ili utjecati, primjerice, na njegove prilike pristupanja željenom zanimanju ili poslu.
40 Utvrđenje da su pisani odgovori kandidata na stručnom ispitu podaci koji se odnose na tog kandidata zbog svojeg sadržaja, cilja i učinka usto također vrijedi kad je riječ, kao u ovom slučaju, o open book ispitu.
41 Naime, kao što je to istaknula nezavisna odvjetnica u točki 24. svojeg mišljenja, svaki ispit ima za cilj utvrditi pojedinačnu sposobnost određene osobe, tj. kandidata, a ne, za razliku od reprezentativne ankete, steći podatke neovisne o toj osobi.
42 Što se tiče napomena ispitivača uz odgovore kandidata, valja utvrditi da su one, kao i odgovori kandidata na ispitu, podaci koji se odnose na tog kandidata.
43 Sadržaj tih napomena tako odražava mišljenje ili ocjenu ispitivača o pojedinačnom uspjehu kandidata na ispitu, a osobito o njegovim znanjima ili sposobnostima u dotičnom području. Te napomene usto upravo imaju za cilj dokumentirati ispitivačevu ocjenu uspjeha kandidata i mogu imati učinke za potonjeg, kako je navedeno u točki 39. ove presude.
44 Utvrđenje da su napomene ispitivača u vezi s odgovorima kandidata na ispitu podaci koji su zbog svojeg sadržaja, cilja i učinka povezani s tim kandidatom nije dovedeno u pitanje činjenicom da su te napomene također podaci koji se odnose na ispitivača.
45 Naime, isti podatak može se odnositi na nekoliko fizičkih osoba i tako za njih predstavljati, pod uvjetom da su te osobe utvrđene ili se mogu utvrditi, osobni podatak u smislu članka 2. točke (a) Direktive 95/46.
46 Nadalje, na kvalifikaciju pisanih odgovora kandidata na stručnom ispitu i eventualnih napomena ispitivača u vezi s tim odgovorima kao osobnih podataka ne može utjecati, suprotno od onoga što ističu službenik za zaštitu podataka i irska vlada, okolnost da ta kvalifikacija tom kandidatu u načelu otvara prava na pristup i ispravak na temelju članka 12. točaka (a) i (b) Direktive 95/46.
47 U tom smislu najprije valja navesti, kao što je to istaknula Komisija na raspravi, da su mnoga načela i jamstva koja su predviđena Direktivom 95/46 povezana s tom kvalifikacijom i ovise o njoj.
48 Naime, u skladu s uvodnom izjavom 25. Direktive 95/46, načela zaštite koja su njome predviđena odražavaju se, s jedne strane, u obvezama osoba koje obrađuju podatke, posebno u vezi s kvalitetom podataka, tehničkom sigurnošću, obavješćivanjem nadzornog tijela te okolnostima pod kojima se obrada može provoditi, i, s druge strane, u pravima koja imaju pojedinci čiji su podaci predmet obrade da ih se izvijesti da je obrada u tijeku, da imaju uvid u podatke, da zatraže ispravak i čak da se usprotive obradi pod nekim okolnostima.
49 Stoga bi nijekati kvalifikaciju podataka o kandidatu sadržanih u odgovorima na stručnom ispitu i u povezanim napomenama ispitivača kao „osobnih podataka” imalo za posljedicu te podatke u potpunosti isključiti od poštovanja načela i jamstava u području zaštite osobnih podataka i osobito načela u vezi s kvalitetom takvih podataka i zakonitosti njihove obrade, koja su utvrđena člancima 6. i 7. Direktive 95/46, kao i prava na pristup, ispravak i prigovor dotične osobe, koja su predviđena u člancima 12. i 14. te direktive, i nadzora koji izvršava nadzorno tijelo na temelju članka 28. te direktive.
50 Međutim, kao što je to istaknula nezavisna odvjetnica u točki 26. svojeg mišljenja, nije sporno da kandidat na ispitu ima legitiman interes, koji se temelji na zaštiti njegove privatnosti, za mogućnost prigovora na to da se njegovi odgovori na tom ispitu i napomene ispitivača u vezi s tim odgovorima obrađuju izvan ispitnog postupka i osobito da se prosljeđuju trećim osobama ili objavljuju bez njegova odobrenja. Također, tijelo koje organizira ispit je kao voditelj obrade podataka obvezno osigurati da se ti odgovori i napomene pohrane na način da treće osobe njima ne mogu nezakonito pristupiti.
51 Nadalje, valja utvrditi da se prava na pristup i ispravak, predviđena člankom 12. točkama (a) i (b) Direktive 95/46, također mogu opravdati u odnosu na pisane odgovore kandidata na stručnom ispitu i eventualne povezane napomene ispitivača.
52 Doduše, pravo na ispravak, predviđeno člankom 12. točkom (b) Direktive 95/46 očito ne može omogućiti kandidatu da a posteriori „ispravi” „pogrešne” odgovore.
53 Naime, iz članka 6. stavka 1. točke (d) Direktive 95/46 proizlazi da se točnost i potpunost osobnih podataka mora ocijeniti s obzirom na svrhu zbog koje su ti podaci prikupljeni. Ta svrha jest, u pogledu odgovora kandidata na ispitu, mogućnost ocjene razine znanja i sposobnosti tog kandidata u trenutku ispita. Ta se razina upravo odražava i u eventualnim pogreškama u tim odgovorima. Prema tome, te pogreške ni na koji način nisu netočnosti u smislu Direktive 95/46 koje bi otvorile pravo na ispravak na temelju njezina članka 12. točke (b).
54 S druge strane, moguće su situacije u kojima se otkrije da su odgovori kandidata na ispitu i napomene ispitivača u vezi s tim odgovorima netočni u smislu članka 6. stavka 1. točke (d) Direktive 95/46, primjerice zbog toga što su pogreškom ispitni radovi zamijenjeni na način da su odgovori drugog kandidata pripisani kandidatu o kojem je riječ ili zbog toga što je dio listova s odgovorima tog kandidata izgubljeni na način da ti odgovori nisu potpuni ili pak zbog toga što eventualne napomene ispitivača ne dokumentiraju pravilno njegovu ocjenu odgovora dotičnog kandidata.
55 Usto, kao što je to istaknula nezavisna odvjetnica u točki 37. svojeg mišljenja, ne može se isključiti da kandidat na temelju članka 12. točke (b) Direktive 95/46 ima pravo od voditelja obrade podataka zahtijevati da se njegovi odgovori na ispitu i povezane napomene ispitivača nakon određenog razdoblja izbrišu, tj. unište. Naime, u skladu s člankom 6. stavkom 1. točkom (e) te direktive, osobni podaci mogu se u načelu čuvati u obliku koji omogućava identifikaciju osoba čiji se podaci obrađuju samo tijekom razdoblja potrebnog u svrhe zbog kojih se podaci prikupljaju ili zbog kojih se dalje obrađuju. Uzimajući u obzir odgovore kandidata na ispitu i napomene ispitivača u vezi s tim odgovorima, a priori se čini da njihovo čuvanje u obliku koji omogućava identifikaciju kandidata nije više potrebno jednom kad je ispitni postupak konačno završen i više ne može biti predmet žalbi, tako da su ti odgovori i napomene izgubili svaku dokaznu vrijednost.
56 Budući da pisani odgovori kandidata na stručnom ispitu i eventualne povezane napomene ispitivača stoga mogu biti podvrgnuti provjeri, među ostalim, njihove točnosti i nužnosti njihova čuvanja u smislu članka 6. stavka 1. točaka (d) i (e) Direktive 95/46 i mogu biti predmet ispravka ili brisanja na temelju njezina članka 12. točke (b), valja smatrati da davanje kandidatu prava na pristup tim odgovorima i tim napomenama na temelju članka 12. točke (a) te direktive služi cilju potonje, a koji jest zajamčiti zaštitu prava na privatnost tog kandidata u pogledu obrade podataka koji se na njega odnose (vidjeti, a contrario, presudu od 17. srpnja 2014., YS i dr., C‑141/12 i C‑372/12, EU:C:2014:2081, t. 45. i 46.), i to neovisno o tome ima li taj kandidat takvo pravo na pristup također na temelju nacionalnih propisa primjenjivih na ispitni postupak.
57 U tom kontekstu treba podsjetiti na to da zaštita temeljnog prava na poštovanje privatnosti podrazumijeva, među ostalim, to da svaka fizička osoba može biti sigurna da su osobni podaci koji se odnose na nju točni i obrađeni na zakonit način. Kao što to proizlazi iz uvodne izjave 41. Direktive 95/46, osoba čiji se podaci obrađuju raspolaže na temelju članka 12. točke (a) te direktive pravom na pristup podacima koji se odnose na nju i koji su predmet obrade, a kako bi mogla izvršiti nužne provjere. To pravo na pristup osobito je nužno radi omogućavanja osobi čiji se podaci obrađuju da od voditelja obrade dobije, ako je primjenjivo, ispravak, brisanje ili blokiranje tih podataka i da tako izvršava pravo predviđeno u članku 12. točki (b) navedene direktive (presuda od 17. srpnja 2014., YS i dr., C‑141/12 i C‑372/12, EU:C:2014:2081, t. 44. i navedena sudska praksa).
58 Naposljetku, valja utvrditi, s jedne strane, da prava na pristup i ispravak na temelju članka 12. točaka (a) i (b) Direktive 95/46 ne obuhvaćaju ispitna pitanja, koja kao takva nisu osobni podaci kandidata.
59 S druge strane, i Direktiva 95/46 i Uredba 2016/679 koja je zamjenjuje predviđaju određena ograničenja tih prava.
60 Tako na temelju članka 13. stavka 1. točke (g) Direktive 95/46 države članice mogu donijeti propise za ograničavanje područja primjene obveza i prava iz, među ostalim, članka 6. stavka 1. i članka 12. te direktive kada takvo ograničavanje predstavlja potrebnu mjeru za zaštitu prava i sloboda drugih.
61 Članak 23. stavak 1. točka (e) Uredbe 2016/679 proširuje popis razloga za ograničenje, trenutačno predviđenih u članku 13. stavku 1. Direktive 95/46, na „druge važne ciljeve od općeg javnog interesa Unije ili države članice”. Nadalje, članak 15. Uredbe 2016/679, koji se odnosi na pravo dotične osobe na pristup, u stavku 4. predviđa da pravo na dobivanje kopije s osobnim podacima ne smije negativno utjecati na prava i slobode drugih.
62 Uzimajući u obzir sva prethodna razmatranja, na postavljena pitanja valja odgovoriti tako da članak 2. točku (a) Direktive 95/46 treba tumačiti na način da su u okolnostima poput onih u glavnom postupku pisani odgovori kandidata na stručnom ispitu i eventualne napomene ispitivača u vezi s tim odgovorima osobni podaci u smislu te odredbe.
Troškovi
63 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenoga, Sud (drugo vijeće) odlučuje:
Članak 2. točku (a) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka treba tumačiti na način da su u okolnostima poput onih u glavnom postupku pisani odgovori kandidata na stručnom ispitu i eventualne napomene ispitivača u vezi s tim odgovorima osobni podaci u smislu te odredbe.
Potpisi