PRESUDA SUDA (drugo vijeće)
4. svibnja 2017. (*)
„Zahtjev za prethodnu odluku – Direktiva 95/46/EZ – Članak 7. točka (f) – Osobni podaci – Uvjeti zakonitosti obrade osobnih podataka – Pojam ,potrebna u svrhe zakonitog interesa treće osobe’ – Zahtjev za priopćavanje osobnih podataka o osobi odgovornoj za prometnu nesreću, radi pokretanja sudskog postupka – Dužnost nadzornika da udovolji takvom zahtjevu – Nepostojanje”
U predmetu C‑13/16,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Augstākās tiesas, Administratīvo lietu departaments (Vrhovni sud, odjel za upravno pravo, Latvija), odlukom od 30. prosinca 2015., koju je Sud zaprimio 8. siječnja 2016., u postupku
Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde
protiv
Rīgas pašvaldības SIA „Rīgas satiksme”,
SUD (drugo vijeće),
u sastavu: M. Ilešič, predsjednik vijeća, A. Prechal, A. Rosas (izvjestitelj), C. Toader i E. Jarašiūnas, suci,
nezavisni odvjetnik: M. Bobek,
tajnik: M. Aleksejev, administrator,
uzimajući u obzir pisani postupak i nakon rasprave održane 24. studenoga 2016.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Rīgas pašvaldības SIA „Rīgas satiksme”, L. Bemhens, u svojstvu agenta,
– za latvijsku vladu, I. Kalniņš kao i A. Bogdanova, u svojstvu agenata,
– za češku vladu, J. Vláčil i M. Smolek, u svojstvu agenata,
– za španjolsku vladu, M. J. García‑Valdecasas Dorrego, u svojstvu agenta,
– za austrijsku vladu, G. Eberhard, u svojstvu agenta,
– za portugalsku vladu, L. Inez Fernandes i M. Figueiredo kao i C. Vieira Guerra, u svojstvu agenata,
– za Europsku komisiju, D. Nardi i H. Kranenborg kao i I. Rubene, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 26. siječnja 2017.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 7. točke (f) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.)(SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.).
2 Zahtjev je podnesen u okviru spora između Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (Ured za upravne prekršaje u vezi prometa Odjela policije za održavanje reda Odjela državne policije Općine Riga, Latvija) (u daljnjem teksu: državna policija) i Rīgas pašvaldības SIA „Rīgas satiksme” (u daljnjem tekstu: Rīgas satiksme), trgovačkog društva za prijevoz trolejbusima u gradu Rigi, u vezi sa zahtjevom za pružanje podataka o osobi koja je prouzročila prometnu nesreću.
Pravni okvir
Pravo Unije
3 Člankom 1. Direktive 95/46 naslovljenim „Cilj i načela” propisano je:
„1. U skladu s ovom Direktivom, države članice štite temeljna prava i slobode fizičkih osoba, a posebno njihova prava na privatnost u vezi s obradom osobnih podataka.
2. Države članice ne ograničavaju ni zabranjuju slobodni prijenos osobnih podataka između država članica iz razloga povezanih sa zaštitom osiguranom u stavku 1. ovog članka.”
4 Članak 2. te direktive određuje:
„U smislu ove Direktive:
(a) ‚osobni podaci’ znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (‚osoba čiji se podaci obrađuju’); osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njegov fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet;
(b) ‚obrada osobnih podataka’ (‚obrada’) znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
[…]
(d) ‚nadzornik’ znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka; kada su svrha i načini obrade utvrđeni nacionalnim zakonodavstvom ili pravom Zajednice, nadzornik ili posebna mjerila za njegovo imenovanje mogu se utvrditi nacionalnim zakonodavstvom ili pravom Zajednice;
[…]”
5 Člankom 5. Direktive 95/46 propisano je:
„Države članice u granicama odredbi ovog poglavlja podrobno utvrđuju uvjete pod kojima je obrada podataka zakonita.”
6 U poglavlju II. odjeljku II. Direktive 95/46, naslovljenom „Mjerila za zakonitost obrade podataka”, člankom 7. propisano je:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
(a) je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost
ili
(b) je obrada potrebna za izvršavanje ugovora kojem je osoba čiji se podaci obrađuju stranka ili kako bi se poduzele mjere na zahtjev osobe čiji se podaci obrađuju prije sklapanja ugovora
ili
(c) je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe
ili
(d) je obrada potrebna kako bi se zaštitili vitalni interesi osobe čiji se podaci obrađuju
ili
(e) je obrada potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju
ili
(f) je obrada potrebna u svrhe zakonitog interesa koji ima nadzornik ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci [taj interes] podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju koja zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.”
7 Člankom 8. stavkom 2. točkom (e) Direktive 95/46 predviđeno je da se zabrana obrade osobnih podataka, poput onih kojima se otkriva rasno ili etničko podrijetlo ili politička mišljenja ne primjenjuje kad se obrada odnosi na podatke koje je objavila osoba čiji se podaci obrađuju ili kada je to potrebno radi uspostave, provedbe ili obrane pravnih zahtjeva.
Latvijsko pravo
8 Člankom 6. Fizisko personu datu aizsardzības likums (Zakon o zaštiti osobnih podataka fizičkih osoba) od 23. ožujka 2000. (Latvijas Vēstnesis, 2000, br. 123/124) propisano je:
„Svatko ima pravo na zaštitu osobnih podataka koji se na njega ili nju odnose.”
9 Člankom 7. tog zakona kojim se prenosi članak 7. Direktive 95/46 predviđeno je da se osobni podaci mogu obrađivati samo ako tim zakonom nije drugačije propisano i ako je ispunjen barem jedan od sljedećih uvjeta:
„1 osoba čiji se podaci obrađuju nedvosmisleno je dala svoju suglasnost;
2. obrada je potrebna za izvršavanje ugovornih obveza osobe čiji se podaci obrađuju ili u svrhu sklapanja ugovora o kojem je riječ, na zahtjev osobe čiji se podaci obrađuju;
3. obrada je potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe;
4. obrada je potrebna kako bi se zaštitili vitalni interesi osobe čiji se podaci obrađuju, uključujući život i zdravlje;
5. obrada je potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju;
6. obrada je potrebna u svrhe zakonitog interesa nadzornika ili treće stranke kojoj se podaci otkrivaju, uz poštovanje temeljnih prava i sloboda osobe čiji se podaci obrađuju.”
10 Člankom 12. tog zakona predviđeno je da osobne podatke koji se odnose na kaznena djela, kaznene osude i upravna pitanja kao i sudske odluke ili sudski spisi mogu obrađivati samo zakonom predviđene osobe, u zakonom predviđenim slučajevima.
11 U skladu s člankom 261. Latvijas Administratīvo pārkāpumu kodekss (latvijski Zakonik o upravnim prekršajima), tijelo ili službenik ovlašten za rješavanje predmeta može osobi koja je pretrpjela štetu prouzročenu prekršajem priznati status oštećenika u okviru postupka za upravne prekršaje. Tom su odredbom predviđena prava oštećenih osoba, uključujući pravo na uvid u spis i na korištenje postupovnih prava u svrhu ishođenja naknade štete.
Glavni postupak i prethodna pitanja
12 U prosincu 2012. u Rigi se dogodila prometna nesreća. Vozač taksi vozila parkirao je svoje vozilo uz rub ceste. Dok je trolejbus društva Rīgas satiksme prolazio pokraj tog taksi vozila, putnik koji se nalazio na njegovu stražnjem sjedalu otvorio je vrata vozila koja su udarila i oštetila trolejbus. Pokrenut je postupak za upravni prekršaj te je utvrđeno počinjenje upravnog prekršaja.
13 Budući da se prvotno smatralo da je za nesreću odgovoran vozač taksi vozila, društvo Rīgas satiksme zatražilo je naknadu štete od osiguravajućeg društva koje pokriva građanskopravnu odgovornost vozača taksi vozila o kojem je riječ ili njegova zakonita korisnika. Međutim, to je osiguravajuće društvo obavijestilo društvo Rīgas satiksme da mu neće isplatiti nikakvu naknadu štete, s obzirom na to da je nesreću uzrokovao putnik u tom taksi vozilu, a ne vozač. To je društvo pojasnilo da Rīgas satiksme ostvarenje svojih potraživanja može zahtijevati od tog putnika, u okviru građanskopravnog postupka.
14 Društvo Rīgas satiksme zatim se obratilo državnoj policiji zatraživši podatke o osobi kojoj je zbog nesreće izrečena upravna kazna te presliku izjava vozača taksi vozila i putnika o okolnostima nesreće kao i prezime, ime, identifikacijski broj i adresu putnika u taksi vozilu. Društvo Rīgas satiksme pojasnilo je državnoj policiji da će se zatraženi podaci upotrijebiti samo u svrhu pokretanja građanskopravnog postupka.
15 Državna policija djelomično je udovoljila zahtjevu društva Rīgas satiksme, priopćivši prezime i ime putnika, ali odbila je priopćiti identifikacijski broj i adresu tog putnika. Državna policija nije poslala niti presliku izjava osoba koje su sudjelovale u nesreći.
16 Odluka državne policije temelji se na tome da podatke o postupku za upravne prekršaje mogu dobiti samo stranke tog postupka. Međutim, društvo Rīgas satiksme nije stranka postupka o kojem je riječ. Naime, u skladu s latvijskim Zakonikom o upravnim prekršajima, tijelo ili službenik ovlašten za rješavanje predmeta može osobi na njezin zahtjev, priznati status žrtve u okviru postupka za upravne prekršaje. U konkretnom slučaju, društvo Rīgas satiksme nije iskoristilo to pravo.
17 Društvo Rīgas satiksme podnijelo je tužbu administratīvā rajona tiesa (Općinski upravni sud, Latvija) protiv odluke državne policije, u dijelu u kojem je ona odbila otkriti identifikacijski broj i adresu putnika koji je sudjelovao u nesreći. Odlukom od 16. svibnja 2014. taj je sud prihvatio tužbu društva Rīgas satiksme i naložio državnoj policiji da priopći podatke o identifikacijskom broju i adresi boravišta tog putnika.
18 Državna policija podnijela je žalbu u kasacijskom postupku sudu koji je uputio zahtjev. Taj je sud zatražio mišljenje Datu valsts inspekcija (nacionalno tijelo za zaštitu podataka, Latvija) koji je u svom odgovoru od 13. listopada 2015. naveo da članak 7. točka 6. Zakona o zaštiti osobnih podataka fizičkih osoba ne može biti pravna osnova za priopćavanje osobnih podataka u glavnom postupku, s obzirom na to da su u latvijskom Zakoniku o upravnim prekršajima navedene osobe kojima državna policija smije priopćiti podatke koji se odnose na određeni predmet. Slijedom navedenog, prema mišljenju nacionalnog tijela za zaštitu podataka, osobni podaci iz predmeta vezanog uz upravni prekršaj mogu se priopćiti samo na temelju točaka 3. i 5. tog članka, u zakonom predviđenim slučajevima. Prema mišljenju toga tijela, člankom 7. tog zakona ne nameće se obveza, nego se daje ovlast provođenja obrade podataka subjektu odgovornom za obradu, u ovom slučaju državnoj policiji.
19 Nacionalno tijelo za zaštitu podataka navelo je da je društvo Rīgas satiksme imalo dvije mogućnosti za ishođenje podataka. Moglo je uputiti obrazloženi zahtjev matičnom uredu ili podnijeti tužbu na temelju članaka 98. do 100. Zakona o parničnom postupku s ciljem ishođenja dokaza, tražeći od suda da naloži državnoj policiji pružanje osobnih podataka potrebnih za pokretanje sudskog postupka protiv osobe o kojoj je riječ.
20 Sud koji je uputio zahtjev ima dvojbe o učinkovitosti mogućnosti za ishođenje osobnih podataka, koje je navelo nacionalno tijelo za zaštitu podataka. U vezi s time pojašnjava da, ako je u zahtjevu upućenom matičnom uredu navedeno samo prezime putnika u taksi vozilu, njegov identitet možda nije moguće utvrditi bez identifikacijskog broja, s obzirom na to da može biti više osoba istog prezimena i imena. S druge strane, sud koji je uputio zahtjev smatra da, u skladu s nacionalnim odredbama o pružanju dokaza, tužitelj za pokretanje građanskopravnog postupka mora znati barem adresu tuženikova boravišta.
21 U vezi s time, sud koji je uputio zahtjev ima dvojbe o tumačenju pojma „potrebe” iz članka 7. točke (f) te direktive.
22 U tim je okolnostima Augstākās tiesas, Administratīvo lietu departaments (Vrhovni sud, odjel za upravno pravo) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li izraz ‚potrebna u svrhe zakonitog interesa koji ima […] treća stranka ili stranke kojima se podaci otkrivaju’, iz članka 7. točke (f) Direktive 95/46/EZ tumačiti na način da je državna policija dužna otkriti društvu Rīgas satiksme osobne podatke koje potonje zahtijeva, a koji su nužni radi podnošenja građanskopravne tužbe?
2. Utječe li na odgovor na prethodno pitanje činjenica koja proizlazi iz okolnosti predmeta, odnosno to da je putnik u taksi vozilu čije podatke Rīgas satiksme nastoji prikupiti u trenutku prometne nesreće bio maloljetan?”
O prethodnim pitanjima
23 Sud koji je uputio zahtjev svojim pitanjima koja valja razmotriti zajedno u biti pita treba li članak 7. točku (f) Direktive 95/46 tumačiti na način da se njime nameće obveza priopćavanja osobnih podataka trećoj osobi kako bi joj se omogućilo pokretanje postupka pred građanskim sudom za naknadu štete koju je prouzročila osoba na koju se odnosi zaštita tih podataka te može li činjenica da je ta osoba maloljetna utjecati na tumačenje te odredbe.
24 U glavnom postupku nesporno je da identifikacijski broj i adresa putnika u taksi vozilu, priopćenje kojih zahtijeva društvo Rīgas satiksme, predstavljaju podatke koji se odnose na određenu ili odredivu fizičku osobu te, slijedom toga, na „osobne podatke” u smislu članka 2. točke (a) Direktive 95/46. Nije sporno ni da je, u skladu s člankom 2. točkom (d) te direktive, za obradu tih podataka i, osobito, njihovo eventualno priopćavanje nadležna državna policija kojoj je taj zahtjev upućen.
25 U skladu s člankom 5. Direktive 95/46, države članice podrobno utvrđuju, u granicama odredaba te direktive, uvjete pod kojima je obrada podataka zakonita. U vezi s time, člankom 7. te direktive, kojim se navode mjerila za zakonitost takve obrade, propisano je da „[d]ržave članice osiguravaju da se osobni podaci mogu obrađivati jedino ako” je ispunjen jedan od uvjeta taksativno navedenih u toj odredbi. U skladu s tim člankom 7. točkom (f), takva se obrada može provesti kad je potrebna u svrhe zakonitog interesa nadzornika ili treće stranke odnosno stranaka kojima se podaci otkrivaju, osim kad interes ili temeljna prava i slobode osobe čiji se podaci obrađuju, koji zahtijevaju zaštitu na temelju članka 1. stavka 1. Direktive 95/46, prevladavaju nad tim interesima.
26 Slijedom navedenog, iz strukture Direktive 95/46 i formulacije njezina članka 7. proizlazi da članak 7. točka (f) Direktive 95/46 sam za sebe ne propisuje obvezu nego mogućnost provedbe obrade podataka poput priopćavanja trećima podataka potrebnih za ostvarenje njihovih zakonitih interesa. Kao što je to istaknuo nezavisni odvjetnik u točkama 43. do 46. svojega mišljenja, takvo se tumačenje može izvesti i iz drugih instrumenata prava Unije povezanih s osobnim podacima (vidjeti, u tom smislu, kad je riječ o osobnim podacima u sektoru elektroničkih komunikacija, presudu od 29. siječnja 2008., Promusicae, C‑275/06, EU:C:2008:54, t. 54 i 55.).
27 Međutim, valja istaknuti da se takvo priopćavanje ne bi protivilo članku 7. točki (f) Direktive br. 95/46, ako bi bilo izvršeno na temelju nacionalnog prava, uz poštovanje uvjeta predviđenih tom odredbom.
28 U tom pogledu, člankom 7. točkom (f) Direktive 95/46 predviđena su tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade zakonit interes nadzornika ili treće stranke odnosno stranaka kojima se podaci otkrivaju, kao drugo, da je obrada osobnih podataka potrebna za ostvarenje tog zakonitog interesa i, kao treće, da interes ili temeljna prava i slobode osobe čiji se podaci obrađuju ne prevladavaju nad tim zakonitim interesom.
29 Kad je riječ o uvjetu povezanim sa zakonitim interesom, kao što je to nezavisni odvjetnik istaknuo u točkama 65., 79. i 80. svojega mišljenja, nedvojbeno je da interes treće osobe za dobivanje osobnih podataka o osobi koja je nanijela štetu stvarima u njegovu vlasništvu, kako bi protiv nje pokrenula sudski postupak za naknadu štete, predstavlja zakonit interes (vidjeti, u tom smislu, presudu od 29. siječnja 2008, Promusicae, C‑275/06, EU:C:2008:54, t. 53.). To razmatranje potvrđuje članak 8. stavak 2. točka (e) Direktive 95/46 kojim je predviđeno da se zabrana obrade određenih vrsta osobnih podataka, poput onih kojima se otkriva rasno podrijetlo ili politička mišljenja, ne primjenjuje, među ostalim, kad je obrada potrebna radi uspostave, provedbe ili obrane pravnih zahtjeva.
30 Glede uvjeta povezanog s potrebom obrade podataka, valja podsjetiti da odstupanja od načela zaštite osobnih podataka i njegova ograničenja treba predvidjeti u granicama onog što je nužno (presude od 9. studenoga 2010., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, t. 86., od 7. studenoga 2013., IPI, C‑473/12, EU:C:2013:715, t. 39. kao i od 11. prosinca 2014., Ryneš, C‑212/13, EU:C:2014:2428, t. 28.). U vezi s time, valja utvrditi da, u skladu s navodima suda koji je uputio zahtjev, priopćenje samo prezimena i imena osobe koja je prouzročila štetu nije dostatno za dovoljno precizno utvrđenje njezina identiteta kako bi se protiv nje mogao pokrenuti sudski postupak. Dakle, čini se da je u tu svrhu potrebno dobiti i podatak o adresi i/ili identifikacijskom broju te osobe.
31 Naposljetku, glede uvjeta povezanog s usporedbom značaja suprotstavljenih prava i interesa o kojima je riječ, on načelno ovisi o konkretnim okolnostima pojedinog slučaja (vidjeti, u tom smislu, presude od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 40., i od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 62.).
32 U tom pogledu, Sud je presudio da se može uzeti u obzir činjenica da težina povrede temeljnih prava osobe čiji se podaci obrađuju može varirati ovisno o mogućnosti pristupa podacima o kojima je riječ u izvorima dostupnim javnosti (vidjeti, u tom smislu, presudu od 24. studenoga 2011., Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 i C‑469/10, EU:C:2011:777, t. 44.).
33 Kad je riječ o drugom dijelu prethodnog pitanja kako je preoblikovano u točki 23. ove presude, valja istaknuti da dob osobe o kojoj je riječ može predstavljati jedan od elemenata o kojima treba voditi računa u okviru te usporedbe značaja. Međutim, kao što je to naveo nezavisni odvjetnik u točkama 82. do 84. svojeg mišljenja i što treba provjeriti nacionalni sud, u okolnostima poput onih u glavnom postupku nije opravdano odbiti oštećenoj strani priopćiti osobne podatke potrebne za pokretanje postupka naknade štete protiv osobe koja je prouzročila štetu ili, kad je to primjenjivo, protiv osoba koje imaju roditeljsku odgovornost ako je štetu prouzročila maloljetna osoba.
34 Iz svih prethodnih razmatranja proizlazi da članak 7. točku (f) Direktive 95/46 treba tumačiti na način da se njime ne nameće obveza priopćavanja osobnih podataka trećoj osobi kako bi joj se omogućilo pokretanje postupka pred građanskim sudom za naknadu štete koju je prouzročila osoba na koju se odnosi zaštita tih podataka. Međutim, članku 7. točki (f) te direktive ne protivi se takvo priopćavanje na temelju nacionalnog prava.
Troškovi
35 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenoga, Sud (drugo vijeće) odlučuje:
Članak 7. točku (f) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka, treba tumačiti na način da se njime ne nameće obveza priopćavanja osobnih podataka trećoj osobi kako bi joj se omogućilo pokretanje postupka pred građanskim sudom za naknadu štete koju je prouzročila osoba na koju se odnosi zaštita tih podataka. Međutim, članku 7. točki (f) te direktive ne protivi se takvo priopćavanje na temelju nacionalnog prava.
Potpisi