PRESUDA SUDA (peto vijeće)
16. studenoga 2023.(*)
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Direktiva (EU) 2016/680 – Članak 17. – Ostvarivanje pravâ ispitanika posredstvom nadzornog tijela – Provjera zakonitosti obrade podataka – Članak 17. stavak 3. – Minimalna obveza u pogledu obavještavanja ispitanika – Doseg – Valjanost – Članak 53. – Pravo na podnošenje djelotvornog pravnog lijeka protiv odluke nadzornog tijela – Pojam,pravno obvezujuća odluka“ – Povelja Europske unije o temeljnim pravima – Članak 8. stavak 3. – Nadzor koji provodi neovisno tijelo – Članak 47. – Pravo na djelotvornu sudsku zaštitu“
U predmetu C‑333/22,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu, Belgija), odlukom od 9. svibnja 2022., koju je Sud zaprimio 20. svibnja 2022., u postupku
Ligue des droits humains ASBL,
BA
protiv
Organe de contrôle de l’information policière,
SUD (peto vijeće),
u sastavu: E. Regan, predsjednik vijeća, Z. Csehi, M. Ilešič, I. Jarukaitis i D. Gratsias (izvjestitelj), suci,
nezavisna odvjetnica: L. Medina,
tajnik: M. Siekierzyńska, administratorica,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 29. ožujka 2023.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Ligue des droits humains ASBL i osobu BA, C. Forget, avocate,
– za Organe de contrôle de l’information policière (OCIP), J. Bosquet i J.-F. De Bock, advocaten,
– za belgijsku vladu, P. Cottin, J.-C. Halleux, C. Pochet i A. Van Baelen, u svojstvu agenata, uz asistenciju N. Cariat, C. Fischer, B. Lombaert i J. Simba, avocats,
– za češku vladu, O. Serdula, M. Smolek i J. Vláčil, u svojstvu agenata,
– za francusku vladu, J. Illouz, u svojstvu agenta,
– za Europski parlament, S. Alonso de León, O. Hrstková Šolcová, P. López‑Carceller i M. Thibault, u svojstvu agenata,
– za Europsku komisiju, A. Bouchagiar, H. Kranenborg, A.-C. Simon i F. Wilman, u svojstvu agenata,
saslušavši mišljenje nezavisne odvjetnice na raspravi održanoj 15. lipnja 2023.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na, s jedne strane, tumačenje članka 8. stavka 3. i članka 47. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) i, s druge strane, na valjanost članka 17. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.), s gledišta navedenih odredbi Povelje.
2 Zahtjev je upućen u okviru spora između, s jedne strane, Ligue des droits humains ASBL i osobe BA te, s druge strane, Organe de contrôle de l’information policière (OCIP) (Tijelo za nadzor policijskih informacija, Belgija) u vezi s ostvarivanjem pravâ osobe BA, posredstvom tog tijela, u pogledu osobnih podataka koji se na nju odnose, a koje obrađuju belgijske policijske službe i u odnosu na koje je Autorité nationale de sécurité (Nacionalno tijelo za sigurnost, Belgija) odbio zahtjev za izdavanje uvjerenja o sigurnosnoj provjeri podnesen od strane te osobe.
Pravni okvir
Pravo Unije
3 U uvodnim izjavama 7., 10., 43., 46., 48., 75., 82., 85. i 86. Direktive 2016/680 navodi se:
„(7) Osiguravanje dosljedne i visoke razine zaštite osobnih podataka pojedinaca te olakšavanje razmjene osobnih podataka među nadležnim tijelima država članica ključno je kako bi se osigurala učinkovita pravosudna suradnja u kaznenim stvarima i policijska suradnja. U tu svrhu, razina zaštite prava i sloboda pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, trebala bi biti jednaka u svim državama članicama. Učinkovita zaštita osobnih podataka u cijeloj [Europskoj] [u]niji zahtijeva jačanje pravâ ispitanika i obveza onih koji osobne podatke obrađuju, kao i jednakovrijedne ovlasti praćenja i osiguravanja usklađenosti s pravilima za zaštitu osobnih podataka u državama članicama.
[…]
(10) U Izjavi br. 21 o zaštiti osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, priloženoj završnom aktu međuvladine konferencije na kojoj je donesen Ugovor iz Lisabona, na konferenciji je potvrđeno da bi se određena pravila o zaštiti osobnih podataka i slobodnom kretanju osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje na temelju članka 16. UFEU‑a mogla pokazati neophodnima zbog specifične prirode tih područja.
[…]
(43) Pojedinac bi trebao imati pravo pristupa prikupljenim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. […]
[…]
(46) Svako ograničavanje prava ispitanika mora biti u skladu s Poveljom i Europskom konvencijom o zaštiti ljudskih prava [i temeljnih sloboda, potpisanom u Rimu 4. studenoga 1950.], kako se tumače u sudskoj praksi Suda odnosno Europskog suda za ljudska prava, te se njime posebno mora poštovati bit tih prava i sloboda.
[…]
(48) Ako voditelj obrade ispitaniku uskraćuje pravo na informiranje, pristup, ispravak ili brisanje osobnih podataka ili ograničavanje obrade, ispitanik bi trebao imati pravo zatražiti od nacionalnog nadzornog tijela provjeru zakonitosti obrade. […]
[…]
(75) Uspostava nadzornih tijela u državama članicama koja mogu potpuno samostalno izvršavati svoje dužnosti ključna je sastavnica zaštite pojedinaca u vezi s obradom njihovih osobnih podataka. Nadzorna tijela trebala bi pratiti primjenu odredaba donesenih na temelju ove Direktive i doprinositi njihovoj dosljednoj primjeni u cijeloj Uniji kako bi zaštitila pojedince u vezi s obradom njihovih osobnih podataka. […]
[…]
(82) Kako bi se osigurao učinkovit, pouzdan i dosljedan nadzor sukladnosti s ovom Direktivom i njezine provedbe u cijeloj Uniji na temelju UFEU‑a, kako ga tumači Sud, nadzorna tijela trebala bi u svakoj državi članici imati iste zadaće i stvarne ovlasti, među ostalim istražne, korektivne i savjetodavne ovlasti koje su im potrebne za obavljanje njihovih zadaća. […]
[…]
(85) Svaki bi ispitanik trebao imati pravo podnijeti pritužbu jed[instve]nom nadzornom tijelu i imati pravo na učinkovit pravni lijek u skladu s člankom 47. Povelje […] ako ispitanik smatra da su prekršena njegova prava prema odredbama donesenima na temelju ove Direktive ili ako nadzorno tijelo ne postupi po pritužbi, odbaci ili odbije, u cijelosti ili djelomično, ili ne postupi kada je takvo postupanje potrebno u svrhu zaštite prava ispitanika. […]
(86) Svaka fizička ili pravna osoba trebala bi imati pravo na učinkovit pravni lijek pred nadležnim nacionalnim sudom protiv odluke nadzornog tijela kojom se proizvode pravni učinci u vezi s tom osobom. Takva se odluka posebno odnosi na provedbu istražnih, korektivnih i autorizacijskih ovlasti nadzornog tijela ili odbacivanje ili odbijanje pritužaba. To pravo međutim ne obuhvaća druge mjere nadzornih tijela koje nisu pravno obvezujuće poput mišljenja ili savjeta koja je dalo nadzorno tijelo. Postupci protiv nadzornog tijela trebali bi se pokrenuti pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan te bi se trebali voditi u skladu s pravom te države članice. Ti sudovi trebali bi imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za spor.“
4 U članku 1. te direktive, naslovljenom „Predmet i ciljevi, stavci 1. i 2. određuju:
„1. Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.
2. U skladu s ovom Direktivom države članice:
(a) štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka; i
(b) osiguravaju da se razmjena osobnih podataka među nadležnim tijelima unutar Unije, kada se takva razmjena zahtijeva pravom Unije ili pravom države članice, ne ograniči niti zabrani iz razloga povezanih sa zaštitom pojedinaca u pogledu obrade osobnih podataka.
5 Navedena direktiva sadržava poglavlje III. naslovljeno „Prava ispitanika“ koje među ostalim uključuje i njezine članke 13. do 17. Taj članak 13., naslovljen „Informacije koje se stavljaju na raspolaganje ili daju ispitaniku“,u stavku 1. utvrđuje obvezu država članica da predvide da voditelj obrade mora ispitaniku pružiti određene minimalne informacije, kao primjerice informacije o identitetu i kontaktne podatke voditelja obrade. Nadalje, u stavku 2. tog članka nabrajaju se dodatne informacije za koje države članice moraju zakonom propisati da ih je voditelj obrade dužan pružiti ispitaniku da bi on mogao ostvarivati svoja prava. U njegovim stavcima 3. i 4. navodi se:
„3. Države članice mogu donijeti zakonodavne mjere za odgađanje, ograničavanje ili uskraćivanje pružanja informacija ispitaniku na temelju stavka 2. u onoj mjeri i u onom trajanju u kojem takva mjera predstavlja potrebnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca, kako bi se:
(a) izbjeglo ometanje službenih ili pravnih ispitivanja, istraga ili postupaka;
(b) izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija;
(c) zaštitila javna sigurnost;
(d) zaštitila nacionalna sigurnost;
(e) zaštitila prava i slobode drugih.
4. Države članice mogu donijeti zakonodavne mjere radi određivanja kategorija obrade koje mogu u cijelosti ili djelomično biti obuhvaćene bilo kojom od točaka iz stavka 3.“
6 Članak 14. iste direktive, naslovljen „Pravo ispitanika na pristup“, formuliran je ovako:
„Pridržavajući se članka 15. države članice ispitaniku osiguravaju pravo da od voditelja obrade ishodi potvrdu o tome obrađuju li se osobni podaci koji se odnose na njega te, ako se takvi osobni podaci obrađuju, pristup takvim osobnim podacima […]“
7 U skladu s člankom 15. Direktive 2016/680, naslovljenim „Ograničenja prava pristupa“:
„1. Države članice mogu donijeti zakonodavne mjere kojima se ispitaniku u cijelosti ili djelomično može ograničiti pravo pristupa u onoj mjeri i u onom trajanju u kojem takvo djelomično ili potpuno ograničavanje čini neophodnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca kako bi se:
(a) izbjeglo ometanje službenih ili pravnih ispitivanja, istraga ili postupaka;
(b) izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija;
(c) zaštitila javna sigurnost;
(d) zaštitila nacionalna sigurnost;
(e) zaštitila prava i slobode drugih.
2. Države članice mogu donijeti zakonodavne mjere radi određivanja kategorija obrade koje mogu u cijelosti ili djelomično biti obuhvaćene stavkom 1. točkama od (a) do (e).
3. U slučajevima iz stavaka 1. i 2. države članice osiguravaju da voditelj obrade bez nepotrebnog odgađanja pisanim putem obavješćuje ispitanika o svakom odbijanju ili ograničavanju pristupa te o razlozima odbijanja ili ograničavanja. To se ne primjenjuje ako bi pružanje takvih informacija dovelo u pitanje neku od svrha iz stavka 1. Države članice osiguravaju da voditelj obrade obavješćuje ispitanika o mogućnosti podnošenja pritužbe nadzornom tijelu ili traženja pravnog lijeka.
4. Države članice osiguravaju da voditelj obrade bilježi činjenične ili pravne razloge na kojima se temelji odluka. Ti se podaci stavljaju na raspolaganje nadzornim tijelima.“
8 Članak 16. te direktive, naslovljen „Pravo na ispravak ili brisanje osobnih podataka i ograničenje obrade“, određuje:
1. Države članice ispitaniku osiguravaju pravo da od voditelja obrade, bez nepotrebnog odgađanja, ishodi ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade podataka države članice osiguravaju da ispitanik ima pravo dopuniti nepotpune osobne podatke […]
2. Države članice od voditelja obrade zahtijevaju da izbriše osobne podatke bez nepotrebnog odgađanja i predviđaju pravo ispitanika da od voditelja obrade ishodi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja ako se obradom krše odredbe donesene na temelju članaka 4., 8. ili 10., ili ako se osobni podaci moraju brisati radi poštovanja pravne obveze kojoj podliježe voditelj obrade.
3. Voditelj obrade dužan je [umjesto brisanja] ograničiti obradu ako:
(a) ispitanik osporava točnost osobnih podataka, a njihovu točnost ili netočnost nije moguće utvrditi; ili
(b) osobni podaci moraju biti sačuvani kao dokaz.
[…]
4. Države članice osiguravaju da voditelj obrade pisanim putem obavješćuje ispitanika o svakom odbijanju ispravka ili brisanja osobnih podataka ili ograničavanja obrade te o razlozima odbijanja. Države članice mogu donijeti zakonodavne mjere kojima se u cijelosti ili djelomično ograničava obveza pružanja takvih informacija u onoj mjeri u kojoj takvo ograničavanje čini nužnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca, kako bi se:
(a) izbjeglo ometanje službenih ili pravnih ispitivanja, istraga ili postupaka;
(b) izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija;
(c) zaštitila javna sigurnost;
(d) zaštitila nacionalna sigurnost;
(e) zaštitila prava i slobode drugih.
Države članice osiguravaju da voditelj obrade obavješćuje ispitanika o mogućnosti podnošenja pritužbe nadzornom tijelu ili traženja pravnog lijeka.
[…]“
9 U članku 17. navedene direktive, naslovljenom „Ostvarivanje prava ispitanika i provjera nadzornog tijela“, određuje se:
„1. U slučajevima iz članka 13. stavka 3., članka 15. stavka 3. i članka 16. stavka 4. države članice usvajaju mjere kojima se osigurava da se prava ispitanika mogu ostvariti i putem nadležnih nadzornih tijela.
2. Države članice osiguravaju da voditelj obrade obavješćuje ispitanika o mogućnosti ostvarivanja njegovih prava putem nadzornog tijela na temelju stavka 1.
3. Kada se ostvaruje pravo iz stavka 1., nadzorno tijelo obavješćuje ispitanika najmanje o tome da je ono provelo sve potrebne provjere ili preispitivanje. Nadzorno tijelo također obavješćuje ispitanika o njegovu pravu na pravni lijek.“
10 Članak 42. iste direktive, naslovljen „Neovisnost“, u stavku 1. određuje:
„Svaka država članica osigurava da svako nadzorno tijelo djeluje potpuno neovisno pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Direktivom.“
11 Članak 46. Direktive 2016/680, naslovljen „Zadaće“, u stavku 1. određuje:
„Svaka država članica osigurava da svako nadzorno tijelo na njezinom području:
(a) prati i provodi primjenu odredaba donesenih na temelju ove Direktive i njezinih provedbenih mjera;
[…]
(f) rješava pritužbe koje podnes[e] ispitanik […] i istražuje u odgovarajućoj mjeri predmet pritužbe te izvješćuje u razumnom roku podnositelja pritužbe o napretku i ishodu istrage […]
(g) provjerava zakonitost obrade u skladu s člankom 17. i u razumnom roku obavješćuje ispitanika o ishodu provjere na temelju stavka 3. tog članka ili razlozima zbog kojih provjera nije obavljena;
[…]“
12 U skladu s člankom 47. te direktive, naslovljenim „Ovlasti“:
„1. Svaka država članica zakonom osigurava da svako nadzorno tijelo ima učinkovite istražne ovlasti. Te ovlasti uključuju barem ovlast da od voditelja obrade i izvršitelja obrade ishodi pristup svim osobnim podacima koji se obrađuju te svim informacijama potrebnim za obavljanje svojih zadaća.
2. Svaka država članica zakonom osigurava da svako nadzorno tijelo ima učinkovite korektivne ovlasti kao što su na primjer:
(a) izdavati upozorenja voditelju obrade ili izvršitelju obrade da bi namjeravani postupci obrade mogli prouzročiti kršenje odredaba donesenih na temelju ove Direktive;
(b) narediti voditelju obrade ili izvršitelju obrade da, prema potrebi, postupke obrade uskladi s odredbama donesenima na temelju ove Direktive, na određeni način i u određenom roku, posebno na način da zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade na temelju članka 16.;
(c) privremeno ili konačno ograničiti, među ostalim zabraniti, obradu.
[…]
4. Izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim učinkovitom pravnom lijeku i odgovarajućem postupku, kako je utvrđeno pravom Unije i pravom države članice u skladu s Poveljom.
[…]“
13 Članak 52. navedene direktive, naslovljen „Pravo na podnošenje pritužbe nadzornom tijelu“, u stavku 1. određuje:
„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, države članice osiguravaju da svaki ispitanik ima pravo podnijeti pritužbu jednom nadzornom tijelu, ako ispitanik smatra da obrada osobnih podataka koji se odnose na njega krši odredbe donesene na temelju ove Direktive.“
14 Članak 53. iste direktive, naslovljen „Pravo na učinkoviti pravni lijek protiv nadzornog tijela“, u stavku 1. određuje:
„Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, države članice osiguravaju pravo fizičke ili pravne osobe na učinkoviti pravni lijek protiv pravno obvezujuće odluke nadzornog tijela koja se na nju odnosi.“
15 Članak 54. Direktive 2016/680, naslovljen „Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade“, formuliran je ovako:
„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu u skladu s člankom 52., države članice ispitaniku osiguravaju pravo na učinkovit pravni lijek ako on smatra da su mu prekršena njegova prava utvrđena odredbama donesenima na temelju ove Direktive uslijed obrade njegovih osobnih podataka koja nije u skladu s tim odredbama.“
Belgijsko pravo
16 Direktiva 2016/680 prenesena je u glavi 2. Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (Zakon o zaštiti fizičkih osoba u vezi s obradom osobnih podataka) od 30. srpnja 2018. (Moniteur belge, 5. rujna 2018., str. 68616., u daljnjem tekstu: LPD). Prava navedena u člancima 13. do 16. te direktive predviđaju se u poglavlju III. navedene glave, i to konkretno u člancima 37. do 39. tog zakona.
17 Članak 42. LPD‑a određuje:
„Zahtjev za ostvarivanje prava iz ovog poglavlja u odnosu na policijske službe […] ili glavni inspektorat savezne i lokalne policije upućuje se nadzornom tijelu iz članka 71.
U slučajevima iz članka 37. stavka 2., članka 38. stavka 2. [i] članka 39. stavka 4. […] nadzorno tijelo iz članka 71. obavještava ispitanika samo o činjenici da je izvršilo potrebne provjere.
Neovisno o drugom stavku, nadzorno tijelo iz članka 71. može ispitaniku priopćiti i određene kontekstualne informacije.
Po pribavljenom mišljenju nadzornog tijela iz članka 71. Kralj utvrđuje kategoriju kontekstualnih informacija koje to nadzorno tijelo može priopćiti ispitaniku.”
18 Cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu, Belgija), sud koji je uputio zahtjev, ističe da nikakva kraljevska odluka nije donesena radi provedbe članka 42. četvrtog stavka LPD‑a.
19 U skladu s člankom 71. stavkom 1. LPD‑a:
„U okviru Chambre des représentants [(Zastupnički dom belgijskog parlamenta)] osniva se neovisno tijelo za nadzor policijskih informacija pod nazivom Organe de contrôle de l’information policière [(Tijelo za nadzor policijskih informacija, Belgija)].
[…]
Ono je […] zaduženo za:
1° praćenje primjene ove glave […]
2° nadzor obrade informacija i osobnih podataka navedenih u člancima 44/1 do 44/11/13 loi du 5 août 1992 sur la fonction de police [(Zakon o policijskoj službi od 5. kolovoza 1992.)], uključujući i onih uključenih u baze podataka iz članka 44/2 istog zakona;
3° sve druge zadaće uređene drugim zakonima ili na temelju drugih zakona.“
20 Poglavlje I. glave 5. LPD‑a naslovljeno je „Tužba za nalaganje prestanka povrede“. Članak 209., koji se nalazi u tom poglavlju, formuliran je ovako:
„Ne dovodeći u pitanje bilo koji drugi sudski, upravni ili izvansudski pravni lijek, predsjednik prvostupanjskog suda, kada odlučuje u postupku privremene pravne zaštite, utvrđuje postojanje obrade kojom se krše zakonske ili podzakonske odredbe o zaštiti fizičkih osoba u vezi s obradom njihovih osobnih podataka i nalaže da se ta obrada prekine.
Kada odlučuje u postupku privremene pravne zaštite, predsjednik prvostupanjskog suda rješava sve zahtjeve u vezi s pravom koje se priznaje zakonom ili na temelju zakona, a kojima se traži priopćavanje osobnih podataka, i sve zahtjeve za ispravak, brisanje ili zabranu korištenja bilo kakvih netočnih osobnih podataka ili, s obzirom na svrhu obrade, nepotpunih ili nerelevantnih osobnih podataka ili osobnih podataka čije su evidentiranje, priopćavanje ili čuvanje zabranjeni, a čijoj se obradi ispitanik usprotivio ili koji su čuvani dulje od dopuštenog razdoblja.”
21 U članku 240. stavku 4. LPD‑a određuje se:
„[OCIP]
[…]
4° rješava pritužbe, istražuje predmet pritužbe u mjeri u kojoj je to potrebno i obavještava podnositelja pritužbe u razumnom roku o napretku i ishodu istrage, posebno ako je potrebna dodatna istraga ili koordinacija s drugim nadzornim tijelom. […]”
Glavni postupak i prethodna pitanja
22 Tijekom 2016. godine osoba BA, tada zaposlena u jednoj neprofitnoj udruzi u nepunom radnom vremenu, zatražila je od Autorité nationale de sécurité (Nacionalno tijelo za sigurnost) uvjerenje o sigurnosnoj provjeri kako bi mogla sudjelovati u postavljanju i demontiranju instalacija za deseto izdanje „Europskih dana razvoja“ u Bruxellesu (Belgija).
23 Dopisom od 22. lipnja 2016. to je tijelo odbilo izdati uvjerenje o sigurnosnoj provjeri osobi BA uz obrazloženje da je iz osobnih podataka koji su dotičnoj stavljeni na raspolaganje vidljivo da je ta osoba od 2007. do 2016. godine sudjelovala u deset prosvjeda i da joj u tim okolnostima nije moguće izdati takvo uvjerenje na temelju mjerodavnih propisa, među ostalim iz razloga državne sigurnosti i stabilnosti ustavnog demokratskog poretka. Protiv te odluke nije bila podnesena žalba.
24 Dana 4. veljače 2020. pravni savjetnik osobe BA zatražio je od OCIP‑a da identificira voditelje obrade predmetnih osobnih podataka i da im naloži da njegovoj stranci daju pristup svim informacijama koje se na nju odnose, a kako bi mogla pravodobno ostvariti svoja prava.
25 Porukom elektroničke pošte od 6. veljače 2020. OCIP je potvrdio primitak tog zahtjeva. Naveo je da je osoba BA imala samo neizravno pravo pristupa tim podacima, uvjeravajući pritom da će sam provjeriti zakonitost eventualne obrade podataka u Glavnoj nacionalnoj bazi podataka, to jest bazi podataka koju koriste sve nacionalne policijske službe. Nadalje, precizirao je da on bio ovlašten policiji naložiti da po potrebi obriše ili izmjeni te podatke, te da je nakon provedenog nadzora namjeravao obavijestiti osobu BA o tome da su izvršene nužne provjere.
26 U poruci elektroničke pošte od 22. lipnja 2020. OCIP je pravnom savjetniku osobe BA napisao:
„[…]
U skladu s člankom 42. [LPD‑a], obavještavam Vas da je [OCIP] izvrši[o] potrebne provjere.
To znači da su osobni podaci Vašeg klijenta provjereni u policijskim bazama podataka kako bi se zajamčila zakonitost eventualne obrade.
Osobni su podaci po potrebi izmijenjeni ili izbrisani.
Kao što sam Vam objasnio u poruci elektroničke pošte od [2.] lipnja, članak 42. LPD‑a ne dopušta [OCIP‑u] da dostavi više informacija.”
27 Dana 2. rujna 2020. Ligue des droits humains i osoba BA podnijeli su tribunalu de première instance francophone de Bruxelles (Prvostupanjski sud na francuskom jeziku u Bruxellesu, Belgija) zahtjev za privremenu pravnu zaštitu na temelju članka 209. drugog stavka LPD‑a.
28 Kao prvo, žalitelji iz glavnog postupka tražili su od tog suda da proglasi dopuštenim njihov zahtjev za privremenu pravnu zaštitu i, podredno, da Sudu uputi pitanje, u bitnome, protive li se članku 47. stavku 4. Direktive 2016/680 u vezi s njezinim uvodnim izjavama 85. i 86. te s člankom 8. stavkom 3. i člankom 47. Povelje, odredbe članaka 42. i 71. LPD‑a, s obzirom na to da se njima ne predviđa nikakav pravni lijek protiv OCIP‑ovih odluka.
29 Kao drugo, kada je riječ o meritumu, tražili su pristup, posredstvom OCIP‑a, svim osobnim podacima koji se tiču osobe BA te da OCIP identificira voditelje obrade i eventualne korisnike tih podataka.
30 Podredno, u slučaju da sud pred kojim se vodi postupak utvrdi da članak 42. stavak 2. LPD‑a omogućuje sustavno ograničavanje pristupa osobnim podacima koje obrađuju policijske službe, žalitelji su tražili da se Sudu uputi pitanje, u bitnome, treba li članke 14., 15. i 17. Direktive 2016/680 u vezi s člancima 8. i 47. te člankom 52. stavkom 1. Povelje tumačiti na način da im se protivi nacionalni propis koji priznaje opće i sustavno izuzeće od prava na pristup osobnim podacima, ako se, s jedne strane, to pravo ostvarivalo posredstvom nadzornog tijela i, s druge strane, ako se to tijelo moglo ograničiti samo na to da ispitaniku navede da je izvršilo sve potrebne provjere, bez obavještavanja o osobnim podacima koji su predmet obrade i o korisnicima, te neovisno o cilju koji se želi postići.
31 Rješenjem od 17. svibnja 2021. tribunal de première instance francophone de Bruxelles (Prvostupanjski sud na francuskom jeziku u Bruxellesu) utvrdio je da „nema nadležnost“za odlučivanje o tom zahtjevu za privremenu pravnu zaštitu.
32 U podnesku od 15. lipnja 2021. dostavljenom couru d’appel de Bruxelles (Žalbeni sud u Bruxellesu), žalitelji iz glavnog postupka podnijeli su žalbu protiv tog rješenja. U bitnome su ponovili zahtjeve koje su iznijeli u prvostupanjskom postupku.
33 U tom kontekstu, sud koji je uputio zahtjev u bitnome ističe da se, među ostalim, u slučaju kad osoba nema pravo osobno ostvarivati prava predviđena Direktivom 2016/680, tužba za nalaganje prestanka povrede iz članka 209. i sljedećih članaka LPD‑a ne može provesti. Naime, prije svega, takva se tužba može podnijeti protiv voditelja obrade, a ne protiv samog nadzornog tijela. Nadalje, ta je osoba, u konkretnom slučaju osoba BA, ne može iskoristiti ni protiv voditelja obrade jer je ostvarivanje njezinih prava povjereno tom tijelu. Konačno, izrazito sažeta informacija koju je OCIP pružio osobi BA ne omogućuje ni toj osobi ni sudu da ocijeni je li to nadzorno tijelo na odgovarajući način ostvarilo prava navedene osobe. Dodaje da iako LPD određuje da ta tužba za nalaganje prestanka povrede ne dovodi u pitanje bilo koji drugi sudski, upravni ili izvansudski pravni lijek, takav drugi pravni lijek koji je podnijela osoba BA susreće se s istim teškoćama.
34 U tim je okolnostima cour d’appel de Bruxelles (Žalbeni sud u Bruxellesu) odlučio prekinuti postupak i Sudu uputiti sljedeća prethodna pitanja:
„1. Zahtijeva li se člankom 47. i člankom 8. [stavkom] 3. [Povelje] da treba predvidjeti pravni lijek koji se podnosi sudu protiv odluka neovisnog nadzornog tijela kao što je [OCIP] kad to tijelo ostvaruje prava ispitanika u odnosu na voditelja obrade?
2. Je li članak 17. Direktive 2016/680 u skladu s člankom 47. i člankom 8. [stavkom] 3. [Povelje], kako ih tumači [Sud], s obzirom na to da on obvezuje nadzorno tijelo – koje ostvaruje prava ispitanika u odnosu na voditelja obrade – samo da obavijesti tog ispitanika ‚da je […] provelo sve potrebne provjere ili preispitivanje’ i ‚o njegovu pravu na sudski pravni lijek’, a takva informacija ne omogućuje nikakvu naknadnu kontrolu postupanja nadzornog tijela i ocjene koju je ono provelo u pogledu podataka ispitanika i obveze koje ima voditelj obrade?”
O prethodnim pitanjima
Prvo pitanje
35 Prije svega, iz zahtjeva za prethodnu odluku razvidno je da se pitanja suda koji je uputio zahtjev tiču postojanja obveze države članice, na temelju članka 53. stavka 1. Direktive 2016/680 u vezi s člankom 47. Povelje, da predvidi pravo na podnošenje djelotvornog pravnog lijeka protiv odluke nadležnog nacionalnog nadzornog tijela, kad se provodi odredba nacionalnog prava kojom se prenosi članak 17. te direktive, koji određuje da se u slučajevima iz članka 13. stavka 3., članka 15. stavka 3. i članka 16. stavka 4. navedene direktive prava ispitanika mogu ostvariti posredstvom takvog nadzornog tijela.
36 Nadalje, treba istaknuti da odgovor na to pitanje ovisi o prirodi i opsegu dužnosti i ovlasti nadzornog tijela u okviru ostvarivanja pravâ ispitanika, kako je predviđeno u članku 17. Direktive 2016/680. Međutim, oni se pobliže navode u članku 46. stavku 1. točki (g) i članku 47. stavcima 1. i 2. te direktive i treba ih analizirati u svjetlu članka 8. stavka 3. Povelje koji zahtijeva da poštovanje pravila o zaštiti osobnih podataka, navedenih u stavcima 1. i 2. tog članka 8., mora podlijegati nadzoru neovisnog tijela.
37 Treba stoga shvatiti da svojim prvim pitanjem sud koji je uputio zahtjev u bitnome pita treba li članak 17. Direktive 2016/680 u vezi s člankom 46. stavkom 1. točkom (g), člankom 47. stavcima 1. i 2. te člankom 53. stavkom 1. te direktive, kao i s člankom 8. stavkom 3. i člankom 47. Povelje, tumačiti na način da u slučaju kad su se prava određene osobe ostvarivala posredstvom nadležnog nadzornog tijela na temelju navedenog članka 17., ta osoba mora imati na raspolaganju djelotvoran pravni lijek protiv odluke navedenog tijela.
38 Prije svega valja podsjetiti na to da, u skladu s člankom 53. stavkom 1. Direktive 2016/680, države članice moraju predvidjeti da fizička ili pravna osoba ima pravo podnijeti djelotvoran pravni lijek protiv pravno obvezujuće odluke nadzornog tijela koja se odnosi na nju.
39 Stoga treba utvrditi donosi li nadzorno tijelo takvu odluku u slučaju kad se, na temelju članka 17. te direktive, prava ispitanikâ utvrđena u navedenoj direktivi ostvaruju posredstvom tog nadzornog tijela.
40 S tim u vezi valja istaknuti da, u skladu s člankom 17. stavkom 1. Direktive 2016/680, „[u] slučajevima iz članka 13. stavka 3., članka 15. stavka 3. i članka 16. stavka 4.“ te direktive, države članice imaju obvezu donijeti mjere „kojima se osigurava da se prava ispitanika mogu ostvariti i putem nadležnih nadzornih tijela“.
41 Kao što upućuje upotreba veznika „i“, te kao što je nezavisna odvjetnica u bitnome istaknula u točkama 41. i 42. svojeg mišljenja, neizravno ostvarivanje pravâ ispitanika posredstvom nadležnog nadzornog tijela, predviđeno tom odredbom, predstavlja dodatno jamstvo tom ispitaniku da se njegovi osobni podaci obrađuju zakonito u slučaju kad nacionalne zakonske odredbe ograničavaju izravno ostvarivanje kod voditelja obrade prava na dobivanje dodatne informacije, predviđeno u članku 13. stavku 2. Direktive 2016/680, prava pristupa tim podacima, navedeno u članku 14. te direktive, ili prava na ishođenje njihova ispravka, brisanja ili ograničavanje obrade pod uvjetima iz članka 16. stavaka 1. do 3. navedene direktive.
42 Naime, imajući u vidu specifičnost svrha u koje se provode obrade podataka na koje se primjenjuje ta direktiva – a koje se naglašavaju, među ostalim, u njezinoj uvodnoj izjavi 10. – članak 13. stavak 3. i članak 15. stavak 1. Direktive 2016/680 dopuštaju nacionalnom zakonodavcu da ograniči izravno ostvarivanje, s jedne strane, prava na obavješćivanje i, s druge strane, prava na pristup „u onoj mjeri i u onom trajanju u kojem takva mjera predstavlja potrebnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca“, kako bi se „izbjeglo ometanje službenih ilipravnihispitivanja, istraga ili postupaka“, „izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija“, „zaštitila javna sigurnost“, „zaštitila nacionalna sigurnost“ ili „zaštitila prava i slobode drugih“. Nadalje, članak 15. stavak 3. te direktive određuje da voditelj obrade ima mogućnost da ne obavijesti ispitanika o svakom odbijanju ili svakom ograničavanju pristupa, kao i o razlozima odbijanja ili ograničavanja, ako priopćavanje tih informacija može ugroziti jedan od spomenutih ciljeva od javnog interesa.
43 Isto tako, članak 16. stavak 4. navedene direktive dopušta nacionalnom zakonodavcu da ograniči obvezu voditelja obrade da „pisanim putem obavješćuje ispitanika o svakom odbijanju ispravka ili brisanja osobnih podataka ili ograničavanja obrade te o razlozima odbijanja“ zbog istih ciljeva od javnog interesa, „u onoj mjeri u kojoj takvo ograničavanje čini nužnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca“.
44 U tom kontekstu, kao što proizlazi iz uvodne izjave 48. iste direktive, neizravno ostvarivanje prava predviđenih u točki 41. ove presude posredstvom nadležnog nadzornog tijela treba stoga smatrati nužnim za zaštitu tih prava, s obzirom na to da se njihovo izravno ostvarivanje kod voditelja obrade pokazuje teško ili čak nemoguće.
45 U tom smislu, članak 46. stavak 1. točka (g) Direktive 2016/680 zahtijeva da svako nadležno nacionalno tijelo ima dužnost provjeriti zakonitost obrade na temelju članka 17. te direktive, to jest slijedom zahtjeva podnesenog na temelju potonje odredbe.
46 Osim toga, iz članka 47. stavaka 1. i 2. navedene direktive konkretno proizlazi da svako nadzorno tijelo mora imati, na temelju nacionalnog propisa, ne samo „učinkovite istražne ovlasti“ nego i „učinkovite korektivne ovlasti“.
47 Te odredbe treba tumačiti u kontekstu zahtjeva iz članka 8. stavka 3. Povelje koji određuje da poštovanje pravila o pravu svake osobe na zaštitu osobnih podataka, navedenih u stavcima 1. i 2. tog članka, mora „podlije[gati] nadzoru neovisnog tijela“, te posebno zahtjeva navedenog u drugoj rečenici navedenog stavka 2., prema kojoj„[s]vatko ima pravo na pristup prikupljenim podacima koji se na njega ili nju odnose i pravo na njihovo ispravljanje“. Naime, kao što to potvrđuje ustaljena sudska praksa, uspostavom neovisnog nadzornog tijela želi se osigurati učinkovitost i pouzdanost nadzora poštovanja pravila o zaštiti fizičkih osoba u vezi s obradom osobnih podataka te je treba tumačiti u svjetlu tog cilja (vidjeti u tom smislu mišljenje 1/15 (Sporazum o PNR‑u EU‑Kanada) od 26. srpnja 2017., EU:C:2017:592, t. 229. i navedenu sudsku praksu).
48 Dakle, kada takvo nadzorno tijelo djeluje kako bi se osiguralo ostvarivanje pravâ ispitanika na temelju članka 17. Direktive 2016/680, njegova zadaća u potpunosti ulazi u definiciju njegove uloge iz primarnog prava Unije jer ta definicija među ostalim podrazumijeva i nadzor poštovanja pravâ ispitanika na pristup i ispravak. Prema tome, prilikom obavljanja te specifične zadaće, kao i u okviru bilo koje druge zadaće, nadzorno tijelo mora biti u mogućnosti izvršavati ovlasti koje su mu povjerene na temelju članka 47. te direktive djelujući potpuno neovisno, u skladu s Poveljom i kako se navodi u uvodnoj izjavi 75. navedene direktive.
49 Nadalje, nakon provođenja provjere zakonitosti obrade, nadležno nadzorno tijelo mora, u skladu s člankom 17. stavkom 3. prvom rečenicom iste direktive, „najmanje“ obavijestiti ispitanika „da je […] provelo sve potrebne provjere ili preispitivanje”.
50 Kao što nezavisna odvjetnica u bitnome ističe u točki 65. svojeg mišljenja, iz svih tih odredbi treba zaključiti da u slučaju kad nadležno nadzorno tijelo obavještava ispitanika o ishodu izvršenih provjera, ono mu priopćava odluku o okončanju postupka provjere donesenu u odnosu na njega, pri čemu ta odluka nužno utječe na pravni položaj tog ispitanika. Dakle, ta odluka za njega predstavlja „pravno obvezujuću odluku“ u smislu članka 53. stavka 1.Direktive 2016/680, neovisno o tome je li to tijelo i u kojoj je mjeri utvrdilo zakonitost obrade podataka u pogledu navedenog ispitanika i donijelo korektivne mjere.
51 Uostalom, u uvodnoj izjavi 86. te direktive navodi se da pojam „pravno obvezujuća odluka“ u smislu navedene direktivetreba podrazumijevati odluku koja proizvodi pravne učinke na osobu na koju se konkretno odnosi odluka o izvršavanju istražnih, korektivnih i autorizacijskih ovlasti od strane nadzornog tijela ili odluka o odbacivanju odnosno odbijanju pritužbi.
52 Prema tome, ispitanik mora ima mogućnost ishoditi sudski nadzor osnovanosti takve odluke na temelju članka 53. stavka 1. Direktive 2016/680 i, konkretno, načina na koji je nadzorno tijelo ispunilo svoju obvezu – koja proizlazi iz članka 17. te direktive na koji upućuje njezin članak 46. stavak 1. točka (g) – da „prove[de] sve potrebne provjere“ i po potrebi da iskoristi svoje ovlasti u pogledu donošenja korektivnih mjera.
53 U prilog tom zaključku uostalom govori i uvodna izjava 85. Direktive 2016/680 iz koje proizlazi da bi svaki ispitanik trebao imati pravo na djelotvoran pravni lijek protiv odluke nadzornog tijela u slučaju ako to tijelo „ne djeluje kada je takvo djelovanje nužno radi zaštite prava ispitanika”.
54 Konačno, takvo je tumačenje u skladu s člankom 47. Povelje zato što se, kao što proizlazi iz ustaljene sudske prakse, to pravo mora priznati svakoj osobi koja se poziva na prava ili slobode zajamčene pravom Unije protiv odluke koja na nju negativno utječe na način da povređuje ta prava ili te slobode (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 87. i navedenu sudsku praksu).
55 Slijedom svih navedenih razmatranja, na prvo pitanje valja odgovoriti tako da članak 17. Direktive 2016/680 u vezi s člankom 46. stavkom 1. točkom (g), člankom 47. stavcima 1. i 2. te člankom 53. stavkom 1. navedene direktive, kao i s člankom 8. stavkom 3. i člankom 47. Povelje, treba tumačiti na način da u slučaju kad su se prava određene osobe ostvarivala posredstvom nadležnog nadzornog tijela na temelju navedenog članka 17. i kad to tijelo obavijesti navedenu osobu o ishodu izvršenih provjera, potonja mora imati na raspolaganju djelotvoran pravni lijek protiv odluke navedenog tijela o okončanju postupka provjere.
Drugo pitanje
56 Svojim drugim pitanjem sud koji je uputio zahtjev u bitnome pita je li članak 17. stavak 3. Direktive 2016/680 valjan s gledišta članka 8. stavka 3. i članka 47. Povelje, s obzirom na to da on obvezuje nadzorno tijelo samo da obavijesti ispitanika, s jedne strane, da je izvršilo sve potrebne provjere ili ispitivanje i, s druge strane, da taj ispitanik ima pravo podnijeti pravni lijek sudu, ako takva informacija ne omogućuje sudski nadzor postupanja nadzornog tijela i njegovih ocjena, imajući u vidu obrađivane podatke i obveze voditelja obrade.
57 U tom smislu valja podsjetiti na to da, s jedne strane, prema općem načelu tumačenja akt Unije po mogućnosti treba tumačiti tako da se ne dovede u pitanje njegova valjanost i u skladu s cjelokupnim primarnim pravom, a osobito odredbama Povelje. Dakle, kada propis sekundarnog prava Unije može imati više od jednog tumačenja, prednost valja dati onom tumačenju koje odredbu čini sukladnom s primarnim pravom, a ne tumačenju koje bi je učinilo neusklađenom s njime (presuda od 21. lipnja 2022., Ligue des droits humains, C‑817/19, EU:C:2022:491, t. 86. i navedena sudska praksa).
58 S druge strane, pravo na djelotvoran pravni lijek zajamčeno člankom 47. Povelje načelno zahtijeva da zainteresirana osoba ima mogućnost upoznati se s razlozima na kojima se temelji odluka koja se na nju odnosi, kako bi joj se omogućilo da brani svoja prava u najboljim mogućim uvjetima i potpuno informirano odluči je li korisno pokrenuti postupak pred nadležnim sudom, kao i u potpunosti omogućiti tom sudu da provede nadzor zakonitosti te odluke (vidjeti u tom smislu presudu od 4. lipnja 2013., ZZ, C‑300/11, EU:C:2013:363, t. 53. i navedenu sudsku praksu).
59 To pravo nije apsolutno i moguće ga je ograničiti u skladu s člankom 52. stavkom 1. Povelje, ali samo pod uvjetom da se ograničenja predvide zakonom, da poštuju bit predmetnih prava i sloboda i da su, u skladu s načelom proporcionalnosti, nužna i stvarno ispunjavaju ciljeve od općeg interesa koje priznaje Unija ili potrebu zaštite prava i sloboda drugih osoba (presuda od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 89. i navedena sudska praksa).
60 U konkretnom slučaju treba istaknuti da, kada je riječ o odluci nadležnog nadzornog tijela navedenoj u točki 50. ove presude, članak 17. stavak 3. Direktive 2016/680 uspostavlja minimalnu obvezu tog nadzornog tijela u pogledu obavještavanja, pri čemu određuje da to tijelo ispitanika mora „najmanje“ obavijestiti o tome „da je ono provelo sve potrebne provjere ili preispitivanje” i o „njegovu pravu na pravni lijek”.
61 Prema tome, budući da ta odredba ne priječi da u određenim slučajevima – u skladu s pravilima koje je nacionalni zakonodavac donio radi provedbe te odredbe – nadzorno tijelo može imati mogućnost ili čak obvezu da se ograniči samo na minimalne informacije spomenute u prethodnoj točki, bez ikakva pojašnjenja, posebno kad se tim pravilima želi izbjeći dovođenje u pitanje ciljeva od javnog interesa navedenih u članku 13. stavku 3., članku 15. stavku 1. i članku 16. stavku 4. navedene direktive, kao što je to istaknuto u točkama 42. i 43. ove presude, ona može dovesti do ograničavanja prava na djelotvoran pravni lijek, zajamčenog u članku 47. Povelje.
62 Treba međutim istaknuti da je, kao prvo, takvo ograničenje izričito predviđeno Direktivom 2016/680 i da samim time ono ispunjava uvjet naveden u članku 52. stavku 1. Povelje koji određuje da svako ograničavanje ostvarivanja temeljnog prava mora biti „predviđeno zakonom“.
63 Kao drugo, činjenica da članak 17. stavak 3. Direktive 2016/680 dopušta državama članicama da u određenim slučajevima ograniče obrazloženje te odluke samo na minimalne informacije navedene u toj odredbi, ne znači da je, kao što nezavisna odvjetnica u bitnome ističe u točki 89. svojeg mišljenja, u svim slučajevima moguće suziti obavještavanje ispitanika samo na te informacije.
64 Naime, tu odredbu treba tumačiti u kontekstu članka 52. stavka 1. Povelje tako da moraju biti ispunjeni i drugi kriteriji navedeni u potonjoj odredbi. To znači da ona zahtijeva od država članica da osiguraju da odredbe nacionalnog prava kojima se ona provodi, s jedne strane, poštuju bit njegova prava na djelotvornu sudsku zaštitu i, s druge strane, počivaju na uravnoteživanju ciljeva od javnog interesa zbog kojih je to obavještavanje ograničeno te temeljnih prava i legitimnih interesa navedene osobe, u skladu s načelima nužnosti i proporcionalnosti, slično uravnoteživanju koje nacionalni zakonodavac mora provesti kada uvodi ograničenja predviđena u članku 13. stavku 3., članku 15. stavku 3. i članku 16. stavku 4. navedene direktive.
65 Konkretno, ako to, s jedne strane, zahtijeva zaštita prava na djelotvoran pravni lijek ispitanika protiv odluke o okončanju postupka provjere i ako se, s druge strane, ciljevi od javnog interesa iz članka 13. stavka 3., članka 15. stavka 3. i članka 16. stavka 4. Direktive 2016/680 tomu ne protive, države članice moraju propisati da obavještavanje ispitanika može prelaziti okvir minimalnih informacija predviđenih u članku 17. stavku 3. te direktive, kako bi se ispitaniku omogućilo da brani svoja prava i potpuno informirano odluči je li korisno pokrenuti postupak pred nadležnim sudom.
66 Isto tako, nacionalne mjere kojima se provodi potonja odredba moraju po mogućnosti ostaviti nadležnom nadzornom tijelu – u skladu s neovisnošću koja ga karakterizira u smislu članka 8. stavka 3. Povelje – određenu marginu prosudbe prilikom određivanja protivi li se okviru definiranom nacionalnim propisom u skladu sa zahtjevima navedenim u točki 65. ove presude to da navedeno tijelo priopći toj osobi – u najmanju ruku sažeto – rezultat svojih provjera i eventualno korektivne mjere koje je poduzelo. U tom smislu, kao što je nezavisna odvjetnica u bitnome istaknula u točkama 73. i 74. svojeg mišljenja, to tijelo mora, u skladu s tim nacionalnim zakonskim okvirom, pokrenuti povjerljiv dijalog s voditeljem obrade te po provođenju tog dijaloga odlučiti koje informacije nužne da bi ispitanik ostvario pravo na djelotvoran pravni lijek ona potonjem može priopćiti, a da pritom ne ugrozi ciljeve od javnog interesa navedene u točki 65. ove presude.
67 Osim toga, u slučaju da navedeni okvir propisuje kako obavještavanje koje provodi nadzorno tijelo mora biti ograničeno samo na informacije predviđene u članku 17. stavku 3. Direktive 2016/680, države članice će svejedno u okviru svoje postupovne autonomije morati provesti mjere koje su potrebne kako bi se osigurao, u skladu s člankom 53. stavkom 1. te direktive, djelotvoran sudski nadzor kako postojanja i osnovanosti razloga koji su opravdavali ograničavanje tih informacija, tako i pravilnosti izvršavanja zadaće nadzornog tijela u pogledu provođenja provjere zakonitosti obrade. U tom smislu, pojam „učinkovit pravni lijek“ koji se navodi u potonjoj odredbi, treba tumačiti u vezi s uvodnom izjavom 86. te direktive u kojoj se navodi da bi sudovi kojima su podnesene tužbe protiv nadzornog tijela „trebali imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za konkretni spor“.
68 Konkretno, države članice moraju osigurati da nadležni sud ima na raspolaganju i da primjenjuje tehnike i pravila postupovnog prava koji omogućuju da se pomire, s jedne strane, legitimni razlozi vezani uz ciljeve od javnog interesa iz članka 13. stavka 3., članka 15. stavka 3. i članka 16. stavka 4. Direktive 2016/680, pri čemu su ti ciljevi uzeti u obzir u nacionalnom zakonodavstvu radi ograničavanja informacija koje se pružaju ispitaniku i, s druge strane, nužnost da se sudionicima u postupku u dovoljnoj mjeri osigura poštovanje njihovih postupovnih prava, kao što je pravo na saslušanje te načelo kontradiktornosti (vidjeti u tom smislu presudu od 4. lipnja 2013., ZZ, C‑300/11, EU:C:2013:363, t. 57. i navedenu sudsku praksu).
69 Kada je riječ o sudskom nadzoru okolnosti je li nadzorno tijelo pravilno primijenilo članak 17. te direktive, države članice moraju predvidjeti pravila koja će nadležnom sudu omogućiti da se upozna kako sa svim razlozima tako i s dokazima povezanima s tim razlozima, na kojima je navedeno tijelo u tom kontekstu temeljilo provjeru zakonitosti predmetne obrade podataka kao i zaključke do kojih je pritom došlo (vidjeti u tom smislu presudu od 4. lipnja 2013., ZZ, C‑300/11, EU:C:2013:363, t. 59. i navedenu sudsku praksu).
70 U tom smislu, kao što je Europski parlament istaknuo u svojim očitovanjima, članak 15. stavak 4. Direktive 2016/680 određuje da voditelj obrade konstatira činjenične ili pravne argumente na kojima je temeljio odluku da dijelom ili u cijelosti ograniči prava ispitanika na pristup te da se te informacije stave na raspolaganje nadzornim tijelima. Kao što je ta institucija sugerirala, navedena odredba – u vezi s člancima 17. i 53. navedene direktive te u kontekstu članka 47. Povelje – kako se tumači u sudskoj praksi navedenoj u točkama 68. i 69. ove presude, podrazumijeva da te informacije također treba staviti na raspolaganje sudu koji odlučuje o pravnom lijeku podnesenom protiv odluke nadzornog tijela radi nadzora pravilnosti primjene navedenog članka 17.
71 Iz točaka 63. do 70. ove presude tako proizlazi da ograničenje predviđeno člankom 17. Direktive 2016/680 poštuje bit prava ispitanika na podnošenje djelotvornog pravnog lijeka protiv odluke nadzornog tijela o okončanju postupka, predviđene tom odredbom, kao i načela nužnosti i proporcionalnosti koja proizlaze iz članka 52. stavka 1. Povelje.
72 Slijedom svih navedenih razmatranja, valja zaključiti da prilikom ispitivanja drugog pitanja nije otkrivena nijedna okolnost koja bi mogla utjecati na valjanost članka 17. stavka 3. Direktive 2016/680.
Troškovi
73 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (peto vijeće) odlučuje:
1. Članak 17. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP, u vezi s člankom 46. stavkom 1. točkom (g), člankom 47. stavcima 1. i 2. te člankom 53. stavkom 1. navedene direktive, kao i s člankom 8. stavkom 3. i člankom 47. Povelje Europske unije o temeljnim pravima,
treba tumačiti na način da:
u slučaju kad su se prava određene osobe ostvarivala posredstvom nadležnog nadzornog tijela na temelju navedenog članka 17. i kad to tijelo obavijesti navedenu osobu o ishodu izvršenih provjera, potonja mora imati na raspolaganju djelotvoran pravni lijek protiv odluke navedenog tijela o okončanju postupka provjere.
2. Prilikom ispitivanja drugog pitanja nije otkrivena nijedna okolnost koja bi mogla utjecati na valjanost članka 17. stavka 3. Direktive 2016/680.
Potpisi