SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
MACIEJA SZPUNARJA,
predstavljeni 17. decembra 2020(1)
Zadeva C‑439/19
B,
ob udeležbi
Latvijas Republikas Saeima
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Satversmes tiesa (ustavno sodišče, Latvija))
„Predhodno odločanje – Uredba (EU) 2016/679 – Obdelava osebnih podatkov – Informacija glede kazenskih točk za prometne prekrške – Pojem obdelave osebnih podatkov v zvezi s kazenskimi obsodbami in kaznivimi dejanji – Nacionalna pravila, ki določajo razkritje takšnih informacij in omogočajo njihovo ponovno uporabo“
I. Uvod
1. Leta 1946 je George Orwell tako komentiral kampanjo za preprečevanje smrti na cestah „Keep Death off the Roads“, ki je tedaj potekala v nekdanji državi članici Evropske unije: „Če bi hoteli povsem preprečiti smrti na cestah, bi morali celotno cestno omrežje na novo zasnovati tako, da trčenje ne bi bilo mogoče. Samo pomislite, kaj to pomeni (treba bi bilo na primer porušiti in na novo zgraditi celoten London), in razumeli boste, da to trenutno močno presega možnosti katere koli države. Medtem lahko sprejmemo samo blažilne ukrepe, ki so nazadnje ukrepi, s katerimi v osnovi povečamo previdnost ljudi.“(2)
2. Bistvo zadeve pred Satversmes tiesa (ustavno sodišče, Latvija), ki je Sodišču predložilo ta predlog za sprejetje predhodne odločbe, so zgoraj navedeni „blažilni ukrepi“: da bi se izboljšala varnost v cestnem prometu, s povečanjem osveščenosti in previdnosti voznikov, se voznikom, ki storijo prometne prekrške, izrekajo kazenske točke. Ti podatki se nato sporočijo in posredujejo za ponovno uporabo. Predložitveno sodišče, ki odloča o ustavni pritožbi, ki je bila vložena pri njem, mora presoditi o združljivosti zadevnega nacionalnega predpisa z Uredbo (EU) 2016/679(3) (v nadaljevanju: Splošna uredba o varstvu podatkov).
3. Obravnavana zadeva je zato skoraj klasična zadeva v zvezi z varstvom podatkov, saj je pretežno postavljena v fizični (nespletni) svet in se nanaša na vertikalni odnos med državo in posameznikom, zaradi česar nedvomno spada v niz zadev, ki jih je Sodišče obravnavalo vse od temeljne sodbe Stauder,(4) ki je bila izrečena v domnevno prvi zadevi s področja varstva podatkov v širšem smislu.(5)
4. Sodišču bom predlagal, naj pri presoji, koliko lahko država članica pri uresničevanju cilja izboljšanja varnosti v cestnem prometu posega v osebne pravice posameznika, razsodi, da ukrepi, kot je zadevna latvijska zakonodaja, niso sorazmerni s ciljem, ki se uresničuje z njimi.
5. Preden pa je mogoče priti do te ugotovitve, je treba obravnavati celo vrsto temeljnih in zapletenih vprašanj, ki se postavljajo v tej zadevi in nanašajo na Splošno uredbo o varstvu podatkov. Pripnite si varnostne pasove! S tem si lahko prihranite kakšno kazensko točko.
II. Pravni okvir
A. Pravo Unije
1. Splošna uredba o varstvu podatkov
6. Poglavje I Splošne uredbe o varstvu podatkov, naslovljeno „Splošne določbe“, vsebuje člene od 1 do 4, ki določajo predmet urejanja in cilje, področje uporabe, ozemeljsko veljavnost ter opredelitev pojmov.
7. Člen 1 Splošne uredbe o varstvu podatkov, naslovljen „Predmet urejanja in cilji“, določa:
„1. Ta uredba določa pravila o varstvu posameznikov pri obdelavi osebnih podatkov in pravila o prostem pretoku osebnih podatkov.
2. Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.
3. Prosti pretok osebnih podatkov v Uniji ne sme biti omejen ali prepovedan iz razlogov, povezanih z varstvom posameznikov pri obdelavi osebnih podatkov.“
8. Člen 2 Splošne uredbe o varstvu podatkov, naslovljen „Področje uporabe“, določa:
„1. Ta uredba se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke.
2. Ta uredba se ne uporablja za obdelavo osebnih podatkov:
(a) v okviru dejavnosti zunaj področja uporabe prava Unije;
(b) s strani držav članic, kadar izvajajo dejavnosti, ki spadajo na področje uporabe poglavja 2 naslova V PEU;
(c) s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti;
(d) s strani pristojnih organov za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.
[…]“
9. Poglavje II Splošne uredbe o varstvu podatkov, ki vsebuje člene od 5 do 11, določa načela te uredbe: načela v zvezi z obdelavo osebnih podatkov, zakonitost obdelave, pogoje za privolitev, vključno s privolitvijo otroka v zvezi s storitvami informacijske družbe, obdelavo posebnih vrst osebnih podatkov in osebnih podatkov v zvezi s kazenskimi obsodbami in kaznivimi dejanji ter obdelavo, ki ne zahteva identifikacije.
10. Člen 5 Splošne uredbe o varstvu podatkov, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:
„1. Osebni podatki so:
(a) obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (,zakonitost, pravičnost in preglednost‘);
(b) zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno‑ ali zgodovinsko‑raziskovalne namene ali statistične namene v skladu s členom 89(1) ne velja za nezdružljivo s prvotnimi nameni (,omejitev namena‘);
(c) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (,najmanjši obseg podatkov‘);
(d) točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (,točnost‘);
(e) hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno‑ ali zgodovinsko‑raziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (,omejitev shranjevanja‘);
(f) obdelujejo se na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi (,celovitost in zaupnost‘).
2. Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (,odgovornost‘).“
11. Člen 10 Splošne uredbe o varstvu podatkov, naslovljen „Obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški [kaznivimi dejanji]“, določa:
„Obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški [kaznivimi dejanji] ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6(1) se izvaja le pod nadzorom uradnega organa ali če obdelavo dovoljuje pravo Unije ali pravo države članice, ki zagotavlja ustrezne zaščitne ukrepe za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Kakršni koli celoviti registri kazenskih obsodb se vodijo samo pod nadzorom uradnega organa.“
2. Direktiva 2003/98/ES
12. Člen 1 Direktive 2003/98/ES,(6) naslovljen „Vsebina in področje uporabe“, določa:
„1. Ta direktiva določa minimalni nabor pravil, ki urejajo ponovno uporabo, in praktična sredstva za olajšanje ponovne uporabe obstoječih dokumentov, ki jih hranijo organi javnega sektorja držav članic.
2. Ta direktiva se ne uporablja za:
(a) dokumente, katerih zagotavljanje je dejavnost zunaj obsega javne naloge zadevnih organov javnega sektorja, kakor je opredeljena z zakonodajo ali drugimi obvezujočimi predpisi v državi članici ali, če takšnih predpisov ni, kakor je opredeljena v skladu z običajno upravno prakso v zadevni državi članici, pod pogojem, da je obseg javnih nalog pregleden in predmet pregledov;
(b) dokumente, katerih tretje stranke so imetniki pravice intelektualne lastnine;
(c) dokumente, do katerih ni dostopa zaradi režima dostopa v državah članicah, vključno zaradi:
– zaščite nacionalne varnosti (to je državne varnosti), obrambe ali javne varnosti,
– tajnosti statističnih podatkov,
– poslovne tajnosti (npr. poslovnih ali poklicnih skrivnosti oziroma skrivnosti podjetja);
(ca) dokumente, do katerih je dostop omejen zaradi režima dostopa v državah članicah, vključno s primeri, ko morajo državljani ali družbe dokazati poseben interes, da pridobijo dostop do dokumentov;
(cb) dele dokumentov, ki vsebujejo le logotipe, grbe in oznake;
(cc) dokumente, do katerih ni dostopa ali do katerih režimi dostopa omejujejo dostop zaradi varstva osebnih podatkov, ter dele dokumentov, do katerih ti režimi dovoljujejo dostop, vendar vsebujejo osebne podatke, katerih ponovna uporaba je z zakonom opredeljena kot nezdružljiva s pravom o varstvu posameznikov pri obdelavi osebnih podatkov;
(d) dokumente, ki jih hranijo javne radiotelevizije in njihove podružnice in drugi organi ali njihove podružnice za opravljanje javne službe radiotelevizije;
(e) dokumente, ki jih hranijo izobraževalne in raziskovalne ustanove, vključno z organizacijami, ustanovljenimi za prenos rezultatov raziskav, šolami in univerzami, razen univerzitetnih knjižnic, in
(f) dokumente, ki jih hranijo kulturne ustanove, ki niso muzeji, knjižnice in arhivi.
3. Ta direktiva gradi na režimih dostopa v državah članicah in ne posega vanje.
4. Ta direktiva ne posega v raven varstva posameznikov pri obdelavi osebnih podatkov in v nobenem primeru ne vpliva nanjo v skladu z določbami zakonodaje Unije in državne zakonodaje, še zlasti ne spreminja obveznosti in pravic iz Direktive 95/46/ES.[(7)]
5. Obveznosti, ki jih nalaga ta direktiva, se uporabljajo samo kolikor so združljive z določbami mednarodnih sporazumov o varstvu pravic intelektualne lastnine, zlasti Bernske konvencije[(8)] in Sporazuma TRIPS[(9)].“
13. Člen 2 Direktive 2003/98, naslovljen „Definicije pojmov“, določa:
„V tej direktivi se uporablja naslednja opredelitev pojmov:
1. ‚organ javnega sektorja‘ pomeni državo, območne (regijske) ali krajevne (lokalne) oblasti, osebe javnega prava in združenja, ki so jih ustanovila ena ali več takšnih oblasti, ali ena ali več takšnih oseb javnega prava;
2. ‚oseba javnega prava‘ pomeni lahko katerokoli osebo, ki:
(a) je ustanovljena s posebnim namenom zadovoljevanja potreb v splošnem interesu, ki ni industrijske ali trgovinske narave, in
(b) je pravna oseba, in
(c) jo v glavnem financirajo država, območne (regijske) ali krajevne (lokalne) oblasti ali druge osebe javnega prava; ali je pod upraviteljskim nadzorom navedenih organov; ali ima upravni, upraviteljski ali nadzorni odbor, v katerega več kot polovico članov imenujejo država, območne (regijske) ali krajevne (lokalne) oblasti ali druge osebe javnega prava;
3. ‚Dokument‘ pomeni:
(a) kakršnokoli vsebino ne glede na nosilca podatkov (napisano na papirju ali shranjeno v elektronski obliki ali kot zvočni, vizualni ali audiovizualni posnetek);
(b) katerikoli del take vsebine;
4. ,ponovna uporaba‘ pomeni uporabo dokumentov, ki jih hranijo organi javnega sektorja, s strani oseb ali pravnih oseb za komercialne ali nekomercialne namene razen za prvotni namen v okviru javne naloge, zaradi katerega so bili dokumenti izdelani. Izmenjava dokumentov med organi javnega sektorja zgolj za opravljanje javnih nalog ne pomeni ponovne uporabe;
5. ,osebni podatki‘ so podatki, kakor so opredeljeni v členu 2(a) Direktive 95/46/ES.
6. ,strojno berljivi format‘ pomeni, da je datotečni format strukturiran tako, da lahko programske aplikacije z lahkoto določajo, prepoznajo in izločajo določene podatke, vključno s posameznimi dejanskimi navedbami in njihovo notranjo strukturo;
7. ,odprti format‘ pomeni datotečni format, ki je neodvisen od uporabljene platforme in javnosti dostopen brez omejitev, ki preprečujejo ponovno uporabo dokumentov;
8. ,formalni odprti standard‘ je standard, ki se določi v pisni obliki in ki natančno opredeljuje zahteve za zagotavljanje interoperabilnosti programske opreme;
9. ,univerza‘ pomeni organ javnega sektorja, ki zagotavlja posrednješolsko visokošolsko izobrazbo, na podlagi katere je mogoče pridobiti visokošolsko diplomo.“
14. Člen 3 Direktive 2003/98, naslovljen „Splošno načelo“, določa:
„1. Ob upoštevanju odstavka 2 države članice zagotovijo, da se lahko dokumenti, za katere se uporablja ta direktiva v skladu s členom 1, ponovno uporabijo za komercialne ali nekomercialne namene v skladu s pogoji iz poglavij III in IV.
2. Za dokumente, na katerih imajo knjižnice, vključno z univerzitetnimi knjižnicami, muzeji in arhivi pravice intelektualne lastnine, države članice zagotovijo, da, kadar je ponovna uporaba takih dokumentov dovoljena, se ti dokumenti lahko ponovno uporabijo za komercialne ali nekomercialne namene v skladu s pogoji, določenimi v poglavjih III in IV.“
B. Latvijsko pravo
15. Člen 141(2) Ceļu satiksmes likums (zakon o cestnem prometu)(10) določa:
„Informacije o vozilu, ki je v lasti pravne osebe, […] o pravici posameznika do vožnje vozil, o globah za storitev prometnih prekrškov, ki so bile izrečene osebi ali niso bile plačane v zakonsko določenih rokih, in druge informacije, vpisane v nacionalni register vozil in njihovih voznikov [v nadaljevanju: nacionalni register vozil], ter v informacijski sistem o vlečnih napravah in voznikih, se štejejo za javno dostopne informacije.“
III. Dejansko stanje, postopek in vprašanja za predhodno odločanje
16. Oseba B, vlagatelj ustavne pritožbe v postopku pred predložitvenim sodiščem, je fizična oseba, ki so ji bile na podlagi zakona o cestnem prometu in povezanega odloka izrečene kazenske točke.(11) Ceļu satiksmes drošības direkcija (direktorat za varnost v cestnem prometu, Latvija; v nadaljevanju: CSDD) je javni organ, ki je te kazenske točke vpisal v nacionalni register vozil.
17. Ker se informacije o navedenih kazenskih točkah na zahtevo lahko sporočajo in ker so bile po navedbah osebe B posredovane več podjetjem, in sicer za ponovno uporabo, je oseba B pri predložitvenem sodišču vložila ustavno pritožbo, v kateri je izpodbijala skladnost člena 141(2) zakona o cestnem prometu s pravico do zasebnosti, ki je določena v členu 96 Latvijas Republikas Satversme (latvijska ustava).
18. Člen 141(2) zakona o cestnem prometu je sprejel Latvijas Republikas Saeima (latvijski parlament, v nadaljevanju: Saeima), zato je ta institucija sodelovala v postopku. Zaslišan je bil tudi CSDD, ki obdeluje zadevne podatke. Poleg tega so bili k temu, da podajo svoje mnenje kot amici curiae pred predložitvenim sodiščem, povabljeni tudi Datu valsts inspekcija (agencija za varstvo podatkov, Latvija), ki je v Latviji nadzorni organ v smislu člena 51 Splošne uredbe o varstvu podatkov, ter več drugih organov in oseb.
19. Saeima priznava, da lahko v skladu s sporno določbo vsakdo pridobi informacije o kazenskih točkah druge osebe, tako da bodisi poizve neposredno pri CSDD ali uporabi storitve, ki jih zagotavljajo komercialni ponovni uporabniki.
20. V teh okoliščinah Saeima meni, da je sporna določba zakonita, ker je utemeljena s ciljem izboljšanja varnosti v cestnem prometu, ki zahteva, da so storilci prometnih prekrškov javno identificirani, voznike pa odvrača od storitve prekrškov.
21. Poleg tega naj bi bilo treba upoštevati pravico dostopa do informacij, ki je določena v členu 100 latvijske ustave. Obdelava informacij o kazenskih točkah naj bi se vsekakor izvajala pod nadzorom javnega organa in v skladu z ustreznimi zaščitnimi ukrepi za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki.
22. Saeima dalje pojasnjuje, da se informacije iz nacionalnega registra vozil v praksi sporočajo, če oseba, ki zahteva informacije, navede nacionalno identifikacijsko številko voznika, o katerem poizveduje. Ta predpogoj za pridobitev informacij je pojasnjen z dejstvom, da je nacionalna identifikacijska številka drugače kakor ime posameznika edinstveni identifikator.
23. CSDD je predložitvenemu sodišču pojasnil delovanje sistema kazenskih točk in potrdil, da nacionalna zakonodaja ne določa nikakršnih omejitev javnega dostopa do podatkov o kazenskih točkah in njihove ponovne uporabe.
24. CSDD je tudi podrobneje predstavil pogodbe, sklenjene s komercialnimi ponovnimi uporabniki. Opozoril je, da te pogodbe ne določajo pravnega prenosa podatkov in da ponovni uporabniki zagotovijo, da informacije, ki jih posredujejo svojim strankam, ne presegajo tistih, ki jih je mogoče pridobiti od CSDD. Poleg tega naj bi bilo v enem od pogodbenih določil določeno, da mora kupec informacij te uporabljati, kakor je določeno v veljavni ureditvi in v skladu z nameni, navedenimi v pogodbi.
25. Agencija za varstvo podatkov je izrazila pomisleke glede skladnosti sporne določbe s členom 96 latvijske ustave. Ni izključila možnosti, da zadevna obdelava podatkov morda ni primerna ali ni sorazmerna.
26. Ta organ je navedel tudi, da čeprav statistični podatki o prometnih nesrečah v Latviji kažejo upad števila nesreč, pa ni dokazov, da k temu pozitivnemu trendu prispevata sistem kazenskih točk in javen dostop do informacij o njem.
27. Satversmes tiesa (ustavno sodišče) najprej ugotavlja, da se postopek, v katerem odloča, ne nanaša na člen 141(2) zakona o cestnem prometu v celoti, ampak samo na del, v katerem ta določba določa, da so informacije o kazenskih točkah, ki so vpisane v nacionalni register vozil, dostopne javnosti.
28. To sodišče poleg tega meni, da so kazenske točke osebni podatki in jih je torej treba obdelovati v skladu s pravico do spoštovanja zasebnega življenja. Poudarja, da je treba pri presoji področja uporabe člena 96 latvijske ustave upoštevati Splošno uredbo o varstvu podatkov, pa tudi člen 16 PDEU in člen 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).
29. Glede ciljev zakona o cestnem prometu predložitveno sodišče navaja, da se prekrški voznikov, ki so v Latviji opredeljeni kot upravni prekrški, vpisujejo v nacionalni register obsodb, kazenske točke pa v nacionalni register vozil zaradi vpliva na vedenje voznikov vozil in tako zmanjšanja tveganja za zdravje, življenje in premoženje oseb na minimum.
30. Nacionalni register obsodb naj bi bil edini register obsodb oseb, ki so storile prekrške (bodisi kazniva dejanja bodisi upravne prekrške), katerega namen je med drugim olajšati nadzor nad uporabo naloženih kazni. Nacionalni register vozil pa naj bi nasprotno omogočal vodenje evidence prekrškov v cestnem prometu in izvajanje ukrepov glede na število takih storjenih prekrškov. Sistem kazenskih točk naj bi bil namenjen izboljšanju varnosti v cestnem prometu z razlikovanjem voznikov, ki sistematično in zlonamerno kršijo cestnoprometne predpise, od voznikov, ki prekrške storijo občasno, in z vplivanjem na vedenje udeležencev v cestnem prometu z odvračanjem.
31. Predložitveno sodišče ugotavlja, da člen 14I(2) zakona o cestnem prometu vsakomur daje pravico, da od CSDD zahteva in pridobi informacije o kazenskih točkah, izrečenih voznikom, iz nacionalnega registra vozil. V praksi naj bi se informacije o kazenskih točkah osebi, ki jih zahteva, zagotovile, čim ta navede nacionalno identifikacijsko številko zadevnega voznika.
32. Satversmes tiesa (ustavno sodišče) nato pojasnjuje, da kazenske točke, ker so opredeljene kot javno dostopne informacije, spadajo na področje uporabe zakona o razkritju informacij in se zato smejo ponovno uporabiti za komercialne ali nekomercialne namene, ki niso prvotni namen, za katerega je bila informacija ustvarjena.
33. Da bi predložitveno sodišče lahko razložilo člen 96 latvijske ustave in ga uporabilo v skladu s pravom Unije, želi izvedeti, prvič, ali kazenske točke, kot so tiste, ki jih določa latvijska zakonodaja, spadajo na področje uporabe člena 10 Splošne uredbe o varstvu podatkov. Zlasti želi predložitveno sodišče ugotoviti, ali člen 141(2) zakona o cestnem prometu krši zahteve iz člena 10 Splošne uredbe o varstvu podatkov, da se obdelava podatkov iz tega člena lahko izvaja le „pod nadzorom uradnega organa“ ali če se zagotovijo „ustrezn[i] zaščitn[i] ukrep[i] za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki“.
34. Navedeno sodišče ugotavlja, da se je člen 8(5) Direktive 95/46, ki je presojo o tem, ali bi bilo treba posebna pravila za podatke o kaznivih dejanjih in kazenskih obsodbah razširiti na podatke o upravnih prekrških in kaznih, prepustil posameznim državam članicam, v Latviji izvajal s členom 12 Fizisko personu datu aizsardzības likums (zakon o varstvu podatkov fizičnih oseb), v skladu s katerim lahko osebne podatke o upravnih prekrških, tako kot podatke o kaznivih dejanjih in obsodbah, obdelujejo le z zakonom določene osebe in v z zakonom določenih primerih.
35. Iz tega naj bi sledilo, da so bile v Latviji več kot desetletje določene podobne zahteve za obdelavo osebnih podatkov o kaznivih dejanjih in obsodbah ter osebnih podatkov o upravnih prekrških.
36. Isto sodišče tudi ugotavlja, da je treba področje uporabe člena 10 Splošne uredbe o varstvu podatkov v skladu z uvodno izjavo 4 te uredbe presojati ob upoštevanju vloge temeljnih pravic v družbi. V zvezi s tem meni, da bi se cilj zagotavljanja, da predhodna obsodba osebe nima prekomernega negativnega učinka na njeno osebno in poklicno življenje, lahko uporabljal tako pri kazenskih obsodbah kot pri upravnih prekrških.
37. Drugič, Satversmes tiesa (ustavno sodišče) želi ugotoviti področje uporabe člena 5 Splošne uredbe o varstvu podatkov. Zlasti se sprašuje, ali je latvijski zakonodajalec glede na uvodno izjavo 39 te uredbe izpolnil obveznost iz člena 5(1)(f) Splošne uredbe o varstvu podatkov, da zagotovi, da se osebni podatki obdelujejo ob upoštevanju „celovitosti in zaupnosti“. Opozarja, da člen 141(2) zakona o cestnem prometu, na podlagi katerega je zato, ker dopušča dostop do informacij o kazenskih točkah, mogoče ugotoviti, ali je bila oseba kaznovana zaradi storitve cestnoprometnega prekrška, ni podprt s posebnimi ukrepi, ki bi zagotavljali varnost takšnih podatkov.
38. Tretjič, predložitveno sodišče želi izvedeti, ali je Direktiva 2003/98 upoštevna pri presoji združljivosti člena 141(2) zakona o cestnem prometu s členom 96 latvijske ustave. Poudarja, da je v skladu s to direktivo ponovno uporabo osebnih podatkov mogoče dovoliti samo ob spoštovanju pravice do zasebnosti.
39. Četrtič, glede na sodno prakso Sodišča, v skladu s katero ima razlaga prava Unije v predhodnih odločbah učinke erga omnes in ex tunc, se predložitveno sodišče sprašuje, ali bi v primeru nezdružljivosti člena 141(2) zakona o cestnem prometu s členom 96 latvijske ustave v povezavi s pravom Unije, kot ga razlaga Sodišče, vseeno lahko presodilo, da se pravni učinki navedenega člena 141(2) ohranijo do datuma razglasitve njegove sodbe, s katero bi bila ta določba razglašena za neustavno, glede na to, da bo ta sodba vplivala na številna pravna razmerja.
40. V zvezi s tem predložitveno sodišče pojasnjuje, da je treba v skladu z latvijskim pravom akt, ki je bil razglašen za neustavnega, šteti za ničnega od dne objave sodbe Satversmes tiesa (ustavno sodišče), razen če to sodišče ne odloči drugače. Obrazloži tudi svojo prakso, v skladu s katero želi pri določitvi datuma, od katerega določba, ki je bila razglašena za neustavno, ne bo več veljala, vzpostaviti ravnotežje med načelom pravne varnosti in temeljnimi pravicami različnih zadevnih strank.
41. V teh okoliščinah je Satversmes tiesa (ustavno sodišče) s sklepom z dne 4. junija 2019, ki ga je Sodišče prejelo 11. junija 2019, v predhodno odločanje predložilo ta vprašanja:
„1. Ali je treba pojem ,obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški [kaznivimi dejanji] ali s tem povezanimi varnostnimi ukrepi‘, uporabljen v členu 10 Splošne uredbe o varstvu podatkov, razlagati tako, da zajema obdelavo informacij o točkah, izrečenih voznikom za prometne prekrške, navedeno v sporni določbi?
2. Ne glede na odgovor na prvo vprašanje, ali se lahko določbe Splošne uredbe o varstvu podatkov, zlasti načelo ,celovitosti in zaupnosti‘, navedeno v členu 5(1)(f), razlagajo tako, da državam članicam prepovedujejo, da določijo, da so informacije o točkah, ki so bile izrečene voznikom za prometne prekrške, javno dostopne, in omogočijo obdelavo zadevnih podatkov z njihovo sporočitvijo?
3. Ali je treba uvodni izjavi 50 in 154, člen 5(1)(b), člen 10 Splošne uredbe o varstvu podatkov in člen 1(2)(cc) Direktive 2003/98/ES razlagati tako, da nasprotujejo zakonodaji države članice, ki dovoli posredovanje informacij o točkah, izrečenih voznikom za prometne prekrške, za njihovo ponovno uporabo?
4. Če je odgovor na katero od prejšnjih vprašanj pritrdilen, ali je treba načelo primarnosti prava Unije in načelo pravne varnosti razlagati tako, da bi bilo mogoče uporabiti sporne določbe in ohraniti njene pravne učinke do pravnomočnosti končne odločitve, ki jo bo sprejelo Satversmes tiesa (ustavno sodišče)?“
42. Pisna stališča so predložile latvijska, nizozemska, avstrijska in portugalska vlada ter Evropska komisija.
43. Sodišče je v okoliščinah, povezanih s širjenjem virusa SARS‑CoV‑2, odločilo, da se obravnava, ki je bila v tej zadevi določena za 11. maj 2020, odpove. V okviru ukrepov procesnega vodstva je Sodišče izjemoma odločilo, da to obravnavo nadomesti z vprašanji, na katera se odgovori pisno. Latvijska in švedska vlada ter Komisija so odgovorile na vprašanja, ki jim jih je postavilo Sodišče.
IV. Presoja
44. S tem predlogom za sprejetje predhodne odločbe se postavlja več temeljnih vprašanj glede Splošne uredbe o varstvu podatkov. Vendar se pri vseh teh vprašanjih predpostavlja, da se Splošna uredba o varstvu podatkov uporablja za obravnavano zadevo.(12) To vprašanje izpostavljam zato, ker področje kazenskih točk za prometne prekrške ni urejeno s pravom Evropske unije.
A. Področje uporabe Splošne uredbe o varstvu podatkov – člen 2(2)(a)
45. V skladu s členom 2(2)(a) Splošne uredbe o varstvu podatkov se ta uredba ne uporablja za obdelavo osebnih podatkov v okviru dejavnosti zunaj področja uporabe prava Unije. Jasno je, da medtem ko je v členu 2(1) Splošne uredbe o varstvu podatkov navedeno, kaj spada na področje uporabe te uredbe,(13) pa so v členu 2(2) štiri vrste dejavnosti izključene z njenega področja uporabe. Člen 2(2) Splošne uredbe o varstvu podatkov je treba kot izjemo od splošnega pravila razlagati ozko.(14)
46. Zakonodajalec Unije se je zato, da bi povečal stopnjo enotnosti prava Unije o varstvu podatkov, odločil kot obliko pravnega instrumenta uporabiti uredbo, zlasti da bi ustvaril enake konkurenčne pogoje za (gospodarske) subjekte na notranjem trgu ne glede na to, kje je njihov sedež.(15)
47. Člen 16 PDEU ne vsebuje le pravne podlage za sprejetje besedil, kot je Splošna uredba o varstvu podatkov, temveč je tudi splošneje, kot del naslova II prvega dela PDEU,(16) horizontalna določba ustavnega značaja, ki jo je treba upoštevati pri izvrševanju kakršne koli pristojnosti Unije.
48. Cilj Splošne uredbe o varstvu podatkov je – enako kot je bil cilj njene predhodnice, Direktive 95/46 – zagotoviti visoko raven varstva temeljnih pravic in svoboščin fizičnih oseb, zlasti njihove pravice do zasebnosti, pri obdelavi osebnih podatkov.(17)
49. Besedilo člena 2(2)(a) Splošne uredbe o varstvu podatkov v bistvu odraža besedilo člena 16(2) PDEU,(18) ki je pravna podlaga te uredbe iz primarnega prava. V skladu s členom 16(2) PDEU zakonodajalec Unije določi pravila o varstvu posameznikov, kadar države članice obdelujejo osebne podatke „v okviru dejavnosti s področja uporabe prava Unije[…], in o prostem pretoku takih podatkov“.(19) Ta določba je torej po naravi ugotovitvena. Analiza v nadaljevanju se zato enako nanaša na člen 2(2)(a) Splošne uredbe o varstvu podatkov in člen 16(2) PDEU.
50. Najprej je treba poudariti, da se besedilo člena 2(2)(a) Splošne uredbe o varstvu podatkov („dejavnost[…] zunaj področja uporabe prava Unije“) razlikuje od besedila člena 51(1) Listine,(20) v skladu s katerim se „[d]oločbe te listine […] uporabljajo za […] države članice […] samo, ko izvajajo pravo Unije“.(21)
51. Če bi bilo to treba razumeti kot indic, da je besedilo člena 2(2)(a) Splošne uredbe o varstvu podatkov širše od besedila člena 51(1) Listine,(22) glede na to, da je Sodišče člen 51(1) Listine razlagalo tako, da se Listina uporablja, „kadar nacionalna ureditev spada na področje uporabe prava Unije“,(23) se besedili teh dveh določb, kot ju razlaga Sodišče, vsebinsko ne razlikujeta.(24)
52. Ne glede na navedeno menim, da se ne sme iskati vzporednic s sodno prakso Sodišča glede področja uporabe Listine.(25) To bi bilo preveč omejevalno in v nasprotju s ciljem, ki se uresničuje s členom 16 PDEU in Splošno uredbo o varstvu podatkov. Sistematika Listine je namreč povsem drugačna od sistematike Splošne uredbe o varstvu podatkov: namen Listine je zamejiti izvajanje pristojnosti institucij Unije in držav članic, ko delujejo znotraj področja uporabe prava Unije, in, obratno, zagotoviti zaščito posameznikom pri uveljavljanju njihovih pravic. Nasprotno pa je varstvo osebnih podatkov več kot temeljna pravica. Kot je razvidno v členu 16 PDEU,(26) je varstvo podatkov samostojno področje politike Unije. Splošna uredba o varstvu podatkov je namenjena ravno temu, da se uporablja za katero koli obliko obdelave osebnih podatkov, ne glede na to, kateri subjekt je vpleten – in to torej ne glede na to, ali jo opravljajo države članice ali posamezniki. Če bi se besedilo člena 2(2)(a) Splošne uredbe o varstvu podatkov razlagalo ozko, bi se povsem onemogočila uresničitev tega cilja. Splošna uredba o varstvu podatkov, ki naj bi bila učinkovito orodje za varstvo podatkov, bi se izkazala za papirnatega zmaja.
53. V zvezi s tem je dober primer že sam obstoj določbe, kot je člen 10 Splošne uredbe o varstvu podatkov, ki bo podrobno razložen spodaj v okviru moje analize prvega vprašanja predložitvenega sodišča. Če se Splošna uredba o varstvu podatkov nanaša na „[o]bdelav[o] osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški [kaznivimi dejanji] ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6(1) [Splošne uredbe o varstvu podatkov]“,(27) kazenske obsodbe in kazniva dejanja pa so skoraj izključno določene v nacionalnem pravu in ne pravu Unije, ta uredba ne more imeti pomožne funkcije, kakršno ima Listina, razen če člen 10 Splošne uredbe o varstvu podatkov ni veljaven.
54. Enako velja za obstoj člena 87 Splošne uredbe o varstvu podatkov, ki državam članicam omogoča, da podrobneje določijo posebne pogoje za obdelavo nacionalne identifikacijske številke.(28)
55. Poleg tega je treba upoštevati uvodno izjavo 16 Splošne uredbe o varstvu podatkov, ki v nezavezujočem, a vseeno poučnem delu te uredbe odraža člen 2 te uredbe. V tej uvodni izjavi je nacionalna varnost navedena kot primer področja, ki ne spada na področje uporabe prava Unije. Enako velja za prav tako nezavezujočo izjavo v zvezi s členom 16 Pogodbe DEU,(29) v kateri je navedeno, da „je treba pri vsakem sprejemanju pravil o varstvu osebnih podatkov na podlagi člena 16 [PDEU], ki bi lahko neposredno vplivala na nacionalno varnost, to ustrezno upoštevati“, in v kateri je opozorjeno, da so v „Direktiv[i] 95/46 […] glede tega predvidene posebne izjeme“.(30)
56. Iz tega izrecnega poudarka na nacionalni varnosti so jasno razvidni nameni, ki so jih imeli avtorji Pogodbe DEU (člen 16 PDEU) in zakonodajalec Unije (člen 2(2)(a) Splošne uredbe o varstvu podatkov) pri pripravi teh določb.
57. Zakonodajalec Unije je drugje, a še vedno v okviru varstva podatkov, pojasnil, da je treba nacionalno varnost v tem okviru razumeti kot „državno varnost“.(31)
58. V zvezi s tem je treba člen 2(2)(a) Splošne uredbe o varstvu podatkov razlagati v povezavi s členom 4(2) PEU, ki določa, da mora Unija spoštovati temeljne državne funkcije držav članic,(32) in v zvezi s tem kot primer navaja, da „nacionalna varnost ostaja v izključni pristojnosti vsake države članice“. V členu 2(2)(a) Splošne uredbe o varstvu podatkov je ta ustavna zahteva glede jamstva za delovanje države zgolj opisno ponovljena.(33)
59. Na podlagi navedene analize ne morem upravičeno domnevati, da se s členom 2(2)(a) Splošne uredbe o varstvu podatkov uvaja preizkus z visoko postavljenim pragom, ki ga je treba doseči, da se začne ta uredba uporabljati, niti da je bil to namen zakonodajalca Unije.
60. Nazadnje, to analizo potrjuje tudi hiter pregled preostalih treh izjem od stvarnega področja uporabe Splošne uredbe o varstvu podatkov, ki so določene v členu 2(2), od (b) do (d). Splošna uredba o varstvu podatkov se tako ne uporablja, kadar države članice obdelujejo osebne podatke in izvajajo dejavnosti, ki spadajo na področje skupne zunanje in varnostne politike Evropske unije,(34) fizične osebe med potekom popolnoma osebne ali domače dejavnosti(35) in pristojni organi zaradi preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.(36)
61. Izključitev skupne zunanje in varnostne politike, ki ostaja pretežno medvladna, je povsem logična.(37) Popolnoma osebne in domače dejavnosti fizičnih oseb načeloma nikakor ne spadajo na področje uporabe prava Unije, ker jih ne ureja primarno ali sekundarno pravo. Enako načeloma velja za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali za izvrševanje kazenskih sankcij. Vendar je razlog za to zadnjo izjemo to, da je Unija sprejela posebno direktivo,(38) slučajno ravno na datum, ko je bila sprejeta Splošna uredba o varstvu podatkov. Poleg tega je iz člena 23(1)(d) Splošne uredbe o varstvu podatkov razvidno, da obdelava osebnih podatkov, ki jo izvajajo posamezniki za enake namene, spada na področje uporabe te uredbe.(39)
62. Da bi torej zadnji dve izjemi imeli normativni pravni učinek, ni mogoče šteti, da ne spadata na področje uporabe prava Unije v smislu člena 2(2)(a) Splošne uredbe o varstvu podatkov.
63. Končno, poudariti je treba, da ni jasnega dokaza za to, da bi Sodišče načeloma izvajalo strog preizkus glede področja uporabe Splošne uredbe o varstvu podatkov ali Direktive 95/46 na podlagi člena 2 Splošne uredbe o varstvu podatkov oziroma člena 3 Direktive 95/46.(40) Ravno nasprotno, Sodišče po navadi poudarja, da „uporaba Direktive 95/46 ne more biti odvisna od vprašanja, ali so dejanska stanja v postopkih v glavni stvari zadostno povezana z izvrševanjem temeljnih svoboščin, ki jih zagotavlja Pogodba“.(41)
64. Naj ta uvodni del analize glede pravilne razlage člena 2(2)(a) Splošne uredbe o varstvu podatkov zaključim tako, da se ta uredba uporablja za obdelavo osebnih podatkov v državi članici ali od države članice, razen če se ta obdelava ne izvaja na področju, ki ni v pristojnosti Unije.
65. Zato se Splošna uredba o varstvu podatkov uporablja za obravnavano zadevo in jo mora predložitveno sodišče upoštevati pri presoji veljavnosti nacionalnega prava.
B. Člen 86 Splošne uredbe o varstvu podatkov
66. Zaradi celovitosti bi želel na kratko obravnavati člen 86 Splošne uredbe o varstvu podatkov v obravnavani zadevi.
67. V skladu s tem členom lahko javni organ oziroma javno ali zasebno telo v skladu s pravom Unije ali pravom države članice, ki velja za javni organ ali telo, razkrije osebne podatke iz uradnih dokumentov, s katerimi razpolaga zaradi opravljanja nalog v javnem interesu, da se dostop javnosti do uradnih dokumentov uskladi s pravico do varstva osebnih podatkov v skladu s Splošno uredbo o varstvu podatkov.
68. S to določbo je zgolj priznan pomen dostopa javnosti do uradnih dokumentov. In, kot je pravilno opozorila Komisija, ta določba ne zagotavlja dodatnih navodil glede tega, kako bi bilo treba dostop javnosti do uradnih dokumentov uskladiti s predpisi o varstvu podatkov.(42) Po naravi je precej ugotovitvena in zato bolj podobna uvodni izjavi kot zavezujoči določbi pravnega besedila.(43) Zato menim, da „opisna norma“ člena 86 Splošne uredbe o varstvu podatkov ne vpliva na analizo, ki sledi.
C. Prvo vprašanje: kazenske točke v okviru člena 10 Splošne uredbe o varstvu podatkov
69. Predložitveno sodišče želi s prvim vprašanjem izvedeti, ali je treba člen 10 Splošne uredbe o varstvu podatkov razlagati tako, da zajema primere obdelave informacij, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške, kot je določeno v nacionalnem zakonu.
70. V skladu s to določbo se obdelava osebnih podatkov v zvezi s kazenskimi obsodbami in kaznivimi dejanji ali s tem povezanimi varnostnimi ukrepi na podlagi člena 6(1) Splošne uredbe o varstvu podatkov(44) izvaja le pod nadzorom uradnega organa.(45) Kakršni koli celoviti registri kazenskih obsodb se vodijo samo pod nadzorom uradnega organa.
71. Glede na to, da se zdi, da je CSDD vsekakor uradni – v smislu „javni“ – organ, bi se lahko podvomilo v upoštevnost prvega vprašanja in se vprašalo, ali je hipotetično v smislu sodne prakse Sodišča glede dopustnosti. Vendar takšne dvome zavračam in opozarjam, da se obravnavana zadeva nanaša tako na sporočanje kazenskih točk (ki jih sporoča CSDD) kot na to, da te podatke ponovno uporabijo druga telesa. Ker se prvo vprašanje nanaša na ta druga telesa, menim, da je dopustno.
1. Osebni podatki
72. Člen 4(1) Splošne uredbe o varstvu podatkov določa, da „osebni podatki“ pomenijo katero koli informacijo v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
73. Nobenega razloga ni za dvom o tem, da informacije v zvezi s kazenskimi točkami, izrečenimi voznikom za prometne prekrške, pomenijo osebne podatke v smislu člena 4(1) Splošne uredbe o varstvu podatkov.
2. … v zvezi s kazenskimi obsodbami in kaznivimi dejanji ali s tem povezanimi varnostnimi ukrepi
74. V zvezi z izrazom „prekrški [kazniva dejanja]“, navedenim v členu 10 Splošne uredbe o varstvu podatkov, je treba poudariti, da ni povsem jasno v vseh jezikovnih različicah te določbe, ali se ta nanaša samo na kazniva dejanja ali pa zajema tudi upravne prekrške. Najbolj naravna in logična razlaga angleške različice je, da je izraz „criminal“ postavljen tako rekoč pred oklepaj in se nanaša tako na „convictions“ (obsodbe) kot na „offences“ (kazniva dejanja). Nekatere jezikovne različice(46) v zvezi s tem niso dvomljive: uporabljeni izraz je treba v smislu člena 10 Splošne uredbe o varstvu podatkov razumeti kot „kazniva dejanja“. Druge jezikovne različice(47) pa so dvoumne, saj omogočajo več kot eno razlago. Latvijska jezikovna različica (saistītiem drošības pasākumiem), torej različica, ki jo predložitveno sodišče verjetno najbolje pozna, je prav tako dvoumna. V tej različici ne samo, da ni podrobno določeno, ali so „prekrški [kazniva dejanja]“ (pārkāpumi) kazenske narave, temveč je odprto tudi vprašanje, ali so kazenske narave „obsodbe“ (sodāmība).(48)
75. Čeprav se različne jezikovne različice lahko zdijo raznolike, je na tem mestu kljub temu mogoče priti do nekaterih ugotovitev.
76. Vsi uradni jeziki Evropske unije so verodostojni jeziki aktov, v katerih so sestavljeni, tako da je treba vsem jezikovnim različicam nekega akta Unije načeloma priznati enako vrednost.(49) Za razlago določbe prava Unije je tako treba primerjati njene jezikovne različice.(50) Poleg tega je treba različne jezikovne različice besedila prava Unije razlagati enotno.(51)
77. V teh okoliščinah je treba za pravilen šteti pomen „natančnejših“ jezikovnih različic, zlasti zato, ker je ta natančnejši pomen tudi ena od možnih razlag manj natančnih jezikovnih različic, pri katerih je mogoče reči, da je razlaga, po kateri so zadevna ravnanja zgolj „kazniva dejanja“, ena od možnosti. V tej fazi lahko torej začasno ugotovim, da se na podlagi primerjalne razlage različnih jezikovnih različic člena 10 Splošne uredbe o varstvu podatkov izraz „kazenski“ nanaša tako na „obsodbe“ kot na „prekrške [kazniva dejanja]“.(52)
78. Ta predlagana razlaga člena 10 Splošne uredbe o varstvu podatkov poleg tega ohranja razlikovanje iz predhodnika tega člena, to je člena 8(5) Direktive 95/46. V skladu s to predhodno določbo se je za obdelovanje podatkov o kazenskih obsodbah in kaznivih dejanjih zahteval nadzor uradnega organa,(53) medtem ko je za upravne kazni obstajala možnost, da se za obdelovanje podatkov zahteva tak nadzor.(54) Če bi se v členu 8(5) Direktive 95/46 izraz „prekrški [kazniva dejanja]“ razumel tako, da zajema „upravne prekrške“, bi bil drugi del te določbe odvečen.
79. Pri tej ugotovitvi še vedno ostane odprto vprašanje, kaj natančno je treba razumeti z izrazom „kazniva dejanja“.
80. Prvo vprašanje v zvezi s tem je, ali je ta izraz avtonomen izraz prava Unije ali pa je njegova razlaga prepuščena državam članicam.
81. V skladu z ustaljeno sodno prakso Sodišča iz zahtev po enotni uporabi prava Unije in načela enakosti izhaja, da je treba besedilo določbe prava Unije, ki se za opredelitev svojega pomena in obsega ne sklicuje izrecno na pravo držav članic, navadno razlagati avtonomno in enotno v celotni Uniji.(55) Pri tej razlagi je treba upoštevati besedilo, cilje in sobesedilo zadevne določbe ter celoto določb prava Unije. Tudi zgodovina nastanka določbe prava Unije lahko vsebuje elemente, ki so upoštevni za njeno razlago.(56)
82. V tem okviru je jasno, da kazenska zakonodaja in predpisi kazenskega postopka načeloma spadajo v pristojnost držav članic.(57) Zato so države članice tiste, ki lahko določijo, kaj je kaznivo dejanje.(58)
83. Ker pa se je zakonodajalec Unije odločil za pravno obliko uredbe, in ne direktive, menim, da bi bilo treba v vsej Uniji upoštevati enotno razlago izrazov iz te uredbe, da se zagotovita njena splošna uporaba in neposredna uporaba v vseh državah članicah v skladu s členom 288(2) PDEU.
84. Podobno obstajajo indici, da se zakonodajalec Unije ni želel sklicevati na nacionalno pravo (nacionalna prava) glede razlage izraza „kazniva dejanja“. Tako je v uvodni izjavi 13 Direktive 2016/680(59) navedeno, da bi moralo biti kaznivo dejanje v smislu te direktive avtonomen pojem prava Unije, kot ga razlaga Sodišče Evropske unije. V smislu a maiore ad minus menim, da takšna ugotovitev velja tudi za Splošno uredbo o varstvu podatkov, ki je kot uredba, kot je bilo navedeno zgoraj, pravni akt, ki ima samodejno višjo stopnjo integracije in centralizacije.
85. Drugo vprašanje, pri katerem je treba ugotoviti, ali se zadevni osebni podatki nanašajo na kazenske obsodbe in kazniva dejanja ali s tem povezane varnostne ukrepe v smislu člena 10 Splošne uredbe o varstvu podatkov, je težje.
86. Sodišče je predhodno imelo priložnost odločati o opredelitvi „kaznivega dejanja“ v okviru načela ne bis in idem(60) iz člena 50 Listine.(61)
87. V zvezi s tem se Sodišče opira na sodno prakso Evropskega sodišča za človekove pravice,(62) v skladu s katero so za opredelitev pojma „kazenski postopek“ upoštevna tri merila: pravna opredelitev kršitve v nacionalnem pravu, narava kršitve ter vrsta in teža sankcije, ki se lahko izreče kršitelju.(63)
88. Menim, da kazenskih točk, kot so tiste, ki jih nalaga zadevni nacionalni predpis, na podlagi te sodne prakse ni mogoče opredeliti kot kaznivo dejanje, saj ne izpolnjujejo teh meril. Zlasti niso zelo stroge narave.(64)
89. Nazadnje bi rad poudaril, da na podlagi te analize ni treba preučiti razmejitve med členom 10 Splošne uredbe o varstvu podatkov in določbami Direktive 2016/680, saj se ta direktiva ne uporablja v obravnavani zadevi.
3. Predlagani odgovor
90. Predlagam torej, naj se na prvo vprašanje odgovori, da je treba člen 10 Splošne uredbe o varstvu podatkov razlagati tako, da ne zajema primerov obdelave informacij, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške, kot je določena z nacionalnim predpisom, kakršen je člen 141(2) zakona o cestnem prometu.
D. Drugo vprašanje: sporočanje kazenskih točk
91. Predložitveno sodišče želi z drugim vprašanjem v bistvu izvedeti, ali določbe Splošne uredbe o varstvu podatkov nasprotujejo temu, da država članica obdeluje in sporoča informacije, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške.
92. Čeprav predložitveno sodišče kot primer navaja načelo celovitosti in zaupnosti iz člena 5(1)(f) Splošne uredbe o varstvu podatkov,(65) je vprašanje postavljeno široko, saj se nanaša na vse določbe te uredbe.(66) Analiza bo v nadaljevanju torej razširjena še na druge določbe Splošne uredbe o varstvu podatkov, kot je tista, ki jo predložitveno sodišče navaja v svojem vprašanju.
93. Kakršna koli obdelava osebnih podatkov mora biti po eni strani v skladu z načeli glede kakovosti podatkov, ki so določena v členu 5 Splošne uredbe o varstvu podatkov, in po drugi strani ustrezati enemu od meril za zakonitost obdelave podatkov, ki so navedena v členu 6 te uredbe.(67) Iz besedila teh dveh določb se lahko sklepa, da so prvonavedena kumulativna,(68) zadnjenavedena pa alternativna.(69)
94. Drugo vprašanje se nanaša na načela v zvezi s kakovostjo podatkov. Zdi se, da predložitveno sodišče povsem upravičeno domneva, da CSDD obdeluje podatke, in nima pomislekov glede vpisovanja kazenskih točk, ampak glede sporočanja točk na zahtevo.
95. CSDD je nedvomno „upravljavec“ v smislu člena 4, točka 7, Splošne uredbe o varstvu podatkov, ki obdeluje osebne podatke v smislu člena 4, točka 2, te uredbe, tako da vpisuje kazenske točke v nacionalni register vozil.
96. Dovolj je spomniti, da je Sodišče v zvezi z javnim „registrom družb“ razsodilo, da organ, ki je odgovoren za vodenje registra, s tem, da informacije vpiše v register in jih hrani ter po potrebi posreduje tretjim, izvaja „obdelavo osebnih podatkov“, zaradi česar je „upravljavec“ v smislu opredelitev teh izrazov iz Direktive 95/46,(70) ki sta predhodnici opredelitev iz člena 4, točki 2 in 7, Splošne uredbe o varstvu podatkov.(71)
1. Člen 5(1)(f) Splošne uredbe o varstvu podatkov: celovitost in zaupnost
97. S tem se postavlja vprašanje, ali sta bili načeli celovitosti in zaupnosti, navedeni v členu 5(1)(f) Splošne uredbe o varstvu podatkov – to je določbi, na katero se v svojem vprašanju sklicuje samo predložitveno sodišče – spoštovani.
98. V skladu s členom 5(1)(f) Splošne uredbe o varstvu podatkov se osebni podatki obdelujejo na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi.
99. Kot je jasno iz besedila te določbe, se ta nanaša na varnostne, tehnične in organizacijske ukrepe v zvezi z obdelavo osebnih podatkov.(72) Gre za splošne formalne zahteve glede varnosti podatkov.(73)
100. Predložitveno sodišče želi, nasprotno, pridobiti bolj temeljne smernice glede pravne možnosti takšne obdelave. Drugače in bolj figurativno povedano, sprašuje po smernicah v zvezi s tem, ali je obdelava osebnih podatkov možna, medtem ko je v členu 5(1)(f) Splošne uredbe o varstvu podatkov določeno, kako se obdelujejo ti podatki. Zato člen 5(1)(f) Splošne uredbe o varstvu podatkov za obravnavano zadevo ni upošteven.
2. Člen 5(1)(a) Splošne uredbe o varstvu podatkov: zakonitost, pravičnost in preglednost
101. V skladu s členom 5(1)(a) Splošne uredbe o varstvu podatkov se osebni podatki obdelujejo zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki.
102. Navesti je treba, da se izraz „zakonitost“ pojavi v členu 5(1)(a) in členu 6 Splošne uredbe o varstvu podatkov. Razlaga člena 5 v povezavi s podrobnimi zahtevami iz člena 6 te uredbe ne bi bila preveč smiselna z vidika priprave zakonodaje, če bi člen 5 vseboval tudi merila iz člena 6 Splošne uredbe o varstvu podatkov.
103. Zakonitost v smislu člena 5(1)(a) Splošne uredbe o varstvu podatkov je treba namesto tega razlagati v povezavi z uvodno izjavo 40 te uredbe,(74) ki zahteva, da obdelava temelji bodisi na privolitvi bodisi drugi pravni podlagi, določeni z zakonom.(75)
104. Pri tem (obstaja pravna podlaga v nacionalnem pravu) ne vidim nobenega razloga za dvom o zakonitosti obdelave v obravnavani zadevi.(76)
105. Strinjam se torej z navedbami avstrijske vlade,(77) da to načelo ni upoštevno za dejansko stanje iz obravnavane zadeve.
3. Člen 5(1)(b) Splošne uredbe o varstvu podatkov: omejitev namena
106. Člen 5(1)(b) Splošne uredbe o varstvu podatkov določa načelo „omejitve namena“ s tem, da določa, da so osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni.(78)
107. Predložitveno sodišče pojasnjuje, da se z zadevno določbo, to je členom 141(2) zakona o cestnem prometu, uresničuje cilj varnosti v cestnem prometu z razkrivanjem voznikov, ki kršijo predpise. Zdi se, da ima sporočanje kazenskih točk določen, izrecen in zakonit namen. Poleg tega ni videti, da obdelava osebnih podatkov ne bi bila združljiva s tem namenom.
4. Člen 5(1)(c) Splošne uredbe o varstvu podatkov: najmanjši obseg podatkov
108. V skladu s členom 5(1)(c) Splošne uredbe o varstvu podatkov načelo najmanjšega obsega podatkov zahteva, da so osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. V skladu s tem je v uvodni izjavi 39 Splošne uredbe o varstvu podatkov navedeno, da naj bi se osebni podatki obdelovali le, če namena obdelave ni mogoče razumno doseči z drugimi sredstvi.
109. Tako kot druga načela iz člena 5(1) Splošne uredbe o varstvu podatkov, to načelo razumem tako, da odraža načelo sorazmernosti,(79) zaradi česar menim, da je na tej točki primerno preučiti, ali je zadevna nacionalna zakonodaja sorazmerna s ciljem, ki se želi z njo doseči.
110. V skladu z ustaljeno sodno prakso načelo sorazmernosti kot splošno načelo prava Unije zahteva, da morajo biti ukrepi, sprejeti z akti Unije, primerni za uresničitev zastavljenega cilja in ne smejo prekoračiti okvirov, ki so potrebni za njegovo dosego.(80)
111. Člen 141(2) zakona o cestnem prometu mora biti namreč primeren in potreben, da se z njim uresničuje zadevni zatrjevani cilj, to je izboljšanje varnosti v cestnem prometu.
a) Primernost
112. Prvi zatrjevani cilj zadevnega nacionalnega predpisa je omogočiti identifikacijo voznikov vozil, ki sistematično in resno kršijo cestnoprometne predpise. Jasno je, da identifikacija storilcev cestnoprometnih prekrškov nikakor ni odvisna od javnega značaja (splošne dostopnosti) kazenskih točk, izrečenih storilcu prekrška. Javni organ je edini odgovoren za natančno identifikacijo storilcev takih prekrškov in vodenje evidence kazenskih točk, ki so jim izrečene, tako da sledijo ustrezne pravne posledice in da se lahko uporabijo upoštevne sankcije.
113. Drugi cilj določbe nacionalnega prava, ki dovoljuje razkritje zadevnih osebnih podatkov, ki ga navaja Saeima, je preventivno vplivati na vedenje udeležencev v cestnem prometu, da so morebitni storilci prekrškov odvrnjeni od nadaljnjih kršitev. V zvezi s tem bi bilo mogoče priznati, da ima to, da bi bila vsakomur dana možnost, da se seznani s kršitelji cestnoprometnih predpisov, lahko določen odvračilni učinek: številni vozniki bi verjetno ugovarjali temu, da bi bile takšne informacije o njih razkrite splošni javnosti, da jih ne bi označili za kršitelje zakona.
114. Ta namen je jasno naveden tudi v členu 43 I zakona o cestnem prometu kot cilj, ki se uresničuje z uvedbo sistema kazenskih točk. Precej očitno je, da je javnost kazenskih točk lahko do neke mere dodaten odvračilni dejavnik. Sporna določba bi tako načeloma lahko bila v skladu z zastavljenim ciljem splošnega interesa, ki je izboljšati varnost v cestnem prometu in preprečiti prometne nesreče.
115. Vendar se, če se dostop do zadevnih osebnih podatkov omogoči samo na zahtevo in če prosilec navede osebno identifikacijsko številko zadevne osebe, postavlja vprašanje, kako težko je pridobiti to številko. Težje kot je namreč pridobiti takšne podatke, manjši je odvračilni učinek režima razkritja, saj je sama javna dostopnost teh podatkov odvisna od drugih dejavnikov, ki jih je težko predvideti.
116. Zaradi tega imam resne pomisleke glede primernosti zadevnega nacionalnega predpisa.
117. Predložitveno sodišče mora ob upoštevanju vseh okoliščin obravnavane zadeve odločiti, ali je člen 141(2) zakona o cestnem prometu dejansko primeren za dosego legitimnega cilja izboljšanja varnosti v cestnem prometu.
b) Potrebnost
118. Glede vprašanja potrebnosti, torej zahteve, da zadevni ukrep ne sme presegati tega, kar je potrebno za dosego zastavljenega cilja, se zdi položaj jasnejši.
119. Tudi v tem primeru mora predložitveno sodišče ob upoštevanju vseh okoliščin obravnavane zadeve odločiti, ali je sporna določba dejansko potrebna. Vendar pa mi na podlagi razpoložljivih informacij ni jasno, kako bi bilo mogoče sporno določbo kakor koli šteti za potrebno.
120. Čeprav je cilj izboljšanja varnosti v cestnem prometu pomemben, je treba vzpostaviti ustrezno ravnotežje med različnimi obstoječimi interesi, zaradi česar mora nacionalni zakonodajalec presoditi, ali razkritje zadevnih osebnih podatkov presega to, kar je potrebno za dosego zastavljenih legitimnih ciljev, pri čemer mora upoštevati zlasti kršitev temeljnih pravic, do katere pride zaradi takšnega razkritja.
121. V predložitveni odločbi ni navedeno, ali je Saeima pred sprejetjem sporne določbe preučil druga sredstva za doseganje cilja izboljšanja varnosti v cestnem prometu, ki bi privedla do manjšega posega v pravico posameznikov do varstva podatkov. Poleg tega mora biti zakonodajalec zmožen dokazati, da bi odstopanja od varstva podatkov in njegove omejitve strogo upoštevali določene meje. Pred objavo niza podatkov (ali pred sprejetjem zakona, ki zahteva njegovo objavo) je treba izvesti podrobno oceno učinka na varstvo podatkov, vključno z oceno možnosti za ponovno uporabo in morebitni učinek ponovne uporabe.
122. Obstoj in točnost takšnih informacij sta bistvena za sprejetje odločitve o tem, ali je mogoče cilja spodbujanja varnosti v cestnem prometu in zmanjševanja števila prometnih nesreč doseči z ukrepi, ki bi manj škodili pravicam zadevnih oseb, in tako preprečiti ali vsaj omiliti kršitev varstva, ki ga zagotavlja člen 8 Listine.
123. Vdor v zasebnost, povzročen z objavo podatkov o prekrških in naloženih kaznih, je sam po sebi precejšen: splošni javnosti so razkrite informacije o prekrških, ki jih je storil posameznik. Poleg tega ni mogoče izključiti, da lahko takšna obdelava podatkov, ki je neločljivo povezana z objavo zadevnih podatkov, privede do stigmatizacije storilca prekrška in drugih negativnih posledic. Zato morajo biti takšni „črni seznami“ predmet stroge ureditve.
124. Nazadnje, kot je navedla agencija za varstvo podatkov, iz preventivnega značaja sporne določbe in statističnih podatkov, ki kažejo ugoden trend, to je upad števila prometnih nesreč, ni razvidno, da je to zmanjšanje povezano z uvedbo sistema kazenskih točk samega po sebi ali dejstvom, da so informacije o izrečenih kazenskih točkah javno dostopne.
5. Predlagani odgovor
125. Moj predlog Sodišču glede odgovora na drugo vprašanje je torej, da člen 5(1)(c) Splošne uredbe o varstvu podatkov nasprotuje nacionalnemu predpisu, kot je člen 141(2) zakona o cestnem prometu, ki omogoča obdelavo in sporočanje informacij, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške.
E. Tretje vprašanje: ponovna uporaba osebnih podatkov
1. Direktiva 2003/98
126. Kot je določeno v členu 1(1) Direktive 2003/98, ta direktiva določa minimalni nabor pravil, ki urejajo ponovno uporabo in praktična sredstva za olajšanje ponovne uporabe obstoječih dokumentov, ki jih hranijo organi javnega sektorja držav članic.
127. Za obravnavane namene je mogoče predpostaviti, da se kazenske točke v Latviji vpisujejo v dokumente, ki jih poleg tega hrani CSDD kot organ javnega sektorja v smislu te določbe.
128. Vendar to ne spada na področje uporabe Direktive 2003/98, saj njen člen 1(2)(cc) določa, da se ta direktiva ne uporablja za dokumente, do katerih ni dostopa ali do katerih režimi dostopa omejujejo dostop zaradi varstva osebnih podatkov.(81) Poleg tega člen 1(4) Direktive 2003/98 določa, da ta direktiva ne posega v raven varstva posameznikov pri obdelavi osebnih podatkov in v nobenem primeru ne vpliva nanjo v skladu z določbami zakonodaje Unije in državne zakonodaje ter še zlasti ne spreminja obveznosti in pravic iz Splošne uredbe o varstvu podatkov.(82)
129. Iz teh določb izhaja, da je treba zadevno obdelavo osebnih podatkov presojati glede na pravila Unije o varstvu podatkov, to je Splošno uredbo o varstvu podatkov, in ne glede na Direktivo 2003/98.(83)
2. Ponovna uporaba
130. Kot pravilno poudarja predložitveno sodišče, če se lahko informacija o kazenskih točkah, izrečenih voznikom za prometne prekrške, sporoči komur koli, vključno z gospodarskimi subjekti, ki nameravajo ponovno uporabiti informacijo, ni mogoče ugotoviti namenov nadaljnje obdelave podatkov niti oceniti, ali se osebni podatki obdelujejo na način, ki ni združljiv z navedenimi nameni.
131. Ob upoštevanju navedenega se moja analiza drugega vprašanja za predhodno odločanje v celoti uporablja ne le mutatis mutandis, temveč tudi a fortiori: zasebna podjetja bi lahko zamikalo, da bi osebne podatke uporabila za komercialne namene, to je za namene, ki niso združljivi z namenom obdelave, ki je povečati varnost v cestnem prometu.
132. Poleg tega možnost, da bi tretje osebe dalje obdelovale osebne podatke, očitno presega omejitev namena, ki je določena v členu 5(1)(b) Splošne uredbe o varstvu podatkov.
3. Predlagani odgovor
133. Predlagam torej, naj se na tretje vprašanje odgovori, da nacionalnega predpisa, kot je člen 141(2) zakona o cestnem prometu, ki omogoča obdelavo in sporočanje informacij, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške, tudi za ponovno uporabo, ne urejajo določbe Direktive 2003/98. Poleg tega takemu predpisu nasprotuje člen 5(1)(c) Splošne uredbe o varstvu podatkov.
F. Četrto vprašanje
134. Predložitveno sodišče želi s četrtim vprašanjem izvedeti, ali bi bilo, če bi se ugotovilo, da je zadevni nacionalni predpis v nasprotju s pravom Unije, mogoče uporabiti sporno določbo in ohraniti njene pravne učinke do pravnomočnosti končne odločitve, ki jo bo sprejelo Satversmes tiesa (ustavno sodišče).
135. Predložitveno sodišče torej predlaga, da se pravni učinki sporne določbe ohranijo, dokler ne izreče dokončne odločitve.
136. V skladu z ustaljeno sodno prakso Sodišča razlaga pravila prava Unije, ki jo Sodišče poda pri izvrševanju pristojnosti na podlagi člena 267 PDEU, pojasnjuje in natančneje določa pomen in obseg tega pravila, kot ga je treba ali bi ga bilo treba razumeti in uporabljati od datuma začetka njegove veljave.(84) Iz tega izhaja, da sodišče tako razloženo pravilo lahko uporabi in ga mora uporabiti za pravna razmerja, ki so nastala in so bila oblikovana, preden je bila izdana sodba o predlogu za razlago, če so tudi sicer izpolnjeni pogoji za predložitev spora o uporabi navedenega pravila pristojnim sodiščem.(85) Sodišče sme le izjemoma z uporabo splošnega načela pravne varnosti, ki je del pravnega reda Unije, omejiti možnost katerega koli zainteresiranega, da bi se za izpodbijanje pravnih razmerij, ki so nastala v dobri veri, skliceval na določbo, ki jo je razložilo.(86)
137. Vsekakor lahko pogoje za morebitno odložitev določi samo Sodišče(87) in to z utemeljenim razlogom: sicer bi nacionalno sodišče lahko odložilo učinke te odločitve, s čimer bi vplivalo na njen značaj erga omnes, katerega glavni namen je zagotavljati enotno uporabo prava Unije in pravno varnost v vseh državah članicah ter ustvariti enake konkurenčne pogoje za države članice, državljane in gospodarske subjekte. V zvezi s tem ni mogoče dopustiti, da bi predpisi nacionalnega prava, čeprav so ustavnopravni, posegali v enotnost in učinkovitost prava Unije.(88)
138. Za določitev take omejitve morata biti izpolnjena dva bistvena pogoja, in sicer dobra vera zainteresiranih in nevarnost resnih težav.(89)
139. Dodati je treba, da je Sodišče le izjemoma(90) izbralo tako rešitev in še to le v natančno določenih okoliščinah: ko je na eni strani obstajala nevarnost resnih gospodarskih posledic zlasti zaradi velikega števila pravnih razmerij, ki so bila vzpostavljena v dobri veri na podlagi ureditve, za katero se je štelo, da zakonito velja, in ko se je na drugi strani izkazalo, da so bili posamezniki in nacionalni organi zaradi objektivne in precejšnje negotovosti glede obsega določb prava Unije spodbujeni k ravnanju, ki ni bilo v skladu s pravom Unije, pri čemer je k tej negotovosti morda prispevalo tudi ravnanje drugih držav članic ali Unije.(91)
140. V obravnavani zadevi iz informacij iz predložitvene odločbe ni mogoče sklepati, da bi bila prizadeta številna pravna razmerja, vzpostavljena v dobri veri na podlagi sporne določbe, in da bi bilo zato posebej težko zagotoviti skladnost ex tunc s predhodno odločbo Sodišča, s katero je bila navedena določba razglašena za nezdružljivo s pravom Unije.
141. Iz tega izhaja, da časovnih učinkov sodbe Sodišča v obravnavani zadevi ni treba omejiti.
142. Zato predlagam, naj se na četrto vprašanje odgovori, da ni mogoče uporabiti sporne določbe in ohraniti njenih pravnih učinkov do pravnomočnosti končne odločitve, ki jo bo sprejelo Satversmes tiesa (ustavno sodišče).
V. Predlog
143. Ob upoštevanju navedenega Sodišču predlagam, naj na vprašanja, ki jih je predložilo Satversmes tiesa (ustavno sodišče, Latvija), odgovori:
1. Člen 10 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da ne zajema primerov obdelave osebnih podatkov, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške, kot je določena z nacionalnim predpisom, kakršen je člen 141(2) Ceļu satiksmes likums (zakon o cestnem prometu).
2. Člen 5(1)(c) Uredbe 2016/679 nasprotuje temu, da država članica obdeluje in sporoča osebne podatke, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške.
3. Člen 5(1)(b) in (c) Uredbe 2016/679 nasprotuje temu, da država članica obdeluje in sporoča osebne podatke, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške, kadar je to sporočanje namenjeno ponovni uporabi.
4. Direktiva 2003/98/ES Evropskega parlamenta in Sveta z dne 17. novembra 2003 o ponovni uporabi informacij javnega sektorja ne ureja obdelave in sporočanja osebnih podatkov, ki se nanašajo na kazenske točke, izrečene voznikom za prometne prekrške, tudi za ponovno uporabo.
5. Sporne določbe ni mogoče uporabiti in njenih pravnih učinkov ni mogoče ohraniti do pravnomočnosti končne odločitve, ki jo bo sprejelo Satversmes tiesa (ustavno sodišče).