PRESUDA SUDA (treće vijeće)
28. travnja 2022.(*)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 80. – Zastupanje ispitanika od strane neprofitne udruge – Predstavnička tužba koju je podnijela udruga za zaštitu interesa potrošača bez mandata i neovisno o tome jesu li povrijeđena konkretna prava ispitanika – Tužba koja se temelji na zabrani nepoštene poslovne prakse, povredi zakona u području zaštite potrošača ili zabrani korištenja ništavih općih uvjeta”
U predmetu C‑319/20,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Bundesgerichtshof (Savezni sud, Njemačka), odlukom od 28. svibnja 2020., koju je Sud zaprimio 15. srpnja 2020., u postupku
Meta platforms Ireland Limited, prije Facebook Ireland Limited,
protiv
Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V.,
SUD (treće vijeće),
u sastavu: A. Prechal, predsjednica drugog vijeća, u svojstvu predsjednika trećeg vijeća, J. Passer, F. Biltgen, L. S. Rossi (izvjestiteljica) i N. Wahl, suci,
nezavisni odvjetnik: J. Richard de la Tour,
tajnik: M. Krausenböck, administratorica,
uzimajući u obzir pisani postupak i nakon rasprave održane 23. rujna 2021.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Meta Platforms Ireland Limited, H.-G. Kamann, M. Braun i H. Frey, Rechtsanwälte i V. Wettner, Rechtsanwältin,
– za Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V., P. Wassermann, Rechtsanwalt,
– za njemačku vladu D. Klebs i J. Möller, u svojstvu agenata,
– za austrijsku vladu, A. Posch, G. Kunnert i J. Schmoll, u svojstvu agenata,
– za portugalsku vladu, L. Inez Fernandes, C. Vieira Guerra, P. Barros da Costa i L. Medeiros, u svojstvu agenata,
– za Europsku komisiju, u početku F. Erlbacher, H. Kranenborg i D. Nardi, a zatim F. Erlbacher i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 2. prosinca 2021.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 80. stavaka 1. i 2. i članka 84. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.; u daljnjem tekstu: GDPR).
2 Zahtjev je upućen u okviru spora između društva Meta Platforms Ireland Limited, prije Facebook Ireland Limited, čije se sjedište nalazi u Irskoj, i Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Savezna unija organizacija i udruga potrošača, Njemačka) (u daljnjem tekstu: Savezna unija) u vezi s povredom od strane društva Meta Platforms Ireland njemačkog zakonodavstva o zaštiti osobnih podataka koja istodobno predstavlja nepoštenu poslovnu praksu, povredu zakona u području zaštite potrošača i povredu zabrane korištenja ništavih općih uvjeta.
Pravni okvir
Pravo Unije
GDPR
3 U uvodnim izjavama 9., 10., 13. i 142. GDPR‑a navodi se:
„(9) Ciljevi i načela Direktive [95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)] i dalje su utemeljeni, no njome nisu spriječeni rascjepkanost provedbe zaštite podataka u Uniji, pravna nesigurnost ili rasprostranjeno javno mišljenje da osobito kod internetskih aktivnosti postoje znatni rizici povezani sa zaštitom pojedinaca. Razlike u razini zaštite prava i sloboda pojedinaca, a posebno prava na zaštitu osobnih podataka, koje pružaju države članice u vezi s obradom osobnih podataka mogu spriječiti slobodni protok osobnih podataka u Uniji. Te razlike stoga mogu predstavljati prepreku obavljanju gospodarskih djelatnosti na razini Unije, narušiti tržišno natjecanje te spriječiti nadležna tijela u ispunjenju njihovih odgovornosti na temelju prava Unije. Do takve razlike u razinama zaštite došlo je zbog postojanja razlika u provedbi i primjeni Direktive [95/46].
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]
[…]
(13) Kako bi se osigurala dosljedna razina zaštite pojedinaca širom Unije i spriječila razilaženja koja ometaju slobodno kretanje osobnih podataka na unutarnjem tržištu, potrebna je Uredba radi pružanja pravne sigurnosti i transparentnosti gospodarskim subjektima, uključujući mikropoduzeća, mala i srednja poduzeća, te pružanja pojedincima u svim državama članicama istu razinu pravno primjenjivih prava i obveza te odgovornosti za voditelje obrade i izvršitelje obrade kako bi se osiguralo postojano praćenje obrade osobnih podataka i jednake sankcije u svim državama članicama, kao i djelotvornu suradnju između nadzornih tijela različitih država članica. […]
[…]
(142) Ako ispitanik smatra da su prekršena njegova prava iz ove Uredbe, trebao bi imati pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa i koje je aktivno u području zaštite osobnih podataka, da nadzornom tijelu podnese pritužbu u njegovo ime, da ostvari pravo na pravni lijek u ime ispitanikâ ili da ostvari pravo na naknadu u ime ispitanikâ ako je to predviđeno pravom države članice. Država članica može predvidjeti da takvo tijelo, organizacija ili udruženje ima pravo, neovisno o mandatu ispitanika, podnijeti u toj državi članici pritužbu i imati pravo na učinkoviti pravni lijek ako ima razloga smatrati da je do kršenja prava ispitanika došlo zbog obrade osobnih podataka kojom se krši ova Uredba. Tom tijelu, organizaciji ili udruženju ne smije biti dopušteno tražiti naknadu u ime ispitanika neovisno o mandatu ispitanika.”
4 Članak 1. te uredbe, naslovljen „Predmet i ciljevi”, u stavku 1. određuje:
„Ovom se Uredbom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka.”
5 U skladu s člankom 4. točkom 1. zakona GDPR‑a:
„Za potrebe ove Uredbe primjenjuju se sljedeće definicije:
1. ,osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (,ispitanik’); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca.”
6 Poglavlje III. GDPR‑a, koje sadržava članke 12. do 23., naslovljeno je „Prava ispitanika”.
7 U članku 12. te uredbe naslovljenom „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika” u stavku 1. navodi se:
„Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je identitet ispitanika utvrđen drugim sredstvima.”
8 U članku 13. GDPR‑a, naslovljenom „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. točkama (c) i (e) propisuje se:
„Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:
[…]
(c) svrhe obrade kojoj su namijenjeni osobni podaci kao i pravnu osnovu za obradu;
[…]
(e) primatelje ili kategorije primatelja osobnih podataka, ako ih ima […]”
9 Poglavlje VIII. navedene uredbe, koje sadržava članke 77. do 84., naslovljeno je „Pravna sredstva, odgovornost i sankcije”.
10 Članak 77. stavak 1. GDPR‑a‚ naslovljen „Pravo na pritužbu nadzornom tijelu”‚ glasi:
„Ne dovodeći u pitanje druga upravna ili sudska pravna sredstva, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.”
11 U članku 78. GDPR‑a‚ naslovljenom „Pravo na učinkoviti pravni lijek protiv nadzornog tijela”‚ u njegovim stavcima 1. i 2. navodi se:
„Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.”
12 Članak 79. stavak 1. GDPR‑a‚ naslovljen „Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade”‚ glasi:
„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj Uredbi prekršena njegova prava iz ove Uredbe.”
13 Članak 80. GDPR‑a, naslovljen „Zastupanje ispitanika”, formuliran je kako slijedi:
„1. Ispitanik ima pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje, koje je pravilno osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njegovih osobnih podataka, da podnesu pritužbu u njegovo ime i da ostvaruju prava iz članaka 77., 78. i 79. u njegovo ime te da ostvaruju pravo na naknadu iz članka 82. u ime ispitanika ako je to predviđeno pravom države članice.
2. Države članice mogu predvidjeti da svako tijelo, organizacija ili udruženje iz stavka 1. ovog članka, neovisno o mandatu ispitanika, ima pravo u toj državi članici podnijeti pritužbu nadzornom tijelu nadležnom u skladu s člankom 77. i ostvarivati prava iz članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka prekršena prava ispitanika iz ove Uredbe.”
14 Članak 82. te Uredbe, pod naslovom „Pravo na naknadu štete i odgovornost”, u stavku 1. određuje:
„Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.”
15 Člankom 84. GDPR‑a, naslovljenim „Ograničenja”, njegovim stavkom 1., određuje se:
„Države članice utvrđuju pravila o ostalim sankcijama koje se primjenjuju na kršenja odredaba ove Uredbe, posebno za kršenja koja ne podliježu administrativnim sankcijama iz članka 83., te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba. Te sankcije moraju biti učinkovite, proporcionalne i odvraćajuće.”
Direktiva 2005/29/EZ
16 Cilj Direktive 2005/29/EZ Europskog parlamenta i Vijeća od 11. svibnja 2005. o nepoštenoj poslovnoj praksi poslovnog subjekta u odnosu prema potrošaču na unutarnjem tržištu i o izmjeni Direktive Vijeća 84/450/EEZ, direktiva 97/7/EZ, 98/27/EZ i 2002/65/EZ Europskog parlamenta i Vijeća, kao i Uredbe (EZ) br. 2006/2004 Europskog parlamenta i Vijeća (Direktiva o nepoštenoj poslovnoj praksi) (SL 2005., L 149, str. 22.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 8., str. 101.) jest, u skladu s njezinim člankom 1., doprinijeti urednom funkcioniranju unutarnjeg tržišta i postići visok stupanj zaštite potrošača putem usklađivanja zakona i drugih propisa država članica o nepoštenoj poslovnoj praksi koja šteti gospodarskim interesima potrošača.
17 Članak 5. te direktive, naslovljen „Zabrana nepoštene poslovne prakse”, glasi:
„1. Nepoštena poslovna praksa se zabranjuje.
2. Poslovna praksa je nepoštena:
(a) ako je u suprotnosti sa zahtjevima u pogledu profesionalne pažnje;
i
(b) ako bitno narušava ili je vjerojatno da će narušiti gospodarsko ponašanje prosječnog potrošača do kojeg dopire odnosno kojem je namijenjena, u odnosu na proizvod, odnosno gospodarsko ponašanje prosječnog člana skupine ako je poslovna praksa usmjerena određenoj skupini potrošača.
[…]
5. Prilog I. sadrži popis postupaka koji predstavljaju takvu praksu, a koji se u svim okolnostima smatraju nepoštenima. […]”
18 Člankom 11. stavkom 1. te direktive naslovljenim „Provedba”, propisano je:
„1. Države članice osiguravaju postojanje prikladnih i učinkovitih sredstava za borbu protiv nepoštene poslovne prakse, s ciljem provedbe usklađenosti s odredbama ove Direktive u interesu potrošača.
Takva sredstva uključuju pravne odredbe prema kojima osobe odnosno organizacije za koje se prema nacionalnom pravu smatra da imaju zakoniti interes u borbi protiv nepoštene poslovne prakse, uključujući i konkurente na tržištu, mogu:
(a) iskoristiti pravno sredstvo protiv takve nepoštene poslovne prakse;
i/ili
(b) iznijeti takvu nepoštenu poslovnu praksu pred upravno tijelo nadležno bilo za odlučivanje o pritužbama ili za pokretanje primjerenog pravnog postupka.
Na svakoj je državi članici da odluči koji će od tih instrumenata biti raspoloživ te hoće li sudovima odnosno upravnim tijelima omogućiti da zahtijevaju prethodnu uporabu drugih priznatih sredstava rješavanja žalbi, uključujući ona iz članka 10. Ti su instrumenti raspoloživi bez obzira na to nalaze li se pogođeni potrošači na državnom području države članice u kojoj je smješten trgovac ili u drugoj državi članici.
[…]”
19 U Prilogu I. Direktivi 2005/29, koji sadržava popis poslovnih praksi koje se u svim okolnostima smatraju nepoštenima, u točki 26. određuje se:
„Ustrajno, a neželjeno nuđenje telefonom, faksom, e‑poštom ili drugim sredstvom daljinske komunikacije, osim u slučaju i u mjeri u kojoj je to opravdano radi nacionalnim propisima predviđenog ispunjenja ugovorne obveze. To ne dovodi u pitanje […] direktive Vijeća 95/46/EZ […]”
Direktiva 2009/22/EZ
20 U skladu s člankom 1. Direktive 2009/22/EZ Europskog parlamenta i Vijeća od 23. travnja 2009. o sudskim nalozima za zaštitu interesa potrošača (SL 2009., L 110, str. 30.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 1., str. 269.) naslovljenim „Područje primjene”:
„1. Cilj je ove Direktive uskladiti zakone i druge propise država članica koji se odnose na postupke za dobivanje sudskog naloga iz članka 2. s ciljem zaštite kolektivnih interesa potrošača obuhvaćenih direktivama iz Priloga I., radi osiguravanja neometanog funkcioniranja unutarnjeg tržišta.
2. Za potrebe ove Direktive, povreda je svaka radnja koja je u suprotnosti s direktivama iz Priloga I., kako su prenesene u unutarnji pravni sustav država članica, i koja nanosi štetu kolektivnim interesima iz stavka 1.”
21 Članak 7. Direktive 2009/22, naslovljen „Odredbe za proširenje djelovanja”, glasi:
„Ova Direktiva ne sprečava države članice da donesu ili ostave na snazi odredbe na temelju kojih se kvalificiranim subjektima i drugim predmetnim osobama dodjeljuju veća prava za pokretanje postupka na nacionalnoj razini.”
22 Prilog I. Direktivi 2009/22 sadržava popis direktiva Unije iz njezina članka 1. U točki 11. tog priloga navodi se Direktiva 2005/29.
Direktiva (EU) 2020/1828
23 Uvodne izjave 11., 13. i 15. Direktive (EU) 2020/1828 Europskog parlamenta i Vijeća od 25. studenoga 2020. o predstavničkim tužbama za zaštitu kolektivnih interesa potrošačâ i stavljanju izvan snage Direktive 2009/22 (SL 2020., L 409, str. 1.) glase:
„(11) Ovom Direktivom ne bi se trebali zamijeniti postojeći nacionalni postupovni mehanizmi za zaštitu kolektivnih ili pojedinačnih interesa potrošačâ. Uzimajući u obzir njihove pravne tradicije, državama članicama trebala bi se prepustiti odluka o tome hoće li oblikovati postupovni mehanizam za predstavničke tužbe koji se zahtijeva ovom Direktivom kao dio postojećeg ili kao dio novog postupovnog mehanizma za kolektivne mjere zabrane ili mjere popravljanja štete, ili kao različit postupovni mehanizam, pod uvjetom da je barem jedan nacionalni postupovni mehanizam za predstavničke tužbe usklađen s ovom Direktivom. […] Ako uz postupovne mehanizme koji se zahtijevaju ovom Direktivom postoje postupovni mehanizmi i na nacionalnoj razini, kvalificirani subjekt trebao bi moći birati koji će postupovni mehanizam koristiti.
[…]
(13) Područje primjene ove Direktive trebalo bi odražavati najnovija kretanja u području zaštite potrošača. Budući da su potrošači sada aktivni na širem i sve digitaliziranijem tržištu, postizanje visoke razine zaštite potrošača zahtijeva da se uz opće pravo o zaštiti potrošača Direktivom obuhvate područja kao što su zaštita podataka, financijske usluge, putovanja i turizam, energetika te telekomunikacije. […]
[…]
(15) Ovom se Direktivom ne bi trebali dovoditi u pitanje pravni akti s popisa u Prilogu I. te se stoga njome ne bi trebale mijenjati ili proširivati definicije utvrđene u tim pravnim aktima niti bi ona trebala zamijeniti ijedan provedbeni mehanizam koji može biti sadržan u tim pravnim aktima. Primjerice, provedbeni mehanizmi predviđeni u [GDPR‑u] ili koji se na toj uredbi temelje, mogli bi se i dalje, ako je to primjenjivo, koristiti za zaštitu kolektivnih interesa potrošačâ.”
24 Članak 2. te direktive, naslovljen „Područje primjene”, u svojem stavku 1. predviđa:
„Ova Direktiva primjenjuje se na predstavničke tužbe podnesene protiv povreda odredaba prava Unije iz Priloga I., uključujući takve odredbe kako su prenesene u nacionalno pravo, koje vrše trgovci, a koje štete ili mogu naštetiti kolektivnim interesima potrošačâ. Ovom Direktivom ne dovode se u pitanje odredbe prava Unije iz Priloga I. […]”
25 Člankom 24. stavkom 1. navedene direktive naslovljenom „Prenošenje” određuje se:
„Države članice najkasnije do 25. prosinca 2022. donose i objavljuju zakone i druge propise koji su potrebni radi usklađivanja s ovom Direktivom. One o tome odmah obavješćuju Komisiju.
One primjenjuju te mjere od 25. lipnja 2023.
[…]”
26 Prilog I. Direktivi 2020/1828, koji sadržava popis odredbi prava Unije iz njezina članka 2. stavka 1., u točki 56. navodi GDPR.
Njemačko pravo
Zakon o tužbama za prestanak povrede
27 U skladu s člankom 2. Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößena (Unterlassungsklagengesetz – UKlaG) (Zakon o tužbama za prestanak povrede potrošačkih i drugih prava), od 26. studenoga 2001. (BGBl. 2001. I, str. 3138.), u verziji primjenjivoj u glavnom postupku (u daljnjem tekstu: Zakon o tužbama za prestanak povrede):
„(1) U slučaju povrede pravila o zaštiti potrošača (Zakon o zaštiti potrošača), na način koji ne uključuje upotrebu ili preporuku općih uvjeta, može se naložiti prestanak povrede ubuduće i trenutačni prestanak povrede u interesu zaštite potrošača. […]
(2) U smislu ove odredbe, zakoni o zaštiti potrošača osobito znače:
[…]
11. pravila kojima se definira zakonitost
(a) prikupljanja osobnih podataka potrošača od strane poduzetnika ili
(b) obrade ili korištenja osobnih podataka koje je o potrošaču prikupio poduzetnik,
ako se podaci prikupljaju, obrađuju ili se njima koristi za potrebe oglašavanja, istraživanja tržišta i javnog mnijenja, vođenja obavještajne agencije, izrade osobnih i korisničkih profila, ostalog trgovanja podacima ili za slične komercijalne potrebe.”
28 Bundesgerichtshof (Savezni vrhovni sud, Njemačka) navodi da, na temelju članka 3. stavka 1. prve rečenice točke 1. Zakona o tužbama za prestanak povrede, tijela koja imaju aktivnu procesnu legitimaciju u smislu članka 4. tog zakona mogu, s jedne strane, u skladu s člankom 1. navedenog zakona, zahtijevati prestanak korištenja općih uvjeta koji su ništavi na temelju članka 307. Bürgerliches Gesetzbucha (Građanski zakonik) i, s druge strane, zahtijevati prestanak zakonodavnih povreda u području zaštite potrošača u smislu članka 2. stavka 2. tog zakona.
Zakon o suzbijanju nepoštenog tržišnog natjecanja
29 Članak 3. stavak 1. Gesetza gegen den unlauteren Wettbewerb (Zakon o suzbijanju nepoštenog tržišnog natjecanja) od 3. srpnja 2004. (BGBl., 2004. I, str. 1414.) u verziji koja se primjenjuje u glavnom postupku (u daljnjem tekstu: Zakon o suzbijanju nepoštenog tržišnog natjecanja), određuje:
„Nepoštena poslovna praksa nezakonita je.”
30 Članak 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja glasi:
„Tko povrijedi zakonsku odredbu namijenjenu, među ostalim, uređenju djelovanja na tržištu u interesu njegovih sudionika, čini akt nepoštenog tržišnog natjecanja ako ta povreda može znatno utjecati na interese potrošača, drugih sudionika na tržištu ili konkurenata.”
31 Članak 8. Zakona o suzbijanju nepoštenog tržišnog natjecanja glasi:
„(1) Svaka poslovna praksa koja je nezakonita na temelju članka 3. ili članka 7. može dovesti do izdavanja naloga o prestanku aktivnosti te, u slučaju opasnosti od ponavljanja povrede, naloga o prestanku povrede ili zabrani. […]
[…]
(3) Izdavanje naloga iz stavka 1. mogu zatražiti:
[…]
3. kvalificirani subjekti koji podnesu dokaz da su uvršteni na popis kvalificiranih subjekata, u skladu s člankom 4. [Zakona o tužbama za prestanak povrede] […]”
Zakon o elektroničkim medijima
32 Bundesgerichtshof (Savezni sud, Njemačka) navodi da je članak 13. stavak 1. Telemediengesetza (Zakon o elektroničkim medijima) od 26. veljače 2007. (BGBl., 2007. I, str. 179.), bio primjenjiv do stupanja na snagu GDPR‑a. Od tog datuma ta je odredba zamijenjena člancima 12. do 14. GDPR‑a.
33 U skladu s člankom 13. stavkom 1. prvom rečenicom Zakona o elektroničkim medijima:
„Pružatelj usluga dužan je korisnika od samog početka uporabe obavijestiti, u općenito razumljivom obliku, o prirodi, opsegu i svrsi prikupljanja i uporabe osobnih podataka te o obradi njegovih podataka u državama na koje se ne primjenjuje Direktiva 95/46 […], osim ako korisnik o tome već nije bio obaviješten.”
Glavni postupak i prethodno pitanje
34 Društvo Meta Platforms Ireland, koje upravlja ponudom usluga internetske društvene mreže Facebook u Uniji, voditelj je obrade osobnih podataka korisnika te društvene mreže u Uniji. Društvo Facebook Germany GmbH, sa sjedištem u Njemačkoj, na adresi www.facebook.de promiče prodaju oglasnog prostora. Internetska platforma Facebook, među ostalim, na internetskoj adresi www.facebook.de sadržava prostor pod nazivom „App‑Zentrum” (Centar za aplikacije) na kojem društvo Meta Platforms Ireland nudi korisnicima pristup besplatnim igrama trećih osoba. Tijekom pregledavanja Centra za aplikacije nekih od tih igara korisnik vidi naznaku prema kojoj uporaba dotične aplikacije omogućuje društvu koje je isporučilo igru dobivanje određenog broja osobnih podataka i ovlašćuje ga da vrši objave u ime tog korisnika, kao što je objava njegova rezultata i drugih informacija. Posljedica tog korištenja je da navedeni korisnik prihvaća opće uvjete korištenja i njegovu politiku u području zaštite podataka. Usto, za pojedinu igru je navedeno da se aplikaciji dopušta objaviti status, slike i druge informacije u ime tog korisnika.
35 Savezna unija, tijelo koje ima aktivnu procesnu legitimaciju na temelju članka 4. Zakona o tužbama za prestanak povrede, smatra da su podaci koje predmetne igre pružaju u Centru za aplikacije nepoštene, osobito u smislu nepoštovanja zakonskih uvjeta koji se primjenjuju na dobivanje valjane privole korisnika na temelju odredaba o zaštiti podataka. Osim toga, smatra da je naznaka prema kojem je aplikacija ovlaštena u ime korisnika objaviti određene njegove osobne informacije opći uvjet kojim se korisnik neopravdano stavlja u nepovoljniji položaj.
36 U tom kontekstu, Savezna unija podnijela je Landgerichtu Berlin (Zemaljski sud u Berlinu, Njemačka) tužbu za prestanak povrede protiv društva Meta Platforms Ireland na temelju članka 3.a Zakona za suzbijanje nepoštenog tržišnog natjecanja, članka 2. stavka 2. prve rečenice točke 11. Zakona o tužbama za prestanak povrede i Građanskog zakonika. Tu tužbu tužitelj je podnio neovisno o tome jesu li povrijeđena konkretna prava na zaštitu podataka ispitanika i bez njegova mandata.
37 Landgericht Berlin (Zemaljski sud u Berlinu) donio je presudu protiv društva Meta Platforms Ireland u skladu sa zahtjevima Savezne unije. Žalba društva Meta Platforms Ireland podnesena Kammergerichtu Berlin (Visoki zemaljski sud u Berlinu, Njemačka) je odbijena. Društvo Meta Platforms Ireland je stoga sudu koji je uputio zahtjev podnijelo reviziju protiv odluke žalbenog suda o odbijanju.
38 Sud koji je uputio zahtjev smatra da je tužba Savezne unije osnovana jer je društvo Meta platforms Ireland povrijedilo članak 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja i članak 2. stavak 2. prvu rečenicu točku 11. Zakona o tužbama za prestanak povrede te je primijenilo opći uvjet koji je ništav u smislu članka 1. Zakona o tužbama za prestanak povrede.
39 Međutim, taj sud dvoji o dopuštenosti tužbe Savezne unije. Naime, smatra da nije isključeno to da je Savezna unija, koja je imala aktivnu procesnu legitimaciju na dan podnošenja svoje tužbe – na temelju članka 8. stavka 3. Zakona o suzbijanju nepoštenog tržišnog natjecanja i članka 3. stavka 1. prve rečenice točke 1. Zakona o tužbama za prestanak povrede – izgubila to svojstvo tijekom postupka, nakon stupanja na snagu GDPR‑a, a osobito njegova članka 80. stavaka 1. i 2. i članka 84. stavka 1. U tom slučaju sud koji je uputio zahtjev trebao bi prihvatiti reviziju društva Meta platforms Ireland i odbiti tužbu Savezne unije, s obzirom na to da, u skladu s relevantnim postupovnim odredbama njemačkog prava, aktivna procesna legitimacija mora postojati do okončanja postupka u posljednjem stupnju.
40 Prema mišljenju suda koji je uputio zahtjev, odgovor u tom pogledu nije jasan iz ocjene teksta, strukture ni cilja odredbi GDPR‑a.
41 Što se tiče teksta odredbi GDPR‑a, sud koji je uputio zahtjev ističe da postojanje aktivne procesne legitimacije neprofitnih tijela, organizacija ili udruga koje su valjano osnovane u skladu s pravom države članice na temelju članka 80. stavka 1. GDPR‑a pretpostavlja da je ispitanik dao mandat tijelu, organizaciji ili udruženju kako bi u njegovo ime izvršavalo prava iz članaka 77. do 79. GDPR‑a i pravo na naknadu štete iz članka 82. GDPR‑a ako je ona predviđena pravom države članice.
42 Sud koji je uputio zahtjev ističe da aktivna procesna legitimacija na temelju članka 8. stavka 3. točke 3. Zakona o suzbijanju nepoštenog tržišnog natjecanja ne predviđa takvu tužbu podnesenu na temelju mandata i u ime ispitanika kako bi on ostvario svoja osobna prava. Naprotiv, njime se udruzi, na temelju prava koje ima i koje proizlazi iz članka 3. stavka 1. i članka 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja, daje objektivnu aktivnu procesnu legitimaciju protiv povreda odredbi GDPR‑a, neovisno o tome jesu li povrijeđena konkretna prava ispitanikâ i mandata koji oni daju.
43 Osim toga, sud koji je uputio zahtjev primjećuje da se člankom 80. stavkom 2. GDPR‑a ne predviđa aktivna procesna legitimacija udruge kako bi se na objektivan način primijenilo pravo na zaštitu osobnih podataka s obzirom na to da ta odredba pretpostavlja da su prava ispitanika predviđena GDPR‑om stvarno povrijeđena konkretnom obradom podataka.
44 Nadalje, aktivna procesna legitimacija udruge, poput one predviđene u članku 8. stavku 3. Zakona o suzbijanju nepoštenog tržišnog natjecanja, ne može proizlaziti iz članka 84. stavka 1. GDPR‑a, na temelju kojeg države članice utvrđuju pravila o ostalim sankcijama koje se primjenjuju u slučaju povrede te uredbe te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba. Naime, aktivna procesna legitimacija udruge, poput one iz članka 8. stavka 3. Zakona o suzbijanju nepoštenog tržišnog natjecanja, ne može se smatrati „sankcijom” u smislu te odredbe GDPR‑a.
45 Što se tiče strukture odredbi GDPR‑a, sud koji je uputio zahtjev smatra da se iz činjenice da su njome, među ostalim, usklađene ovlasti nadzornih tijela može zaključiti da je ponajprije na tim tijelima da provjere primjenu odredbi te uredbe. Međutim, izraz „[n]e dovodeći u pitanje druga […] pravna sredstva” iz članka 77. stavka 1., članka 78. stavaka 1. i 2. te članka 79. stavka 1. GDPR‑a može opovrgnuti tezu da navedena uredba iscrpno uređuje nadzor nad primjenom prava.
46 Glede cilja odredbi GDPR‑a, sud koji je uputio zahtjev navodi da njihov koristan učinak može također ići u prilog postojanju aktivne procesne legitimacije udruga na temelju prava tržišnog natjecanja, u skladu s člankom 8. stavkom 3. točkom 3. Zakona o suzbijanju nepoštenog tržišnog natjecanja, neovisno o tome jesu li povrijeđena konkretna prava ispitanikâ, s obzirom na to da bi se time zadržala dodatna mogućnost nadzora nad primjenom prava, kako bi se osigurala što viša razina zaštite osobnih podataka, u skladu s uvodnom izjavom 10. GDPR‑a. Međutim, prihvatiti aktivnu procesnu legitimaciju udruga na temelju prava tržišnog natjecanja moglo bi se smatrati protivnim cilju usklađivanja koji je zadan GDPR‑om.
47 U tim je okolnostima Bundesgerichtshof (Savezni vrhovni sud) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:
„Protive li se odredbama iz poglavlja VIII. [GDPR‑a], osobito njezinu članku 80. stavcima 1. i 2. te članku 84. stavku 1. nacionalni propisi koji, pored ovlasti intervencije koje imaju nadzorna tijela nadležna za praćenje i provedbu te uredbe i mogućnosti pružanja pravne zaštite ispitanicima, priznaju ovlast s jedne strane konkurentima, a s druge strane udrugama, tijelima i vijećima ovlaštenima u skladu s nacionalnim pravom da zbog povreda [GDPR‑a], neovisno o tome jesu li povrijeđena konkretna prava pojedinačnih ispitanika i bez ispitanikova davanja ovlaštenja za postupanje protiv osobe koja je počinila povredu, podnesu tužbu pred građanskim sudovima u pogledu zabrane nepoštenih poslovnih praksi, povrede određenog zakona o zaštiti potrošača ili zabrane primjene ništavih općih uvjeta poslovanja?”
O prethodnom pitanju
48 Najprije valja istaknuti da se, kao što to proizlazi, među ostalim, iz točke 36. kao i točaka 41. do 44. ove presude, spor u glavnom postupku vodi između udruge za zaštitu interesa potrošača, kao što je to Savezna unija, i društva Meta platforms Ireland te se odnosi na pitanje može li takva udruga pokrenuti postupak protiv tog društva bez mandata danog u tu svrhu i neovisno o tome jesu li povrijeđena konkretna prava ispitanikâ.
49 U tim okolnostima, kao što je to Komisija pravilno istaknula u svojim pisanim očitovanjima, odgovor na prethodno pitanje ovisi isključivo o tumačenju članka 80. stavka 2. GDPR‑a s obzirom na to da odredbe članka 80. stavka 1. GDPR‑a i članka 84. GDPR‑a nisu relevantne u ovom slučaju. Naime, s jedne strane, primjena članka 80. stavka 1. GDPR‑a pretpostavlja da je ispitanika ovlastilo neprofitno tijelo, organizacija ili udruga iz te odredbe kako bi u njegovo ime poduzela pravne mjere predviđene u člancima 77. do 79. GDPR‑a. Međutim, nesporno je da to nije slučaj u okviru glavnog postupka s obzirom na to da Savezna unija postupa neovisno o bilo kakvom mandatu ispitanika. S druge strane, nesporno je da se članak 84. GDPR‑a odnosi na upravne i kaznene sankcije koje se primjenjuju na temelju povreda te uredbe, što također nije upitno u glavnom postupku.
50 Osim toga, valja istaknuti da se u predmetu u glavnom postupku ne postavlja pitanje procesne legitimacije konkurenta. Slijedom toga, valja odgovoriti samo na dio pitanja koje se odnosi na aktivnu procesnu legitimaciju udruga, tijela i vijeća ovlaštenih na temelju nacionalnog prava iz članka 80. stavka 2. GDPR‑a.
51 Stoga pitanje koje je sud koji je uputio zahtjev postavio treba shvatiti na način da se njime, u biti, pita treba li članak 80. stavak 2. GDPR‑a, tumačiti na način da mu se protivi nacionalni propis kojim se udrugama za zaštitu interesa potrošača omogućuje da pokrenu postupak, a da im pritom nije dan mandat u tu svrhu i neovisno o tome jesu li povrijeđena konkretna prava ispitanika,
protiv navodnog počinitelja povrede zaštite osobnih podataka, tako da navedu povredu zabrane nepoštene poslovne prakse, povrede zakona u području zaštite potrošača ili zabrane korištenja ništavih općih uvjeta.
52 Kako bi se odgovorilo na to pitanje, valja podsjetiti na to, kako proizlazi iz uvodne izjave 10. GDPR‑a, da je njegov cilj‚ među ostalim‚ osigurati dosljednu i ujednačenu primjenu pravila o zaštiti temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka u cijeloj Uniji i ukloniti prepreke protoku osobnih podataka unutar Unije.
53 U tom kontekstu poglavlje VIII. te uredbe uređuje, među ostalim, pravne lijekove koji omogućuju zaštitu prava ispitanika kada su osobni podaci koji se na njega odnose predmet obrade koja je navodno u suprotnosti s odredbama navedene uredbe. Zaštita tih prava može se stoga izravno zahtijevati od ispitanika ili subjekta koji je u tu svrhu ovlašten na temelju članka 80. GDPR‑a, pri čemu ima ili nema mandat u tu svrhu.
54 Tako, prije svega, ispitanik ima pravo sam podnijeti pritužbu nadzornom tijelu države članice ili tužbu pred nacionalnim građanskim sudovima. Konkretnije, ta osoba ima pravo podnijeti pritužbu nadzornom tijelu u skladu s člankom 77. GDPR‑a, pravo na učinkoviti pravni lijek protiv nadzornog tijela na temelju članka 78. GDPR‑a, pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade predviđeno člankom 79. GDPR‑a te pravo na dobivanje od voditelja obrade ili izvršitelja obrade naknade pretrpljene štete u skladu s člankom 82. GDPR‑a.
55 Nadalje, u skladu s člankom 80. stavkom 1. GDPR‑a, ispitanik ima pravo, pod određenim uvjetima, ovlastiti neprofitna tijela, organizacije ili udruženja kako bi one podnijele prigovor ili u njegovo ime ostvarivala prava iz gore navedenih članaka.
56 Naposljetku, u skladu s člankom 80. stavkom 2. GDPR‑a, države članice mogu predvidjeti da svako tijelo, organizacija ili udruženje, neovisno o mandatu ispitanika, ima pravo u predmetnoj državi članici podnijeti pritužbu nadzornom tijelu u skladu s člankom 77. te uredbe i ostvarivati prava iz njezinih članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka povrijeđena prava ispitanika iz ove Uredbe.
57 U tom pogledu valja istaknuti da se, kao što to proizlazi iz članka 1. stavka 1. GDPR‑a, u vezi s, među ostalim, njegovom 9., 10. i 13. uvodnom izjavom, tom uredbom nastoji osigurati usklađivanje nacionalnih zakonodavstava o zaštiti osobnih podataka koje je u načelu potpuno. Međutim, odredbe navedene uredbe otvaraju mogućnost državama članicama da predvide dodatna, stroža ili odstupajuća nacionalna pravila koja im ostavljaju marginu prosudbe o načinu na koji se te odredbe mogu primijeniti („odstupajuće klauzule”).
58 Naime valja podsjetiti na to da‚ prema ustaljenoj sudskoj praksi Suda‚ na temelju članka 288. UFEU‑a i zbog same prirode uredbi i njihove uloge u sustavu izvora prava Unije‚ odredbe uredbi općenito imaju izravan učinak u nacionalnim pravnim porecima a da nacionalna tijela pritom nisu dužna poduzeti provedbene mjere. Međutim‚ za primjenu nekih od tih odredaba može biti potrebno da države članice usvoje provedbene mjere (presuda od 15. lipnja 2021.‚ Facebook Ireland i dr., C‑645/19, EU:C:2021:483‚ t. 110. i navedena sudska praksa).
59 To je osobito slučaj s člankom 80. stavkom 2. GDPR‑a, kojim se državama članicama ostavlja margina prosudbe u pogledu njegove provedbe. Stoga, da bi se predstavnička tužba bez mandata u području zaštite osobnih podataka predviđena tom odredbom mogla podnijeti, države članice moraju iskoristiti mogućnost koju im on nudi da u svojem nacionalnom pravu predvide taj način zastupanja ispitanikâ.
60 Međutim, kao što je to naveo nezavisni odvjetnik u točkama 51. i 52. svojeg mišljenja, kada države članice iskoriste mogućnost koja im je dodijeljena takvom odstupajućom klauzulom, one moraju koristiti svoju marginu prosudbe pod uvjetima i ograničenjima predviđenima odredbama GDPR‑a te stoga moraju donijeti zakone ne dovodeći u pitanje sadržaj i ciljeve te uredbe.
61 U ovom slučaju, kao što je to potvrdila njemačka vlada na raspravi u ovom predmetu, njemački zakonodavac nakon stupanja na snagu GDPR‑a nije donio posebne odredbe kojima se u svojem nacionalnom pravu posebno provodi članak 80. stavak 2. te uredbe. Naime, nacionalni propis o kojem je riječ u glavnom postupku, donesen radi osiguranja prenošenja Direktive 2009/22, već omogućuje udrugama za zaštitu interesa potrošača da pokrenu postupak pred sudom protiv navodnog počinitelja povrede zaštite osobnih podataka. Osim toga, ta vlada ističe da je Sud u svojoj presudi od 29. srpnja 2019., Fashion ID (C‑40/17, EU:C:2019:629) koja se odnosi na tumačenje odredbi Direktive 95/46, presudio da se one ne protive tom nacionalnom propisu.
62 U tim okolnostima, kao što je to istaknuo nezavisni odvjetnik u točki 60. svojeg mišljenja, u biti valja provjeriti jesu li nacionalna pravila o kojima je riječ u glavnom postupku obuhvaćena marginom prosudbe priznatom svakoj državi članici u članku 80. stavku 2. GDPR‑a i stoga tumačiti tu odredbu uzimajući u obzir njezin tekst, strukturu i ciljeve te uredbe.
63 U tom pogledu valja istaknuti da se člankom 80. stavkom 2. GDPR‑a državama članicama daje mogućnost da predvide mehanizam predstavničkih tužbi protiv navodnog počinitelja povrede zaštite osobnih podataka, pri čemu se navodi određeni broj zahtjeva na razini osobnog i materijalnog područja primjene koje treba poštovati u tu svrhu.
64 Što se tiče, kao prvo, osobnog područja primjene takvog mehanizma, aktivna procesna legitimacija priznaje se tijelu, organizaciji ili udruženju koje ispunjava kriterije iz članka 80. stavka 1. GDPR‑a. Osobito, tom se odredbom upućuje na „neprofitno tijelo, organizaciju ili udruženje, koje je pravilno osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njihovih osobnih podataka”.
65 Valja utvrditi da udruga za zaštitu interesa potrošača, kao što je to Savezna unija, može biti obuhvaćena tim pojmom jer se njime nastoji postići cilj od javnog interesa koji se sastoji od osiguranja prava i sloboda ispitanika u njihovu svojstvu potrošača, s obzirom na to da ostvarenje takvog cilja može biti povezano sa zaštitom njihovih osobnih podataka.
66 Naime, povreda pravila čiji je cilj zaštita potrošača ili borba protiv nepoštene poslovne prakse – povreda koju udruga za zaštitu interesa potrošača, poput Savezne unije, nastoji spriječiti i sankcionirati, među ostalim, tužbom za prestanak povrede predviđenom mjerodavnim nacionalnim propisom – može biti povezana, kao u ovom slučaju, s povredom pravila o zaštiti osobnih podataka tih potrošača.
67 Kao drugo, što se tiče materijalnog područja primjene navedenog mehanizma, podnošenje predstavničke tužbe predviđene člankom 80. stavkom 2. GDPR‑a od strane subjekta koji ispunjava uvjete navedene u stavku 1. tog članka pretpostavlja da taj subjekt, neovisno o bilo kakvom mandatu koji mu je dan, „smatra da su prava ispitanika predviđena [tom] uredbom povrijeđena zbog obrade” njegovih osobnih podataka.
68 U tom pogledu valja pojasniti, kao prvo, da se za potrebe podnošenja predstavničke tužbe, u smislu članka 80. stavka 2. GDPR‑a, od takvog subjekta ne može zahtijevati da prethodno pojedinačno utvrdi osobu na koju se konkretno odnosi obrada podataka koja je navodno protivna odredbama GDPR‑a.
69 Naime, dovoljno je istaknuti da pojam „ispitanik” u smislu članka 4. točke 1. te uredbe obuhvaća ne samo „identificiranu fizičku osobu”, nego i „fizičku osobu koju se može identificirati”, odnosno fizičku osobu „koju je moguće identificirati” izravno ili neizravno, pomoću identifikatora kao što je, među ostalim, ime, identifikacijski broj, podaci o lokaciji ili mrežni identifikator. U tim okolnostima, određivanje kategorije ili skupine osoba na koje utječe takvo postupanje također može biti dovoljno za podnošenje takve predstavničke tužbe.
70 Kao drugo, na temelju članka 80. stavka 2. GDPR‑a, podnošenje predstavničke tužbe također nije uvjetovano postojanjem konkretne povrede prava koja osoba ima na temelju pravila u području zaštite podataka.
71 Naime, kao što to proizlazi iz samog teksta te odredbe, navedenog u točki 67. ove presude, podnošenje predstavničke tužbe pretpostavlja samo to da subjekt o kojem je riječ „smatra” da su prava ispitanika predviđena tom uredbom povrijeđena zbog obrade njegovih osobnih podataka i stoga tvrdi da postoji obrada podataka koja je protivna odredbama te uredbe.
72 Iz toga slijedi da je, kako bi se na temelju navedene odredbe priznala aktivna procesna legitimacija takvom subjektu, dovoljno istaknuti da dotična obrada podataka može utjecati na prava koja za identificirane fizičke osobe ili fizičke osobe koje se mogu identificirati proizlaze iz navedene uredbe, a da pritom nije potrebno dokazati stvarnu štetu koju je ispitanik u određenoj situaciji pretrpio zbog povrede svojih prava.
73 Takvo tumačenje u skladu je sa zahtjevima koji proizlaze iz članka 16. UFEU‑a i članka 8. Povelje Europske unije o temeljnim pravima i, stoga, s ciljem koji se nastoji postići GDPR‑om, a koji se sastoji u osiguranju učinkovite zaštite sloboda i temeljnih prava pojedinaca, kao i, među ostalim, osiguravanja visoke razine zaštite prava svake osobe na zaštitu osobnih podataka koji se na nju odnose (vidjeti u tom smislu presudu od 15. lipnja 2021., Facebook Ireland i dr., C‑645/19, EU:C:2021:483, t. 44., 45. i 91.).
74 Činjenica da se udruge za zaštitu interesa potrošača, kao što je Savezna unija, ovlašćuju da putem mehanizma predstavničke tužbe podnose tužbe za prestanak s obradama koje su protivne odredbama te uredbe, neovisno o povredi pravâ osobe koju ta povreda osobno i konkretno pogađa, nedvojbeno pridonosi jačanju prava ispitanikâ i osiguranju njihove visoke razine zaštite.
75 Osim toga, valja istaknuti da bi podnošenje takve predstavničke tužbe, s obzirom na to da se njome omogućuje sprečavanje velikog broja povreda prava osoba na koje se odnosi obrada njihovih osobnih podataka, moglo biti učinkovitije od pravnog sredstva kojeg osoba koju pojedinačno i osobno pogađa povreda njegova prava na zaštitu njegovih osobnih podataka može podnijeti protiv počinitelja te povrede.
76 Naime, kao što je to primijetio nezavisni odvjetnik u točki 76. svojeg mišljenja, preventivna funkcija tužbi koje podnose udruge za zaštitu prava potrošača, poput Savezne unije, ne bi se mogla jamčiti, ako se na temelju predstavničke tužbe predviđene u članku 80. stavku 2. GDPR‑a može pozivati samo na povredu prava osobe na koju se ta povreda pojedinačno i konkretno odnosi.
77 Kao treće, valja još provjeriti, kao što to pita sud koji je uputio zahtjev, je li članak 80. stavak 2. GDPR‑a prepreka podnošenju predstavničke tužbe neovisno o konkretnoj povredi prava ispitanika i mandatu koji on dodjeljuje ako je povreda pravila u području zaštite podataka navedena u okviru tužbe kojom se želi preispitati primjena drugih pravnih pravila čija je svrha osigurati zaštitu potrošača.
78 U tom pogledu valja najprije istaknuti da, kao što je to, u biti, navedeno u točki 66. ove presude, povreda pravila o zaštiti osobnih podataka može istodobno dovesti do povrede pravila o zaštiti potrošača ili nepoštenoj poslovnoj praksi.
79 Stoga, kao što je to istaknuo nezavisni odvjetnik u točki 72. svojeg mišljenja, toj odredbi se ne protivi to da države članice koriste mogućnost koju im ona nudi u smislu da su udruge za zaštitu interesa potrošača ovlaštene poduzeti mjere protiv povreda prava predviđenih GDPR‑om putem, ako je potrebno, pravila čiji je cilj zaštita potrošača ili borba protiv nepoštene poslovne prakse, poput onih predviđenih Direktivom 2005/29 i Direktivom 2009/22.
80 To tumačenje članka 80. stavka 2. GDPR‑a potvrđeno je osim toga Direktivom 2020/1828 kojom se stavlja izvan snage i zamjenjuje, počevši od 25. lipnja 2023. Direktiva 2009/22. U tom kontekstu, valja primijetiti da se, u skladu s člankom 2. stavkom 1. Direktive 2020/1828, ona primjenjuje na predstavničke tužbe podnesene zbog povreda, koje su počinili profesionalci, odredbi prava Unije iz Priloga I. toj direktivi, a u kojoj se u točki 56. navodi GDPR.
81 Točno je da Direktiva 2020/1828 nije primjenjiva u okviru glavnog postupka i njezin rok za prenošenje još nije istekao. Međutim, on sadržava nekoliko elemenata koji potvrđuju da članak 80. GDPR‑a nije prepreka podnošenju dodatnih predstavničkih tužbi u području zaštite potrošača.
82 Naime, iako je, kao što to proizlazi iz uvodne izjave 11. te direktive, i dalje moguće predvidjeti dodatni postupovni mehanizam predstavničkih tužbi u području zaštite potrošača, provedbeni mehanizmi predviđeni GDPR‑om ili oni koji se na njemu temelje, poput onog predviđenog člankom 80. te uredbe, ne mogu se zamijeniti ili izmijeniti, kao što je to pojašnjeno u uvodnoj izjavi 15. navedene direktive, te se stoga mogu koristiti u svrhu zaštite kolektivnih interesa potrošača.
83 S obzirom na sva prethodna razmatranja, na postavljeno pitanje valja odgovoriti tako da članak 80. stavak 2. GDPR‑a treba tumačiti na način da mu se ne protivi nacionalni propis kojim se udruzi za zaštitu interesa potrošača dopušta da pokrene sudski postupak, bez mandata koji joj se dodjeljuje u tu svrhu i neovisno o tome jesu li povrijeđena konkretna prava ispitanika, protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka pozivajući se na kršenje zabrane nepoštenih poslovnih praksi, zakona u području zaštite potrošača ili zabrane korištenja ništavih općih uvjeta, ako dotična obrada podataka može utjecati na prava koja za identificiranu fizičku osobu ili fizičku osobu koju se može identificirati proizlaze iz te uredbe.
Troškovi
84 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (treće vijeće) odlučuje:
Članak 80. stavak 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da mu se ne protivi nacionalni propis kojim se udruzi za zaštitu interesa potrošača dopušta da pokrene sudski postupak, bez mandata koji joj se dodjeljuje u tu svrhu i neovisno o tome jesu li povrijeđena konkretna prava ispitanika, protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka pozivajući se na kršenje zabrane nepoštenih poslovnih praksi, zakona u području zaštite potrošača ili zabrane korištenja ništavih općih uvjeta, ako dotična obrada podataka može utjecati na prava koja za identificiranu fizičku osobu ili fizičku osobu koju se može identificirati proizlaze iz te uredbe.
Potpisi