PRESUDA SUDA (prvo vijeće)
12. siječnja 2023.(*)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 15. stavak 1. točka (c) – Ispitanikovo pravo na pristup njegovim podacima – Informacije o primateljima ili kategorijama primatelja kojima su ti osobni podaci otkriveni ili će biti otkriveni – Ograničenja”
U predmetu C‑154/21,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Oberster Gerichtshof (Vrhovni sud, Austrija), odlukom od 18. veljače 2021., koju je Sud zaprimio 9. ožujka 2021., u postupku
RW
protiv
Österreichische Post AG,
SUD (prvo vijeće),
u sastavu: A. Arabadjiev, predsjednik vijeća, L. Bay Larsen, potpredsjednik Suda, u svojstvu suca prvog vijeća, P. G. Xuereb, A. Kumin i I. Ziemele (izvjestiteljica), suci,
nezavisni odvjetnik: G. Pitruzzella,
tajnik: A. Calot Escobar,
uzimajući u obzir pisani dio postupka,
uzimajući u obzir očitovanja koja su podnijeli:
– za RW, R. Haupt, Rechtsanwalt,
– za Österreichische Post AG, R. Marko, Rechtsanwalt,
– za austrijsku vladu, G. Kunnert, A. Posch i J. Schmoll, u svojstvu agenata,
– za češku vladu, M. Smolek i J. Vláčil, u svojstvu agenata,
– za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju M. Russo, avvocato dello Stato,
– za latvijsku vladu, J. Davidoviča, I. Hūna i K. Pommere, u svojstvu agenata,
– za rumunjsku vladu, L.-E. Baţagoi, E. Gane i A. Wellman, u svojstvu agenata,
– za švedsku vladu, H. Eklinder, J. Lundberg, C. Meyer‑Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev i O. Simonsson, u svojstvu agenata,
– za Europsku komisiju, F. Erlbacher i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 9. lipnja 2022.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 15. stavka 1. točke (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.) (u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između osobe RW i Österreichische Posta AG (u daljnjem tekstu: Österreichische Post) povodom zahtjeva za pristup osobnim podacima na temelju članka 15. stavka 1. točke (c) OUZP‑a.
Pravni okvir
3 Uvodne izjave 4., 9., 10., 39., 63. i 74. OUZP‑a glase kako slijedi:
„(4) […] Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba [odvagnuti u odnosu na druga temeljna prava,] u skladu s načelom proporcionalnosti. […]
[…]
(9) Ciljevi i načela Direktive 95/46/EZ [Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)] i dalje su utemeljeni, no njome nisu spriječeni rascjepkanost provedbe zaštite podataka u [Europskoj] [u]niji, pravna nesigurnost ili rasprostranjeno javno mišljenje da osobito kod internetskih aktivnosti postoje znatni rizici povezani sa zaštitom pojedinaca. Razlike u razini zaštite prava i sloboda pojedinaca, a posebno prava na zaštitu osobnih podataka, koje pružaju države članice u vezi s obradom osobnih podataka mogu spriječiti slobodni protok osobnih podataka u Uniji. Te razlike stoga mogu predstavljati prepreku obavljanju gospodarskih djelatnosti na razini Unije, narušiti tržišno natjecanje te spriječiti nadležna tijela u ispunjenju njihovih odgovornosti na temelju prava Unije. Do takve razlike u razinama zaštite došlo je zbog postojanja razlika u provedbi i primjeni Direktive 95/46/EZ.
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. […]
[…]
(39) Svaka obrada osobnih podataka trebala bi biti zakonita i poštena. Za pojedince bi trebalo biti transparentno kako se osobni podaci koji se odnose na njih prikupljaju, upotrebljavaju, daju na uvid ili na drugi način obrađuju, kao i do koje se mjere ti osobni podaci obrađuju ili će se obrađivati. Načelom transparentnosti traži se da svaka informacija i komunikacija u vezi s obradom tih osobnih podataka bude lako dostupna i razumljiva te da se upotrebljava jasan i jednostavan jezik. […]
[…]
(63) Ispitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. […] Svaki ispitanik stoga bi osobito trebao imati pravo znati i dobiti obavijest o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, o primateljima osobnih podataka, o logici automatske obrade osobnih podataka i o posljedicama takve obrade, barem kad se temelji na izradi profila. […] To pravo ne bi smjelo negativno utjecati na prava ili slobode drugih, uključujući i poslovne tajne ili intelektualno vlasništvo, a osobito na autorsko pravo kojima je zaštićen računalni program. Rezultat tih razmatranja ipak ne bi smjelo biti odbijanje pružanja svih informacija ispitaniku. […]
[…]
(74) Trebalo bi uspostaviti dužnost i odgovornost voditelja obrade za svaku obradu osobnih podataka koju provede sâm voditelj obrade ili netko drugi u ime voditelja obrade. Osobito, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom [u]redbom uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.”
4 Članak 1. OUZP‑a, pod naslovom „Predmet i ciljevi”, u stavku 2. propisuje:
„Ovom se [u]redbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”
5 U članku 5. OUZP‑a, naslovljenom „Načela obrade osobnih podataka”, navodi se:
„1. Osobni podaci moraju biti:
(a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (,zakonitost, poštenost i transparentnost’);
[…]
2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
6 U članku 12. OUZP‑a, naslovljenom „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika”, navodi se:
„1. Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je drugim sredstvima utvrđen identitet ispitanika.
2. Voditelj obrade olakšava ostvarivanje prava ispitanika iz članaka od 15. do 22. U slučajevima iz članka 11. stavka 2. voditelj obrade ne smije odbiti postupiti po zahtjevu ispitanika u svrhu ostvarivanja njegovih prava iz članaka od 15. do 22., osim ako voditelj obrade dokaže da nije u mogućnosti utvrditi identitet ispitanika.
[…]
5. Informacije pružene u skladu s člancima 13. i 14. i sva komunikacija i djelovanja iz članaka od 15. do 22. i članka 34. pružaju se bez naknade. Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može:
(a) naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili obavijesti ili postupanje po zahtjevu; ili
(b) odbiti postupiti po zahtjevu.
Teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva jest na voditelju obrade.
[…]”
7 Članak 13. OUZP‑a, naslovljen „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. predviđa:
„Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:
[…]
(e) primatelje ili kategorije primatelja osobnih podataka, ako ih ima; […]
[…]”
8 Članak 14. OUZP‑a, pod naslovom „Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika”, u stavku 1. predviđa:
„Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:
[…]
(e) primatelje ili kategorije primatelja osobnih podataka, prema potrebi;
[…]”
9 U skladu s člankom 15. OUZP‑a naslovljenim „Pravo ispitanika na pristup”:
„1. Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:
(a) svrsi obrade;
(b) kategorijama osobnih podataka o kojima je riječ;
(c) primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;
(d) ako je to moguće, predviđenom razdoblju u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja;
(e) postojanju prava da se od voditelja obrade zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu;
(f) pravu na podnošenje pritužbe nadzornom tijelu;
(g) ako se osobni podaci ne prikupljaju od ispitanika, svakoj dostupnoj informaciji o njihovu izvoru;
(h) postojanju automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislenim informacijama o tome o kojoj je logici riječ, kao i važnosti i predviđenim posljedicama takve obrade za ispitanika.
2. Ako se osobni podaci prenose u treću zemlju ili međunarodnu organizaciju, ispitanik ima pravo biti informiran o odgovarajućim zaštitnim mjerama u skladu s člankom 46. koje se odnose na prijenos.
3. Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Ako ispitanik podnese zahtjev elektroničkim putem te osim ako ispitanik zatraži drukčije, informacije se pružaju u uobičajenom elektroničkom obliku.
4. Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.”
10 Članak 16. OUZP‑a, naslovljen „Pravo na ispravak”, propisuje:
„Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od voditelja obrade ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.”
11 U skladu s člankom 17. OUZP‑a, naslovljenim „Pravo na brisanje (‚pravo na zaborav’)”:
„1. Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
(a) osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;
(b) ispitanik povuče privolu na kojoj se obrada temelji u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne postoji druga pravna osnova za obradu;
(c) ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 2.;
(d) osobni podaci nezakonito su obrađeni;
(e) osobni podaci moraju se brisati radi poštovanja pravne obveze iz prava Unije ili prava države članice kojem podliježe voditelj obrade;
(f) osobni podaci prikupljeni su u vezi s ponudom usluga informacijskog društva iz članka 8. stavka 1.
2. Ako je voditelj obrade javno objavio osobne podatke i dužan je u skladu sa stavkom 1. obrisati te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, voditelj obrade poduzima razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji obrađuju osobne podatke da je ispitanik zatražio od tih voditelja obrade da izbrišu sve poveznice do njih ili kopiju ili repliku tih osobnih podataka.
[…]”
12 Članak 18. OUZP‑a, naslovljen „Pravo na ograničenje obrade”, u stavku 1. propisuje:
„Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećeg:
(a) ispitanik osporava točnost osobnih podataka, na razdoblje kojim se voditelju obrade omogućuje provjera točnosti osobnih podataka;
(b) obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;
(c) voditelj obrade više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva;
(d) ispitanik je uložio prigovor na obradu na temelju članka 21. stavka 1. [dok se ne provjeri] nadilaze li legitimni razlozi voditelja obrade razloge ispitanika.
[…]”
13 Članak 19. OUZP‑a glasi kako slijedi:
„Voditelj obrade priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade provedeno u skladu s člankom 16., člankom 17. stavkom 1. i člankom 18. svakom primatelju kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor. Voditelj obrade obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži.”
14 U skladu s člankom 21. OUZP‑a, naslovljenim „Pravo na prigovor”:
„1. Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako […] dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.
2. Ako se osobni podaci obrađuju za potrebe izravnog marketinga, ispitanik u svakom trenutku ima pravo uložiti prigovor na obradu osobnih podataka koji se odnose na njega za potrebe takvog marketinga, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom.
3. Ako se ispitanik protivi obradi za potrebe izravnog marketinga, osobni podaci više se ne smiju obrađivati u takve svrhe.
4. Najkasnije u trenutku prve komunikacije s ispitanikom, ispitaniku se izričito mora skrenuti pozornost na pravo iz stavaka 1. i 2. te se to mora učiniti na jasan način i odvojeno od bilo koje druge informacije.
5. U kontekstu služenja uslugama informacijskog društva i neovisno o Direktivi 2002/58/EZ [Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.)] ispitanik može ostvariti svoje pravo na prigovor automatiziranim putem koji se koristi tehničkim specifikacijama.
6. Ako se osobni podaci obrađuju u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe na temelju članka 89. stavka 1., ispitanik na temelju svoje posebne situacije ima pravo uložiti prigovor na obradu osobnih podataka koji se na njega odnose, osim ako je obrada nužna za provođenje zadaće koja se obavlja zbog javnog interesa.”
15 Članak 79. OUZP‑a‚ naslovljen „Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade”, u stavku 1. navodi:
„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj [u]redbi prekršena njegova prava iz ove [u]redbe.”
16 Članak 82. OUZP‑a, pod naslovom „Pravo na naknadu štete i odgovornost”, u stavku 1. predviđa:
„Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.”
Glavni postupak i prethodno pitanje
17 Osoba RW 15. siječnja 2019. obratila se društvu Österreichische Post kako bi, na temelju članka 15. OUZP‑a, dobila pristup osobnim podacima koji se odnose na nju i koje Österreichische Post pohranjuje ili koje je pohranjivao u prošlosti te, u slučaju njihova otkrivanja trećim osobama, identitet tih primatelja.
18 U svojem odgovoru na taj zahtjev, Österreichische Post samo je naveo da se koristi podacima, u mjeri u kojoj je to pravno dopušteno, u okviru svoje djelatnosti izdavatelja telefonskih imenika te da te osobne podatke nudi poslovnim partnerima u marketinške svrhe. Österreichische Post ujedno je uputio na internetsku stranicu u svrhu dobivanja detaljnijih informacija i informacija o drugim svrhama obrade podataka. Osobi RW nije priopćio identitet konkretnih primatelja podataka.
19 Osoba RW je pred austrijskim sudovima tužila Österreichische Post zahtijevajući da mu se naloži da joj dostavi, među ostalim, informacije o identitetu primatelja otkrivenih osobnih podataka.
20 Tijekom tako pokrenutog sudskog postupka, Österreichische Post obavijestio je osobu RW da su njezini osobni podaci obrađivani u marketinške svrhe i proslijeđeni korisnicima, među kojima su oglašivači u sektoru prodaje putem pošte i u prodavaonicama, IT‑poduzećima, izdavačima telefonskih imenika i udrugama poput dobrotvornih organizacija, nevladinih organizacija ili političkih stranaka.
21 Prvostupanjski i žalbeni sud odbili su zahtjev osobe RW, zbog toga što članak 15. stavak 1. točka (c) OUZP‑a, u dijelu u kojem se odnosi na „primatelje ili kategorije primatelja”, voditelju obrade daje mogućnost da ispitaniku otkrije samo kategorije primatelja, a da pritom ne mora poimenično navesti konkretne primatelje kojima su proslijeđeni osobni podaci.
22 Osoba RW podnijela je reviziju Oberster Gerichtshofu (Vrhovni sud, Austrija), sudu koji je uputio zahtjev.
23 Taj sud pita o tumačenju članka 15. stavka 1. točke (c) OUZP‑a, s obzirom na to da se na temelju teksta te odredbe ne može jasno doznati dodjeljuje li se njome ispitaniku pravo na pristup informacijama koje se odnose na konkretne primatelje otkrivenih podataka ili raspolaže li voditelj obrade diskrecijskom prosudbom u pogledu načina na koji namjerava odgovoriti na zahtjev za pristup informacijama o primateljima.
24 Navedeni sud ipak napominje da ratio legis navedene odredbe ide u prilog tumačenju prema kojem je ispitanik taj koji može zatražiti informacije o kategorijama primatelja ili o konkretnim primateljima njegovih osobnih podataka. Prema njegovu mišljenju, svako protivno tumačenje ozbiljno bi ugrozilo djelotvornost pravnih sredstava kojima ispitanik raspolaže u svrhu zaštite svojih podataka. Naime, kad bi voditelji obrade mogli odabrati hoće li ispitanicima otkriti konkretne primatelje ili samo kategorije primatelja, postojala bi bojazan da u praksi gotovo nijedan od njih neće pružiti informacije o konkretnim primateljima.
25 Osim toga, za razliku od članka 13. stavka 1. točke (e) i članka 14. stavka 1. točke (e) OUZP‑a, kojima se predviđa obveza voditelja obrade da pruži informacije na koje se ti članci odnose, članak 15. stavak 1. te uredbe naglašava doseg ispitanikova prava na pristup, čime se, prema mišljenju suda koji je uputio zahtjev, također upućuje na to da ispitanik ima pravo odabira između traženja informacija o konkretnim primateljima ili kategorijama primatelja.
26 Naposljetku, sud koji je uputio zahtjev dodaje da se pravo na pristup predviđeno člankom 15. stavkom 1. OUZP‑a ne odnosi samo na osobne podatke koji se trenutačno obrađuju, nego i na sve podatke koji su se obrađivali u prošlosti. U tom pogledu pojašnjava da se razmatranja iz presude od 7. svibnja 2009., Rijkeboer (C‑553/07, EU:C:2009:293), koja se temelje na svrsi prava na pristup predviđenog Direktivom 95/46, mogu prenijeti na pravo na pristup iz članka 15. OUZP‑a to više što se iz uvodnih izjava 9. i 10. OUZP‑a može zaključiti da zakonodavac Unije nije namjeravao smanjiti razinu zaštite u odnosu na onu iz te direktive.
27 U tim je okolnostima Oberster Gerichtshof (Vrhovni sud) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:
„Treba li članak 15. stavak 1. točku (c) [OUZP‑a] tumačiti na način da je pravo na pristup ograničeno na informaciju o kategorijama primatelja ako konkretni primatelji još nisu poznati u slučaju predviđenog otkrivanja, ali da ono u slučaju da su podaci već otkriveni, nužno mora obuhvaćati i informaciju o konkretnim primateljima tih podataka?”
O prethodnom pitanju
28 Svojim prethodnim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 15. stavak 1. točku (c) OUZP‑a tumačiti na način da ispitanikovo pravo na pristup osobnim podacima koji se odnose na njega, predviđeno tom odredbom, podrazumijeva obvezu voditelja obrade da ispitaniku pruži podatke o konkretnom identitetu tih primatelja kad su ti podaci bili ili će biti otkriveni primateljima.
29 Najprije valja podsjetiti na to da, u skladu s ustaljenom sudskom praksom, pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 15. ožujka 2022., Autorité des marchés financiers, C‑302/20, EU:C:2022:190, t. 63.). Osim toga, u slučaju kada je moguće odredbu prava Unije tumačiti na više načina, treba dati prednost onom tumačenju koje može sačuvati njezin koristan učinak (presuda od 7. ožujka 2018., Cristal Union, C‑31/17, EU:C:2018:168, t. 41. i navedena sudska praksa).
30 Što se tiče, najprije, teksta članka 15. stavka 1. točke (c) OUZP‑a, valja podsjetiti na to da se u toj odredbi navodi da ispitanik ima pravo od voditelja obrade dobiti potvrdu o tome obrađuju li se osobni podaci koji se na njega odnose i, ako je odgovor potvrdan, ostvariti pristup navedenim osobnim podacima te dobiti informacije o primateljima ili kategorijama primatelja kojima su ti osobni podaci otkriveni ili će biti otkriveni.
31 U tom pogledu valja istaknuti da se izrazi „primatelji” i „kategorije primatelja” iz te odredbe navode jedan za drugim, pri čemu nije moguće izvesti redoslijed prvenstva između njih.
32 Stoga valja utvrditi da se na temelju teksta članka 15. stavka 1. točke (c) OUZP‑a ne može nedvojbeno utvrditi ima li ispitanik pravo biti obaviješten o konkretnom identitetu primatelja podataka u situacijama u kojima su njegovi osobni podaci otkriveni ili će biti otkriveni.
33 Nadalje, što se tiče konteksta u kojem se nalazi članak 15. stavak 1. točka (c) OUZP‑a, valja podsjetiti na to da se, kao prvo, uvodnom izjavom 63. te uredbe predviđa da ispitanik treba imati pravo znati i dobiti obavijest, među ostalim, o identitetu primatelja tih osobnih podataka te se u njoj ne navodi da bi se to pravo moglo ograničiti samo na kategorije primatelja, kao što je to nezavisni odvjetnik istaknuo u točki 23. svojeg mišljenja.
34 Kao drugo, također valja podsjetiti na to da, kako bi se poštovalo pravo na pristup, svaka obrada osobnih podataka pojedinaca mora biti u skladu s načelima iz članka 5. OUZP‑a (vidjeti u tom smislu presudu od 16. siječnja 2019., Deutsche Post, C‑496/17, EU:C:2019:26, t. 57.).
35 Među tim načelima nalazi se načelo transparentnosti iz članka 5. stavka 1. točke (a) OUZP‑a, koje podrazumijeva, kao što to proizlazi iz uvodne izjave 39. te uredbe, da ispitanik raspolaže informacijama o načinu obrade svojih osobnih podataka i da su ti podaci lako dostupni i razumljivi.
36 Kao treće, valja istaknuti, kao što je to nezavisni odvjetnik naglasio u točki 21. svojeg mišljenja, da, za razliku od članaka 13. i 14. OUZP‑a kojima se propisuje obveza voditelja obrade da ispitaniku priopći informacije o kategorijama primatelja ili konkretnim primateljima osobnih podataka koji se na njega odnose ako se ti podaci prikupljaju od ispitanika odnosno ako ti podaci nisu dobiveni od njega, člankom 15. OUZP‑a predviđa se stvarno pravo ispitanika na pristup na način da on treba imati pravo odabira između dobivanja informacija o konkretnim primateljima kojima su ti podaci otkriveni ili će biti otkriveni, kad je to moguće, ili dobivanja informacija o kategorijama primatelja.
37 Kao četvrto, Sud je već presudio da ostvarivanje tog prava na pristup treba omogućiti ispitaniku da provjeri ne samo jesu li podaci koji se odnose na njega točni nego i obrađuju li se na zakonit način (vidjeti po analogiji presude od 17. srpnja 2014., YS i dr., C‑141/12 i C‑372/12, EU:C:2014:2081, t. 44. i od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 57.), osobito jesu li otkriveni ovlaštenim primateljima (vidjeti po analogiji presudu od 7. svibnja 2009., Rijkeboer, C‑553/07, EU:C:2009:293, t. 49.).
38 Konkretno, to je pravo na pristup nužno kako bi se ispitaniku omogućilo da prema potrebi ostvari svoje pravo na ispravak, brisanje („pravo na zaborav”) i pravo na ograničenje obrade, koja su mu priznata člancima 16., 17. i 18. OUZP‑a (vidjeti po analogiji presude od 17. srpnja 2014., YS i dr., C‑141/12 i C‑372/12, EU:C:2014:2081, t. 44. i od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 57.), kao i pravo na podnošenje prigovora protiv obrade osobnih podataka, predviđeno člankom 21. OUZP‑a te pravo na pravni lijek u slučaju pretrpljene štete predviđeno člancima 79. i 82. OUZP‑a (vidjeti po analogiji presudu od 7. svibnja 2009., Rijkeboer, C‑553/07, EU:C:2009:293, t. 52.).
39 Stoga, kako bi se zajamčio koristan učinak svih prava navedenih u prethodnoj točki ove presude, ispitanik osobito mora imati pravo da bude obaviješten o identitetu konkretnih primatelja u slučaju kad su njegovi osobni podaci već otkriveni.
40 Takvo tumačenje potvrđeno je, kao peto i posljednje, tumačenjem članka 19. OUZP‑a kojim se u prvoj rečenici predviđa da voditelj obrade načelno svakog primatelja kojem su osobni podaci otkriveni obavještava o svim ispravcima ili brisanju osobnih podataka ili bilo kakvom ograničenju obrade i, u drugoj rečenici, da taj voditelj obrade obavještava ispitanika o tim primateljima ako on to zatraži.
41 Tako se člankom 19. drugom rečenicom OUZP‑a ispitaniku izričito dodjeljuje pravo da od voditelja obrade dobije obavijest o konkretnim primateljima podataka koji se na njega odnose, u okviru obveze voditelja obrade da sve primatelje obavijesti o ostvarenju prava kojima ispitanik raspolaže na temelju članka 16., članka 17. stavka 1. i članka 18. OUZP‑a.
42 Iz kontekstualne analize koja prethodi proizlazi da je članak 15. stavak 1. točka (c) OUZP‑a jedna od odredbi kojima se jamči transparentnost načina obrade osobnih podataka u odnosu na ispitanika te mu omogućuje, kao što je to nezavisni odvjetnik istaknuo u točki 33. svojeg mišljenja, izvršavanje prava predviđenih osobito člancima 16. do 19., 21., 79. i 82. OUZP‑a.
43 Stoga valja smatrati da informacije pružene ispitaniku na temelju prava na pristup predviđenog člankom 15. stavkom 1. točkom (c) OUZP‑a moraju biti što je moguće preciznije. Konkretno, to pravo na pristup podrazumijeva mogućnost ispitanika da od voditelja obrade dobije informacije o konkretnim primateljima kojima su podaci otkriveni ili će biti otkriveni ili, podredno, njegov izbor da se ograniči na dobivanje informacija o kategorijama primatelja.
44 Naposljetku, kad je riječ o svrsi koja se želi postići OUZP‑om, valja istaknuti da je cilj te uredbe, kao što to proizlazi iz njezine uvodne izjave 10., osigurati visoku razinu zaštite pojedinaca u Uniji (presuda od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 207.). U tom pogledu, kao što je to u biti istaknuo nezavisni odvjetnik u točki 14. svojeg mišljenja, općim pravnim okvirom uspostavljenim OUZP‑om provode se zahtjevi koji proizlaze iz temeljnog prava na zaštitu osobnih podataka zaštićenog člankom 8. Povelje Europske unije o temeljnim pravima, osobito zahtjevi koji su izričito predviđeni u stavku 2. tog članka (vidjeti u tom smislu presudu od 9. ožujka 2017., Manni, C‑398/15, EU:C:2017:197, t. 40.).
45 Taj cilj potvrđuje tumačenje članka 15. stavka 1. OUZP‑a iz točke 43. ove presude.
46 Stoga iz cilja koji se nastoji postići OUZP‑om također proizlazi da ispitanik ima pravo od voditelja obrade dobiti informacije o konkretnim primateljima kojima su otkriveni ili će biti otkriveni osobni podaci koji se odnose na njega.
47 S obzirom na navedeno, naposljetku valja istaknuti da, kao što to proizlazi iz uvodne izjave 4. OUZP‑a, pravo na zaštitu osobnih podataka nije apsolutno pravo. Naime, to pravo treba razmatrati u odnosu na njegovu funkciju u društvu i odvagnuti ga s drugim temeljnim pravima, u skladu s načelom proporcionalnosti, kao što je to Sud u biti potvrdio u točki 172. presude od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559).
48 Prema tome, može se priznati da u posebnim okolnostima nije moguće pružiti informacije o konkretnim primateljima. Stoga se pravo na pristup može ograničiti na pružanje informacija o kategorijama primatelja ako nije moguće priopćiti identitet konkretnih primatelja, osobito kada oni još nisu poznati.
49 Osim toga, valja podsjetiti na to da, na temelju članka 12. stavka 5. točke (b) OUZP‑a, voditelj obrade može, u skladu s načelom odgovornosti iz članka 5. stavka 2. te uredbe i iz njezine uvodne izjave 74., odbiti postupiti po ispitanikovim zahtjevima ako su oni očito neutemeljeni ili pretjerani, pri čemu valja pojasniti da je na njemu da dokaže očitu neutemeljenost ili pretjeranost navedenih zahtjeva.
50 U ovom slučaju iz zahtjeva za prethodnu odluku proizlazi da je Österreichische Post odbio zahtjev koji je osoba RW podnijela na temelju članka 15. stavka 1. OUZP‑a, kojim je ona tražila da joj se otkrije identitet primatelja kojima je Österreichische Post otkrio osobne podatke koji se na nju odnose. Na sudu koji je uputio zahtjev jest da provjeri je li, uzimajući u obzir okolnosti o kojima je riječ u glavnom postupku, Österreichische Post dokazao da je taj zahtjev očito neutemeljen ili pretjeran.
51 S obzirom na sva prethodna razmatranja, na prethodno pitanje valja odgovoriti da članak 15. stavak 1. točku (c) OUZP‑a treba tumačiti na način da ispitanikovo pravo na pristup osobnim podacima koji se odnose na njega predviđeno tom odredbom podrazumijeva, kada su ti podaci već otkriveni ili će biti otkriveni primateljima, obvezu voditelja obrade da ispitanika obavijesti o konkretnom identitetu tih primatelja, osim ako je nemoguće utvrditi njihov identitet ili ako navedeni voditelj obrade dokaže da su ispitanikovi zahtjevi za pristup očito neutemeljeni ili pretjerani u smislu članka 12. stavka 5. OUZP‑a, u kojem slučaju on može ispitaniku otkriti samo kategorije predmetnih primatelja.
Troškovi
52 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (prvo vijeće) odlučuje:
Članak 15. stavak 1. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),
treba tumačiti na način da:
ispitanikovo pravo na pristup osobnim podacima koji se odnose na njega predviđeno tom odredbom podrazumijeva, kada su ti podaci već otkriveni ili će biti otkriveni primateljima, obvezu voditelja obrade da ispitanika obavijesti o konkretnom identitetu tih primatelja, osim ako je nemoguće utvrditi njihov identitet ili ako navedeni voditelj obrade dokaže da su ispitanikovi zahtjevi za pristup očito neutemeljeni ili pretjerani u smislu članka 12. stavka 5. Uredbe 2016/679, u kojem slučaju on može ispitaniku otkriti samo kategorije predmetnih primatelja.
Potpisi