Privremena verzija
MIŠLJENJE NEZAVISNOG ODVJETNIKA
JEANA RICHARDA DE LA TOURA
od 25. siječnja 2024.(1)
Predmet C-757/22
Meta Platforms Ireland Limited
protiv
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(zahtjev za prethodnu odluku koji je uputio Bundesgerichtshof (Savezni vrhovni sud, Njemačka))
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 12. stavak 1. prva rečenica – Transparentne informacije – Članak 13. stavak 1. točke (c) i (e) – Obveza obavješćivanja koju ima voditelj obrade – Članak 80. stavak 2. – Zastupanje ispitanikâ od strane udruge za zaštitu interesa potrošača – Predstavnička tužba podnesena bez mandata i neovisno o tome jesu li povrijeđena konkretna prava ispitanika – Tužba koja se temelji na povredi obveze obavješćivanja koju ima voditelj obrade – Pojam ,povreda prava ispitanika ‚uslijed obrade’’”
I. Okolnosti predmeta, činjenice u glavnom postupku i novo prethodno pitanje
1. U ovom predmetu Bundesgerichtshof (Savezni vrhovni sud, Njemačka) ponovno postavlja prethodno pitanje u pogledu tumačenja članka 80. stavka 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)(2).
2. U skladu s tom odredbom, države članice mogu predvidjeti da svako tijelo, organizacija ili udruženje, neovisno o mandatu ispitanika, ima pravo u predmetnoj državi članici podnijeti pritužbu nadzornom tijelu u skladu s člankom 77. te uredbe i ostvarivati prava iz njezinih članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka povrijeđena prava ispitanika iz navedene uredbe.
3. Zahtjev za prethodnu odluku upućen je u okviru spora između društva Meta Platforms Ireland Limited, prije Facebook Ireland Limited, s registriranim sjedištem u Irskoj, i Bundesverbanda der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Savezna unija organizacija i udruga potrošača, Njemačka) (u daljnjem tekstu: Savezna unija) u pogledu navodne povrede njemačkog zakonodavstva o zaštiti osobnih podataka koju je počinilo društvo Meta Platforms Ireland, a koja istodobno predstavlja nepoštenu poslovnu praksu, povredu zakona u području zaštite potrošača i povredu zabrane primjene ništavih općih uvjeta poslovanja.
4. Riječ je o istom sporu kao onaj povodom kojeg je pokrenut predmet u kojem je donesena presuda od 28. travnja 2022., Meta Platforms Ireland(3), čije se činjenice mogu sažeti kako slijedi(4).
5. Društvo Meta Platforms Ireland, koje upravlja ponudom usluga internetske društvene mreže Facebook u Europskoj uniji, voditelj je obrade osobnih podataka korisnika te društvene mreže u Uniji. Društvo Facebook Germany GmbH, sa sjedištem u Njemačkoj, na adresi www.facebook.de promiče prodaju oglasnog prostora. Internetska platforma Facebook na internetskoj adresi www.facebook.de sadržava prostor pod nazivom „App-Zentrum” (Centar za aplikacije) na kojem društvo Meta Platforms Ireland stavlja korisnicima na raspolaganje besplatne igre trećih strana. Tijekom pregledavanja Centra za aplikacije nekih od tih igara korisnik vidi napomenu prema kojoj uporaba dotične aplikacije omogućuje društvu koje je isporučilo igru dobivanje određenog broja osobnih podataka i ovlašćuje ga da izvršava objave u ime tog korisnika, kao što je objava njegova rezultata i drugih informacija. Posljedica te uporabe je to da navedeni korisnik prihvaća opće uvjete korištenja i njegovu politiku u području zaštite podataka. Usto, za pojedinu je igru navedeno da se aplikaciji dopušta objaviti status, slike i druge informacije u ime tog korisnika.
6. Savezna unija, tijelo koje ima aktivnu procesnu legitimaciju na temelju članka 4. Gesetza über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Zakon o tužbama za prestanak povrede potrošačkih i drugih prava) od 26. studenoga 2001.(5), smatra da su napomene koje predmetne igre pružaju u Centru za aplikacije nepoštene, osobito u smislu nepoštovanja zakonskih uvjeta koji se primjenjuju na pribavljanje valjane privole korisnika na temelju odredbi o zaštiti podataka. Osim toga, ona smatra da je napomena prema kojoj je aplikacija ovlaštena u ime korisnika objaviti određene njegove osobne podatke opći uvjet kojim se korisnik neopravdano stavlja u nepovoljniji položaj.
7. U tom kontekstu, Savezna unija podnijela je Landgerichtu Berlin (Zemaljski sud u Berlinu, Njemačka) tužbu za prestanak povrede protiv društva Meta Platforms Ireland na temelju članka 3.a Gesetza gegen den unlauteren Wettbewerb (Zakon o suzbijanju nepoštenog tržišnog natjecanja) od 3. srpnja 2004.(6), članka 2. stavka 2. prve rečenice točke 11. Zakona o tužbama za prestanak povrede te Bürgerliches Gesetzbucha (Građanski zakonik). Ta je tužba podnesena neovisno o tome jesu li povrijeđena konkretna prava ispitanika na zaštitu podataka i bez njegova mandata.
8. Landgericht Berlin (Zemaljski sud u Berlinu) donio je presudu protiv društva Meta Platforms Ireland u skladu sa zahtjevom Savezne unije. Žalba društva Meta Platforms Ireland podnesena Kammergerichtu Berlin (Visoki zemaljski sud u Berlinu, Njemačka) je odbijena. Društvo Meta Platforms Ireland je stoga sudu koji je uputio zahtjev podnijelo reviziju protiv odluke žalbenog suda o odbijanju.
9. U okviru tog postupka sud koji je uputio zahtjev smatrao je da je tužba Savezne unije osnovana jer je društvo Meta Platforms Ireland povrijedilo članak 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja i članak 2. stavak 2. prvu rečenicu točku 11. Zakona o tužbama za prestanak povrede te je primijenilo opći uvjet koji je ništav u smislu članka 1. Zakona o tužbama za prestanak povrede.
10. Međutim, taj je sud dvojio o dopuštenosti tužbe Savezne unije. Pitao se, konkretno, može li se aktivna procesna legitimacija Savezne unije temeljiti na članku 80. stavku 2. OUZP-a. Zato je Sudu uputio prethodno pitanje kako bi dobio tumačenje te odredbe.
11. U odgovoru na to pitanje Sud je u svojoj presudi Meta Platforms Ireland presudio da članak 80. stavak 2. OUZP-a treba tumačiti na način da mu se ne protivi nacionalni propis kojim se udruzi za zaštitu interesa potrošača dopušta da pokrene sudski postupak, bez mandata koji joj se dodjeljuje u tu svrhu i neovisno o tome jesu li povrijeđena konkretna prava ispitanika, protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka pozivajući se na kršenje zabrane nepoštenih poslovnih praksi, zakona u području zaštite potrošača ili zabrane primjene ništavih općih uvjeta, ako dotična obrada podataka može utjecati na prava koja za identificiranu fizičku osobu ili fizičku osobu koju se može identificirati proizlaze iz te uredbe(7).
12. Sud je tako pojasnio materijalno područje primjene mehanizma predstavničke tužbe protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka, predviđenog u članku 80. stavku 2. OUZP-a.
13. Konkretno, Sud je presudio da se u svrhu podnošenja takve predstavničke tužbe ne može od subjekta koji ispunjava uvjete navedene u članku 80. stavku 1. OUZP-a zahtijevati da prethodno pojedinačno utvrdi osobu na koju se konkretno odnosi obrada podataka koja je navodno protivna odredbama te uredbe(8). Prema tome, određivanje kategorije ili skupine osoba na koje utječe takvo postupanje također može biti dovoljno za podnošenje te predstavničke tužbe(9).
14. Sud je također presudio da, na temelju članka 80. stavka 2. OUZP-a, podnošenje predstavničke tužbe također nije uvjetovano postojanjem konkretne povrede prava koja osoba ima na temelju pravila u području zaštite podataka(10). Naime, prema mišljenju Suda, podnošenje predstavničke tužbe pretpostavlja samo to da subjekt naveden u toj odredbi „smatra” da su prava ispitanika predviđena tom uredbom povrijeđena uslijed obrade njegovih osobnih podataka i stoga tvrdi da postoji obrada podataka koja je protivna odredbama navedene uredbe(11). Iz toga slijedi da je, kako bi se na temelju članka 80. stavka 2. OUZP-a priznala aktivna procesna legitimacija takvom subjektu, dovoljno istaknuti da dotična obrada podataka može utjecati na prava koja za identificirane fizičke osobe ili fizičke osobe koje se mogu identificirati proizlaze iz te uredbe a da pritom nije potrebno dokazati stvarnu štetu koju je ispitanik u određenoj situaciji pretrpio zbog povrede svojih prava(12).
15. Iako je sud koji je uputio zahtjev od Suda tako već dobio pojašnjenja kako bi mogao utvrditi može li se tužba za prestanak povrede koju je podnijela Savezna unija smatrati dopuštenom s obzirom na uvjete propisane člankom 80. stavkom 2. OUZP-a, on smatra da još uvijek postoji dvojba u pogledu odgovarajućeg tumačenja te odredbe. Naime, taj sud naglašava da aktivna procesna legitimacija Savezne unije ovisi o tome ističe li taj subjekt u svojoj tužbi, u smislu navedene odredbe, da su „uslijed obrade” povrijeđena prava ispitanika na temelju te uredbe.
16. Prema mišljenju suda koji je uputio zahtjev, u okolnostima ovog slučaja nije očito da je ispunjen taj zahtjev koji se odnosi na materijalno područje primjene članka 80. stavka 2. OUZP-a.
17. Naime, taj sud navodi da se Savezna unija u prilog svojoj tužbi poziva na povredu obveze obavješćivanja predviđene člankom 12. stavkom 1. prvom rečenicom OUZP-a u vezi s člankom 13. stavkom 1. točkama (c) i (e) te uredbe, u pogledu svrhe obrade podataka i primatelja osobnih podataka. Prema mišljenju navedenog suda, valja utvrditi može li se stoga smatrati da se Savezna unija poziva na povredu prava „uslijed obrade”, u smislu članka 80. stavka 2. navedene uredbe.
18. Konkretnije, sud koji je uputio zahtjev smatra, s jedne strane, da i dalje postoji dvojba u vezi s pitanjem je li u ovom slučaju povreda obveze obavješćivanja koja proizlazi iz članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) OUZP-a obuhvaćena pojmom „obrada” u smislu članka 4. točke 2. te uredbe i obuhvaća li taj pojam i situacije koje prethode početku prikupljanja osobnih podataka(13).
19. S druge strane, taj sud smatra da nije jasno utvrđeno je li u slučaju poput onoga u glavnom postupku do povrede obveze obavješćivanja došlo „uslijed” obrade osobnih podataka u smislu članka 80. stavka 2. OUZP-a. Navedeni sud u tom pogledu naglašava da bi izraz „uslijed” mogao upućivati na to da se subjekt koji podnosi predstavničku tužbu mora, kako bi ta tužba bila dopuštena, pozvati na povredu prava ispitanika na temelju te uredbe koja proizlazi iz postupka obrade podataka u smislu članka 4. točke 2. navedene uredbe i do koje stoga dolazi nakon takvog postupka(14).
20. U tim je okolnostima Bundesgerichtshof (Savezni vrhovni sud) ponovno odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:
„Poziva li se na povredu prava [ispitanika] ‚uslijed obrade’ u smislu članka 80. stavka 2. OUZP-a kada udruga za zaštitu interesa potrošača u prilog svojoj tužbi tvrdi da su povrijeđena prava ispitanika jer nisu ispunjene obveze obavješćivanja predviđene člankom 12. stavkom 1. prvom rečenicom OUZP-a u vezi s člankom 13. stavkom 1. točkama (c) i (e) OUZP-a, koje se odnose na svrhu obrade podataka i primatelja osobnih podataka?”
21. Pisana očitovanja podnijeli su društvo Meta Platforms Ireland, Savezna unija, njemačka i portugalska vlada te Europska komisija.
22. Na raspravi održanoj 23. studenoga 2023. sudjelovali su društvo Meta Platforms Ireland, njemačka vlada i Komisija.
II. Analiza
23. Kao što sam to prethodno naveo, sud koji je uputio zahtjev dvoji o tome ispunjava li, u okolnostima ovog slučaja, predstavnička tužba koju je podnijela Savezna unija uvjet naveden u članku 80. stavku 2. OUZP-a prema kojem subjekt koji podnosi takvu tužbu smatra da su „uslijed obrade” osobnih podataka povrijeđena prava ispitanika iz te uredbe.
24. Kako bi se dobro razumio kontekst u kojem taj sud od Suda traži dodatna pojašnjenja o materijalnom području primjene te odredbe, valja podsjetiti na to da se u prilog svojoj tužbi Savezna unija poziva na povredu obveze obavješćivanja o svrsi i opsegu privole korisnika za obradu njihovih osobnih podataka koju ima društvo Meta Platforms Ireland. Konkretnije, predmet spora je prikazivanje igara u Centru za aplikacije koji se nalazi na internetskoj platformi društva Meta Platforms Ireland i napomena da je svaka aplikacija ovlaštena objaviti određene osobne podatke korisnika u njegovo ime. Savezna unija podnijela je tu tužbu neovisno o tome jesu li povrijeđena konkretna prava ispitanika i bez mandata koji bi joj dodijelio takav ispitanik, što je u skladu s navedenom odredbom, kao što je to Sud priznao u presudi Meta Platforms Ireland(15).
25. Razilaženja u mišljenjima o pitanju ima li Savezna unija aktivnu procesnu legitimaciju na temelju članka 80. stavka 2. OUZP-a sada su usredotočena na utvrđenje suda koji je uputio zahtjev prema kojem se predstavnička tužba koju je taj subjekt podnio ne odnosi na pitanje povređuje li društvo Meta Platforms Ireland prava na zaštitu podataka korisnika u trenutku u kojem je on pritisnuo gumb „Odmah igraj” ili „Započni igru” u Centru za aplikacije i tako eventualno doveo do obrade svojih osobnih podataka. Osim toga, nesporno je da predmet tužbe koju je podnijela Savezna unija nije ni pitanje povređuju li se automatiziranim postupcima povezanima s korisnikovim osobnim podacima nakon pritiska na takav gumb njegova prava na zaštitu podataka.
26. Ukratko, okosnica je spora pitanje je li – da bi takva udruga imala aktivnu procesnu legitimaciju na temelju članka 80. stavka 2. OUZP-a – dovoljno da se ona poziva na povredu obveze obavješćivanja a da pritom ne kritizira, kao takvu, obradu podataka koja proizlazi iz postupka koji se sastoji od pritiska na gumb „Odmah igraj” ili „Započni igru”, kada se tom odredbom zahtijeva povreda prava ispitanika „uslijed obrade”.
27. Zbog toga su pitanja suda koji je uputio zahtjev usredotočena na dva elementa, odnosno na, s jedne strane, opseg pojma „obrada” i, s druge strane, značenje izraza „uslijed obrade” iz navedene odredbe.
28. Stoga se taj sud pita je li obveza pružanja ispitaniku, u točnom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, informacija o svrsi obrade osobnih podataka i njihovu primatelju, koja proizlazi iz članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) OUZP-a, obuhvaćena pojmom „obrada” u smislu članka 4. točke 2. te uredbe.
29. U skladu s člankom 4. točkom 2. navedene uredbe, „obrada” se definira kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje”.
30. Iz teksta te odredbe, a osobito iz izraza „svaki postupak”, proizlazi da je zakonodavac Unije pojmu „obrada” namjeravao pridati široko značenje. To tumačenje potvrđuje neiscrpnost popisa postupaka navedenih u predmetnoj odredbi izražena izrazom „kao što su”(16). Prema mišljenju Suda, to je u skladu s ciljem jamčenja djelotvornosti temeljnog prava na zaštitu pojedinaca s obzirom na obradu osobnih podataka, koji se navodi u uvodnoj izjavi 1. OUZP-a i na kojem se temelji primjena te uredbe(17).
31. U prilog tezi prema kojoj bi obveza obavješćivanja koja proizlazi iz članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) OUZP-a mogla biti obuhvaćena pojmom „obrada” u smislu članka 4. točke 2. te uredbe, sud koji je uputio zahtjev navodi ono što je Sud presudio u svojoj presudi od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe)(18).
32. U predmetu u kojem je donesena ta presuda Valsts ieņēmumu dienests (Porezna uprava, Latvija) zahtijevao je od gospodarskog subjekta o kojem je bila riječ da ponovno uspostavi pristup njezinih službi brojevima šasije vozila koja su bila predmet oglasa objavljenog na njegovu internetskom portalu te telefonskim brojevima prodavatelja i da mu otkrije informacije u vezi s oglasima objavljenima na tom portalu.
33. U tom je kontekstu Sud smatrao da se takvim zahtjevom, kojim porezna uprava države članice od gospodarskog subjekta traži otkrivanje i stavljanje na raspolaganje osobnih podataka koje joj je potonji dužan otkriti i staviti na raspolaganje na temelju nacionalnog propisa te države članice, započinje postupak „prikupljanja” tih podataka u smislu članka 4. točke 2. OUZP-a(19). Sud koji je uputio zahtjev iz toga izvodi zaključak da pojam „obrada”, u smislu te odredbe, obuhvaća postupke kojima se samo „započinje” prikupljanje osobnih podataka te stoga postupke koji prethode postupku koji je zakonodavac Unije izričito smatrao primjerom obrade, povlačeći pritom paralelu sa situacijom o kojoj je riječ u glavnom postupku.
34. Smatram, međutim, da se ova situacija jasno razlikuje od one u pogledu koje je donesena presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe)(20). Naime, u ovom slučaju nije riječ o tome da se postupak koji omogućuje pokretanje obrade poveže s obradom, nego o tome da se utvrdi veza između obveze obavješćivanja, poput one koja proizlazi iz članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) OUZP-a, i određene obrade.
35. U tom pogledu smatram da se opseg pojma „obrada”, u smislu članka 4. točke 2. OUZP-a, koliko god bio širok, ne može proširiti na takvu obvezu obavješćivanja. Naime, ta obveza ne podrazumijeva nikakvu izravnu ili neizravnu radnju u pogledu osobnih podataka. Navedena je obveza zapravo uvjet za zakonitu obradu tih podataka.
36. Valja istaknuti da se u članku 12. te uredbe navode opće obveze voditelja obrade u pogledu transparentnosti informacija i komunikacija te modaliteti ostvarivanja prava ispitanika.
37. Konkretno, člankom 12. stavkom 1. prvom rečenicom navedene uredbe propisuje se da „[v]oditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu”.
38. U članku 13. OUZP-a, naslovljenom „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. točkama (c) i (e) propisuje se:
„Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:
[…]
(c) svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;
[…]
(e) primatelje ili kategorije primatelja osobnih podataka, ako ih ima […]”
39. Valja podsjetiti na to da članak 6. stavak 1. prvi podstavak OUZP-a predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Dakle, da bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih u toj odredbi(21).
40. U skladu s člankom 6. stavkom 1. prvim podstavkom točkom (a) te uredbe, obrada osobnih podataka zakonita je samo ako i u onoj mjeri u kojoj je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha(22).
41. Ako takva privola nije dana uopće ili nije dana dobrovoljno, posebno, informirano i nedvosmisleno, u smislu članka 4. točke 11. OUZP‑a, i ako obrada o kojoj je riječ ne ispunjava jedan od zahtjeva nužnosti navedenih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) te uredbe, takva je obrada nezakonita(23).
42. Kad je riječ o zahtjevu koji proizlazi iz članka 4. točke 11. OUZP-a prema kojem privola mora biti „informirana”, taj zahtjev podrazumijeva, u skladu s člankom 13. te uredbe, u vezi s njezinom uvodnom izjavom 42., da voditelj obrade pruži ispitaniku informaciju u pogledu svih okolnosti obrade podataka u razumljivom i lako dostupnom obliku i uz uporabu jasnog i jednostavnog jezika, pri čemu taj ispitanik mora među ostalim poznavati vrstu podataka koje treba obraditi, identitet voditelja obrade, trajanje i vrste te obrade kao i njezine svrhe. Takva informacija mora omogućiti navedenom ispitaniku da lako odredi posljedice privole koju može dati i jamčiti da je privola dana uz potpuno poznavanje činjenica(24).
43. Međutim, napominjem da, kao što je to naveo sud koji je uputio zahtjev(25), Savezna unija ističe da je prikaz napomena pod gumbom „Odmah igraj” u Centru za aplikacije nepošten među ostalim zbog nepoštovanja zakonskih zahtjeva koji se odnose na pribavljanje valjane privole korisnika na temelju odredbi kojima je uređena zaštita osobnih podataka.
44. Drugim riječima, u osnovi je tužbe koju je podnijela Savezna unija to da, s obzirom na manjkav prikaz Centra za aplikacije na koji se poziva taj subjekt, osoba može pritisnuti gumb „Odmah igraj” a da pritom nema potrebne informacije na temelju kojih bi mogla lako odrediti posljedice privole koju može dati za obradu svojih osobnih podataka nakon aktivacije tog gumba te nije zajamčeno da je ta privola dana uz potpuno poznavanje činjenica.
45. U tim okolnostima, smatram da Savezna unija u okviru svoje tužbe tvrdi da su, u skladu s onim što se predviđa člankom 80. stavkom 2. OUZP-a, „uslijed obrade osobnih podataka prekršena prava ispitanika iz [te] [u]redbe”.
46. Naime, s jedne strane, i članak 12. i članak 13. OUZP-a dio su poglavlja III. te uredbe, naslovljenog „Prava ispitanika”. S obzirom na obvezu obavješćivanja koju voditelj obrade ima na temelju tih članaka, prava ispitanika koja iz njih proizlaze dio su onih prava koja se nastoje zaštititi predstavničkom tužbom predviđenom u članku 80. stavku 2. navedene uredbe.
47. S druge strane, navodna povreda prava ispitanika na to da budu dovoljno obaviješteni o svim okolnostima obrade osobnih podataka, osobito o njezinoj svrsi i primatelju tih podataka, može biti prepreka davanju „informiran[e]” privole u smislu članka 4. točke 11. OUZP-a, zbog čega ta obrada može biti nezakonita.
48. Stoga je u svrhu podnošenja predstavničke tužbe na temelju članka 80. stavka 2. te uredbe dovoljno da se subjekt pozove na povredu obveze obavješćivanja koju ima voditelj obrade, navodeći pritom obradu o kojoj je riječ, koja je, u ovom slučaju, ona do koje dolazi kada osoba pritisne gumb „Odmah igraj”. Mora biti riječ o obradi podataka koja može utjecati na prava koja za identificiranu fizičku osobu ili fizičku osobu koju se može identificirati proizlaze iz te uredbe(26), što podrazumijeva da ta obrada mora postojati i da stoga ne smije biti isključivo hipotetska.
49. Usto, prema mojem mišljenju, nije važno to što se taj subjekt poziva na povredu obveze koja prethodi obradi osobnih podataka. To je slučaj s obvezom obavješćivanja koju treba ispuniti najkasnije u trenutku prikupljanja podataka, u skladu s onim što se predviđa člankom 13. stavkom 1. OUZP-a.
50. Stoga, izraz „uslijed obrade” naveden u članku 80. stavku 2. te uredbe nipošto ne znači da bi se pravo čija se povreda nastoji utvrditi tužbom predviđenom tim člankom moralo nužno odnositi na fazu koja slijedi nakon postupka „obrade”, u smislu članka 4. točke 2. navedene uredbe. Drugim riječima, iz tog izraza ne treba iščitavati nikakav zahtjev vremenskog slijeda koji bi podrazumijevao da do povrede prava ispitanika predviđenih OUZP-om treba doći tijekom faze koja slijedi nakon takve obrade.
51. Ono što je važno jest zapravo postojanje veze između poštovanja prava o kojima je riječ i predmetne obrade. To je slučaj kada zbog povrede tih prava obrada postane nezakonita. Nezakonitost obrade proizlazi iz povrede obveze obavješćivanja. Ta su dva aspekta neodvojiva.
52. Iz toga slijedi da zahtjev prema kojem subjekt može podnijeti predstavničku tužbu na temelju članka 80. stavka 2. OUZP-a ako smatra da su „uslijed obrade” povrijeđena prava ispitanika iz te uredbe ne podrazumijeva, prema mojem mišljenju, da se taj subjekt mora pozivati na povredu takvih prava koja proizlazi iz postupka obrade podataka, u smislu članka 4. točke 2. te uredbe, i do koje stoga dolazi nakon takvog postupka. Dovoljno je da navede postojanje veze između obrade osobnih podataka i povrede prava zaštićenih OUZP-om.
53. Stoga u ovom slučaju nije važno to što se Savezna unija poziva na povredu obveze obavješćivanja neovisno o tome je li ispitanik pritisnuo ili nije gumb „Odmah igraj” u Centru za aplikacije jer je takva obveza, s obzirom na to da može utjecati na uvjete zakonitosti obrade do koje dolazi uslijed aktivacije tog gumba, nesporno povezana s tom obradom.
54. To je tumačenje u skladu ne samo s preventivnom funkcijom predstavničke tužbe predviđene člankom 80. stavkom 2. OUZP-a(27) nego i, s obzirom na to da se njome pridonosi jačanju prava ispitanikâ(28), s ciljem te uredbe, koji proizlazi iz uvodne izjave 10., a to je osiguranje u Uniji visoke razine zaštite temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka(29).
55. Dodajem da bi, prema mojem mišljenju, bilo nedosljedno primijeniti usko tumačenje materijalnog područja primjene članka 80. stavka 2. navedene uredbe kada se člankom 79. stavkom 1. OUZP-a predviđa, na sličan način, pravo svakog ispitanika na učinkoviti pravni lijek te ne postoji nikakav razlog za to da se iz materijalnog područja primjene takvog pravnog lijeka isključe prava koja proizlaze iz obveze obavješćivanja predviđene člankom 12. stavkom 1. prvom rečenicom te uredbe u vezi s člankom 13. stavkom 1. točkama (c) i (e) navedene uredbe.
56. Stoga smatram da članak 80. stavak 2. OUZP-a treba tumačiti na način da uvjet prema kojem ovlašteni subjekt – da bi mogao podnijeti predstavničku tužbu na temelju te odredbe – mora istaknuti da smatra da su uslijed obrade povrijeđena prava ispitanika iz te uredbe, pretpostavlja da taj subjekt navodi postojanje obrade osobnih podataka i veze između povrede tih prava i te obrade. Takav je uvjet ispunjen kada se ta tužba temelji, u vezi s obradom osobnih podataka, na povredi obveze obavješćivanja koju je počinio voditelj obrade, pri čemu je ta obveza predviđena člankom 12. stavkom 1. prvom rečenicom navedene uredbe u vezi s člankom 13. stavkom 1. točkama (c) i (e) te uredbe, s obzirom na to da zbog te povrede ta obrada može biti nezakonita.
III. Zaključak
57. S obzirom na sva prethodna razmatranja, predlažem da se na prethodno pitanje koje je uputio Bundesgerichtshof (Savezni vrhovni sud, Njemačka) odgovori na sljedeći način:
Članak 80. stavak 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da:
uvjet prema kojem ovlašteni subjekt – da bi mogao podnijeti predstavničku tužbu na temelju te odredbe – mora istaknuti da smatra da su uslijed obrade povrijeđena prava ispitanika iz te uredbe, pretpostavlja da taj subjekt navodi postojanje obrade osobnih podataka i veze između povrede tih prava i te obrade. Takav je uvjet ispunjen kada se ta tužba temelji, u vezi s obradom osobnih podataka, na povredi obveze obavješćivanja koju je počinio voditelj obrade, pri čemu je ta obveza predviđena člankom 12. stavkom 1. prvom rečenicom navedene uredbe u vezi s člankom 13. stavkom 1. točkama (c) i (e) te uredbe, s obzirom na to da zbog te povrede ta obrada može biti nezakonita.