Začasna izdaja
SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
JEANA RICHARDA DE LA TOURA,
predstavljeni 25. januarja 2024(1)
Zadeva C-757/22
Meta Platforms Ireland Limited
proti
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija))
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 12(1), prvi stavek – Preglednost informacij – Člen 13(1)(c) in (e) – Obveznost upravljavca glede zagotavljanja informacij – Člen 80(2) – Zastopanje posameznikov, na katere se nanašajo osebni podatki, s strani združenja za varstvo interesov potrošnikov – Zastopniška tožba, vložena brez pooblastila in ne glede na kršitev konkretnih pravic posameznika, na katerega se nanašajo osebni podatki – Tožba na podlagi kršitve obveznosti upravljavca glede zagotavljanja informacij – Pojem ‚kršitve pravic posameznika, na katerega se nanašajo osebni podatki, ,zaradi obdelave‘“
I. Ozadje zadeve, dejansko stanje v sporu o glavni stvari in novo vprašanje za predhodno odločanje
1. V obravnavani zadevi Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija) ponovno postavlja vprašanje za predhodno odločanje v zvezi z razlago člena 80(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov).(2)
2. V skladu s to določbo lahko države članice določijo, da ima katero koli telo, organizacija ali združenje neodvisno od pooblastila posameznika, na katerega se nanašajo osebni podatki, v zadevni državi članici pravico, da v skladu s členom 77 te uredbe vloži pritožbo pri nadzornem organu in da uveljavlja pravice iz členov 78 in 79 navedene uredbe, če meni, da so pravice posameznika, na katerega se nanašajo osebni podatki, iz navedene uredbe kršene zaradi obdelave osebnih podatkov.
3. Predlog za sprejetje predhodne odločbe je bil vložen v okviru spora med družbo Meta Platforms Ireland Limited, nekdanjo družbo Facebook Ireland Limited, s sedežem na Irskem in Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (zvezno združenje organizacij in združenj za varstvo potrošnikov, Nemčija, v nadaljevanju: zvezno združenje), ker naj bi družba Meta Platforms Ireland kršila nemško zakonodajo o varstvu osebnih podatkov, pri čemer naj bi ta kršitev hkrati pomenila nepošteno poslovno prakso, kršitev zakona o varstvu potrošnikov in kršitev prepovedi uporabe neveljavnih splošnih pogojev.
4. Gre za isti spor kot v zadevi, v kateri je bila izdana sodba z dne 28. aprila 2022, Meta Platforms Ireland,(3) katerega dejansko stanje je mogoče povzeti tako.(4)
5. Družba Meta Platforms Ireland, ki ponuja storitve spletnega družbenega omrežja Facebook v Uniji, je odgovorna za obdelavo osebnih podatkov uporabnikov tega družbenega omrežja v Uniji. Družba Facebook Germany GmbH, ki ima sedež v Nemčiji, pod naslovom www.facebook.de spodbuja prodajo oglasnega prostora. Spletna platforma Facebook med drugim na spletnem naslovu www.facebook.de vsebuje prostor, imenovan „App-Zentrum“ (center za aplikacije), na katerem družba Meta Platforms Ireland uporabnikom daje na voljo brezplačne igre tretjih ponudnikov. Uporabnik med obiskom centra za aplikacije nekaterih od teh iger vidi podatek, da uporaba zadevne aplikacije družbi za razvoj iger omogoča pridobitev nekega določenega števila osebnih podatkov in ji dovoljuje, da v imenu tega uporabnika objavi podatke, kot so njegov izid in drugi podatki. Posledica te uporabe je, da navedeni uporabnik sprejme splošne pogoje aplikacije in njeno politiko na področju varstva podatkov. Poleg tega je pri določeni igri navedeno, da lahko aplikacija v imenu istega uporabnika objavlja statusna sporočila, fotografije in druge podatke.
6. Zvezno združenje, organizacija, ki ima procesno upravičenje na podlagi člena 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) ((zakon o opustitvenih tožbah zaradi kršitev potrošniškega prava in drugih kršitev) z dne 26. novembra 2001,(5) meni, da vnos podatkov v center za aplikacije, ki poteka prek zadevnih iger, ni dovoljen, zlasti ob upoštevanju nespoštovanja zakonskih pogojev, ki veljajo za pridobitev veljavne privolitve uporabnika na podlagi določb o varstvu podatkov. Poleg tega meni, da je navedba, v skladu s katero lahko aplikacija v imenu uporabnika objavlja nekatere njegove osebne podatke, splošni pogoj, ki uporabnika neupravičeno postavlja v neugoden položaj.
7. V tem okviru je zvezno združenje pri Landgericht Berlin (deželno sodišče v Berlinu, Nemčija) proti družbi Meta Platforms Ireland na podlagi člena 3a Gesetz gegen den unlauteren Wettbewerb (zakon o preprečevanju nelojalne konkurence) z dne 3. julija 2004,(6) člena 2(2), prvi stavek, točka 11, zakona o opustitvenih tožbah in Bürgerliches Gesetzbuch (civilni zakonik) vložilo opustitveno tožbo. Ta tožba je bila vložena, ne da bi bile posamezniku, na katerega se nanašajo osebni podatki, konkretno kršene pravice do varstva podatkov in brez pooblastila takega posameznika.
8. Landgericht Berlin (deželno sodišče v Berlinu) je družbo Meta Platforms Ireland obsodilo v skladu s predlogi zveznega združenja. Pritožba družbe Meta Platforms Ireland pri Kammergericht Berlin (višje deželno sodišče v Berlinu, Nemčija) je bila zavrnjena. Družba Meta Platforms Ireland je nato pri predložitvenem sodišču vložila revizijo zoper zavrnilno odločbo, ki jo je pritožbeno sodišče sprejelo.
9. Predložitveno sodišče je v okviru tega pravnega sredstva menilo, da je tožba zveznega združenja utemeljena, ker je družba Meta Platforms Ireland kršila člen 3a zakona o preprečevanju nelojalne konkurence in člen 2(2), prvi stavek, točka 11, zakona o opustitvenih tožbah ter uporabila neveljaven splošni pogoj v smislu člena 1 zakona o opustitvenih tožbah.
10. Vendar je to sodišče dvomilo o dopustnosti tožbe zveznega združenja. Zlasti se je spraševalo, ali lahko procesno upravičenje zveznega združenja izhaja iz člena 80(2) SUVP. Zato je Sodišču postavilo vprašanje za predhodno odločanje, da bi pridobilo razlago te določbe.
11. Sodišče je v odgovor na to vprašanje v sodbi Meta Platforms Ireland razsodilo, da je treba člen 80(2) SUVP razlagati tako, da ne nasprotuje nacionalni ureditvi, ki združenju za varstvo interesov potrošnikov omogoča, da ob neobstoju pooblastila, ki mu je bilo podeljeno za to, in ne glede na kršitev konkretnih pravic posameznikov, na katere se nanašajo osebni podatki, proti domnevnemu kršitelju varstva osebnih podatkov sproži postopek pred sodiščem, ob zatrjevanju kršitve prepovedi nepoštenih poslovnih praks, zakona o varstvu potrošnikov ali prepovedi uporabe neveljavnih splošnih pogojev, če zadevna obdelava podatkov lahko vpliva na pravice, ki jih imajo določeni ali določljivi posamezniki na podlagi te uredbe.(7)
12. Sodišče je tako pojasnilo stvarno področje uporabe mehanizma zastopniške tožbe zoper domnevnega kršitelja varstva osebnih podatkov, določenega v členu 80(2) SUVP.
13. Natančneje, Sodišče je razsodilo, da za vložitev take zastopniške tožbe od subjekta, ki izpolnjuje pogoje iz člena 80(1) SUVP, ni mogoče zahtevati, da predhodno posamično identificira posameznika, na katerega se posebej nanaša obdelava podatkov, ki naj bi bila v nasprotju z določbami te uredbe.(8) Zato lahko tudi za vložitev take zastopniške tožbe zadostuje določitev kategorije ali skupine oseb, na katere se nanaša taka obdelava.(9)
14. Sodišče je tudi razsodilo, da v skladu s členom 80(2) SUVP vložitev zastopniške tožbe prav tako ni pogojena z obstojem konkretne kršitve pravic, ki jih ima posameznik na podlagi pravil s področja varstva podatkov.(10) Po mnenju Sodišča namreč vložitev zastopniške tožbe predpostavlja le, da subjekt iz te določbe „meni“, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, kršene zaradi obdelave njegovih osebnih podatkov, in torej zatrjuje obstoj obdelave podatkov, ki je v nasprotju z določbami navedene uredbe.(11) Iz tega sledi, da za priznanje procesnega upravičenja takemu subjektu na podlagi člena 80(2) SUVP zadostuje navedba, da zadevna obdelava podatkov lahko vpliva na pravice, ki jih imajo določeni ali določljivi posamezniki na podlagi te uredbe, ne da bi bilo treba dokazati dejansko škodo, ki jo je v določenem položaju utrpel posameznik, na katerega se nanašajo osebni podatki, s kršitvijo njegovih pravic.(12)
15. Čeprav je predložitveno sodišče tako od Sodišča že dobilo napotke, da bi lahko ugotovilo, ali je tožbo za opustitev, ki jo je vložilo zvezno združenje, mogoče šteti za dopustno glede na pogoje iz člena 80(2) SUVP, meni, da je treba še vedno odpraviti dvom o razlagi te določbe. To sodišče namreč poudarja, da je procesno upravičenje zveznega združenja odvisno od tega, ali ta subjekt v smislu navedene določbe s tožbo uveljavlja, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, na podlagi te uredbe kršene „zaradi obdelave“.
16. Po mnenju predložitvenega sodišča ni očitno, da je ta zahteva v zvezi s stvarnim področjem uporabe člena 80(2) SUVP v okoliščinah obravnavane zadeve izpolnjena.
17. To sodišče namreč navaja, da se zvezno združenje v utemeljitev tožbe sklicuje na kršitev obveznosti zagotavljanja informacij iz člena 12(1), prvi stavek, SUVP v povezavi s členom 13(1)(c) in (e) te uredbe, kar zadeva namen obdelave podatkov in prejemnika osebnih podatkov. Po mnenju navedenega sodišča je treba ugotoviti, ali je zato mogoče šteti, da zvezno združenje uveljavlja kršitev pravic „zaradi obdelave“ v smislu člena 80(2) navedene uredbe.
18. Natančneje, predložitveno sodišče meni, prvič, da še vedno ni gotovo, ali kršitev obveznosti zagotavljanja informacij, ki izhaja iz člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) SUVP, v obravnavani zadevi spada pod pojem „obdelava“ v smislu člena 4, točka 2, te uredbe in ali ta pojem zajema tudi položaje pred začetkom zbiranja osebnih podatkov.(13)
19. Drugič, to sodišče meni, da ni jasno razvidno, ali je v primeru, kot je ta iz postopka v glavni stvari, do kršitve obveznosti zagotavljanja informacij prišlo „zaradi“ obdelave osebnih podatkov v smislu člena 80(2) SUVP. Navedeno sodišče v zvezi s tem poudarja, da bi izraz „zaradi“ lahko kazal na to, da mora subjekt, ki vloži zastopniško tožbo, za dopustnost te tožbe uveljavljati kršitev pravic posameznika, na katerega se nanašajo osebni podatki, iz te uredbe, ki je posledica dejanja obdelave podatkov v smislu člena 4, točka 2, navedene uredbe in torej sledi takemu dejanju.(14)
20. V teh okoliščinah je Bundesgerichtshof (zvezno vrhovno sodišče) ponovno prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:
„Ali se uveljavlja kršitev [pravic posameznika, na katerega se nanašajo osebni podatki,] ,zaradi obdelave‘ v smislu člena 80(2) Splošne uredbe o varstvu podatkov, če združenje za varstvo interesov potrošnikov svojo tožbo utemeljuje z dejstvom, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, kršene, ker niso bile izpolnjene obveznosti zagotavljanja informacij iz prvega stavka člena 12(1) Splošne uredbe o varstvu podatkov v povezavi s členom 13(1)(c) in (e) te uredbe?“
21. Pisna stališča so predložili družba Meta Platforms Ireland, zvezno združenje, nemška in portugalska vlada ter Evropska komisija.
22. Obravnava je potekala 23. novembra 2023 ob navzočnosti družbe Meta Platforms Ireland, nemške vlade in Komisije.
II. Analiza
23. Kot sem že navedel, predložitveno sodišče dvomi o tem, ali v okoliščinah obravnavane zadeve zastopniška tožba, ki jo je vložilo zvezno združenje, izpolnjuje pogoj iz člena 80(2) SUVP, v skladu s katerim subjekt, ki je vložil tako tožbo, meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene „zaradi obdelave“ osebnih podatkov.
24. Da bi v celoti razumeli okvir, v katerem to sodišče Sodišče prosi za dodatna pojasnila o stvarnem področju uporabe te določbe, je treba spomniti, da se zvezno združenje v utemeljitev svoje tožbe sklicuje na kršitev obveznosti družbe Meta Platforms Ireland, da zagotovi informacije o namenu in obsegu privolitve uporabnika v obdelavo njegovih osebnih podatkov. Natančneje, predmet spora je predstavitev iger v centru za aplikacije, ki je na spletni platformi družbe Meta Platforms Ireland, in navedba, v skladu s katero lahko vsaka aplikacija v imenu uporabnika objavlja nekatere njegove osebne podatke. Zvezno združenje je to tožbo vložilo ne glede na kršitev konkretnih pravic posameznika, na katerega se nanašajo osebni podatki, in ne da bi ga tak posameznik za to pooblastil, kar je v skladu z navedeno določbo, kot je Sodišče priznalo v sodbi Meta Platforms Ireland.(15)
25. Razlike v stališčih glede vprašanja, ali ima zvezno združenje procesno upravičenje na podlagi člena 80(2) SUVP, se zdaj osredotočajo na ugotovitev predložitvenega sodišča, da se zastopniška tožba, ki jo je vložil ta subjekt, ne nanaša na vprašanje, ali družba Meta Platforms Ireland krši pravice uporabnika do varstva podatkov v trenutku, ko ta pritisne gumb „Igraj takoj“ ali „Igraj“ v centru za aplikacije in s tem morda sproži obdelavo njegovih osebnih podatkov. Dalje, ni sporno, da vprašanje, ali avtomatizirana dejanja, ki se izvajajo v zvezi z osebnimi podatki uporabnika po kliku na tak gumb, kršijo pravice uporabnika do varstva podatkov, prav tako ni predmet tožbe, ki jo je vložilo zvezno združenje.
26. V središču spora je torej vprašanje, ali je za to, da ima tako združenje procesno upravičenje na podlagi člena 80(2) SUVP, dovolj, da se sklicuje na kršitev obveznosti zagotavljanja informacij, ne da bi grajalo obdelavo podatkov kot tako, ki izhaja iz dejanja pritiska na gumb „Igraj takoj“ ali „Igraj“, čeprav se s to določbo zahteva kršitev pravic posameznika, na katerega se nanašajo osebni podatki, „zaradi obdelave“.
27. Zato se vprašanja predložitvenega sodišča osredotočajo na dva elementa, in sicer, na obseg pojma „obdelava“ na eni strani in na pomen besedne zveze „zaradi obdelave“ iz navedene določbe na drugi strani.
28. To sodišče se tako sprašuje, ali obveznost, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovijo informacije, povezane z namenom obdelave osebnih podatkov in uporabnikom teh informacij, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, ki izhaja iz člena 12(1), prvi stavek, in člena 13(1)(c) in (e) SUVP, spada pod pojem „obdelava“ v smislu člena 4, točka 2, te uredbe.
29. V skladu s členom 4, točka 2, navedene uredbe „obdelava“ pomeni „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje“.
30. Iz besedila te določbe, zlasti iz izraza „vsako dejanje“, je razvidno, da je zakonodajalec Unije pojmu „obdelava“ želel dati širok obseg. To razlago potrjuje neizčrpnost dejanj, navedenih v tej določbi, ki je izražena z besedno zvezo „kot je“.(16) Po mnenju Sodišča je taka razlaga v skladu s ciljem zagotavljanja učinkovitosti temeljne pravice do varstva posameznikov pri obdelavi osebnih podatkov, navedenim v uvodni izjavi 1 SUVP, ki predstavlja podlago za uporabo te uredbe.(17)
31. Predložitveno sodišče v podporo tezi, da bi obveznost zagotavljanja informacij, ki izhaja iz člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) SUVP, lahko spadala pod pojem „obdelava“ v smislu člena 4, točka 2, te uredbe, navaja, kar je Sodišče razsodilo v sodbi z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov v davčne namene)(18).
32. V zadevi, v kateri je bila izdana ta sodba, je Valsts ieņēmumu dienests (davčna uprava, Latvija) od zadevnega gospodarskega subjekta zahtevala, naj službam te uprave ponovno vzpostavi dostop do številk šasij vozil, ki so v oglasih, objavljenih na njegovem spletnem portalu, in do telefonskih številk prodajalcev ter naj ji zagotovi informacije o oglasih, objavljenih na tem portalu.
33. V tem okviru je Sodišče menilo, da taka zahteva, s katero davčna uprava države članice od gospodarskega subjekta zahteva posredovanje in dajanje na voljo osebnih podatkov, ki ji jih mora ta subjekt zagotoviti in dati na voljo na podlagi nacionalne ureditve te države članice, sproži postopek „zbiranja“ teh podatkov v smislu člena 4, točka 2, SUVP.(19) Predložitveno sodišče na podlagi tega sklepa, da pojem „obdelava“ v smislu te določbe zajema dejanja, ki zgolj „sprožijo“ zbiranje osebnih podatkov, in torej dejanja, ki so izvedena pred dejanjem, ki ga je zakonodajalec Unije izrecno štel za primer obdelave, pri čemer vleče vzporednice s položajem iz postopka v glavni stvari.
34. Vendar menim, da se ta položaj jasno razlikuje od položaja, v katerem je bila izdana sodba z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov v davčne namene).(20) V obravnavani zadevi namreč ne gre za to, da se s postopkom obdelave povezuje dejanje, ki omogoča sproženje tega postopka, temveč prej za ugotavljanje povezave med obveznostjo zagotavljanja informacij, kot je ta, ki izhaja iz člena 12(1), prvi stavek, in člena 13(1)(c) in (e) SUVP, in dano obdelavo.
35. V zvezi s tem menim, da obsega pojma „obdelava“ v smislu člena 4, točka 2, SUVP, naj bo še tako širok, ni mogoče razširiti na tako obveznost zagotavljanja informacij. Ta obveznost namreč ne vključuje nobenega neposrednega ali posrednega dejanja v zvezi z osebnimi podatki. Navedena obveznost je prej pogoj za zakonitost obdelave teh podatkov.
36. Poudariti je treba, da člen 12 te uredbe določa splošne obveznosti, ki jih ima upravljavec glede preglednosti informacij in sporočil ter glede načinov za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki.
37. Natančneje, člen 12(1), prvi stavek, navedene uredbe določa, da „[u]pravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene posebej otroku“.
38. Člen 13 SUVP, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1(c) in (e) določa:
„Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:
[…]
(c) namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
[…]
(e) uporabnike ali kategorije uporabnikov osebnih podatkov, če obstajajo […] “
39. Spomniti je treba, da člen 6(1), prvi pododstavek, SUVP določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. Torej, da bi se lahko štelo, da je obdelava zakonita, mora ustrezati enemu od primerov, opredeljenih v tej določbi.(21)
40. V skladu s členom 6(1), prvi pododstavek, točka (a), te uredbe je obdelava osebnih podatkov zakonita, le in kolikor je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo svojih osebnih podatkov v enega ali več določenih namenov.(22)
41. Če take privolitve ni ali če ta privolitev ni bila dana prostovoljno, izrecno, informirano in nedvoumno v smislu člena 4, točka 11, SUVP ter če zadevna obdelava ne izpolnjuje ene od zahtev nujnosti iz člena 6(1), prvi pododstavek, točke od (b) do (f), te uredbe, je ta obdelava nezakonita.(23)
42. Zahteva, ki izhaja iz člena 4, točka 11, SUVP, v skladu s katerim mora biti privolitev „informirana“, v skladu s členom 13 te uredbe v povezavi z njeno uvodno izjavo 42 pomeni, da upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi obvestitev v zvezi z vsemi okoliščinami obdelave podatkov v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, saj mora biti ta posameznik med drugim seznanjen z vrsto podatkov, ki se obdelujejo, identiteto upravljavca, trajanjem in načinom te obdelave ter nameni, ki se s tem dosegajo. Takšna obvestitev mora navedenemu posamezniku omogočiti, da z lahkoto ugotovi posledice morebitne dane privolitve, in zagotoviti, da je ta privolitev dana ob popolni seznanjenosti z dejstvi.(24)
43. Vendar ugotavljam, da zvezno združenje, kot navaja predložitveno sodišče,(25) trdi, da je predstavitev obvestil v centru za aplikacije, navedenih pod gumbom „Igraj takoj“, nepoštena, med drugim z vidika nezakonitosti zaradi kršitve zakonskih zahtev, ki veljajo za pridobitev veljavne privolitve uporabnika na podlagi določb o varstvu podatkov.
44. Povedano drugače, tožba zveznega združenja temelji na tem, da bi posameznik – ob upoštevanju pomanjkljive predstavitve centra za aplikacije, na katero se sklicuje ta subjekt – lahko pritisnil gumb „Igraj takoj“, ne da bi imel informacije, ki so potrebne za to, da bi lahko z lahkoto ugotovil posledice morebitne dane privolitve v obdelavo svojih osebnih podatkov po sprožitvi tega gumba, in ne da bi bilo zagotovljeno, da je ta privolitev dana ob popolni seznanjenosti z dejstvi.
45. V teh okoliščinah menim, da zvezno združenje v okviru svoje tožbe v skladu s tem, kar določa člen 80(2) SUVP, trdi, da so bile „pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave“.
46. Po eni strani sta namreč tako člen 12 kot člen 13 SUVP del poglavja III te uredbe, naslovljenega „Pravice posameznika, na katerega se nanašajo osebni podatki“. Ob upoštevanju obveznosti zagotavljanja informacij, ki jo ima upravljavec na podlagi teh členov, spadajo pravice, ki iz nje izhajajo za posameznike, na katere se nanašajo osebni podatki, med tiste, ki se varujejo z zastopniško tožbo iz člena 80(2) navedene uredbe.
47. Po drugi strani lahko zatrjevana kršitev pravice posameznikov, na katere se nanašajo osebni podatki, da so zadostno obveščeni o vseh okoliščinah obdelave osebnih podatkov, zlasti o namenu te obdelave in prejemniku teh podatkov, ovira izražanje „informirane“ privolitve v smislu člena 4, točka 11, SUVP, zaradi česar je lahko ta obdelava nezakonita.
48. Zato za vložitev zastopniške tožbe na podlagi člena 80(2) te uredbe zadostuje, da se subjekt sklicuje na kršitev obveznosti zagotavljanja informacij, ki jo ima upravljavec, pri čemer navede zadevno obdelavo, ki je v obravnavanem primeru tista, ki se izvede, ko posameznik pritisne gumb „Igraj takoj“. Obdelava podatkov mora biti taka, da lahko vpliva na pravice, ki jih imajo določeni ali določljivi posamezniki na podlagi navedene uredbe,(26) kar pomeni, da mora ta obdelava obstajati in torej ne sme biti zgolj hipotetična.
49. Poleg tega menim, da ni pomembno, ali se ta subjekt sklicuje na kršitev obveznosti, ki nastopi pred obdelavo osebnih podatkov. To velja za obveznost zagotavljanja informacij, ki jo je v skladu s členom 13(1) SUVP treba izpolniti najpozneje ob pridobivanju podatkov.
50. Besedna zveza „zaradi obdelave“ iz člena 80(2) te uredbe tako nikakor ne pomeni, da bi se morala pravica, katere kršitev se ugotavlja s tožbo iz tega člena, nujno nanašati na fazo po dejanju, ki je sestavni del „obdelave“ v smislu člena 4(2) navedene uredbe. Povedano drugače, ta besedna zveza se ne sme razlagati tako, da vsebuje zahtevo po časovnem zaporedju, ki bi pomenila, da bi moralo do kršitve pravic posameznika, na katerega se nanašajo osebni podatki, ki so določene v SUVP, priti v fazi, ki sledi taki obdelavi.
51. Pomembno pa je, da obstaja povezava med spoštovanjem zadevnih pravic in zadevno obdelavo. Tako je, kadar kršitev teh pravic povzroči, da je ta obdelava nezakonita. Nezakonitost obdelave izhaja iz kršitve obveznosti zagotavljanja informacij. To dvoje je neločljivo povezano.
52. Iz tega sledi, da pogoj, da lahko subjekt vloži zastopniško tožbo na podlagi člena 80(2) SUVP, če meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene „zaradi obdelave“, po mojem mnenju ne zahteva, da ta subjekt uveljavlja kršitev teh pravic, ki je posledica dejanja obdelave podatkov v smislu člena 4, točka 2, te uredbe in torej sledi takemu dejanju. Zadostuje, da se sklicuje na obstoj povezave med obdelavo osebnih podatkov in kršitvijo pravic, varovanih s SUVP.
53. V obravnavani zadevi torej sploh ni pomembno, da zvezno združenje uveljavlja kršitev obveznosti zagotavljanja informacij ne glede na to, ali posameznik, na katerega se nanašajo osebni podatki, pritisne gumb „Igraj takoj“ v centru za aplikacije ali ne, saj je taka obveznost, glede na to, da lahko vpliva na pogoje zakonitosti obdelave, ki je posledica aktiviranja tega gumba, nedvomno povezana s to obdelavo.
54. Ta razlaga je skladna ne le s preventivno funkcijo zastopniške tožbe iz člena 80(2) SUVP,(27) ampak tudi – ker prispeva h krepitvi pravic posameznikov, na katere se nanašajo osebni podatki(28) – s ciljem te uredbe, ki izhaja iz uvodne izjave 10 in ki je zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov.(29)
55. Naj dodam, da bi bilo po mojem mnenju nedosledno sprejeti ozko razlago stvarnega področja uporabe člena 80(2) ob upoštevanju, da je v členu 79(1) SUVP s podobnimi besedami določena pravica vsakega posameznika, na katerega se nanašajo osebni podatki, do učinkovitega pravnega sredstva in da ni nobenega razloga za to, da bi se s stvarnega področja uporabe takega sredstva izključile pravice, ki izhajajo iz obveznosti zagotavljanja informacij iz člena 12(1), prvi stavek, navedene uredbe v povezavi s členom 13(1)(c) in (e) te uredbe.
56. Menim torej, da je treba člen 80(2) SUVP razlagati tako, da pogoj, v skladu s katerim mora pooblaščeni subjekt za vložitev zastopniške tožbe na podlagi te določbe trditi, da so bile po njegovem mnenju pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave, predpostavlja, da ta subjekt zatrjuje obstoj obdelave osebnih podatkov ter povezave med kršitvijo teh pravic in to obdelavo. Tak pogoj je izpolnjen, če navedena tožba v zvezi z obdelavo osebnih podatkov temelji na tem, da je upravljavec kršil obveznost zagotavljanja informacij iz člena 12(1), prvi stavek, navedene uredbe v povezavi s členom 13(1)(c) in (e) iste uredbe, ker je lahko zaradi te kršitve ta obdelava nezakonita.
III. Predlog
57. Glede na vse navedeno predlagam, naj se na vprašanje za predhodno odločanje, ki ga je postavilo Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija), odgovori:
Člen 80(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
pogoj, v skladu s katerim mora pooblaščeni subjekt za vložitev zastopniške tožbe na podlagi te določbe trditi, da so bile po njegovem mnenju pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave, predpostavlja, da ta subjekt zatrjuje obstoj obdelave osebnih podatkov ter povezave med kršitvijo teh pravic in to obdelavo. Tak pogoj je izpolnjen, če navedena tožba v zvezi z obdelavo osebnih podatkov temelji na tem, da je upravljavec kršil obveznost zagotavljanja informacij iz člena 12(1), prvi stavek, navedene uredbe v povezavi s členom 13(1)(c) in (e) iste uredbe, ker je lahko zaradi te kršitve ta obdelava nezakonita.