PRESUDA SUDA (prvo vijeće)
4. svibnja 2023.(*)
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Ispitanikovo pravo na pristup njegovim podacima koji se obrađuju – Članak 15. stavak 3. – Osiguravanje kopije podataka – Pojam ‚kopija’ – Pojam ‚informacije’”
U predmetu C‑487/21,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Bundesverwaltungsgericht (Savezni upravni sud, Austrija), odlukom od 9. kolovoza 2021., koju je Sud zaprimio 9. kolovoza 2021., u postupku
F. F.
protiv
Österreichische Datenschutzbehörde,
uz sudjelovanje:
CRIF GmbH,
SUD (prvo vijeće),
u sastavu: A. Arabadjiev, predsjednik vijeća, P. G. Xuereb, T. von Danwitz, A. Kumin i I. Ziemele (izvjestiteljica), suci,
nezavisni odvjetnik: G. Pitruzzella,
tajnik: A. Calot Escobar,
uzimajući u obzir pisani postupak,
uzimajući u obzir očitovanja koja su podnijeli:
– za F. F., M. Schrems,
– za Österreichische Datenschutzbehörde, A. Jelinek i M. Schmidl, u svojstvu agenata,
– za CRIF GmbH, L. Feiler i M. Raschhofer, Rechtsanwälte,
– za austrijsku vladu, G. Kunnert, A. Posch i J. Schmoll, u svojstvu agenata,
– za češku vladu, O. Serdula, M. Smolek i J. Vláčil, u svojstvu agenata,
– za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju M. Russo, avvocato dello Stato,
– za Europsku komisiju, A. Bouchagiar, M. Heller i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 15. prosinca 2022.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 15. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između osobe F. F. i Österreichische Datenschutzbehördea (Austrijsko tijelo za zaštitu podataka) (u daljnjem tekstu: DSB) u vezi s odbijanjem tog tijela da društvu CRIF GmbH naloži da osobi F. F. dostavi kopiju dokumenata i izvadaka iz baza podataka koji, među ostalim, sadržavaju njezine osobne podatke koji se obrađuju.
Pravni okvir
3 Uvodne izjave 10., 11., 26., 58., 60. i 63. OUZP‑a glase kako slijedi:
„(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]
(11) Djelotvorna zaštita osobnih podataka širom Unije zahtijeva jačanje i detaljno određivanje prava ispitanika i obveza onih koji obrađuju i određuju obradu osobnih podataka […].
[…]
(26) Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. […] Kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koju voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. […]
[…]
(58) Načelom transparentnosti zahtijeva se da svaka informacija namijenjena javnosti ili ispitaniku bude sažeta, lako dostupna i razumljiva, da se upotrebljava jasan i jednostavan jezik […]
[…]
(60) Načelima poštene i transparentne obrade zahtijeva se da je ispitanik informiran o postupku obrade i njegovim svrhama. Voditelj obrade trebao bi ispitaniku pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka. […]
[…]
(63) Ispitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. […] Svaki ispitanik stoga bi osobito trebao imati pravo znati i dobiti obavijest o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, o primateljima osobnih podataka, o logici automatske obrade osobnih podataka i o posljedicama takve obrade, barem kad se temelji na izradi profila. Ako je moguće, voditelj obrade trebao bi imati mogućnost omogućiti daljinski pristup zaštićenom sustavu koji bi ispitaniku omogućio izravan pristup njegovim osobnim podacima. To pravo ne bi smjelo negativno utjecati na prava ili slobode drugih, uključujući i poslovne tajne ili intelektualno vlasništvo, a osobito na autorsko pravo kojima je zaštićen računalni program. […]”
4 Člankom 4. te uredbe propisuje se:
„Za potrebe ove Uredbe:
1. ‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi […]; pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2. ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima […];
[…]”
5 Člankom 12. navedene uredbe, naslovljenim „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika”, predviđa se:
„1. Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je drugim sredstvima utvrđen identitet ispitanika.
[…]
3. Voditelj obrade ispitaniku na zahtjev pruža informacije o poduzetim radnjama iz članaka od 15. do 22. bez nepotrebnog odgađanja i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva. […] Ako ispitanik podnese zahtjev elektroničkim putem, informacije se pružaju elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drukčije.
[…]”
6 U skladu s člankom 15. OUZP‑a, naslovljenim „Pravo ispitanika na pristup”:
„1. Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:
(a) svrsi obrade;
(b) kategorijama osobnih podataka o kojima je riječ;
(c) primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;
(d) ako je to moguće, predviđenom razdoblju u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja;
(e) postojanju prava da se od voditelja obrade zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu;
(f) pravu na podnošenje pritužbe nadzornom tijelu;
(g) ako se osobni podaci ne prikupljaju od ispitanika, svakoj dostupnoj informaciji o njihovu izvoru;
(h) postojanju automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislenim informacijama o tome o kojoj je logici riječ, kao i važnosti i predviđenim posljedicama takve obrade za ispitanika.
2. Ako se osobni podaci prenose u treću zemlju ili međunarodnu organizaciju, ispitanik ima pravo biti informiran o odgovarajućim zaštitnim mjerama u skladu s člankom 46. koje se odnose na prijenos.
3. Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Ako ispitanik podnese zahtjev elektroničkim putem te osim ako ispitanik zatraži drukčije, informacije se pružaju u uobičajenom elektroničkom obliku.
4. Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.”
7 Člankom 16. te uredbe, naslovljenim „Pravo na ispravak”, određuje se:
„Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od voditelja obrade ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.”
8 Članak 17. navedene uredbe, naslovljen „Pravo na brisanje (‚pravo na zaborav’)”, u svojem stavku 1., propisuje:
„Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja […]
[…]”
Glavni postupak i prethodna pitanja
9 CRIF GmbH društvo je za poslovno savjetovanje koje na zahtjev svojih klijenata pruža informacije o solventnosti trećih osoba. U tu je svrhu obrađivalo osobne podatke tužitelja iz glavnog postupka.
10 Tužitelj iz glavnog postupka je 20. prosinca 2018. zatražio od društva CRIF, na temelju članka 15. OUZP‑a, pristup osobnim podacima koji se na njega odnose. Usto, zatražio je da mu se osigura kopija dokumenata, odnosno poruke elektroničke pošte i izvadci iz baza podataka koji, među ostalim, sadržavaju njegove podatke, „u uobičajenom tehničkom formatu”.
11 U odgovoru na taj zahtjev, društvo CRIF dostavilo je tužitelju iz glavnog postupka, u sažetom obliku, popis njegovih osobnih podataka koji se obrađuju.
12 Tužitelj iz glavnog postupka podnio je pritužbu DSB‑u jer je smatrao da mu je društvo CRIF trebalo dostaviti kopiju svih dokumenata koji sadržavaju njegove podatke, kao što su poruke elektroničke pošte i izvadci iz baza podataka.
13 Odlukom od 11. rujna 2019. DSB je odbio tu pritužbu jer je smatrao da društvo CRIF nije počinilo nikakvu povredu prava na pristup osobnim podacima tužitelja iz glavnog postupka.
14 Sud koji je uputio zahtjev, kojem je tužitelj iz glavnog postupka podnio tužbu protiv te odluke, dvoji o dosegu članka 15. stavka 3. prve rečenice OUZP‑a. On se osobito pita je li obveza da se osigura „kopija” osobnih podataka, koja je predviđena tom odredbom, ispunjena kada voditelj obrade dostavi osobne podatke u obliku sažete tablice ili ta obveza podrazumijeva i dostavu izvadaka iz dokumenata ili cijelih dokumenata, kao i izvadaka iz baza podataka u kojima su ti podaci navedeni.
15 Konkretnije, taj sud postavlja pitanja utvrđuje li se člankom 15. stavkom 3. prvom rečenicom OUZP‑a samo oblik u kojem pravo na pristup informacijama iz članka 15. stavka 1. te uredbe treba biti zajamčeno ili se tom prvom odredbom jamči samostalno pravo ispitanika na pristup informacijama koje se odnose na kontekst u kojem se obrađuju podaci te osobe, u obliku kopije izvadaka iz dokumenata, cijelih dokumenata ili izvadaka iz baza podataka koji, među ostalim, sadržavaju te podatke.
16 Usto, sud koji je uputio zahtjev dvoji o tome obuhvaća li pojam „informacije” iz članka 15. stavka 3. treće rečenice OUZP‑a i informacije navedene u članku 15. stavku 1. točkama (a) do (h) te uredbe, odnosno dodatne informacije kao što su metapodaci koji su povezani s podacima ili obuhvaća samo „osobne podatke koji se obrađuju” iz članka 15. stavka 3. prve rečenice navedene uredbe.
17 U tim je okolnostima Bundesverwaltungsgericht (Savezni upravni sud, Austrija) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li pojam ‚kopij[a]’ iz članka 15. stavka 3. [OUZP‑a] tumačiti na način da on znači fotokopiju odnosno faksimil ili elektroničku kopiju (elektroničkog) podatka, ili pak taj pojam, prema njegovu značenju navedenom u njemačkom, francuskom i engleskom rječniku, obuhvaća i „Abschrift” (prijepis), „double” („duplicata” (duplikat)) ili „transcript” (transkript)?
2. Treba li članak 15. stavak 3. prvu rečenicu OUZP‑a, prema kojem ‚[v]oditelj obrade osigurava kopiju osobnih podataka koji se obrađuju’ tumačiti na način da na temelju te odredbe ispitanik ima opće pravo na dobivanje kopije – i – svih dokumenata u kojima se obrađuju njegovi osobni podaci ili kopije izvatka iz baze podataka kada se osobni podaci obrađuju u njoj, ili se tom odredbom predviđa pravo ispitanika na – samo – vjernu reprodukciju osobnih podataka koji se u skladu s člankom 15. stavkom 1. OUZP‑a trebaju pružiti?
3. U slučaju odgovora na drugo pitanje na način da ispitanik ima pravo samo na vjernu reprodukciju osobnih podataka koji se u skladu s člankom 15. stavkom 1. OUZP‑a trebaju pružiti, treba li njezin članak 15. stavak 3. prvu rečenicu tumačiti na način da će ovisno o vrsti podataka koji se obrađuju (primjerice u pogledu dijagnoza, rezultata pretraga, liječničkih mišljenja navedenih u uvodnoj izjavi 63. [OUZP‑a] ili pak dokumentacije u vezi s ispitom u smislu presude Suda Europske unije od 20. prosinca 2017., Nowak (C‑434/16, ECLI:EU:C:2017:994)) i s obzirom na načelo transparentnosti iz članka 12. stavka 1. OUZP‑a, u određenom slučaju ipak biti potrebno ispitaniku osigurati i dijelove teksta ili cjelovite dokumente?
4. Treba li pojam ‚informacije’, koje se u skladu s člankom 15. stavkom 3. trećom rečenicom OUZP‑a ,[ispitaniku] pružaju u uobičajenom elektroničkom obliku', ako potonji podnese zahtjev elektroničkim putem, ‚osim ako ispitanik zatraži drukčije’, tumačiti na način da on obuhvaća samo ‚osobn[e] podat[ke] koji se obrađuju’ navedene u članku 15. stavku 3. prvoj rečenici OUZP‑a?
a. U slučaju niječnog odgovora na četvrto pitanje: treba li pojam ‚informacije’, koje se u skladu s člankom 15. stavkom 3. trećom rečenicom OUZP‑a ,[ispitaniku] pružaju u uobičajenom elektroničkom obliku', ako potonji podnese zahtjev elektroničkim putem, ‚osim ako ispitanik zatraži drukčije’, tumačiti na način da on obuhvaća i informacije iz članka 15. stavka 1. točaka (a) do (h) OUZP‑a?
b. U slučaju niječnog odgovora na četvrto pitanje pod (a): treba li pojam ‚informacije’, koje se u skladu s člankom 15. stavkom 3. trećom rečenicom OUZP‑a ,[ispitaniku] pružaju u uobičajenom elektroničkom obliku', ako potonji podnese zahtjev elektroničkim putem, ‚osim ako ispitanik zatraži drukčije’, tumačiti na način da on osim ‚osobnih podataka koji se obrađuju’ i informacija navedenih u članku 15. stavku 1. točkama (a) do (h) OUZP‑a obuhvaća i, primjerice, pripadajuće metapodatke?”
O prethodnim pitanjima
Prvo, drugo i treće prethodno pitanje
18 Svojim prvim, drugim i trećim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 15. stavak 3. prvu rečenicu OUZP‑a, u vezi s načelom transparentnosti iz članka 12. stavka 1. te uredbe, tumačiti na način da pravo na dobivanje kopije osobnih podataka koji se obrađuju podrazumijeva da se ispitaniku preda ne samo kopija tih podataka nego i kopija izvadaka iz dokumenata, cijelih dokumenata ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju navedene podatke. Taj sud posebno dvoji o opsegu tog prava.
19 Najprije valja podsjetiti na to da, u skladu s ustaljenom sudskom praksom Suda, pri tumačenju odredbe prava Unije u obzir treba uzeti ne samo njezin tekst u skladu s njegovim uobičajenim značenjem u svakodnevnom jeziku nego i njezin kontekst te ciljeve propisa kojeg je dio (vidjeti u tom smislu presude od 2. prosinca 2021., Vodafone Kabel Deutschland, C‑484/20, EU:C:2021:975, t. 19. i navedenu sudsku praksu te od 7. rujna 2022., Staatssecretaris van Justitie en Veiligheid (Narav prava na boravak na temelju članka 20. UFEU‑a), C‑624/20, EU:C:2022:639, t. 28.).
20 Kad je riječ o tekstu odredbe članka 15. stavka 3. prve rečenice OUZP‑a, tom se odredbom propisuje da voditelj obrade „osigurava kopiju osobnih podataka koji se obrađuju”.
21 Iako OUZP ne sadržava definiciju tako upotrijebljenog pojma „kopija”, valja uzeti u obzir uobičajeno značenje tog pojma, koji, kao što je to istaknuo nezavisni odvjetnik u točki 30. svojeg mišljenja, označava reprodukciju ili vjeran prijepis izvornika, tako da isključivo opći opis podataka koji se obrađuju ili upućivanje na kategorije osobnih podataka ne odgovaraju toj definiciji. Usto, iz teksta članka 15. stavka 3. prve rečenice te uredbe proizlazi da se obveza priopćavanja odnosi na osobne podatke koji su predmet obrade o kojoj je riječ.
22 Člankom 4. točkom 1. OUZP‑a definiran je pojam „osobni podaci” kao „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” te je pojašnjeno da „pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.
23 Upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” u toj odredbi odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (vidjeti po analogiji presudu od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 34.).
24 U tom je pogledu presuđeno da se informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (vidjeti u tom smislu presudu od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 35.).
25 Kad je riječ o tome može li se „utvrditi identitet” pojedinca, uvodnom izjavom 26. OUZP‑a pojašnjava se da bi „trebalo […] uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca”.
26 Stoga, kao što je to u biti istaknuo nezavisni odvjetnik u točkama 36. do 39. svojeg mišljenja, široka definicija pojma „osobni podaci” ne obuhvaća samo podatke koje prikuplja i pohranjuje voditelj obrade, nego također uključuje sve informacije koje proizlaze iz obrade osobnih podataka koji se odnose na osobu čiji je identitet utvrđen ili se može utvrditi, kao što je procjena njezine solventnosti ili sposobnosti plaćanja.
27 U tom kontekstu, valjda dodati da je zakonodavac Unije pojmu „obrada”, kako je definiran u članku 4. točki 2. OUZP‑a, namjeravao dati široko značenje koristeći neiscrpni popis postupaka (vidjeti u tom smislu presudu od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 35.).
28 Prema tome, iz jezične analize članka 15. stavka 3. prve rečenice OUZP‑a proizlazi da se tom odredbom ispitaniku dodjeljuje pravo na dobivanje vjerne reprodukcije svojih osobnih podataka, koji se tumače u širem smislu, a koji su predmet postupaka koji se trebaju kvalificirati kao obrada koju provodi voditelj te obrade.
29 Međutim, treba utvrditi da iz teksta te odredbe ne proizlazi odgovor na prva tri pitanja jer on ne sadržava nikakvu naznaku o eventualnom pravu na dobivanje ne samo kopije osobnih podataka koji se obrađuju nego i kopije izvadaka iz dokumenata, cijelih dokumenata ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju te podatke.
30 Kad je riječ o kontekstu u kojem se nalazi članak 15. stavak 3. prva rečenica OUZP‑a, valja istaknuti da članak 15. OUZP‑a, naslovljen „pravo ispitanika na pristup”, u svojem stavku 1. definira predmet i područje primjene prava na pristup koje se priznaje ispitaniku te se njime utvrđuje njegovo pravo da od voditelja obrade dobije pristup svojim osobnim podacima kao i informacije iz točaka (a) do (h) tog stavka.
31 U članku 15. stavku 3. OUZP‑a pojašnjavaju se praktična pravila za izvršavanje obveze voditelja obrade, pri čemu se, među ostalim, u prvoj rečenici navodi oblik u kojem taj voditelj treba osigurati „osobn[e] podat[ke] koji se obrađuju”, odnosno da ih treba osigurati u obliku „kopij[e]”. Usto, taj stavak u svojoj trećoj rečenici propisuje da se informacije pružaju u uobičajenom elektroničkom obliku ako je zahtjev podnesen elektroničkim putem, osim ako ispitanik zatraži drukčije.
32 Slijedom toga, članak 15. OUZP‑a ne može se tumačiti kao da se njime u njegovu stavku 3. prvoj rečenici utvrđuje pravo koje je različito od onog iz njegova stavka 1. Osim toga, kao što je to Europska komisija istaknula u svojim pisanim očitovanjima, izraz „kopija” ne odnosi se na dokument kao takav, nego na osobne podatke koje on sadržava i koji trebaju biti potpuni. Kopija stoga treba sadržavati sve osobne podatke koji se obrađuju.
33 Što se tiče ciljeva članka 15. OUZP‑a, valja istaknuti da je svrha te uredbe, kako je navedeno u njezinoj uvodnoj izjavi 11., jačanje i detaljno određivanje prava ispitanika. Članak 15. te uredbe u tom pogledu predviđa pravo na dobivanje kopije, za razliku od članka 12. točke (a) druge alineje Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) kojim se zahtijeva samo „obavijest u razumljivom obliku o podacima koji se obrađuju”. Uvodnom izjavom 63. OUZP‑a određuje se: „[i]spitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost”.
34 Stoga, pravo na pristup iz članka 15. OUZP‑a treba omogućiti ispitaniku da se uvjeri u točnost osobnih podataka koji se na njega odnose i zakonitost njihove obrade (vidjeti u tom smislu presudu od 12. siječnja 2023., Österreichische Post (Informacije koje se odnose na primatelje osobnih podataka), C‑154/21, EU:C:2023:3, t. 37. i navedenu sudsku praksu).
35 Konkretno, to je pravo na pristup nužno kako bi se ispitaniku omogućilo da prema potrebi ostvari svoje pravo na ispravak, brisanje („pravo na zaborav”) i pravo na ograničenje obrade, koja su mu priznata člancima 16., 17. i 18. OUZP‑a, pravo na podnošenje prigovora protiv obrade osobnih podataka, predviđeno člankom 21. OUZP‑a te pravo na pravni lijek u slučaju pretrpljene štete predviđeno člancima 79. i 82. OUZP‑a (presuda od 12. siječnja 2023., Österreichische Post (Informacije koje se odnose na primatelje osobnih podataka), C‑154/21, EU:C:2023:3, t. 38. i navedena sudska praksa).
36 Valja također istaknuti da uvodna izjava 60. OUZP‑a propisuje da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka.
37 Osim toga, u skladu s načelom transparentnosti, koje navodi sud koji je uputio zahtjev, na koje se upućuje u uvodnoj izjavi 58. OUZP‑a i koje je izričito utvrđeno člankom 12. stavkom 1. te uredbe, svaka informacija namijenjena ispitaniku treba biti sažeta, lako dostupna i razumljiva, uz uporabu jasnog i jednostavnog jezika.
38 Kao što je to istaknuo nezavisni odvjetnik u točkama 54. i 55. svojeg mišljenja, iz te odredbe proizlazi da voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz, među ostalim, članka 15. OUZP‑a, u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, te da se informacije pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem, osim ako ispitanik zatraži da se pruže usmenim putem. Cilj je te odredbe, kao odraza obveze transparentnosti, osigurati da ispitanik može u potpunosti razumjeti informacije koje mu se dostavljaju.
39 Iz toga proizlazi da kopija osobnih podataka koji se obrađuju, koju voditelj obrade treba osigurati na temelju članka 15. stavka 3. prve rečenice OUZP‑a, treba sadržavati sve značajke koje ispitaniku omogućuju učinkovito ostvarivanje njegovih prava na temelju te uredbe i stoga treba u potpunosti i vjerno reproducirati te podatke.
40 To tumačenje odgovara cilju te uredbe kojim se, kao što to proizlazi iz njezine uvodne izjave 10., osobito nastoji osigurati visoka razina zaštite pojedinaca unutar Unije i u tu svrhu osigurati postojana i homogena primjena pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka u čitavoj Uniji (vidjeti u tom smislu presudu od 9. veljače 2023., X‑FAB Dresden, C‑453/20, ECLI:EU:C:2023:79, t. 25. i navedenu sudsku praksu).
41 Naime, kako bi se osiguralo da su tako pružene informacije lako razumljive, kao što se to zahtijeva člankom 12. stavkom 1. OUZP‑a, u vezi s uvodnom izjavom 58. te uredbe, reprodukcija izvadaka dokumenata, cijelih dokumenta ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju osobne podatke koji se obrađuju, može se pokazati neophodnom, kao što je to istaknuo nezavisni odvjetnik u točkama 57. i 58. svojeg mišljenja, u slučaju kada je kontekstualizacija obrađenih podataka nužna kako bi se osigurala njihova razumljivost.
42 Konkretno, kada su osobni podaci dobiveni iz drugih podataka ili kada takvi podaci proizlaze iz neispunjenih polja, odnosno iz nenavođenja informacije o ispitaniku, kontekst u kojem se ti podaci obrađuju bitan je element koji ispitaniku omogućuje transparentan pristup tim podacima i njihov razumljiv prikaz.
43 Osim toga, u skladu s člankom 15. stavkom 4. OUZP‑a, u vezi s uvodnom izjavom 63. te uredbe, pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih, uključujući i poslovne tajne ili intelektualno vlasništvo, a osobito na autorsko pravo kojima je zaštićen računalni program.
44 Prema tome, kao što je to naglasio nezavisni odvjetnik u točki 61. svojeg mišljenja, u slučaju sukoba između, s jedne strane, ostvarivanja prava na potpun i cjelovit pristup osobnim podacima i, s druge strane, prava i sloboda drugih, treba odvagnuti prava i slobode o kojima je riječ. Ako je to moguće, potrebno je odabrati načine priopćavanja osobnih podataka kojima se ne povređuju prava i slobode drugih, uzimajući u obzir, kao što to proizlazi iz uvodne izjave 63. OUZP‑a, da rezultat tih razmatranja ne bi smjelo biti „odbijanje pružanja svih informacija ispitaniku”.
45 S obzirom na prethodna razmatranja, na prvo, drugo i treće prethodno pitanje valja odgovoriti tako da članak 15. stavak 3. prvu rečenicu OUZP‑a
treba tumačiti na način da:
pravo na dobivanje kopije osobnih podataka koji se obrađuju od voditelja obrade podrazumijeva predaju vjerne i razumljive reprodukcije svih tih podataka ispitaniku. To pravo uključuje pravo na dobivanje kopije izvadaka iz dokumenata, cijelih dokumenata ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju te podatke, ako je osiguravanje takve kopije neophodno kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom, pri čemu treba naglasiti da u tom pogledu treba voditi računa o pravima i slobodama drugih.
Četvrto pitanje
46 Sud koji je uputio zahtjev tim pitanjem u biti pita treba li članak 15. stavak 3. treću rečenici OUZP‑a tumačiti na način da se pojam „informacije” iz tog članka odnosi isključivo na osobne podatke čiju kopiju voditelj obrade mora pružiti u skladu s prvom rečenicom tog stavka ili se on odnosi i na sve informacije navedene u stavku 1. tog članka ili obuhvaća i šire elemente, kao što su metapodaci.
47 Stoga, kao što je to navedeno u točki 19. ove presude, prilikom tumačenja odredbe prava Unije valja uzeti u obzir ne samo njezin tekst nego i kontekst i ciljeve propisa kojeg je ona dio.
48 U tom pogledu, iako se u članku 15. stavku 3. trećoj rečenici OUZP‑a samo navodi da „ako ispitanik podnese zahtjev elektroničkim putem […], informacije se pružaju u uobičajenom elektroničkom obliku”, a da se pritom ne pojašnjava značenje pojma „informacije”, u prvoj rečenici tog stavka propisuje se da „[v]oditelj obrade osigurava kopiju osobnih podataka koji se obrađuju”.
49 Prema tome, iz konteksta članka 15. stavka 3. treće rečenice OUZP‑a proizlazi da „informacije” na koje se taj članak odnosi nužno odgovaraju osobnim podacima čiju kopiju voditelj obrade treba osigurati, u skladu s prvom rečenicom tog stavka.
50 Takvo tumačenje potvrđeno je ciljevima članka 15. stavka 3. OUZP‑a, a to su, kao što je to navedeno u točki 31. ove presude, definirati praktična pravila za izvršavanje obveze voditelja obrade da osigura kopiju osobnih podataka koji se obrađuju. Slijedom toga, tom se odredbom ne uvodi pravo koje je različito od ispitanikova prava na dobivanje vjerne i razumljive reprodukcije tih podataka, a koja mu omogućuje učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom.
51 Valja istaknuti da se nijednom odredbom te uredbe ne utvrđuje razlika u obradi zahtjeva prema obliku u kojem je podnesen, tako da se opseg prava na dobivanje kopije ne može razlikovati s obzirom na taj oblik.
52 Osim toga, valja također istaknuti da se u skladu s člankom 12. stavkom 3. OUZP‑a, ako je zahtjev podnesen elektroničkim putem, informacije iz tog članka 15., uključujući one navedene u točkama (a) do (h) stavka 1. navedenog članka, pružaju elektroničkim putem, osim ako ispitanik ne zatraži drukčije.
53 S obzirom na prethodna razmatranja, na četvrto prethodno pitanje valja odgovoriti tako da članak 15. stavak 3. treću rečenicu OUZP‑a
treba tumačiti na način da se:
pojam „informacije” iz tog članka odnosi isključivo na osobne podatke čiju kopiju voditelj obrade treba osigurati u skladu s prvom rečenicom tog stavka.
Troškovi
54 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (prvo vijeće) odlučuje:
1. Članak 15. stavak 3. prvu rečenicu Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da:
pravo na dobivanje kopije osobnih podataka koji se obrađuju od voditelja obrade podrazumijeva predaju vjerne i razumljive reprodukcije svih tih podataka ispitaniku. To pravo uključuje pravo na dobivanje kopije izvadaka iz dokumenata, cijelih dokumenata ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju te podatke, ako je osiguravanje takve kopije neophodno kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom, pri čemu treba naglasiti da u tom pogledu treba voditi računa o pravima i slobodama drugih.
2. Članak 15. stavak 3. treću rečenicu Uredbe 2016/679
treba tumačiti na način da se:
pojam „informacije” iz tog članka odnosi isključivo na osobne podatke čiju kopiju voditelj obrade treba osigurati u skladu s prvom rečenicom tog stavka.
Potpisi