MIŠLJENJE NEZAVISNOG ODVJETNIKA
GIOVANNIJA PITRUZZELLE
od 9. lipnja 2022.(1)
Predmet C‑154/21
RW
protiv
Österreichische Post AG
(zahtjev za prethodnu odluku koji je uputio Oberster Gerichtshof (Vrhovni sud, Austrija))
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 15. stavak 1. točka (c) – Pravo ispitanika na pristup – Informacije o konkretnom primatelju ili kategorijama primatelja kojima su podaci otkriveni”
1. Kad određena osoba čiji se osobni podaci obrađuju od voditelja obrade namjerava ishoditi informacije o trećim stranama kojima se ti podaci otkrivaju, podrazumijeva li njezino pravo na pristup nužno to da ona prima informacije o konkretnim primateljima kojima su otkriveni njezini osobni podaci ili voditelj obrade može pružiti samo informacije o kategorijama primatelja kojima su otkriveni navedeni podaci?
2. To je u biti pitanje koje je Sudu u ovom zahtjevu za prethodnu odluku postavio Oberster Gerichtshof (Vrhovni sud, Austrija), odnosno sud koji je uputio zahtjev, a koje se odnosi na tumačenje članka 15. stavka 1. točke (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)(2) (u daljnjem tekstu: Opća uredba o zaštiti podataka).
3. Pitanje suda koji je uputio zahtjev postavlja se u okviru spora između fizičke osobe RW i društva Österreichische Post, glavnog pružatelja poštanskih i logističkih usluga u Austriji koje, nakon što je osoba RW podnijela zahtjev za pristup svojim osobnim podacima, toj osobi nije pružilo informacije o konkretnim primateljima kojima su otkriveni njezini osobni podaci.
I. Pravni okvir
4. Člankom 15. Opće uredbe o zaštiti podataka, naslovljenim „Pravo ispitanika na pristup”, u stavku 1. točki (c) određuje se:
„1. Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:
[…]
(c) primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;
[…]”.
II. Činjenice, glavni postupak i prethodno pitanje
5. Osoba RW, koja je tužitelj pred sudom koji je uputio zahtjev, obratila se 15. siječnja 2019. društvu Österreichische Post kako bi na temelju članka 15. Opće uredbe o zaštiti podataka mogla pristupiti, među ostalim, osobnim podacima koji se odnose na nju te koje društvo Österreichische Post pohranjuje ili koje je to društvo pohranjivalo, kao i podacima o identitetu primatelja kojima su otkriveni podaci u slučaju da su oni otkriveni trećim stranama.
6. U svojem odgovoru društvo Österreichische Post navelo je da koristi podatke, u mjeri u kojoj je to pravno dopušteno, u okviru svoje djelatnosti u svojstvu izdavatelja telefonskih imenika i nudi ih poslovnim korisnicima u marketinške svrhe. To je društvo zatim uputilo na internetsku stranicu na kojoj su se mogli saznati općeniti podaci o svrsi obrade podataka osobe RW i na kojoj se upućivalo na drugu internetsku stranicu. Na toj se drugoj internetskoj stranici pak nalazila općenita obavijest o zaštiti podataka i ta je stranica omogućavala da se na općenit način utvrde određene kategorije primatelja kojima je društvo Österreichische Post otkrivalo osobne podatke. Međutim, društvo Österreichische Post nikada nije obavijestilo osobu RW o konkretnim primateljima njezinih podataka.
7. Osoba RW podnijela je tužbu kojom je zahtijevala da se društvu Österreichische Post naloži da joj na temelju članka 15. Opće uredbe o zaštiti podataka omogući potpuniji pristup informacijama o tome jesu li njezini osobni podaci eventualno preneseni trećim stranama te, u slučaju da su ti podaci stvarno preneseni, pristup informacijama o primatelju ili konkretnim primateljima kojima su njezini osobni podaci otkriveni ili će im se otkriti. Osoba RW tvrdi da navodi društva Österreichische Post nisu u skladu sa zahtjevima propisanim u članku 15. Opće uredbe o zaštiti podataka jer iz tih navoda ne proizlazi je li društvo Österreichische Post njezine osobne podatke prenosilo trećim stranama i, ako je stvarno došlo do prijenosa, tko je bio konkretni primatelj tih otkrivanja.
8. Prvostupanjski i žalbeni sud odbili su zahtjev osobe RW, pri čemu su u biti smatrali da s obzirom na to da se u članku 15. stavku 1. točki (c) Opće uredbe o zaštiti podataka upućuje na primatelje ili kategorije primatelja, tom se odredbom voditelju obrade daje mogućnost odabira da ispitaniku otkrije samo kategorije primatelja, pri čemu ne mora poimenično navesti konkretne primatelje kojima su otkriveni osobni podaci ispitanika.
9. Osoba RW ustrajala je u svojim zahtjevima u reviziji podnesenoj sudu koji je uputio zahtjev.
10. Tijekom postupka pred tim sudom društvo Österreichische Post priopćilo je osobi RW da su njezini podaci u okviru izdavanja telefonskih imenika obrađeni u marketinške svrhe i preneseni poslovnim korisnicima, među kojima su oglašivači za prodaju putem pošte i u prodavaonici, IT‑poduzeća, izdavači telefonskih imenika i udruge poput dobrotvornih organizacija, nevladinih organizacija ili političkih stranaka. Međutim, to društvo nije otkrilo konkretne primatelje kojima se otkriveni podaci osobe RW.
11. U tim okolnostima sud koji je uputio zahtjev ima dvojbe u pogledu tumačenja članka 15. Opće uredbe o zaštiti podataka koje su pružili sudovi koji su odlučivali o meritumu te je stoga odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:
„Treba li članak 15. stavak 1. točku (c) [Opće uredbe o zaštiti podataka] tumačiti na način da je pravo ispitanika na pristup ograničeno na informaciju o kategorijama primatelja ako konkretni primatelji u slučaju namjeravanih otkrivanja još nisu utvrđeni, ali se pravo pristupa, ako su podaci već otkriveni, nužno mora proširiti i na informaciju o primateljima tih otkrivanja?”
III. Pravna analiza
12. Pitanje koje je sud koji je uputio zahtjev postavio Sudu odnosi se na tumačenje članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka u pogledu opsega prava ispitanika da od voditelja obrade dobije informacije o primateljima ili kategorijama primatelja kojima su njegovi osobni podaci otkriveni ili će im biti otkriveni, što je pravo koje se predviđa u navedenom članku.
13. Sud koji je uputio zahtjev pita treba li tu odredbu tumačiti na način da opseg navedenog prava ispitanika na pristup treba razlikovati ovisno o tome jesu li podaci već otkriveni, što je slučaj u kojem se to pravo mora proširiti na informaciju o konkretnim primateljima tih otkrivanja, ili o tome da konkretni budući primatelji kojima se otkrivaju osobni podaci još nisu utvrđeni, što je slučaj u kojem treba smatrati da je to pravo ograničeno na informacije o kategorijama primatelja.
14. U tom pogledu valja najprije istaknuti da se člankom 15. Opće uredbe o zaštiti podataka uređuje pravo ispitanika da od voditelja obrade dobije pristup osobnim podacima koji se odnose na njega i koji se obrađuju, kao i pristup nizu informacija koje se odnose, konkretno, na samu obradu. Tom se odredbom konkretizira i određuje pravo svakog pojedinca na pristup podacima koji se na njega ili nju odnose koje je utvrđeno u članku 8. stavku 2. drugoj rečenici Povelje Europske unije o temeljnim pravima(3).
15. Konkretnije, u skladu s člankom 15. stavkom 1. Opće uredbe o zaštiti podataka, ispitanik ima, kao prvo, pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega. Ako se takvi osobni podaci obrađuju, ispitanik ima pravo na pristup osobnim podacima koji se obrađuju te na razne dodatne informacije, pri čemu se svaka od tih informacija navodi u točkama (a) do (h) te odredbe. U tom kontekstu, u skladu s člankom 15. stavkom 1. točkom (c) Opće uredbe o zaštiti podataka, ispitanik ima pravo na pristup informacijama o „primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama”.
16. Prethodnim pitanjem koje je postavio sud koji je uputio zahtjev traži se tumačenje odredbe članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka u svrhu određivanja točnog opsega prava ispitanika da dobije informacije o primateljima kojima su otkriveni njegovi osobni podaci, što je pravo koje se predviđa u navedenom članku.
17. U tom pogledu valja podsjetiti da iz ustaljene sudske prakse proizlazi da pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio(4).
18. Osim toga, budući da se odredbama Opće uredbe o zaštiti podataka uređuje obrada osobnih podataka koja može povrijediti temeljne slobode i osobito pravo na privatnost, one se nužno moraju tumačiti u svjetlu temeljnih prava koja su zajamčena Poveljom(5).
19. Nadalje, iz ustaljene sudske prakse proizlazi da ako odredba prava Unije može biti predmet više tumačenja, prednost valja dati onomu koje može sačuvati njezin koristan učinak(6).
20. Što se tiče, prije svega, teksta odredbe o kojoj je riječ, kao što su to istaknuli sam sud koji je uputio zahtjev i nekoliko stranaka koje su intervenirale pred Sudom, tekst odredbe članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka ne omogućuje konačan odgovor na pitanje treba li nužno smatrati da pravo ispitanika na pristup koje se predviđa u tom članku uključuje pristup informacijama o konkretnim primateljima kojima su otkriveni osobni podaci ispitanika ili se to pravo može ograničiti na pristup informacijama o kategorijama primatelja. Naime, pojmovi „primatelji” i „kategorije primatelja” u toj se odredbi upotrebljavaju jedan nakon drugog na neutralan način, pri čemu se ne može donijeti zaključak o redoslijedu prvenstva između njih. U navedenoj se odredbi ni izričito ne pojašnjava može li se odabrati jedna od dviju mogućih kategorija predviđenih informacija (odnosno informacije o „primateljima” ili „kategorijama primatelja”) niti tko (odnosno ispitanik ili voditelj obrade) eventualno treba odabrati u pogledu koje vrste informacija treba omogućiti pristup.
21. Međutim, sud koji je uputio zahtjev također navodi da sama struktura članka 15. stavka 1. Opće uredbe o zaštiti podataka daje prednost, prema mojem mišljenju, tumačenju odredbe o kojoj je riječ na način da ispitanik (i stoga ne voditelj obrade, kao što su to u predmetnom slučaju presudila dva nacionalna suda koja su odlučivala o meritumu) treba odabrati jednu od dviju mogućnosti koje se predviđaju u navedenom članku. Za razliku od drugih odredbi Opće uredbe o zaštiti podataka, kao što su članci 13. i 14.(7), koje su uređene na način da se njima predviđa da je voditelj obrade obvezan pružiti informacije, odredbom o kojoj je riječ predviđa se stvarno pravo na pristup u korist ispitanika. Činjenica da ispitanik ostvaruje to pravo na pristup logično pretpostavlja da se nositelju tog prava pruži mogućnost odabira hoće li, ako je to moguće, ostvariti pristup informacijama koje se odnose na konkretne primatelje kojima su podaci otkriveni ili će im biti otkriveni ili će, umjesto toga, samo zahtijevati informacije o kategorijama primatelja.
22. Osim toga, tumačenje odredbe članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka na način da se njome predviđa pravo ispitanika da, ako je to moguće, zahtijeva pristup informacijama o konkretnim primateljima kojima su otkriveni njegovi osobni podaci potvrđeno je i analizom konteksta u kojem se nalazi i svrhom same odredbe s obzirom na ciljeve i opću strukturu Opće uredbe o zaštiti podataka.
23. U tom pogledu prije svega ističem da se uvodnom izjavom 63. Opće uredbe o zaštiti podataka izričito predviđa da bi ispitanik trebao „imati pravo znati i dobiti obavijest o […] primateljima osobnih podataka”. Tom se uvodnom izjavom, s obzirom na koju treba tumačiti odredbu o kojoj je riječ, pravo ispitanika na pristup povezuje s konkretnim primateljima njegovih osobnih podataka i u toj se uvodnoj izjavi ni na koji način ne navodi da se to pravo, na temelju diskrecijske ocjene voditelja obrade, može ograničiti na obične kategorije primatelja.
24. Osim toga, iz sudske prakse izričito proizlazi da Opća uredba o zaštiti podataka ima konkretno za cilj, kao što to proizlazi iz njezine uvodne izjave 10., osigurati visoku razinu zaštite pojedinaca u Uniji te u tu svrhu osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka u čitavoj Uniji(8).
25. U tu svrhu, svaka obrada osobnih podataka mora biti u skladu s načelima utvrđenima u članku 5. navedene uredbe(9). Konkretno, iz članka 5. stavka 1. točke (a) Opće uredbe o zaštiti podataka proizlazi da osobni podaci moraju biti transparentno obrađivani s obzirom na ispitanika(10). Članak 15. Opće uredbe o zaštiti podataka, kojim se uređuje pravo ispitanika na pristup, u tom kontekstu predstavlja temeljnu odredbu kojom se osigurava da su načini obrade podataka transparentni za ispitanike.
26. Kao što to proizlazi iz uvodne izjave 63. Opće uredbe o zaštiti podataka(11), svrha tog prava na pristup jest, kao prvo, omogućiti ispitaniku da bude svjestan obrade svojih podataka i da provjeri njezinu zakonitost(12). Konkretno, ostvarivanje tog prava na pristup ispitaniku ne treba samo omogućiti da provjeri jesu li podaci koji se na njega odnose točni, nego i jesu li oni otkriveni ovlaštenim primateljima(13). To u načelu pretpostavlja pružanje što točnijih informacija.
27. U tom se kontekstu slažem s Komisijom u pogledu toga da bi poricanje činjenice da pravo ispitanika na pristup, koje se predviđa člankom 15. stavkom 1. točkom (c) Opće uredbe o zaštiti podataka, obuhvaća konkretne primatelje, čime se to pravo ograničava na obične kategorije primatelja, bilo istovjetno tome da se ispitaniku onemogući da u cijelosti provjeri zakonitost obrade koju je izvršio voditelj i, konkretno, da provjeri zakonitost već izvršenih otkrivanja podataka. Tumačenje odredbe o kojoj je riječ na takav način ispitaniku bi onemogućilo da provjeri jesu li njegovi podaci poslani samo ovlaštenim primateljima, što je suprotno zahtjevima navedenim u prethodnoj točki.
28. Kao drugo, i s obzirom na prvu svrhu, kao što je to uostalom već naveo Sud, navedeno pravo na pristup potrebno je kako bi ispitanik mogao ostvariti prava na ispravak, brisanje („pravo na zaborav”) i ograničenje obrade koja su mu dodijeljena, redom, člancima 16., 17. i 18. Opće uredbe o zaštiti podataka(14). Sud je također pojasnio da je pravo na pristup potrebno i kako bi se ispitaniku omogućilo da ostvari pravo na prigovor na obradu njegovih osobnih podataka iz članka 21. Opće uredbe o zaštiti podataka ili pravo da pokrene sudski postupak u slučaju u kojem mu je nanesena šteta i da dobije naknadu štete u skladu s člancima 79. i 82. Opće uredbe o zaštiti podataka(15).
29. Posljedica tumačenja odredbe o kojoj je riječ prema kojem ispitanik ne bi imao mogućnost dobivanja informacija o konkretnim primateljima kojima su otkriveni njegovi osobni podaci jest ta da ispitanik, ako mu nije poznat identitet primatelja, ne može u odnosu na te primatelje ostvariti prava koja su mu dodijeljena navedenim odredbama Opće uredbe o zaštiti podataka, odnosno mogao bi ih ostvariti samo uz nerazmjeran napor(16). Stoga bi, u takvim situacijama, takvo tumačenje lišilo korisnog učinka navedene odredbe i njima dodijeljena prava.
30. Osim toga, prethodno navedeno tumačenje članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka s kontekstualnog stajališta potvrđeno je i odredbom članka 19. te uredbe. Tom se odredbom predviđa da „[v]oditelj obrade priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade provedeno u skladu s člankom 16., člankom 17. stavkom 1. i člankom 18. svakom primatelju kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor”.
31. Stoga članak 19. Opće uredbe o zaštiti podataka obvezuje voditelja obrade da svim primateljima kojima je otkrio osobne podatke priopći svaki zahtjev za ispravak, brisanje osobnih podataka ili ograničenje obrade koji treba izvršiti taj voditelj obrade. Slijedom toga, primatelji kojima je to priopćeno obvezni su odmah provesti ispravak, brisanje ili ograničenje obrade, u dijelu koji se odnosi na predmetne podatke koje oni još obrađuju. U okviru postizanja cilja koji se odnosi na to da se osigura visoka razina zaštite, koji se navodi u točki 24. ovog mišljenja, članak 19. Opće uredbe o zaštiti podataka nastoji u tom smislu ispitanika osloboditi obveze da, nakon što podnese zahtjev za informacije u skladu s člankom 15. stavkom 1. točkom (c) Opće uredbe o zaštiti podataka, zainteresiranim primateljima podnosi povezane dodatne zahtjeve za ispravak, brisanje ili ograničenje obrade. Međutim, ispitanik mora moći provjeriti jesu li ispravak, brisanje ili ograničenje stvarno provedeni nakon priopćenja koje je izvršio voditelj obrade. Stoga se u tom smislu člankom 19. Opće uredbe o zaštiti podataka predviđa da voditelj obrade obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži.
32. Odredbom članka 19. Opće uredbe o zaštiti podataka potvrđuje se da, kako bi se osigurao koristan učinak prava ispitanika na brisanje, ispravak ili ograničenje obrade, što su prava koja se predviđaju člancima 16., 17. i 18. Opće uredbe o zaštiti podataka, ispitanik u načelu treba imati pravo da mu se, ako su njegovi osobni podaci već otkriveni, dostave informacije o identitetu konkretnih primatelja. Naime, ispitanik se samo na taj način može pozvati na svoja prava u odnosu na te primatelje.
33. Iz prethodnih razmatranja proizlazi da pravo na pristup iz članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka ima funkcionalnu i ključnu ulogu u odnosu na ostvarivanje drugih prava ispitanika predviđenih Općom uredom o zaštiti podataka. Iz toga slijedi da, kako bi se osigurao koristan učinak svih prethodno navedenih odredbi Opće uredbe o zaštiti podataka, tu odredbu treba tumačiti na način da se pravo na pristup predviđeno tom odredbom u načelu nužno treba odnositi na mogućnost da se od voditelja obrade dobiju informacije o konkretnim primateljima kojima su otkriveni osobni podaci ispitanika.
34. Međutim, smatram da je proširenje prava na pristup iz članka 15. stavka 1. točke (c) Opće uredbe o zaštiti podataka na konkretne primatelje kojima su otkriveni osobni podaci ograničeno barem u dvama slučajevima.
35. Kao prvo, u slučaju u kojem fizički nije moguće pružiti informacije o konkretnim primateljima, primjerice zato što oni još nisu stvarno identificirani, očito je da se od voditelja obrade ne može zahtijevati da dostavi informacije koje još ne postoje. Stoga se u tom slučaju, koji se izričito predviđa u prethodnom pitanju, pravo ispitanika na pristup može odnositi samo na kategorije primatelja.
36. Kao drugo, kao što je to istaknula talijanska vlada, ostvarivanje prava ispitanika na pristup i ispunjenje pripadajuće obveze koju ima voditelj obrade treba razmatrati s obzirom na načela poštenosti i proporcionalnosti.
37. U tom pogledu valja podsjetiti, kao što to proizlazi iz sudske prakse Suda, da prava priznata člancima 7. i 8. Povelje nisu apsolutna prava, nego ih treba uzeti u obzir s obzirom na njihovu funkciju u društvu(17).
38. S jedne strane, u tom kontekstu iz članka 12. stavka 5., koji se izričito primjenjuje i na odredbu na koju se odnosi prethodno pitanje, izrijekom proizlazi da zahtjevi ispitanika ne smiju biti očito neutemeljeni ili pretjerani i da, ako je to slučaj, voditelj obrade može odbiti postupiti po zahtjevu. Iz te odredbe također proizlazi da je na voditelju obrade „teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva […]”.
39. S druge strane, sam Sud već je imao priliku pojasniti da je potrebno uspostaviti pravičnu ravnotežu između, na jednoj strani, interesa osobe da zaštiti svoj privatni život, osobito na temelju prava iz Glave III Opće uredbe o zaštiti podataka i mogućnosti pokretanja sudskog postupka.i, na drugoj strani, obveza koje ima voditelj obrade(18). Čini se da ta pravična ravnoteža ide u prilog većem pridavanju pozornosti zaštiti osobnih podataka i privatnog života ispitanika, kao što to izričito proizlazi iz činjenice da, kako se zahtjev ispitanika za pristup ne bi ispunio, treba dokazati da je taj zahtjev očito neutemeljen ili pretjeran.
IV. Zaključak
40. S obzirom na sva prethodna razmatranja, predlažem Sudu da na prethodno pitanje koje je postavio Oberster Gerichtshof (Vrhovni sud, Austrija) odgovori na sljedeći način:
„Članak 15. stavak 1. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da se pravo ispitanika na pristup koje se predviđa u tom članku nužno mora proširiti, ako to ispitanik zahtijeva, na informaciju o konkretnim primateljima kojima su otkriveni njegovi osobni podaci. To se pravo na pristup može ograničiti samo na informaciju o kategorijama primatelja u slučaju u kojem fizički nije moguće identificirati konkretne primatelje kojima su otkriveni osobni podaci koji se odnose na ispitanika ili ako voditelj obrade dokaže da su zahtjevi ispitanika očito neutemeljeni ili pretjerani u smislu članka 12. stavka 5. Uredbe (EU) 2016/679”.