PRESUDA SUDA (peto vijeće)
14. ožujka 2024.(*)
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 58. stavak 2. točke (d) i (g) – Ovlasti nadzornog tijela države članice – Članak 17. stavak 1. – Pravo na brisanje (‚pravo na zaborav’) – Brisanje osobnih podataka koji su bili predmet nezakonite obrade – Ovlast nacionalnog nadzornog tijela da voditelju obrade ili izvršitelju obrade naloži brisanje tih podataka bez prethodnog zahtjeva osobe čiji se podaci obrađuju”
U predmetu C‑46/23,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Fővárosi Törvényszék (Okružni sud u Budimpešti, Mađarska), odlukom od 8. prosinca 2022., koju je Sud zaprimio 31. siječnja 2023., u postupku
Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala
protiv
Nemzeti Adatvédelmi és Információszabadság Hatóság,
SUD (peto vijeće),
u sastavu: E. Regan, predsjednik vijeća, Z. Csehi, M. Ilešič (izvjestitelj), I. Jarukaitis i D. Gratsias, suci,
nezavisna odvjetnica: L. Medina,
tajnik: A. Calot Escobar,
uzimajući u obzir pisani dio postupka,
uzimajući u obzir očitovanja koja su podnijeli:
– za Nemzeti Adatvédelmi és Információszabadság Hatóság, G. J. Dudás, ügyvéd,
– za mađarsku vladu, Zs. Biró-Tóth i M. Z. Fehér, u svojstvu agenata,
– za španjolsku vladu, A. Ballesteros Panizo, u svojstvu agenta,
– za austrijsku vladu, A. Posch, J. Schmoll i C. Gabauer, u svojstvu agenata,
– za poljsku vladu, B. Majczyna, u svojstvu agenta,
– za portugalsku vladu, P. Barros da Costa, M. J. Ramos i C. Vieira Guerra, u svojstvu agenata,
– za Europsku komisiju, A. Bouchagiar, C. Kovács i H. Kranenborg, u svojstvu agenata,
odlučivši, nakon što je saslušao nezavisnu odvjetnicu, da u predmetu odluči bez mišljenja,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 58. stavka 2. točaka (c), (d) i (g) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.) (u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između Budapest Főváros IV. Kerület Újpest Önkormányzat Polgármesteri Hivatala (Gradska općina Újpest, okrug br. IV u Budimpešti, Mađarska) (u daljnjem tekstu: općina Újpest) i Nemzeti Adatvédelmi és Információszabadság Hatóság (Nacionalno tijelo za zaštitu podataka i slobodu informiranja, Mađarska) (u daljnjem tekstu: mađarsko nadzorno tijelo) u vezi s odlukom kojom je to tijelo općini Újpest naložilo brisanje nezakonito obrađenih osobnih podataka.
Pravni okvir
3 Uvodne izjave 1., 10. i 129. OUZP‑a glase kako slijedi:
„(1) Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. [P]ovelje Europske unije o temeljnim pravima […] te člankom 16. stavkom 1. [UFEU‑a] utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.
[…]
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar [Europske] unije‚ razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]
[…]
(129) Kako bi se osiguralo dosljedno praćenje i provedba ove Uredbe u cijeloj Uniji, nadzorna tijela trebala bi u svakoj državi članici imati iste zadaće i stvarne ovlasti, među ostalim ovlasti za vođenje istrage, korektivne ovlasti i sankcije te ovlasti za davanje odobrenja i savjetodavne ovlasti, posebno u slučajevima pritužbi pojedinaca, te ne dovodeći u pitanje ovlasti tijelâ kaznenog progona u skladu s pravom države članice, za upozoravanje pravosudnih tijela na kršenja ove Uredbe i sudjelovanje u pravnim postupcima. […]”
4 Poglavlje I. OUZP‑a, naslovljeno „Opće odredbe”, sadržava njezine članke 1. do 4.
5 U skladu s člankom 1. te uredbe, naslovljenim „Predmet i ciljevi”:
„1. Ovom se Uredbom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka.
2. Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.
[…]”
6 Članak 4. navedene uredbe, naslovljen „Definicije”, u svojim točkama 2., 7. i 21. određuje:
„Za potrebe ove Uredbe:
[…]
2. ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7. ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
[…]
21. ‚nadzorno tijelo’ znači neovisno tijelo javne vlasti koje je osnovala država članica u skladu s člankom 51.;
[…]”
7 Poglavlje II. OUZP‑a, naslovljeno „Načela”, sadržava, među ostalim, članak 5. te uredbe, naslovljen „Načela obrade osobnih podataka”, kojim se predviđa:
„1. Osobni podaci moraju biti:
(a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenosti transparentnost’);
(b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama […] (‚ograničavanje svrhe’);
(c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);
[…]
2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
8 U poglavlju III. OUZP‑a pod naslovom „Prava ispitanika”, članak 17. te uredbe, naslovljen „Pravo na brisanje (,pravo na zaborav’)”, u stavku 1. predviđa:
„Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
(a) osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;
(b) ispitanik povuče privolu na kojoj se obrada temelji u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne postoji druga pravna osnova za obradu;
(c) ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 2.;
(d) osobni podaci nezakonito su obrađeni;
[…]”
9 Poglavlje VI. OUZP‑a, naslovljeno „Neovisna nadzorna tijela”, sadržava njezine članke 51. do 59.
10 Članak 51. te uredbe, naslovljen „Nadzorno tijelo”, u svojim stavcima 1. i 2. propisuje:
„1. Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije […]
2. Svako nadzorno tijelo doprinosi dosljednoj primjeni ove Uredbe u cijeloj Uniji. U tu svrhu nadzorna tijela surađuju međusobno i s Komisijom u skladu s poglavljem VII.”
11 Članak 57. navedene uredbe, naslovljen „Zadaće”, u stavku 1. propisuje:
„1. Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:
(a) prati i provodi primjenu ove Uredbe;
[…]
(h) provodi istrage o primjeni ove Uredbe, među ostalim na temelju informacija primljenih od drugog nadzornog ili drugog tijela javne vlasti;
[…]”
12 Članak 58. iste uredbe, naslovljen „Ovlasti”, u stavku 2. predviđa:
„Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti:
[…]
(c) narediti voditelju obrade ili izvršitelju obrade da poštuje zahtjeve ispitanika za ostvarivanje njegovih prava u skladu s ovom Uredbom;
(d) narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama ove Uredbe, prema potrebi na točno određen način i u točno zadanom roku;
[…]
(g) narediti ispravljanje ili brisanje osobnih podataka ili ograničavanje obrade u skladu s člancima 16., 17. i 18. i izvješćivanje o takvim radnjama primatelja kojima su osobni podaci otkriveni u skladu s člankom 17. stavkom 2. i člankom 19.;
[…]
(i) izreći upravnu novčanu kaznu u skladu s člankom 83. uz mjere, ili umjesto mjera koje se navode u ovom stavku, ovisno o okolnostima svakog pojedinog slučaja;
[…]”
Glavni postupak i prethodna pitanja
13 U veljači 2020. općina Újpest odlučila je dodijeliti financijsku potporu stanovnicima koji pripadaju ranjivoj skupini osoba koje su pogođene pandemijom bolesti COVID-19 i koji su ispunjavali određene uvjete prihvatljivosti.
14 U tu se svrhu obratila Magyar Államkincstáru (mađarska Državna riznica) i Budapest Főváros Kormányhivatala IV. Kerületi Hivataliu (Ured okruga br. IV pri vladinu uredu za glavni grad Budimpeštu, Mađarska, u daljnjem tekstu: Okružni ured) radi dobivanja osobnih podataka potrebnih za provjeru tih uvjeta prihvatljivosti. Ti su podaci uključivali, među ostalim, osnovne identifikacijske podatke i brojeve socijalnog osiguranja fizičkih osoba. Mađarska državna riznica i Okružni ured dostavili su zatražene podatke.
15 Općina Újpest radi isplate potpore donijela je az Újpest+ Megbecsülés Program bevezetéséről szóló 16/2020. (IV. 30.) önkormányzati rendelet (Općinska odluka br. 16/2020 (IV. 30.), o uspostavi Programa Újpest+ Megbecsülés), koja je izmijenjena i dopunjena odlukom 30/2020 (VII. 15.) önkormányzati rendelet (Općinska odluka br. 30/2020 (VII. 15.)). Te su odluke sadržavale uvjete prihvatljivosti za tako utvrđenu potporu. Općina Újpest objedinila je dobivene podatke u bazi podataka uspostavljenoj radi provedbe svojeg programa potpore te je utvrdila jedinstven identifikacijski broj i bar kod za svaki skup podataka.
16 Mađarsko nadzorno tijelo je na temelju prijave po službenoj dužnosti 2. rujna 2020. pokrenulo istragu u vezi s obradom osobnih podataka na kojoj se temeljio navedeni program potpore. U odluci donesenoj 22. travnja 2021. to je tijelo utvrdilo da je općina Újpest povrijedila niz odredbi članaka 5. i 14. OUZP‑a kao i njegov članak 12. stavak 1. Ono je, među ostalim, istaknulo da općina Újpest nije u roku od mjesec dana obavijestila dotične osobe o kategorijama osobnih podataka koji se obrađuju u okviru tog programa, svrsi predmetne obrade ni o načinima na koje te osobe mogu ostvarivati svoja prava u tom pogledu.
17 Mađarsko nadzorno tijelo naložilo je općini Újpest da u skladu s člankom 58. stavkom 2. točkom (d) OUZP‑a obriše osobne podatke ispitanika koji bi, prema informacijama koje su dostavili Okružni ured i Mađarska državna riznica, imali pravo na potporu, ali je nisu zatražili. Smatralo je da su i Mađarska državna riznica i Okružni ured povrijedili odredbe koje se odnose na obradu osobnih podataka navedenih osoba. Osim toga, i općini Újpest i Mađarskoj državnoj riznici izreklo je novčanu kaznu u području zaštite podataka.
18 Upravnom tužbom, podnesenom Fővárosi Törvényszéku (Okružni sud u Budimpešti, Mađarska), koji je sud koji je uputio zahtjev, općina Újpest osporava odluku mađarskog nadzornog tijela, ističući da potonje tijelo nema ovlast naložiti brisanje osobnih podataka na temelju članka 58. stavka 2. točke (d) OUZP‑a jer ispitanik nije podnio zahtjev u smislu članka 17. te uredbe. U tom se pogledu poziva na presudu Kfv.II.37.001/2021/6. Kúrije (Vrhovni sud, Mađarska), u kojoj je on presudio da mađarsko nadzorno tijelo nema takvu ovlast, čime je potvrdio presudu suda koji je uputio zahtjev. Prema mišljenju tužitelja iz glavnog postupka, pravo na brisanje predviđeno člankom 17. navedene uredbe zamišljeno je isključivo kao pravo osobe čiji se podaci obrađuju.
19 Nakon što je mađarsko nadzorno tijelo podnijelo ustavnu tužbu, Alkotmánybíróság (Ustavni sud, Mađarska) ukinuo je prethodno navedenu presudu Kúrije (Vrhovni sud) presudivši da to tijelo ima pravo po službenoj dužnosti naložiti brisanje osobnih podataka koji su bili predmet nezakonite obrade, čak i ako osoba čiji se podaci obrađuju nije podnijela zahtjev. Alkotmánybíróság (Ustavni sud) u tom se pogledu oslonio na Mišljenje Europskog odbora za zaštitu podataka br. 39/2021 u skladu s kojim se člankom 17. OUZP‑a predviđaju dva različita slučaja brisanja, pri čemu je jedan brisanje na zahtjev ispitanika, a drugi brisanje kao samostalna obveza voditelja obrade, tako da članak 58. stavak 2. točku (g) OUZP‑a treba smatrati valjanom pravnom osnovom za brisanje nezakonito obrađenih osobnih podataka po službenoj dužnosti.
20 Nakon odluke Alkotmánybírósága (Ustavni sud) navedene u prethodnoj točki, sud koji je uputio zahtjev i dalje izražava sumnje u pogledu tumačenja članka 17. i članka 58. stavka 2. OUZP‑a. Smatra da je pravo na brisanje osobnih podataka definirano u članku 17. stavku 1. OUZP‑a kao pravo ispitanika i da ta odredba ne sadržava dva različita slučaja brisanja.
21 Taj je sud dodao da osoba može imati interes za obradu osobnih podataka koji se na nju odnose, uključujući i kada nacionalno nadzorno tijelo naredi, zbog nezakonitosti obrade, voditelju obrade da izbriše navedene podatke. U takvom bi slučaju to tijelo ostvarivalo ispitanikovo pravo protivno njegovoj volji.
22 Sud koji je uputio zahtjev stoga želi utvrditi može li nacionalno nadzorno tijelo, neovisno o tome ostvaruje li ispitanik svoje pravo, voditelju obrade ili izvršitelju obrade naložiti da obriše nezakonito obrađene osobne podatke te, ako može, na temelju koje pravne osnove, uzimajući u obzir, konkretno, to da se u članku 58. stavku 2. točki (c) OUZP‑a izričito polazi od zahtjeva ispitanika za ostvarivanje njegovih prava i to da se u članku 58. stavku 2. točki (d) općenito određuje da obrada mora biti u skladu s navedenom uredbom, dok se u članku 58. stavku 2. točki (g) iste uredbe izravno upućuje na njezin članak 17., čija primjena traži izričit zahtjev ispitanika.
23 Ako nacionalno nadzorno tijelo voditelju obrade ili izvršitelju obrade može naložiti da obriše nezakonito obrađene osobne podatke čak i ako ispitanik to ne zatraži, sud koji je uputio zahtjev također želi znati može li se na datum kada je naloženo to brisanje praviti razlika ovisno o tome jesu li osobni podaci prikupljeni od ispitanika, s obzirom na obvezu voditelja obrade na koju se upućuje u članku 13. stavku 2. točki (b) OUZP‑a, ili su prikupljeni od druge osobe, s obzirom na obvezu predviđenu člankom 14. stavkom 2. točkom (c) te uredbe.
24 U tim je okolnostima Fővárosi Törvényszék (Okružni sud u Budimpešti) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li članak 58. stavak 2., osobito točke (c), (d) i (g) [OUZP‑a] tumačiti na način da nacionalno nadzorno tijelo prilikom izvršavanja svojih korektivnih ovlasti voditelju obrade ili izvršitelju obrade može naložiti da obriše nezakonito obrađene osobne podatke čak i ako ispitanik to izričito ne zatraži u skladu s člankom 17. stavkom 1. [OUZP‑a]?
2. U slučaju da se na prvo prethodno pitanje odgovori da nadzorno tijelo voditelju obrade ili izvršitelju obrade može naložiti da obriše nezakonito obrađene osobne podatke čak i ako ispitanik to ne zatraži, ovisi li ta mogućnost o tome jesu li osobni podaci prikupljeni od ispitanika ili ne?”
O prethodnim pitanjima
Prvo pitanje
25 Svojim prvim pitanjem sud koji je uputio zahtjev pita treba li članak 58. stavak 2. točke (c), (d) i (g) OUZP‑a tumačiti na način da je nadzorno tijelo države članice ovlašteno u izvršavanju svoje ovlasti donošenja korektivnih mjera predviđenih u tim odredbama naložiti voditelju obrade ili izvršitelju obrade brisanje osobnih podataka koji su bili predmet nezakonite obrade, iako ispitanik u tu svrhu nije podnio nikakav zahtjev za ostvarivanje svojih prava u skladu s člankom 17. stavkom 1. te uredbe.
26 To je pitanje postavljeno u kontekstu spora o zakonitosti odluke mađarskog nadzornog tijela kojom se općini Újpest na temelju članka 58. stavka 2. točke (d) OUZP‑a nalaže da izbriše osobne podatke koji su nezakonito obrađeni u okviru programa potpore opisanog u točkama 13. do 15. ove presude.
27 U skladu s člankom 17. stavkom 1. OUZP‑a, ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati te podatke bez nepotrebnog odgađanja osobito, u skladu s točkom (d) te odredbe, ako su ti podaci „obrađeni nezakonito”.
28 U skladu s člankom 58. stavkom 2. točkom (d) OUZP‑a, nadzorno tijelo može narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama te uredbe, prema potrebi na točno određen način i u točno zadanom roku. Osim toga, članak 58. stavak 2. točka (g) navedene uredbe predviđa da nadzorno tijelo može narediti ispravljanje ili brisanje osobnih podataka ili ograničavanje obrade u skladu s njezinim člancima 16., 17. i 18. i izvješćivanje o takvim radnjama primatelja kojima su osobni podaci otkriveni u skladu s člankom 17. stavkom 2. i člankom 19. iste uredbe.
29 U tom kontekstu, sud koji je uputio zahtjev pita se je li nadzorno tijelo države članice ovlašteno, u izvršavanju svoje ovlasti donošenja korektivnih mjera, poput onih predviđenih u članku 58. stavku 2. točkama (c), (d) i (g) OUZP‑a, naložiti po službenoj dužnosti, odnosno ako ispitanik prethodno nije podnio zahtjev u tu svrhu, voditelju obrade ili izvršitelju obrade da izbriše osobne podatke koji su bili predmet nezakonite obrade.
30 U skladu s ustaljenom sudskom praksom, u svrhu tumačenja odredbe prava Unije, valja uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve propisa kojeg je ona dio (presuda od 13. srpnja 2023., G GmbH, C‑134/22, EU:C:2023:567, t. 25. i navedena sudska praksa).
31 Uvodno valja istaknuti da relevantne odredbe prava Unije, navedene u točkama 27. i 28. ove presude, treba tumačiti u vezi s člankom 5. stavkom 1. OUZP‑a, u kojem se navode načela koja se odnose na obradu osobnih podataka i među kojima se osobito u točki (a) nalazi ono kojim se predviđa da se osobni podaci moraju obrađivati na zakonit, pošten i transparentan način u odnosu na ispitanika.
32 Na temelju stavka 2. tog članka 5., voditelj obrade, u skladu s načelom „pouzdanosti” iz te odredbe, odgovoran je za usklađenost sa stavkom 1. spomenutog članka 5. i mora moći dokazati da poštuje svako od načela koja su u njemu navedena, pri čemu je na njemu teret dokazivanja (presuda od 4. svibnja 2023., Bundesrepublik Deutschland (Elektronički poštanski pretinac), C‑60/22, EU:C:2023:373, t. 53. i navedena sudska praksa).
33 Ako se pri obradi osobnih podataka ne poštuju načela predviđena, među ostalim, člankom 5. OUZP‑a, nadzorna tijela država članica ovlaštena su intervenirati u skladu sa svojim zadaćama i ovlastima predviđenima u člancima 57. i 58. te uredbe. Među tim je zadaćama, među ostalim, nadzor primjene navedene uredbe i osiguravanje njezina poštovanja, u skladu s njezinim člankom 57. stavkom 1. točkom (a) (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 108.).
34 U tom pogledu, Sud je već pojasnio da kada nacionalno nadzorno tijelo po okončanju svoje istrage ocijeni da predmetna osoba ne uživa primjerenu razinu zaštite, to je tijelo dužno, na temelju prava Unije, na odgovarajući način postupati kako bi otklonilo utvrđeni nedostatak, i to neovisno o podrijetlu ili naravi tog nedostatka. U tu svrhu, članak 58. stavak 2. OUZP‑a navodi različite korektivne ovlasti koje nadzorno tijelo može usvojiti. Na tom je nadzornom tijelu da izabere prikladno sredstvo za obavljanje svoje zadaće uz svu dužnu pažnju koja se sastoji u osiguravanju potpunog poštovanja te uredbe (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 111. i 112.).
35 Konkretnije, što se tiče pitanja može li predmetno nadzorno tijelo po službenoj dužnosti donijeti takve korektivne mjere, najprije valja istaknuti da se, s obzirom na njegov tekst, člankom 58. stavkom 2. OUZP‑a pravi razlika između korektivnih mjera koje se mogu odrediti po službenoj dužnosti, osobito onih iz članka 58. stavka 2. točaka (d) i (g) i onih koje se mogu donijeti tek nakon što ispitanik podnese zahtjev za ostvarivanje svojih prava na temelju te uredbe, kako su navedene u članku 58. stavku 2. točki (c) navedene uredbe.
36 Naime, s jedne strane, iz teksta članka 58. stavka 2. točke (c) OUZP‑a izričito proizlazi da donošenje korektivne mjere iz te odredbe, odnosno „narediti voditelju obrade ili izvršitelju obrade da poštuje zahtjeve ispitanika za ostvarivanje njegovih prava u skladu s ovom Uredbom”, pretpostavlja to da je ispitanik prethodno ostvario svoja prava podnošenjem zahtjeva u tom smislu i da taj zahtjev nije prihvaćen prije nego što nadzorno tijelo donese odluku predviđenu navedenom odredbom. S druge strane, za razliku od te odredbe, na temelju teksta članka 58. stavka 2. točaka (d) i (g) te uredbe ne može se smatrati da bi intervencija nadzornog tijela države članice radi primjene mjera koje su njome predviđene bila ograničena samo na slučajeve u kojima je osoba čiji se podaci obrađuju podnijela zahtjev u tu svrhu, pri čemu taj tekst ne upućuje na takav zahtjev.
37 Nadalje, kad je riječ o kontekstu tih odredbi, valja istaknuti da tekst članka 17. stavka 1. te uredbe razlikuje upotrebom sastavnog veznika „te”, s jedne strane, pravo ispitanika da od voditelja obrade ishodi brisanje podataka koji se odnose na njega bez nepotrebnog odgađanja i, s druge strane, obvezu voditelja obrade da te osobne podatke izbriše bez nepotrebnog odgađanja. Iz toga treba zaključiti da se tom odredbom uređuju dva neovisna slučaja, odnosno, s jedne strane, brisanje podataka na zahtjev ispitanika i, s druge strane, brisanje koje proizlazi iz postojanja samostalne obveze koju ima voditelj obrade, i to neovisno o bilo kojem zahtjevu ispitanika.
38 Naime, kao što je to istaknuo Europski odbor za zaštitu podataka u svojem Mišljenju br. 39/2021, takvo razlikovanje nužno je s obzirom na to da od slučajeva predviđenih u tom članku 17. stavku 1. neki obuhvaćaju situacije u kojima ispitanik nije nužno bio obaviješten o obradi osobnih podataka koji se odnose na njega, tako da je voditelj obrade jedini koji može utvrditi njihovo postojanje. To je osobito slučaj sa situacijom u kojoj su ti podaci bili predmet nezakonite obrade iz spomenutog članka 17. stavka 1. točke (d).
39 To je tumačenje potkrijepljeno člankom 5. stavkom 2. OUZP‑a, u vezi sa stavkom 1. točkom (a) tog članka 5., na temelju kojeg voditelj obrade mora osigurati, među ostalim, zakonitost obrade podataka koju provodi (vidjeti u tom smislu presudu od 4. svibnja 2023., Bundesrepublik Deutschland (Elektronički poštanski pretinac), C‑60/22, EU:C:2023:373, t. 54.).
40 Naposljetku, takvo tumačenje također potvrđuje cilj koji se nastoji postići člankom 58. stavkom 2. OUZP‑a, kao što to proizlazi iz njegove uvodne izjave 129., odnosno osiguravanje usklađenosti obrade osobnih podataka s tom uredbom i rješavanje slučajeva kršenja te uredbe kako bi se uskladili s pravom Unije, kao rezultat intervencije nacionalnih nadzornih tijela.
41 U tom pogledu valja pojasniti da, iako je izbor prikladnog i nužnog sredstva na nacionalnom nadzornom tijelu te ono mora izvršiti taj izbor uzimajući u obzir sve okolnosti slučaja, to tijelo i dalje mora, uz svu dužnu pažnju, ispunjavati svoju zadaću nadziranja punog poštovanja OUZP‑a (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 112.). Stoga je, kako bi se osigurala učinkovita primjena OUZP‑a, osobito važno da to tijelo raspolaže djelotvornim ovlastima kako bi učinkovito djelovalo protiv povreda te uredbe i osobito kako bi ih okončalo, uključujući u slučajevima u kojima osobe čiji se podaci obrađuju nisu obaviještene o obradi njihovih osobnih podataka, nisu s njima upoznate ili u svakom slučaju nisu zatražile brisanje tih podataka.
42 U tim okolnostima valja smatrati da ovlast donošenja određenih korektivnih mjera iz članka 58. stavka 2. OUZP‑a, osobito onih iz točaka (d) i (g) te odredbe, nadzorno tijelo države članice može izvršavati po službenoj dužnosti ako se ta ovlast izvršava po službenoj dužnosti kako bi mu se omogućilo da ispuni svoju zadaću. Stoga, ako to tijelo po završetku svoje istrage ocijeni da ta obrada ne ispunjava zahtjeve te uredbe, dužno je, u skladu s pravom Unije, donijeti odgovarajuće mjere za ispravljanje utvrđene povrede, i to neovisno o postojanju prethodnog zahtjeva koji je podnijela osoba čiji se podaci obrađuju kako bi ostvarila svoja prava na temelju članka 17. stavka 1. navedene uredbe.
43 Takvo tumačenje također je potkrijepljeno ciljevima koji se žele postići OUZP‑om, kako proizlaze osobito iz njegova članka 1. kao i uvodnih izjava 1. i 10., koji se odnose na jamstvo visoke razine zaštite s obzirom na temeljno pravo pojedinaca na zaštitu osobnih podataka koji se na njih odnose, sadržano u članku 8. stavku 1. Povelje o temeljnim pravima i članku 16. stavku 1. UFEU‑a (vidjeti u tom smislu presude od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 207. i od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 73.).
44 Tumačenje suprotno onomu navedenom u točki 42. ove presude, prema kojem bi takvo nadzorno tijelo bilo ovlašteno djelovati samo nakon zahtjeva koji je u tu svrhu podnio ispitanik, ugrozilo bi ostvarenje ciljeva navedenih u točkama 40. i 43. ove presude, osobito u situaciji poput one o kojoj je riječ u glavnom postupku u kojoj se brisanje osobnih podataka koji su predmet nezakonite obrade odnosi na potencijalno velik broj osoba koje se nisu pozvale na svoje pravo na brisanje u skladu s člankom 17. stavkom 1. OUZP‑a.
45 Naime, kao što je to u biti istaknula Komisija u svojim pisanim očitovanjima, inzistiranje na prethodnom zahtjevu koji su podnijeli ispitanici, u smislu članka 17. stavka 1. OUZP‑a, značilo bi da bi voditelj obrade mogao, ako takav zahtjev nije podnesen, zadržati predmetne osobne podatke i nastaviti ih nezakonito obrađivati. Takvo bi tumačenje ugrozilo djelotvornost zaštite predviđene tom uredbom jer bi dovelo do lišavanja zaštite neaktivnih osoba iako su njihovi osobni podaci bili predmet nezakonite obrade.
46 S obzirom na sva ranija razmatranja, na prvo pitanje valja odgovoriti da članak 58. stavak 2. točke (d) i (g) OUZP‑a treba tumačiti na način da je nadzorno tijelo države članice ovlašteno u izvršavanju svoje ovlasti donošenja korektivnih mjera predviđenih u tim odredbama naložiti voditelju obrade ili izvršitelju obrade brisanje osobnih podataka koji su bili predmet nezakonite obrade, iako ispitanik u tu svrhu nije podnio nikakav zahtjev za ostvarivanje svojih prava u skladu s člankom 17. stavkom 1. te uredbe.
Drugo pitanje
47 Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 58. stavak 2. OUZP‑a tumačiti na način da se ovlast nadzornog tijela države članice da naloži brisanje nezakonito obrađenih osobnih podataka može odnositi kako na podatke prikupljene od ispitanika tako i na podatke iz drugog izvora.
48 U tom pogledu najprije valja istaknuti da tekst odredbi navedenih u prethodnoj točki ne sadržava nikakvu naznaku na temelju koje bi se moglo zaključiti da ovlast nadzornog tijela za donošenje korektivnih mjera koje su u njoj navedene ovisi o izvoru predmetnih podataka i, osobito, o okolnosti da su oni prikupljeni od osobe čiji se podaci obrađuju.
49 Isto tako, tekst članka 17. stavka 1. OUZP‑a, kojim se, kao što to proizlazi iz točke 37. ove presude, uspostavlja samostalna obveza voditelja obrade da izbriše osobne podatke koji su bili predmet nezakonite obrade, ne uključuje nikakav zahtjev koji se odnosi na podrijetlo prikupljenih podataka.
50 Usto, kao što to proizlazi iz točaka 41. i 42. ove presude, kako bi se osigurala učinkovita i dosljedna primjena OUZP‑a, nacionalno nadzorno tijelo mora imati učinkovite ovlasti za učinkovito djelovanje protiv povreda te uredbe. Stoga ovlast za donošenje korektivnih mjera, kako je utvrđena u članku 58. stavku 2. točkama (d) i (g) OUZP‑a, ne može ovisiti o podrijetlu predmetnih podataka i, osobito, o okolnosti da su prikupljeni od ispitanika.
51 Slijedom toga, valja smatrati, poput svih vlada koje su podnijele pisana očitovanja i Komisije, da izvršavanje ovlasti donošenja korektivnih mjera u smislu članka 58. stavka 2. točaka (d) i (g) OUZP‑a ne može ovisiti o činjenici jesu li predmetni osobni podaci izravno prikupljeni od ispitanika.
52 Takvo tumačenje potvrđuju i ciljevi OUZP‑a, osobito članak 58. stavak 2. te uredbe, na koje se podsjeća u točkama 40. i 43. ove presude.
53 S obzirom na prethodna razmatranja, na drugo pitanje valja odgovoriti da članak 58. stavak 2. OUZP‑a treba tumačiti na način da se ovlast nadzornog tijela države članice da naloži brisanje nezakonito obrađenih osobnih podataka može odnositi kako na podatke prikupljene od ispitanika tako i na podatke iz drugog izvora.
Troškovi
54 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (peto vijeće) odlučuje:
1. Članak 58. stavak 2. točke (d) i (g) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),
treba tumačiti na način da je:
nadzorno tijelo države članice ovlašteno u izvršavanju svoje ovlasti donošenja korektivnih mjera predviđenih u tim odredbama naložiti voditelju obrade ili izvršitelju obrade brisanje osobnih podataka koji su bili predmet nezakonite obrade, iako ispitanik u tu svrhu nije podnio nikakav zahtjev za ostvarivanje svojih prava u skladu s člankom 17. stavkom 1. te uredbe.
2. Članak 58. stavak 2. Uredbe 2016/679
treba tumačiti na način da se:
ovlast nadzornog tijela države članice da naloži brisanje nezakonito obrađenih osobnih podataka može odnositi kako na podatke prikupljene od ispitanika tako i na podatke iz drugog izvora.
Potpisi