CELEX: 62021CJ0129
Zahtjev za prethodnu odluku
Obrada osobnih podataka i zaštita privatnosti u području elektroničkih komunikacija
Direktiva 2002/58/EZ
Članak 12.
Javni telefonski imenici i usluge informacija
Pretplatnikova privola
Obveze davatelja imenika i usluga informacija
Uredba (EU) 2016/679
Članak 17.
Pravo na brisanje (‚pravo na zaborav’)
Članak 5. stavak 2.
Članak 24.
Obveze i odgovornost voditelja obrade u pogledu obavještavanja

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 12. stavka 2. u vezi s člankom 2. drugim stavkom točkom (f) Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (
SL 2002., L 201, str. 37
.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.), kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009. (
SL 2009., L 337, str. 11
.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 224. i ispravci
SL 2017., L 162, str. 56
. i
SL 2018., L 74, str. 11
., u daljnjem tekstu: Direktiva 2002/58), i članka 5. stavka 2. te članaka 17., 24. i 95. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (
SL 2016., L 119, str. 1
. i ispravci
SL 2018., L 127, str. 2
. i
SL 2021., L 74, str. 35
., u daljnjem tekstu: OUZP).
Zahtjev je upućen u okviru spora između Proximusa NV, društva osnovanog u skladu s belgijskim javnim pravom, i Gegevensbeschermingsautoriteita (Agencija za zaštitu osobnih podataka, Belgija) (u daljnjem tekstu: AZOP) u vezi s odlukom kojom je Geschillenkamer van de Gegevensbeschermingsautoriteit (vijeće za rješavanje sporova pri AZOP‑u, u daljnjem tekstu: vijeće za rješavanje sporova) izrekao korektivne mjere i novčanu kaznu od 20000 eura Proximusu zbog povrede nekoliko odredaba OUZP‑a.
Pravni okvir
Pravo Unije
Direktiva 95/46/EZ
Članak 2. točka (h) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (
SL 1995., L 281, str. 31
.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) određuje:
„U smislu ove Direktive:
[…]
(h)
‚suglasnost osobe čiji se podaci obrađuju’ znači svaka dobrovoljno dana, posebna i informirana izjava volje, kojom osoba čiji se podaci obrađuju daje svoju suglasnost da se obrade osobni podaci koji se na nju odnose.”
Direktiva 2002/58
Uvodne izjave 10., 17., 38. i 39. Direktive 2002/58 glase:
„(10)
U području elektroničkih komunikacija Direktiva 95/46/EZ primjenjuje se posebno na sva pitanja koja se odnose na zaštitu temeljnih prava i sloboda, koja nisu posebno pokrivena odredbama ove Direktive, uključujući obveze osoba koje provode kontrolu i prava pojedinaca. […]
[…]
(17)
Za potrebe ove Direktive, [privola] korisnika ili pretplatnika, neovisno o tome je li on fizička ili pravna osoba, ima isto značenje kao i podaci o pristanku osobe koji su određeni i detaljnije opisani u Direktivi 95/46/EZ. [Privola] se može dati na prikladan način koji omogućuje korisniku da slobodno navede posebne i informirane naznake svojih želja, uključujući označivanje kvačicom prilikom posjete nekoj stranici na internetu.
[…]
(38)
Telefonski imenici pretplatnika elektroničkih komunikacijskih usluga distribuiraju se posvuda te su javni. Pravo na privatnost fizičkih osoba i legitimni interesi pravnih osoba zahtijevaju da pretplatnici budu u mogućnosti odrediti hoće li se njihovi osobni podaci objaviti u telefonskome imeniku te, ako hoće, koji podaci. Davatelji javnih telefonskih imenika trebaju obavijestiti pretplatnike koji će biti uključeni u takve telefonske imenike o svrsi imenika, ali i o posebnoj uporabi koja se može ostvariti preko elektroničkih verzija javnih telefonskih imenika, posebno putem funkcija pretraživanja koje su ugrađene u softver, poput obrnute funkcije pretraživanja koja omogućuje korisnicima telefonskog imenika da otkriju ime i adresu pretplatnika samo na temelju telefonskog broja.
(39)
Obveza obavješćivanja pretplatnika o svrsi odnosno svrhama javnih telefonskih imenika u koje će se uključiti i njihovi osobni podaci treba se nametnuti stranci koja prikuplja podatke za takvo uključivanje. Ako se podaci mogu prenijeti trećoj osobi ili više trećih osoba, pretplatnik treba biti obaviješten o ovoj mogućnosti te o primatelju odnosno kategorijama mogućih primatelja. Bilo koji prijenos podataka treba biti podložan uvjetu prema kojemu se podaci ne mogu koristiti u druge svrhe osim onih zbog kojih se prikupljaju. Ako osoba koja prikuplja podatke od pretplatnika ili neka treća osoba kojoj su podaci proslijeđeni želi koristiti podatke u neku dodatnu svrhu, tada stranka koja je u početku prikupljala podatke ili treća osoba, kojoj su podaci proslijeđeni, treba dobiti ponovni pristanak pretplatnika.”
Članak 1. te direktive predviđa:
„1.   Direktiva osigurava usklađenost nacionalnih odredbi koje su potrebne kako bi se osigurala odgovarajuća razina zaštite osnovnih prava i sloboda, a posebno prava na privatnost i povjerljivost, s obzirom na obradu osobnih podataka u području elektroničkih komunikacija, te kako bi se osiguralo slobodno kretanje takvih podataka i elektroničke komunikacijske opreme i usluga u Zajednici.
2.   Odredbe ove Direktive pojašnjavaju i nadopunjuju Direktivu 95/46/EZ u svrhe spomenute u stavku 1. Štoviše, one pružaju zaštitu legitimnih interesa pretplatnika koji su pravne osobe.
[…]”
U skladu s člankom 2. drugim stavkom, točkom (f) navedene direktive, naslovljenim „Definicije”:
„Sljedeće definicije se također primjenjuju:
[…]
(f)
[‚privola’] korisnika ili pretplatnika odgovara podacima o pristanku osobe iz Direktive 95/46/EZ”.
Članak 12. te direktive, naslovljen „Telefonski imenici pretplatnika”, glasi:
„1.   Države članice osiguravaju da pretplatnici budu obaviješteni, bez naknade te prije njihovog uvrštavanja u telefonski imenik, o svrsi odnosno svrhama tiskanog ili elektroničkog telefonskog imenika pretplatnika, koji je dostupan javnosti ili koji se može nabaviti putem usluga informacija i u koji se mogu uključiti njihovi osobni podaci, kao i o svim drugim mogućnostima uporabe zasnovanima na funkcijama pretraživanja koje su ugrađene u elektroničke verzije telefonskog imenika.
2.   Države članice osiguravaju da se pretplatnicima pruži mogućnost odrediti hoće li njihovi osobni podaci biti uključeni u javni telefonski imenik, te, ako hoće, koji podaci, u onoj mjeri u kojoj su ti podaci relevantni za svrhu telefonskog imenika koju je odredio njegov davatelj, kao i mogućnost provjeriti, ispraviti ili opozvati takve podatke. Neuključivanje u javni telefonski imenik pretplatnika, provjera, ispravak ili opoziv osobnih podataka iz imenika su besplatni.
3.   Države članice mogu zahtijevati da se od pretplatnika traži dodatn[a privola za] bilo koju svrhu javnog telefonskog imenika, osim traženja kontaktnih podataka o osobama na temelju njihovog imena te, gdje je to potrebno, minimuma drugih identifikatora.
[…]”
OUZP
Uvodne izjave 42., 66. i 173. OUZP‑a određuju:
„(42)
Ako se obrada temelji na privoli ispitanika, voditelj obrade trebao bi moći dokazati da je ispitanik dao privolu za postupak obrade. Zaštitnim mjerama, posebno u kontekstu pisane izjave o drugom pitanju, trebalo bi se osigurati da je ispitanik svjestan činjenice da daje privolu i do koje mjere se ona daje. […] izjavu o privoli koju je unaprijed sastavio voditelj obrade trebalo bi ponuditi u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika te u njoj ne bi smjelo biti nepoštenih uvjeta. Da bi ispitanik mogao dati privolu informiran, trebao bi barem znati identitet voditelja obrade i svrhe obrade za koju se upotrebljavaju osobni podaci. Ne može se smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica.
[…]
(66)
Kako bi se ojačalo „pravo na zaborav” u internetskom okruženju, pravo na brisanje također bi trebalo proširiti tako da bi voditelj obrade koji je objavio osobne podatke bio obvezan obavijestiti voditelje obrade koji takve osobne podatke obrađuju da obrišu sve poveznice s tim osobnim podacima ili kopijama ili replikama tih osobnih podataka. Pritom bi voditelj obrade trebao poduzeti razumne mjere, uzimajući u obzir dostupnu tehnologiju i sredstva dostupna voditelju obrade, uključujući tehničke mjere da obavijesti voditelje obrade, koji obrađuju osobne podatke, o zahtjevu ispitanika.
[…]
(173)
Ova bi se Uredba trebala primjenjivati na sva pitanja u vezi sa zaštitom temeljnih prava i sloboda u odnosu na obradu osobnih podataka koja ne podliježu posebnim obvezama s istim ciljem koji je utvrđen Direktivom 2002/58/EZ, uključujući obveze voditelja obrade i prava pojedinaca. Kako bi se pojasnio odnos između ove Uredbe i Direktive 2002/58/EZ, tu bi Direktivu trebalo izmijeniti na odgovarajući način. Nakon donošenja ove Uredbe, Direktivu 2002/58/EZ trebalo bi preispitati posebno kako bi se osigurala usklađenost s ovom Uredbom.”
Članak 4. točke 2., 7. i 11. te uredbe glase:
„Za potrebe ove Uredbe:
[…]
2.
‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7.
‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; […]
[…]
11.
‚privola’ ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.”
Člankom 5. OUZP‑a, naslovljenim „Načela obrade osobnih podataka”, predviđa se:
„1.   Osobni podaci moraju biti:
(a)
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenosti transparentnost’);
[…]
2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
U skladu s člankom 6. OUZP‑a, naslovljenim „Zakonitost obrade”:
„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a)
ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
[…]”.
Članak 7. OUZP‑a, naslovljen „Uvjeti privole”, glasi:
„1.   Kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.
[…]
3.   Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. Prije davanja privole, ispitanika se o tome obavješćuje. Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.
[…]”
Članak 16. OUZP‑a, naslovljen „Pravo na ispravak”, određuje:
„Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od voditelja obrade ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.”
Članak 17. OUZP‑a, naslovljen „Pravo na brisanje (‚pravo na zaborav’)”, glasi kako slijedi:
„1.   Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
[…]
(b)
ispitanik povuče privolu na kojoj se obrada temelji u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne postoji druga pravna osnova za obradu;
[…]
(d)
osobni podaci nezakonito su obrađeni;
2.   Ako je voditelj obrade javno objavio osobne podatke i dužan je u skladu sa stavkom 1. obrisati te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, voditelj obrade poduzima razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji obrađuju osobne podatke da je ispitanik zatražio od tih voditelja obrade da izbrišu sve poveznice do njih ili kopiju ili repliku tih osobnih podataka.
[…]”
Članak 19. OUZP‑a, naslovljen „Obveza izvješćivanja u vezi s ispravkom ili brisanjem osobnih podataka ili ograničenjem obrade”, predviđa:
„Voditelj obrade priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade provedeno u skladu s člankom 16., člankom 17. stavkom 1. i člankom 18. svakom primatelju kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor. Voditelj obrade obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži.”
U skladu s člankom 24. OUZP‑a, naslovljenim „Obveze voditelja obrade”:
„1.   Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Uredbom. Te se mjere prema potrebi preispituju i ažuriraju.
2.   Ako su razmjerne u odnosu na aktivnosti obrade, mjere iz stavka 1. uključuju provedbu odgovarajućih politika zaštite podataka od strane voditelja obrade.
[…]”
Članak 94. stavak 2. OUZP‑a, naslovljen „Stavljanje izvan snage Direktive 95/46/EZ”, glasi:
„Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. […]”
Članak 95. OUZP‑a, naslovljen „Odnos s Direktivom 2002/58/EZ”, određuje:
„Ovom Uredbom ne propisuju se dodatne obveze fizičkim ili pravnim osobama u pogledu obrade u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga u javnim komunikacijskim mrežama u [Europskoj uniji] povezanih s pitanjima u pogledu kojih vrijede posebne obveze s istim ciljem iz Direktive 2002/58/EZ.”
Belgijsko pravo
Članak 133. Weta betreffende de elektronische communicatie (Zakon o elektroničkim komunikacijama) od 13. lipnja 2005. (
Belgisch Staatsblad
od 20. lipnja 2005., str. 28070.), kojim je u belgijsko pravo prenesen članak 12. Direktive 2002/58, glasi:
„§ 1.   Pružatelji javno dostupnih telefonskih usluga obavješćuju svoje pretplatnike besplatno i prije njihova upisa u telefonski imenik ili uslugu informacija o:
o
svrsi imenika ili usluge informacija;
o
besplatnosti upisa u imenik ili uslugu informacija;
o
prema potrebi, primjenama imenika ili usluge informacija koje odstupaju od pretraživanja osobnih podataka na temelju imena i eventualno prebivališta, boravišta ili poslovnog nastana pretplatnika.
U predmetni telefonski imenik ili u uslugu informacija mogu biti uključeni samo osobni podaci koji su relevantni s obzirom na svrhu o kojoj je dotični pretplatnik obaviješten u skladu sa stavkom 1. te za koje je on dao do znanja da mogu biti uključeni u telefonski imenik ili uslugu informacija.
U tom cilju operater postavlja dva zasebna pitanja pretplatniku:
o
želi li da se njegovi kontaktni podaci nalaze u univerzalnom telefonskom imeniku i univerzalnoj usluzi informacija;
o
želi li da se njegovi kontaktni podaci nalaze u drugim telefonskim imenicima ili drugim uslugama informacija.
[…]
§ 2.   Svaki pretplatnik ima pravo na uvid u osobne podatke koji se na njega odnose u skladu s uvjetima određenima u Zakonu od 8. prosinca 1992. o zaštiti privatnosti u vezi s obradom osobnih podataka.
Nadalje, svaki pretplatnik ima pravo na besplatno ispravljanje ili opoziv osobnih podataka koji se na njega odnose iz telefonskog imenika ili usluge informacija, u skladu s postupcima i uvjetima koje odredi kralj nakon mišljenja Povjerenstva za zaštitu privatnosti i Instituta.”
Članak 45. stavak 2. navedenog zakona nalaže operaterima telefonskih usluga da podatke koji se odnose na njihove pretplatnike stave na raspolaganje davateljima javnih telefonskih imenika. Na temelju članka 45. stavka 3. istog zakona, ti operateri izuzimaju podatke o pretplatnicima koji su zatražili da ih se ne uključi u telefonski imenik, kako bi ti pretplatnici mogli primiti telefonski imenik koji ne sadržava njihove podatke.
Glavni postupak i prethodna pitanja
Proximus, pružatelj telekomunikacijskih usluga u Belgiji, također je i davatelj telefonskih imenika i usluga informacija dostupnih javnosti (u daljnjem tekstu: telefonski imenici), u skladu s odredbama Zakona o elektroničkim komunikacijama. Ti telefonski imenici sadržavaju ime, adresu i telefonski broj (u daljnjem tekstu: kontaktni podaci) pretplatnika različitih pružatelja telefonskih usluga dostupnih javnosti (u daljnjem tekstu: operateri). Postoje i drugi telefonski imenici koje objavljuju treće osobe.
Operateri redovno daju kontaktne podatke Proximusu, uz iznimku kontaktnih podataka onih pretplatnika koji su izrazili želju da ne budu uključeni u telefonske imenike koje on izdaje. U Belgiji razlikovanje između pretplatnika koji žele i onih koji ne žele biti uključeni u telefonske imenike u praksi se očituje dodjelom parametra u upisu svakog pretplatnika: „NNNNN” svakom pretplatniku čiji kontaktni podaci mogu biti objavljeni i „XXXXX” svakom pretplatniku čiji kontaktni podaci ostaju povjerljivi. Kontaktne podatke koje prima, Proximus isto tako i prosljeđuje drugim davateljima telefonskih imenika.
Podnositelj pritužbe korisnik je operatera telefonskih usluga Telenet, koji djeluje na belgijskom tržištu. Telenet nije davatelj telefonskih imenika, nego prosljeđuje kontaktne podatke svojih pretplatnika davateljima telefonskih imenika, među ostalim Proximusu.
Taj je pretplatnik 13. siječnja 2019. zatražio od Proximusa da njegovi kontaktni podaci ne budu uključeni u telefonske imenike koje izdaju Proximus i treće osobe. Nakon tog zahtjeva Proximus je izmijenio status tog pretplatnika u svojem informatičkom sustavu kako njegovi kontaktni podaci više ne bi bili objavljivani.
Proximus je 31. siječnja 2019. primio redovno ažuriranje podataka o pretplatnicima od društva Telenet. To ažuriranje sadržavalo je nove podatke o dotičnom pretplatniku, koji nisu bili navedeni kao povjerljivi. Proximus je te informacije automatski obradio i registrirao tako da su ponovno bili uključeni u njegove telefonske imenike.
Dotični pretplatnik je 14. kolovoza 2019., nakon što je utvrdio da je njegov telefonski broj objavljen u telefonskim imenicima Proximusa i trećih osoba, ponovno zatražio od Proximusa da njegove podatke isključi iz telefonskih imenika. Istog je dana Proximus odgovorio podnositelju pritužbe da je uklonio njegove podatke iz telefonskih imenika i da je kontaktirao Google kako bi se uklonile relevantne poveznice do Proximusove internetske stranice. Proximus je također obavijestio tog pretplatnika da je njegove kontaktne podatke proslijedio drugim davateljima telefonskih imenika i da su, zahvaljujući mjesečnim ažuriranjima, ti davatelji obaviješteni o zahtjevu podnositelja pritužbe.
Istodobno je navedeni pretplatnik podnio pritužbu AZOP‑u protiv Proximusa zbog toga što se, unatoč njegovu zahtjevu da njegovi kontaktni podaci ne budu uključeni u telefonske imenike, njegov telefonski broj ipak pojavljuje u nekim od tih telefonskih imenika.
Dotični pretplatnik i Proximus su 5. rujna 2019. opet komunicirali u vezi s objavljivanjem podataka tog pretplatnika u telefonskom imeniku treće osobe. U tom je kontekstu Proximus naglasio da prosljeđuje kontaktne podatke svojih pretplatnika drugim davateljima telefonskih imenika, ali da nema nikakvog uvida u interne postupke tih davatelja.
Vijeće za rješavanje sporova donijelo je 30. srpnja 2020., nakon što je provelo kontradiktorni postupak, odluku kojom je Proximusu odredilo korektivne mjere i izreklo mu novčanu kaznu u iznosu od 20000 eura zbog povrede, među ostalim, članka 6. OUZP‑a, u vezi s člankom 7. te uredbe, i članka 5. stavka 2. navedene uredbe u vezi s njezinim člankom 24. Konkretno, najprije je naložilo Proximusu da odmah i na odgovarajući način uvaži povlačenje privole dotičnog pretplatnika i da postupi u skladu s njegovim zahtjevima za ostvarivanje njegova prava na brisanje podataka koji se na njega odnose. Zatim je naložilo Proximusu da poduzme odgovarajuće tehničke i organizacijske mjere kako bi osigurao da obrada osobnih podataka koju provodi bude u skladu s odredbama OUZP‑a. Naposljetku, naložio je Proximusu da prestane s nezakonitim prosljeđivanjem tih podataka drugim davateljima telefonskih imenika.
Proximus je 28. kolovoza 2020. podnio žalbu protiv te odluke Hofu van beroep te Brussel (Žalbeni sud u Bruxellesu, Belgija).
Prema Proximusovu mišljenju, pretplatnikova privola, u skladu s člankom 45. stavkom 3. Zakona o elektroničkim komunikacijama, nije potrebna, već sami pretplatnici moraju zahtijevati da ne budu uključeni u telefonske imenike, prema takozvanom „
opt‑out
” sustavu. Ako takav zahtjev ne bude podnesen, dotični pretplatnik može doista biti uključen u te telefonske imenike. Stoga, prema Proximusovu mišljenju, u ovom slučaju nije potrebna nikakva „suglasnost” u smislu Direktive 95/46 ili „privola” u smislu OUZP‑a.
AZOP, koji ima suprotno mišljenje, istaknuo je u biti da članak 12. stavak 2. Direktive 2002/58 i članak 133. stavak 1. Zakona o elektroničkim komunikacijama zahtijevaju „privolu pretplatnika” u smislu OUZP‑a kako bi davatelji telefonskih imenika mogli obrađivati i prosljeđivati njihove osobne podatke.
Sud koji je uputio zahtjev smatra da je Direktiva 2002/58
lex specialis
u odnosu na OUZP, kao što to potvrđuju uvodna izjava 173. i članak 95. OUZP‑a. Slijedom toga, u situacijama u kojima Direktiva 2002/58 pojašnjava pravila OUZP‑a, posebne odredbe te direktive imaju, kao
lex specialis
, prednost pred općenitijim odredbama OUZP‑a.
U tom kontekstu, sud koji je uputio zahtjev primjećuje da članak 12. stavak 2. Direktive 2002/58 i članak 133. stavak 1. Zakona o elektroničkim komunikacijama, tražeći izraz volje pretplatnikâ kako bi davatelji telefonskih imenika mogli obrađivati njihove osobne podatke, ne pojašnjavaju treba li taj izraz volje imati oblik prava na izbor, kao što to tvrdi Proximus, ili u obliku stvarne privole, u smislu OUZP‑a, kako to navodi AZOP. U tom pogledu, sud koji je uputio zahtjev naglašava da je sudska praksa Suda, osobito presuda od 5. svibnja 2011., Deutsche Telekom (
C‑543/09
,
EU:C:2011:279
), utvrdila da, kao što to proizlazi iz kontekstualnog i sustavnog tumačenja članka 12. Direktive 2002/58, izražavanje volje o kojem je riječ odgovara „privoli” koja se odnosi na svrhu objave osobnih podataka u javnom telefonskom imeniku, a ne na identitet konkretnog davatelja telefonskih imenika.
Osim toga, s obzirom na to da se niti u Direktivi 2002/58, niti u Zakonu o elektroničkim komunikacijama, a niti u provedbenoj odluci, ne nalaze nikakva posebna pravila koja se odnose na povlačenje tog izraza volje ili te „privole” pretplatnikâ, sud koji je uputio zahtjev pita se treba li sve odredbe OUZP‑a automatski i bez ograničenja primjenjivati i u posebnom kontekstu telefonskih imenika.
U tim je okolnostima Hof van beroep te Brussel (Žalbeni sud u Bruxellesu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Treba li članak 12. stavak 2. Direktive 2002/58/EZ u vezi s njezinim člankom 2. točkom (f) i člankom 95. [OUZP‑a] tumačiti na način da dopušta nacionalnom nadzornom tijelu da, zbog nepostojanja nacionalnih pravnih propisa koji upućuju na suprotno, zahtijeva pretplatnikovu ‚privolu’ u smislu [OUZP‑a] kao temelj za objavu njegovih osobnih podataka u javnim telefonskim imenicima i u okviru usluga informacija koje izdaje sam operater ili treći pružatelj usluge?
2.
Treba li pravo na brisanje na temelju članka 17. [OUZP‑a] tumačiti na način da mu se protivi to da nacionalno nadzorno tijelo pretplatnikov zahtjev za brisanje iz javnih telefonskih imenika i usluga informacija smatra ‚zahtjevom za brisanje’ u smislu članka 17. [OUZP‑a]?
3.
Treba li članak 24. i članak 5. stavak 2. [OUZP‑a] tumačiti na način da im se protivi to da nacionalno nadzorno tijelo iz zahtjeva pouzdanosti koji je propisan tim člancima zaključuje da voditelj obrade mora provesti odgovarajuće tehničke i organizacijske mjere kako bi druge voditelje obrade, odnosno pružatelja telefonske usluge i ostale davatelje telefonskih imenika i usluga informacija koji su primili podatke od prvonavedenog voditelja obrade, obavijestio o tome da je ispitanik povukao privolu u skladu s člankom 6. u vezi s člankom 7. [OUZP‑a]?
4.
Treba li članak 17. stavak 2. [OUZP‑a] tumačiti na način da mu se protivi to da nacionalno nadzorno tijelo davatelju javnih telefonskih imenika i usluga informacija, od kojeg se zahtijeva da više ne objavljuje podatke određene osobe, nalaže da poduzme odgovarajuće mjere kako bi internetske pretraživače obavijestio o zahtjevu za brisanje podataka?”
O prethodnim pitanjima
Prvo pitanje
Proximus ističe da se predmet o kojem je riječ u glavnom postupku ne odnosi na to da operater telefonskih usluga objavljuje telefonske imenike koji sadržavaju osobne podatke, tako da prvo prethodno pitanje treba smatrati nedopuštenim u dijelu u kojem se odnosi na takav slučaj.
Prema ustaljenoj sudskoj praksi, pitanja koja se tiču tumačenja prava Unije koja je uputio nacionalni sud u pravnom i činjeničnom okviru koji određuje pod svojom odgovornošću i za koji nije na Sudu da provjerava njegovu točnost uživaju presumpciju relevantnosti. Sud može odbiti odlučivati o zahtjevu za prethodnu odluku koji je uputio nacionalni sud samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi se mogao dati koristan odgovor na upućena pitanja (presuda od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija,
C‑184/20
,
EU:C:2022:601
, t.
48.
i navedena sudska praksa).
U ovom predmetu, spor u glavnom postupku vodi se isključivo između fizičke osobe i društva koje nije njezin operater telefonskih usluga, u vezi s načinom na koji je to društvo obradilo njezine osobne podatke prilikom objave telefonskih imenika. Iz toga slijedi da je prvo pitanje nedopušteno u dijelu u kojem se odnosi na tumačenje zahtjeva koji proizlaze iz članka 12. stavka 2. Direktive 2002/58 u vezi sa slučajem u kojem operater telefonskih usluga te osobe sâm objavljuje osobne podatke u telefonskim imenicima.
Iz prethodno navedenog proizlazi da sud koji je uputio zahtjev svojim prvim pitanjem u biti pita treba li članak 12. stavak 2. Direktive 2002/58, u vezi s njezinim člankom 2., drugim stavkom, točkom (f) i člankom 95. OUZP‑a, tumačiti na način da je „privola” pretplatnika operatera telefonskih usluga, u smislu članka 4. točke 11. OUZP‑a, potrebna kako bi se osobni podaci tog pretplatnika uključili u telefonske imenike davatelja različitih od tog operatera.
Kako bi se odgovorilo na to pitanje, valja podsjetiti na to da članak 1. stavak 1. Direktive 2002/58 predviđa, među ostalim, usklađivanje nacionalnih odredbi koje su potrebne kako bi se osigurala odgovarajuća razina zaštite osnovnih prava i sloboda, a posebno prava na privatnost i povjerljivost, s obzirom na obradu osobnih podataka u području elektroničkih komunikacija.
U tom pogledu valja podsjetiti na to da iz članka 12. stavka 1. te direktive, kao i iz njezine uvodne izjave 38., proizlazi da se pretplatnici, prije nego što budu upisani u javne telefonske imenike, obavještavaju o njihovim svrhama i o svim drugim mogućnostima njihove uporabe, koja se može ostvariti funkcijama pretraživanja koje su ugrađene u elektroničke verzije telefonskih imenika.
U uvodnoj izjavi 39. navedene direktive nadalje se pojašnjava, u vezi s obvezom obavješćivanja pretplatnika na temelju njezina članka 12. stavka 1., da, „[a]ko se [osobni] podaci mogu prenijeti trećoj osobi ili više trećih osoba, pretplatnik treba biti obaviješten o ovoj mogućnosti te o primatelju odnosno kategorijama mogućih primatelja”.
Nakon što dobije informacije navedene u članku 12. stavku 1. Direktive 2002/58, pretplatnik može, kao što to proizlazi iz njegova stavka 2., odlučiti hoće li osobni podaci koji se na njega odnose biti uključeni u javni telefonski imenik.
Kao što je to Sud već presudio, takvo obavješćivanje omogućava dotičnom pretplatniku da dâ svoju privolu na objavu osobnih podataka koji se na njega odnose u telefonskim imenicima, pri čemu je ta privola nužna za takvu objavu (vidjeti u tom smislu presudu od 5. svibnja 2011., Deutsche Telekom,
C‑543/09
,
EU:C:2011:279
, t.
54.
i
58.
).
Zahtjev dobivanja privole dotičnog pretplatnika u svrhu objave tih podataka u telefonskim imenicima potvrđen je člankom 12. stavkom 3. Direktive 2002/58, prema kojem države članice mogu zahtijevati da se „od pretplatnika traži dodatna privola” za bilo koju svrhu javnog telefonskog imenika, osim traženja kontaktnih podataka o osobama na temelju njihova imena.
Međutim, kao što je to Sud pojasnio, iz kontekstualnog i sustavnog tumačenja članka 12. Direktive 2002/58 proizlazi da se privola u smislu njegova stavka 2. odnosi na svrhu objave osobnih podataka u javnom telefonskom imeniku, a ne na identitet nekog konkretnog davatelja telefonskog imenika. Stoga, kada taj pretplatnik da privolu na to da se njegovi podaci objave u telefonskom imeniku posebne svrhe, on općenito nema interes protiviti se objavi istih podataka u drugom sličnom imeniku (presuda od 5. svibnja 2011., Deutsche Telekom,
C‑543/09
,
EU:C:2011:279
, t.
61.
i
62.
).
U tom pogledu, uvodna izjava 39. te direktive potvrđuje da je prijenos osobnih podataka pretplatnika trećim osobama „podložan uvjetu prema kojemu se podaci ne mogu koristiti u druge svrhe osim onih zbog kojih se prikupljaju”.
Iz toga slijedi da, kada je operater telefonskih usluga, poput Teleneta, obavijestio pretplatnika o mogućnosti prijenosa osobnih podataka koji se na njega odnose trećem poduzeću, poput Proximusa ili drugih trećih osoba, s ciljem njihove objave u javnom telefonskom imeniku, te kada je taj pretplatnik dao svoju privolu na objavu navedenih podataka u takvom telefonskom imeniku, za prijenos tih podataka od strane tog operatera ili od strane tog poduzeća drugom poduzeću radi njihove objave u tiskanom ili elektroničkom javnom telefonskom imeniku ili za omogućavanje da se u te telefonske imenike može izvršiti uvid putem usluga informacija, nije potrebna nova privola navedenog pretplatnika, ako je osigurano da se predmetni podaci neće uporabiti za svrhe koje su različite od onih za koje su prikupljeni prije njihove prve objave. Naime, na temelju članka 12. stavka 2. Direktive 2002/58, privola pravilno obaviještenog pretplatnika za objavu osobnih podataka koji se na njega odnose u javnom telefonskom imeniku odnosi se na svrhu te objave i proteže se tako na svaku daljnju obradu navedenih podataka od strane trećih poduzeća aktivnih na tržištu javno dostupnih usluga informacija i telefonskih imenika, pod uvjetom da te obrade imaju istu svrhu (presuda od 5. svibnja 2011., Deutsche Telekom,
C‑543/09
,
EU:C:2011:279
, t.
65.
).
Nasuprot tomu, kao što je to navedeno u uvodnoj izjavi 39. te direktive, ako osoba koja prikuplja podatke od pretplatnika ili neka treća osoba kojoj su podaci proslijeđeni želi koristiti podatke u neku dodatnu svrhu, tada stranka koja je u početku prikupljala podatke ili treća osoba, kojoj su podaci proslijeđeni, treba dobiti ponovni pristanak pretplatnika.
Što se tiče načina na koji takva privola treba biti izražena, iz članka 2. drugog stavka točke (f) Direktive 2002/58, u vezi s člankom 94. stavkom 2. i člankom 95. OUZP‑a, proizlazi da ta privola načelno mora ispunjavati zahtjeve koji proizlaze iz članka 4. točke 11. te uredbe.
U ovom predmetu, članak 4. točka 11. OUZP‑a, kao odredba koja se primjenjuje na činjenice o kojima je riječ u glavnom postupku, definira „privolu ispitanika” na način da se njome zahtijeva „dobrovoljno, posebno, informirano i nedvosmisleno” izražavanje želja ispitanika, koji izjavom ili „jasnom potvrdnom radnjom” daje pristanak na obradu osobnih podataka koji se na njega odnose.
Iz toga proizlazi da je takva privola nužna kako bi se osobni podaci koji se odnose na pretplatnika operatera telefonskih usluga mogli uključiti u telefonske imenike.
Prema tome, objava osobnih podataka koji se odnose na predmetnog pretplatnika u telefonskim imenicima, poput onih koje izdaju Proximus ili drugi davatelji, može se smatrati zakonitom u smislu članka 6. stavka 1. točke (a) OUZP‑a samo ako postoji takva privola, koja je izričito dana operateru telefonskih usluga ili jednom od tih davatelja telefonskih imenika.
S obzirom na navedeno, kao što je to navedeno u točki 49. ove presude, takva privola ne pretpostavlja da ispitanik u trenutku njezina davanja nužno poznaje identitet svih davatelja imenika koji će obrađivati njegove osobne podatke.
S obzirom na prethodno navedeno, na prvo pitanje valja odgovoriti tako da članak 12. stavak 2. Direktive 2002/58, u vezi s njezinim člankom 2., drugim stavkom, točkom (f) i člankom 95. OUZP‑a, treba tumačiti na način da je „privola” pretplatnika operatera telefonskih usluga, u smislu članka 4. točke 11. OUZP‑a, potrebna kako bi se osobni podaci tog pretplatnika uključili u telefonske imenike koje objavljuju davatelji različiti od tog operatera, pri čemu je međutim tu privolu moguće dati i samo tom operateru.
Drugo pitanje
Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 17. OUZP‑a tumačiti na način da zahtjev pretplatnika za opoziv njegovih osobnih podataka iz telefonskih imenika predstavlja ostvarivanje „prava na brisanje” u smislu tog članka.
Najprije valja istaknuti da Proximus ističe da se članak 17. OUZP‑a ne primjenjuje na davatelja telefonskih imenika koji, kao u ovom slučaju, nije pretplatnikov operater telefonskih usluga i da zahtjev poput onog navedenog u prethodnoj točki ove presude treba u najboljem slučaju smatrati zahtjevom za ispravak u smislu članka 16. te uredbe, tako da je drugo prethodno pitanje nedopušteno jer nije relevantno za glavni postupak.
No, argumenti koje je tako istaknula ta stranka u biti se odnose na područje primjene i na doseg, pa stoga i na tumačenje, odredbi prava Unije na koje se odnosi drugo pitanje. Takvi argumenti pak, koji se odnose na meritum postavljenog pitanja, ne mogu sami po sebi dovesti do njegove nedopuštenosti (presuda od 13. siječnja 2022., Minister Sprawiedliwości,
C‑55/20
,
EU:C:2022:6
, t.
83.
).
Slijedom navedenog, drugo prethodno pitanje je dopušteno.
Kao prvo, valja naglasiti da, na temelju članka 12. stavka 2. druge rečenice Direktive 2002/58, pretplatnici moraju među ostalim imati mogućnost opoziva osobnih podataka koji se na njih odnose iz javnih telefonskih imenika.
S obzirom na navedeno, davanje takve mogućnosti pretplatnicima ne predstavlja posebnu obvezu davatelja telefonskih imenika u smislu članka 95. OUZP‑a koja bi omogućila isključivanje primjene relevantnih odredbi te uredbe. Naime, kao što je to u biti istaknuo nezavisni odvjetnik u točki 54. svojeg mišljenja, Direktiva 2002/58 ne sadržava naznake o načinima, provedbi i posljedicama zahtjeva za opoziv osobnih podataka. Stoga, kao što to, osim toga, proizlazi iz uvodne izjave 10. te direktive u vezi s člankom 94. te uredbe, odredbe OUZP‑a mogu se primijeniti u takvom slučaju.
Kao drugo, iz članka 17. stavka 1. točaka (b) i (d) OUZP‑a proizlazi da ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose i da voditelj obrade ima obvezu obrisati te podatke bez nepotrebnog odgađanja, među ostalim, ako ispitanik „povuče privolu na kojoj se temelji obrada, u skladu s člankom 6. stavkom 1. točkom (a) […] i ako ne postoji druga pravna osnova za obradu” ili ako su „osobni podaci nezakonito […] obrađeni”.
U tom pogledu, s jedne strane, iz danog odgovora na prvo prethodno pitanje proizlazi da se objava osobnih podataka pretplatnika u telefonskim imenicima temelji na privoli tog pretplatnika.
S druge strane, iz članka 6. stavka 1. točke (a) i članka 7. stavka 3. OUZP‑a proizlazi da je takva privola jedan od nužnih uvjeta na temelju kojih se može zaključiti da je obrada osobnih podataka dotičnog pretplatnika zakonita i da se ta privola može povući u svakom trenutku i to jednako jednostavno kako ju je pretplatnik i dao.
U ovom predmetu, kada pretplatnik zahtijeva da njegovi podaci više ne budu uključeni u telefonski imenik, on povlači svoju privolu za objavu tih podataka. Na temelju povlačenja svoje privole on stječe, u nedostatku druge pravne osnove za takvu obradu, pravo zahtijevati brisanje svojih osobnih podataka iz tog telefonskog imenika na temelju članka 17. stavka 1. točke (b) OUZP‑a ili, u slučaju kada voditelj obrade nastavi s nezakonitom objavom navedenih podataka, na temelju članka 17. stavka 1. točke (d) te uredbe.
U tim okolnostima valja smatrati da se zahtjev pretplatnika za opoziv njegovih osobnih podataka iz telefonskih imenika može smatrati ostvarivanjem „prava na brisanje” navedenih podataka u smislu članka 17. OUZP‑a.
Taj zaključak nije doveden u pitanje Proximusovim argumentom prema kojem se treba smatrati da je cilj takvog zahtjeva omogućavanje tom pretplatniku da ostvari svoje pravo ishođenja ispravka osobnih podataka koji se na njega odnose od voditelja obrade, na temelju članka 16. OUZP‑a. Naime, u skladu s tom odredbom, takav ispravak moguć je kada su ti podaci netočni i ima za cilj omogućiti ispitaniku da ih dopuni.
Međutim, u ovom se predmetu zahtjevom za opoziv pretplatnikovih podataka iz telefonskog imenika ne nastoji zamijeniti netočne podatke točnim podacima ili nadopuniti nepotpune podatke, nego opozvati objavu točnih podataka.
Činjenica da se takav opoziv u ovom slučaju provodi jednostavnom izmjenom parametra dodijeljenog predmetnom pretplatniku u Proximusovoj bazi podataka, iz koje su osobni podaci tog pretplatnika objavljeni u telefonskim imenicima, nije prepreka tomu da se zahtjev za opoziv osobnih podataka iz tih telefonskih imenika smatra „zahtjevom za brisanje” u smislu članka 17. OUZP‑a. Naime, kao što to proizlazi iz spisa s kojim Sud raspolaže, način opoziva koji je predvidio navedeni operater mjera je isključivo tehničke ili organizacijske naravi koja je nužna za postupanje po zahtjevu za brisanje osobnih podataka ispitanika i za sprečavanje otkrivanja tih podataka.
S obzirom na prethodno navedeno, na drugo pitanje valja odgovoriti tako da članak 17. OUZP‑a treba tumačiti na način da zahtjev pretplatnika za opoziv njegovih osobnih podataka iz telefonskih imenika predstavlja ostvarivanje „prava na brisanje” u smislu tog članka.
Treće pitanje
Svojim trećim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 5. stavak 2. i članak 24. OUZP‑a tumačiti na način da nacionalno nadzorno tijelo može zahtijevati od davatelja telefonskih imenika, kao voditelja obrade, poduzimanje odgovarajućih tehničkih i organizacijskih mjera za obavješćivanje trećih voditelja obrade, odnosno operatera telefonskih usluga koji mu je priopćio osobne podatke svojeg pretplatnika kao i drugih davatelja telefonskih imenika kojima je on sam dao takve podatke, o povlačenju privole tog pretplatnika.
Uvodno valja istaknuti to da je u ovom predmetu Proximus obradio osobne podatke podnositelja prigovora, tako što ih je objavio i priopćio ih drugim davateljima telefonskih imenika. Telenet, njegov operater telefonskih usluga, također je obradio te podatke, među ostalim, tako što ih je proslijedio Proximusu. Isto vrijedi i za druge davatelje telefonskih imenika kojima je Proximus dostavio kontaktne podatke tog podnositelja prigovora i koji su ih objavili.
Osim toga, valja istaknuti, s jedne strane, da, kao što je to navedeno u točki 20. ove presude, iako Zakon o elektroničkim komunikacijama nameće davateljima telefonskih usluga obvezu prosljeđivanja podataka koji se odnose na njihove pretplatnike davateljima javnih telefonskih imenika, ti operateri moraju, međutim, izuzeti podatke o pretplatnicima koji su zatražili da ne budu uključeni u imenik, tako da ti pretplatnici mogu primiti primjerak tog imenika koji ne sadržava njihove podatke.
Iz spisa s kojim Sud raspolaže proizlazi da u praksi pretplatnik obično daje privolu svojem operateru telefonskih usluga na to da njegovi osobni podaci budu objavljeni u telefonskom imeniku jer takav pristanak omogućuje prenošenje tih podataka trećoj osobi, davatelju imenika. Taj davatelj tada može, pak, dostaviti takve podatke drugim davateljima telefonskih imenika na temelju iste privole, pri čemu ti voditelji obrade tako čine lanac u kojem svaki od njih uzastopno neovisno obrađuje navedene podatke na temelju jedne te iste privole.
S druge strane, iz spisa s kojim Sud raspolaže proizlazi i da je ažuriranje baze podataka Proximusa kojim je trebalo biti provedeno povlačenje privole podnositelja prigovora obrisano čim je njegov operater telefonskih usluga proslijedio Proximusu novi popis podataka koji se odnose na njegove pretplatnike, u svrhu njihove objave u telefonskim imenicima, koji nije vodio računa o povlačenju privole podnositelja prigovora podnesenog Proximusu.
U tom se kontekstu stoga postavlja pitanje mora li davatelj telefonskih imenika, kao što je Proximus, kada pretplatnik operatera telefonskog usluga povuče svoju privolu da bude uključen u telefonski imenik tog davatelja, ne samo ažurirati vlastitu bazu podataka kako bi uzeo u obzir to povlačenje, nego i o tome obavijestiti operatera telefonskih usluga koji mu je priopćio te podatke, kao i druge davatelje telefonskih imenika kojima je on sam prenio takve podatke.
Kao prvo, valja podsjetiti na to da članak 6. stavak 1. točka (a) OUZP‑a predviđa da je obrada zakonita samo ako i u onoj mjeri u kojoj je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha. Iz odluke o upućivanju zahtjeva za prethodnu odluku proizlazi da je podnositelj pritužbe povukao svoju privolu, u smislu članka 7. stavka 3. OUZP‑a, za obradu svojih osobnih podataka u svrhu njihove objave u telefonskim imenicima. Nakon takvog povlačenja obrada tih podataka radi njihova upisa u javne telefonske imenike, uključujući obradu koju u istu svrhu obavljaju operateri telefonskih usluga ili drugi davatelji telefonskih imenika, koja se temelji na istoj privoli, više nema pravni temelj i stoga je nezakonita s obzirom na članak 6. stavak 1. točku (a) navedene uredbe.
Kao drugo, valja podsjetiti na to da voditelj obrade mora, u skladu s člankom 5. stavkom 1. točkom (a) i člankom 5. stavkom 2. OUZP‑a, moći dokazati da se osobni podaci obrađuju na zakonit, pošten i transparentan način u odnosu na ispitanika.
Što se tiče članka 24. OUZP‑a, njime se zahtijeva da, uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s tom uredbom.
Kao što je to istaknuo nezavisni odvjetnik u točki 67. svojeg mišljenja, članak 5. stavak 2. i članak 24. OUZP‑a nalažu opće zahtjeve pouzdanosti i usklađenosti voditeljima obrade osobnih podataka. Konkretno, te odredbe zahtijevaju od voditelja obrade da poduzmu odgovarajuće mjere za sprečavanje mogućih povreda pravila predviđenih OUZP‑om, kako bi se osiguralo pravo na zaštitu podataka.
U tom pogledu, člankom 19. OUZP‑a predviđa se, među ostalim, da voditelj obrade obavještava svakog primatelja, kojem su osobni podaci otkriveni, o svakom brisanju osobnih podataka izvršenom u skladu s člankom 17. stavkom 1. te uredbe, osim ako se takvo obavještavanje pokaže nemogućim ili zahtijeva nerazmjeran napor.
Iz općih obveza predviđenih u članku 5. stavku 2. i članku 24. OUZP‑a, u vezi s njezinim člankom 19., proizlazi pak da voditelj obrade osobnih podataka, poput Proximusa, mora provesti odgovarajuće tehničke i organizacijske mjere kako bi obavijestio druge davatelje telefonskih imenika kojima je dao takve podatke, o povlačenju privole ispitanika koje mu je upućeno. U okolnostima poput onih navedenih u točki 76. ove presude, takav voditelj obrade mora također paziti da obavijesti operatera telefonskih usluga koji mu je priopćio te osobne podatke kako bi potonji prilagodio popis osobnih podataka koje automatski prenosi tom davatelju telefonskih imenika i izuzeo podatke svojih pretplatnika koji su izrazili svoju volju da povuku svoju privolu za objavljivanje tih podataka.
Naime, kada se, kao u ovom slučaju, različiti voditelji obrade oslanjaju na jednu privolu ispitanika za obradu njegovih osobnih podataka u istu svrhu, kako bi ta osoba povukla takvu suglasnost, dovoljno je da se ona u svrhu povlačenja obrati bilo kojem od voditelja obrade koji se oslanjaju na tu istu privolu.
Kao što to pravilno ističe Komisija, kako bi se zajamčila djelotvornost prava na povlačenje njegove privole, predviđenog člankom 7. stavkom 3. OUZP‑a, i osiguralo da ispitanikova privola bude usko povezana sa svrhom za koju je dana, voditelj obrade kod kojeg ispitanik uputio povukao svoju privolu za obradu osobnih podataka zapravo je dužan obavijestiti o tom povlačenju sve osobe koje su mu prenijele te podatke, kao i osobu kojoj je on sâm prenio navedene podatke. Tako obaviješteni voditelji obrade zatim su dužni proslijediti te informacije drugim voditeljima obrade kojima su oni priopćili takve podatke.
U tom pogledu, najprije valja istaknuti da je cilj takve obveze obavješćivanja spriječiti svaku eventualnu povredu pravila predviđenih OUZP‑om kako bi se osiguralo pravo na zaštitu podataka, i da je ona stoga dio odgovarajućih mjera u smislu članka 24. te uredbe. Osim toga, kao što je to istaknuo nezavisni odvjetnik u točki 68. svojeg mišljenja, ona je također obuhvaćena zahtjevom predviđenim u članku 12. stavku 2. te uredbe, na temelju kojeg je voditelj obrade dužan olakšati ostvarivanje prava koja su dana ispitaniku, među ostalim na temelju članka 17. navedene uredbe.
Nadalje, valja utvrditi da bi povlačenje privole – kada voditelj obrade ne bi imao takvu obvezu obavješćivanja o ispitanikovu povlačenju privole – moglo postati posebno teško, s obzirom na to da bi ta osoba mogla smatrati da je dužna obratiti se svim operaterima. Takav bi pristup također bio protivan članku 7. stavku 3. OUZP‑a, prema kojem povlačenje privole za obradu osobnih podataka mora biti jednako jednostavno kao i njezino davanje.
Naposljetku, u skladu sa sudskom praksom navedenom u točki 49. ove presude, privola pravilno obaviještenog pretplatnika, na temelju članka 12. stavka 2. Direktive 2002/58, za objavu osobnih podataka koji se na njega odnose u javnom telefonskom imeniku odnosi se na svrhu te objave i proteže se na svaku daljnju obradu navedenih podataka od strane trećih poduzeća aktivnih na tržištu telefonskih imenika, pod uvjetom da te obrade imaju istu svrhu.
Iz toga slijedi da, kao što je to istaknuo nezavisni odvjetnik u točki 68. svojeg mišljenja, s obzirom na to da se davatelj telefonskih imenika može osloniti na privolu za obradu podataka koju je pretplatnik u tu svrhu dao drugom davatelju ili svojem operateru telefonskih usluga, pretplatnik mora moći, kako bi povukao svoju privolu, obratiti se bilo kojem davatelju telefonskih imenika ili tom operateru kako bi njegovi kontaktni podaci bili povučeni iz javnih telefonskih imenika koje izdaju svi oni koji postupaju na temelju jedne te iste njegove privole.
Slijedom svega navedenog, na treće pitanje valja odgovoriti da članak 5. stavak 2. i članak 24. OUZP‑a treba tumačiti na način da nacionalno nadzorno tijelo može zahtijevati od davatelja telefonskih imenika, kao voditelja obrade, poduzimanje odgovarajućih tehničkih i organizacijskih mjera za obavješćivanje trećih voditelja obrade, odnosno operatera telefonskih usluga koji mu je priopćio osobne podatke svojeg pretplatnika kao i drugih davatelja telefonskih imenika kojima je on sam dao takve podatke, o povlačenju privole tog pretplatnika.
Četvrto pitanje
Svojim četvrtim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 17. stavak 2. OUZP‑a tumačiti na način da mu se protivi to da nacionalno nadzorno tijelo naloži davatelju telefonskih imenika od kojeg je pretplatnik operatera telefonskih usluga zatražio da više ne objavljuje osobne podatke koji se na njega odnose, da poduzme „razumne mjere” u smislu te odredbe kako bi obavijestio pružatelje internetskih pretraživača o tom zahtjevu za brisanje podataka.
Kako bi se odgovorilo na to pitanje, važno je podsjetiti na to da članak 17. stavak 2. OUZP‑a nalaže voditelju obrade koji je javno objavio osobne podatke da, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, poduzme razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji obrađuju osobne podatke, da je ispitanik zatražio od tih voditelja obrade da izbrišu sve poveznice do njih ili kopiju ili repliku tih osobnih podataka.
Kao što to proizlazi iz uvodne izjave 66. OUZP‑a, cilj te obveze je jačanje prava na zaborav u internetskom okruženju te se stoga posebno odnosi na informacije koje su na internet stavili pružatelji internetskih pretraživača koji obrađuju podatke objavljene na internetu.
U ovom je predmetu nesporno to da je Proximus u svojem telefonskom imeniku objavio osobne podatke podnositelja prigovora i da to društvo stoga treba smatrati voditeljem obrade koji je objavio takve podatke, u smislu članka 17. stavka 2. OUZP‑a.
K tomu valja podsjetiti na to da, s jedne strane, u skladu s ustaljenom sudskom praksom, aktivnost pretraživača koja se sastoji u pronalaženju informacija koje su objavile ili stavile na internet treće osobe, njihovu automatskom indeksiranju, privremenom pohranjivanju i, konačno, stavljanju na raspolaganje internetskim korisnicima u redoslijedu prema zadanim postavkama, treba kvalificirati kao „obradu osobnih podataka” u smislu članka 4. točke 2. OUZP‑a, ako te informacije sadržavaju osobne podatke te, s druge strane, na to da operatera tog pretraživača treba smatrati „voditeljem” navedene obrade u smislu članka 4. točke 7. te uredbe i, prema tome, njegova članka 17. stavka 2. (vidjeti u tom smislu presudu od 24. rujna 2019., GC i dr. (uklanjanje poveznica do osjetljivih podataka),
C‑136/17
,
EU:C:2019:773
, t.
35.
i navedenu sudsku praksu).
Stoga, u okolnostima poput onih u glavnom postupku, valja smatrati da je voditelj obrade poput Proximusa dužan, na temelju članka 17. stavka 2. OUZP‑a, osigurati poduzimanje razumnih mjera kako bi obavijestio pružatelje internetskih pretraživača o zahtjevu koji mu je uputio pretplatnik operatera telefonskih usluga radi brisanja njegovih osobnih podataka. S obzirom na navedeno, a kako je nezavisni odvjetnik istaknuo u točki 76. svojeg mišljenja, kako bi se ocijenilo jesu li mjere koje je poduzeo davatelj telefonskih imenika razumne, članak 17. stavak 2. OUZP‑a predviđa da se u obzir moraju uzeti dostupna tehnologija i trošak provedbe, pri čemu je ta ocjena primarno zadaća tijela nadležnog za takva pitanja, te je podložna sudskom nadzoru.
U ovom predmetu iz pisanih očitovanja koje je u tom pogledu podnio AZOP, a koja druge stranke u ovom postupku nisu osporile, proizlazi da je u drugom tromjesečju 2020. broj pružatelja internetskih pretraživača koji djeluju u Belgiji bio ograničen. Konkretno, Google je imao tržišni udio od 90 %, kada je riječ o pretragama provedenima na uredskim računalima, i 99 %, kad je riječ o pretragama provedenima na pametnim telefonima i tabletima.
Usto, kao što je to navedeno u točki 26. ove presude, iz spisa s kojim Sud raspolaže proizlazi da je na zahtjev pretplatnika da njegovi podaci ne budu uključeni u telefonske imenike tog davatelja, Proximus odgovorio da ne samo da je uklonio te podatke iz telefonskih imenika i usluga informacija, nego je i kontaktirao Google kako bi se uklonile relevantne poveznice do Proximusove internetske stranice.
S obzirom na prethodna razmatranja, na četvrto pitanje valja odgovoriti da članak 17. stavak 2. OUZP‑a treba tumačiti na način da mu se ne protivi to da nacionalno nadzorno tijelo naloži davatelju telefonskih imenika od kojeg je pretplatnik operatera telefonskih usluga zatražio da više ne objavljuje njegove osobne podatke, da poduzme „razumne mjere” u smislu te odredbe kako bi obavijestio pružatelje internetskih pretraživača o tom zahtjevu za brisanje podataka.
Troškovi
Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenoga, Sud (četvrto vijeće) odlučuje:

1.
Članak 12. stavak 2. Direktive 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija, kako je izmijenjena Direktivom 2009/136/EZ Europskog parlamenta i Vijeća od 25. studenoga 2009., u vezi s njezinim člankom 2., drugim stavkom, točkom (f) i člankom 95. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),
treba tumačiti na način da je:
„privola” pretplatnika operatera telefonskih usluga, u smislu članka 4. točke 11. te uredbe, potrebna kako bi se osobni podaci tog pretplatnika uključili u javne telefonske imenike i usluge informacija koje objavljuju davatelji različiti od tog operatera, pri čemu je, međutim, tu privolu moguće dati i samo tom operateru.

2.
Članak 17. Uredbe 2016/679
treba tumačiti na način da:
zahtjev pretplatnika za opoziv njegovih osobnih podataka iz javnih telefonskih imenika i usluga informacija predstavlja ostvarivanje „prava na brisanje” u smislu tog članka.

3.
Članak 5. stavak 2. i članak 24. Uredbe 2016/679,
treba tumačiti na način da:
nacionalno nadzorno tijelo može zahtijevati od davatelja javnih telefonskih imenika i usluge informacija, kao voditelja obrade, poduzimanje odgovarajućih tehničkih i organizacijskih mjera za obavješćivanje trećih voditelja obrade, odnosno operatera telefonskih usluga koji mu je priopćio osobne podatke svojeg pretplatnika kao i drugih davatelja javnih telefonskih imenika i usluga informacija kojima je on sam dao takve podatke, o povlačenju privole tog pretplatnika.

4.
Članak 17. stavak 2. Uredbe 2016/679,
treba tumačiti na način da mu se:
ne protivi to da nacionalno nadzorno tijelo naloži davatelju javnih telefonskih imenika i usluga informacija, od kojeg je pretplatnik operatera telefonskih usluga zatražio da više ne objavljuje njegove osobne podatke, da poduzme „razumne mjere” u smislu te odredbe kako bi obavijestio pružatelje internetske pretraživače o tom zahtjevu za brisanje podataka.

Potpisi
(
*1
)	Jezik postupka: nizozemski