62023CC0169
MIŠLJENJE NEZAVISNE ODVJETNICE
LAILE MEDINE
od 6. lipnja 2024. (
1
)
Predmet C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
protiv
UC
(zahtjev za prethodnu odluku koji je uputila Kúria (Vrhovni sud, Mađarska))
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Obrada podataka radi izdavanja potvrde za bolest COVID-19 – Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika – Članak 14. stavak 1. – Odstupanja od obveze pružanja informacija – Dobivanje ili otkrivanje podataka koje je izrijekom propisano pravom Unije ili pravom države članice – Odgovarajuće mjere zaštite legitimnih interesa ispitanika – Članak 14. stavak 5. točka (c) – Pravo na pritužbu nadzornom tijelu – Članak 77.”
I. Uvod
1.
Jedna od najvažnijih obveza voditelja obrade je obveza pružanja informacija ispitaniku. Nezavisni odvjetnik P. Cruz Villalón u svojem je mišljenju u predmetu Bara elokventno naveo da zahtjev obavještavanja ispitanika „jamči transparentnost svake
obrade” (
2
). Obveza obavještavanja odgovara ključnom pravu ispitanika da prima informacije o obradi svojih podataka. U pravnoj teoriji (
3
) navodi se da je pravo na informiranje „primjer koji potvrđuje” načelo transparentnosti i „predstavlja glavni izvor” svih drugih prava. Doista, opsežni zahtjevi za informiranje omogućuju ispitaniku da ostvari druga važna prava koja su priznata Uredbom (EU) 2016/679 (
4
).
2.
Ovaj je predmet proizašao iz konteksta izdavanja potvrda za bolest COVID-19. U njemu se od Suda prvi put traži da tumači važno odstupanje voditelja obrade od obveze da pruža informacije, utvrđene u članku 14. stavku 5. točki (c) OUZP‑a. Relevantno odstupanje analizirat će se u odnosu na ovlasti nadzornog tijela u kontekstu pritužbe koju je podnio ispitanik.
II. Pravni okvir
A.
Pravo Europske unije
3.
Člankom 14. OUZP‑a, naslovljenim „Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika”, u stavcima 1., 2. i 5. predviđa se:
„1.   Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:
(a)
identitet i kontaktne podatke voditelja obrade i predstavnika voditelja obrade, ako je primjenjivo;
(b)
kontaktne podatke službenika za zaštitu podataka, ako je primjenjivo;
(c)
svrhe obrade kojoj su namijenjeni osobni podaci kao i pravnu osnovu za obradu;
(d)
kategorije osobnih podataka o kojima je riječ;
(e)
primatelje ili kategorije primatelja osobnih podataka, prema potrebi;
(f)
ako je primjenjivo, namjeru voditelja obrade da osobne podatke prenese primatelju u trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke [Europske] [k]omisije o primjerenosti […].
2.   Osim informacija iz stavka 1. voditelj obrade ispitaniku pruža sljedeće informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika:
(a)
razdoblje u kojem će se osobni podaci pohranjivati ili, ako to nije moguće, kriterije kojima se utvrdilo to razdoblje;
(b)
ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane;
(c)
postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika i prava na ulaganje prigovora na obradu te prava na prenosivost podataka;
(d)
ako se obrada temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a), postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena;
(e)
pravo na podnošenje prigovora nadzornom tijelu;
(f)
izvor osobnih podataka i, prema potrebi, dolaze li iz javno dostupnih izvora;
(g)
postojanje automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ, kao i važnost i predviđene posljedice takve obrade za ispitanika.
[…]
5.   Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:
[…]
(c)
dobivanje ili otkrivanje podataka izrijekom je propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a koje predviđa odgovarajuće mjere zaštite legitimnih interesa ispitanika;
[…]”
4.
U članku 32. OUZP‑a, naslovljenom „Sigurnost obrade”, u stavku 1. navodi se:
„Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik […]
[…]”
5.
U članku 77. OUZP‑a, naslovljenom „Pravo na pritužbu nadzornom tijelu”, u stavku 1. navodi se:
„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu”.
B.
Mađarsko pravo
6.
Člankom 2. stavkom 1. točkama (a) do (g) koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendeleta (Vladina uredba 60/2021 od 12. veljače o potvrdi o imunitetu protiv koronavirusa; u daljnjem tekstu: Uredba 60/2021), u verziji primjenjivoj na glavni postupak, predviđa se:
„U potvrdi o imunitetu navodi se:
(a)
ime ispitanika;
(b)
broj putovnice ispitanika, ako je on ima;
(c)
broj i identifikacijska oznaka iz trajne osobne iskaznice ispitanika, ako je on ima;
(d)
serijski broj potvrde o imunitetu;
(e)
ako se prilaže potvrda o cijepljenju, datum cijepljenja;
(f)
ako se prilaže potvrda o preboljenju, datum valjanosti dokaza;
(g)
kod za pohranu podataka koji je optički čitljiv s pomoću računalnih uređaja i koji se generira na temelju podataka navedenih u točkama (a) do (f);
[…]”
7.
U skladu s člankom 2. stavcima 6. i 7. Uredbe 60/2021, potvrdu o imunitetu izdaje Főváros Kormányhivatala (Odjel za zaštitu potrošača pri gradskoj upravi glavnog grada Budimpešte, Mađarska; u daljnjem tekstu: budimpeštanski odjel) ovlaštenoj fizičkoj osobi, po službenoj dužnosti ili na zahtjev.
8.
Člankom 3. stavkom 3. Uredbe 60/2021 određuje se:
„U slučajevima iz članka 2. stavka 6. točaka (c) i (d), [budimpeštanski odjel] prikuplja, automatskim prijenosom informacija, po potrebi posredstvom odgovarajućih službi összerendelési nyilvántartása [(Registar za elektroničko upravljanje identifikacijskim podacima, Mađarska)],
(a)
od operatora EESZT‑a [Elektronikus Egészségügyi Szolgáltatási Tér (Područje elektroničkih zdravstvenih usluga)]: broj socijalnog osiguranja ispitanika, podatke iz članka 2. stavka 1. točaka (e) i (g), kao i podatke iz stavka 1.;
(b)
od tijela zaduženog za vođenje registra osobnih podataka i adresa: ime, identifikacijske oznake iz putovnice i trajne osobne iskaznice te adresu ispitanika”.
III. Glavni postupak i prethodna pitanja
9.
Fizička osoba UC primila je od budimpeštanskog odjela potvrdu o imunitetu kojom se dokazuje njezino cijepljenje protiv bolesti COVID-19.
10.
Osoba UC je 30. travnja 2021. na temelju članka 77. stavka 1. OUZP‑a podnijela pritužbu Nemzeti Adatvédelmi és Információszabadság Hatóságu (Nacionalno tijelo za zaštitu podataka i slobodu informiranja, Mađarska; u daljnjem tekstu: mađarsko nadzorno tijelo). Osoba UC tražila je od tog tijela da naloži budimpeštanskom odjelu da uskladi svoje postupke obrade s odredbama OUZP‑a. Osoba UC u pritužbi je tvrdila, među ostalim, da budimpeštanski odjel nije sastavio niti objavio obavijest o zaštiti privatnosti u pogledu obrade podataka koji se odnose na izdavanje potvrda o imunitetu te da ne postoji dovoljno informacija o svrsi obrade i pravnoj osnovi za nju, kao ni o pravima ispitanika i načinima na koje ih mogu ostvariti.
11.
U postupku koji je pokrenut nakon podnošenja pritužbe, budimpeštanski odjel tvrdio je da je obavio svoje dužnosti u pogledu izdavanja potvrda o imunitetu na temelju članka 2. Uredbe 60/2021 i da je pravna osnova za obradu članak 6. stavak 1. točka (e) OUZP‑a i, u pogledu obrade posebnih kategorija osobnih podataka, članak 9. stavak 2. točka (i) OUZP‑a.
12.
Nadalje, budimpeštanski odjel naveo je da je u skladu s člankom 3. stavcima 2. i 3. Uredbe 60/2021 prikupio podatke koji se obrađuju automatskim prijenosom informacija operatora u području elektroničkih zdravstvenih usluga te tijela zaduženog za vođenje registra osobnih podataka i adresa. Tvrdio je da na temelju članka 14. stavka 5. točke (c) OUZP‑a nije obvezan pružiti informacije o obradi. Međutim, sastavio je obavijest o zaštiti privatnosti u pogledu predmetne obrade i objavio je na svojoj internetskoj stranici.
13.
Odlukom od 15. studenoga 2021. mađarsko nadzorno tijelo odbilo je pritužbu zbog toga što budimpeštanski odjel nije bio dužan pružiti informacije jer se na obradu primjenjuje odstupanje utvrđeno u članku 14. stavku 5. točki (c) OUZP‑a. Konkretnije, to je nadzorno tijelo smatralo da je Uredba 60/2021 pravna osnova za obradu i da budimpeštanski odjel nije dobio podatke od samih ispitanika. Osim toga, navelo je da se člankom 3. stavkom 1. Uredbe 60/2021 budimpeštanskom odjelu izričito nalagalo da prikupi podatke. Smatralo se dobrom praksom da je budimpeštanski odjel na svojoj internetskoj stranici objavio informacije o obradi podataka, iako nije bio zakonski obvezan to učiniti.
14.
Mađarsko nadzorno tijelo po službenoj je dužnosti razmotrilo pitanje odgovarajućih mjera zaštite legitimnih interesa ispitanika iz članka 14. stavka 5. točke (c) OUZP‑a te je smatralo da članke 2. i 3. te članke 5. do 7. Uredbe 60/2021 treba smatrati takvim mjerama.
15.
Osoba UC osporavala je odluku mađarskog nadzornog tijela pred Fővárosi Törvényszékom (Okružni sud u Budimpešti, Mađarska). Taj je sud prihvatio tužbu, poništio odluku mađarskog nadzornog tijela i naložio mu da provede novi postupak.
16.
U obrazloženju svoje presude Fővárosi Törvényszék (Okružni sud u Budimpešti) naveo je da odstupanje utvrđeno u članku 14. stavku 5. točki (c) OUZP‑a nije primjenjivo jer određeni podaci koji su povezani s potvrdama o imunitetu nisu prikupljeni od drugog tijela, nego ih je generirao taj voditelj obrade. Ti podaci uključuju serijski broj potvrde o imunitetu, razdoblje važenja potvrde, QR kod koji se nalazi na potvrdi, crtični kod i druge alfanumeričke kodove koje je voditelj obrade generirao tijekom svojeg postupka.
17.
Mađarsko nadzorno tijelo protiv te je konačne presude Fővárosi Törvényszéka (Okružni sud u Budimpešti) podnijelo izvanredni pravni lijek u obliku žalbe u kasacijskom postupku Kúriji (Vrhovni sud, Mađarska).
18.
S obzirom na primjenu odstupanja utvrđenog u članku 14. stavku 5. točki (c) OUZP‑a, sud koji je uputio zahtjev smatra da se to odstupanje može odnositi na sve vrste obrada koje se ne odnose na podatke prikupljene od ispitanika u smislu članka 13. OUZP‑a, uključujući podatke koje je generirao voditelj obrade.
19.
Ako se primijeni to tumačenje članka 14. stavka 5. točke (c) OUZP‑a, sud koji je uputio zahtjev dvoji u pogledu opsega korektivnih ovlasti nacionalnih nadzornih tijela u kontekstu pritužbe podnesene na temelju članka 77. stavka 1. OUZP‑a. Konkretnije, sud koji je uputio zahtjev dvoji u pogledu toga je li nadzorno tijelo u kontekstu takve pritužbe ovlašteno ispitati pitanje povezano s odgovarajućim mjerama koje su utvrđene u nacionalnom pravu radi zaštite legitimnih interesa ispitanika i koje su navedene u članku 14. stavku 5. točki (c) OUZP‑a.
20.
Ako bi se utvrdilo da nadzorno tijelo ima tu ovlast, sud koji je uputio zahtjev nije siguran koje je točno značenje pojma „odgovarajuće mjere zaštite legitimnih interesa ispitanika”. U tom pogledu navodi da se može utvrditi da „odgovarajuće mjere” podrazumijevaju, s jedne strane, prijenos u nacionalno pravo elemenata navedenih u članku 14. stavku 1. točkama (a) do (f) OUZP‑a. S druge strane, te mjere mogu podrazumijevati pravo zahtijevanja da se ispita sigurnost obrade koje se uređuje člankom 32. OUZP‑a. Međutim, takvo razumijevanje „odgovarajućih mjera” moglo bi opteretiti zakonodavstvo tehničkim odredbama, što je protivno zahtjevu da zakonodavni akti budu razumljivi i jasni. Dovoljno jamstvo moglo bi biti i ako se poštuju mjere koje se odnose na sigurnost podataka, čak i ako nisu izričito prenesene.
21.
U tim je okolnostima Kúria (Vrhovni sud) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
1.
Treba li članak 14. stavak 5. točku (c) [OUZP‑a], u vezi s njegovim člankom 14. stavkom 1. i uvodnom izjavom 62., tumačiti na način da se iznimka predviđena člankom 14. stavkom 5. točkom (c) ne odnosi na podatke koje je voditelj obrade generirao u svojem postupku, nego isključivo na podatke koje je on izričito dobio od druge osobe?
2.
U slučaju da se članak 14. stavak 5. točka (c) OUZP‑a primjenjuje i na podatke koje je voditelj obrade generirao u svojem postupku, treba li pravo na pritužbu nadzornom tijelu iz članka 77. stavka 1. OUZP‑a tumačiti na način da fizička osoba koja tvrdi da je došlo do nepoštovanja obveze pružanja informacija može, prilikom ostvarivanja svojeg prava na pritužbu, zatražiti da se ispita jesu li u pravu države članice utvrđene odgovarajuće mjere zaštite legitimnih interesa ispitanika, u skladu s člankom 14. stavkom 5. točkom (c) OUZP‑a?
3.
U slučaju potvrdnog odgovora na drugo pitanje, može li se članak 14. stavak 5. točka (c) OUZP‑a tumačiti na način da ‚odgovarajuće mjere’ navedene u toj odredbi podrazumijevaju da nacionalni zakonodavac treba (pravnim pravilom) prenijeti mjere koje se odnose na sigurnost podataka i koje su utvrđene u članku 32. OUZP‑a?”
22.
Pisana očitovanja podnijeli su osoba UC, mađarsko nadzorno tijelo, mađarska vlada i Komisija. Sud je strankama i zainteresiranim strankama poslao pitanja za pisani odgovor u skladu s člankom 23. Statuta Suda Europske unije, na koja su osoba UC, češka vlada, mađarska vlada i Komisija odgovorile.
IV. Ocjena
A.
Uvodne napomene o obvezi informiranja i odstupanju iz članka 14. stavka 5. točke (c) OUZP‑a
23.
Pružanje informacija ispitanicima glavni je element načela transparentnosti utvrđenog u članku 5. stavku 1. točki (a) OUZP‑a. Transparentnost „ispitanicima omogućuje da voditelje i izvršitelje obrade podataka smatraju odgovornima” jer ojačava njihovu mogućnost da ostvaruju kontrolu nad vlastitim podacima (
5
). Naime, kao što je to navedeno u presudi Bara i dr., „taj zahtjev o obavještavanju osoba kojih se tiče obrada njihovih osobnih podataka je tim važniji zato što je riječ o nužnoj pretpostavci za to da te osobe koriste svoje pravo na pristup i ispravljanje obrađenih podataka” (
6
). Ključne odredbe u tom su pogledu članci 12., 13. i 14. OUZP‑a.
24.
U skladu s člankom 12. stavkom 1. OUZP‑a voditelj obrade mora poduzeti odgovarajuće mjere kako bi se ispitaniku pružile informacije iz članaka 13. i 14. „u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika”. Informacije se obično priopćavaju u okviru politike privatnosti, obavijesti o privatnosti ili izjave o privatnosti (
7
).
25.
Sadržaj i opseg obveze obavještavanja utvrđeni su u člancima 13. i 14. OUZP‑a. Člankom 13. uređuju se informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika (izravno prikupljanje), dok se člankom 14. uređuju informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika (neizravno prikupljanje) (
8
). Informacije koje treba dostaviti na temelju tih dviju odredbi znatno se preklapaju (
9
).
26.
Kad je riječ o neizravnom prikupljanju podataka, u članku 14. stavku 1. OUZP‑a u „standardni katalog informacija” (
10
) uključuju se informacije o identitetu voditelja obrade, svrhama obrade, primateljima podataka i mogućem prijenosu podataka primatelju u trećoj zemlji. Među dodatnim informacijama koje su neophodne kako bi se zajamčila poštena i transparentna obrada, u članku 14. stavku 2. OUZP‑a izričito se upućuje na razdoblje u kojem će se osobni podaci pohranjivati, legitimne interese voditelja obrade (
11
) ili postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka.
27.
Na obvezu voditelja obrade da pruža informacije u slučaju neizravnog prikupljanja iz članka 14. OUZP‑a primjenjuju se četiri odstupanja koja su utvrđena u stavku 5. tog članka. Za glavni postupak relevantna je odredba predviđena člankom 14. stavkom 5. točkom (c) koja sadržava „odstupajuću klauzulu” (
12
). Voditelj obrade izuzet je od pružanja informacija ako i u mjeri u kojoj je „dobivanje ili otkrivanje podataka izrijekom […] propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade”, a zakonom se predviđaju „odgovarajuće mjere zaštite legitimnih interesa ispitanika”.
28.
U engleskoj jezičnoj verziji članka 14. stavka 5. točke (c) OUZP‑a, kao i u drugim jezičnim verzijama (
13
), ne upućuje se izričito na predmet radnje „dobivanja ili otkrivanja”. U mnogim drugim jezičnim verzijama izričito se upućuje na dobivanje ili otkrivanje „podataka” (
14
). Čini se da se samo u francuskoj jezičnoj verziji upućuje na dobivanje ili otkrivanje „informacija” (
15
).
29.
Međutim, s obzirom na to da svim jezičnim verzijama akta Unije načelno treba priznati istu vrijednost, u slučaju nejednakosti između tih verzija, odredba o kojoj je riječ mora se tumačiti s obzirom na svrhu i opću strukturu propisa kojeg je dio (
16
).
30.
U tom pogledu iz opće strukture propisa kojeg je članak 14. stavak 5. točka (c) OUZP‑a dio proizlazi da se dobivanje ili otkrivanje odnosi na osobne podatke (a ne na informacije). Već iz naslova članka 14. proizlazi da se informacije „pružaju”, dok se radnja dobivanja odnosi na „osobne podatke”. To tumačenje potkrepljuju uvodna izjava 61., u kojoj se upućuje na „osobne podatke” prikupljene iz drugog izvora, i uvodna izjava 62., u kojoj se upućuje na bilježenje ili otkrivanje „osobnih podataka”. Osim toga, uzimajući u obzir široko značenje pojma „obrada” iz članka 4. stavka 2. OUZP‑a, odnosno svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima (
17
), „dobivanje ili otkrivanje” treba kvalificirati kao postupak obrade koji se obavlja na osobnim podacima.
31.
Kad je riječ o svrsi propisa kojeg je članak 14. stavak 5. točka (c) dio, pretpostavka na kojoj se temelji relevantno odstupanje jest da pravo Unije ili pravo države članice zamjenjuje ili nadomješta obvezu koja se obično nalaže voditelju obrade da pruža informacije o dobivanju ili otkrivanju podataka (
18
). Na temelju relevantnog prava ispitanici će već imati dovoljno znanja o dobivanju ili otkrivanju podataka (
19
). Relevantno pravo koje se primjenjuje na voditelja obrade treba se izričito odnositi na dobivanje ili otkrivanje podataka te bi predmetno dobivanje ili otkrivanje trebalo biti obvezno za voditelja obrade (
20
).
32.
Stoga iz prethodno navedenog jasno proizlazi da se predmet odstupanja od dobivanja ili otkrivanja odnosi na osobne podatke.
33.
S obzirom na ta razmatranja detaljnije ću ispitati odstupanje iz članka 14. stavka 5. točke (c) OUZP‑a u kontekstu analize prethodnih pitanja.
B.
Prvo pitanje
34.
Prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 14. stavak 5. točku (c) OUZP‑a tumačiti na način da se odstupanje voditelja obrade od obveze da pruža informacije ispitaniku primjenjuje isključivo na podatke koje je voditelj obrade izričito dobio od druge osobe, a ne na podatke koje je on generirao u svojem postupku.
35.
To pitanje proizlazi iz činjenice da u glavnom postupku određeni podaci koji su sadržani u potvrdama za bolest COVID-19 nisu dobiveni od druge organizacije, nego ih je generirao budimpeštanski odjel (
21
).
36.
Stoga je potrebno odrediti isključuju li se pojmom „dobivanje” iz članka 14. stavka 5. točke (c) OUZP‑a podaci koje je generirao voditelj obrade.
37.
Kako bi se odgovorilo na upućeno pitanje, najprije valja podsjetiti na to da pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (
22
).
38.
Kad je riječ o tekstu članka 14. stavka 5. točke (c) OUZP‑a, tom se odredbom ne utvrđuje ograničenje u pogledu posebne vrste obrade ili točnog načina na koji voditelj obrade dobiva podatke. Podaci se mogu dobiti tehničkim postupkom, kao što su podaci koje voditelj obrade generira.
39.
Široko shvaćanje pojma „dobivanje” potvrđuje uvodna izjava 62. OUZP‑a. U toj se uvodnoj izjavi upotrebljava izraz „bilježenje” podataka, što je, kao što je to istaknuo sud koji je uputio zahtjev, postupak koji se odnosi na širu skupinu postupaka obrade koje voditelj obrade može provesti. Stoga se članak 14. stavak 5. točka (c) ne može tumačiti na način da se primjenjuje isključivo na podatke dobivene od drugog subjekta, a ne na podatke koje je generirao voditelj obrade.
40.
To tumačenje članka 14. stavka 5. točke (c) OUZP‑a također potvrđuju kontekst u kojem se ta odredba javlja te ciljevi i svrha koji se tom odredbom nastoje ostvariti.
41.
U tom pogledu valja istaknuti da se odstupanja iz članka 14. stavka 5. točke (c) odnose na stavke 1. do 4. tog članka. Materijalno područje primjene članka 14. (čiji je relevantna odredba dio) definirano je negativno u usporedbi s člankom 13. Dok se člankom 13. uređuju informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika, člankom 14. uređuje se pružanje informacija ako osobni podaci nisu dobiveni od ispitanika. Iz dihotomije između izravnog i neizravnog prikupljanja podataka proizlazi da su svi slučajevi u kojima podaci nisu dobiveni od ispitanika obuhvaćeni materijalnim područjem primjene članka 14. Nije relevantno je li podatke generirao voditelj obrade ako nisu dobiveni od ispitanika. Široko materijalno područje primjene članka 14. potvrđuje i uvodna izjava 61. u kojoj se upućuje na podatke koji su „prikupljeni iz drugog izvora”, odnosno izvora koji nije ispitanik.
42.
Osim toga, kao što su to u biti naveli Komisija i mađarsko nadzorno tijelo, pravila iz članaka 13. i 14. OUZP‑a čine cjelovit sustav koji upravlja pružanjem informacija ispitaniku u svim mogućim situacijama. Kad bi se pojam „dobivanje” iz članka 14. stavka 5. točke (c) OUZP‑a tumačio na način da isključuje podatke koje je generirao voditelj obrade, ta bi odredba imala ograničenije područje primjene od članka 14., čiji je ona dio.
43.
Kad je riječ o posebnoj svrsi relevantnog odstupanja, kao što sam to istaknula u uvodnim napomenama ovog mišljenja, izuzimanje voditelja obrade od toga da pruža informacije temelji se na pretpostavci da pravo zamjenjuje obvezu koja se obično nalaže voditelju obrade da pruža informacije (
23
). Odstupanjem iz članka 14. stavka 5. točke (c) državama članicama dodjeljuje se margina prosudbe da predvide drukčiji način obavještavanja ispitanika i da osiguraju poštenu i transparentnu obradu u usporedbi s informacijama koje je voditelj obrade pružio pojedinačno. Drukčijim pravnim kanalom i dalje se treba postići isti rezultat. Pravo kojim se zamjenjuje obveza obavještavanja koja se nalaže voditeljima obrade mora omogućiti ispitaniku da ostvaruje kontrolu nad vlastitim podacima i da ostvaruje svoja prava iz OUZP‑a (
24
).
44.
Kad bi se članak 14. stavak 5. točku (c) tumačilo na način da iz svojeg područja primjene isključuje podatke koje je generirao voditelj obrade, time bi se ograničila margina prosudbe koja je ostavljena državama članicama na temelju razloga koji se ne čini relevantnim za zaštitu legitimnih interesa ispitanika.
45.
Nadalje, drukčijim tumačenjem, kojim bi se uvela iznimka od odstupanja iz članka 14. stavka 5. točke (c) kad podatke generira voditelj obrade, mogla bi se dodatno povećati razina složenosti za ispitanika. Ispitanik treba moći znati iz kojeg će izvora dobiti informacije o obradi svojih podataka kad ti podaci nisu prikupljeni od njega samog. Na temelju relevantnog prava obrada bi trebala biti predvidiva za ispitanika u svim takvim situacijama (
25
).
46.
Iz prethodno navedenog proizlazi da članak 14. stavak 5. točku (c) OUZP‑a treba tumačiti na način da se odstupanje voditelja obrade od obveze da pruža informacije ispitaniku primjenjuje na sve podatke koje voditelj obrade nije dobio od ispitanika. U tom pogledu nije relevantno jesu li podaci izričito dobiveni od drugog subjekta ili je podatke generirao voditelj obrade u svojem postupku.
C.
Drugo pitanje
47.
Drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 77. stavak 1. OUZP‑a tumačiti na način da je nadzorno tijelo u kontekstu postupka povodom pritužbe ovlašteno ispitati predviđaju li se pravom države članice, kojem voditelj obrade podliježe, odgovarajuće mjere zaštite legitimnih interesa ispitanika za potrebe primjene odstupanja iz članka 14. stavka 5. točke (c) te uredbe.
48.
U tom pogledu valja podsjetiti na to da, kao prvo, u skladu s člankom 77. stavkom 1. OUZP‑a, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu ako smatra da obrada osobnih podataka koja se odnosi na njega krši tu uredbu (
26
).
49.
Kao drugo, u skladu s člankom 55. stavkom 1. te uredbe, svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s tom uredbom na državnom području vlastite države članice (
27
). Osim toga, u skladu s člankom 57. stavkom 1. točkom (a) OUZP‑a, nacionalna nadzorna tijela odgovorna su za praćenje i provedbu primjene OUZP‑a.
50.
Odredbama iz dviju prethodno navedenih točaka iz područja nadležnosti nacionalnih nadzornih tijela ne isključuju se uvjeti za primjenu odstupanja iz članka 14. stavka 5. točke (c) OUZP‑a.
51.
Stoga, kao što su to mađarska vlada i Komisija tvrdile, u kontekstu pritužbe podnesene na temelju članka 77. stavka 1. OUZP‑a, nadzorna tijela u biti su ovlaštena provjeriti jesu li ispunjeni svi uvjeti iz članka 14. stavka 5. točke (c). Kao što to proizlazi iz članka 14. stavka 5. prve rečenice, sva odstupanja koja su njime utvrđena primjenjuju se „ako i u mjeri u kojoj” su ispunjeni uvjeti iz te odredbe.
52.
U tom pogledu nadzorna tijela moraju biti ovlaštena ispitati, konkretnije, kao prvo, upućuje li se u pravu izravno na voditelja obrade podataka i je li dobivanje ili otkrivanje obvezno za voditelja obrade (
28
). Kao drugo, nadzorna tijela trebaju moći ispitati predviđaju li se pravom na koje se voditelj obrade oslanja „odgovarajuće mjere zaštite legitimnih interesa ispitanika” i može li voditelj obrade dokazati da je dobivanje ili otkrivanje osobnih podataka u skladu s tim mjerama (
29
).
53.
Mađarsko nadzorno tijelo tvrdi da bi ispitivanjem pitanja predviđaju li se nacionalnim pravom odgovarajuće mjere zaštite legitimnih interesa ispitanika prekoračilo svoje zadaće i ovlasti u skladu s člancima 57. i 58. OUZP‑a. To tijelo smatra da se tim odredbama nadzornim tijelima ne dodjeljuju ovlasti korekcije nacionalnog prava i da nije moguće izvršavati takve ovlasti prema voditelju obrade koji je samo postupio u skladu s nacionalnim pravom.
54.
U tom pogledu valja istaknuti da ispitivanje koje nacionalno nadzorno tijelo provodi u pogledu pitanja jesu li ispunjeni svi zahtjevi za primjenu odstupanja iz članka 14. stavka 5. točke (c) ne uključuje, kao što je to Komisija pravilno navela, ispitivanje valjanosti nacionalnog prava. Nadzorno tijelo ispituje samo pitanje ima li voditelj obrade pravo pozvati se na odstupanje prema ispitaniku u određenoj situaciji.
55.
Stoga je na nacionalnom nadzornom tijelu da ispita ispitanikovu tvrdnju da voditelj obrade ne bi trebao biti izuzet od pružanja informacija zbog toga što se relevantnim pravom ne predviđaju odgovarajuće mjere zaštite legitimnih interesa ispitanika.
56.
Ako nacionalno nadzorno tijelo zaključi da je tvrdnja neosnovana, osoba koja je podnijela pritužbu i koja osporava tu tvrdnju, kao što to proizlazi iz članka 78. OUZP‑a, ima pristup sudskim pravnim lijekovima koji joj omogućuju da osporava takvu odluku pred nacionalnim sudovima.
57.
Ako nacionalno nadzorno tijelo smatra da je tvrdnja osnovana i da uvjeti odstupanja nisu ispunjeni, ovlašteno je, kao što su to u bitnome tvrdile mađarska vlada i Komisija, naložiti voditelju obrade da postupi u skladu s ispitanikovim zahtjevom. U toj situaciji voditelj obrade treba pružiti informacije u skladu s člankom 14. stavcima 1. do 4.
58.
U odgovoru na pisana pitanja koja je postavio Sud, češka vlada tvrdila je da ispitivanje odgovarajuće prirode mjera zaštite legitimnih interesa ispitanika nije moguće kad se nacionalnim pravom ciljano predviđa, u pogledu posebne situacije, iznimka od obveze pružanja informacija. Ta vlada poziva se na presudu Schrems (
30
) i u biti ističe da su za ispitivanje usklađenosti jednog pravnog izvora s drugim pravnim izvorom isključivo odgovorni sudovi, a ne upravno tijelo.
59.
U tom pogledu valja podsjetiti na to da se jedno od glavnih pitanja koja su istaknuta u presudi Schrems odnosilo na ovlasti nacionalnih nadzornih tijela da ispitaju zahtjev osobe u vezi sa zaštitom njezinih prava i sloboda u pogledu Komisijine odluke kojom se utvrđuje da treća zemlja osigurava odgovarajuću razinu zaštite (
31
). Sud je utvrdio, u biti, da nacionalna nadzorna tijela, kad ispituju takav zahtjev, nemaju pravo sâma utvrditi nevaljanost takve odluke (
32
). Kada navedeno tijelo smatra da su prigovori osobe koja je podnijela zahtjev osnovani, to tijelo mora imati ovlasti za sudjelovanje u sudskim postupcima (
33
).
60.
Međutim, čini se da presuda Schrems nije izravno relevantna za pitanje ovlasti nadzornih tijela u pogledu ispitivanja odstupanja iz članka 14. stavka 5. točke (c) OUZP‑a. Najprije valja istaknuti da u kontekstu tog ispitivanja nadzorno tijelo ne zadire u pravnu obvezu koja se nalaže voditelju obrade da dobiva ili otkriva osobne podatke. Drugim riječima, nadzorno tijelo ne nalaže voditelju obrade da se suzdrži od primjene pravnog zahtjeva da dobiva ili otkriva podatke kojim je voditelj obrade i dalje obvezan. Kao što su to Komisija i mađarska vlada u biti tvrdile, u takvoj situaciji ovlast nacionalnog nadzornog tijela sastoji se u tome da naloži voditelju obrade da pruži neophodne informacije u svojoj obavijesti o zaštiti privatnosti (
34
) ako nisu ispunjeni uvjeti relevantnog odstupanja. Kao što sam to prethodno istaknula, takvim nalaganjem ne zadire se u valjanost zakonske mjere koja se primjenjuje na voditelja obrade.
61.
Ovlašću nadzornog tijela da naloži voditelju obrade da pruža informacije ne dovodi se u pitanje njegova ovlast da, ako smatra da je zakonska odredba o kojoj je riječ nevaljana, sudjeluje u sudskim postupcima koji se u tu svrhu predviđaju nacionalnim pravom, u skladu s člankom 58. stavkom 5. OUZP‑a.
62.
Naposljetku, na sustavnijoj razini, kao što to tvrde sve zainteresirane stranke, nadzorno tijelo ovlašteno je savjetovati zakonodavnu ili izvršnu vlast kako bi se relevantna zakonska mjera izmijenila ako smatra da se njome ne predviđaju odgovarajuće mjere zaštite legitimnih interesa ispitanika. U tom pogledu valja podsjetiti na to da su nadzorna tijela odgovorna za savjetovanje nacionalnog parlamenta i vlade te drugih institucija i tijela u skladu s člankom 57. stavkom 1. točkom (c) OUZP‑a. Imaju i savjetodavne ovlasti utvrđene u članku 58. stavku 3. točki (b) OUZP‑a.
63.
Iz prethodno navedenog proizlazi da članak 77. stavak 1. OUZP‑a treba tumačiti na način da je nadzorno tijelo u kontekstu postupka povodom pritužbe ovlašteno ispitati jesu li ispunjeni svi uvjeti iz članka 14. stavka 5. točke (c) te uredbe. Konkretnije, ovlašteno je ispitati pitanje predviđaju li se pravom države članice, kojem voditelj obrade podliježe, odgovarajuće mjere zaštite legitimnih interesa ispitanika.
D.
Treće pitanje
64.
Trećim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 14. stavak 5. točku (c) OUZP‑a tumačiti na način da „odgovarajuće mjere” navedene u toj odredbi podrazumijevaju da nacionalni zakonodavac treba prenijeti mjere koje se odnose na sigurnost podataka i koje su utvrđene u članku 32. te uredbe.
65.
U tom pogledu valja podsjetiti na to da, s jedne strane, primjenjivost odstupanja od obveze pružanja informacija u skladu s člankom 14. stavkom 5. točkom (c) OUZP‑a ovisi o provedbi „odgovarajućih mjera” zaštite legitimnih interesa ispitanika. S druge strane, iz članka 32. OUZP‑a proizlazi da voditelj obrade i izvršitelj obrade trebaju provesti „odgovarajuće tehničke i organizacijske mjere” kako bi osigurali sigurnost obrade.
66.
Međutim, kao što to tvrdi Komisija, članci 14. i 32. imaju različito područje primjene. Područje primjene „odgovarajućih mjera” treba ispitati u kontekstu članka 14. OUZP‑a. Stoga nije moguće odrediti jedan od uvjeta primjene odstupanja iz članka 14. stavka 5. točke (c) prenošenjem pojma „odgovarajuće tehničke i organizacijske mjere” koji je upotrijebljen u drugoj odredbi. Osim toga, u kontekstu članka 32. OUZP‑a nije relevantno pruža li informacije voditelj obrade ili je dobivanje ili otkrivanje utvrđeno pravom. Slijedom toga, predmet ispitivanja koje provodi nadzorno tijelo treba biti ograničen područjem primjene članka 14.
67.
Točan sadržaj „odgovarajućih mjera” nije naveden u članku 14. stavku 5. točki (c) OUZP‑a. Dovoljno je širok da se njime obuhvate sve mjere koje zakonodavac smatra neophodnima i odgovarajućima. Pojam „odgovarajuće mjere” treba tumačiti, kao što to u biti tvrdi Komisija, s obzirom na načelo transparentnosti iz članka 5. stavka 1. točke (a) OUZP‑a. U tom je pogledu važno uzeti u obzir da je relevantno pravo, kao što sam to istaknula u uvodnim napomenama ovog mišljenja (
35
), „zamjena” za obvezu informiranja koju obično ima voditelj obrade. Na zakonodavcu je da odredi odgovarajuće mjere ovisno o, primjerice, kategoriji dobivenih podataka i kontekstu u kojem se obavlja obrada.
68.
Češka vlada tvrdila je u odgovoru na pitanje koje je postavio Sud da je područje primjene odgovarajućih mjera šire od popisa informacija iz članka 14. stavaka 1., 2. i 4. OUZP‑a.
69.
Slažem se da se odgovarajuća priroda mjera ne može ocijeniti samo „mehaničkom” usporedbom s obvezama informiranja voditelja obrade koje su usklađene OUZP‑om. Čini se besmislenim predvidjeti „odstupajuću klauzulu” na temelju članka 14. stavka 5. točke (c) (
36
) i istodobno naložiti potpuno iste obveze a da se pritom zakonodavcu ne ostavi nikakva margina prosudbe. S obzirom na navedeno, relevantnim pravom treba se osigurati standard poštene i transparentne obrade koji je istovjetan onomu koji se osigurava člankom 14. stavcima 1. do 4. (
37
). Kako bi ispitanik procijenio svaki rizik povezan s dobivanjem podataka i njihovom obradom (
38
), iz samog teksta relevantne pravne odredbe mora biti jasno tko obrađuje podatke, zašto i na koji način (
39
). Kao što sam to prethodno istaknula (
40
), drukčijim pravnim kanalom treba se postići isti rezultat, koji se sastoji u tome da se ispitaniku omogući da ostvaruje kontrolu nad vlastitim podacima i da ostvaruje svoja prava iz OUZP‑a.
70.
Posebna pravna osnova za obradu utječe i na određivanje „odgovarajućih mjera” za posebne okolnosti obrade. U tom pogledu valja podsjetiti na to da iz članka 6. stavka 1. točaka (c) i (e) OUZP‑a proizlazi da je obrada zakonita samo ako i u onoj mjeri u kojoj je nužna radi poštovanja pravnih obveza voditelja obrade i kad je obrada nužna za izvršavanje zadaće od javnog interesa. Kad je riječ o takvoj obradi, u skladu s člankom 6. stavkom 2., države članice mogu zadržati ili uvesti posebne odredbe kako bi se primjena pravila OUZP‑a s obzirom na obradu prilagodila tako da se preciznije odrede posebni uvjeti za obradu te druge mjere za osiguravanje zakonite i poštene obrade (
41
). Osim toga, u skladu s člankom 9. stavkom 2. točkom (i) OUZP‑a, kad je obrada nužna u svrhu javnog interesa u području javnog zdravlja, pravom države članice (ili pravom Unije) moraju biti propisane odgovarajuće i posebne mjere za zaštitu prava i sloboda ispitanika.
71.
U glavnom postupku dobivanje podataka naloženo je Uredbom 60/2021, koja je, kao što to proizlazi iz spisa, donesena na temelju članka 6. stavka 1. točaka (c) i (e) te članka 9. stavka 2. točke (i) OUZP‑a. Mađarska vlada tvrdi se Uredbom 60/2021, osim općih zaštitnih mjera koje se primjenjuju na temelju pravnog okvira donesenog kako bi se osigurala zakonitost obrade, predviđaju dodatne zaštitne mjere. U tom je pogledu ta vlada navela da se jedno od tih jamstava sastoji od toga da su podugovaratelji koji su određeni tom uredbom u državnom vlasništvu i moraju poštovati zakonodavni okvir u području sigurnosti podataka primjenjiv na državna tijela i lokalnu upravu. Sud koji je uputio zahtjev dužan je ispitati te tvrdnje i ocijeniti pruža li nacionalno pravo odgovarajuće mjere s obzirom na prethodna razmatranja.
72.
S obzirom na prethodno navedeno, smatram da članak 14. stavak 5. točku (c) OUZP‑a treba tumačiti na način da „odgovarajuće mjere” navedene u toj odredbi ne podrazumijevaju da nacionalni zakonodavac treba prenijeti mjere koje se odnose na sigurnost podataka i koje su utvrđene u članku 32. te uredbe.
V. Zaključak
73.
S obzirom na sva prethodna razmatranja, predlažem Sudu da na prethodna pitanja koja je uputila Kúria (Vrhovni sud, Mađarska) odgovori na sljedeći način:
1.
Članak 14. stavak 5. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da se odstupanje voditelja obrade od obveze da pruža informacije ispitaniku primjenjuje na sve podatke koje voditelj obrade nije dobio od ispitanika. U tom pogledu nije relevantno jesu li podaci izričito dobiveni od drugog subjekta ili je podatke generirao voditelj obrade u svojem postupku.
2.
Članak 77. stavak 1. Uredbe 2016/679
treba tumačiti na način da je nadzorno tijelo u kontekstu postupka povodom pritužbe ovlašteno ispitati jesu li ispunjeni svi uvjeti iz članka 14. stavka 5. točke (c) te uredbe. Konkretnije, ovlašteno je ispitati pitanje predviđaju li se pravom države članice, kojem voditelj obrade podliježe, odgovarajuće mjere zaštite legitimnih interesa ispitanika.
3.
Članak 14. stavak 5. točku (c) Uredbe 2016/679
treba tumačiti na način da „odgovarajuće mjere” navedene u toj odredbi ne podrazumijevaju da nacionalni zakonodavac treba prenijeti mjere koje se odnose na sigurnost podataka i koje su utvrđene u članku 32. te uredbe.
(
1
)	Izvorni jezik: engleski
(
i
)	Naziv ovog predmeta je izmišljen. On ne odgovara stvarnom imenu nijedne stranke u postupku.
(
2
)	Mišljenje nezavisnog odvjetnika P. Cruza Villalóna u predmetu Bara i dr. (C‑201/14, EU:C:2015:461, t. 74.) (moje isticanje)
(
3
)	Vrabec, U., H., „Data Subject Rights under the GDPR”, Oxford University Press, Oxford, 2021., str. 64.
(
4
)	Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP)
(
5
)	Vidjeti Radnu skupinu za zaštitu podataka iz članka 29., Smjernice o transparentnosti na temelju Uredbe 2016/679, donesene 29. studenoga 2017., 17/EN WP260 rev. 01 (u daljnjem tekstu: Smjernice o transparentnosti), t. 4. Tu radnu skupinu zamijenio je Europski odbor za zaštitu podataka (EDPB). Međutim, Smjernice o transparentnosti i dalje su primjenjive. Vidjeti i EDPB, Smjernice 03/2020 o obradi podataka koji se odnose na zdravlje u svrhu znanstvenog istraživanja u kontekstu izbijanja bolesti COVID-19, donesene 21. travnja 2020., t. 5.1.2.4.
(
6
)	Presuda od 1. listopada 2015., Bara i dr. (C‑201/14, EU:C:2015:638, t. 33.), u kojoj se upućuje na mišljenje nezavisnog odvjetnika P. Cruza Villalóna u tom predmetu.
(
7
)	Smjernice o transparentnosti, t. 24. Vidjeti i Vrabec, U., H., Data Subject Rights under the GDPR, op. cit. u bilješci 3. ovog mišljenja, str. 84.
(
8
)	Vidjeti Zanfir‑Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject” u Kuner, C., Bygrave, L. A. i Docksey, C. (ur.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020., str. 435.–448., na str. 436.
(
9
)	Ibidem, str. 444.
(
10
)	Vrabec, H., Data Subject Rights under the GDPR, op. cit. u bilješci 3. ovog mišljenja, str. 68.
(
11
)	Ako se obrada temelji na članku 6. stavku 1. točki (f) OUZP‑a.
(
12
)	Kao odredba koja sadržava odstupajuću klauzulu, ona omogućuje državama članicama da predvide dodatna, stroža ili odstupajuća nacionalna pravila i ostavlja im marginu prosudbe o načinu na koji se relevantna odredba može primijeniti (vidjeti u tom smislu presudu od 30. ožujka 2023., Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, t. 51.). Vidjeti Knyrim, R., „IV. Ausnahme von der Informationspflicht” u Ehmann, E. i Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2. izdanje, 2018., članak 14. stavci 42. do 48., u stavku 47.
(
13
)	Osobito u verzijama na bugarskom, danskom, njemačkom, grčkom, španjolskom, talijanskom, latvijskom, poljskom, slovačkom i švedskom jeziku.
(
14
)	To je osobito slučaj kad je riječ o verzijama na estonskom („isikuandmed”), litavskom („duomenų”), mađarskom („adat”), nizozemskom („gegevens”), portugalskom („dados”), rumunjskom („datelor”) i finskom („tietojen”) jeziku.
(
15
)	U pravnoj teoriji na francuskom jeziku ističe se da su u verziji na francuskom jeziku trebali biti navedeni „podaci” umjesto „informacija”, kao što je to bio slučaj na temelju odredbe koja je prethodila članku 14. stavku 5. točki (c) OUZP‑a, odnosno članka 11. stavka 2. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) (vidjeti Terwangne, C. i Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant” u Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Bruxelles, 1. izd., 2018., str. 409 do 432., bilješka 132.).
(
16
)	Vidjeti u tom smislu presudu od 21. ožujka 2024., Cobult (C‑76/23, EU:C:2024:253, t. 25. i navedena sudska praksa).
(
17
)	Vidjeti u tom smislu presudu od 5. listopada 2023., Ministerstvo zdravotnictví (Mobilna aplikacija Covid-19) (C‑659/22, EU:C:2023:745, t. 27.).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS‑GVO – Eine kritische Analyse, Nomos, Baden‑Baden, 2022., str. 272. do 298., na str. 280. Autor također navodi (na str. 281.) da je izuzimanje voditelja obrade od pružanja informacija u situaciji predviđenoj člankom 14. stavkom 5. točkom (c) mjera izbjegavanja rizika od informacijskog „zamora” ili „preopterećenja” informacijama; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)” u Simitis, S., Hornung, G., i Spiecker, I., Datenschutzrecht DS‑GVO mit BDSG Großkommentar, Beck, München, 2019., točke 27. i 28., u točki 27., u kojem se na relevantno pravo upućuje kao na „dostatnu zamjenu” („hinreichendes Surrogat”) za potrebne informacije koje je pružio voditelj obrade.
(
19
)	Dix, A., op. cit. u bilješci 18. ovog mišljenja
(
20
)	Smjernice o transparentnosti, t. 66. U skladu s time, voditelji obrade podataka moraju moći dokazati kako se pravo o kojem je riječ na njih primjenjuje i kako se njime zahtijeva da dobiju ili otkriju osobne podatke o kojima je riječ.
(
21
)	Vidjeti točku 16. ovog mišljenja.
(
22
)	Presuda od 7. prosinca 2023., SCHUFA Holding (Otpis nepodmirenih dugova) (C‑26/22 i C‑64/22, EU:C:2023:958, t. 48. i navedena sudska praksa)
(
23
)	Vidjeti točku 31. ovog mišljenja.
(
24
)	Vidjeti točku 23. ovog mišljenja.
(
25
)	Dix, A., u Simitis, S., Hornung, G. i Spiecker, I., op. cit. u bilješci 18., i Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. u bilješci 18., str. 281.
(
26
)	Presuda od 16. siječnja 2024., Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, t. 61.)
(
27
)	Ibidem
(
28
)	Vidjeti Smjernice o transparentnosti, t. 66.
(
29
)	Ibidem
(
30
)	Presuda od 6. listopada 2015., Schrems (C‑362/14, EU:C:2015:650, t. 65.)
(
31
)	Donesene u skladu s člankom 25. stavkom 6. Direktive 95/46.
(
32
)	Vidjeti u tom pogledu presudu od 6. listopada 2015., Schrems (C‑362/14, EU:C:2015:650, t. 62.).
(
33
)	Ibidem, t. 65.
(
34
)	Time se ne dovodi u pitanje bilo kakvo ograničenje prava na informiranje koje može biti nametnuto pravom Unije ili države članice u uvjetima iz članka 23. OUZP‑a.
(
35
)	Točka 31. ovog mišljenja
(
36
)	Vidjeti točku 27. ovog mišljenja.
(
37
)	Vidjeti u tom smislu Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. u bilješci 18., str. 281., koji upućuje na sličnu razinu zaštite („vergleichbares Schutzniveau”); Mester, B.-A., „DS‑GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, u Taeger, J. i Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022., t. 26.; Paal, B. i Hennemann, M., „DS‑GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)”, u Paal, B. i Pauly, D., Datenschutz‑Grundverordnung Bundesdatenschutzgesetz: DS‑GVO BDSG, Beck, München, 2021., t. 42.
(
38
)	Mester, B.-A., u Taeger, J. i Gabel, D., op. cit. u bilješci 37.
(
39
)	Ebner, K., „6. Ausschluss der Informationspflicht”, op. cit. u bilješci 18., str. 281.
(
40
)	Točka 43. ovog mišljenja
(
41
)	Te posebne odredbe mogu sadržavati elemente iz članka 6. stavka 3. OUZP‑a, među ostalim: opće uvjete kojima se uređuje zakonitost obrade, vrste podataka koji su predmet obrade, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblja pohrane, aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. OUZP‑a.