62021CC0683
MIŠLJENJE NEZAVISNOG ODVJETNIKA
NICHOLASA EMILIOUA
od 4. svibnja 2023. (
1
)
Predmet C‑683/21
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
protiv
Valstybinė duomenų apsaugos inspekcija,
uz sudjelovanje:
„IT sprendimai sėkmei” UAB,
Lietuvos Respublikos sveikatos apsaugos ministerija
(zahtjev za prethodnu odluku koji je uputio Vilniaus apygardos administracinis teismas (Okružni upravni sud u Vilniusu, Litva))
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Razvoj mobilne aplikacije u kontekstu pandemije bolesti COVID-19 – Odgovornost tijela javne vlasti nadležnog za organizaciju postupka javne nabave mobilne aplikacije – Članak 4. točka 2. – Pojam ‚obrada’ – Upotreba osobnih podataka tijekom faze testiranja mobilne aplikacije – Članak 26. stavak 1. – Zajedničko vođenje obrade – Članak 83. – Izricanje upravnih novčanih kazni – Uvjeti – Nužnost utvrđivanja namjernog kršenja ili kršenja iz nepažnje – Odgovornost voditelja obrade za obradu osobnih podataka koju provodi izvršitelj obrade”
I. Uvod
1.
U svijetu u kojem su osobni podaci postali sredstvo za pregovaranje i predstavljaju novi zlatni rudnik za poduzetnike, pod kojim se uvjetima mogu voditeljima ili izvršiteljima obrade izreći upravne novčane kazne za povredu pravila o zaštiti podataka utvrđenih Uredbom (EU) 2016/679 (
2
)? Konkretnije, zahtijeva li se postojanje elementa „krivnje” kako bi im se mogle izreći takve novčane kazne? To je ključno pitanje koje je u ovom predmetu postavio Vilniaus apygardos administracinis teismas (Okružni upravni sud u Vilniusu, Litva).
2.
Spor koji se pred tim sudom vodi između Nacionalinis visuomenės sveikatos centras prie Sveikatos apsagos ministerijosa (Nacionalni centar za javno zdravstvo u okviru Ministarstva zdravstva, Litva, u daljnjem tekstu: NVSC) i Valstybinė duomenų apsagos inspekcije (Državna inspekcija za zaštitu podataka, Litva, u daljnjem tekstu: Inspekcija) u biti se odnosi na NVSC‑ovu ulogu u razvoju i stavljanju na raspolaganje javnosti mobilne aplikacije koja je u travnju i svibnju 2020. prikupljala osobne podatke osoba koje su bile u kontaktu s oboljelima od bolesti COVID-19.
3.
U tom kontekstu Sud u ovom predmetu ima priliku dodatno pojasniti pojmove „voditelj obrade”, „zajednički voditelji obrade” i „obrada”, definirane u članku 4. točki 7., članku 26. stavku 1. odnosno članku 4. točki 2. OUZP‑a, te prvi put razmotriti je li moguće, u skladu s člankom 83. te uredbe, izreći upravnu novčanu kaznu voditelju obrade koji nije namjerno ili iz nepažnje povrijedio pravila sadržana u OUZP‑u. Tim se pitanjem od Suda zahtijeva da pojasni dopušta li se tom odredbom izricanje novčanih kazni u slučaju nepostojanja ikakve krivnje, na temelju objektivne odgovornosti.
II. Pravni okvir
A.
Pravo Europske unije
4.
U uvodnoj izjavi 148. OUZP‑a navodi se:
„Kako bi se poboljšalo izvršavanje pravila ove Uredbe, trebale bi se propisati sankcije, uključujući upravne novčane kazne, za svako kršenje ove Uredbe […]. U slučaju lakšeg kršenja ili ako bi moguća novčana kazna nerazmjerno opteretila fizičku osobu, umjesto novčane kazne može se izdati upozorenje. Međutim, posebna bi se pozornost trebala posvetiti naravi, ozbiljnosti i trajanju kršenja, namjeri kršenja, mjerama poduzetim za ublažavanje pretrpljene štete, stupnju odgovornosti ili svim relevantnim prethodnim kršenjima, načinu na koji je nadzorno tijelo doznalo za kršenje, usklađenosti s mjerama naloženima protiv voditelja obrade ili izvršitelja obrade, pridržavanju kodeksa ponašanja te svakom drugom otegotnom ili olakotnom čimbeniku. Propisivanje sankcija, uključujući upravne novčane kazne, trebalo bi podlijegati odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom, uključujući i učinkovitu sudsku zaštitu i pravilno postupanje.”
5.
U skladu s uvodnom izjavom 150. te uredbe:
„Kako bi se ojačale i uskladile upravne sankcije za kršenje ove Uredbe, svako nadzorno tijelo trebalo bi imati ovlasti izricati upravne novčane kazne. U ovoj Uredbi trebalo bi navesti kršenja te gornju granicu i kriterije za određivanje povezanih upravnih novčanih kazni, što bi za svaki pojedinačni slučaj trebalo odrediti nadležno nadzorno tijelo, uzimajući u obzir sve bitne okolnosti posebne situacije, vodeći računa osobito o prirodi, težini i trajanju kršenja i njegovim posljedicama te mjerama poduzetim da bi se osiguralo poštovanje obveza iz ove Uredbe te spriječile ili ublažile posljedice kršenja. […] Izricanje upravne novčane kazne ili upozorenja ne utječe na primjenu ovlasti nadzornih tijela ili drugih sankcija na temelju ove Uredbe.”
6.
U članku 4. točki 7. OUZP‑a pojam „voditelj obrade” definira se kao „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka […]”.
7.
U članku 26. te uredbe, naslovljenom „Zajednički voditelji obrade”, u relevantnom se dijelu navodi:
„1.   Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. […]
[…]”
8.
Člankom 83. te uredbe, naslovljenim „Opći uvjeti za izricanje upravnih novčanih kazni”, predviđa se:
„1.   Svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu kršenja ove Uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće.
2.   Upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja. Pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna se pozornost posvećuje sljedećem:
(a)
prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli;
(b)
ima li kršenje obilježje namjere ili nepažnje;
[…]
(k)
svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem.
3.   Ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos [upravne] novčane kazne ne smije biti veći od iznosa utvrđenog za najteže kršenje.
[…]”
B.
Litavsko pravo
9.
U članku 72. stavku 2. Viešųjų pirkimų įstatymasa (Zakon o javnoj nabavi) navodi se:
„Javni naručitelj provodi pregovarački postupak bez prethodne objave poziva na nadmetanje u sljedećim fazama:
1.
upućivanje pisanih poziva odabranim gospodarskim subjektima za dostavu ponuda;
2.
provjera postoje li razlozi za isključenje gospodarskih subjekata predviđeni u dokumentaciji za nadmetanje i provjera ispunjavaju li gospodarski subjekti propisane kvalifikacijske uvjete i, ako je to primjenjivo, potrebne norme o osiguranju kvalitete i/ili norme o upravljanju okolišem;
3.
pregovaranje s ponuditeljima u skladu s postupkom propisanim u članku 66. ovog Zakona i upućivanje zahtjeva ponuditeljima da dostave konačne ponude. Javni naručitelj dostavu konačne ponude ne mora zatražiti kada u pregovaračkom postupku bez prethodne objave poziva na nadmetanje sudjeluje samo jedan gospodarski subjekt;
4.
ocjenjivanje konačnih ponuda i određivanje uspješnog kandidata.”
III. Činjenično stanje, nacionalni postupak i prethodna pitanja
10.
Kako bi odgovorio na situaciju uzrokovanu širenjem bolesti COVID-19, ministar zdravstva Republike Litve (u daljnjem tekstu: ministar zdravstva) odlukom od 24. ožujka 2020. naložio je ravnatelju NVSC‑a da organizira razvoj i nabavu mobilne aplikacije pod nazivom KARANTINAS. Ta je mobilna aplikacija osmišljena za prikupljanje i praćenje osobnih podataka pojedinaca koji su bili u kontaktu s oboljelima od bolesti COVID-19 (
3
).
11.
Osoba koje je tvrdila da je predstavnik NVSC‑a obavijestila je 27. ožujka 2020. društvo „IT sprendimai sėkmei” UAB (u daljnjem tekstu: ITSS) da je odabrano za razvoj aplikacije KARANTINAS. ITSS i ta osoba, kao i ITSS i više zaposlenika te ravnatelj NVSC‑a, razmijenili su poruke elektroničke pošte u vezi s razvojem te mobilne aplikacije. U toj je fazi sastavljen i sporazum o povjerljivosti u kojem su ITSS i NVSC navedeni kao voditelji obrade.
12.
Mobilnu aplikaciju koja je naposljetku razvijena javnost je mogla preuzeti u internetskoj trgovini Google Play Store od 4. travnja 2020. i u trgovini Apple App Store od 6. travnja 2020. ITSS i NVSC ponovno su navedeni kao voditelji obrade u verziji aplikacije KARANTINAS koju je javnost mogla preuzeti. U to vrijeme NVSC još nije kupio tu mobilnu aplikaciju.
13.
Odlukom od 10. travnja 2020. ministar zdravstva naložio je ravnatelju NVSC‑a da provede nabavu aplikacije KARANTINAS u pregovaračkom postupku bez prethodne objave poziva na nadmetanje u skladu s člankom 72. stavkom 2. Zakona o javnoj nabavi.
14.
Taj je postupak pokrenut, ali ga je NVSC okončao s obzirom na to da nije dobio potrebna financijska sredstva. Stoga nije sklopljen nikakav javni kupoprodajni ugovor. Međutim, javnost je mobilnu aplikaciju KARANTINAS i dalje mogla preuzimati.
15.
NVSC je 15. svibnja 2020. od ITSS‑a zatražio da u mobilnoj aplikaciji ne navodi nikakve NVSC‑ove podatke te da ne stavlja poveznice prema NVSC‑u. Inspekcija je 18. svibnja 2020. pokrenula istragu usmjerenu na ITSS i NVSC zbog povrede pravila utvrđenih OUZP‑om. Rad aplikacije KARANTINAS obustavljen je 26. svibnja 2020. na zahtjev Inspekcije. Prema ITSS‑ovim tvrdnjama, u razdoblju od 4. travnja do 26. svibnja 2020. svoje osobne podatke putem aplikacije dostavila su 3802 korisnika.
16.
Inspekcija je odlukom od 24. veljače 2021. NVSC‑u i ITSS‑u, kao zajedničkim voditeljima obrade, izrekla upravne novčane kazne za povrede članaka 5., 13., 24., 32. i 35. OUZP‑a (
4
).
17.
Tu je odluku NVSC osporavao pred Vilniaus apygardos administracinis teismasom (Okružni upravni sud u Vilniusu). Taj sud u biti pita treba li pojam „voditelj obrade”, u smislu članka 4. točke 7. OUZP‑a, tumačiti široko na način da uključuje svaku fizičku ili pravnu osobu ili tijelo kao što je NVSC, koje nije razvilo mobilnu aplikaciju, ali koje je radi nabave takve mobilne aplikacije u okviru postupka javne nabave odredilo „svrhe i sredstva obrade osobnih podataka”, ili taj pojam treba tumačiti uže, uzimajući u obzir postupak javne nabave i njegov ishod.
18.
Konkretno, pita je li u tom pogledu relevantna činjenica da se od postupka javne nabave u konačnici odustalo i da NVSC nikada nije kupio aplikaciju KARANTINAS. Pita i utječe li na tu ocjenu činjenica da NVSC nije službeno dao suglasnost ili odobrenje za stavljanje te mobilne aplikacije na raspolaganje javnosti.
19.
Osim toga, postavlja i pitanje o odnosu između NVSC‑a i ITSS‑a. U tom pogledu pita u kojim bi okolnostima taj subjekt i to društvo trebalo smatrati „zajedničkim voditeljima obrade” u smislu članka 4. točke 7. i članka 26. stavka 1. OUZP‑a. Podredno, ako se NVSC i ITSS ne bi smatralo „zajedničkim voditeljima obrade”, nego „voditeljem obrade” odnosno „izvršiteljem obrade” (
5
) u smislu OUZP‑a, taj sud želi znati u kojim bi slučajevima ITSS‑ove radnje mogle dovesti do odgovornosti NVSC‑a. U tom pogledu pita treba li članak 83. OUZP‑a tumačiti na način da se upravna novčana kazna može izreći voditelju obrade kao što je NVSC koji sam nije namjerno ili iz nepažnje povrijedio tu uredbu.
20.
S obzirom na ta razmatranja, Vilniaus apygardos administracinis teismas (Okružni upravni sud u Vilniusu) odlučio je prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Može li se pojam ‚voditelj obrade’ iz članka 4. točke 7. OUZP‑a tumačiti na način da obuhvaća i osobu koja u postupku javne nabave namjerava nabaviti alat za prikupljanje podataka (mobilna aplikacija), neovisno o činjenici da ugovor o javnoj nabavi nije sklopljen te da stvoreni proizvod (mobilna aplikacija), za čiju je nabavu upotrijebljen postupak javne nabave, nije prenesen na tu osobu?
2.
Može li se pojam ‚voditelj obrade’ iz članka 4. točke 7. OUZP‑a tumačiti na način da obuhvaća i javnog naručitelja koji nije stekao pravo vlasništva nad stvorenim informatičkim proizvodom niti je nad njime preuzeo upravljanje, ali pri čemu konačna verzija te aplikacije sadržava poveznice ili sučelja prema tom javnom subjektu i/ili pri čemu je u politici o povjerljivosti, koju taj javni subjekt nije službeno ni odobrio ni priznao, on određen kao voditelj obrade?
3.
Može li se pojam ‚voditelj obrade’ iz članka 4. točke 7. OUZP‑a tumačiti na način da obuhvaća i osobu koja nije provela niti jednu konkretnu radnju obrade podataka predviđenu člankom 4. točkom 2. OUZP‑a i/ili nije dala jasno dopuštenje/suglasnost za provedbu takvih radnji? Je li za tumačenje pojma ‚voditelj obrade’ relevantna činjenica da je informatički proizvod koji se upotrebljava za obradu osobnih podataka stvoren u skladu s uputama javnog naručitelja?
4.
Ako je postojanje konkretnih radnji obrade podataka relevantno za tumačenje pojma ‚voditelj obrade’, treba li definiciju ‚obrade’ osobnih podataka iz članka 4. točke 2. OUZP‑a tumačiti na način da obuhvaća i situacije u kojima su se primjerci osobnih podataka upotrebljavali za testiranje informatičkih sustava u okviru postupka nabave mobilne aplikacije?
5.
Može li se zajedničko vođenje obrade podataka u skladu s člankom 4. točkom 7. i člankom 26. stavkom 1. OUZP‑a tumačiti isključivo na način da podrazumijeva namjerno usklađivanje određivanja svrhe i sredstava obrade podataka ili se taj pojam može tumačiti na način da obuhvaća i situacije u kojima nema jasnog ‚dogovora’ u pogledu svrhe i sredstava obrade podataka i/ili u kojima uključeni subjekti međusobno ne koordiniraju svoje radnje? Jesu li faza u razvoju sredstva obrade osobnih podataka (informatičke aplikacije) u kojoj su osobni podaci obrađeni i svrha razvoja aplikacije pravno relevantni za tumačenje pojma zajedničkog vođenja obrade podataka? Mora li ‚dogovor’ između zajedničkih voditelja obrade isključivo imati oblik uspostave jasnih i definiranih pravila zajedničkog vođenja obrade podataka?
6.
Treba li članak 83. stavak 1. OUZP‑a, prema kojem je ‚izricanje upravnih novčanih kazni […] učinkovito, proporcionalno i odvraćajuće’, tumačiti na način da obuhvaća i slučajeve nametanja odgovornosti ‚voditelju obrade’ u kojima, u postupku razvoja informatičkog proizvoda, subjekt koji razvija taj proizvod također provodi radnje obrade osobnih podataka, te je li voditelj obrade uvijek automatski pravno odgovoran za povrede koje je izvršitelj obrade počinio prilikom obrade osobnih podataka? Treba li tu odredbu tumačiti na način da obuhvaća i slučajeve neskrivljene odgovornosti voditelja obrade?”
21.
Zahtjev za prethodnu odluku od 22. listopada 2021. zaprimljen je na Sudu 12. studenoga 2021. NVSC, Inspekcija, litavska vlada i Europska Komisija podnijeli su pisana očitovanja.
22.
Litavska i nizozemska vlada, zajedno s Komisijom i Vijećem, bile su zastupane na raspravi održanoj 17. siječnja 2023.
IV. Analiza
23.
Tijekom pandemije bolesti COVID-19 javnost u mnogim državama članicama mogla je preuzimati mobilne aplikacije namijenjene „praćenju” osoba zaraženih virusom i/ili osoba koje su s bile u kontaktu s osobom zaraženom virusom. Takve mobilne aplikacije razvijene su kako bi se odgovorilo na izvanrednu situaciju, često uz sudjelovanje više javnih i privatnih subjekata (kao što su ministarstva i drugi javni subjekti te privatni poduzetnici). Od korisnika se tražilo da učitaju svoje osobne podatke u te mobilne aplikacije, osobito podatke koji se odnose na njihovo zdravlje (
6
).
24.
Glavni postupak odnosi se upravo na takvu mobilnu aplikaciju, odnosno KARANTINAS, koju je razvilo (privatno) društvo ITSS na inicijativu NVSC‑a (tijela javne vlasti), na temelju odluke ministra zdravstva. Iz informacija sadržanih u spisu predmeta, kao ni iz onih iznesenih na raspravi, ne proizlazi koji su drugi litavski javni subjekti, ako ih ima, bili uključeni u razvoj aplikacije (
7
). Postoje i određene dvojbe u pogledu toga je li NVSC pristao na to da se aplikacija KARANTINAS stavi na raspolaganje javnosti tijekom razdoblja u kojem je došlo do obrade osobnih podataka (travanj i svibanj 2020.). Međutim, u prethodnim pitanjima upućenima Sudu Vilniaus apygardos administracinis teismas (Okružni upravni sud u Vilniusu) utvrdio je da su relevantne sljedeće okolnosti:
–
NVSC je namjeravao nabaviti aplikaciju KARANTINAS u skladu s člankom 72. stavkom 2. Zakona o javnoj nabavi, ali postupak nikada nije dovršen i do nabave nikada nije došlo. Vlasništvo nad aplikacijom KARANTINAS stoga nikada nije preneseno s ITSS‑a na NVSC.
–
NVSC je naveden kao voditelj obrade u politici o povjerljivosti aplikacije KARANTINAS, koja je stavljena na raspolaganje javnosti. Poveznice prema NVSC‑u također su bile uključene u posljednju verziju aplikacije, koju taj subjekt, međutim, nikada nije službeno odobrio.
–
Sam NVSC nikada nije obrađivao osobne podatke niti je dao formalnu suglasnost za provedene postupke obrade, ali je dao upute za razvoj aplikacije KARANTINAS koje je ITSS slijedio.
–
ITSS i NVSC nisu se formalno dogovorili o svrhama i sredstvima obrade osobnih podataka do koje je došlo.
25.
U tom kontekstu, prethodna pitanja upućena Sudu odnose se na tumačenje različitih odredbi OUZP‑a. Prvim trima pitanjima, kao i petim pitanjem, traži se tumačenje pojma „voditelj obrade” u smislu članka 4. točke 7. te uredbe, kao i pojašnjenje okolnosti pod kojima se dva subjekta ili više njih mogu smatrati „zajedničkim voditeljima obrade” na temelju te odredbe i članka 26. stavka 1. te uredbe. Najprije ću ta pitanja analizirati zajedno (dio A), prije nego što se posvetim četvrtom pitanju koje se odnosi na pojam „obrada” u smislu članka 4. točke 2. OUZP‑a i njegovu primjenu u kontekstu faze testiranja mobilne aplikacije (dio B) (
8
). Zatim ću razmotriti pitanje koje čini bit ovog predmeta, odnosno šesto pitanje, koje je transverzalne prirode jer se odnosi na uvjete pod kojima se voditeljima obrade mogu izreći upravne novčane kazne, u skladu s člankom 83. OUZP‑a (dio C).
A.
Pojam „voditelj obrade” i situacije zajedničkog vođenja obrade (prvo, drugo, treće i peto pitanje)
26.
Prvim trima pitanjima sud koji je uputio zahtjev u biti pita treba li, s obzirom na okolnosti navedene u točki 24. ovog mišljenja, subjekt kao što je NVSC smatrati „voditeljem obrade” u smislu članka 4. točke 7. OUZP‑a. Osim toga, svojim petim pitanjem sud koji je uputio zahtjev traži pojašnjenje toga treba li, u takvim okolnostima, dva subjekta kao što su NVSC i ITSS smatrati „zajedničkim voditeljima obrade”, u skladu s tom odredbom i člankom 26. stavkom 1. te uredbe, iako se nisu formalno dogovorili o svrhama i sredstvima obrade i/ili se ne čini da su na drugi način koordinirali svoje radnje.
1. Što je voditelj obrade? (prvo, drugo i treće pitanje)
27.
Podsjećam na to da se u skladu s člankom 4. točkom 7. OUZP‑a „voditelj obrade” definira kao osoba ili subjekt koji „sa[m] ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka”. Jednostavno rečeno, voditelj obrade ne treba sam obrađivati osobne podatke, ali treba odrediti „razlog i način” postupaka obrade o kojima je riječ (
9
). Sud je naveo da, kako bi se ispunio taj kriterij, osoba ili subjekt treba konkretno „utje[cati] na obradu osobnih podataka” (
10
). Međutim, nije nužno da se svrhe i sredstva obrade određuju u skladu s pisanim smjernicama ili savjetima voditelja obrade (
11
). Naime, člankom 4. točkom 7. OUZP‑a zahtijeva se činjenična, a ne formalna analiza.
28.
S tim u vezi Europski odbor za zaštitu podataka (EDPB) istaknuo je da je također moguće biti voditelj obrade neovisno o konkretnoj nadležnosti ili ovlasti za nadzor podataka koja je dodijeljena zakonom. Naime, mogućnost određivanja svrha i sredstava obrade prije svega ovisi o utjecaju koji se izvršava, o kojem se može donijeti zaključak na temelju činjeničnih okolnosti. Subjekt koji zapravo ima ovlasti odrediti svrhe i sredstva obrade stoga će se smatrati „voditeljem obrade”, neovisno o tome je li formalno imenovan kao takav (zakonom ili ugovorom ili na drugi način) (
12
).
29.
Nakon tih pojašnjenja napominjem da je više okolnosti koje je sud koji je uputio zahtjev opisao u prvim trima pitanjima čisto formalne prirode, primjerice činjenica da NVSC nema zakonito vlasništvo nad aplikacijom KARANTINAS ili da postupak nabave te mobilne aplikacije nikada nije dovršen ili da NVSC nije službeno dopustio stavljanje aplikacije na raspolaganje široj javnosti ili odobrio posljednju verziju aplikacije. Smatram da se nijedna od tih okolnosti sama po sebi ne protivi zaključku prema kojem je NVSC djelovao kao „voditelj obrade” u smislu članka 4. točke 7. OUZP‑a u kontekstu glavnog postupka. Naime, one nisu dovoljne za pobijanje zaključka prema kojem je NVSC zapravo imao ovlasti odrediti svrhe i sredstva obrade osobnih podataka do koje je došlo. Isto tako, čini mi se da je činjenica da se NVSC navodi kao voditelj obrade u politici o povjerljivosti verzije aplikacije KARANTINAS koju je javnost mogla preuzeti ili da je ta verzija mobilne aplikacije sadržavala poveznice prema tom subjektu relevantna, ali nije odlučujuća kada je riječ o utjecaju koji je taj subjekt stvarno izvršavao.
30.
Nasuprot tomu, smatram da su dokazi kojima raspolaže sud koji je uputio zahtjev, a koji pokazuju da je NVSC odlučio o tome koju vrstu osobnih podataka aplikacija KARANTINAS treba prikupljati te od kojih ispitanika i/ili o drugim ključnim aspektima obrade, dovoljni da se utvrdi da je taj subjekt odredio „sredstva” obrade. Nadalje, smatram da je činjenica da je aplikacija KARANTINAS razvijena kako bi se ispunio cilj koji je utvrdio NVSC, odnosno kako bi se odgovorilo na pandemiju bolesti COVID-19, i da je ITSS redovito mijenjao funkcioniranje aplikacije kako bi odgovorio na potrebe koje je utvrdio NVSC, u skladu s uputama tog subjekta, dovoljna da se zaključi da je taj subjekt odredio „svrhe” te obrade.
31.
S obzirom na navedeno, čini mi se da, kako bi se utvrdilo može li se subjekt kao što je NVSC smatrati „voditeljem obrade” u smislu članka 4. točke 7. OUZP‑a, sud koji je uputio zahtjev treba utvrditi i je li, ne dovodeći u pitanje utjecaj koji je NVSC imao u fazi razvoja aplikacije KARANTINAS, odluka o stavljanju te mobilne aplikacije na raspolaganje javnosti i, stoga, o obradi osobnih podataka stvarno donesena uz (izričitu ili prešutnu) suglasnost tog subjekta (neovisno o činjenici da ta suglasnost nije službeno ili formalno dana).
32.
Naime, kao što to jasno proizlazi iz definicije pojma „voditelj obrade” iz članka 4. točke 7. OUZP‑a, utjecaj koji izvršava voditelj obrade treba se odnositi na samu obradu osobnih podataka, a ne samo na prethodne korake. Fizička ili pravna osoba ili subjekt ne postaju „voditelj obrade” na temelju same činjenice da pokreću razvoj mobilne aplikacije ili definiraju parametre te aplikacije (ili nekog drugog alata za prikupljanje podataka). Njihove radnje trebaju doista biti povezane s obradom osobnih podataka i stoga trebaju dati izričitu ili prešutnu suglasnost za to da se alat o kojem je riječ upotrijebi za takvu obradu.
33.
Sud je ustrajao na tom zahtjevu u presudi Fashion ID (
13
), u kojoj je izričito naveo da je odgovornost voditelja obrade ograničena na postupak ili skup postupaka obrade osobnih podataka čiju je svrhu i sredstva stvarno utvrdio (
14
). Iz toga slijedi da se utvrđivanje svrha i sredstava mora odnositi izravno na relevantni postupak ili skup postupaka koji uključuju obradu osobnih podataka.
34.
Prema mojem mišljenju, iz tih zaključaka proizlazi da se subjekt kao što je NVSC, koji pokreće razvoj mobilne aplikacije, može smatrati „voditeljem obrade” u smislu članka 4. točke 7. OUZP‑a samo u situaciji u kojoj postoji dovoljno činjeničnih, a ne formalnih, elemenata na temelju kojih nacionalni sudovi mogu zaključiti da je takav subjekt stvarno utjecao na „svrhe i sredstva” te obrade i da je stvarno dao suglasnost za stavljanje mobilne aplikacije na raspolaganje javnosti i, posljedično, za obradu osobnih podataka. Podložno provjerama koje mora izvršiti sud koji je uputio zahtjev, smatram da NVSC ispunjava te zahtjeve.
2. Kada se dva subjekta mogu smatrati zajedničkim voditeljima obrade? (peto pitanje)
35.
Peto pitanje odnosi se na uvjete koji trebaju biti ispunjeni kako bi se dva subjekta (ili više njih) moglo smatrati zajedničkim voditeljima obrade. Prema mojem shvaćanju, sud koji je uputio zahtjev traži pojašnjenje tumačenja tog pojma jer dvoji o tome mogu li se u situaciji o kojoj je riječ u glavnom postupku NVSC i ITSS smatrati „zajedničkim voditeljima obrade” i mogu li kao takvi biti solidarno odgovorni za prouzročenu štetu (
15
) i/ili može li im se solidarno izreći novčana kazna za povrede pravila o zaštiti podataka počinjene kada je javnosti omogućeno preuzimanje aplikacije KARANTINAS. U tom pogledu napominjem da je, kao što sam to naveo u točki 16. ovog mišljenja, Inspekcija zapravo utvrdila da su taj subjekt i to društvo odgovorni te im je izrečena novčana kazna u skladu s člankom 83. OUZP‑a za počinjene povrede kao zajedničkim voditeljima obrade.
36.
U skladu s člankom 26. stavkom 1. OUZP‑a „zajednički voditelji obrade” postoje ako dvoje ili više voditelja obrade zajednički odrede svrhe i sredstva obrade. Stoga svaki od zajedničkih voditelja obrade treba samostalno ispunjavati kriterije navedene u definiciji pojma „voditelj obrade” iz članka 4. točke 7. te uredbe (
16
). Osim toga, zajednički voditelji obrade trebaju imati određeni međusobni odnos s obzirom na to da se njihov utjecaj na obradu treba izvršavati zajednički.
37.
Sud je naveo da postojanje zajedničkog vođenja obrade ne znači nužno jednaku odgovornost ili sudjelovanje različitih uključenih osoba ili subjekata. Naprotiv, zajednički voditelji obrade mogu biti uključeni u obradu u različitim fazama, tako da razinu odgovornosti svakog od njih valja procjenjivati vodeći računa o svim relevantnim okolnostima svakog pojedinog slučaja (
17
). Osim toga, u slučaju postojanja zajedničke odgovornosti više subjekata za istu obradu ne zahtijeva se da svaki od njih ima pristup osobnim podacima o kojima je riječ (
18
). Važno je, međutim, da oni zajednički sudjeluju u određivanju „svrha i sredstava” obrade.
38.
U tom pogledu napominjem da, kao što se to navodi u Smjernicama 07/2020, takvo zajedničko sudjelovanje može postojati u različitim oblicima. Ono može proizlaziti iz zajedničke odluke koju donose dva subjekta ili više njih ili biti rezultat usklađenih odluka tih subjekata. Kada je to slučaj, važno je samo da se odluke međusobno nadopunjuju i da su neophodne za to da bi se obrada odvijala na takav način da imaju konkretan učinak na određivanje svrha i sredstava obrade, što u biti znači da obrada ne bi bila moguća bez sudjelovanja obiju strana (
19
).
39.
U tom kontekstu sud koji je uputio zahtjev pita protivi li se činjenica da se dva voditelja obrade (in casu, NVSC i ITSS) nisu formalno dogovorili u pogledu svrha i sredstava obrade i/ili se čini da nisu na neki drugi način koordinirali svoje radnje tome da ih se može smatrati „zajedničkim voditeljima obrade”.
40.
Prema mojem shvaćanju, dvojbe suda koji je uputio zahtjev u tom pogledu proizlaze iz činjenice da, u skladu s člankom 26. stavkom 1. OUZP‑a, zajednički voditelji obrade međusobnim dogovorom trebaju na transparentan način odrediti svoje odgovornosti u pogledu poštovanja obveza iz te uredbe. Osim toga, u uvodnoj izjavi 79. te uredbe navodi se da se zahtijeva „jasno utvrđivanje dužnosti”, među ostalim u slučajevima u kojima voditelj obrade određuje svrhe i sredstva obrade zajedno s drugim voditeljima obrade. Međutim, prema mojem mišljenju, te se obveze i zahtjevi primjenjuju na zajedničke voditelje obrade tek kad ih se može smatrati takvima. Oni nisu dio kriterija koji trebaju biti ispunjeni kako bi ih se moglo smatrati takvima.
41.
Kao što sam naveo u točki 36. ovog mišljenja, zajedničko vođenje obrade ovisi o ispunjenju samo dvaju objektivnih uvjeta. Kao prvo, svaki zajednički voditelj obrade treba ispunjavati kriterije navedene u definiciji pojma „voditelj obrade” iz članka 4. točke 7. OUZP‑a. U spisu predmeta nema dovoljno informacija na temelju kojih bi se moglo utvrditi treba li u glavnom postupku ITSS smatrati „voditeljem obrade” u smislu te odredbe. Međutim, s obzirom na zaključke koje sam iznio u prethodnom odjeljku, pri čemu sud koji je uputio zahtjev to treba provjeriti, čini mi se da barem NVSC, ako ne i taj subjekt i ITSS, ispunjava uvjete da bi ga se smatralo „voditeljem obrade” u smislu te odredbe. Kao drugo, utjecaj voditeljâ obrade na obradu treba se izvršavati zajednički (što znači da se treba izvršavati u skladu s pravnim kriterijima i sudskom praksom koje sam naveo u točkama 37. i 38. ovog mišljenja). U tom pogledu objasnio sam da zajedničko sudjelovanje u obradi može postojati u različitim oblicima i ne treba čak ni proizlaziti iz zajedničke odluke uključenih strana. Prema mojem mišljenju, konkretan i praktičan pristup kao takav potreban kako bi se utvrdilo treba li osobu ili subjekt smatrati „voditeljem obrade” u smislu članka 4. točke 7. OUZP‑a primjenjuje se i na zajedničko vođenje obrade (
20
).
42.
S obzirom na te elemente, smatram, kao prvo, da nepostojanje bilo kakvog sporazuma ili dogovora ili čak zajedničke odluke između dvaju ili više voditelja obrade kao što su NVSC i ITSS ne može samo po sebi isključiti zaključak prema kojem su oni „zajednički voditelji obrade” u smislu članka 4. točke 7. OUZP‑a, u vezi s člankom 26. stavkom 1. te uredbe. U tom pogledu dodajem da je EDPB naveo da se ugovorni dogovori, iako mogu biti korisni za ocjenu zajedničkog vođenja obrade, uvijek trebaju provjeriti s obzirom na činjenične okolnosti odnosa između strana (
21
).
43.
Kao drugo, smatram i da samo zato što se čini da NVSC i ITSS nisu koordinirali svoje radnje ili na neki drugi način surađivali, osim toga što nisu postigli nikakav sporazum, dogovor ili zajedničku odluku, ne znači da ih se ne može smatrati „zajedničkim voditeljima obrade”. Čak i ako takva koordinacija ili suradnja postoje, to je nebitno za pitanje o tome je li odnos između tih dvaju subjekata odnos zajedničkog vođenja obrade. Doista, lako se može zamisliti da suradnja ili koordinacija mogu postojati između dvaju ili više subjekata, a da oni uopće nisu zajednički voditelji obrade. Primjerice, dva odvojena voditelja obrade mogla bi koordinirati svoje radnje ili surađivati s namjerom međusobnog prijenosa osobnih podataka. To ih, međutim, ne bi činilo „zajedničkim voditeljima obrade” u smislu članka 4. točke 7. i članka 26. stavka 1. OUZP‑a (
22
). Ono što je bitno, kako sam objasnio u točki 38. ovog mišljenja, jest da obrada ne bi bila moguća bez sudjelovanja obiju stranaka jer obje imaju konkretan utjecaj na određivanje svrhe i sredstava obrade.
3. Zaključak o tumačenju pojma „voditelj obrade” i situacijama zajedničkog vođenja obrade
44.
S obzirom na prethodno navedeno, čini mi se da, s jedne strane, pri čemu sud koji je uputio zahtjev to treba provjeriti, subjekt kao što je NVSC ispunjava uvjete navedene u članku 4. točki 7. OUZP‑a kako bi ga se smatralo „voditeljem obrade”. S druge strane, o prirodi odnosa između NVSC‑a i ITSS‑a ovisi to mogu li se oni smatrati „zajedničkim voditeljima obrade”, u skladu s kriterijima koje sam naveo u prethodnom odjeljku, ili se mogu smatrati „voditeljem obrade” odnosno „izvršiteljem obrade”, što je na sudu koji je uputio zahtjev da ocijeni.
45.
U tom pogledu dodajem da je priroda odnosa između NVSC‑a i ITSS‑a (odnosno pitanje jesu li oni „zajednički voditelji obrade” ili „voditelj obrade” odnosno „izvršitelj obrade”) relevantna za šesto pitanje. Stoga ću se vratiti na zaključke koje sam iznio u pogledu petog pitanja kada budem iznosio razmatranja povezana sa šestim pitanjem.
B.
Pojam „obrada” (četvrto pitanje)
46.
Četvrtim pitanjem sud koji je uputio zahtjev u biti pita obuhvaća li definicija pojma „obrada” iz članka 4. točke 2. OUZP‑a situaciju u kojoj se osobni podaci upotrebljavaju tijekom faze testiranja mobilne aplikacije (
23
). Iz zahtjeva za prethodnu odluku shvaćam da je aplikacija KARANTINAS prošla fazu testiranja prije nego što je javnosti omogućeno njezino preuzimanje. Prema mojem shvaćanju, četvrto se pitanje stoga odnosi na situaciju različitu od one koja čini srž ostalih pitanja upućenih Sudu, koja se sva odnose na obradu osobnih podataka nakon završetka faze testiranja, kada je aplikacija KARANTINAS stavljena na raspolaganje javnosti. Konkretno, sud koji je uputio zahtjev želi znati može li se upotrebu osobnih podataka tijekom te faze testiranja smatrati „obradom” u smislu članka 4. točke 2. OUZP‑a i može li kao takva dovesti do potencijalne odgovornosti uključenih voditelja obrade i/ili izvršitelja obrade.
47.
U članku 4. točki 2. OUZP‑a pojam „obrada” definira se kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima […]” (
24
).
48.
Iz te formulacije (konkretno, iz upotrebe riječi „svaki” i općenitih pojmova kao što su „postupak” ili „skup postupaka”) shvaćam da ta odredba ima široko značenje kako bi obuhvatila što više situacija u kojima se upotrebljavaju osobni podaci. Netaksativan popis takvih situacija, predviđen u toj odredbi, potvrđuje to tumačenje s obzirom na različite postupke koje ona sadržava (
25
).
49.
Osim toga, iako iz prethodnog odjeljka proizlazi da je definicija pojma „voditelj obrade” u smislu članka 4. točke 7. te uredbe usko povezana sa svrhama obrade osobnih podataka („razlozi” zašto se osobni podaci prikupljaju), to nije slučaj s definicijom iz članka 4. točke 2. te uredbe. Razlozi zbog kojih se neki postupak ili skup postupaka provodi kao takvi u načelu nisu relevantni za pitanje treba li ih smatrati „obradom” u smislu te odredbe. Iz toga slijedi, prema mojem mišljenju, da činjenica prikupljaju li se osobni podaci u svrhu testiranja informatičkih sustava ugrađenih u mobilnu aplikaciju ili u neku drugu svrhu ne utječe na pitanje može li se postupak o kojem je riječ smatrati „obradom”.
50.
U tom pogledu nadalje napominjem da je „upotreba” osobnih podataka (bez daljnjeg navođenja i stoga neovisno o svrsi upotrebe) navedena među postupcima ili skupovima postupaka koji predstavljaju „obradu” (
26
). Osim toga, članak 4. točka 2. OUZP‑a ne sadržava nikakvu izričitu iznimku, odstupanje ili isključenje u pogledu postupaka koji se odnose na upotrebu osobnih podataka za testiranje informatičkih sustava. Iz toga slijedi da ništa ne sprečava da se upotreba osobnih podataka radi provođenja takvog testiranja smatra „obradom” u smislu te odredbe, već upravo suprotno.
51.
S obzirom na te elemente, smatram da definicija pojma „obrada” iz članka 4. točke 2. OUZP‑a obuhvaća situaciju u kojoj se osobni podaci upotrebljavaju tijekom faze testiranja mobilne aplikacije.
52.
Na moj zaključak u tom pogledu ne utječe sama činjenica da su osobni podaci koji su pruženi u svrhe testiranja informatičkih sustava ugrađenih u mobilnu aplikaciju možda bili pseudonimizirani (
27
). Jedina okolnost u kojoj se OUZP ne bi primjenjivao jest da se informacije koje se unose u mobilnu aplikaciju sastoje samo od anonimnih informacija koje se „ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke” ili od osobnih podataka koji su „učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi”. Međutim, napominjem da se u predmetu u glavnom postupku ne čini, na temelju informacija iz spisa predmeta, da su se podaci upotrijebljeni u fazi testiranja sastojali od takvih anonimiziranih podataka (
28
).
53.
S obzirom na prethodno navedeno, smatram da definicija pojma „obrada” iz članka 4. točke 2. OUZP‑a obuhvaća situaciju u kojoj se osobni podaci upotrebljavaju tijekom faze testiranja mobilne aplikacije, osim ako su ti podaci učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Činjenica prikupljaju li se osobni podaci u svrhu testiranja informatičkih sustava ugrađenih u mobilnu aplikaciju ili u neku drugu svrhu ne utječe na pitanje može li se postupak o kojem je riječ smatrati „obradom” (
29
).
54.
Nakon tih pojašnjenja posvetit ću se ključnom pitanju u ovom predmetu, koje se odnosi na uvjete pod kojima se voditelju obrade ili izvršitelju obrade može izreći upravna novčana kazna u skladu s člankom 83. OUZP‑a.
C.
Upravne novčane kazne izrečene u skladu s člankom 83. OUZP‑a (šesto pitanje)
55.
Prije donošenja OUZP‑a sankcije za povredu pravila o zaštiti podataka u velikoj su mjeri bile prepuštene ocjeni država članica u skladu s njihovom postupovnom autonomijom i autonomijom pravnih sredstava (
30
). Upravne novčane kazne uvedene člankom 83. te uredbe stoga predstavljaju relativno nov „razvoj” prava Unije o zaštiti podataka. Radna skupina iz članka 29. opisala ih je kao „glavni […] element u novom sustavu izvršavanja pravila […]” (
31
). Iako Sud još nije tumačio tu odredbu, nadzorna tijela već je primjenjuju, ponekad za izricanje visokih novčanih kazni voditeljima obrade ili izvršiteljima obrade (
32
).
56.
Člankom 83. OUZP‑a predviđa se dvostupanjski sustav sankcija, ovisno o konkretnoj vrsti povrijeđene odredbe. Dok se prvi stupanj, definiran u članku 83. stavku 4. te uredbe, primjenjuje na situacije u kojima voditelj obrade ili izvršitelj obrade povređuje svoje opće obveze, kao i određene posebne obveze, drugi stupanj odnosi se, kao što se navodi u članku 83. stavku 5. OUZP‑a, na teža kršenja, kao što su, među ostalim, kršenja osnovnih načela za obradu, prava ispitanika i pravila koja se odnose na prijenos osobnih podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji.
57.
Za oba stupnja nadležna nacionalna tijela trebaju, nakon što utvrde da je povrijeđena određena odredba OUZP‑a, provesti dvije ocjene. Kao prvo, trebaju utvrditi treba li izreći novčanu kaznu i, kao drugo, ako su utvrdili da treba, moraju odrediti iznos te novčane kazne. Te se ocjene trebaju provesti u svakom pojedinačnom slučaju s obzirom na različite čimbenike navedene u članku 83. stavku 2. OUZP‑a. Ti čimbenici uključuju i taj „ima li kršenje obilježje namjere ili nepažnje” (članak 83. stavak 2. točka (b) OUZP‑a).
58.
Svojim šestim pitanjem sud koji je uputio zahtjev u biti pita može li se voditelju obrade izreći upravna novčana kazna ako povredu pravila o zaštiti podataka nije počinio namjerno ili iz nepažnje i ako nezakonitu obradu osobnih podataka nije proveo sam voditelj obrade, nego izvršitelj obrade. Ako se vratim na zaključke koje sam prethodno iznio u pogledu petog pitanja, čini mi se da je šesto pitanje postavljeno za slučaj da se u glavnom postupku NVSC i ITSS ne mogu smatrati „zajedničkim voditeljima obrade” u smislu članka 4. točke 7. OUZP‑a, u vezi s člankom 26. stavkom 1. te uredbe, i da ih treba smatrati „voditeljem obrade” odnosno „izvršiteljem obrade”. U tom konkretnom okviru sud koji je uputio zahtjev traži pojašnjenje okolnosti u kojima se NVSC‑u može izreći novčana kazna u skladu s člankom 83. OUZP‑a.
59.
Međutim, napominjem da se u šestom pitanju kao relevantna odredba navodi samo članak 83. stavak 1. OUZP‑a. Ipak, smatram da problematika tog pitanja zahtijeva da se članak 83. te uredbe razmotri u cijelosti i, osobito, kao što sam objasnio u točki 57. ovog mišljenja, da se uzme u obzir njezin članak 83. stavak 2. točka (b), s obzirom na to da se ta odredba odnosi na to „ima li kršenje obilježje namjere ili nepažnje”. Stoga ću razmotriti šesto pitanje na način da ispitam tumačenje članka 83. OUZP‑a u cjelini, a ne samo njegova članka 83. stavka 1.
60.
Prema mojem mišljenju, to se pitanje sastoji od dva dijela. Kao prvo, njime se od Suda traži da utvrdi dopušta li se člankom 83. OUZP‑a da se upravne novčane kazne općenito izriču voditeljima obrade ili izvršiteljima obrade ako ne postoji mens rea (subjektivni element – krivnja). Sud koji je uputio zahtjev u biti želi znati može li se NVSC‑u izreći novčana kazna samo zato što je povrijedio obveze koje ima na temelju toga što je voditelj obrade (objektivna odgovornost) ili je za to nužan element krivnje za počinjenje povrede (ili povreda) o kojoj je riječ. Kao drugo, traži pojašnjenje toga utječe li činjenica da nezakonitu obradu osobnih podataka nije proveo sam voditelj obrade, nego izvršitelj obrade, na bilo koji način na mogućnost nadzornih tijela da voditelju obrade izreknu novčanu kaznu.
61.
Ta ću dva aspekta razmotriti jedan za drugim.
1. Prvi aspekt: nužnost utvrđivanja krivnje
62.
Člankom 83. OUZP‑a zahtijeva se da svako izricanje upravne novčane kazne zbog kršenja pravila o zaštiti podataka bude „učinkovito, proporcionalno i odvraćajuće”. To jasno proizlazi iz stavka 1. te odredbe. Međutim, u tom se stavku ne navodi može li se takva novčana kazna izreći samo ako se utvrdi i krivnja, odnosno je li „krivnja” preduvjet za izricanje svake upravne kazne.
63.
S druge strane, u stavku 2. točki (b) te odredbe činjenica „ima li kršenje obilježje namjere ili nepažnje” navodi se kao jedan od elemenata (
33
) kojima nadzorna tijela moraju posvetiti „dužnu pozornost” u svakom pojedinom slučaju. U skladu s člankom 83. stavkom 2. točkom (k) te uredbe, te elemente treba shvatiti kao „otegotne ili olakotne čimbenike” i oni nisu taksativno navedeni.
64.
U tom kontekstu, smatram da postoje dva moguća načina za razumijevanje članka 83. OUZP‑a.
65.
S jedne strane, moglo bi se smatrati da, iako se odluka o izricanju novčane kazne i njezin iznos trebaju utvrditi uzimajući u obzir stupanj krivnje o kojem je riječ (tako da se, primjerice, viša novčana kazna načelno treba izreći ako je povreda posljedica namjernog postupanja i, nasuprot tomu, postupanje iz nepažnje treba dovesti do niže novčane kazne), ništa ne sprečava da se novčana kazna izrekne i kad ne postoji krivnja, ako se izvršitelj obrade ili voditelj obrade može smatrati odgovornim za povredu. To tumačenje potkrijepljeno je tumačenjem članka 83. stavka 2. točaka (b) i (k) prema kojem bi navođenjem različitih vrsta krivnje (namjerne ili izazivane nepažnjom) kao „otegotnih ili olakotnih [čimbenika]” te odredbe mogle podrazumijevati da ta krivnja općenito nije preduvjet za izricanje novčane kazne.
66.
S druge strane, moglo bi se također tvrditi, kao što to čini Komisija u ovom predmetu, da se nepažnja osobe ili subjekta koji je počinio povredu treba utvrditi kao minimalni uvjet prije izricanja novčane kazne. Taj je pristup potkrijepljen drukčijim, opreznijim tumačenjem članka 83. stavka 2. točaka (b) i (k) OUZP‑a, prema kojem se tim odredbama od nadzornih tijela zahtijeva da razlikuju olakotni čimbenik (nepažnju) od otegotnog čimbenika (namjere), ali se ne upućuje na to da bi se novčana kazna mogla izreći kada krivnja uopće ne postoji.
67.
Komisija je izričito odabrala to tumačenje u svojem prvotnom prijedlogu koji je doveo do donošenja OUZP‑a (
34
), u kojem je predložila da se sustav novčanih kazni organizira kao trostupanjski sustav. Za svaki stupanj Komisija je predložila da se novčane kazne mogu izreći samo onome „tko je namjerno ili iz nepažnje” (
35
) počinio jednu ili više navodnih povreda. Komisija je stoga jasno predvidjela krivnju kao preduvjet za izricanje takve novčane kazne (
36
).
68.
Iako smatram da se oba pristupa mogu opravdati na temelju tekstualnog tumačenja članka 83. stavka 2. OUZP‑a jer svaki od njih odgovara shvaćanju elementa „ima li kršenje obilježje namjere ili nepažnje” kao „otegotnog” ili „olakotnog” čimbenika, smatram da samo drugi pristup pravilno odražava namjeru zakonodavca Unije. Na taj me zaključak navodi nekoliko razloga.
a) Razlozi zbog kojih je nužno utvrditi krivnju
69.
Kao prvo, napominjem da nekoliko čimbenika navedenih u članku 83. stavku 2. OUZP‑a sadržava određenu formulaciju teksta iz koje se može zaključiti da se ti čimbenici ne mogu primjenjivati u svim, nego samo u nekim slučajevima. Konkretno, članak 83. stavak 2. točke (c), (e) i (k) počinju izrazom „svakoj” ili „svim” („svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu […]”; „svim relevantnim prijašnjim kršenjima […]”; „svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja […]”), što upućuje na to da, iako nadzorna tijela uvijek trebaju uzeti u obzir činjenicu postoji li ikakva olakotna radnja, prijašnje kršenje ili drugi relevantni otegotni ili olakotni čimbenik kad takvi elementi postoje ili su dokazani, zapravo mogu postojati situacije u kojima istih elemenata jednostavno nema, a ipak, tijelo nadležno za zaštitu podataka može odlučiti izreći novčanu kaznu (ili, upravo suprotno, ne izreći novčanu kaznu). Slično tomu, napominjem da je i članak 83. stavak 2. točka (i) OUZP‑a formuliran na nesustavan način jer se tom odredbom zahtijeva razmatranje toga je li voditelj obrade ili izvršitelj obrade poštovao mjere iz članka 58. stavka 2. te uredbe, ali samo„ako su protiv voditelja obrade ili izvršitelja obrade […] prethodno izrečene [takve] mjere”.
70.
Nasuprot tomu, u članku 83. stavku 2. točki (b) navodi se „ima li kršenje obilježje namjere ili nepažnje” (
37
). Čini mi se da je kao takav dio čimbenika koji trebaju postojati i, slikovito rečeno, čija polja treba „označiti kvačicom” u svim slučajevima prije nego što se novčana kazna može izreći, slično kao „prirod[a], težin[a] i trajanj[e] kršenja […]” (članak 83. stavak 2. točka (a)), „kategorij[e] osobnih podataka na koje kršenje utječe” (članak 83. stavak 2. točka (g)) i „nači[n] na koji je nadzorno tijelo doznalo za kršenje […]” (članak 83. stavak 2. točka (h)). Prema mojem mišljenju, i ti drugi čimbenici trebaju „postojati” u svim slučajevima: primjerice, „priroda, težina i trajanje kršenja” mogu se znatno razlikovati od slučaja do slučaja (te se stoga mogu smatrati razlogom „za” izricanje novčane kazne ili razlogom „protiv” izricanja novčane kazne). Ipak, u svim slučajevima postojat će konkretna priroda, određena težina i određeno trajanje kršenja koje treba uzeti u obzir. Prema mojem mišljenju, to je prvi pokazatelj da su upravne novčane kazne uvedene člankom 83. OUZP‑a kako bi se izricale samo u situacijama u kojima je navodno kršenje počinjeno namjerno ili iz nepažnje (
38
).
71.
Kao drugo, napominjem da, iako se u članku 83. stavku 2. OUZP‑a izričito ne navodi da je do kršenja moralo doći „namjerno ili iz nepažnje”, isto se ne može reći za stavak 3. te odredbe, koji sadržava opće pravilo kojim se zabranjuje kumuliranje upravnih novčanih kazni. U tom se stavku navodi samo situacija u kojoj je kršenje o kojem je riječ počinjeno „namjerno ili iz nepažnje”.
72.
Prema mojem mišljenju, iz toga logično proizlazi da članak 83. stavak 2. OUZP‑a treba tumačiti na način da se novčana kazna može izreći samo ako je navodna povreda počinjena namjerno ili iz nepažnje. Naime, ako bi se područje primjene članka 83. stavaka 2. i 3. OUZP‑ a razlikovalo, tada bi bilo moguće kumulativno izreći novčane kazne za manje teške povrede (odnosno povrede počinjene bez ikakve krivnje) jer iako bi ipak mogle dovesti do izricanja novčane kazne u skladu s prvom od tih odredbi (članak 83. stavak 2.) te povrede ne bi bile obuhvaćene drugom (članak 83. stavak 3.). Međutim, isto ne bi bilo moguće za povrede počinjene iz nepažnje ili namjerno jer bi se na sve te povrede primjenjivalo pravilo protiv kumuliranja iznosa iz članka 83. stavka 3. te uredbe. Takav bi ishod očito bio u suprotnosti s temeljnim načelom sustava sankcija uspostavljenog OUZP‑om, prema kojem bi teške povrede načelno trebalo kažnjavati strože od manje teških, a ne obrnuto.
73.
Kao treće, napominjem da novčane kazne izrečene u skladu s člankom 83. OUZP‑a mogu dovesti do strogog kažnjavanja. Naime, prvi stupanj, koji je obuhvaćen člankom 83. stavkom 4. te uredbe, može dovesti do izricanja novčanih kazni u iznosu do 10000000 eura, ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće. Drugim stupnjem predviđaju se novčane kazne u iznosu do 20000000 eura, ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu (ponovno, ovisno o tome što je veće).
74.
Posljedično, čini mi se da novčane kazne izrečene u skladu s člankom 83. OUZP‑a imaju represivnu svrhu, barem u nekim situacijama (
39
), i vrlo su stroge, tako da mogu biti kaznene prirode (
40
) te su stoga obuhvaćene područjem primjene članka 49. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) (
41
).
75.
Uzimajući u obzir te elemente i, osobito, kaznenu narav novčanih kazni izrečenih primjenom članka 83. OUZP‑a, moglo bi se tvrditi da bi omogućavanje izricanja takvih novčanih kazni u odsustvu krivnje bilo nespojivo sa zahtjevom iz stavka 1. te odredbe prema kojem izricanje novčanih kazni u svim slučajevima ne treba biti samo „učinkovito” i „odvraćajuće”, nego i „proporcionalno”. Drugim riječima, bilo bi neproporcionalno izricati novčane kazne u slučajevima u kojima nije utvrđena čak ni nepažnja. Međutim, prema mojem mišljenju, taj je argument teško braniti, s obzirom na to da je Sud već utvrdio da sustav kazni i sankcija utemeljen na objektivnoj odgovornosti, čak i ona kaznene prirode, nije sam po sebi neproporcionalan u odnosu na željene ciljeve, kada može potaknuti osobe o kojima je riječ na poštovanje odredbi uredbe i kada ti ciljevi predstavljaju opći interes kojim je moguće opravdati uspostavu takvog sustava (
42
). Osim toga, Europski sud za ljudska prava (ESLJP) presudio je, u pogledu članka 7. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda (EKLJP) (koji odgovara članku 49. Povelje) (
43
), da, iako kazna predviđena tom odredbom općenito zahtijeva postojanje subjektivne veze na temelju koje se može otkriti element odgovornosti u postupanju osobe koja je fizički počinila kazneno djelo, taj zahtjev ne isključuje postojanje određenih oblika objektivne odgovornosti (
44
).
76.
S obzirom na navedeno, iz te sudske prakse shvaćam da je za izricanje kaznene sankcije, kao opće pravilo, potreban mens rea i da stoga objektivna odgovornost predstavlja neku vrstu „iznimke” od tog općeg pravila s obzirom na to da se mora opravdati uzimajući u obzir ciljeve koji se uredbom žele postići.
77.
Promatrajući OUZP u cjelini, čini mi se da je zakonodavac Unije upravne novčane kazne smatrao samo jednim od sredstava predviđenih tim instrumentom za osiguranje njezina djelotvornog poštovanja. Naime, novčane kazne trebaju se izreći „uz mjere ili umjesto mjera” koje se navode u članku 58. stavku 2. te uredbe, kojim se nadzornim tijelima dodjeljuje niz korektivnih ovlasti (kao što je ovlast izdavanja upozorenja, opomena ili naredbi) (
45
). Osim toga, u situacijama u kojima nije izrečena upravna novčana kazna u skladu s člankom 83. OUZP‑a, nadzorna tijela imaju mogućnost izricanja drugih sankcija u skladu s člankom 84. te uredbe (
46
).
78.
Prema mojem mišljenju, tim se odredbama pojašnjava da zakonodavac Unije prilikom donošenja te uredbe nije namjeravao sankcionirati svaku povredu pravila o zaštiti podataka upravnom novčanom kaznom. Umjesto toga namjeravao je predvidjeti fleksibilan i raznovrstan sustav kazni i sankcija. To se potvrđuje u uvodnoj izjavi 148. OUZP‑a, kojom se predviđa da se nadzorna tijela mogu suzdržati od izricanja upravne novčane kazne i umjesto toga izdati upozorenje u slučaju „lakšeg kršenja ili ako bi moguća novčana kazna nerazmjerno opteretila fizičku osobu”. U tom kontekstu smatram da je ograničavanje primjene članka 83. OUZP‑a na situacije u kojima se utvrdila nepažnja, kao minimalni zahtjev, u skladu s tim ciljevima i općim smislom tih različitih odredbi, prema kojima izricanje upravnih novčanih kazni treba biti ograničeno na određene vrste povreda.
79.
Čini mi se i da je zakonodavac Unije pokazao da u OUZP želi uvesti objektivnu odgovornost time što je upotrijebio posebnu formulaciju teksta koja ne postoji u članku 83. te uredbe. Primjerice, za građanskopravnu odgovornost (odnosno odgovornost voditeljâ obrade i izvršiteljâ obrade prema ispitanicima), koja je obuhvaćena člankom 82. OUZP‑a, zakonodavac Unije naveo je da voditelji obrade i izvršitelji obrade imaju strogu obvezu nadoknaditi štetu koju prouzroče ispitanicima, osim ako dokažu da ni na koji način nisu odgovorni za događaje koji su prouzročili štetu (
47
). Nasuprot tomu, članak 83. te uredbe ne sadržava formulaciju sličnu članku 84. OUZP‑a. Prema mojem mišljenju, to potvrđuje da zakonodavac Unije nije namjeravao tom odredbom uvesti sustav novčanih kazni utemeljen na objektivnoj odgovornosti.
80.
Kao četvrto, a možda i najvažnije, smatram da je u praksi prag za povredu OUZP‑a iz nepažnje, u smislu članka 83. stavka 2. točke (b) te uredbe, u svakom slučaju toliko nizak da je teško zamisliti situacije u kojima neće biti moguće izreći novčanu kaznu samo zato što taj element nije ispunjen. Stoga smatram da sama činjenica da se prije izricanja novčane kazne na temelju članka 83. te uredbe mora utvrditi namjera ili nepažnja ne ugrožava cilj zakonodavca Unije koji se sastoji u osiguranju učinkovite provedbe pravila o zaštiti podataka iz te uredbe, upravo suprotno.
81.
Neki su u tom pogledu tvrdili da sâmo nepoduzimanje bilo kakve radnje u situaciji u kojoj voditelj obrade ili izvršitelj obrade samo dvoji o zakonitosti izvršene obrade već predstavlja svjesno prihvaćanje moguće povrede OUZP‑a, a time i krajnju nepažnju (
48
). Osim toga, Radna skupina iz članka 29. navela je da povreda iz nepažnje na mnogo načina odgovara „nenamjernoj” povredi jer, prema njezinu mišljenju, takva povreda može postojati kad nije postojala namjera da se prouzroči povreda i kad je voditelj obrade ili izvršitelj obrade samo povrijedio svoju obvezu dužne pažnje (
49
). Konkretno, navela je da čak i obična „ljudska pogreška” (
50
) može biti znak nepažnje.
82.
Dolazim do dvaju zaključaka. Kao prvo, linija između potpuno nenamjerne i neskrivljene povrede te povrede koja je počinjena iz nepažnje zapravo je tanka. Smatram da će nadzorna tijela rijetko imati poteškoća u utvrđivanju dostatnih elemenata prema kojima je navodna povreda počinjena barem iz nepažnje. U tom pogledu napominjem da se u literaturi navodi da je „s obzirom na brojne aktivnosti za podizanje svijesti […] kako bi se osiguralo poštovanje OUZP‑a […], teško zamisliti […] povrede OUZP‑a bez postojanja barem elemenata nepažnje” (
51
). U potpunosti se slažem i podsjećam na to da je cilj OUZP‑a upravo osigurati da voditelji obrade i izvršitelji obrade budu upoznati s pravilima o zaštiti podataka, zbog čega je, prema mojem mišljenju, još teže smatrati da bi do povrede uopće moglo doći bez ikakve krivnje (čak i nepažnje) (
52
).
83.
Kao drugo, taj se rezultat čini potpuno usklađenim s primarnim ciljem OUZP‑a, a to je osigurati postojanu i visoku razinu zaštite pojedinaca u Europskoj uniji (
53
)_. Doista, novčane kazne imaju odvraćajući učinak (
54
). Zahvaljujući tome što potiču voditelje obrade i izvršitelje obrade da poštuju OUZP, one općenito pridonose jačanju zaštite ispitanika te su stoga ključni element u osiguravanju poštovanja njihovih prava (
55
). Prema mojem mišljenju, iz toga slijedi da, iako se „krivnja” ne može zanemariti, stupanj krivnje koji se zahtijeva za primjenu članka 83. te uredbe dovoljno je nizak, kako bi se ispitanicima osigurala odgovarajuća razina zaštite.
84.
Usto, naglasio bih da taj pristup koji predlažem Sudu da usvoji također potvrđuje usklađenost sustava novčanih kazni uspostavljenog tom odredbom s onim utvrđenim u članku 23. stavku 1. Uredbe (EZ) br. 1/2003 (
56
) za povrede prava tržišnog natjecanja, što se također primjenjuje samo ako su utvrđeni namjera ili nepažnja. Činjenica da je tekst članka 83. OUZP‑a nadahnut tim drugim sustavom novčanih kazni potvrđuje se njegovom uvodnom izjavom 150., u kojoj se navodi da „[k]ada se upravne kazne izriču poduzetniku, poduzetnik bi se u te svrhe trebao shvatiti [kao] poduzetnik u skladu s člancima 101. i 102. UFEU‑a”, kao i drugim sličnostima između tih dvaju sustava novčanih kazni, kao što je činjenica da se iznos novčanih kazni za poduzetnike može temeljiti, u obama sustavima, na njihovu prometu. Napominjem i da više čimbenika navedenih u članku 83. stavku 2. OUZP‑a odgovara onima koji su relevantni za određivanje iznosa novčane kazne za povrede prava tržišnog natjecanja (
57
).
85.
Nakon što sam naveo razloge zbog kojih smatram da se krivnja treba utvrditi prije nego što se voditelju obrade ili izvršitelju obrade može izreći novčana kazna u skladu s člankom 83. stavkom 2. OUZP‑a, ostaje mi reći nekoliko riječi o razmatranjima koja su iznijeli Vijeće i litavska vlada. Prema mišljenju tih stranaka, na državama je članicama da odluče je li nužno utvrditi krivnju prije izricanja upravne novčane kazne.
86.
Jednostavno se ne slažem s tom tvrdnjom.
b) Zašto države članice ne raspolažu marginom prosudbe u pogledu nužnosti utvrđivanja krivnje
87.
Jasno mi je da je jedan od temeljnih ciljeva OUZP‑a, a osobito njegova članka 83., bio postizanje veće razine usklađenosti na razini Europske unije u pogledu, konkretno, izricanja novčanih kazni (
58
). Zbog toga smatram da, suprotno onomu što tvrde Vijeće i litavska vlada, zakonodavac Unije nije namjeravao državama članicama prepustiti diskrecijsku ovlast u pogledu nužnosti utvrđivanja krivnje.
88.
Točno je da se dodatni zahtjevi u pogledu postupka koji nadzorna tijela trebaju poštovati pri izricanju novčane kazne mogu predvidjeti nacionalnim propisima (u pogledu pitanja kao što su obavijest o novčanoj kazni i rokovi za podnošenje prigovora, žalba, izvršenje i plaćanje) (
59
). To jasno proizlazi iz članka 83. stavka 8. OUZP‑a, u kojem se navodi da se na izvršavanje ovlasti nadzornog tijela u pogledu izricanja novčanih kazni „primjenjuju […] odgovarajuće postupovne zaštitne mjere”, koje se predviđaju nacionalnim pravom, pod uvjetom da je zajamčeno poštovanje prava Unije (a osobito pravo na djelotvoran pravni lijek i pošteno suđenje).
89.
Međutim, ta se diskrecijska ovlast ne može proširiti na materijalne zahtjeve koji se primjenjuju na izricanje novčane kazne, kao što je stupanj krivnje. Smatram da taj zaključak izravno proizlazi iz više uvodnih izjava te uredbe (
60
) koje upućuju na to da je zakonodavac Unije sustavom upravnih novčanih kazni uspostavljenim člankom 83. OUZP‑a namjeravao postići dosljedne rezultate na cijelom području Europske unije.
90.
Radi cjelovitosti dodajem da je, s obzirom na to da novčane kazne snažno utječu na tržišno natjecanje među poduzetnicima i imaju značajne posljedice za tržište, prema mojem mišljenju, od ključne važnosti da se članak 83. OUZP‑a primjenjuje dosljedno jer bi se u suprotnom njime zapravo moglo pridonijeti narušavanju tržišnog natjecanja među poduzetnicima (
61
).
2. Drugi aspekt: može li se voditelju obrade izreći novčana kazna za povredu počinjenu u kontekstu u kojem nezakonitu obradu nije proveo on, nego izvršitelj obrade?
91.
Drugim dijelom šestog pitanja sud koji je uputio zahtjev u biti pita može li se voditelju obrade izreći novčana kazna u skladu s člankom 83. OUZP‑a u kontekstu u kojem nezakonitu obradu osobnih podataka nije proveo sam voditelj obrade, nego izvršitelj obrade (u ovom slučaju ITSS).
92.
Smatram da na to pitanje treba odgovoriti potvrdno.
93.
U tom pogledu podsjećam na to da, kao što sam naveo u točki 27. ovog mišljenja, voditelj obrade ne treba sam obrađivati osobne podatke, sve dok određuje „razlog i način” provođenja obrade o kojoj je riječ. Nadalje napominjem da se u članku 4. točki 8. OUZP‑a „izvršitelj obrade” definira kao „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade” (
62
).
94.
Prema mojem mišljenju, te definicije potvrđuju to da se u kontekstu primjene OUZP‑a voditelj obrade može smatrati odgovornim i stoga mu se može izreći novčana kazna, u skladu s člankom 83. te uredbe, u situaciji u kojoj se osobni podaci nezakonito obrađuju, a tu nezakonitu obradu nije proveo sam voditelj obrade, nego izvršitelj obrade. Ta mogućnost postoji sve dok takav izvršitelj obrade obrađuje osobne podatke u ime voditelja obrade.
95.
To će biti slučaj sve dok izvršitelj obrade djeluje u okviru ovlasti koje mu je povjerio voditelj obrade i obrađuje podatke u skladu sa zakonitim uputama koje je primio od voditelja obrade (
63
). Međutim, ako izvršitelj obrade prekorači te ovlasti i upotrebljava podatke koje je primio kao izvršitelj obrade za vlastite potrebe i ako je jasno da strane nisu „zajednički voditelji obrade” u smislu članka 4. točke 7. i članka 21. stavka 6. OUZP‑a, smatram da se voditelju obrade ne može izreći novčana kazna, u skladu s člankom 83. te uredbe, za nezakonitu obradu do koje je došlo. (
64
)
96.
Iz toga slijedi da se u predmetu kao što je onaj u glavnom postupku NVSC‑u može izreći novčana kazna na temelju članka 83, OUZP‑a iako je osobne podatke nezakonito obrađivao samo ITSS, a NVSC nije sudjelovao u obradi. Ta je mogućnost otvorena sve dok se može smatrati da je to društvo obrađivalo osobne podatke u ime NVSC‑a, što neće biti slučaj ako je ITSS djelovao izvan zakonitih uputa NVSC‑a ili protivno njima i upotrebljavao osobne podatke za vlastite potrebe te ako je jasno da NVSC i ITSS nisu djelovali kao zajednički voditelji obrade.
V. Zaključak
97.
S obzirom na navedeno, predlažem Sudu da na prethodna pitanja koja je uputio Vilniaus apygardos administracinis teismas (Okružni upravni sud u Vilniusu, Litva) odgovori na sljedeći način:
1.
Članak 4. točku 7. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da se subjekt koji pokreće razvoj mobilne aplikacije može smatrati „voditeljem obrade” u smislu te odredbe samo u situaciji u kojoj postoji dovoljno činjeničnih, a ne formalnih, elemenata na temelju kojih nacionalni sudovi mogu zaključiti da je takav subjekt stvarno utjecao na „svrhe” i na „sredstva” te obrade i da je stvarno dao suglasnost za stavljanje mobilne aplikacije na raspolaganje javnosti i, posljedično, obradu osobnih podataka.
2.
Tu odredbu, u vezi s člankom 26. stavkom 1. te uredbe,
treba tumačiti na način da, kako bi se dva voditelja obrade ili više njih moglo smatrati „zajedničkim voditeljima obrade”, trebaju biti ispunjena dva uvjeta: kao prvo, svaki zajednički voditelj obrade treba samostalno ispunjavati kriterije navedene u definiciji „voditelja obrade” iz članka 4. točke 7. te uredbe i, kao drugo, voditelji obrade trebaju zajednički utjecati na „svrhe i sredstva” obrade. Osim toga, nepostojanje sporazuma ili čak koordinacije između voditeljâ obrade ne može samo po sebi isključiti zaključak prema kojem su voditelji obrade „zajednički voditelji obrade” u smislu tih odredbi.
3.
Članak 4. točku 2. te uredbe
treba tumačiti na način da pojam „obrada” obuhvaća situaciju u kojoj se osobni podaci upotrebljavaju tijekom faze testiranja mobilne aplikacije, osim ako su ti podaci učinjeni anonimnima tako da se identitet ispitanika ne može ili više ne može utvrditi. Činjenica prikupljaju li se osobni podaci u svrhu testiranja informatičkih sustava ugrađenih u mobilnu aplikaciju ili u neku drugu svrhu ne utječe na pitanje može li se postupak o kojem je riječ smatrati „obradom”.
4.
Članak 83. Uredbe 2016/679
treba tumačiti na način da se novčana kazna može izreći samo radi sankcioniranja povrede pravila te uredbe koja je počinjena „namjerno ili iz nepažnje”. Osim toga, voditelju obrade može se izreći novčana kazna na temelju te odredbe iako nezakonitu obradu provodi izvršitelj obrade. Ta je mogućnost otvorena sve dok se može utvrditi da izvršitelj obrade djeluje u ime voditelja obrade. Međutim, ako izvršitelj obrade obrađuje osobne podatke izvan zakonitih uputa voditelja obrade ili protivno njima i upotrebljava osobne podatke koje je primio za vlastite potrebe te je jasno da strane nisu „zajednički voditelji obrade” u smislu članka 4. točke 7. i članka 21. stavka 6. Uredbe 2016/679, voditelju obrade ne može se izreći novčana kazna, u skladu s člankom 83. te uredbe, za nezakonitu obradu do koje je došlo.
(
1
)	Izvorni jezik: engleski
(
2
)	Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.) (u daljnjem tekstu: OUZP)
(
3
)	Osobni podaci koje je mobilna aplikacija KARANTINAS prikupljala od svojih korisnika uključivali su sljedeće: identifikacijski broj, koordinate zemljopisne širine i dužine, zemlju, grad, općinu, adresu prebivališta, ime, prezime, osobni identifikacijski broj, broj telefona, informaciju o tome je li osoba morala biti u samoizolaciji, je li se osoba registrirala itd. Podaci su se prikupljali ne samo u Litvi, nego i u inozemstvu.
(
4
)	Članak 5. OUZP‑a sadržava popis općih načela čije poštovanje voditelji obrade trebaju osigurati pri obradi osobnih podataka. U članku 13. te uredbe navode se informacije koje voditelji obrade trebaju dostaviti ispitanicima kada se od njih prikupljaju osobni podaci. U članku 24. te uredbe predviđa se da voditelji obrade, među ostalim, provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali (i mogli dokazati) da se obrada provodi u skladu s primjenjivim pravilima o zaštiti podataka. Članak 32. OUZP‑a odnosi se na sigurnost obrade i njime se propisuju obveze za voditelje obrade i izvršitelje obrade u tom pogledu, dok se članak 35. te uredbe odnosi na obvezu voditelja obrade da provedu procjene učinka na zaštitu podataka prije provedbe određenih vrsta obrade.
(
5
)	U skladu s člankom 29. OUZP‑a „[i]zvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice”.
(
6
)	Napominjem da osobni podaci koji se odnose na zdravlje predstavljaju „posebnu kategoriju osobnih podataka” čija se obrada zabranjuje člankom 9. OUZP‑a, osim ako se primjenjuje jedan od razloga navedenih u stavku 2. te odredbe (primjerice, činjenica da je obrada nužna u svrhu javnog interesa u području javnog zdravlja (točka (i)) ili u svrhu preventivne medicine ili medicine rada (točka (h)). S obzirom na navedeno, napominjem da se prethodna pitanja upućena Sudu u ovom predmetu ne odnose na zakonitost takve obrade, nego na uvjete pod kojima subjekt kao što je NVSC može biti odgovoran za obradu koju je izvršio subjekt koji razvija takvu mobilnu aplikaciju (u ovom slučaju ITSS).
(
7
)	Na temelju informacija iz spisa predmeta i s rasprave, nije jasno je li Grad Vilnius sudjelovao u razvoju aplikacije KARANTINAS.
(
8
)	Kao što ću to objasniti u točki 46. ovog mišljenja, iz zahtjeva za prethodnu odluku shvaćam da je aplikacija KARANTINAS prošla fazu testiranja prije nego što se javnosti omogućilo njezino preuzimanje. Prema mojem shvaćanju, četvrto pitanje stoga se odnosi na upotrebu osobnih podataka do koje je došlo tijekom te faze testiranja, za razliku od one u kasnijoj fazi, nakon što se javnosti omogućilo preuzimanje aplikacije KARANTINAS.
(
9
)	Vidjeti Rücker, D. i Kugler, T., New European General Data Protection Regulation: A Practitioner’s Guide, C. H. Beck, Hart and Nomos, Oxford, 2018., str. 27. Prema mišljenju tih autora, najvažnije obilježje voditelja obrade jest to da on određuje rezultate koje treba postići, a ne sredstva odnosno „način” obrade koji se mogu, barem u aspektima koji nisu ključni, prenijeti na izvršitelja obrade a da se pritom ne izgubi svojstvo voditelja obrade.
(
10
)	Vidjeti presudu od 10. srpnja 2018., Jehovan todistajat (C‑25/17, EU:C:2018:551, t. 68.). Ta se presuda odnosila na tumačenje pojma „nadzornik” kako je bio definiran u članku 2. točki (d) Direktive 95/46/EC Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str.88.). Iako ta direktiva više nije na snazi i zamijenjena je OUZP‑om, tumačenje Suda u pogledu te odredbe i dalje je relevantno u kontekstu primjene OUZP‑a, s obzirom na to da je definicija tog pojma istovjetna u oba instrumenta, osim manjih formalnih izmjena. Stoga ću bez razlikovanja upućivati na presude koje se odnose na jedan ili drugi instrument.
(
11
)	Vidjeti presudu od 10. srpnja 2018., Jehovan todistajat (C‑25/17, EU:C:2018:551, t. 67.).
(
12
)	Vidjeti „Smjernice 07/2020 o pojmovima voditelja i izvršitelja obrade u Općoj uredbi o zaštiti podataka” EDPB‑a, verzija 2.1., donesene 7. srpnja 2021. (u daljnjem tekstu: Smjernice 07/2020, dostupne na engleskom jeziku na sljedećoj adresi: https://edpb.europa.eu/system/files/2021‑07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), str. 3. i t. 21. i 25. do 27.
(
13
)	Presuda od 29. srpnja 2019. (C‑40/17, EU:C:2019:629, t. 85.)
(
14
)	Vidjeti i Smjernice 07/2020, t. 42.
(
15
)	Vidjeti članak 26. stavak 3. OUZP‑a, u skladu s kojim „ispitanik može ostvarivati svoja prava iz [OUZP‑a] u vezi sa svakim voditeljem obrade, kao i protiv svakog od njih”. Vidjeti i članak 82. stavke 4. i 5. te uredbe.
(
16
)	Vidjeti u tom pogledu presudu od 29. srpnja 2019., Fashion ID (C‑40/17, EU:C:2019:629, t. 67. i navedena sudska praksa).
(
17
)	Vidjeti u tom smislu presudu od 5. lipnja 2018., Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, t. 43.).
(
18
)	Vidjeti presudu od 10. srpnja 2018., Jehovan todistajat (C‑25/17, EU:C:2018:551, t. 69. i navedena sudska praksa).
(
19
)	Vidjeti Smjernice 07/2020, str. 3. i t. 54. i 55.
(
20
)	Naime, bilo bi pomalo proturječno kada bi bilo moguće zanemariti formalne zahtjeve kako bi se osoba ili subjekt smatrali „voditeljem obrade”, ali ne i kako bi se isti i drugi subjekt smatrali „zajedničkim voditeljima obrade”.
(
21
)	Vidjeti Smjernice 07/2020, t. 52.
(
22
)	Vidjeti u tom pogledu Smjernice 07/2020, t. 69.
(
23
)	Napominjem da u četvrtom pitanju sud koji je uputio zahtjev navodi upotrebu „primjeraka osobnih podataka”, a ne upotrebu osobnih podataka. Moram priznati da mi nije jasno što taj sud podrazumijeva pod pojmom „primjerci osobnih podataka”, s obzirom na to da osobni podaci mogu postojati u nematerijalnom obliku, i da se, kao što to jasno proizlazi iz članka 4. točke 1. OUZP‑a, pojam „osobni podaci” definira u toj odredbi kao „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” (moje isticanje), bez ikakvog zahtjeva da se osobni podaci „kopiraju” ili prepišu na određeni uređaj ili sredstvo. Prema mojem mišljenju, fizički predmet (primjerice tiskani primjerci) ili čak elektronički spisi na kojima se nalaze osobni podaci nisu relevantni za pitanje može li se određeni skup postupaka koji uključuju osobne podatke smatrati „obradom” u smislu članka 4. točke 2. te uredbe. Stoga ću u svojem odgovoru na četvrto pitanje upućivati na „osobne podatke”, a ne na „primjerke osobnih podataka”.
(
24
)	Moje isticanje
(
25
)	U skladu s člankom 4. točkom 2. OUZP‑a, „obrada” uključuje postupke kao što su „prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje”.
(
26
)	Vidjeti prethodnu bilješku.
(
27
)	Naime, „osobni podaci” u smislu članka 4. točke 1. OUZP‑a, u vezi s njezinom uvodnom izjavom 26., uključuju osobne podatke koji su pseudonimizirani, ali koji bi se mogli pripisati nekom pojedincu upotrebom dodatnih informacija.
(
28
)	U zahtjevu za prethodnu odluku sud koji je uputio zahtjev navodi da su se neki, ali ne i svi, osobni podaci upotrijebljeni u fazi testiranja možda sastojali od „lažnih” podataka. Međutim, ne pojašnjava što podrazumijeva pod tim pojmom. U tom pogledu želim samo navesti da se, prema mojem mišljenju, informacije mogu smatrati „osobnim podacima” u smislu članka 4. točke 1. OUZP‑a neovisno o tome sadržavaju li istinite ili neistinite informacije. Važno je, kao što sam naveo, samo to da se informacije odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Ako su podaci u potpunosti izmišljeni tako da se ne može reći da se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, onda, prema mojem mišljenju, nije riječ o „osobnim podacima” i OUZP se ne primjenjuje na obradu tih podataka. Međutim, ta se uredba i dalje primjenjuje na ostale podatke „koji nisu lažni” i koji su prikupljeni tijekom faze testiranja.
(
29
)	Podsjećam na to da upotreba osobnih podataka u svrhe testiranja informatičkih sustava ugrađenih u mobilnu aplikaciju predstavlja „obradu” drukčiju od one koja se odvija kada se javnosti omogući preuzimanje te mobilne aplikacije. Stoga je potrebna zasebna ocjena toga što je „voditelj obrade”, „izvršitelj obrade” ili „zajednički voditelj obrade”.
(
30
)	Vidjeti članak 24. Direktive 95/46.
(
31
)	Vidjeti „Smjernice o primjeni i određivanju upravnih novčanih kazni za potrebe [OUZP‑a]” Radne skupine za zaštitu podataka iz članka 29., donesene 3. listopada 2017. (str. 4.). Tu radnu skupinu zamijenio je EDPB. Međutim, njezine „Smjernice o primjeni i određivanju upravnih novčanih kazni” i dalje su valjane.
(
32
)	Vidjeti primjerice novčanu kaznu u iznosu od nekoliko milijuna eura koju je Commission nationale de l’informatique et des libertés (Državna komisija za informatičke tehnologije i slobode, Francuska) izrekla Googleu u siječnju 2019. (https://edpb.europa.eu/news/national‑news/2019/cnils‑restricted‑committee‑imposes‑financial‑penalty-50-million‑euros_en).
(
33
)	Konkretno u članku 83. stavku 2. točki (b) te uredbe. Ostali elementi navedeni u članku 83. stavku 2. točkama (a) do (k) povezani su sa samim kršenjem (primjerice s njegovom prirodom, težinom i trajanjem (a) ili obuhvaćenim kategorijama osobnih podataka (g)) ili s voditeljem obrade ili izvršiteljem obrade kojima bi novčana kazna bila upućena (odnosno sa stupanjem njihove odgovornosti) (d); s njihovim ex ante postupanjem, kao što su relevantna prijašnja kršenja (e) i prethodno izrečene mjere protiv njih (i) i njihovim ex post postupanjem, uključujući to jesu li izvijestili o kršenju (h), radnje koje su poduzeli kako bi ublažili štetu (c) i stupanj suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni učinci tog kršenja (f)). Osim toga, dužnu pozornost treba posvetiti „svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem” (k).
(
34
)	„Prijedlog uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka)”, COM(2012) 11 final (u daljnjem tekstu: Komisijin prvotni prijedlog za donošenje uredbe)
(
35
)	Vidjeti članak 79. stavke 4., 5. i 6. Komisijinog prvotnog prijedloga za donošenje uredbe. Napominjem da je i obilježje „namjere ili nepažnje” kršenja bilo uključeno u popis čimbenika sadržan u članku 79. stavku 2. tog prijedloga, koje je trebalo uzeti u obzir kako bi se odredio iznos novčane kazne; moje isticanje.
(
36
)	Taj je tekst zatim izmijenjen i izrazi „namjerno ili iz nepažnje” više nisu uključeni u odredbe kojima se definiraju dva stupnja sustava novčanih kazni uspostavljenog OUZP‑om.
(
37
)	Moje isticanje
(
38
)	Do istog se utvrđenja može doći i ako se promatraju ostale jezične verzije članka 83. stavka 2. OUZP‑a, osobito češka, grčka, španjolska, francuska i talijanska jezična verzija. Ipak, primjećujem da se u talijanskoj jezičnoj verziji u članku 83. stavku 2. točki (c) te uredbe koristi određeni član „le”, umjesto pojma „svaki” (eventuali) u odnosu na radnju koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu.
(
39
)	U skladu s onim što navodi Radna skupina iz članka 29., upravne novčane kazne jesu „korektivne mjere” čiji cilj može biti „postići da se opet poštuju pravila ili kazniti nezakonito ponašanje (ili oboje)” (moje isticanje) (vidjeti „Smjernice o primjeni i određivanju upravnih novčanih kazni za potrebe [OUZP‑a]” Radne skupine za zaštitu podataka iz članka 29., donesene 3. listopada 2017., str. 6..
(
40
)	Vidjeti po analogiji presudu od 2. veljače 2021., Consob (C‑481/19, EU:C:2021:84, t. 43.). Podsjećam na to da su tri kriterija relevantna za ocjenu toga jesu li sankcije kaznene prirode: prvi kriterij je pravna kvalifikacija prekršaja u nacionalnom pravu, drugi je sama priroda prekršaja, a treći je stupanj težine sankcije koja se može izreći osobi o kojoj je riječ (vidjeti t. 42. te presude, kao i presudu od 5. lipnja 2012., Bonda, C‑489/10, EU:C:2012:319, t. 37.; vidjeti i presudu ESLJP‑a od 8. lipnja 1976., Engel i dr. protiv Nizozemske, CE:ECHR:1976:0608JUD000510071, t. 82.). Ne moraju biti ispunjeni svi kriteriji kako bi se smatralo da je novčana kazna kaznene prirode (vidjeti u tom pogledu mišljenje nezavisnog odvjetnika Y. Bota u predmetu ThyssenKrupp Nirosta/Komisija (C‑352/09 P, EU:C:2010:635, t. 50. i navedena sudska praksa).
(
41
)	Člankom 49. Povelje, naslovljenim „Načela zakonitosti i razmjernosti kaznenih djela i kazni”, u stavku 3. navodi se da „[s]trogost kazne ne smije biti nerazmjerna kaznenom djelu”.
(
42
)	Vidjeti presude od 9. veljače 2012., Urbán (C‑210/10, EU:C:2012:64, t. 48.); od 13. studenoga 2014., Reindl (C‑443/13, EU:C:2014:2370, t. 42.); od 20. prosinca 2017., Global Starnet (C‑322/16, EU:C:2017:985, t. 63.) i od 22. ožujka 2017., Euro‑Team i Spirál‑Gép (C‑497/15 i C‑498/15, EU:C:2017:229, t. 53. i 54.). Te presude pokazuju da je ta sudska praksa primijenjena na različita područja prava Unije.
(
43
)	Vidjeti „Objašnjenja koja se odnose na Povelju Europske unije o temeljnim pravima (SL 2007., C 303, str. 17.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 7., str. 120.). U skladu s člankom 52. stavkom 3. Povelje, razina zaštite koju pruža članak 49. Povelje ne može biti niža od one koja se pruža člankom 7. EKLJP‑a.
(
44
)	Vidjeti presudu ESLJP‑a (Veliko vijeće) od 28. lipnja 2018., GIEM s.r.l. i dr. protiv Italije (CE:ECHR:2018:0628JUD000182806, t. 242. i 243.).
(
45
)	Vidjeti članak 58. stavak 2. točku (i) i članak 83. stavak 2. OUZP‑a.
(
46
)	U skladu s člankom 84. stavkom 1. OUZP‑a „[d]ržave članice utvrđuju pravila o ostalim sankcijama koje se primjenjuju na kršenja […], a posebno na ona kršenja koja ne podliježu upravnim novčanim kaznama na temelju članka 83., te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba”. U uvodnoj izjavi 152. te uredbe objašnjava se da se članak 84. primjenjuje kada OUZP‑om „nisu usklađene upravne novčane kazne ili ako je to potrebno u drugim slučajevima, primjerice u slučajevima teških kršenja”.
(
47
)	Vidjeti u tom pogledu, Chamberlain, J. i Reichel, J., „The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation”, sv. 89., br. 4, Mississippi Law Journal, 2020., str. 677. do 679.
(
48
)	Vidjeti Nemitz, P., „Fines under the GDPR” u Leenes, R., van Brakel, R., Gutwirth, S. i De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, Oxford, 2019., str. 241.
(
49
)	Nasuprot tomu, pojam „namjera” definirala je na način da uključuje znanje i nakanu u pogledu značajki prekršaja (vidjeti „Smjernice o primjeni i određivanju upravnih novčanih kazni za potrebe [OUZP‑a]” Radne skupine za zaštitu podataka iz članka 29., donesene 3. listopada 2017. (str. 11.)).
(
50
)	Ibidem, str. 12. Ostale spomenute okolnosti uključuju puko zanemarivanje obveze čitanja i poštovanja postojećih politika, zanemarivanje pretraživanja osobnih podataka u već objavljenim informacijama, nepravodobnu primjenu tehničkih ažuriranja ili nedonošenje politika.
(
51
)	Vidjeti Nemitz, P. „Fines under the GDPR” u Leenes, R., van Brakel, R., Gutwirth, S. i De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, Oxford, 2019., str. 240.
(
52
)	Vidjeti uvodne izjave 122. i 132. OUZP‑a.
(
53
)	Vidjeti osobito uvodnu izjavu 1. OUZP‑a, u kojoj se podsjeća, upućivanjem na članak 8. stavak 1. Povelje i članak 16. stavak 1. UEU‑a, na to da je zaštita osobnih podataka temeljno pravo. Vidjeti također uvodne izjave 10., 11. i 13. OUZP‑a i presudu od 24. rujna 2019., Google (Teritorijalni doseg uklanjanja poveznica) (C‑507/17, EU:C:2019:772, t. 54.).
(
54
)	Vidjeti uvodnu izjavu 148. OUZP‑a.
(
55
)	Vidjeti Chamberlain, J. i Reichel, J., „The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation”, sv. 89., br. 4, Mississippi Law Journal, 2020., str. 685.
(
56
)	Uredba Vijeća (EZ) od 16. prosinca 2002. o provedbi pravila o tržišnom natjecanju koja su propisana člancima [101. i 102.] UFEU‑a (SL 2003., L 1, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 8., svezak 1., str. 165. i ispravak SL 2016., L 173., str. 108.)
(
57
)	Vidjeti presudu od 8. prosinca 2011., Chalkor/Komisija (C‑386/10 P, EU:C:2011:815, t. 56. i 57. i navedena sudska praksa). U tom pogledu napominjem da, iako se namjera ili nepažnja trebaju utvrditi prije izricanja novčane kazne zbog povrede pravila prava tržišnog natjecanja, i tim se zahtjevom u praksi zahtijevaju njihove niske razine. Doista, Sud je presudio da je taj uvjet ispunjen kada poduzetnik o kojem je riječ može biti svjestan protutržišnog karaktera svojeg ponašanja neovisno o tome ima li pri tome svijest o povredi pravila o tržišnom natjecanju ili ne (vidjeti presudu od 10. srpnja 2014., Telefónica i Telefónica de España/Komisija (C‑295/12 P, EU:C:2014:2062, t. 156. i navedena sudska praksa)).
(
58
)	Vidjeti primjerice uvodnu izjavu 9. OUZP‑a, u kojoj se navodi da razlike u razini zaštite prava i sloboda pojedinaca među državama članicama „spr[ečavaju] slobodni protok osobnih podataka” i „predstavlja[ju] prepreku obavljanju gospodarskih djelatnosti na razini Unije”.
(
59
)	Vidjeti uvodnu izjavu 129. („[t]ime se ne bi trebali isključiti dodatni zahtjevi na temelju postupovnog prava države članice” (moje isticanje)) i uvodnu izjavu 150. OUZP‑a. Vidjeti u tom pogledu i „Smjernice o primjeni i određivanju upravnih novčanih kazni za potrebe [OUZP‑a]” Radne skupine za zaštitu podataka iz članka 29., donesene 3. listopada 2017. (str. 6.).
(
60
)	U tom pogledu napominjem da se u uvodnoj izjavi 10. OUZP‑a navodi da bi „razina zaštite […] trebala […] biti jednaka u svim državama članicama”, dok se u uvodnim izjavama 11., 13. i 129. te uredbe zahtijevaju jednake ovlasti praćenja i osiguravanja poštovanja i jednake sankcije za kršenja u državama članicama. Uvodna izjava 152. te uredbe pak upućuje na to da bi države članice trebale uvesti sustav kojim se predviđaju upravne sankcije samo ako tom uredbom nisu usklađene takve sankcije (ili ako je to nužno zbog drugih razloga) (vidjeti također uvodnu izjavu 150. OUZP‑a).
(
61
)	Vidjeti u tom pogledu Voss, W. G. i Bouthinon‑Dumas, H., „EU General Data Protection Regulation Sanctions in Theory and in Practice”, sv. 37., Santa Clara High Tech, 2020., str. 44.
(
62
)	Moje isticanje
(
63
)	U skladu s člankom 29. OUZP‑a „[i]zvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice”.
(
64
)	U skladu s člankom 28. stavkom 10. OUZP‑a izvršitelj obrade smatra se voditeljem obrade u pogledu obrade takvih podataka. U tom pogledu vidjeti i Rücker, D. i Kugler, T., New European General Data Protection Regulation: A Practitioner’s Guide, C. H. Beck, Hart and Nomos, Oxford, 2018., str. 30.