Začasna izdaja
SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
RIMVYDASA NORKUSA,
predstavljeni 16. aprila 2026(1)
Zadeva C‑205/25
Joachim Lindenberg
proti
Bayerisches Landesamt für Datenschutzaufsicht
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Bayerisches Verwaltungsgericht Ansbach (bavarsko upravno sodišče v Ansbachu, Nemčija))
„ Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 15 – Zahteva posameznika, na katerega se nanašajo osebni podatki, za dostop do svojih osebnih podatkov – Člen 77 – Podatki iz spisa nadzornega organa, vključenega v pritožbeni postopek – Člen 4, točka 7 – Pojem ‚upravljavec‘ – Člen 23 – Omejitve pravice dostopa – Nacionalna ureditev, ki izključuje vsakršen dostop do spisa “
I.      Uvod
1.        Ta predlog za sprejetje predhodne odločbe, ki ga je Bayerisches Verwaltungsgericht Ansbach (upravno sodišče v Ansbachu, Nemčija) vložilo na podlagi člena 267 PDEU, se nanaša na razlago člena 4, točki 7 in 21, ter členov 15, 23 in 77 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)(2) (v nadaljevanju: SUVP).
2.        Ta predlog za sprejetje predhodne odločbe spada v okvir spora med Joachimom Lindenbergom, novinarjem, specializiranim za varstvo podatkov, in Bayerisches Landesamt für Datenschutzaufsicht (bavarski nadzorni organ za varstvo podatkov, Nemčija; v nadaljevanju: Landesamt), ker mu ta organ ni odobril popolnega dostopa do njegovega spisa na podlagi člena 15 SUVP v okviru postopka, začetega na podlagi pritožbe, ki jo je J. Lindenberg vložil proti tretji osebi. Organ Landesamt je to zavrnitev obrazložil z bavarsko določbo, s katero je izključen dostop javnosti do spisov nadzornih organov. Na podlagi tožbe, ki jo je vložil J. Lindenberg, je ta organ nazadnje odobril elektronski vpogled v spis, ne da bi priznal pravno napako, medtem ko tožeča stranka vztraja pri predlogu za ugotovitev nezakonitosti prvotne zavrnitve. Ker je predložitveno sodišče menilo, da je za rešitev spora potrebna razlaga upoštevnih določb SUVP in preučitev skladnosti bavarske zakonodaje s pravom Unije, je prekinilo odločanje in Sodišču v predhodno odločanje predložilo dve vprašanji.
3.        Sodišče je pozvano, naj odloči o vprašanju, ali je nadzorni organ za varstvo podatkov v okviru pritožbenega postopka, začetega na podlagi člena 77 SUVP, mogoče opredeliti kot „upravljavca“ v smislu člena 4, točka 7, SUVP in v kakšnem obsegu mora ravnati v skladu z obveznostmi dostopa iz člena 15 SUVP. Zlasti je pozvano, naj preuči, ali pravo Unije nasprotuje nacionalni ureditvi, s katero je izključena vsakršna pravica posameznikov, na katere se nanašajo osebni podatki, do dostopa do spisa. To bo treba presojati ob upoštevanju člena 23 SUVP, ki iz določenih razlogov v splošnem interesu dovoljuje omejitev obveznosti dostopa, določenih v tej uredbi, in člena 8(2) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina), ki vsakomur zagotavlja pravico dostopa do podatkov, zbranih o njem. V zvezi s tem bo moralo Sodišče tehtati med zahtevo po preglednosti upravnih ukrepov na eni strani in potrebo po zagotovitvi učinkovitosti preiskav na področju varstva podatkov na drugi strani.
II.    Pravni okvir
A.      Pravo Unije
4.        V okviru te zadeve so upoštevni člena 8 in 52 Listine, člen 16 PDEU ter člen 4, točke 1, 2, 7 in 9, ter členi 5, 15, 23, 51, 57, 58 in 77 SUVP.
B.      Nemško pravo
5.        V skladu s členom 18 Bayerisches Datenschutzgesetz (bavarski zakon o varstvu podatkov, v nadaljevanju: BayDSG) je Landesamt nadzorni organ za subjekte zasebnega prava.
6.        Člen 20 BayDSG določa:
„1. Vsak se lahko pritoži pri nadzornih organih, če so bile pri obdelavi njegovih osebnih podatkov kršene njegove pravice. Posamezniku, na katerega se nanašajo osebni podatki, zaradi predložitve zadeve nadzornim organom ne sme nastati nobena škoda.
2.      V zvezi s spisi in datotekami nadzornih organov ni pravice dostopa ali vpogleda.“
7.        V obrazložitvenem memorandumu zakona v zvezi s členom 20(2) BayDSG je navedeno, da se ta določba uporablja in izključuje vsakršno pravico dostopa v skladu s členom 15 SUVP, kadar se taka pravica uveljavlja v razmerju do organa Landesamt v zvezi z njegovimi spisi in datotekami.
III. Dejansko stanje v sporu o glavni stvari, postopek v glavni stvari in vprašanji za predhodno odločanje
8.        J. Lindenberg je novinar in ima blog, na katerem med drugim objavlja prispevke v zvezi z varstvom podatkov. Od leta 2021 je pri organu
Landesamt začel več pritožbenih postopkov.
9.        Ker je J. Lindenberg 13. maja 2022 pri organu Landesamt vložil pritožbo zaradi varstva podatkov, je ta začel postopek nadzora v zvezi s tretjo osebo. Organ Landesamt je z elektronskim sporočilom z dne 11. oktobra 2022 J. Lindenberga obvestil, da je v zvezi s tem ugotovil kršitve varstva podatkov s strani osebe, na katero se nanaša pritožba. Dodal je, da bo po izteku roka, določenega za odpravo teh kršitev, v primeru ponovnih kršitev osebe, na katero se nanaša pritožba, tej osebi izrečena kazen. J. Lindenberg je v elektronskem sporočilu z istega dne zahteval, naj se mu sporočijo dodatne podrobnosti v zvezi z ukrepi, ki jih je sprejel organ Landesamt. Potem ko organ Landesamt te zahteve ni izpolnil, je J. Lindenberg z elektronskim sporočilom z dne 11. oktobra 2022 zahteval  vse informacije na podlagi člena 15(1) in (3) SUVP.
10.      Organ Landesamt je z elektronskim sporočilom in odločbo z dne 20. oktobra 2022 zavrnil zahtevo za dostop na podlagi člena 15(1) in (3) SUVP. To zavrnitev je obrazložil z navedbo, da izrecna določba iz člena 20(2) BayDSG izključuje pravico dostopa in vpogleda v spise in datoteke nadzornih organov.
11.      J. Lindenberg je zoper to odločbo pri Bayerisches Verwaltungsgericht Ansbach (bavarsko upravno sodišče v Ansbachu) vložil tožbo, s katero je predlagal, naj se organu Landesamt naloži, da mu predloži kopijo vseh podatkov iz spisa pritožbenega postopka, ki se je začel 13. maja 2022.
12.      Organ Landesamt je 23. februarja 2024 odobril elektronski dostop do spisa postopka nadzora, ki se je začel s pritožbo J. Lindenberga, ne da bi priznal, da je to njegova pravna obveznost.
13.      J. Lindenberg zdaj predlaga le, naj se ugotovi nezakonitost odločbe organa Landesamt z dne 20. oktobra 2022, s katero je bila zavrnjena njegova zahteva za dostop.
14.      Predložitveno sodišče poudarja, da kadar pritožnik, kot je J. Lindenberg, na podlagi člena 77 SUVP pri nadzornem organu za varstvo podatkov, kot je organ Landesamt, začne pritožbeni postopek, ta organ v razmerju do njega nastopa kot nadzorni organ v smislu člena 4, točka 21, SUVP. Nekateri, med njimi organ Landesamt, menijo, da to izključuje dejstvo, da bi bil nadzorni organ za varstvo podatkov v razmerju do pritožnika „upravljavec“ v smislu člena 15 v povezavi s členom 4, točka 7, SUVP, in da to posledično že v izhodišču pomeni oviro za pravico dostopa pritožnika v razmerju do organa za varstvo podatkov v zvezi z osebnimi podatki iz pritožbenega postopka.
15.      Predložitveno sodišče, nasprotno, meni, da je lahko nadzorni organ za varstvo podatkov hkrati nadzorni organ v smislu člena 4, točka 21, SUVP in upravljavec ter oseba, na katero se nanaša pritožba, v smislu člena 15 SUVP v povezavi s členom 4, točka 7, SUVP.
16.      Predložitveno sodišče meni, da se, če je tako, postavlja vprašanje, ali popolna izključitev pravice vpogleda v spise in datoteke nadzornega organa, kot je določena v členu 20(2) BayDSG, izpolnjuje pogoje, ki veljajo za izvajanje pooblastila določitve omejitev, ki je podeljeno s členom 23(1) SUVP.
17.      V teh okoliščinah je Bayerisches Verwaltungsgericht Ansbach (bavarsko upravno sodišče v Ansbachu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:
„1.      Ali je treba člen 15 Uredbe (EU) 2016/679 v povezavi s členom 4, točka 7, [SUVP] razlagati tako, da je nadzorni organ na podlagi člena 4, točka 21, te uredbe, ki začne ukrepati v okviru pritožbenega postopka na podlagi člena 77 navedene uredbe, ki ga začne posameznik, na katerega se nanašajo osebni podatki, hkrati „upravljavec“ v smislu člena 15 v povezavi s členom 4, točka 7, iste uredbe in je zato na podlagi člena 15 [SUVP] zavezan zagotoviti dostop do podatkov posamezniku, na katerega se nanašajo osebni podatki?
2.      Če je odgovor na prvo vprašanje pritrdilen: ali je treba pravo Unije, zlasti člen 23 [SUVP], razlagati tako, da nasprotuje nacionalni ureditvi, kakršna je ta iz člena 20(2) BayDSG […], ki je sporen v postopku v glavni stvari, v skladu s katerim pravice dostopa ali vpogleda v zvezi s spisi in datotekami nadzornih organov na podlagi člena 4, točka 21, [SUVP] na splošno ne obstajajo?“
IV.    Postopek pred Sodiščem
18.      Predložitvena odločba z dne 19. februarja 2025 je v sodno tajništvo Sodišča prispela 17. marca 2025.
19.      Organ Landesamt, bolgarska in latvijska vlada ter Evropska komisija so predložili pisna stališča v roku, določenem v členu 23 Statuta Sodišča Evropske unije.
20.      Zastopniki ad litem J. Lindenberga, organa Landesamt, bolgarske vlade in Komisije so na obravnavi 22. januarja 2026 predstavili stališča.
V.      Pravna presoja
A.      Uvodna pojasnila
21.      V obravnavani zadevi se postavlja načelno vprašanje v zvezi s pravnim statusom nadzornih organov glede pravic, priznanih s SUVP, in zlasti glede pravice dostopa, zagotovljene s členom 15 te uredbe. Gre za to, da se ugotovi, ali je nadzorni organ pri obravnavi pritožbe, vložene na podlagi člena 77 SUVP, mogoče opredeliti kot „upravljavca“ za podatke, ki se obdelujejo v tem okviru, v smislu člena 4, točka 7, te uredbe. Ta opredelitev je odločilna, ker je pogoj za možnost uporabe obveznosti dostopa, ki jih je mogoče uveljavljati zoper upravljavca, in širše sprašuje o ravnovesju med varstvom pravic posameznikov in značilnostmi izvajanja nadzornih nalog, ki temeljijo na neodvisnosti odločanja, zaupnosti preiskave in učinkovitosti preiskovalnih pooblastil.
22.      Če bi Sodišče ugotovilo, da je nadzorni organ načeloma lahko zavezan k spoštovanju člena 15 SUVP, bi se s tem sprožilo drugo normativno vprašanje, ki se nanaša na združljivost splošne in absolutne izključitve pravice dostopa do upravnih spisov s pravnim okvirom Unije. Tako nacionalno ureditev je treba preučiti glede na zahteve iz člena 23 SUVP, ki strogo opredeljuje omejitve, ki jih je mogoče določiti za pravice, ki jih zagotavlja, tako da zanje določa kumulativne pogoje v smislu pravne podlage, nujnosti, sorazmernosti in varstva ciljev splošnega interesa, ki jih priznava Unija. V to analizo je treba vključiti tudi jamstva, ki izhajajo iz primarnega prava, zlasti tista, ki se nanašajo na spoštovanje temeljnih pravic in učinkovitost pravnih sredstev.
23.      Pravna analiza bo torej sestavljena iz dveh zaporednih faz. Na eni strani bo treba ugotoviti, ali in v kakšnem obsegu je mogoče nadzorni organ v okviru pritožbenega postopka enačiti z „upravljavcem“, tako da ga zavezujejo obveznosti dostopa, določene v SUVP.(3) Na drugi strani in samo v primeru pritrdilnega odgovora bo treba presoditi vprašanje, ali je splošna, neselektivna in preventivna izključitev pravice dostopa do spisov nadzornih organov združljiva s harmonizirano ureditvijo SUVP z vidika zahtev po upravni preglednosti, varstvu podatkov, institucionalni neodvisnosti in učinkovitosti nadzornih mehanizmov, ki jih je treba uravnotežiti, ne da bi katera od teh zahtev izgubila pomen.(4)
B.      Prvo vprašanje
1.      Opredelitev nadzornega organa kot „upravljavca“ na podlagi člena 4, točka 7, SUVP
24.      V zvezi z morebitno opredelitvijo nadzornega organa kot „upravljavca“, ki je predmet prvega vprašanja za predhodno odločanje, je treba najprej spomniti na pravno opredelitev tega pojma, kot je določena v členu 4, točka 7, SUVP. V skladu s to določbo „upravljavec“ pomeni vsako „fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave [osebnih podatkov]“. V zvezi s tem je treba spomniti, da se navedeni pojem v skladu z ustaljeno sodno prakso Sodišča razlaga široko.(5)
25.      Na prvem mestu, ugotoviti je treba, da se ta pravna opredelitev izrecno nanaša na „javne organe“. Samo besedilo člena 4, točka 7, SUVP torej nikakor ne izključuje možnosti, da se nadzorni organ opredeli kot „upravljavec“. Zakonodajalec Unije se je namenoma odpovedal razlikovanju med zasebnimi in javnimi subjekti, kot je razvidno iz več uvodnih izjav, v katerih je izrecno omenjena obdelava osebnih podatkov s strani javnih organov. Poleg tega dejstva, da je nadzorni organ v členu 4, točka 21, SUVP opredeljen kot neodvisen javni organ, ki ga država članica ustanovi v skladu s členom 51, ob upoštevanju širokega in funkcionalnega obsega, ki ga ta uredba podeljuje pojmu „upravljavec“,(6) ni mogoče razlagati tako, da preprečuje, da bi se eventualno opredelil kot upravljavec.
26.      Na drugem mestu, poudariti je treba, da mora tak nadzorni organ, kadar opravlja naloge, ki so mu zaupane na podlagi člena 77 SUVP – zlasti obravnavanje pritožb, ki se nanašajo na morebitne kršitve pravil o varstvu podatkov – sam obdelati osebne podatke. Organ se ne omejuje na prejemanje teh podatkov, ampak jih strukturira, analizira, hrani in uporablja v okviru samostojnega izvajanja preiskovalnih in represivnih pooblastil, ki so mu priznana s to uredbo. Zdi se mi, da taka dejanja spadajo na področje uporabe člena 4, točka 2, SUVP, ki pojem „obdelava“ razume široko in ločeno od vseh posebnih okoliščin ter zajema vsa dejanja v zvezi s podatki.
27.      V podporo tej analizi bom v nadaljevanju na eni strani predstavil bistvene značilnosti pritožbenega postopka iz člena 77 SUVP ter na drugi strani kategorije osebnih podatkov, ki jih morajo nadzorni organi pri tem redno in konkretno obdelovati. Ta predstavitev bo omogočila boljše razumevanje narave in obsega nalog, ki jih opravljajo nadzorni organi, kadar vodijo tak postopek.
a)      Bistvene značilnosti „pritožbenega postopka“ iz člena 77 SUVP
28.      Pritožbeni postopek(7), uveden s členom 77 SUVP, je osrednji mehanizem sistema Unije, katerega namen je zagotoviti varstvo posameznikov pri obdelavi njihovih osebnih podatkov. Prispeva k operativnemu izvajanju načela iz člena 8(3) Listine, v skladu s katerim mora spoštovanje pravil o varstvu podatkov nadzirati neodvisen organ. Sodišče je večkrat poudarilo, da ta mehanizem nadzora ni zgolj formalne narave, temveč je njegov namen zagotoviti učinkovito in dejansko varstvo temeljnih pravic.(8)
29.      V skladu s členom 77(1) SUVP ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do vložitve pritožbe brez kakršne koli posebne formalne zahteve in brez tveganja stroškov, zlasti pri nadzornem organu države članice, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve. Ker je ta pravica bistveni element sistema varstva, ki ga uvaja ta uredba, je ni mogoče razlagati in uporabljati tako, da bi bilo njeno izvajanje praktično nemogoče ali pretirano oteženo.(9)
30.      Poudariti je treba, da vložitev pritožbe nadzornemu organu ne daje zgolj splošnega pooblastila za preučitev, ampak mu nalaga konkretno obveznost, da spis preuči celovito, skrbno in nepristransko. Iz sodne prakse Sodišča namreč izhaja, da mora v skladu s členom 57(1)(f) SUVP vsak nadzorni organ obravnavati pritožbe, vložene na njegovem ozemlju, v potrebnem obsegu preučiti njihovo naravo in jih obravnavati z vso potrebno skrbnostjo.(10)
31.      Iz tega izhaja, da se nadzorni organ ne more vzdržati obravnave pritožbe zgolj iz razlogov, povezanih z upravno ekonomičnostjo ali premisleki o smotrnosti. Prav tako ne sme svojega ukrepanja omejiti na neformalno mediacijo ali zgolj na posredniško vlogo. Nasprotno, preučiti mora zatrjevano kršitev z vidika dejanskega stanja in s pravnega vidika ter po potrebi učinkovito izvajati popravljalna pooblastila, ki so mu podeljena s pravom Unije.(11)
32.      Pooblastila, našteta v členu 58 SUVP, je treba v skladu s sodno prakso razlagati ob upoštevanju njihovega namena, ki je zagotoviti polni učinek te uredbe. Sodišče je poudarilo obveznost nadzornih organov, da v primeru ugotovljene kršitve sprejmejo „ustrezne in potrebne“ popravljalne ukrepe ter uporabijo vse instrumente, ki jih imajo na voljo. Ta zahteva vključuje represivno ukrepanje, saj neukrepanje lahko ogrozi polni učinek navedene uredbe.(12)
33.      Poleg tega člen 77(2) SUVP določa, da je treba pritožnika obvestiti o stanju zadeve in izidu postopka. Ta obveznost je izpolnjena le, če je na podlagi danega odgovora mogoče ugotoviti, da se je pritožba dejansko preučila z vidika dejanskega stanja in pravnega vidika ter da vsebuje elemente, potrebne za izvajanje učinkovitega sodnega nadzora. Postopek tako ne more biti omejen na zgolj formalno odločitev, ampak mora pripeljati do podrobne, ustrezno obrazložene presoje, ki jo lahko preuči sodišče, ki mu je bila zadeva predložena na podlagi člena 78(1) SUVP. Vsaka odločitev, ki jo nadzorni organ sprejme v zvezi s pritožbo, je namreč predmet celovitega sodnega nadzora.(13)
34.      Če se postopek iz člena 77 SUVP presoja kot celota, ni zgolj upravni akt, ampak samostojno pravno sredstvo, vzpostavljeno s pravom Unije, ki hkrati prispeva k varstvu pravic posameznikov in objektivnemu varstvu pravnega reda na področju varstva podatkov. Sodišče priznava nadzornim organom status institucionalnih porokov za sistem strukturnega varstva temeljnih pravic, katerih naloga ni samo pasivno sprejemanje pritožb, temveč vključuje dejavno uporabo pravil o varstvu podatkov.
b)      „Obdelava“ osebnih podatkov s strani nadzornega organa v pritožbenem postopku
35.      Potem ko sem spomnil na bistvene značilnosti pritožbenega postopka, je treba analizirati, v kolikšnem obsegu dejavnost nadzornega organa spada pod „obdelavo“ v smislu člena 4, točka 2, SUVP. Ta pojem je opredeljen kot „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje“.
36.      V zvezi s tem je treba poudariti, da se nadzorni organ v okviru postopka na podlagi člena 77 SUVP ne omejuje na prejemanje podatkov. Nasprotno, opravlja vsa samostojna in strukturirana dejanja, ki se izvajajo za opravljanje njegove pravne naloge pregleda, preiskovanja in nadzora. Obdelava se namreč začne z vložitvijo pritožbe, ki vsebuje podatke o pritožniku in, odvisno od primera, zadevnem upravljavcu ali določljivih tretjih osebah. Te informacije – ki spadajo pod pojem „osebni podatki“ v smislu člena 4, točka 1, SUVP – se zabeležijo, vključijo v spis in hranijo v notranjih sistemih nadzornega organa, kar že vključuje fizična in organizacijska dejanja, ki pomenijo „obdelavo“.(14)
37.      Ta dejanja spadajo med naloge, ki so s členom 57(1) SUVP zaupane nadzornim organom in kot so predstavljene v teh sklepnih predlogih. Med temi nalogami sta zlasti preučitev pritožb (točka (f)) ter izvajanje preiskovalnih pooblastil in pooblastil za odločanje (točka (h)). Pri opravljanju teh nalog ti organi delujejo v okviru funkcionalne avtonomije in avtonomije odločanja, ki jo zagotavlja pravo Unije; ta avtonomija se konkretno izraža v tem, kako se obravnavajo pritožbe in kako se izvajajo nadzorna pooblastila, ki izhajajo iz tega.
38.      Nadzorni organ med postopkom opravi dejanski in pravni pregled elementov, ki so mu predloženi. Zbira, organizira, analizira in ocenjuje podatke glede na veljavni normativni okvir. Do drugih dejanj obdelave pride tudi, kadar od upravljavca, zoper katerega je vložena pritožba in ki je predmet preiskave, zahteva dodatne informacije ali kadar preveri dodatne dokumente, ki lahko vsebujejo osebne podatke. Nadzorni organ te informacije nato prejme, zabeleži, analizira in shrani. Podobno se lahko povezovanje teh elementov z morebitnimi že obstoječimi spisi ali informacijami šteje za dejanje „obdelave“.
39.      Tako obdelani podatki se uporabljajo za samostojno izvajanje pooblastil nadzornega organa za preiskovanje in odločanje.(15) Uporabljajo se za ugotavljanje dejstev, njihovo pravno kvalifikacijo, oceno možnih popravljalnih ukrepov in po potrebi za sprejetje zavezujočih odločb ali odredb. Uporabijo se tudi pri obvestilih v zvezi s postopkom, naslovljenih na stranke, zlasti pri obveščanju pritožnika ali upravljavca o izidu postopka.
40.      Iz vseh teh elementov izhaja, da nadzornega organa ni mogoče šteti zgolj za „uporabnika“ podatkov v smislu člena 4, točka 9, SUVP. Ker samostojno odloča o načinih zbiranja, analize, organizacije in uporabe teh podatkov za opravljanje nalog, ki so mu zakonsko dodeljene, deluje kot subjekt, ki izvaja „obdelavo“ v smislu člena 4, točka 2, SUVP. To vprašanje je treba podrobneje preučiti v naslednjem razdelku.
2.      Pooblastilo nadzornega organa, da „določi namene in sredstva obdelave“
41.      Da bi se nadzorni organ lahko štel za „upravljavca“ v smislu člena 4, točka 7, SUVP, bi moral biti še pooblaščen za določitev namenov in sredstev obdelave osebnih podatkov.
42.      Kot je bilo že navedeno, vloga nadzornega organa v pritožbenem postopku na podlagi člena 77 SUVP ni omejena zgolj na pasivno prejemanje informacij. Dejansko določa namen obdelave, saj odloči, da se bodo podatki uporabili za preučitev morebitne kršitve pravil o varstvu podatkov, ugotavljanje dejstev ter po potrebi pripravo in sprejetje nadzornih ukrepov. Ta določitev namena ni le vnaprej določena z zakonom, ampak zahteva tudi samostojno konkretizacijo s strani organa v vsakem posameznem primeru, zlasti glede obsega nadzora, natančnega predmeta preiskave in pravne kvalifikacije navedenih očitkov.(16)
43.      Nadzorni organ v bistvenih točkah tudi samostojno odloča o sredstvih obdelave. Določa, kateri osebni podatki se zbirajo, v kakšni obliki se beležijo, strukturirajo in shranjujejo, na podlagi katerih meril se oblikujejo spisi, organizirajo digitalizirani arhivi ali vpišejo dokazi, ter tehnične ali organizacijske postopke, uporabljene za analizo, nadaljnjo obdelavo ali notranje dajanje podatkov na voljo. Prav tako odloči, ali je treba tistemu, na katerega se pritožba nanaša, poslati zahteve za informacije, katere dodatne informacije je treba zahtevati, po kakšnih metodah se bodo povezale in koliko časa se bodo hranile. Ta pristojnost izbire in organizacije očitno presega zgolj izvajanje pomožne ali podrejene naloge.
44.      Dejansko izvedena dejanja obdelave potrjujejo to avtonomijo odločanja. Organ vpiše pritožbo, odpre svoje spise, hrani in organizira prejete podatke in podatke, ki jih zbere, opravi dejansko in pravno presojo teh podatkov, zahteva dodatne dokumente, evidentira preiskovalna dejanja ter na podlagi lastne analize sprejme postopkovne in vsebinske odločitve. Tako se obdelava ne uporablja le za tehnično vodenje upravnega spisa, ampak je tudi podlaga za samostojno dejavnost preiskave, presoje in odločanja, ki jo pravo Unije zaupa izključno nadzornemu organu.
45.      Okoliščina, da ta dejavnost spada v okvir opravljanja zakonske naloge, ne pomeni, da status „upravljavca“ izgine. Sodišče je večkrat opozorilo, da je javne organe mogoče opredeliti kot „upravljavce“, če imajo manevrski prostor glede konkretnih načinov obdelave.(17) V zvezi s tem je treba poudariti, da je organ Landesamt na obravnavi sam priznal, da ima polje proste presoje pri določanju svojih nalog, tudi pri obravnavanju pritožb,(18) pri čemer je to polje izraz njegove avtonomije.
46.      Opredelitev „obdelovalca“ je prav tako treba zavrniti, ker ni razmerja podrejenosti glede določitve namenov in sredstev, saj organ ne ukrepa po navodilu tretje osebe, temveč na podlagi izvajanja svojih pristojnosti. Natančneje, nadzorni organ nikakor ne deluje v imenu upravljavca, na katerega se nanaša pritožba, temveč izvaja javno pooblastilo, ki mu je podeljeno, da zagotovi skladnost s pravom Unije.
47.      Čeprav zadevna obdelava praviloma temelji na členu 6(1)(e) SUVP v povezavi s členom 57(1)(f) in (h) te uredbe, obstoj pravne podlage zagotavlja le zakonitost obdelave, ne da bi bil izključen status „upravljavca“. Nasprotno, dejstvo, da je z zakonom organu zaupano izvajanje nadzornih nalog, potrjuje, da obdeluje podatke pri izpolnjevanju svojih zakonskih obveznosti in v skladu s podrobnimi pravili, ki jih opredeljuje sam. Ker je „upravljavec“, zanj torej načeloma še naprej veljajo splošne obveznosti iz SUVP, zlasti načela iz člena 5 in pravice oseb, naštetih v poglavju III te uredbe, če te niso bile veljavno omejene z dovolj jasno in sorazmerno zakonsko določbo v skladu s členom 23 SUVP.
48.      Neodvisnost nadzornih organov, ki je določena v členu 52 SUVP in potrjena v uvodni izjavi 117, zahteva, da so ti opredeljeni kot „upravljavci“ za dejanja v zvezi z osebnimi podatki, ki jih izvajajo pri opravljanju svojih zakonskih nalog. Samo avtonomna določitev namenov in sredstev zadevnih postopkov obdelave skupaj z odgovornostjo, ki iz tega izhaja, jim omogoča, da svoja pooblastila za nadzor in zagotavljanje skladnosti izvajajo popolnoma neodvisno od subjektov, ki jih nadzorujejo. Če bi se v okviru obravnavanja pritožb šteli zgolj za izvajalce namenov, ki jih opredelijo tretje osebe, bi to ogrozilo njihovo institucionalno avtonomijo, jih postavilo v razmerje odvisnosti od preiskovanih upravljavcev in bi zahteva po odgovornosti, ki jo določa pravo Unije, izgubila pomen. Nadzorni organ mora torej sam prevzeti odgovornost za obdelavo osebnih podatkov, ki se izvaja v pritožbenem postopku, pri čemer pravice posameznikov, na katere se nanašajo osebni podatki, iz SUVP v celoti veljajo v razmerju do njega.(19)
49.      Nazadnje, če nadzorni organ v okviru obravnave pritožb ne bi bil opredeljen kot „upravljavec“, bi bil posameznik, na katerega se nanašajo osebni podatki, v veliki meri prikrajšan za varstvo osrednjega elementa obdelave njegovih podatkov. Pravice posameznikov, na katere se nanašajo osebni podatki, iz členov od 12 do 22 SUVP, zlasti pravica dostopa iz člena 15, se namreč lahko uveljavljajo le zoper upravljavca. Brez te opredelitve posameznik, na katerega se nanašajo osebni podatki, ne bi mogel vedeti, katere podatke organ zbira in obdeluje v okviru pritožbe, niti zahtevati njihovega popravka, izbrisa ali omejitve. Obdelava podatkov, ki jo izvaja organ, bi se tako izognila vsem zahtevam po preglednosti in odgovornosti, čeprav je ta organ odgovoren prav za zagotavljanje varstva pravic posameznikov, na katere se nanašajo osebni podatki. Če se ne bi opredelil kot „upravljavec“, bi se s tem ustvarila strukturna vrzel v varstvu, s katero bi bila posamezniku, na katerega se nanašajo osebni podatki, v razmerju do nadzornega organa odvzeta temeljna jamstva iz SUVP.(20)
50.      Iz tega sledi, da nadzorni organ v okviru obravnave pritožb, vloženih na podlagi člena 77 SUVP, odloča o namenih in sredstvih obdelave ter se ne omejuje na prejemanje ali upravljanje podatkov, ki jih določi tretja oseba. Deluje kot samostojen akter, ki zbira, organizira, analizira in uporablja osebne podatke kot podlago za odločitve, ki se nanašajo na izvajanje javnih pooblastil. Zato ga je treba opredeliti kot „upravljavca“ v smislu široke opredelitve iz člena 4, točka 7, SUVP.(21)
51.      Zaradi celovitosti je treba poudariti, da dejstvo, da zakonodajalec Unije ni izrecno določil primera, v katerem nadzorni organ v okviru pritožbenega postopka deluje hkrati kot „upravljavec“ v smislu člena 4, točka 7, SUVP, ni upoštevna trditev, s katero bi bilo mogoče taki opredelitvi nasprotovati. Nasprotno, odločilni element je vprašanje, ali ta organ izpolnjuje materialne pogoje iz te določbe. Kot pa je razvidno iz zgornje analize, je v obravnavani zadevi očitno tako.
52.      V tem okviru ni mogoče sprejeti niti trditve organa Landesamt, da nekatere določbe SUVP nujno zahtevajo strogo razlikovanje med nadzornim organom na eni strani in „upravljavcem“ na drugi strani. Te določbe se nanašajo le na načelni položaj, ki ga je predvidel zakonodajalec Unije in v katerem se ti vlogi ne prekrivata. Vendar ne izključujejo, da lahko nadzorni organ v nekaterih okoliščinah – kakršne so te v postopku v glavni stvari – hkrati izpolnjuje pogoje, ki se zahtevajo, da se opredeli kot „upravljavec“.
53.      Ker nekatere določbe SUVP določajo „sodelovanje“ ali „posvetovanje“ med „upravljavcem“ in nadzornim organom, zlasti v členih 31 in 36, je mogoče morebiten konflikt, ki bi lahko izhajal iz prekrivanja teh vlog, rešiti s teleološko razlago te uredbe. Taka razlaga ima za posledico, da so notranji postopki nadzornega organa organizirani in usklajeni tako, da se zagotovi učinkovito uresničevanje ciljev, ki jim sledijo zadevne določbe.
3.      Obstoj pravice dostopa pritožnika na podlagi člena 15 SUVP
54.      Kot je bilo navedeno v teh sklepnih predlogih, opredelitev nadzornega organa kot „upravljavca“ zanj pomeni obveznost, da zagotovi spoštovanje pravic, ki so posameznikom, na katere se nanašajo osebni podatki, priznane s poglavjem III SUVP. Med temi pravicami je zlasti pravica dostopa, določena v členu 15 te uredbe.
55.      V okviru postopka, začetega na podlagi člena 77 SUVP, ima pritožnik načeloma tudi status „posameznika, na katerega se nanašajo osebni podatki“, v smislu te uredbe. Zato lahko od nadzornega organa zahteva, naj mu potrdi, ali se obdelujejo osebni podatki, ki se nanašajo nanj. V primeru pritrdilnega odgovora pravica dostopa zajema tudi vse informacije, ki so izčrpno naštete v členu 15(1), od (a) do (h), SUVP, med katerimi so zlasti nameni obdelave, vrste zadevnih podatkov, uporabniki ali kategorije uporabnikov, obdobje hrambe in informacije o pravicah, ki jih ima posameznik, na katerega se nanašajo osebni podatki.
a)      Pravica do „kopije“ v skladu s členom 15(3) SUVP
56.      Pravica dostopa med drugim vključuje pravico posameznika, na katerega se nanašajo osebni podatki, da pridobi kopijo podatkov v skladu s členom 15(3) SUVP. Ta določba upravljavcu nalaga, da zadevni osebi posreduje kopijo njegovih osebnih podatkov v razumljivi obliki, ki omogoča natančno razumevanje obsega in načinov njihove obdelave. Namen te pravice je posamezniku, na katerega se nanašajo osebni podatki, omogočiti, da preveri, kateri podatki, ki se nanašajo nanj, se obdelujejo, identificira njihov vir, razume namene obdelave in se seznani z morebitnimi uporabniki.(22)
57.      Sodišče je razsodilo, da je treba kopijo predložiti pod pogoji, ki omogočajo učinkovit nadzor nad zakonitostjo obdelave in učinkovito uresničevanje drugih pravic iz SUVP.(23) Pojem „kopija“ se ne nanaša na dokument kot tak, ampak na osebne podatke, ki jih vsebuje; pomembno je, da so ti podatki posredovani v celoti, jasno in na način, ki omogoča razumevanje njihovega pomena. Za zagotovitev učinkovitosti te pravice se lahko reprodukcija izvlečkov iz dokumentov – ali celo celotnih dokumentov – ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo osebne podatke, ki se obdelujejo, izkaže za nujno.(24)
58.      Vendar obseg te pravice ostaja strogo omejen z njeno funkcijo. Nanaša se le na „osebne podatke“ posameznika, na katerega se nanašajo osebni podatki, in zajema vse informacije, ki se nanašajo nanj ali omogočajo njegovo določitev v smislu člena 4, točka 1, SUVP. Kadar je kontekst, v katerem se pojavijo ti podatki, potreben za njihovo popolno razumevanje, lahko obveznost razkritja vključuje posredovanje ustreznega izvlečka ali predstavitve z umestitvijo v kontekst v obsegu, ki je potreben za izpolnitev zahtev po preglednosti. Pravica pridobitve kopije je tako osrednji element mehanizma samoodločanja glede informacij, uvedenega s SUVP, ker posamezniku, na katerega se nanašajo osebni podatki, zagotavlja bistven nadzor nad obdelavo njegovih podatkov in mu omogoča, da preveri skladnost te obdelave z zahtevami prava Unije.
b)      Člen 15 SUVP ne določa „splošne pravice dostopa do upravnega spisa“
59.      Vendar te pravice dostopa iz člena 15 SUVP, ki je značilna za ureditev varstva osebnih podatkov, ni mogoče enačiti s splošno pravico dostopa do upravnega spisa niti s splošno zahtevo po upravni preglednosti. Namen te določbe je izključno zagotoviti preglednost obdelave, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči nadzor nad njihovo zakonitostjo in učinkovito uveljavljanje pravic, ki iz njih izhajajo, zlasti pravice do popravka, izbrisa („pravica biti pozabljen“), omejitve obdelave ali ugovora.(25) Nasprotno pa ne podeljuje niti splošne pravice dostopa do informacij, ki jih ima uprava, niti pravice do vpogleda v notranje dokumente, niti a fortiori pravice do razkritja elementov, ki spadajo v notranji postopek posvetovanja ali odločanja javnega organa. To postane očitno, ko se primerja pravica dostopa iz člena 15 SUVP z drugimi pravicami dostopa, določenimi v pravu Unije in nacionalnem pravu.
60.      Prvič, člen 15 in člen 77(2) SUVP imata različne namene in ju je zato treba strogo razlikovati. Člen 77(2) določa postopkovno pravico do obveščenosti o stanju zadeve in odločitvi o pritožbi, ne daje pa pravice dostopa do podatkov ali dokumentov, ki temeljijo na predpisih o varstvu podatkov. Medtem ko je namen člena 15 zagotoviti, da ima posameznik nadzor nad svojimi osebnimi podatki, se člen 77(2) navezuje na zahtevo po preglednosti postopka pri upravni obravnavi pritožb. Ti določbi, ki sta po vsebini in obsegu samostojni, se ne smeta zamenjevati med seboj ali se ena nadomestiti z drugo. Gre za neodvisni pravni ureditvi, ki imata različni normativni logiki, zanju veljajo njima lastni pogoji za izvajanje in njun namen ni, da se prekrivata ali nadomeščata druga drugo.
61.      Drugič, člen 15 SUVP izključno določa pravico dostopa do osebnih podatkov in ne določa niti pravice dostopa do upravnega spisa niti pravice do vpogleda v dokumente, ki jih ima organ.(26) Njegovo stvarno področje uporabe je omejeno na posredovanje osebnih podatkov, ki se obdelujejo, in se ne nanaša niti na upravno preglednost niti na dostop do notranjih postopkov odločanja. Pravica dostopa do spisa je tako – razen sektorskih določb prava Unije – v normativni pristojnosti držav članic, v katerih je na splošno urejena v zakonodajah o splošnem upravnem postopku, posebnih postopkovnih ureditvah, zakonih o svobodi obveščanja in preglednosti ali celo v posebnih poklicnih ali sektorskih pravilih.(27)
62.      Iz tega izhaja, da člen 15 SUVP ne utemeljuje nobene pravice do razkritja ali vpogleda v upravni spis kot tak. Natančneje, področje uporabe pravice dostopa ne zajema notranjih pravnih analiz, mnenj, komentarjev, opomb služb, pripravljalnih dokumentov niti, splošneje, elementov, ki spadajo v postopek priprave ali notranje obrazložitve upravne odločbe. Kadar dokument, ki ga hrani organ, vsebuje osebne podatke v zvezi s pritožnikom, je obveznost dostopa omejena na posredovanje teh podatkov kot takih, ne pa na izročitev ali popolno kopijo dokumenta, ki vsebuje te podatke. Nazadnje, informacije, ki nimajo nobene neposredne ali posredne identifikacijske povezave s posameznikom, na katerega se nanašajo osebni podatki, po naravi ne spadajo na stvarno področje uporabe člena 15 SUVP.
63.      Poleg tega je treba spomniti, da je pravica dostopa iz člena 15 SUVP lahko predmet nekaterih omejitev na podlagi člena 23(1) te uredbe, če so izpolnjeni v njem določeni pogoji. Ta vidik je predmet drugega vprašanja za predhodno odločanje, ki ga bom obravnaval v naslednjem razdelku.
4.      Vmesni predlog
64.      Glede na zgornje preudarke menim, da je treba na prvo vprašanje odgovoriti, da je treba člen 15 v povezavi s členom 4, točka 7, SUVP razlagati tako, da ima nadzorni organ v smislu člena 4, točka 21, te uredbe, kadar deluje v okviru pritožbenega postopka na podlagi člena 77 navedene uredbe, tudi status „upravljavca“ v smislu te uredbe in mora torej posamezniku, na katerega se nanašajo osebni podatki, zagotoviti pravico dostopa iz člena 15 SUVP.
C.      Drugo vprašanje
1.      Omejitve pravice dostopa do osebnih podatkov, naštetih v členu 23 SUVP
65.      Predložitveno sodišče želi z drugim vprašanjem pojasnilo glede razmerja med členom 23 SUVP in nacionalno določbo, ki tako kot člen 20(2) BayDSG na splošno izključuje vsakršno pravico dostopa ali vpogleda pri nadzornem organu za varstvo podatkov. Za odgovor na to vprašanje je potrebna temeljita analiza sistematike SUVP, kot izhaja iz njenega besedila, namena in upoštevnih uvodnih izjav, ter uporaba načel, ki jih je Sodišče določilo v zvezi z morebitnimi omejitvami pravic posameznikov, na katere se nanašajo osebni podatki.
66.      Člen 23 SUVP določa, da lahko zakonodajni ukrepi Unije ali držav članic, ki veljajo za upravljavca, med drugim omejijo pravico dostopa, zagotovljeno s členom 15 te uredbe, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je v demokratični družbi potreben in sorazmeren ukrep za zagotavljanje uresničitve enega od zakonitih ciljev, naštetih v točkah od (a) do (j) te določbe. Vendar člena 23(1) SUVP ni mogoče razlagati tako, da nacionalnega zakonodajalca pooblašča, da določbe členov od 12 do 22 navedene uredbe svobodno nadomesti s svojo ureditvijo. S to določbo je, nasprotno, določen izčrpen seznam pomensko odprtih določb, ki nacionalnemu zakonodajalcu omogočajo, da iz natančno naštetih razlogov določi omejitve pravic posameznikov, na katere se nanašajo osebni podatki, in obveznosti, ki jih ima upravljavec na podlagi teh členov.(28)
67.      Člen 23 SUVP tako uvaja ureditev odstopanja za področja, ki jih določa in ki se v bistvu nanašajo na opravljanje javnih nalog in nujne razloge v splošnem interesu, s katerimi je mogoče upravičiti zmanjšanje pravic posameznikov, na katere se nanašajo osebni podatki, v primerjavi z drugimi sektorji dejavnosti. V zvezi s tem je treba upoštevati uvodno izjavo 4, prvi in drugi stavek, SUVP, v skladu s katero je treba uravnotežiti zadevne temeljne pravice in zagotoviti, da so predvidene omejitve utemeljene, potrebne in sorazmerne glede na nasprotujoče si pravice in interese.
68.      Iz predložitvene odločbe je razvidno, da čeprav je v obrazložitvenem memorandumu bavarskega zakona kot pravna podlaga za člen 20(2) BayDSG izrecno naveden člen 23 SUVP, se ne sklicuje na nobenega od ciljev, naštetih v tej določbi. V njem je navedeno le, da to pravilo odraža posebno zahtevo glede namena, povezano z informacijami, pridobljenimi v okviru dejavnosti nadzora na področju varstva podatkov. Vendar predložitveno sodišče poudarja, da ima glede na stališča organa Landesamt v postopku v glavni stvari ta določba dejansko dva glavna cilja: na eni strani ohranjanje zaupnosti osebnih podatkov tretjih oseb ter na drugi strani zagotavljanje pravilnega delovanja in neodvisnosti nadzornega organa.
69.      V skladu z načeli, ki urejajo mehanizem sodelovanja, uveden s členom 267 PDEU, med sodiščem Unije in nacionalnimi sodišči – na podlagi katerih je razlaga nacionalnega prava v izključni pristojnosti predložitvenih sodišč,(29) Sodišče pa se mora opreti na pojasnila teh sodišč v zvezi z vsebino in obsegom tega prava(30) – bom te elemente upošteval kot podlago za svojo analizo.
2.      Združljivost splošne izključitve pravice dostopa iz člena 15 SUVP s členom 23 te uredbe
70.      V nadaljevanju teh sklepnih predlogov bom ugotovil, ali je mogoče splošno izključitev pravice dostopa iz člena 15 SUVP upravičiti z vidika zgoraj navedenih zakonodajnih ciljev. Analiziral bom tudi vprašanje, ali taka ureditev izpolnjuje dodatne zahteve, ki jih člen 23 SUVP nalaga za kakršno koli omejitev te pravice.
a)      Obstoj legitimnega cilja
1)      Varstvo zaupnosti osebnih podatkov tretjih oseb
71.      Varstvo zaupnosti osebnih podatkov tretjih oseb je legitimen cilj v smislu SUVP, ki načeloma upravičuje omejitve pravic, ki so podeljene posameznikom, na katere se nanašajo osebni podatki. V zvezi s tem je treba poudariti, da je v zvezi s pravico dostopa iz člena 15 SUVP v uvodni izjavi 63 te uredbe pojasnjeno, da „[t]a pravica ne bi smela negativno vplivati na pravice ali svoboščine drugih“. Upoštevati je torej treba dejstvo, da pravica do varstva osebnih podatkov, kot je razvidno iz uvodne izjave 4 navedene uredbe, ni absolutna pravica, saj jo je treba presojati glede na njeno vlogo, ki jo ima v družbi, in uravnotežiti z drugimi temeljnimi pravicami.(31)
72.      Člen 23(1)(i) SUVP se izrecno sklicuje na varstvo „pravic in svoboščin drugih“, kot je potrjeno v uvodni izjavi 73 te uredbe. Zato se lahko nacionalni zakonodajalec, kadar gre za osebne podatke upravnih uslužbencev ali posameznikov, veljavno opre na dejstvo, da bi njihovo razkritje poseglo v osebnostne pravice in da obstaja potreba po varstvu, ki jo je treba uravnotežiti s pravico dostopa pritožnika.
2)      Varstvo nemotenega delovanja in neodvisnosti nadzornih organov
73.      Ohranitev nemotenega delovanja in neodvisnosti odločanja nadzornih organov je tudi legitimen cilj v smislu člena 23(1) SUVP. Zakonodajalec Unije jim je namreč podelil ključno vlogo v evropskem sistemu varstva podatkov, kot je razvidno na eni strani iz člena 52 te uredbe, ki zagotavlja njihovo popolno neodvisnost, ter na drugi strani iz obsega preiskovalnih in popravljalnih pooblastil iz členov 57 in 58 navedene uredbe.(32) V zvezi s tem je Sodišče v svoji sodni praksi poudarilo, da je treba zagotoviti nemoteno delovanje teh organov, zlasti tako, da se poskrbi, da ga ne ovirajo očitno neutemeljene ali pretirane pritožbe v smislu člena 57(4) SUVP.(33)
74.      Zato in glede na člen 23(1)(h) SUVP, ki omogoča sprejetje omejitev, kadar so te potrebne za izvajanje nalog „nadzora“ in „pregleda“, povezanih z izvajanjem javne oblasti, je omejitev pravice dostopa načeloma lahko upravičena. Poleg tega je treba glede na obstoječe vzporednice upoštevati tudi cilj iz člena 23(1)(f) SUVP, kot je pojasnjen v uvodni izjavi 73 te uredbe, ki je zagotoviti neodvisnost sodstva in varstvo poteka sodnih postopkov. Res je, da nadzorni organi ne spadajo pod sodstvo; vendar imajo tako kot državni organi, zadolženi za izvajanje prava, ključno vlogo pri odkrivanju in kaznovanju kršitev prava na področju varstva osebnih podatkov. Iz tega sledi, da si je vsekakor mogoče predstavljati uporabo te določbe po analogiji.
3)      Zaščita javne varnosti
75.      Zaradi izčrpnosti je treba poudariti, da je v predložitveni odločbi kot morebitni razlog za utemeljitev navedena tudi zaščita javne varnosti v smislu člena 23(1)(c) SUVP, ne da bi bile navedene natančnejše informacije. Vendar se je treba strinjati s presojo predložitvenega sodišča in Komisije, da tako sklicevanje očitno ni utemeljeno. Glede na dejansko stanje v postopku v glavni stvari, kot ga je predstavilo predložitveno sodišče, se namreč taka omejitev očitno ne zdi upoštevna. Ta razlog za utemeljitev bo zato izločen iz analize, ki sledi.
b)      Zahteve, ki jih nalaga regulativni okvir SUVP
76.      Na eni strani je treba ugotoviti, da je interes, povezan z zaupnostjo osebnih podatkov tretjih oseb, ustrezno upoštevan z nacionalno ureditvijo, kot je člen 20(2) BayDSG, saj kategorično prepoveduje razkritje takih podatkov. Poleg tega ni mogoče izključiti, da bi lahko nesodelovanje nadzornih organov pri obravnavi zahtev za dostop pripeljalo do prerazporeditve človeških in materialnih virov na druga področja dejavnosti, kar lahko, odvisno od primera, povzroči določeno povečanje učinkovitosti.
77.      Na drugi strani take okoliščine vzbujajo dvome o njihovi skladnosti z normativnim okvirom, ki ga je zakonodajalec Unije uvedel ob sprejetju SUVP, in zlasti s splošno sistematiko te uredbe, ki temelji na ravnotežju med več interesi: preglednostjo obdelave podatkov, ohranjanjem zaupnosti, kadar je to potrebno, in učinkovitim varstvom teh interesov s strani nadzornih organov. Nacionalna ureditev, ki ne odraža ustrezno uravnoteženja teh interesov, zato ne more izpolnjevati zahtev iz člena 23(1) SUVP. Enako velja, če se zdi, da je mogoče predvideti ukrepe, ki manj posegajo v temeljne pravice, vendar so enako učinkoviti za doseganje zastavljenih ciljev.(34)
78.      V zvezi s tem je treba spomniti, da je bila v SUVP pravica dostopa iz člena 15 zasnovana kot bistveni element načela preglednosti. Ta opredelitev jasno izhaja iz uvodne izjave 63 te uredbe, v skladu s katero mora biti posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da se „seznani z obdelavo“, z namenom zagotoviti učinkovitost pravic, ki so mu podeljene z navedeno uredbo. Sodišče je to pojmovanje večkrat potrdilo, pri čemer je poudarilo, da ima pravica dostopa osrednje mesto v splošni sistematiki ureditve, uvedene z isto uredbo. Nacionalna določba, ki posamezniku, na katerega se nanašajo osebni podatki, na splošno in brez razlikovanja odvzame to pravico, zato posega v samo bistvo sistema varstva, ki ga je vzpostavil zakonodajalec Unije.
79.      Čeprav je res, da SUVP v členu 23 dovoljuje omejitve pravic posameznikov, na katere se nanašajo osebni podatki, vključno s pravico dostopa, iz razlogov javnega interesa, hkrati zahteva, da take omejitve temeljijo na dovolj natančni pravni podlagi. S to podlago morajo biti jasno opredeljeni narava, obseg in meje omejitve ter potrebni zaščitni ukrepi za preprečevanje nevarnosti zlorabe. V uvodni izjavi 41 te uredbe je pojasnjeno, da mora biti vsaka omejitev pravice, zagotovljene z navedeno uredbo, „jasna in natančna“ ter „predvidljiva“ za posameznika, na katerega se nanašajo osebni podatki, ki mora biti sposoben določiti obseg morebitnih omejitev svojih pravic.(35) Nacionalna določba, ki določa absolutno izključitev pravice dostopa, ne da bi določala njeno stvarno ali osebno področje uporabe ali zaščitne ukrepe, ne more izpolnjevati tako določenih zahtev.
80.      Poleg tega je v uvodni izjavi 60 SUVP opozorjeno, da je preglednost temeljno načelo obdelave osebnih podatkov, ki velja tudi za ukrepe javnih organov. Čeprav se lahko nekatere informacije začasno ne razkrijejo v okviru pritožbenega postopka, zlasti da se ne ogrozi preprečevanje, odkrivanje ali preiskovanje kaznivih ravnanj,(36) mora tak pridržek ostati nujno potreben in sorazmeren ter ne sme pripeljati do popolne nevtralizacije preglednosti v razmerju do posameznika, na katerega se nanašajo osebni podatki. Nacionalna določba, ki izključuje vse oblike dostopa, ne da bi razlikovala med osebnimi podatki in internimi dokumenti, je zato v nasprotju s sistematiko SUVP.
81.      Sodišče je v zvezi s členom 52(1) Listine tudi razsodilo, da morajo biti omejitve, ki jih je mogoče določiti za temeljno pravico, v skladu ne le z načeloma zakonitosti in sorazmernosti, ampak tudi z načelom, ki nalaga spoštovanje „bistvene vsebine“ zadevne pravice.(37) V uvodni izjavi 4 SUVP je ponovno potrjeno, da je varstvo osebnih podatkov temeljna pravica, določena v členu 8 Listine, katere omejitve se lahko določijo le ob spoštovanju načela sorazmernosti. Popolna izključitev pravice dostopa pa pripelje do tega, da se posamezniku, na katerega se nanašajo osebni podatki, odvzame samo bistvo te pravice, saj mu preprečuje, da bi nadzoroval, čeprav minimalno, obdelavo, ki je je deležen.
82.      V uvodni izjavi 75 SUVP je dodatno poudarjeno, da sam neobstoj ali nezadostnost preglednosti pomeni tveganje, ki lahko resno vpliva na pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki. Ureditev, ki posamezniku, na katerega se nanašajo osebni podatki, v celoti odvzema možnost, da se seznani z obdelavo v zvezi z njim, ustvarja prav položaj tveganja, ki ga je zakonodajalec želel preprečiti.
83.      Dodati je treba, da so v uvodni izjavi 129 SUVP nadzorni organi opredeljeni kot neodvisni organi, odgovorni za izvajanje te uredbe in za varstvo pravic posameznikov, na katere se nanašajo osebni podatki. Vendar ta naloga in položaj, ki ga imajo v nadzornem mehanizmu, vzpostavljenem s SUVP, ne pomenita, da so oproščeni vseh obveznosti, ki izhajajo iz te uredbe. SUVP, nasprotno, vzpostavlja skladen pravni okvir, v katerem za nadzorne organe ob izvajanju njihovih pooblastil še naprej v celoti veljajo pravila, ki jih določa, zlasti tista v zvezi s pravicami posameznikov, na katere se nanašajo osebni podatki. Nacionalna določba, ki popolnoma izključuje razkritje podatkov o posamezniku, na katerega se nanašajo osebni podatki, ogroža to ravnotežje in ogroža zahtevo po odgovornosti nadzornih organov.
84.      Absolutna izključitev pravice dostopa se poleg tega zdi nezdružljiva s ciljem SUVP, ki je zagotoviti visoko raven varstva podatkov za posameznike, kot je opozorjeno v uvodni izjavi 10 te uredbe.(38) Tako določena raven varstva temelji v bistvu na preglednosti in možnosti posameznika, na katerega se nanašajo osebni podatki, da nadzira dejanja obdelave, ki se nanaša nanj. Pravica dostopa iz člena 15 navedene uredbe je v zvezi s tem nepogrešljiv element, saj je podlaga za učinkovito uveljavljanje vseh drugih pravic posameznikov, na katere se nanašajo osebni podatki.(39) Če bi se ta pravica na splošno izključila, bi bile nekatere obdelave izvzete iz vsakršnega posamičnega nadzora, kar bi ogrozilo učinkovitost visoke ravni varstva, ki jo želi doseči zakonodajalec Unije.
85.      V zvezi s ciljem varstva pravic in svoboščin tretjih oseb, navedenim za utemeljitev omejitve pravice dostopa, je treba spomniti, da je Sodišče razsodilo, da morajo organi v primeru nasprotovanja med pravico dostopa in pravicami ali svoboščinami drugih oseb pretehtati zadevne interese. Iz uvodne izjave 63 SUVP izrecno izhaja, da to tehtanje nikakor ne more upravičiti popolnega odvzema dostopa.(40) Prilagojene ureditve, kot so delno razkritje, prikritje ali anonimizacija podatkov, varstvo identitete prijaviteljev, različna obravnava glede na kategorije dokumentov ali zagotavljanje strukturiranih informacij, ki niso individualizirane, omogočajo uskladitev zadevnih interesov, ne da bi se v celoti odpravila pravica dostopa.
86.      Kar zadeva zatrjevano potrebo po zagotovitvi neodvisnega in učinkovitega izvajanja nalog nadzornih organov, ni razvidno, kako bi lahko uresničevanje pravice dostopa iz člena 15 SUVP ogrozilo ta cilj. Strinjati se je treba s presojo predložitvenega sodišča, da neodvisnost nadzornih organov nikakor ne pomeni, da mora biti zakonitost obdelave osebnih podatkov, ki jo izvajajo, izvzeta iz nadzora posameznika, na katerega se nanašajo osebni podatki. Zato je treba izključiti tveganje morebitnega „vpliva“, ki bi ga lahko omogočil dostop do informacij, kot je predlagal organ
Landesamt.
87.      Poleg tega, kot je bilo pojasnjeno v teh sklepnih predlogih, člen 15 SUVP ne določa splošne pravice do vpogleda v spis,(41) tako da bi moralo upravno breme, ki iz tega izhaja, ostati omejeno. Ne glede na to je treba poudariti, da ta uredba v členu 12(5) nadzornim organom daje na voljo ustrezen instrument za obravnavanje zahtev, ki pomenijo zlorabo ali so pretirane.(42) Ti so pooblaščeni tudi za sprejemanje različnih ukrepov upravljanja, kot so začasna opustitev zagotavljanja informacij med postopkom, izključitev nekaterih notranjih dokumentov iz razkritja, razlikovanje različnih vrst postopkov, posredovanje le informacij v zvezi z že zaključenimi fazami ali vzpostavitev organizacijskih mehanizmov, ki zagotavljajo, da zahteve za dostop ne vplivajo na notranje postopke. S takimi ukrepi se lahko zagotovi nemoteno delovanje nadzornih organov, ne da bi bila v celoti izključena pravica dostopa iz člena 15 SUVP.
88.      Spomniti je treba tudi, da je učinkovitost nadzornih organov odvisna predvsem od tega, ali imajo na voljo potrebna sredstva, in sicer človeške, tehnične in finančne vire ter prostore in infrastrukturo, ki jih potrebujejo za učinkovito opravljanje svojih nalog in izvajanje pooblastil.(43) Člen 52(4) SUVP državam članicam izrecno nalaga, da to zagotovijo. S tega vidika vprašanja funkcionalnosti nadzornih organov ni mogoče zreducirati zgolj na število zahtev za dostop, ki temeljijo na členu 15 SUVP. Nezadostna dodelitev sredstev organom nikakor ne sme povzročiti znižanja ravni varstva osebnih podatkov.
89.      Iz predložitvene odločbe je razvidno, da je člen 20(2) BayDSG v nemškem pravnem redu posebnost, saj nobena druga zvezna dežela ne določa primerljive izključitve pravice dostopa. Taka osamitev na normativni ravni je resen indic, da omejitve tega obsega ni mogoče šteti za potrebno ali sorazmerno v smislu člena 23(1) SUVP. Ker vsi drugi nadzorni organi svoje naloge opravljajo brez splošne ukinitve pravic posameznikov, na katere se nanašajo osebni podatki, je težko trditi, da bi bil tak ukrep nujen za nemoteno delovanje organa ali za varstvo pravic tretjih oseb. Zdi se, da ureditev ene same zvezne dežele, ki znatno bolj omejuje pravice, zagotovljene s SUVP, kot tiste, sprejete na drugih delih nacionalnega ozemlja, ne izpolnjuje zahtev po skladnosti, nujnosti in sorazmernosti, ki izhajajo iz prava Unije.
90.      Ugotoviti je torej treba, da za navedena cilja – varstvo pravic tretjih oseb in ohranitev nemotenega izvajanja nalog nadzornih organov – ukrepi, ki so manj omejevalni, selektivni in skladni s pravom Unije, omogočajo doseganje želenih rezultatov, ne da bi se izničilo bistvo pravice dostopa, ne da bi bila odpravljena preglednost, ki se zahteva za posameznika, na katerega se nanašajo osebni podatki, in ne da bi bila ovirana možnost nadzora zakonitosti izvedenih obdelav.
91.      Drugi kritični vidik je, da na podlagi člena 20(2) BayDSG ni mogoče opredeliti cilja, ki mu sledi nacionalni zakonodajalec. Kot je razvidno iz navedb predložitvenega sodišča, je v pripravljalnem gradivu zgolj naveden člen 23 SUVP kot pravna podlaga, brez kakršnega koli sklica na enega od ciljev, naštetih v tej določbi. Ta člen 23 pa zahteva, da je namen omejitve jasno razviden iz same določbe, kar je nujen pogoj za učinkovit nadzor nad spoštovanjem načel nujnosti in sorazmernosti.
92.      Te zahteve po jasnosti ni mogoče popraviti z utemeljitvami, ki jih naknadno navede stranka v postopku predhodnega odločanja na podlagi člena 267 PDEU, zlasti če je ta stranka tista, ki ima korist od zadevne omejitve. Dopustitev take možnosti bi pomenila, da bi se volja demokratično odgovornega zakonodajalca nadomestila z argumentacijo, razvito v okviru spora, kar ne bi bilo združljivo z zahtevami po predvidljivosti, normativni preglednosti in pravni varnosti, ki izhajajo iz člena 23(1) in (2) SUVP.
93.      V teh okoliščinah je treba ugotoviti, da splošna in neselektivna izključitev pravice dostopa, kot je določena v členu 20(2) BayDSG, ni v skladu z zahtevami iz člena 23 SUVP, ker ne vsebuje nobenega od elementov, ki se izrecno zahtevajo v odstavku 2 tega člena, in ne spoštuje niti sistematike niti namena te uredbe, kot izhajata iz upoštevnih uvodnih izjav. Taka določba se zdi nesorazmerna, nezadostno določena in lahko pravici dostopa odvzame njeno bistveno vsebino.
3.      Vmesni predlog
94.      Iz zgoraj navedenih razlogov menim, da je treba člen 23 SUVP razlagati tako, da nasprotuje nacionalni ureditvi, kot je člen 20(2) BayDSG, ker izključuje obstoj pravice dostopa, ki temelji na členu 15 te uredbe, v razmerju do nadzornega organa.
VI.    Predlog
95.      Glede na zgoraj navedeno Sodišču predlagam, naj na vprašanji za predhodno odločanje, ki ju je postavilo Bayerisches Verwaltungsgericht Ansbach (bavarsko upravno sodišče v Ansbachu, Nemčija), odgovori:
1.      Člen 15 v povezavi s členom 4, točka 7, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
ima nadzorni organ v smislu člena 4, točka 21, te uredbe, kadar deluje v okviru pritožbenega postopka na podlagi člena 77 navedene uredbe, tudi status „upravljavca“ v smislu iste uredbe in mora torej posamezniku, na katerega se nanašajo osebni podatki, zagotoviti pravico dostopa iz člena 15 Uredbe 2016/679.
2.      Člen 23 Uredbe 2016/679
je treba razlagati tako, da
nasprotuje nacionalni določbi, kakršna je ta iz člena 20(2) bavarskega zakona o varstvu podatkov, ki izključuje obstoj pravice dostopa, ki temelji na členu 15 te uredbe, v razmerju do bavarskega nadzornega organa za varstvo podatkov.
1      Jezik izvirnika: francoščina.
2      UL 2016, L 119, str. 1.
3      Glej točko 24 in naslednje teh sklepnih predlogov.
4      Glej točko 65 in naslednje teh sklepnih predlogov.
5      Glej sodbo z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točki 65 in 66).
6      Sodišče je celo razsodilo, da je fizično ali pravno osebo, ki zaradi svojih ciljev vpliva na obdelavo osebnih podatkov in tako sodeluje pri določitvi namena in sredstev te obdelave, mogoče opredeliti kot upravljavca (glej sodbi z dne 10. julija 2018, Jehovan todistajat, C‑25/17 (EU:C:2018:551, točka 68), in z dne 29. julija 2019, Fashion ID, C‑40/17 (EU:C:2019:629, točka 68)).
7      V SUVP ni izrecno opredeljeno, kaj je „pritožba“, vendar je to v besedilu člena 77 prvič nakazano. V skladu s smernicami Evropskega odbora za varstvo podatkov (EOVP) se pritožba nanaša na vlogo, ki jo nadzornemu organu predloži določena fizična oseba – ali organ, ki izpolnjuje pogoje iz člena 80 – ki meni, da obdelava njenih podatkov pomeni kršitev SUVP. EOVP pojasnjuje, da ta pojem ni omejen na kršitve pravic, natančno določene v poglavja III, temveč širše zajema vse kršitve Uredbe, ki so posledica obdelave osebnih podatkov pritožnika (EOVP, Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, sprejet 15. decembra 2020, str. 3).
8      Glej sodbe z dne 7. decembra 2023, SCHUFA Holding (Odpis preostanka dolga) (C‑26/22 in C‑64/22, EU:C:2023:958, točka 58); z dne 26. septembra 2024, Land Hessen (Obveznost ukrepanja organa za varstvo podatkov) (C‑768/21, EU:C:2024:785, točka 35), in z dne 9. januarja 2025, Österreichische Datenschutzbehörde (Pretirane zahteve) (C‑416/23, EU:C:2025:3, točka 39).
9      Glej sodbo Sodišča Efte z dne 10. decembra 2020, Adpublisher AG/J & K (združeni zadevi E‑11/19 in E-12/19, točka 45).
10      Glej sodbe z dne 6. oktobra 2015, Schrems (C‑362/14, EU:C:2015:650, točka 63); z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, EU:C:2020:559, točka 107); z dne 7. decembra 2023, SCHUFA Holding (Odpis preostanka dolga) (C‑26/22 in C‑64/22, EU:C:2023:958, točka 56), in z dne 26. septembra 2024, Land Hessen (Obveznost ukrepanja organa za varstvo podatkov) (C‑768/21, EU:C:2024:785, točka 32).
11      V teh okoliščinah je treba spomniti na sklepne predloge generalnega pravobranilca P. Pikamäeja v združenih zadevah SCHUFA Holding (Odpis preostanka dolga) (C‑26/22 in C‑64/22, EU:C:2023:222, točka 42), v katerih je poudaril, da namen zakonodajalca Unije ni bil, da bi postopek pritožbe postal mehanizem, ki bi bil primerljiv z navadno „peticijo“. Zakonodajni cilj je bil, nasprotno, ustvariti mehanizem, s katerim bi bilo mogoče učinkovito zaščititi pravice in interese pritožnikov. Natančneje, obveznosti iz člena 57(1)(f) SUVP, ki jih ima nadzorni organ pri obravnavi teh pritožb in ki spadajo na področje uporabe načela „dobrega upravljanja“, pričajo o volji zakonodajalca, da temu postopku podeli bistvo „pravega upravnega sredstva“.
12      Glej sodbo z dne 26. septembra 2024, Land Hessen (Obveznost ukrepanja organa za varstvo podatkov) (C‑768/21, EU:C:2024:785, točka 42).
13      Glej sodbi z dne 7. decembra 2023, SCHUFA Holding (Odpis preostanka dolga) (C‑26/22 in C‑64/22, EU:C:2023:958, točka 70), in z dne 26. septembra 2024, Land Hessen (Obveznost ukrepanja organa za varstvo podatkov) (C‑768/21, EU:C:2024:785, točka 49).
14      V pravu Unije ni enotnih določb glede konkretne obravnave pritožb s strani nadzornih organov. Upravna praksa se zato med državami članicami razlikuje. Kljub temu si EOVP s smernicami in razvojem „najboljših praks“ prizadeva za zagotavljanje določene stopnje usklajenosti dejavnosti nadzora in postopkovnih pravil, zlasti v zvezi s sprejemanjem ali preverjanjem pritožb, ugotavljanjem sporazumnih poravnav itd. (glej v zvezi s tem EOVP, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, sprejet 15. decembra 2020).
15      Kot je Sodišče Efte ugotovilo v sodbi z dne 10. decembra 2020, Adpublisher AG/J & K
(združeni zadevi E-11/19 in E-12/19, točka 60), je nadzorni organ v skladu s členom 57(1)(h) SUVP pooblaščen za začetek preiskav po uradni dolžnosti. Zato se lahko v okviru obravnave pritožbe izreče o drugih zahtevkih ali o drugem predmetu spora, kot so tisti, ki jih je navedel pritožnik. Učinkovitost pritožbenega postopka zahteva, da nadzorni organ pri izvajanju svojih preiskovalnih pooblastil ni omejen s tem, kako je pritožnik v pritožbi oblikoval upoštevna pravna vprašanja.
16      Zdi se, da nadzorni organi obravnavajo pritožbe bodisi na podlagi določb nacionalnega prava bodisi po prostem preudarku. Prav tako se zdi, da obstajajo razlike pri obravnavi pritožb na podlagi pragmatičnih meril ali v poenostavljenem postopku (glej v zvezi s tem González Fuster, G. in drugi, „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR“, Access Now, Open Universiteit, 2022, str. 30).
17      Glej sodbo z dne 11. januarja 2024, État belge (Podatki, obdelani v uradnem listu) (C‑231/22, EU:C:2024:7, točka 39), in z dne 27. februarja 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, točka 49).
18      Organ Landesamt je na zahtevo Sodišča predstavil svojo upravno prakso na področju obravnavanja pritožb. V zvezi s tem je pojasnil, da lahko pritožniki na pristojne uradnike organa Landesamt naslovijo zahteve, tudi elektronsko, in zaprosijo za vpogled v spis. Iz te obrazložitve je jasno razvidno, da podrobna pravila, v skladu s katerimi organ Landesamt obravnava pritožbe, zlasti v zvezi z zbranimi podatki, sprejetimi organizacijskimi ukrepi in opravljenimi preiskavami, spadajo v avtonomijo, ki mu jo podeljuje SUVP pri opravljanju njegovih nalog.
19      Möhle, J.-P., Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht, Die Öffentliche Verwaltung, 2023, št. 3, str. 108, pojasnjuje, da se lahko samo osebi, ki lahko dejansko izvaja vpliv, naložijo obveznosti, ki izhajajo iz prava o varstvu podatkov (kot so obveznosti obveščanja, odgovornosti ali sodelovanja), to je tisti osebi, ki lahko v prihodnje prepreči kršitve pravil o varstvu podatkov. Po mojem mnenju ni dvoma, da lahko v pritožbenem postopku le nadzorni organ ustreza tej opredelitvi.
20      Kot je Sodišče razsodilo, pa je cilj te široke opredelitve pojma „upravljavec“ ravno zagotoviti učinkovito in popolno varstvo posameznikov, na katere se nanašajo osebni podatki (glej sodbe z dne 13. maja 2014, Google Spain in Google, C‑131/12 (EU:C:2014:317, točka 34); z dne 29. julija 2019, Fashion ID (C‑40/17, EU:C:2019:629, točka 66), in z dne 5. junija 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, točka 28)).
21      Glej v tem smislu Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG“, GRUR-Prax, 2025, št. 9, str. 324.
22      Glej sodbo z dne 22. junija 2023, Pankki S (C‑579/21, EU:C:2023:501, točka 50).
23      Glej sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF (C‑487/21, EU:C:2023:369, točki 33 in 34).
24      Glej sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF (C‑487/21, EU:C:2023:369, točka 41).
25      Glej sodbe z dne 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, točka 57); z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov) (C‑154/21, EU:C:2023:3, točka 38), in z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF (C‑487/21, EU:C:2023:369, točka 35).
26      Zanfir-Fortuna, G., „Article 15. Right of access by the data subject“, v Kuner, C., Bygrave, L. A. & Docksey, C. (ur.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, str. 452, poudarja, da je treba razlikovati med pravico dostopa do lastnih osebnih podatkov, določeno v členu 15 SUVP, in pravico dostopa do informacij javnega značaja. Ti dve pravici temeljita na različnih normativnih namenih: namen prve je zagotoviti preglednost v odnosu do posameznika, katerega podatke zbira in obdeluje upravljavec (preglednost inter partes), medtem ko je namen druge zagotoviti preglednost v razmerju do javnosti v zvezi z informacijami, ki imajo vrednost ali so v javnem interesu (preglednost erga omnes).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia“, Juridical Tribune - Review of Comparative and International Law, zv. 13, št. 2 (2023), str. 210, napoti na veljavne zakone o svobodnem dostopu do informacij.
28      Schemmer, F., „Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen“, Zeitschrift für das gesamte Informationsrecht, 2024, št. 5, str. 210.
29      Glej sodbi z dne 6. marca 2007, Placanica in drugi (C‑338/04, C‑359/04 in C‑360/04, EU:C:2007:133, točka 34), in z dne 21. junija 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, točka 240).
30      Glej sodbi z dne 25. oktobra 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, točka 10), in z dne 14. novembra 2024, S. (Sprememba sestave) (C‑197/23, EU:C:2024:956, točka 43).
31      Glej sodbe z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, EU:C:2020:559, točka 172); z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov) (C‑154/21, EU:C:2023:3, točka 47), in z dne 21. marca 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, točka 75).
32      Giurgiu, A./Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More ‚European‘ DPAs as Guardians of Consistency?“, European Data Protection Law Review, št. 3 (2016), str. 352, menita, da so nadzorni organi glavni poroki pravic posameznikov zaradi njihove osrednje vloge pri nadzoru in uporabi pravil o varstvu podatkov, določenih v SUVP. Poudarjata, kako pomembno je, da se tem organom zagotovijo zadostna finančna in kadrovska sredstva, da bodo lahko učinkovito opravljali svoje naloge.
33      Glej sodbo z dne 9. januarja 2025, Österreichische Datenschutzbehörde (Pretirane zahteve) (C‑416/23, EU:C:2025:3, točka 40).
34      Glej sodbo z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, točka 85).
35      Glej sodbo z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov za davčne namene) (C‑175/20, EU:C:2022:124, točka 56).
36      Glej v zvezi s tem EOVP, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), sprejete 13. oktobra 2021, točke od 65 do 67 in 82, ki priporočajo začasne omejitve uveljavljanja nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, da ne bi bile ogrožene upravne preiskave.
37      Glej sodbe z dne 8. aprila 2014, Digital Rights Ireland in drugi (C‑293/12 in C‑594/12, EU:C:2014:238, točka 38); z dne 6. oktobra 2015, Schrems (C‑362/14, EU:C:2015:650, točka 94); z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, EU:C:2020:559, točka 174), in z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 121).
38      Sodišče je v ustaljeni sodni praksi opozorilo na ta cilj in poudarilo, da je varstvo osebnih podatkov zagotovljeno s členom 16 PDEU in členom 8 Listine, s čimer je ta pravica določena v dveh določbah primarnega prava Unije (glej sodbo z dne 12. januarja 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, točka 43).
39      Glej sodbo z dne 22. junija 2023, Pankki S (C‑579/21, EU:C:2023:501, točka 53 in naslednje).
40      Glej sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF (C‑487/21, EU:C:2023:369, točka 44).
41      Glej točko 59 in naslednje teh sklepnih predlogov.
42      Glej sodbo z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov) (C‑154/21, EU:C:2023:3, točka 49). Kot je poudarilo Sodišče, mora upravljavec dokazati, da je zahteva za dostop očitno neutemeljena ali pretirana v smislu člena 12(5) SUVP.
43      Glej v zvezi s tem Agencija Evropske unije za temeljne pravice (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxembourg, 11. junija 2024, str. 21, ki navaja, da so bila sredstva, dana na voljo nadzornim organom, skozi leta „na splošno nezadostna“. Potem ko je Komisija prvič ocenila izvajanje SUVP, je Evropski parlament sprejel resolucijo, v kateri je države članice pozval, naj izpolnijo svojo obveznost iz člena 52(4) SUVP, da svojim nadzornim organom zagotovijo zadostna sredstva, da bodo lahko svoje naloge opravljali na najboljši možni način, in zagotovili enake pogoje za izvajanje SUVP na evropski ravni.