62021CJ0579
PRESUDA SUDA (prvo vijeće)
22. lipnja 2023. (
*1
)
„Zahtjev za prethodnu odluku – Obrada osobnih podataka – Uredba (EU) 2016/679 – Članci 4. i 15. – Opseg prava na pristup informacijama iz članka 15. – Informacije sadržane u datotekama zapisa koje generira sustav za obradu podataka (log data) – Članak 4. – Pojam ‚osobni podaci’ – Pojam ‚primatelji’ – Vremenska primjena”
U predmetu C‑579/21,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Itä-Suomen hallinto‑oikeus (Upravni sud istočne Finske, Finska), odlukom od 21. rujna 2021., koju je Sud zaprimio 22. rujna 2021., u postupku koji je pokrenuo
J. M.
uz sudjelovanje:
Apulaistietosuojavaltuutettu,
Pankki S,
SUD (prvo vijeće),
u sastavu: A. Arabadjiev, predsjednik vijeća, P. G. Xuereb, T. von Danwitz, A. Kumin i I. Ziemele (izvjestiteljica), suci,
nezavisni odvjetnik: M. Campos Sánchez‑Bordona,
tajnik: C. Strömholm, administratorica,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 12. listopada 2022.,
uzimajući u obzir očitovanja koja su podnijeli:
–
J. M., osobno,
–
za Apulaistietosuojavaltuutettu, A. Talus, tietosuojavaltuutettu,
–
za Pankki S, T. Kalliokoski i J. Lång, asianajajat, te E.-L. Hokkonen, oikeustieteen maisteri,
–
za finsku vladu, A. Laine i H. Leppo, u svojstvu agenata,
–
za češku vladu, A. Edelmannová, M. Smolek i J. Vláčil, u svojstvu agenata,
–
za austrijsku vladu, A. Posch, u svojstvu agenta,
–
za Europsku komisiju, A. Bouchagiar, H. Kranenborg i I. Söderlund, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 15. prosinca 2022.,
donosi sljedeću
Presudu
1
Zahtjev za prethodnu odluku odnosi se na tumačenje članka 15. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).
2
Zahtjev je upućen u okviru postupka koji je pokrenula osoba J. M., kojim traži poništenje odluke Apulaistietosuojavaltuutettu (zamjenik službenika za obradu podataka, Finska) kojom je odbijen njezin zahtjev da se društvu Pankki S, bankarskoj instituciji sa sjedištem u Finskoj, naloži da joj pruži određene informacije koje se odnose na uvide u njezine osobne podatke.
Pravni okvir
3
U uvodnim izjavama 4., 10., 11., 26., 39., 58., 60., 63. i 74. OUZP‑a navodi se:
„(4)
Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; [...]
[...]
(10)
Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar [Europske unije], razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. [...]
(11)
Djelotvorna zaštita osobnih podataka širom Unije zahtijeva jačanje i detaljno određivanje prava ispitanika i obveza onih koji obrađuju i određuju obradu osobnih podataka, [...]
[...]
(26)
[...] Kako bi se odredilo može li se utvrditi identitet pojedinca, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. [...]
[...]
(39)
Svaka obrada osobnih podataka trebala bi biti zakonita i poštena. Za pojedince bi trebalo biti transparentno kako se osobni podaci koji se odnose na njih prikupljaju, upotrebljavaju, daju na uvid ili na drugi način obrađuju, kao i do koje se mjere ti osobni podaci obrađuju ili će se obrađivati. Načelom transparentnosti traži se da svaka informacija i komunikacija u vezi s obradom tih osobnih podataka bude lako dostupna i razumljiva te da se upotrebljava jasan i jednostavan jezik. To se načelo osobito odnosi na informacije ispitaniku o identitetu voditelja obrade i svrhama obrade te daljnje informacije radi osiguravanja poštenosti i transparentnosti obrade s obzirom na pojedince o kojima je riječ i njihovo pravo da dobiju potvrdu i na obavijest o osobnim podacima koji se obrađuju, a koji se odnose na njih. Pojedinci bi trebali biti upoznati s rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom osobnih podataka i načinom ostvarenja svojih prava u vezi s obradom. Osobito, određena svrha u koju se osobni podaci obrađuju trebala bi biti izrijekom navedena i opravdana te određena u vrijeme prikupljanja osobnih podataka. [...]
[...]
(58)
Načelom transparentnosti zahtijeva se da svaka informacija namijenjena javnosti ili ispitaniku bude sažeta, lako dostupna i razumljiva, da se upotrebljava jasan i jednostavan jezik te da se usto, prema potrebi, koristi vizualizacijom. Takva bi se informacija također mogla dati u elektroničkom obliku, na primjer na internetskim stranicama, kada je namijenjena javnosti. To je osobito bitno u situacijama u kojima zbog velikog broja sudionika i tehnološke složenosti prakse ispitaniku nije lako prepoznati i razumjeti prikupljaju li se osobni podaci o njemu, tko ih prikuplja i u koju svrhu, kao što je slučaj internetskog oglašavanja. Imajući u vidu da djeca zaslužuju posebnu zaštitu, svaka informacija i komunikacija, u slučaju da je obrada usmjerena prema djetetu, trebale bi biti na jasnom i jednostavnom jeziku koji dijete lako može razumjeti.
[...]
(60)
Načelima poštene i transparentne obrade zahtijeva se da je ispitanik informiran o postupku obrade i njegovim svrhama. Voditelj obrade trebao bi ispitaniku pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka. [...]
[...]
(63)
Ispitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. [...] Svaki ispitanik stoga bi osobito trebao imati pravo znati i dobiti obavijest o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, o primateljima osobnih podataka, o logici automatske obrade osobnih podataka i o posljedicama takve obrade, barem kad se temelji na izradi profila. [...] To pravo ne bi smjelo negativno utjecati na prava ili slobode drugih, uključujući i poslovne tajne ili intelektualno vlasništvo, a osobito na autorsko pravo kojima je zaštićen računalni program. [...]
[...]
(74)
Trebalo bi uspostaviti dužnost i odgovornost voditelja obrade za svaku obradu osobnih podataka koju provede sâm voditelj obrade ili netko drugi u ime voditelja obrade. Osobito, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom [u]redbom uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.”
4
Članak 1. OUZP‑a, naslovljen „Predmet i ciljevi”, u stavku 2. propisuje:
„Ovom se [u]redbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”
5
Člankom 4. te uredbe predviđa se:
„Za potrebe ove [u]redbe:
1.
‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi [...]; pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2.
‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[...]
7.
‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; [...]
[...]
9.
‚primatelj’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. [...]
[...]
21.
‚nadzorno tijelo’ znači neovisno tijelo javne vlasti koje je osnovala država članica u skladu s člankom 51.;
[...]”
6
Članak 5. navedene uredbe, naslovljen „Načela obrade osobnih podataka”, glasi kako slijedi:
„1.   Osobni podaci moraju biti:
(a)
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);
[...]
(f)
obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (‚cjelovitost i povjerljivost’);
2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
7
U članku 12. OUZP‑a, naslovljenom „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika”, navodi se:
„1.   Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, [...] Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. [...]
[...]
5.   [...] Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može:
[...]
(b)
odbiti postupiti po zahtjevu.
Teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva jest na voditelju obrade.
[...]”
8
Člankom 15. te uredbe, naslovljenim „Pravo ispitanika na pristup”, propisuje se:
„1.   Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:
(a)
svrsi obrade;
(b)
kategorijama osobnih podataka o kojima je riječ;
(c)
primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;
(d)
ako je to moguće, predviđenom razdoblju u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja;
(e)
postojanju prava da se od voditelja obrade zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu;
(f)
pravu na podnošenje pritužbe nadzornom tijelu;
(g)
ako se osobni podaci ne prikupljaju od ispitanika, svakoj dostupnoj informaciji o njihovu izvoru;
(h)
postojanju automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislenim informacijama o tome o kojoj je logici riječ, kao i važnosti i predviđenim posljedicama takve obrade za ispitanika.
[...]
3.   Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. [...]
4.   Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.”
9
Člancima 16. i 17. navedene uredbe utvrđuju se ispitanikovo pravo na ispravak netočnih osobnih podataka (pravo na ispravak) odnosno njegovo pravo, u određenim okolnostima, na brisanje tih podataka (pravo na brisanje ili „pravo na zaborav”).
10
Članak 18. iste uredbe, naslovljen „Pravo na ograničenje obrade”, u stavku 1. propisuje:
„Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećeg:
(a)
ispitanik osporava točnost osobnih podataka, na razdoblje kojim se voditelju obrade omogućuje provjera točnosti osobnih podataka;
(b)
obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;
(c)
voditelj obrade više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva;
(d)
ispitanik je uložio prigovor na obradu na temelju članka 21. stavka 1. [dok se ne provjeri] nadilaze li legitimni razlozi voditelja obrade razloge ispitanika.”
11
Članak 21. OUZP‑a, naslovljen „Pravo na prigovor”, u stavku 1. predviđa:
„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.
[...]”
12
U skladu s člankom 24. stavkom 1. te uredbe:
„Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom [u]redbom. [...]”
13
Članak 29. navedene uredbe, naslovljen „Obrada pod vodstvom voditelja obrade ili izvršitelja obrade”, glasi kako slijedi:
„Izvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.”
14
Člankom 30. OUZP‑a, naslovljenim „Evidencija aktivnosti obrade”, predviđa se:
„1.   Svaki voditelj obrade i predstavnik voditelja obrade, ako je primjenjivo, vodi evidenciju aktivnosti obrade za koje je odgovoran.
[...]
4.   Voditelj obrade ili izvršitelj obrade te predstavnik voditelja obrade ili izvršitelja obrade, ako je primjenjivo, na zahtjev daju nadzornom tijelu uvid u evidenciju.
[...]”
15
Članak 58. te uredbe, naslovljen „Ovlasti”, u stavku 1. propisuje:
„1. Svako nadzorno tijelo ima sve sljedeće istražne ovlasti:
(a)
narediti voditelju obrade i izvršitelju obrade, a prema potrebi i predstavniku voditelja obrade ili izvršitelja obrade, da mu pruže sve informacije potrebne za obavljanje svojih zadaća [...]”
16
Člankom 77. navedene uredbe‚ naslovljenim „Pravo na pritužbu nadzornom tijelu”‚ određuje se sljedeće:
„1.   Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek‚ svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu‚ osobito u državi članici u kojoj ima uobičajeno boravište‚ u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja‚ ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu [u]redbu.
2.   Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe‚ među ostalim o mogućnosti sudskog pravnog lijeka na temelju članka 78.”
17
U članku 79. OUZP‑a‚ naslovljenom „Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade”‚ u stavku 1. navodi se:
„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj [u]redbi prekršena njegova prava iz ove [u]redbe.”
18
Članak 82. te uredbe, naslovljen „Pravo na naknadu štete i odgovornost”, u stavku 1., predviđa:
„Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove [u]redbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.”
19
U skladu s člankom 99. stavkom 2. OUZP‑a, on je stupio na snagu 25. svibnja 2018.
Glavni postupak i prethodna pitanja
20
Tijekom 2014. osoba J. M., koja je tada bila zaposlenik i klijent banke Pankki S, doznala je da su djelatnici banke u razdoblju od 1. studenoga do 31. prosinca 2013. u više navrata izvršili uvid u njezine osobne podatke kao klijenta.
21
Budući da je sumnjala u zakonitost tih uvida, osoba J. M., koja je u međuvremenu otpuštena sa svojeg radnog mjesta u banci Pankki S, zatražila je 29. svibnja 2018. od te banke da joj pruži informacije o identitetu osoba koje su izvršile uvid u njezine podatke kao klijenta, točnim datumima uvidâ i svrsi obrade navedenih podataka.
22
U svojem odgovoru od 30. kolovoza 2018. banka Pankki S, kao voditelj obrade u smislu članka 4. točke 7. OUZP‑a, odbila je pružiti informacije o identitetu zaposlenika koji su izvršili uvide s obrazloženjem da te informacije predstavljaju osobne podatke tih zaposlenika.
23
Međutim, u tom je odgovoru banka Pankki S iznijela pojašnjenja o uvidima koje je prema njezinim uputama izvršila služba za internu reviziju. Tako je objasnila da je klijent banke, čiji je osobni bankar bila osoba J. M., bio vjerovnik osobe koja se preziva isto kao i osoba J. M., pa je željela razjasniti jesu li tužitelj iz glavnog postupka i predmetni dužnik jedna te ista osoba i je li možda došlo do nedopuštenog sukoba interesa. Banka Pankki S dodala je da je obrada podataka osobe J. M. bila nužna za rješavanje tog pitanja te da se svaki djelatnik banke koji je obrađivao te podatke morao očitovati službi za internu reviziju o razlozima te obrade podataka. Usto, banka je izjavila da je na temelju tih uvida isključena svaka sumnja u sukob interesa u pogledu osobe J. M.
24
Osoba J. M. obratila se Tietosuojavaltuutetun toimisto (Ured službenika za zaštitu podataka, Finska), nadzornom tijelu u smislu članka 4. točke 21. OUZP‑a, kako bi se banci Pankki S naložilo da joj proslijedi tražene informacije.
25
Odlukom od 4. kolovoza 2020. zamjenik službenika za obradu podataka odbio je zahtjev osobe J. M. Objasnio je da je cilj takvog zahtjeva toj osobi omogućiti pristup datotekama zapisâ zaposlenika koji su obrađivali njezine podatke, ali, prema njegovoj praksi odlučivanja, takve datoteke nisu osobni podaci koji se odnose na ispitanika, nego podaci koji se odnose na zaposlenike koji su obrađivali podatke te osobe.
26
Osoba J. M. podnijela je tužbu protiv te odluke sudu koji je uputio zahtjev.
27
Taj sud podsjeća na to da je člankom 15. OUZP‑a predviđeno pravo ispitanika da od voditelja obrade dobije pristup podacima koji se na njega odnose i informacijama o, među ostalim, svrsi obrade i primateljima podataka. On nastoji doznati odnosi li se članak 15. OUZP‑a na prosljeđivanje datoteka zapisâ generiranih tijekom postupaka obrade, koje sadržavaju takve informacije, osobito identitet zaposlenikâ voditelja obrade, s obzirom na to da bi se te datoteke mogle pokazati potrebnima da ispitanik ocijeni zakonitost obrade svojih podataka.
28
U tim je okolnostima Itä-Suomen hallinto‑oikeus (Upravni sud istočne Finske, Finska) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Treba li pravo ispitanika na pristup koje mu pripada u skladu s člankom 15. stavkom 1. [OUZP‑a] u vezi s [pojmom] ‚osobni podaci’ u smislu članka 4. točke 1. te uredbe tumačiti na način da informacije koje prikupi voditelj obrade, iz kojih proizlazi tko je, kada i u koju svrhu obrađivao osobne podatke ispitanika, nisu informacije kojima ispitanik ima pravo pristupa, osobito jer je riječ o podacima koji se odnose na zaposlenike voditelja obrade?
2.
U slučaju potvrdnog odgovora i ako ispitanik na temelju članka 15. stavka 1. OUZP‑a nema pravo na pristup informacijama navedenim u tom pitanju jer one nisu ‚osobni podaci’ ispitanika u skladu s člankom 4. točkom 1. te uredbe, u predmetnom je slučaju u obzir potrebno uzeti i informacije kojima ispitanik ima pravo pristupa u skladu s člankom 15. stavkom 1. točkama [(a) do (h)] navedene uredbe:
(a)
kako treba tumačiti ‚svrhu obrade’ u smislu članka 15. stavka 1. točke (a) [OUZP‑a] s obzirom na opseg prava ispitanika na pristup, odnosno, može li se na svrsi obrade temeljiti pravo na pristup datotekama zapisâ koje je voditelj obrade prikupio, poput primjerice informacija o osobnim podacima osobe koja je podatke obrađivala, vremenu kao i svrsi te obrade?
(b)
Mogu li se osobe koje su obrađivale podatke o osobi J. M. u svojstvu klijenta u tom kontekstu pod određenim uvjetima smatrati primateljima osobnih podataka u skladu s člankom 15. stavkom 1. točkom (c) [OUZP‑a], o kojima bi ispitanik imao pravo dobiti informaciju?
3.
Je li za postupak relevantno to da je riječ o banci koja obavlja uređenu djelatnost ili to da je osoba J. M. istodobno radila za banku i bila njezin klijent?
4.
Je li za ocjenu prethodno navedenih pitanja relevantno to da su podaci osobe J. M. obrađeni prije stupanja [OUZP‑a] na snagu?”
O prethodnim pitanjima
Četvrto pitanje
29
Svojim četvrtim pitanjem, koje valja najprije ispitati, sud koji je uputio zahtjev u biti pita primjenjuje li se članak 15. OUZP‑a, u vezi s člankom 99. stavkom 2. te uredbe, na zahtjev za pristup informacijama navedenima u prvoj od tih odredbi kada su postupci obrade na koje se taj zahtjev odnosi provedeni prije datuma početka primjene navedene uredbe, ali je zahtjev podnesen nakon tog datuma.
30
Kako bi se odgovorilo na to pitanje, valja istaknuti da se na temelju članka 99. stavka 2. OUZP‑a ta uredba primjenjuje od 25. svibnja 2018.
31
U ovom slučaju, iz odluke kojom se upućuje prethodno pitanje proizlazi da su postupci obrade osobnih podataka o kojima je riječ u glavnom postupku provedeni između 1. studenoga 2013. i 31. prosinca 2013., odnosno prije datuma početka primjene OUZP‑a. Međutim, iz te odluke također proizlazi da je osoba J. M. svoj zahtjev za pružanje informacija podnijela banci Pankki S nakon tog datuma, odnosno 29. svibnja 2018.
32
U tom pogledu treba podsjetiti na to da se postupovna pravila općenito primjenjuju od datuma svojeg stupanja na snagu‚ za razliku od materijalnih pravila‚ koja se obično tumače na način da se na situacije koje su nastale i u cijelosti su okončane prije njihova stupanja na snagu primjenjuju samo ako iz njihove formulacije‚ svrhe ili strukture jasno proizlazi da im valja priznati takav učinak (presuda od 15. lipnja 2021.‚ Facebook Ireland i dr.‚ C‑645/19‚ EU:C:2021:483‚ t. 100. i navedena sudska praksa).
33
U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da je zahtjev osobe J. M. za pružanje informacija o kojima je riječ u glavnom postupku povezan s člankom 15. stavkom 1. OUZP‑a, kojim se predviđa pravo ispitanika na pristup osobnim podacima koji se na njega odnose i koji se obrađuju te informacijama navedenima u toj odredbi.
34
Valja utvrditi da se navedena odredba ne odnosi na uvjete zakonitosti obrade ispitanikovih osobnih podataka. Naime, člankom 15. stavkom 1. OUZP‑a samo se pojašnjava opseg prava te osobe na pristup podacima i u njemu navedenim informacijama.
35
Iz toga proizlazi da, kao što je to nezavisni odvjetnik istaknuo u točki 33. svojeg mišljenja, člankom 15. stavkom 1. OUZP‑a ispitanicima se dodjeljuje postupovno pravo (pravo na pristup) na dobivanje informacija o obradi njihovih osobnih podataka. S obzirom na njegovu postupovnu prirodu, ta se odredba primjenjuje na zahtjeve za pristup koji su podneseni od početka primjene te uredbe, kao što je to zahtjev osobe J. M.
36
U tim okolnostima, na četvrto pitanje valja odgovoriti tako da članak 15. OUZP‑a, u vezi s člankom 99. stavkom 2. te uredbe, treba tumačiti na način da se primjenjuje na zahtjev za pristup informacijama navedenima u toj odredbi kada su postupci obrade na koje se taj zahtjev odnosi provedeni prije datuma početka primjene navedene uredbe, ali je zahtjev podnesen nakon tog datuma.
Prvo i drugo pitanje
37
Svojim prvim i drugim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 15. stavak 1. OUZP‑a tumačiti na način da informacije o uvidima u osobne podatke određene osobe, koje se odnose na datume i svrhe tih uvida, kao i na identitet pojedinaca koje su te uvide izvršile, predstavljaju informacije koje ta osoba ima pravo dobiti od voditelja obrade na temelju te odredbe.
38
Najprije valja podsjetiti na to da, u skladu s ustaljenom sudskom praksom, pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 12. siječnja 2023., Österreichische Post (Informacije koje se odnose na primatelje osobnih podataka), C‑154/21, EU:C:2023:3, t. 29.).
39
Što se tiče, prije svega, teksta članka 15. stavka 1. OUZP‑a, tom se odredbom predviđa da ispitanik ima pravo od voditelja obrade dobiti potvrdu o tome obrađuju li se osobni podaci koji se na njega odnose i, ako je odgovor potvrdan, ostvariti pristup navedenim osobnim podacima te dobiti informacije, među ostalim, o svrsi obrade, o primateljima ili kategorijama primatelja kojima su ti osobni podaci otkriveni ili će biti otkriveni.
40
U tom pogledu valja naglasiti da su pojmovi iz članka 15. stavka 1. OUZP‑a definirani u članku 4. te uredbe.
41
Stoga je, kao prvo, člankom 4. točkom 1. OUZP‑a utvrđeno da su osobni podaci „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” te je pojašnjeno da „pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.
42
Upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” u toj odredbi odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (presuda 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 23.).
43
U tom je pogledu presuđeno da se informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (presuda 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 24.).
44
Kad je riječ o tome može li se „utvrditi identitet” pojedinca, uvodnom izjavom 26. OUZP‑a pojašnjava se da bi „trebalo [...] uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca”.
45
Iz toga proizlazi da široka definicija pojma „osobni podaci” ne obuhvaća samo podatke koje prikuplja i pohranjuje voditelj obrade, nego također uključuje sve informacije koje proizlaze iz obrade osobnih podataka koji se odnose na osobu čiji je identitet utvrđen ili se može utvrditi (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 26.).
46
Kao drugo, kad je riječ o pojmu „obrada”, kako je definiran u članku 4. stavku 2. OUZP‑a, valja utvrditi da je upotrebom izraza „svaki postupak” zakonodavac Unije namjeravao tom pojmu dati široko značenje koristeći neiscrpni popis postupaka koji se obavljaju na osobnim podacima ili skupovima osobnih podataka koji, među ostalim, obuhvaćaju prikupljanje, bilježenje, pohranu ili pak obavljanje uvida (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 27.).
47
Kao treće, u članku 4. točki 9. OUZP‑a pojašnjeno je da „primatelj” znači „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana”.
48
U tom je pogledu Sud presudio da ispitanik ima pravo od voditelja obrade dobiti informacije o konkretnim primateljima kojima su otkriveni ili će biti otkriveni osobni podaci koji se odnose na njega (presuda od 12. siječnja 2023., Österreichische Post (Informacije o primateljima osobnih podataka), C‑154/21, EU:C:2023:3, t. 46.).
49
Prema tome, iz jezične analize članka 15. stavka 1. OUZP‑a i u njemu navedenih pojmova proizlazi da je pravo na pristup, koje se tom odredbom priznaje ispitaniku, obilježeno širokim opsegom informacija koje voditelj obrade podataka treba pružiti toj osobi.
50
Nadalje, što se tiče konteksta članka 15. stavka 1. OUZP‑a, valja podsjetiti na to da se, kao prvo, uvodnom izjavom 63. te uredbe predviđa da bi svaki ispitanik trebao imati pravo znati i dobiti obavijest, osobito, o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, te o primateljima osobnih podataka.
51
Kao drugo, u uvodnoj izjavi 60. OUZP‑a navodi se da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka. Osim toga, u skladu s načelom transparentnosti, koje navodi sud koji je uputio zahtjev, na koje se upućuje u uvodnoj izjavi 58. OUZP‑a i koje je izričito utvrđeno člankom 12. stavkom 1. te uredbe, svaka informacija namijenjena ispitaniku treba biti sažeta, lako dostupna i razumljiva, uz uporabu jasnog i jednostavnog jezika.
52
U tom pogledu, člankom 12. stavkom 1. OUZP‑a pojašnjava se da voditelj obrade mora pružiti informacije u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem, osim ako ispitanik ne zatraži da se pruže usmenim putem. Cilj je te odredbe, kao odraza obveze transparentnosti, osigurati da ispitanik može u potpunosti razumjeti informacije koje mu se dostavljaju (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 38. i navedena sudska praksa).
53
Iz prethodne kontekstualne analize proizlazi da je članak 15. stavak 1. OUZP‑a jedna od odredbi kojima se jamči transparentnost načina obrade osobnih podataka u odnosa na ispitanika.
54
Naposljetku, to tumačenje opsega prava na pristup iz članka 15. stavka 1. OUZP‑a potvrđuju ciljevi koji se nastoje postići tom uredbom.
55
Naime, kao prvo, njezina je svrha, kao što je to navedeno u uvodnim izjavama 10. i 11. te uredbe, osigurati postojanu i visoku razinu zaštite pojedinaca u Uniji te ojačati i detaljno odrediti prava ispitanika.
56
Usto, kao što to proizlazi iz uvodne izjave 63. OUZP‑a, cilj ispitanikova prava na pristup vlastitim osobnim podacima i drugim informacijama koje se navode u članku 15. stavku 1. te uredbe prije svega je omogućiti toj osobi da bude svjesna obrade svojih podataka i da provjeri njezinu zakonitost. Iz toga slijedi da bi, u skladu s tom uvodnom izjavom i kao što je navedeno u točki 50. ove presude, svaki ispitanik trebao imati pravo znati i dobiti obavijest, osobito, o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, o primateljima osobnih podataka te o logici njihove obrade.
57
U tom pogledu, kao drugo, valja podsjetiti na to da je Sud već presudio da pravo na pristup iz članka 15. OUZP‑a treba omogućiti ispitaniku da se uvjeri u točnost osobnih podataka koji se na njega odnose i zakonitost njihove obrade (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 34.).
58
Konkretno, to je pravo na pristup nužno kako bi se ispitaniku omogućilo da prema potrebi ostvari svoje pravo na ispravak, brisanje („pravo na zaborav”) i pravo na ograničenje obrade, koja su mu priznata člancima 16., 17. i 18. OUZP‑a, pravo na podnošenje prigovora protiv obrade osobnih podataka, predviđeno člankom 21. OUZP‑a te pravo na pravni lijek u slučaju pretrpljene štete predviđeno člancima 79. i 82. OUZP‑a (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 35. i navedena sudska praksa).
59
Prema tome, članak 15. stavak 1. OUZP‑a jedna je od odredbi kojima se jamči transparentnost načina obrade osobnih podataka u pogledu ispitanika (presuda od 12. siječnja 2023.Österreichische Post (Informacije o primateljima osobnih podataka), C‑154/21, EU:C:2023:3, t. 42.), a bez koje transparentnosti bez koje on ne bi mogao ocijeniti zakonitost obrade svojih podataka ni izvršavati ovlasti koje su, među ostalim, predviđene člancima 16. do 18., 21., 79. i 82. te uredbe.
60
U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da je osoba J. M. od banke Pankki S zatražila da joj pruži informacije o uvidima u njezine osobne podatke između 1. studenoga 2013. i 31. prosinca 2013., koje se odnose na datume tih uvida, njihovu svrhu i identitet osoba koje su izvršile navedene uvide. Sud koji je uputio zahtjev navodi da bi se prosljeđivanjem datoteka zapisâ generiranih tijekom navedenih uvida moglo udovoljiti zahtjevu osobe J. M.
61
U ovom slučaju nije sporno da uvidi u osobne podatke tužitelja iz glavnog postupka predstavljaju „obradu” u smislu članka 4. točke 2. OUZP‑a, tako da on na temelju članka 15. stavka 1. te uredbe ima ne samo pravo na pristup tim osobnim podacima nego i pravo na to da mu se pruže informacije koje se odnose na te uvide, kako su navedene u potonjoj odredbi.
62
Kad je riječ o informacijama kao što su one koje je zatražila osoba J. M., obavijest o, prije svega, datumima uvida omogućuje ispitaniku da dobije potvrdu da su njegovi osobni podaci stvarno obrađivani u određenom trenutku. Usto, budući da uvjeti zakonitosti iz članaka 5. i 6. OUZP‑a trebaju biti ispunjeni u trenutku same obrade, datum te obrade je podatak koji omogućuje provjeru njezine zakonitosti. Nadalje, valja istaknuti da se informacija o svrsi obrade izričito navodi u članku 15. stavku 1. točki (a) te uredbe. Naposljetku, člankom 15. stavkom 1. točkom (c) navedene uredbe predviđa se da voditelj obrade obavješćuje ispitanika o primateljima kojima su otkriveni njezini podaci.
63
Što se tiče, konkretnije, pružanja svih tih informacija dostavom datoteka zapisâ o postupcima obrade o kojima je riječ u glavnom postupku, valja istaknuti da se u članku 15. stavku 3. prvoj rečenici OUZP‑a navodi da voditelj obrade „osigurava kopiju osobnih podataka koji se obrađuju”.
64
U tom pogledu Sud je već presudio da tako upotrijebljen pojam „kopija” označava reprodukciju ili vjerni prijepis izvornika, tako da isključivo opći opis podataka koji se obrađuju ili upućivanje na kategorije osobnih podataka ne odgovaraju toj definiciji. Usto, iz teksta članka 15. stavka 3. prve rečenice te uredbe proizlazi da se obveza priopćavanja odnosi na osobne podatke koji su predmet obrade o kojoj je riječ (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 21.).
65
Kopija, koju voditelj obrade treba osigurati, treba sadržavati sve osobne podatke koji se obrađuju, sve značajke koje ispitaniku omogućuju učinkovito ostvarivanje njegovih prava na temelju navedene uredbe i stoga treba u potpunosti i vjerno reproducirati te podatke (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 32. i 39.).
66
Stoga, kako bi se osiguralo da su tako pružene informacije lako razumljive, kao što se to zahtijeva člankom 12. stavkom 1. OUZP‑a, u vezi s uvodnom izjavom 58. te uredbe, reprodukcija izvadaka dokumenata, cijelih dokumenta ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju osobne podatke koji se obrađuju, može se pokazati neophodnom, u slučaju kada je kontekstualizacija obrađenih podataka nužna kako bi se osigurala njihova razumljivost. Konkretno, kada su osobni podaci dobiveni iz drugih podataka ili kada takvi podaci proizlaze iz neispunjenih polja, odnosno iz nenavođenja informacije o ispitaniku, kontekst u kojem se ti podaci obrađuju bitan je element koji ispitaniku omogućuje transparentan pristup tim podacima i njihov razumljiv prikaz (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 41. i 42.).
67
U ovom slučaju, kao što je to istaknuo nezavisni odvjetnik u točkama 88. do 90. svojeg mišljenja, u datoteke zapisâ, koje sadržavaju informacije koje je zatražila osoba J. M., spadaju evidencije aktivnosti u smislu članka 30. OUZP‑a. Treba smatrati da se na njih odnose mjere, navedene u uvodnoj izjavi 74. te uredbe, koje provodi voditelj obrade kako bi dokazao usklađenost aktivnosti obrade s navedenom uredbom. U članku 30. stavku 4. te uredbe posebno se navodi da se nadzornom tijelu, na njegov zahtjev, te evidencije trebaju dati na uvid.
68
Pod uvjetom da te evidencije aktivnosti ne sadržavaju informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, u smislu sudske prakse navedene u točkama 42. i 43. ove presude, one voditelju obrade samo omogućuju da ispuni svoje obveze prema nadzornom tijelu koje zatraži njihovu dostavu.
69
Kad je, konkretnije, riječ o datotekama zapisâ voditelja obrade, dostava kopije informacija koje se nalaze u tim datotekama može se pokazati nužnom za ispunjenje obveze da se ispitaniku omogući pristup svim informacijama iz članka 15. stavka 1. OUZP‑a i za osiguravanje poštene i transparentne obrade, čime bi mu se omogućilo da u potpunosti ostvari svoja prava koja ima na temelju te uredbe.
70
Naime, kao prvo, takve datoteke upućuju na to da postoji obrada podataka kojoj ispitanik treba imati pristup na temelju članka 15. stavka 1. OUZP‑a. Usto, one pružaju informacije o učestalosti i intenzitetu uvida, što omogućuje ispitaniku da se uvjeri da je obrada doista provedena u svrhe koje je voditelj obrade naveo.
71
Kao drugo, te datoteke sadržavaju informacije o identitetu osoba koje su izvršile uvide.
72
U ovom slučaju, iz odluke kojom se upućuje prethodno pitanje proizlazi da su osobe koje su izvršile uvide o kojima je riječ u glavnom postupku zaposlenici banke Pankki S koji su djelovali pod njezinim vodstvom i u skladu s njezinim uputama.
73
Iako iz članka 15. stavka 1. točke (c) OUZP‑a proizlazi da ispitanik ima pravo od voditelja obrade dobiti informacije o primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, zaposlenici voditelja obrade ne mogu se smatrati „primateljima” u smislu članka 15. stavka 1. točke (c) OUZP‑a, kako je navedeno u točkama 47. i 48. ove presude, kada obrađuju osobne podatke pod vodstvom navedenog voditelja i u skladu s njegovim uputama, kao što je to istaknuo nezavisni odvjetnik u točki 63. svojeg mišljenja.
74
U tom pogledu, važno je naglasiti da, u skladu s člankom 29. OUZP‑a, bilo koja osoba koja djeluje pod vodstvom voditelja obrade i koja ima pristup osobnim podacima može obrađivati te podatke samo po uputi navedenog voditelja.
75
Prema tome, informacije koje su sadržane u datotekama zapisâ i koje se odnose na osobe koje su izvršavale uvide u ispitanikove osobne podatke mogu predstavljati informacije iz članka 4. točke 1. OUZP‑a, kao što su one navedene u točki 41. ove presude, koje omogućuju ispitaniku da provjeri zakonitost obrade svojih podataka, a osobito da se uvjeri da su postupci obrade stvarno provedeni pod vodstvom voditelja obrade i u skladu s njegovim uputama.
76
Međutim, kao prvo, iz odluke kojom se upućuje prethodno pitanje proizlazi da informacije iz datoteka zapisâ, kao što su one iz glavnog postupka, omogućuju utvrđivanje identiteta zaposlenika koji su proveli obradu i sadržavaju osobne podatke tih zaposlenika, u smislu članka 4. točke 1. OUZP‑a.
77
U tom pogledu valja podsjetiti na to da, kad je riječ o pravu na pristup iz članka 15. OUZP‑a, u uvodnoj izjavi 63. te uredbe pojašnjava se da „[t]o pravo ne bi smjelo negativno utjecati na prava ili slobode drugih”.
78
Naime, na temelju uvodne izjave 4. OUZP‑a, pravo na zaštitu osobnih podataka nije apsolutno pravo jer ga treba razmatrati u odnosu na njegovu funkciju u društvu i ujednačiti s drugim temeljnim pravima (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 172.).
79
Međutim, pod pretpostavkom da je pružanje informacija o identitetu zaposlenikâ voditelja obrade nužno da bi se ispitanik na kojeg se obrada odnosi uvjerio u zakonitost obrade svojih osobnih podataka, time se ipak mogu povrijediti prava i slobode tih zaposlenika.
80
U tim okolnostima, u slučaju sukoba između, s jedne strane, ostvarivanja prava na pristup, kojim se osigurava koristan učinak prava koja se OUZP‑om priznaju ispitaniku i, s druge strane, prava i sloboda drugih, treba odvagnuti prava i slobode o kojima je riječ. Ako je to moguće, potrebno je odabrati načine kojima se ne povređuju prava i slobode drugih, uzimajući u obzir, kao što to proizlazi iz uvodne izjave 63. OUZP‑a, da rezultat tih razmatranja ne bi smjelo biti „odbijanje pružanja svih informacija ispitaniku” (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 44.).
81
Međutim, kao drugo, iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da osoba J. M. ne traži pružanje informacija o identitetu zaposlenikâ banke Pankki S koji su izvršili uvide u njezine osobne podatke jer oni nisu stvarno djelovali pod vodstvom voditelja obrade i u skladu s njegovim uputama, nego se čini da sumnja u istinitost informacija o svrsi tih uvida koje mu je priopćila banka Pankki S.
82
U takvim okolnostima, ako ispitanik smatra da informacije koje mu je pružio voditelj obrade nisu dovoljne da otklone njegove sumnje u pogledu zakonitosti obrade njegovih osobnih podataka, on ima pravo podnijeti pritužbu nadzornom tijelu na temelju članka 77. stavka 1. OUZP‑a, a to tijelo ima ovlast, na temelju članka 58. stavka 1. točke (a) te uredbe, zahtijevati od voditelja obrade da mu pruži sve informacije koje su mu potrebne za rješavanje ispitanikove pritužbe.
83
Iz prethodnih razmatranja proizlazi da članak 15. stavak 1. OUZP‑a treba tumačiti na način da informacije o uvidima u osobne podatke određene osobe, koje se odnose na datume i svrhe tih uvida, predstavljaju informacije koje ta osoba ima pravo dobiti od voditelja obrade na temelju te odredbe. Nasuprot tomu, navedenom se odredbom ne utvrđuje takvo pravo kad je riječ o informacijama koje se odnose na identitet zaposlenikâ navedenog voditelja koji su izvršavali te uvide pod njegovim vodstvom i u skladu s njegovim uputama, osim ako su te informacije neophodne kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom i pod uvjetom da se uzmu u obzir prava i slobode tih zaposlenika.
Treće pitanje
84
Svojim trećim pitanjem sud koji je uputio zahtjev u biti pita je li okolnost, s jedne strane, da voditelj obrade obavlja bankarsku djelatnost u okviru uređene djelatnosti i, s druge strane, da je osoba čiji su osobni podaci obrađeni u svojstvu klijenta voditelja obrade ujedno i zaposlenik tog voditelja, relevantna za utvrđivanje opsega prava na pristup koje toj osobi priznaje članak 15. stavak 1. OUZP‑a.
85
Najprije valja naglasiti da se, kad je riječ o području primjene prava na pristup iz članka 15. stavka 1. OUZP‑a, nijednom odredbom te uredbe ne radi razlika s obzirom na narav djelatnosti voditelja obrade ili svojstvo osobe čiji se osobni podaci obrađuju.
86
Što se tiče, s jedne strane, uređenosti djelatnosti banke Pankki S, točno je da se člankom 23. OUZP‑a državama članicama omogućuje da u svojem zakonodavstvu ograniče opseg obveza i pravâ, među ostalim, iz članka 15. te uredbe.
87
Međutim, iz odluke kojom se upućuje prethodno pitanje ne proizlazi da se na djelatnost banke Pankki S primjenjuje takvo zakonodavstvo.
88
Što se tiče, s druge strane, okolnosti da je osoba J. M. istodobno bila klijent i zaposlenik banke Pankki S, valja istaknuti da, uzimajući u obzir ne samo ciljeve OUZP‑a, nego i opseg ispitanikova prava na pristup, kako su navedeni u točkama 49. i 55. do 59. ove presude, kontekst u kojem ta osoba traži pristup informacijama iz članka 15. stavka 1. OUZP‑a ne može ni na koji način utjecati na opseg tog prava.
89
Slijedom toga, članak 15. stavak 1. OUZP‑a treba tumačiti na način da okolnost da voditelj obrade obavlja bankarsku djelatnost u okviru uređene djelatnosti i da je osoba čiji se osobni podaci obrađuju u svojstvu klijenta voditelja obrade ujedno i zaposlenik tog voditelja, načelno ne utječe na opseg prava koje ta osoba ima na temelju te odredbe.
Troškovi
90
Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (prvo vijeće) odlučuje:
1.
Članak 15. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka), u vezi s člankom 99. stavkom 2. te uredbe,
treba tumačiti na način da je:
primjenjiv na zahtjev za pristup informacijama navedenima u toj odredbi kada su postupci obrade na koje se taj zahtjev odnosi provedeni prije datuma početka primjene navedene uredbe, ali je zahtjev podnesen nakon tog datuma.
2.
Članak 15. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
informacije o uvidima u osobne podatke određene osobe, koje se odnose na datume i svrhe tih uvida, predstavljaju informacije koje ta osoba ima pravo dobiti od voditelja obrade na temelju te odredbe. Nasuprot tomu, navedenom se odredbom ne utvrđuje takvo pravo kad je riječ o informacijama koje se odnose na identitet zaposlenikâ navedenog voditelja koji su izvršavali te uvide pod njegovim vodstvom i u skladu s njegovim uputama, osim ako su te informacije neophodne kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom i pod uvjetom da se uzmu u obzir prava i slobode tih zaposlenika.
3.
Članak 15. stavak 1. Uredbe 2016/679
treba tumačiti na način da:
okolnost da voditelj obrade obavlja bankarsku djelatnost u okviru uređene djelatnosti i da je osoba čiji se osobni podaci obrađuju u svojstvu klijenta voditelja obrade ujedno i zaposlenik tog voditelja, načelno ne utječe na opseg prava koje ta osoba ima na temelju te odredbe.
Potpisi
(
*1
)	Jezik postupka: finski