Privremena verzija
MIŠLJENJE NEZAVISNOG ODVJETNIKA
RIMVYDASA NORKUSA
od 16. travnja 2026.(1)
Predmet C-205/25
Joachim Lindenberg
protiv
Bayerisches Landesamt für Datenschutzaufsicht
(zahtjev za prethodnu odluku koji je uputio Bayerisches Verwaltungsgericht Ansbach (Upravni sud Bavarske u Ansbachu, Njemačka)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 15. – Zahtjev ispitanika za pristup njegovim osobnim podacima – Članak 77. – Podaci sadržani u spisu nadzornog tijela uključenog u postupak pritužbe – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Članak 23. – Ograničenje prava na pristup – Nacionalni propis koji zabranjuje bilo kakav pristup spisu”
I.      Uvod
1.        Predmetni zahtjev za prethodnu odluku, koji je na temelju članka 267. UFEU-a uputio Bayerisches Verwaltungsgericht Ansbach (Upravni sud Bavarske u Ansbachu, Njemačka), odnosi se na tumačenje članka 4. točaka 7. i 21. i članaka 15., 23. i 77. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)(2) (u daljnjem tekstu: OUZP).
2.        Taj zahtjev za prethodnu odluku upućen je u okviru spora između Joachima Lindenberga, novinara specijaliziranog za zaštitu podataka, i Bayerisches Landesamta für Datenschutzaufsicht (Bavarsko nadzorno tijelo za zaštitu podataka, Njemačka) (u daljnjem tekstu: Landesamt), koji se odnosi na odbijanje tog tijela da mu na temelju članka 15. OUZP-a odobri potpuni pristup njegovu spisu u okviru postupka pokrenutog povodom pritužbe koju je podnio protiv treće strane. Landesamt je to odbijanje obrazložio bavarskom odredbom kojom se isključuje javni pristup spisima nadzornih tijela. Nakon što je J. Lindenberg podnio tužbu, to je tijelo naposljetku odobrilo elektronički pristup spisu, ali nije priznalo pravnu pogrešku, dok tužitelj i dalje zahtijeva utvrđenje nezakonitosti prvotnog odbijanja. Smatrajući da rješenje spora pretpostavlja tumačenje relevantnih odredbi OUZP-a kao i ispitivanje usklađenosti bavarskog zakonodavstva s pravom Unije, sud koji je uputio zahtjev odlučio je prekinuti postupak i uputiti Sudu dva prethodna pitanja.
3.        Od Suda se traži da odluči o tome može li se nadzorno tijelo za zaštitu podataka, u okviru postupka pritužbe pokrenutog na temelju članka 77. OUZP-a, smatrati „voditeljem obrade” u smislu članka 4. točke 7. OUZP-a i u kojoj je mjeri dužno poštovati obveze pristupa predviđene člankom 15. OUZP-a. Od njega se osobito traži da ispita protivi li se pravu Unije nacionalni propis kojim se ispitanicima isključuje svako pravo na pristup spisu. Tu ocjenu treba provesti s obzirom na članak 23. OUZP-a, kojim se zbog određenih razloga u općem interesu dopušta ograničavanje obveza pristupa predviđenih tom uredbom, kao i članak 8. stavak 2. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja), kojim se svakome jamči pravo na pristup prikupljenim podacima koji se na njega ili nju odnose. U tom pogledu Sud će morati odvagnuti, s jedne strane, zahtjev transparentnosti djelovanja uprave i, s druge strane, potrebu osiguranja učinkovitosti istraga u području zaštite podataka.
II.    Pravni okvir
A.      Pravo Unije
4.        U okviru ovog predmeta relevantni su članci 8. i 52. Povelje, članak 16. UFEU-a te članak 4. točke 1., 2., 7. i 9. te članci 5., 15., 23., 51., 57., 58. i 77. OUZP-a.
B.      Njemačko pravo
5.        Na temelju članka 18. Bayerisches Datenschutzgesetza (Zakon Bavarske o zaštiti podataka, u daljnjem tekstu: BayDSG), Landesamt je nadzorno tijelo za nejavne subjekte.
6.        Člankom 20. DSG-a propisuje se:
„(1) Svatko se može obratiti nadzornim tijelima s tvrdnjom da su mu povrijeđena prava prilikom obrade osobnih podataka. Pokretanje postupka pred nadzornim tijelima ne smije prouzročiti štetu ispitaniku.
(2) Ne postoje prava na pristup ili uvid u pogledu spisa i datoteka nadzornih tijela.”
7.        U obrazloženju Zakona koje se odnosi na članak 20. stavak 2. BayDSG-a navodi se da se ta odredba primjenjuje i isključuje svako pravo na pristup na temelju članka 15. OUZP-a ako se na takvo pravo poziva protiv Landesamta u pogledu njegovih spisa i datoteka.
III. Činjenično stanje glavnog postupka, glavni postupak i prethodna pitanja
8.        J. Lindenberg je novinar i vodi blog posvećen, među ostalim, zaštiti podataka. Od 2021. on je pred Landesamtom pokrenuo nekoliko postupaka povodom pritužbe.
9.        Budući da je J. Lindenberg 13. svibnja 2022. podnio pritužbu u području zaštite podataka Landesamtu, on je u odnosu na treću stranu pokrenuo postupak nadzora. Landesamt je porukom elektroničke pošte od 11. listopada 2022. obavijestio J. Lindenberga da je u tom pogledu utvrdio povrede zaštite podataka koje je počinila osoba na koju se odnosi pritužba. Dodao je da će, nakon isteka roka određenog za otklanjanje tih povreda, osobi na koju se odnosi pritužba izdati upozorenje uz prijetnju novčane kazne ako počini daljnje povrede. J. Lindenberg je istog dana poslao poruku elektroničke pošte kojom je zatražio dodatne pojedinosti o mjerama koje je poduzeo Landesamt. Nakon što potonji nije ispunio taj zahtjev, J. Lindenberg je porukom
elektroničke pošte od 11. listopada 2022. zatražio sve informacije u skladu s člankom 15. stavcima 1. i 3. OUZP-a.
10.      U poruci
elektroničke pošte i odluci od 20. listopada 2022. Landesamt je odbio zahtjev za pristup u skladu s člankom 15. stavcima 1. i 3. OUZP-a. Obrazložio je to odbijanje navodeći da izričita odredba iz članka 20. stavka 2. BayDSG-a isključuje pravo na pristup i uvid u spise i datoteke nadzornih tijela.
11.      J. Lindenberg je protiv te odluke podnio tužbu Bayerisches Verwaltungsgericht Ansbachu (Upravni sud Bavarske u Ansbachu) te je zatražio da se Landesamtu naloži da mu stavi na raspolaganje kopiju svih podataka iz spisa postupka pritužbe pokrenutog 13. svibnja 2022.
12.      Landesamt je odobrio 23. veljače 2024. elektronički pristup spisu postupka nadzora pokrenutog pritužbom koju je podnio J. Lindenberg, ali nije priznao zakonsku obvezu da to učini.
13.      Sada J. Lindenberg isključivo zahtijeva da se utvrdi nezakonitost odluke od 20. listopada 2022., kojom je Landesamt odbio tužiteljev zahtjev za pristup.
14.      Sud koji je uputio zahtjev ističe da, kada podnositelj pritužbe, kao što je J. Lindenberg, pokrene postupak pritužbe nadzornom tijelu za zaštitu podataka, kao što je Landesamt, na temelju članka 77. OUZP-a, to tijelo prema njemu djeluje kao nadzorno tijelo u smislu članka 4. točke 21. OUZP-a. Neki, među kojima je i J. Landesamt, smatraju da to isključuje mogućnost da je nadzorno tijelo za zaštitu podataka, u odnosu na podnositelja pritužbe, „voditelj obrade” u smislu članka 15. u vezi s člankom 4. točkom 7. OUZP-a te da to posljedično predstavlja prepreku pravu podnositelja pritužbe na pristup prema nadzornom tijelu za zaštitu podataka u vezi s osobnim podacima iz postupka pritužbe.
15.      Suprotno tomu, sud koji je uputio zahtjev polazi od načela da nadzorno tijelo za zaštitu podataka može istodobno biti nadzorno tijelo u smislu članka 4. točke 21. OUZP-a i voditelj obrade te osoba na koju se odnosi pritužba u smislu članka 15. u vezi s člankom 4. točkom 7. OUZP-a.
16.      Sud koji je uputio zahtjev smatra da se, ako je to doista slučaj, postavlja pitanje ispunjava li opće isključenje prava na pristup spisima i datotekama nadzornog tijela, kao što je ono predviđeno člankom 20. stavkom 2. BayDSG-a, uvjete koji uređuju korištenje mogućnosti predviđanja ograničenja, koja je predviđena člankom 23. stavkom 1. OUZP-a.
17.      U tim je okolnostima Bayerisches Verwaltungsgericht Ansbach (Upravni sud Bavarske u Ansbachu, Njemačka) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Treba li članak 15., u vezi s člankom 4. točkom 7. [OUZP-a], tumačiti na način da je nadzorno tijelo u skladu s člankom 4. točkom 21. te uredbe, koje djeluje u okviru postupka pritužbe koji je ispitanik pokrenuo u skladu s člankom 77. navedene Uredbe, istodobno „voditelj obrade” u smislu članka 15., u vezi s člankom 4. točkom 7. te iste uredbe, te stoga na temelju članka 15. [OUZP-a] ispitaniku treba pružiti pristup informacijama?
2.
U slučaju potvrdnog odgovora na prvo pitanje: treba li pravo Unije, a osobito članak 23. [OUZP-a], tumačiti na način da mu se protivi nacionalna odredba, poput članka 20. stavka 2. [BayDSG-a], koji je sporan u glavnom postupku, u skladu s kojom ne postoje opća prava na pristup ili uvid u pogledu spisa i datoteka nadzornih tijela u skladu s člankom 4. točkom 21. [OUZP-a]? ”
IV.    Postupak pred Sudom
18.      Odluku kojom se upućuje zahtjev za prethodnu odluku od 19. veljače 2025. tajništvo Suda zaprimilo je 17. ožujka 2025.
19.      Landesamt, bugarska i latvijska vlada te Europska komisija podnijeli su pisana očitovanja u roku određenom člankom 23. Statuta Suda Europske unije.
20.      Na raspravi održanoj 22. siječnja 2026. zastupnici ad litem J. Lindenberga, Landesamta, bugarske vlade te zastupnici Komisije iznijeli su usmena očitovanja.
V.      Pravna ocjena
A.      Uvodne napomene
21.      U ovom se predmetu postavlja načelno pitanje koje se odnosi na pravni status nadzornih tijela s obzirom na prava priznata OUZP-om, a osobito na pravo na pristup zajamčeno njegovim člankom 15. Riječ je o utvrđivanju može li se nadzorno tijelo, kada ispituje pritužbu podnesenu na temelju članka 77. OUZP-a, kvalificirati kao „voditelj obrade” za podatke koji se obrađuju u tom okviru, u smislu članka 4. točke 7. te uredbe. Ta je kvalifikacija odlučujuća jer uvjetuje primjenjivost obveza pristupa koje se mogu primijeniti na voditelja obrade i u širem smislu dovodi u pitanje ravnotežu između zaštite pojedinačnih prava i značajki svojstvenih izvršavanju nadzornih zadaća, koje se temelje na neovisnosti u odlučivanju, povjerljivosti istrage i učinkovitosti istražnih ovlasti.
22.      U slučaju da Sud presudi da nadzorno tijelo u načelu može biti dužno poštovati članak 15. OUZP-a, to bi dovelo do drugog normativnog pitanja koje se odnosi na usklađenost općeg i apsolutnog isključenja prava na pristup upravnim spisima s pravnim okvirom Unije. Takav nacionalni propis treba ispitati s obzirom na zahtjeve predviđene člankom 23. OUZP-a, kojim se strogo uređuju ograničenja prava koja se njime jamče, uvjetujući ih poštovanjem kumulativnih uvjeta u pogledu pravne osnove, nužnosti, razmjernosti i zaštite ciljeva od općeg interesa koje priznaje Unija. Ta analiza također zahtijeva uključivanje jamstava koja proizlaze iz primarnog prava, osobito onih koja se odnose na poštovanje temeljnih prava i djelotvornost pravnih lijekova.
23.      Stoga će se pravna analiza podijeliti na dvije uzastopne faze. S jedne strane bit će potrebno utvrditi može li se i u kojoj mjeri nadzorno tijelo izjednačiti s „voditeljem obrade ” u okviru postupka pritužbe, tako da bude vezano obvezama pristupa propisanima OUZP-om(3). S druge strane, i samo u slučaju potvrdnog odgovora, treba ocijeniti je li opće, neselektivno i preventivno isključenje prava na pristup spisima nadzornih tijela u skladu s usklađenim sustavom OUZP-a, s obzirom na zahtjeve upravne transparentnosti, zaštite podataka, institucionalne neovisnosti i učinkovitosti nadzornih mehanizama, koji moraju biti ujednačeni bez gubitka smisla bilo kojeg od ovih zahtjeva(4).
B.      Prvo pitanje
1.      Kvalifikacija nadzornog tijela kao „voditelja obrade” na temelju članka 4. točke 7. OUZP-a
24.      Kad je riječ o eventualnoj kvalifikaciji nadzornog tijela kao „voditelja obrade”, na koju se odnosi prvo prethodno pitanje, najprije valja podsjetiti na pravnu definiciju tog pojma, kako je navedena u članku 4. točki 7. OUZP-a. U skladu s tom odredbom, „voditelj obrade” znači svaka „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka”. U tom pogledu valja podsjetiti na to da se navedeni pojam, prema ustaljenoj sudskoj praksi Suda, tumači široko(5).
25.      Kao prvo, valja utvrditi da se ta zakonska definicija izričito odnosi na „tijela javne vlasti”. Samim tekstom članka 4. točke 7. OUZP-a stoga se ni na koji način ne isključuje mogućnost da se nadzorno tijelo kvalificira kao „voditelj obrade”. Zakonodavac Unije namjerno je odustao od razlikovanja između privatnih i javnih subjekata, kao što to proizlazi iz nekoliko uvodnih izjava u kojima se izričito spominje obrada osobnih podataka koju provode tijela javne vlasti. Osim toga, činjenica da je nadzorno tijelo u članku 4. točki 21. OUZP-a definirano kao neovisno tijelo javne vlasti koje je osnovala država članica u skladu s člankom 51. ne može se, s obzirom na širok i funkcionalni doseg koji je tom uredbom dodijeljen pojmu „voditelj obrade”(6), tumačiti na način da sprečava njegovu eventualnu kvalifikaciju kao takvog.
26.      Kao drugo, valja istaknuti da, kada takvo nadzorno tijelo izvršava zadaće koje su mu povjerene na temelju članka 77. OUZP-a, osobito ispitivanje pritužbi koje se odnose na moguće povrede pravila o zaštiti podataka, ono je i sâmo dužno obrađivati osobne podatke. Nadležno tijelo se ne ograničava samo na primanje tih podataka; ono ih strukturira, analizira, pohranjuje i koristi u okviru samostalnog izvršavanja istražnih ovlasti i ovlasti kaznenog progona koje su mu dodijeljene tom uredbom. Čini mi se da su takvi postupci obuhvaćeni područjem primjene članka 4. točke 2. OUZP-a, u kojem se pojam „obrada” tumači široko i odvojeno od bilo kojeg posebnog konteksta te obuhvaća sve postupke koji se obavljaju na podacima.
27.      Kako bih potkrijepio tu analizu, u razmatranjima koja slijede iznijet ću, s jedne strane, bitne značajke postupka pritužbe predviđenog člankom 77. OUZP-a i, s druge strane, kategorije osobnih podataka koje nadzorna tijela moraju redovito i konkretno obrađivati u tom okviru. Taj prikaz omogućit će bolje razumijevanje prirode i opsega zadaća koje nadzorna tijela obavljaju kada vode takav postupak.
a)      Bitne značajke „postupka pritužbe” predviđenog člankom 77. OUZP-a
28.      Postupak pritužbe(7) uspostavljen člankom 77. OUZP-a središnji je mehanizam sustava Unije namijenjen osiguravanju zaštite pojedinaca u vezi s obradom njihovih osobnih podataka. Doprinosi praktičnoj provedbi načela utvrđenog u članku 8. stavku 3. Povelje, prema kojem poštovanje pravila o zaštiti podataka mora podlijegati nadzoru neovisnog tijela. Sud je u više navrata naglasio da taj mehanizam nadzora nije isključivo formalne prirode, nego ima za cilj osigurati djelotvornu i stvarnu zaštitu temeljnih prava(8).
29.      Člankom 77. stavkom 1. OUZP-a svakom se ispitaniku dodjeljuje pravo da bez posebnog formalnog zahtjeva i bez rizika od troškova podnese pritužbu, osobito nadzornom tijelu države članice njegova uobičajenog boravišta, radnog mjesta ili mjesta navodnog kršenja. Budući da je to pravo bitan element sustava zaštite uspostavljenog tom uredbom, ono se ne može tumačiti ni primjeniti na način koji bi ostvarivanje tog prava učinio praktično nemogućim ili pretjerano teškim(9).
30.      Važno je naglasiti da podnošenje pritužbe nadzornom tijelu ne daje samo opću mogućnost ispitivanja, nego mu nameće konkretnu obvezu cjelovitog, savjesnog i nepristranog ispitivanja spisa. Naime, iz sudske prakse Suda proizlazi da je, u skladu s člankom 57. stavkom 1. točkom (f) OUZP-a, svako nadzorno tijelo dužno rješavati pritužbe podnesene na njegovu području, ispitati njihovu prirodu u mjeri u kojoj je to potrebno i rješavati ih uz svu dužnu pažnju(10).
31.      Iz toga proizlazi da se nadzorno tijelo ne može suzdržati od rješavanja pritužbe isključivo iz razloga upravne ekonomičnosti ili svrsishodnosti. Isto tako, zabranjeno mu je ograničiti svoje djelovanje na neformalno posredovanje ili ulogu pukog posrednika. Naprotiv, on je dužan ispitati navodnu povredu s činjeničnog i pravnog gledišta te, prema potrebi, učinkovito provesti korektivne ovlasti koje su mu dodijeljene pravom Unije(11).
32.      Prema sudskoj praksi, ovlasti navedene u članku 58. OUZP-a treba tumačiti s obzirom na njihovu svrhu, odnosno osiguravanje pune djelotvornosti te uredbe. Sud je ustrajao na obvezi nadzornih tijela da u slučaju utvrđene povrede donesu „prikladne i nužne” korektivne mjere i da iskoriste sve instrumente kojima raspolažu. Taj zahtjev uključuje represivne mjere jer nečinjenje može ugroziti koristan učinak navedene uredbe(12).
33.      Osim toga, člankom 77. stavkom 2. OUZP-a zahtijeva se da se podnositelja pritužbe obavijesti o napretku i ishodu postupka. Ta se obveza poštuje samo ako se na temelju pruženog odgovora može utvrditi da je pritužba stvarno bila predmet činjenične i pravne ocjene te da sadržava elemente potrebne za provedbu učinkovit sudskog nadzora. Stoga se postupak ne može ograničiti na isključivo formalnu odluku, nego mora dovesti do detaljne, propisno obrazložene ocjene koju sud pred kojim je pokrenut postupak može ispitati na temelju članka 78. stavka 1. OUZP-a. Naime, svaka odluka koju nadzorno tijelo donese o pritužbi podliježe cjelovitom sudskom nadzoru(13).
34.      Kao cjelina, postupak predviđen člankom 77. OUZP-a nije samo upravni akt, nego samostalno pravno sredstvo uspostavljeno pravom Unije koje istodobno pridonosi zaštiti prava pojedinaca i objektivnoj zaštiti pravnog poretka u području zaštite podataka. Sud nadzornim tijelima priznaje status institucionalnih jamaca sustava strukturne zaštite temeljnih prava, čija zadaća nije ograničena na pasivno primanje pritužbi, nego podrazumijeva aktivnu primjenu pravila o zaštiti podataka.
b)      „Obrada” osobnih podataka koju provodi nadzorno tijelo u postupku pritužbe
35.      Nakon podsjećanja na bitne značajke postupka pritužbe, valja analizirati u kojoj je mjeri aktivnost nadzornog tijela „obrada” u smislu članka 4. točke 2. OUZP-a. Taj pojam definiran je kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje.”
36.      U tom pogledu valja naglasiti da se u okviru postupka koji se temelji na članku 77. OUZP-a nadzorno tijelo ne ograničava samo na primanje podataka. Naprotiv, obavlja niz samostalnih i strukturiranih radnji radi izvršavanja svoje zakonske zadaće ispitivanja, istrage i nadzora. Naime, obrada započinje podnošenjem pritužbe, koja sadržava podatke o podnositelju pritužbe i, ovisno o slučaju, o voditelju obrade ili trećim stranama koje se mogu identificirati. Te se informacije, koje su obuhvaćene pojmom „osobni podaci” u smislu članka 4. točke 1. OUZP-a, bilježe, uključuju u spis i pohranjuju u unutarnje sustave nadzornog tijela, što već uključuje materijalne i organizacijske radnje koje čine „obradu”(14).
37.      Te su radnje dio zadaća koje su člankom 57. stavkom 1. OUZP-a povjerene nadzornim tijelima, kako je navedeno u ovom mišljenju. Te zadaće uključuju, među ostalim, ispitivanje pritužbi (točka (f)) kao i izvršavanje istražnih ovlasti i ovlasti odlučivanja (točka (h)). Pri izvršavanju tih zadaća tijela djeluju u okviru funkcionalne autonomije i autonomije u donošenju odluka zajamčene pravom Unije, koja se konkretno odražava u načinu na koji se istražuju pritužbe i izvršavaju nadzorne ovlasti koje iz njih proizlaze.
38.      Tijekom postupka nadzorno tijelo ispituje činjenične i pravne elemente koji su mu podneseni. Prikuplja, organizira, analizira i ocjenjuje podatke s obzirom na primjenjivi regulatorni okvir. Drugi postupci obrade također nastaju kada se od voditelja obrade, u odnosu na kojeg se podnosi pritužba i koji je predmet istrage, traže dodatne informacije ili kada se vrši uvid u dodatne dokumente koji mogu sadržavati osobne podatke. Nadzorno tijelo zatim prima, bilježi, analizira i pohranjuje te informacije. Isto tako, povezivanje tih elemenata s eventualnim postojećim spisima ili informacijama može se smatrati postupkom „obrade”.
39.      Tako obrađeni podaci upotrebljavaju se za samostalno izvršavanje istražnih ovlasti i ovlasti odlučivanja nadzornog tijela(15). Služe utvrđivanju činjenica, njihovoj pravnoj kvalifikaciji, procjeni mogućih korektivnih mjera i, prema potrebi, donošenju obvezujućih odluka ili naloga. Također se koriste kada se strankama šalju proceduralne obavijesti, posebno kada se podnositelj pritužbe ili voditelj obrade obavještavaju o ishodu postupka.
40.      Iz svih tih elemenata proizlazi da se nadzorno tijelo ne može smatrati samo „primateljem” podataka u smislu članka 4. točke 9. OUZP-a. Budući da samostalno odlučuje o načinima prikupljanja, analize, organizacije i uporabe tih podataka u svrhu izvršavanja zakonski povjerenih mu zadaća, djeluje kao operator koji provodi „obradu” u smislu članka 4. točke 2. OUZP-a. Taj aspekt je potrebno dodatno razmotriti u sljedećem odjeljku.
2.      Mogućnost nadzornog tijela da „utvrđuje svrhe i sredstva obrade”
41.      Da bi se nadzorno tijelo moglo kvalificirati kao „voditelj obrade” u smislu članka 4. točke 7. OUZP-a, potrebno je i da mu je povjerena ovlast određivanja svrha i sredstava obrade osobnih podataka.
42.      Kako je prethodno navedeno, uloga nadzornog tijela u postupku pritužbe na temelju članka 77. OUZP-a nije ograničena samo na pasivno primanje informacija. Ono zapravo određuje svrhu obrade jer odlučuje da će se podaci upotrebljavati za ispitivanje moguće povrede pravila o zaštiti podataka, utvrđivanje činjenica i, prema potrebi, pripremu i donošenje mjera nadzora. To određivanje svrhe nije samo zakonski unaprijed određeno, nego zahtijeva i da tijelo u svakom pojedinom slučaju samostalno provede konkretizaciju, osobito u pogledu opsega nadzora, točnog predmeta istrage i pravne kvalifikacije istaknutih prigovora(16).
43.      Nadzorno tijelo također samostalno odlučuje o bitnim aspektima sredstava obrade. Ono određuje koji se osobni podaci prikupljaju, u kojem se obliku bilježe, strukturiraju i pohranjuju, prema kojim se kriterijima stvaraju spisi, organiziraju digitalne arhive ili katalogiziraju dokazi te koji se tehnički ili organizacijski procesi koriste za analizu, daljnju obradu podataka ili njihovo interno stavljanje na raspolaganje. Isto tako, odlučuje treba li zahtjeve za informacije poslati osobi na koju se pritužba odnosi, koje dodatne informacije treba zatražiti, kojim će se metodama povezati i koliko dugo će se čuvati. Ta ovlast odabira i organizacije očito nadilazi puko izvršavanje pomoćne ili podredne zadaće.
44.      Stvarno provedeni postupci obrade potvrđuju tu autonomiju u donošenju odluka. Tijelo registrira pritužbu, otvara vlastite spise, pohranjuje i organizira primljene podatke kao i one koje prikuplja, provodi svoju činjeničnu i pravnu ocjenu, traži dodatne dokumente, evidentira istražne radnje i na temelju vlastite analize donosi postupovne i materijalne odluke. Obrada stoga ne služi samo tehničkom upravljanju upravnim spisom, nego je također temelj za samostalnu istragu, ocjenu i donošenje odluka, koju pravo Unije povjerava isključivo nadzornom tijelu.
45.      Činjenica da je ta aktivnost dio izvršavanja zakonske zadaće ne isključuje svojstvo „voditelja obrade”. Sud je u više navrata podsjetio na to da se tijela javne vlasti mogu kvalificirati kao „voditelji obrade” ako raspolažu marginom prosudbe u pogledu konkretnih načina obrade(17). U tom pogledu valja istaknuti da je sam Landesamt na raspravi priznao da raspolaže marginom prosudbe prilikom određivanja svojih zadaća, uključujući u okviru rješavanja pritužbi(18), s obzirom na to da ta margina predstavlja izraz njegove autonomije.
46.      Kvalifikaciju „izvršitelja obrade” također treba odbiti ako ne postoji nikakva podređenost u pogledu određivanja svrha i sredstava, s obzirom na to da tijelo ne djeluje prema uputama treće strane, nego izvršava svoje ovlasti. Konkretno, nadzorno tijelo uopće ne djeluje u ime voditelja obrade protiv kojeg je podnesena pritužba, nego izvršava javnu ovlast koja mu je dodijeljena kako bi se osiguralo poštovanje prava Unije.
47.      Iako se obrada o kojoj je riječ u pravilu temelji na članku 6. stavku 1. točki (e) OUZP-a u vezi s člankom 57. stavkom 1. točkama (f) i (h) te uredbe, postojanjem pravne osnove osigurava se samo zakonitost obrade, a da se pritom ne isključuje svojstvo „voditelja” obrade. Naprotiv, činjenica da se zakonom tijelu povjerava izvršavanje nadzornih zadaća potvrđuje da ono obrađuje podatke u ispunjavanju vlastitih zakonskih obveza i prema modalitetima koje samo utvrđuje. Stoga kao „voditelj obrade” u načelu i dalje podliježe općim obvezama iz OUZP-a, osobito načelima utvrđenima u članku 5. i pravima osoba navedenima u poglavlju III. te uredbe, pod uvjetom da ta prava nisu bila valjano ograničena dovoljno jasnom i proporcionalnom zakonskom odredbom, u skladu s člankom 23. OUZP-a.
48.      Neovisnost nadzornih tijela, utvrđena u članku 52. OUZP-a i ponovno potvrđena u uvodnoj izjavi 117., zahtijeva da se ona kvalificiraju kao „voditelji obrade” za radnje koje se odnose na osobne podatke koje ona provode u izvršavanju svojih zakonskih zadaća. Samo autonomno određivanje svrha i sredstava postupaka obrade o kojima je riječ, zajedno s odgovornošću koja iz toga proizlazi, omogućuje im da potpuno neovisno izvršavaju svoje ovlasti nadzora i usklađivanja u odnosu na subjekte koje nadziru. Smatrati ih u okviru rješavanja pritužbi pukim izvršiteljima svrha koje su definirale treće strane ugrozilo bi njihovu institucionalnu autonomiju, stavilo ih u odnos ovisnosti o ispitanim odgovornim osobama i lišilo bi zahtjev odgovornosti predviđen pravom Unije njegove biti. Nadzorno tijelo stoga mora preuzeti vlastitu odgovornost za obradu osobnih podataka koja se provodi u postupku pritužbe, pri čemu se prava ispitanika predviđena OUZP-om u potpunosti primjenjuju na njega(19).
49.      Naposljetku, ako nadzorno tijelo ne bi bilo kvalificirano kao „voditelj obrade” u okviru rješavanja pritužbi, ispitanik bi u velikoj mjeri bio lišen zaštite u pogledu središnjeg elementa obrade njegovih podataka. Naime, prava ispitanika predviđena u člancima od 12. do 22. OUZP-a, osobito pravo na pristup iz članka 15., mogu se ostvariti samo u odnosu na voditelja obrade. Bez te kvalifikacije ispitanik ne bi mogao znati koje podatke tijelo prikuplja i obrađuje u okviru pritužbe niti zatražiti njihov ispravak, brisanje ili ograničavanje. Obrada podataka koju provodi tijelo stoga ne podliježe nikakvom zahtjevu transparentnosti i odgovornosti, iako je upravo to tijelo zaduženo za osiguravanje zaštite prava ispitanika. Nepostojanje kvalifikacije kao „voditelja obrade” stoga bi stvorilo strukturnu prazninu u zaštiti, čime bi se ispitaniku u njegovu odnosu s nadzornim tijelom oduzela temeljna jamstva predviđena OUZP-om(20).
50.      Iz toga slijedi da nadzorno tijelo u okviru rješavanja pritužbi podnesenih na temelju članka 77. OUZP-a odlučuje o svrhama i sredstvima obrade i ne ograničava se samo na primanje ili upravljanje podacima koje je odredila treća strana. Djeluje kao samostalni subjekt koji prikuplja, organizira, analizira i upotrebljava osobne podatke kao temelj za odluke koje se odnose na izvršavanje javne vlasti. Stoga ga treba kvalificirati kao „voditelja obrade” u smislu široke definicije iz članka 4. točke 7. OUZP-a(21).
51.      Radi potpunosti, valja istaknuti da činjenica da zakonodavac Unije nije izričito predvidio slučaj u kojem nadzorno tijelo u okviru postupka pritužbe istodobno djeluje u svojstvu „voditelja obrade” u smislu članka 4. točke 7. OUZP-a nije relevantan argument koji se može protiviti takvoj kvalifikaciji. Naprotiv, odlučujuće je pitanje ispunjava li to tijelo materijalne uvjete predviđene tom odredbom. Kao što to proizlazi iz prethodne analize, to je očito slučaj u ovom predmetu.
52.      U tom se kontekstu ne može prihvatiti ni argument Landesamta prema kojem određene odredbe OUZP-a nužno podrazumijevaju strogo razlikovanje između nadzornog tijela, s jedne strane, i „voditelja obrade”, s druge strane. Te se odredbe odnose isključivo na načelnu situaciju koju je predvidio zakonodavac Unije, u kojoj se te dvije uloge ne preklapaju. Međutim, njima se ne isključuje mogućnost da nadzorno tijelo u određenim okolnostima, poput onih o kojima je riječ u glavnom postupku, istodobno ispunjava uvjete potrebne da bi ga se smatralo „voditeljem obrade”.
53.      Budući da se određenim odredbama OUZP-a predviđa „suradnja” ili „savjetovanje” između „voditelja obrade” i nadzornog tijela, osobito u člancima 31. i 36., potencijalni sukob koji može proizaći iz preklapanja tih uloga može se riješiti teleološkim tumačenjem te uredbe. Takvo tumačenje podrazumijeva da su unutarnji postupci nadzornog tijela organizirani i koordinirani tako da se osigura djelotvorno ostvarenje ciljeva koji se nastoje postići odredbama o kojima je riječ.
3.      Postojanje prava na pristup podnositelja pritužbe na temelju članka 15. OUZP-a
54.      Kao što je to navedeno u ovom mišljenju, kvalifikacija nadzornog tijela kao „voditelja obrade” podrazumijeva obvezu da osigura poštovanje prava koja se u poglavlju III. OUZP-a priznaju ispitanicima. Među tim se pravima osobito nalazi pravo na pristup utvrđeno u članku 15. te uredbe.
55.      U okviru postupka pokrenutog na temelju članka 77. OUZP-a, podnositelj pritužbe u načelu ima i svojstvo „ispitanika” u smislu te uredbe. U tom svojstvu može od nadzornog tijela zatražiti potvrdu obrađuju li se osobni podaci koji se na njega odnose. U slučaju potvrdnog odgovora, pravo na pristup obuhvaća i sve informacije koje su taksativno navedene u članku 15. stavku 1. točkama (a) do (h) OUZP-a, među kojima su osobito svrhe obrade, kategorije podataka o kojima je riječ, primatelji ili kategorije primatelja, razdoblje pohrane i informacije o pravima kojima ispitanik raspolaže.
a)       Pravo na „kopiju” u skladu s člankom 15. stavkom 3. OUZP-a
56.      Pravo na pristup uključuje, među ostalim, pravo ispitanika na dobivanje kopije podataka u skladu s člankom 15. stavkom 3. OUZP-a. Tom se odredbom voditelju obrade nalaže da ispitaniku dostavi kopiju njegovih osobnih podataka u razumljivom obliku, omogućujući mu da točno razumije opseg i metode njihove obrade. Svrha tog prava jest da se ispitaniku omogući da provjeri koji se podaci koji se na njega odnose obrađuju_da utvrdi njihov izvor, razumije njihove svrhe obrade i da bude obaviješten o mogućim primateljima(22).
57.      Sud je presudio da kopija mora biti dostavljena u uvjetima koji omogućuju učinkovit nadzor zakonitosti obrade kao i učinkovito ostvarivanje drugih prava iz OUZP-a(23). Pojam „kopija” ne odnosi se na dokument kao takav, nego na osobne podatke koji su u njemu sadržani; važno je da se ti podaci priopće u cijelosti, jasno i na način koji omogućuje razumijevanje njihovog značenja. Kako bi se zajamčila djelotvornost tog prava, reprodukcija izvadaka dokumenata – odnosno cijelih dokumenata – ili pak izvadaka iz baza podataka koje sadržavaju, među ostalim, osobne podatke koji se obrađuju može se pokazati neophodnom(24).
58.      Međutim, opseg tog prava i dalje je strogo ograničen njegovom funkcijom. Obuhvaća samo „osobne podatke” ispitanika i obuhvaća sve podatke koji se na njega odnose ili koje omogućuju njegovu identifikaciju u smislu članka 4. točke 1. OUZP-a. Ako je kontekst u kojem se pojavljuju ti podaci nužan za njihovo potpuno razumijevanje, obveza otkrivanja može podrazumijevati prijenos odgovarajućeg izvatka ili kontekstualiziranog prikaza, u mjeri potrebnoj za ispunjavanje zahtjeva transparentnosti. Pravo na dobivanje kopije stoga je središnji element mehanizma informativnog samoodređenja uspostavljenog OUZP-om jer ispitaniku jamči bitan nadzor nad obradom njegovih podataka i omogućuje mu da provjeri njezinu usklađenost sa zahtjevima prava Unije.
b)      Člankom 15. OUZP-a ne predviđa se „opće pravo na pristup upravnom spisu”
59.      Međutim, to pravo na pristup predviđeno člankom 15. OUZP-a, svojstveno sustavu zaštite osobnih podataka, ne može se izjednačiti s općim pravom na pristup upravnom spisu ni sa zahtjevom opće upravne transparentnosti. Ta je odredba namijenjena isključivo osiguravanju transparentnosti obrade kako bi se ispitaniku omogućilo da nadzire njezinu zakonitost i učinkovito ostvari prava koja iz nje proizlaze, osobito pravo na ispravak, pravo na brisanje („pravo na zaborav”), pravo na ograničenje obrade ili pravo na podnošenje prigovora(25). Suprotno tomu, njome se ne utvrđuje ni opće pravo na pristup informacijama koje ima uprava, ni pravo uvida u interne dokumente, ni, a fortiori, pravo na otkrivanje elemenata koji proizlaze iz internog postupka vijećanja ili odlučivanja tijela javne vlasti. To postaje očito kada se pravo na pristup iz članka 15. OUZP-a usporedi s drugim pravima na pristup utvrđenima pravom Unije i nacionalnim pravima.
60.      Kao prvo, članak 15. i članak 77. stavak 2. OUZP-a imaju različite svrhe i stoga ih treba strogo razlikovati. Člankom 77. stavkom 2. uspostavlja se postupovno pravo na obavješćivanje o napretku i ishodu obrade pritužbe, ali se ne dodjeljuje pravo na pristup podacima ili dokumentima na temelju propisa o zaštiti podataka. Stoga, dok se člankom 15. nastoji zajamčiti da pojedinac ima kontrolu nad vlastitim osobnim podacima, članak 77. stavak 2. povezan je sa zahtjevom postupovne transparentnosti u upravnoj obradi pritužbi. Te se odredbe, koje su samostalne po svojem predmetu i dosegu, ne mogu međusobno miješati niti zamijeniti. Riječ je o neovisnim pravnim sustavima koji imaju različite normativne logike, podliježu vlastitim uvjetima primjene i nisu namijenjeni preklapanju ili zamjeni jedni drugih.
61.      Kao drugo, člankom 15. OUZP-a uspostavlja se isključivo pravo na pristup osobnim podacima i ne utvrđuje se ni pravo na pristup upravnom spisu ni pravo na uvid u dokumente koje tijelo posjeduje(26). Njegovo materijalno područje primjene ograničeno je na otkrivanje osobnih podataka koji se obrađuju i ne cilja na upravnu transparentnost niti pristup internim procesima donošenja odluka. Pravo na pristup spisu stoga je, osim sektorskih odredaba prava Unije, stvar zakonodavne nadležnosti država članica, gdje je ono općenito uređeno propisima o općem upravnom postupku, posebnim postupovnim sustavima, zakonima o slobodi informiranja i transparentnosti ili pak posebnim strukovnim ili sektorskim pravilima(27).
62.      Slijedom toga, članak 15. OUZP-a ne utvrđuje nikakvo pravo na otkrivanje ili pravo uvida u sam upravni spis. Konkretno, opseg prava pristupa ne proteže se na interne pravne analize, mišljenja, bilješke, interne memorandume, pripremne dokumente ili, općenito, na elemente koji čine dio postupka izrade ili obrazloženja upravne odluke. Ako dokument u posjedu tijela sadržava osobne podatke o podnositelju pritužbe, obveza pristupa ograničena je na otkrivanje tih podataka kao takvih, a ne na dostavljanje ili potpunu kopiju dokumenta koji ih sadrži. Naposljetku, informacije koje nemaju nikakvu izravnu ili neizravnu poveznicu s ispitanikom po svojoj prirodi nisu obuhvaćene materijalnim područjem primjene članka 15. OUZP-a.
63.      Usto, valja podsjetiti na to da pravo na pristup predviđeno člankom 15. OUZP-a može biti predmet određenih ograničenja na temelju članka 23. stavka 1. te uredbe, ako su ispunjeni u njemu navedeni uvjeti. Taj je aspekt predmet drugog prethodnog pitanja, koje ću razmotriti u sljedećem odjeljku.
4.      Privremeni zaključak
64.      S obzirom na prethodna razmatranja, smatram da na prvo pitanje valja odgovoriti tako da članak 15., u vezi s člankom 4. točkom 7. OUZP-a, treba tumačiti na način da je nadzorno tijelo u skladu s člankom 4. točkom 21. te uredbe, kada djeluje u okviru postupka pritužbe u skladu s člankom 77. navedene uredbe, istodobno „voditelj obrade” u smislu te iste uredbe te je stoga dužno osigurati ispitaniku pravo na pristup predviđeno člankom 15. OUZP-a.
C.      Drugo pitanje
1.      Ograničenja prava na pristup osobnim podacima navedena u članku 23. OUZP-a
65.      Svojim drugim pitanjem sud koji je uputio zahtjev traži pojašnjenje odnosa koji postoji između članka 23. OUZP-a i nacionalne odredbe koja, poput članka 20. stavka 2. BayDSG-a, općenito isključuje svako pravo na pristup ili uvid od nadzornih tijela u području zaštite podataka. Odgovor na to pitanje zahtijeva temeljitu analizu strukture OUZP-a, kako to proizlazi iz njezina teksta, svrhe i relevantnih uvodnih izjava, kao i provedbe načela koja je Sud utvrdio u pogledu mogućih ograničenja prava ispitanika.
66.      Člankom 23. OUZP-a predviđa se da se zakonskim mjerama Unije ili država članica kojima podliježe voditelj obrade može ograničiti, među ostalim, pravo na pristup zajamčeno člankom 15. te uredbe, pod uvjetom da se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu usmjerenu na postizanje jednog od legitimnih ciljeva navedenih u točkama (a) do (j) te odredbe. Međutim, članak 23. stavak 1. OUZP-a ne može se tumačiti na način da ovlašćuje nacionalnog zakonodavca da odredbe članaka 12. do 22. navedene uredbe slobodno zamijeni vlastitim sustavom. Naprotiv, tom se odredbom utvrđuje ograničavajući katalog odstupajućih klauzula, kojim se nacionalnom zakonodavcu dopušta da zbog upravo navedenih razloga predvidi ograničenja prava ispitanika i obveza koje voditelj obrade ima na temelju tih članaka(28).
67.      Člankom 23. OUZP-a tako se uspostavlja sustav odstupanja za područja na koja se odnosi, koja se u biti odnose na izvršavanje javnih zadaća i ostvarivanje zahtjeva od općeg interesa koji mogu opravdati ublažavanje prava ispitanika u odnosu na druge sektore djelatnosti. U tom pogledu valja uzeti u obzir prvu i drugu rečenicu uvodne izjave 4. OUZP-a, kojom se nalaže da se provede ujednačavanje temeljnih prava o kojima je riječ i da se osigura da su predviđena ograničenja opravdana, nužna i proporcionalna s obzirom na suprotstavljena prava i interese.
68.      Iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da, iako se u obrazloženju bavarskog zakona kao pravna osnova članka 20. stavka 2. BayDSG-a izričito navodi članak 23. OUZP-a, u njemu se ne upućuje ni na jedan od ciljeva navedenih u toj odredbi. U njemu se samo navodi da taj standard odražava poseban zahtjev svrhe koji se odnosi na informacije dobivene u okviru nadzornih aktivnosti u području zaštite podataka. Međutim, sud koji je uputio zahtjev primjećuje da, prema očitovanjima Landesamta u glavnom postupku, ta odredba zapravo teži dvama glavnim ciljevima: s jedne strane, očuvanju povjerljivosti osobnih podataka trećih strana, a s druge strane, jamstvu pravilnog funkcioniranja i neovisnosti nadzornog tijela.
69.      U skladu s načelima kojima se uređuje mehanizam suradnje koji je člankom 267. UFEU-a uspostavljen između sudova Unije i nacionalnih sudova – na temelju kojih je tumačenje unutarnjeg prava isključivo u nadležnosti sudova koji su uputili zahtjeve(29), a Sud je dužan osloniti se na pojašnjenja koja su oni dali u pogledu sadržaja i dosega tog prava(30) – na tim će se elementima temeljiti moja analiza.
2.      Usklađenost s člankom 23. OUZP-a općeg isključenja prava na pristup iz članka 15. te uredbe
70.      U nastavku ovog mišljenja ću ispitati može li se opće isključenje prava na pristup iz članka 15. OUZP-a opravdati s obzirom na prethodno navedene zakonodavne ciljeve. Analizirat ću i ispunjava li takav propis dodatne zahtjeve koje članak 23. OUZP-a propisuje za svako ograničenje tog prava.
a)      Postojanje legitimnog cilja
1)      Zaštita povjerljivosti osobnih podataka trećih strana
71.      Zaštita povjerljivosti osobnih podataka trećih strana legitiman je cilj u smislu OUZP-a kojim se u načelu mogu opravdati ograničenja prava dodijeljenih ispitanicima. U tom pogledu valja podsjetiti na to da, kad je riječ o pravu na pristup iz članka 15. OUZP-a, u uvodnoj izjavi 63. te uredbe pojašnjava se da „[t]o pravo ne bi smjelo negativno utjecati na prava ili slobode drugih”. Stoga se uzima u obzir činjenica da, kao što to proizlazi iz uvodne izjave 4. navedene uredbe, pravo na zaštitu osobnih podataka nije apsolutno pravo jer ga treba ocijeniti u odnosu na njegovu funkciju u društvu i odvagnuti ga s drugim temeljnim pravima(31).
72.      Članak 23. stavak 1. točka (i) OUZP-a izričito upućuje na zaštitu „prava i sloboda drugih”, kako je to potvrđeno u uvodnoj izjavi 73. te uredbe. Slijedom toga, kada je riječ o osobnim podacima upravnih službenika ili privatnih osoba, nacionalni zakonodavac može se valjano osloniti na činjenicu da bi se njihovim otkrivanjem povrijedila prava osobnosti i da postoji potreba za zaštitom koju treba ujednačiti s pravom podnositelja pritužbe na pristup.
2)      Zaštita pravilnog funkcioniranja i neovisnosti nadzornih tijela
73.      Očuvanje pravilnog funkcioniranja i neovisnosti nadzornih tijela u donošenju odluka također je legitiman cilj u smislu članka 23. stavka 1. OUZP-a. Naime, zakonodavac Unije im daje ključnu ulogu u europskom sustavu zaštite podataka, kao što to potvrđuje, s jedne strane, članak 52. te uredbe kojim se jamči njihova potpuna neovisnost i, s druge strane, opseg istražnih i korektivnih ovlasti predviđenih člancima 57. i 58 navedene uredbe(32). U tom smislu, Sud je u svojoj sudskoj praksi naglasio da se mora jamčiti pravilno funkcioniranje tih tijela, posebno osiguravanjem da ga ne ometaju očito neosnovane ili pretjerane pritužbe, u smislu članka 57. stavka 4. OUZP-a (33).
74.      Stoga, s obzirom na članak 23. stavak 1. točku (h) OUZP-a, kojim se omogućuje donošenje ograničenja ako su ona potrebna za izvršavanje funkcije „praćenja” i „inspekcije” povezanih s izvršavanjem službenih ovlasti, ograničenje prava na pristup u načelu se može opravdati. Osim toga, s obzirom na postojeće paralele, valja uzeti u obzir i cilj naveden u članku 23. stavku 1. točki (f) OUZP-a, kako je on pojašnjen u uvodnoj izjavi 73. te uredbe, a to je osigurati neovisnost pravosuđa i zaštitu odvijanja sudskih postupaka. Točno je da nadzorna tijela nisu dio pravosudnog sustava; međutim, kao i državna tijela zadužena za provedbu prava, ona imaju ključnu ulogu u otkrivanju i sankcioniranju povreda prava u području zaštite osobnih podataka. Iz toga slijedi da se u svakom slučaju može predvidjeti analogna primjena te odredbe.
3)      Zaštita javne sigurnosti
75.      Radi iscrpnosti valja istaknuti da se u odluci kojom se upućuje zahtjev za prethodnu odluku kao mogući razlog za opravdanje navodi i zaštita javne sigurnosti u smislu članka 23. stavka 1. točke (c) OUZP-a, a da se pritom ne pružaju preciznije informacije. Međutim, valja se složiti s ocjenom suda koji je uputio zahtjev i Komisije, prema kojoj takvo pozivanje nije osnovano. Naime, s obzirom na činjenice u glavnom postupku kako ih je iznio sud koji je uputio zahtjev, takvo ograničenje očito nije relevantno. Slijedom toga, taj razlog za opravdanje bit će isključen iz analize koja slijedi.
b)      Zahtjevi propisani regulatornim okvirom OUZP-a
76.      S jedne strane, valja utvrditi da je interes povezan s povjerljivošću osobnih podataka trećih strana propisno uzet u obzir nacionalnim propisom kao što je članak 20. stavak 2. BayDSG-a jer kategorički zabranjuje otkrivanje takvih podataka. Osim toga, ne može se isključiti da nedostatak suradnje nadzornih tijela u okviru obrade zahtjeva za pristup može dovesti do preraspodjele ljudskih i materijalnih resursa u druga područja aktivnosti, što može, ovisno o slučaju, dovesti do određenih povećanja učinkovitosti.
77.      S druge strane, takve okolnosti izazivaju sumnju u njihovu usklađenost s regulatornim okvirom koji je uspostavio zakonodavac Unije prilikom donošenja OUZP-a, a posebno s općom strukturom te uredbe, koja se temelji na ravnoteži između nekoliko interesa: transparentnosti obrade podataka, očuvanja povjerljivosti kada je to potrebno i učinkovite zaštite tih interesa od strane nadzornih tijela. Nacionalni propis koji ne odražava na odgovarajući način ujednačavanje tih interesa stoga ne može ispuniti zahtjeve iz članka 23. stavka 1. OUZP-a. Isto vrijedi i kada se čini da se mogu razmotriti mjere kojima se manje zadire u temeljna prava, ali koje su jednako učinkovite za postizanje postavljenih ciljeva(34).
78.      U tom pogledu valja podsjetiti na to da je u OUZP-u pravo na pristup predviđeno njegovim člankom 15. zamišljeno kao bitan element načela transparentnosti. Ta kvalifikacija jasno proizlazi iz uvodne izjave 63. te uredbe, prema kojoj ispitanik mora moći biti „svjestan obrade” kako bi se osigurala djelotvornost prava koja su mu dodijeljena navedenom uredbom. Sud je u više navrata potvrdio to stajalište istaknuvši da pravo na pristup zauzima središnje mjesto u općoj strukturi sustava uspostavljenog istom uredbom. Nacionalna odredba koja ispitanika na općenit i neselektivan način lišava tog prava stoga ugrožava samu bit sustava zaštite koji je uspostavio zakonodavac Unije.
79.      Iako je točno da se člankom 23. OUZP-a dopuštaju ograničenja prava ispitanika, uključujući pravo na pristup, zbog javnog interesa, istodobno se zahtijeva da se takva ograničenja temelje na dovoljno preciznoj pravnoj osnovi. Ta osnova mora jasno definirati prirodu, opseg i granice ograničenja kao i potrebne zaštitne mjere za sprečavanje rizika od zlouporabe. U uvodnoj izjavi 41. te uredbe navodi se da svako ograničenje prava zajamčenog navedenom uredbom mora biti „jasno i precizno ” i „predvidljivo” za ispitanika, koji mora biti u mogućnosti odrediti opseg ograničenja koja se mogu postaviti njegovim pravima.(35). Nacionalna odredba koja predviđa apsolutno isključenje prava na pristup bez određivanja njegovog materijalnog područja primjene ili područja primjene ratione personae, niti predviđa zaštitne mjere, ne može zadovoljiti tako postavljene zahtjeve.
80.      Osim toga, u uvodnoj izjavi 60. OUZP-a podsjeća se na to da je transparentnost temeljno načelo obrade osobnih podataka, koje se primjenjuje i na djelovanje tijela javne vlasti. Iako se određene informacije mogu privremeno izuzeti iz priopćavanja u okviru postupka pritužbe, posebno kako se ne bi ugrozilo sprečavanje, otkrivanje ili istraga kaznenih djela(36), takva rezerva mora biti strogo nužna i razmjerna te ne smije dovesti do potpunog narušavanja transparentnosti u odnosu na ispitanika. Nacionalna odredba koja isključuje svaki oblik pristupa, a da se pritom ne pravi razlika između osobnih podataka i internih dokumenata stoga je u suprotnosti sa strukturom OUZP-a.
81.      Sud je također, u odnosu na članak 52. stavak 1. Povelje, utvrdio da ograničenja koja se mogu nametnuti temeljnom pravu moraju biti u skladu ne samo s načelima zakonitosti i proporcionalnosti, već i s načelom koje zahtijeva poštovanje „biti” prava o kojemu je riječ(37). Uvodna izjava 4. OUZP-a ponovno potvrđuje da zaštita osobnih podataka predstavlja temeljno pravo, utvrđeno člankom 8. Povelje, koje se može ograničiti samo u skladu s načelom proporcionalnosti. Međutim, potpuno isključenje prava na pristup dovodi do toga da se ispitanik lišava same biti tog prava, čime ga se sprečava da nadzire, čak i minimalno, obrade koja se na njega odnose.
82.      U uvodnoj izjavi 75. OUZP-a dodatno se naglašava da nepostojanje ili nedostatnost transparentnosti sama po sebi predstavlja rizik koji može ozbiljno utjecati na prava i slobode ispitanika. Propis kojim se ispitanika u potpunosti lišava mogućnosti da bude upoznat s obradom koja se na njega odnosi upravo stvara rizik koji je zakonodavac namjeravao spriječiti.
83.      Trebalo bi dodati da su u uvodnoj izjavi 129. OUZP-a nadzorna tijela definirana kao neovisna tijela odgovorna za provedbu te uredbe i zaštitu prava ispitanika. Međutim, ta zadaća, kao ni mjesto koje zauzimaju u mehanizmu nadzora uspostavljenom OUZP-om, ne znači da su izuzeti od svih obveza koje proizlaze iz te Uredbe. OUZP, naprotiv, stvara koherentan pravni okvir u kojem nadzorna tijela, izvršavajući svoje ovlasti, i dalje u potpunosti podliježu pravilima koja su njome uspostavljena, osobito onima koja se odnose na prava ispitanika. Nacionalna odredba kojom se u potpunosti isključuje otkrivanje podataka koji se odnose na ispitanika narušava tu ravnotežu i potkopava zahtjev za odgovornošću nadzornih tijela.
84.      Nadalje, apsolutno isključenje prava na pristup čini se nespojivim s ciljem OUZP-a, a to je osiguranje visoke razine zaštite podataka pojedinaca, kako je navedeno u uvodnoj izjavi 10. te uredbe(38). Predviđena razina zaštite u biti se temelji na transparentnosti i mogućnosti ispitanika da nadzire postupke obrade koji se na njega odnose. Pravo na pristup predviđeno člankom 15. navedene uredbe u tom je pogledu bitan element, budući da čini osnovu za učinkovito ostvarivanje svih ostalih prava ispitanika(39). Potpuno isključenje tog prava značilo bi da bi određene radnje obrade bile izuzete od svakog nadzora od strane pojedinaca čime bi se ugrozila djelotvornost visoke razine zaštite koju traži zakonodavac Unije.
85.      Kad je riječ o cilju zaštite prava i sloboda trećih strana, na koji se poziva kako bi se opravdalo ograničenje prava na pristup, valja podsjetiti na to da je Sud presudio da u slučaju sukoba između prava na pristup i prava i sloboda drugih osoba tijela moraju provesti ujednačavanje postojećih interesa. Iz uvodne izjave 63.
OUZP-a izričito proizlazi da to ujednačavanje ni u kojem slučaju ne može opravdati potpuno uskraćivanje pristupa(40). Prilagođeni aranžmani, kao što su djelomično otkrivanje, prikrivanje ili anonimizacija podataka, zaštita identiteta prijavitelja, različito postupanje prema kategorijama dokumenata ili pružanje strukturiranih informacija koje nisu individualizirane, omogućuju usklađivanje interesa o kojima je riječ bez potpunog ukidanja prava na pristup.
86.      Što se tiče navedene potrebe da se zajamči neovisno i učinkovito izvršavanje zadaća nadzornih tijela, nije razvidno na koji bi način ostvarivanje prava na pristup predviđenog člankom 15. OUZP-a moglo ugroziti taj cilj. Valja se složiti s ocjenom suda koji je uputio zahtjev prema kojoj neovisnost nadzornih tijela ni na koji način ne podrazumijeva da zakonitost obrade osobnih podataka koju provode treba izuzeti iz nadzora ispitanika. Stoga treba isključiti rizik od mogućeg „utjecaja” koji bi mogao biti olakšan pristupom informacijama, kako je to istaknuo Landesamt.
87.      Osim toga, kao što se to navodi u ovom mišljenju, člankom 15. OUZP-a ne utvrđuje se opće pravo na pristup spisu(41), tako da bi upravno opterećenje koje iz toga proizlazi trebalo ostati ograničeno. Neovisno o tome, treba napomenuti da se u članku 12. stavku 5. te uredbe nadzornim tijelima stavlja na raspolaganje odgovarajući instrument za rješavanje zlonamjernih ili pretjeranih zahtjeva(42). Ona su također ovlaštene donijeti različite mjere upravljanja, kao što su privremeno suzdržavanje od pružanja informacija tijekom postupka, isključenje određenih internih dokumenata iz objave, razlikovanje različitih vrsta postupaka, otkrivanje samo informacija koje se odnose na već dovršene faze ili uspostavljanje organizacijskih mehanizama kojima se osigurava da zahtjevi za pristup ne utječu negativno na unutarnje procese. Takve mjere omogućuju da se osigura pravilno funkcioniranje nadzornih tijela bez potpunog isključenja prava pristupa predviđenog člankom 15. OUZP-a.
88.      Također valja podsjetiti na to da učinkovitost nadzornih tijela u odlučujućoj mjeri ovisi o tome da im se stave na raspolaganje potrebna sredstva, odnosno ljudski, tehnički i financijski resursi te prostori i infrastrukture koji su neophodni za učinkovito izvršavanje njihovih zadaća i ovlasti(43). Člankom 52. stavkom 4. OUZP-a od država članica izričito se zahtijeva da osiguraju takvu dodjelu. U tom pogledu, pitanje funkcionalnosti nadzornih tijela ne može se ograničiti samo na broj zahtjeva za pristup koji se temelje na članku 15. OUZP-a. Nedovoljna dodjela sredstava tijelima ni u kojem slučaju ne smije dovesti do smanjenja razine zaštite osobnih podataka.
89.      Iz odluke kojom se upućuje prethodno pitanje proizlazi da je članak 20. stavak 2. BayDSG-a posebnost u njemačkom pravnom poretku, s obzirom na to da nijedna druga savezna zemlja ne predviđa usporedivo isključenje prava na pristup. Takva normativna izolacija predstavlja ozbiljnu naznaku da se ograničenje tog dosega ne može smatrati nužnim ni razmjernim u smislu članka 23. stavka 1. OUZP-a. Budući da sva druga nadzorna tijela izvršavaju svoje zadaće bez općeg ukidanja prava ispitanikâ, teško je tvrditi da je takva mjera neophodna za pravilno funkcioniranje tijela ili zaštitu prava trećih strana. Čini se da propis koji je svojstven samo jednoj saveznoj zemlji, koji znatno strože ograničava prava zajamčena OUZP-om od onih donesenih u drugim dijelovima državnog područja, ne ispunjava zahtjeve konzistentnosti, nužnosti i razmjernosti koji proizlaze iz prava Unije.
90.      Stoga valja utvrditi da, za dva navedena cilja – zaštita prava trećih strana i očuvanje pravilnog izvršavanja zadaća nadzornih tijela – manje ograničavajuće i diferencirane mjere koje su u skladu s pravom Unije omogućuju postizanje željenih rezultata bez ukidanja biti prava na pristup, bez uklanjanja potrebne transparentnosti u odnosu na ispitanika i bez ometanja mogućnosti nadzora zakonitosti provedenih obrada.
91.      Drugi je kritičan aspekt činjenica da se na temelju članka 20. stavka 2. BayDSG-a ne može utvrditi cilj koji nacionalni zakonodavac želi postići. Kao što to proizlazi iz navoda suda koji je uputio zahtjev, u pripremnim aktima se kao pravna osnova navodi samo članak 23. OUZP-a, pri čemu se ipak ne upućuje na jedan od ciljeva navedenih u toj odredbi. Tim člankom 23. zahtijeva se da svrha ograničenja jasno proizlazi iz same odredbe, što je nužan uvjet za učinkovit nadzor poštovanja načela nužnosti i razmjernosti.
92.      Taj zahtjev jasnoće ne može se ispraviti razlozima koje je ex post iznijela stranka u prethodnom postupku na temelju članka 267. UFEU-a, osobito kada je ta stranka ona koja ima koristi od ograničenje o kojem je riječ. Prihvaćanje takve mogućnosti značilo bi zamijeniti volju demokratski odgovornog zakonodavca argumentivnom konstrukcijom razvijenom u okviru spora, što ne bi bilo u skladu sa zahtjevima predvidljivosti, normativne transparentnosti i pravne sigurnosti koji proizlaze iz članka 23. stavaka 1. i 2. OUZP-a.
93.      U tim okolnostima valja zaključiti da opće i neselektivno isključenje prava na pristup, poput onog predviđenog u članku 20. stavku 2. BayDSG-a, nije u skladu sa zahtjevima iz članka 23. OUZP-a jer ne sadržava nijedan od elemenata koji se izričito zahtijevaju u njegovom stavku 2. i ne poštuje ni strukturu ni svrhu te uredbe kako one proizlaze iz relevantnih uvodnih izjava. Takva se odredba čini neproporcionalnom, nedovoljno određenom i može pravo na pristup lišiti njegove biti.
3.      Međuzaključak
94.      Zbog prethodno navedenih razloga smatram da članak 23. OUZP-a treba tumačiti na način da mu se protivi nacionalni propis kao što je članak 20. stavak 2. BayDSG-a jer se njime kao takvim isključuje postojanje prava na pristup nadzornom tijelu na temelju članka 15. te uredbe.
VI.    Zaključak
95.       S obzirom na prethodna razmatranja, predlažem Sudu da na prethodna pitanja koja je uputio Bayerisches Verwaltungsgericht Ansbach (Upravni sud Bavarske u Ansbachu, Njemačka) odgovori na sljedeći način:
1)
Članak 15., u vezi s člankom 4. točkom 7. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),
treba tumačiti na način da je:
nadzorno tijelo u skladu s člankom 4. točkom 21. te uredbe, kada djeluje u okviru postupka pritužbe u skladu s člankom 77. navedene uredbe, istodobno „voditelj obrade” u smislu iste uredbe te je stoga dužno osigurati ispitaniku pravo na pristup predviđeno člankom 15. iste Uredbe 2016/679.
2)
Članak 23. Uredbe 2016/679
treba tumačiti na način da:
mu se protivi nacionalna odredba, poput one predviđene u članku 20. stavku 2. Zakon Bavarske o zaštiti podataka, kojom se kao takvom isključuje postojanje prava na pristup bavarskom tijelu za zaštitu podataka na temelju članka 15. te uredbe.
1      Izvorni jezik: francuski
2 SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.
3      Vidjeti točku 24. i sljedeće ovog mišljenja.
4      Vidjeti točku 65. i sljedeće ovog mišljenja.
5      Vidjeti presudu od 29. srpnja 2019., Fashion ID (C-40/17, EU:C:2019:629, t. 65. i 66.).
6
Sud je čak presudio da se fizička ili pravna osoba koja, u vlastite svrhe, utječe na obradu osobnih podataka i na taj način sudjeluje u utvrđivanju svrha i način te obrade može smatrati „voditeljem obrade“ (vidjeti presude od 10. srpnja 2018., Jehovan todistajat, C-25/17 (EU:C:2018:551, t. 68.), i od 29. srpnja 2019., Fashion ID, C-40/17 (EU:C:2019:629, t. 68.))
7      Iako se u Općoj uredbi o zaštiti podataka ne definira izričito što je „pritužba”, u tekstu članka 77. daje se prva naznaka za to. U skladu sa smjernicama Europskog odbora za zaštitu podataka (EDPB-a) pritužba odgovara podnesku koji nadzornom tijelu podnosi pojedinac čiji je identitet utvrđen – ili tijelo koje ispunjava uvjete iz članka 80. – koji smatra da obrada njegovih podataka predstavlja povredu OUZP-a. EDPB pojašnjava da taj pojam nije ograničen na povrede prava iz poglavlja III., već obuhvaća sve povrede Uredbe koje proizlaze iz obrade osobnih podataka podnositelja pritužbe (EIOP, „Internal Document 6/2020 on preliminary steps to handle: admissibility and vetting of complaints”, donesen 15. prosinca 2020., str. 3.).
8      Vidjeti presude od 7. prosinca 2023., SCHUFA Holding (Otpis nepodmirenih dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 58.); od 26. rujna 2024., Land Hessen (Obveza djelovanja tijela za zaštitu podataka) (C-768/21, EU:C:2024:785, t. 35.) i od 9. siječnja 2025., Österreichische Datenschutzbehörde (Prekomjerni zahtjevi) (C-416/23, EU:C:2025:3, t. 39.).
9      Vidjeti presudu Suda EFTA-e od 10. prosinca 2020., Adpublisher AG/J & K (spojeni predmeti E-11/19 i E-12/19, t. 45.).
10      Vidjeti presude od 6. listopada 2015., Schrems (C-362/14, EU:C:2015:650, t. 63.); od 16. srpnja 2020., Facebook Ireland i Schrems (C-311/18, EU:C:2020:559, t. 107.); od 7. prosinca 2023., SCHUFA Holding (Otpis nepodmirenih dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 56.); i od 26. rujna 2024., Land Hessen (Obveza djelovanja tijela za zaštitu podataka) (C-768/21, EU:C:2024:785, t. 32).
11      U tom kontekstu valja podsjetiti na mišljenje nezavisnog odvjetnika P. Pikamäea u spojenim predmetima SCHUFA Holding (Otpis nepodmirenih dugova) (C-26/22 i C-64/22, EU:C:2023:222, t. 42.), u kojem je on naglasio da zakonodavac Unije nije namjeravao postupak povodom pritužbe pretvoriti u mehanizam koji se može izjednačiti s običnom „predstavkom”. Naprotiv, cilj koji se želi postići bio je stvoriti mehanizam koji može učinkovito zaštititi prava i interese osoba koje podnose pritužbe. Konkretno, obveze navedene u članku 57. stavku 1. točki (f) OUZP-a, koje nadzorno tijelo ima u okviru rješavanja tih pritužbi i koje su obuhvaćene načelom „dobre uprave”, potvrđuju volju zakonodavca da tom postupku dodijeli smisao „pravog pravnog lijeka u upravnom postupku”.
12      Vidjeti presudu od 26. rujna 2024., Land Hessen (Obveza djelovanja tijela za zaštitu podataka) (C-768/21, EU:C:2024:785, t. 42.)
13       Vidjeti presude od 7. prosinca 2023., SCHUFA Holding (Otpis nepodmirenih dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 70.) i od 26. rujna 2024., Land Hessen (Obveza djelovanja tijela za zaštitu podataka) (C-768/21, EU:C:2024:785, t. 49.)
14U pravu Unije ne postoje jedinstvene odredbe o konkretnom rješavanju pritužbi od strane nadzornih tijela. Stoga postoje određene razlike u upravnoj praksi među državama članicama. Ipak, EDPB nastoji, putem smjernica i razvoja „najboljih praksi”, osigurati određeni stupanj usklađenosti nadzornih aktivnosti kao i postupovnih aranžmana, posebno u pogledu zaprimanja ili arhiviranja pritužbi, evidentiranja sporazumnih nagodbi itd. (vidjeti, u tom smislu, EDPB, „ Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints”, usvojen 15. prosinca 2020.).
15      Kako je Sud EFTA-e istaknuo u svojoj presudi od 10. prosinca 2020., Adpublisher AG/J & K (spojeni predmeti E-11/19 i E-12/19, t. 60.), nadzorno tijelo ovlašteno je na temelju članka 57. stavka 1. točke (h) OUZP-a pokrenuti istrage po službenoj dužnosti. Stoga u okviru ispitivanja pritužbe ono može odlučiti o drugim zahtjevima ili o drugom predmetu spora osim onih na koje se poziva podnositelj pritužbe. Učinkovitost postupka pritužbe zahtijeva da nadzorno tijelo u izvršavanju svojih istražnih ovlasti ne bude ograničeno načinom na koji je podnositelj pritužbe formulirao relevantna pravna pitanja u svojoj pritužbi.
16      Čini se da nadzorna tijela rješavaju pritužbe na temelju odredbi nacionalnog prava ili na temelju vlastite margine prosudbe. Čini se da postoje i razlike ovisno o tome rješavaju li se pritužbe na temelju pragmatičnih kriterija ili prema pojednostavljenom postupku (vidjeti u tom pogledu, González Fuster, G., i dr., „The right to lodge a
data protection complaint : ok, but then what ? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022., str. 30.
17      Vidjeti presude od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list) (C-231/22, EU:C:2024:7, t. 39.) i od 27. veljače 2025., Amt der Tiroler Landesregierung (C-638/23, EU:C:2025:127, t. 49.).
18      Na zahtjev Suda Landesamt je iznio svoju upravnu praksu u području rješavanja pritužbi. U tom je pogledu pojasnio da njihovi autori mogu uputiti zahtjeve, uključujući elektroničkim putem, nadležnim službenicima Landesamta i zatražiti uvid u spis. Iz tog obrazloženja jasno proizlazi da su načini na koje Landesamt rješava pritužbe, osobito kad je riječ o prikupljenim podacima, poduzetim organizacijskim mjerama i provedenim istragama, obuhvaćeni autonomijom koja mu je dodijeljena OUZP-om u izvršavanju njegovih zadaća.
19      Möhle, J.-P., Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht, Die Öffentliche Verwaltung, 2023., br. 3, str. 108., objašnjava da se samo osoba koja je stvarno sposobna izvršavati utjecaj može smatrati odgovornom za obveze koje proizlaze iz prava o zaštiti podataka (kao što su obveze obavješćivanja, odgovornosti ili suradnje), odnosno osoba koja je u mogućnosti spriječiti buduće povrede pravila o zaštiti podataka. Prema mojem mišljenju, nema nikakve sumnje da u okviru postupka pritužbe samo nadzorno tijelo može biti obuhvaćeno tom definicijom.
20Kako je Sud utvrdio, cilj širokog definiranja pojma „voditelj obrade” je upravo osigurati učinkovitu i potpunu zaštitu ispitanika (vidjeti presude od 13. svibnja 2014., Google Spain i Google, C-131/12 (EU:C:2014:317, t. 34.); od 29. srpnja 2019., Fashion ID (C-40/17, EU:C:2019:629, t. 66.), i od 5. lipnja 2018., Wirtschaftsakademie Schleswig-Holstein (C-210/16, EU:C:2018:388, t.28.)).
21      Vidjeti u tom smislu Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG”, GRUR-Prax, 2025., br. 9, str. 324.
22
Vidjeti presudu od 22. lipnja 2023., Pankki S (C-579/21, EU:C:2023:501, t. 50.).
23      Vidjeti presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF (C-487/21, EU:C:2023:369, t. 33. i 34.)
24      Vidjeti presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF (C-487/21, EU:C:2023:369, t. 41.)
25      Vidjeti presude od 20. prosinca 2017._Nowak (C-434/16, EU:C:2017:994, t. 57.), od 12. siječnja 2023., Österreichischesterreichische Post (Informacije koje se odnose na primatelje osobnih podataka) (C-154/21, EU:C:2023:3, t. 38.) i od 4. svibnja 2023._Österreichische Datenschutzbehörde i CRIF (C-487/21, EU:C:2023:369, t. 35.).
26      Zanfir-Fortuna, G., „Article 15. Right of access by the data subject ” u Kuner, C., Bygrave, L. A. & Docksey, C. (ur.), The EU General Data Protection Regulation (GDPR)
A Commentary, Oxford 2020., str. 452., naglašavaju važnost razlikovanja prava na pristup vlastitim osobnim podacima, utvrđenog u članku 15. GDPR-a, od prava na pristup javnim informacijama. Ta dva prava imaju različite svrhe: prvim se nastoji osigurati transparentnost u pogledu osobe čije podatke prikuplja i obrađuje voditelj obrade (transparentnost inter partes), dok se drugim nastoji osigurati transparentnost prema javnosti u pogledu informacija od javnog značaja ili od javnog interesa (transparentnost erga omnes).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, vol. sv. 13, br. 2 (2023.), str. 210, odnosi se na važeće zakone o slobodi pristupa informacijama.
28      Schemmer, F., „Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen“, Zeitschrift für das gesamte Informationsrecht, 2024, br. 5, str. 210.
29      Vidjeti presude od 06. ožujka 2007. Placanica i dr. (C-338/04, C-359/04 i C-360/04, EU:C:2007:133, t. 34.), i od 21. lipnja 2022., Ligue des droits humains (C-817/19, EU:C:2022:491, t. 240.).
30      Vidjeti presude od 25. listopada 2001., Ambulanz Glöckner (C-475/99, EU:C:2001:577, t. 10.), i od 14. studenog 2024., S. (Izmjena sastava suda) (C-197/23, EU:C:2024:956, t. 43.).
31
Vidjeti presude od 16. srpnja 2020., Facebook Ireland i Schrems (C-311/18, EU:C:2020:559, t. 172.); od 12. siječnja 2023., Österreichische Post (Informacije koje se odnose na primatelje osobnih podataka) (C-154/21, EU:C:2023:3, t. 47.) i od 21. ožujka 2024., Landeshauptstadt Wiesbaden (C-61/22, EU:C:2024:251, t. 75.).
32
Giurgiu, A./Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR:  : Stronger and More ‚European’ DPAs as Guardians of Consistency?”, European
Data Protection Law Review, br. 3 (2016.), str. 352., smatraju nadzorna tijela glavnim jamcima prava pojedinaca zbog njihove središnje uloge u nadzoru i primjeni pravila o zaštiti podataka predviđenih OUZP-om. Naglasili su da je važno tim tijelima osigurati dostatna sredstva, kako u pogledu osoblja tako i u pogledu financijskih sredstava, kako bi mogla učinkovito obavljati svoje zadaće.
33      Vidjeti presudu od 9. siječnja 2025., Österreichische Datenschutzbehörde (Prekomjerni zahtjevi) (C-416/23, EU:C:2025:3, t. 40.)
34      Vidjeti presudu od 1. kolovoza 2022. Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, t. 85.)
35Presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe) (C-175/20, EU:C:2022:124, t. 56.)
36Vidjeti u tom pogledu EDPS, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1)__ donesene 13. listopada 2021., točke 65. do 67. i 82., u kojima se preporučuju privremena ograničenja ostvarivanja određenih prava ispitanika kako se ne bi ugrozile upravne istrage.
37 Vidjeti presude od 8. travnja 2014. Digital Rights Ireland i dr. (C-293/12 i C-594/12, EU:C:2014:238, t. 38.); od 6. listopada 2015., Schrems (C-362/14, EU:C:2015:650, t. 94.); od 16. srpnja 2020., Facebook Ireland i Schrems (C-311/18, EU:C:2020:559, t. 174.), i od 6. listopada 2020., La Quadrature du Net i dr. (C-511/18, C-512/18 i C-520/18, EU:C:2020:791, t. 121.)
38 Sud je u svojoj ustaljenoj sudskoj praksi podsjetio na taj cilj i naglasio da je zaštita osobnih podataka zajamčena i člankom 16. UFEU-a i člankom 8. Povelje, čime je to pravo utvrđeno u dvjema odredbama primarnog prava Unije (vidjeti presudu od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, t. 43.).
39      Vidjeti presudu od 22. lipnja 2023., Pankki S (C-579/21, EU:C:2023:501, t. 53. i sljedeće).
40      Vidjeti presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF (C-487/21, EU:C:2023:369, t. 44.)
41      Vidjeti točku 59. i sljedeće ovog mišljenja.
42      Vidjeti po analogiji presudu od 12. siječnja 2023., Österreichische Post (Informacije koje se odnose na primatelje osobnih podataka) (C-154/21, EU:C:2023:3, t. 49.). Kao što je to Sud naglasio, na voditelju obrade je da dokaže očitu neutemeljenost ili pretjeranost zahtjeva za pristup u smislu članka 12. stavka 5. OUZP-a.
43Vidjeti, u tom smislu, Agencija Europske unije za temeljna prava (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxembourg, 11. lipnja 2024., str. 21., koja dostupnost resursa nadzornim tijelima tijekom godina opisuje kao „općenito nedovoljnu”. Nakon prve Komisijine procjene primjene OUZP-a Europski parlament donio je rezoluciju u kojoj je pozvao države članice da ispune svoju obvezu iz članka 52. stavka 4. OUZP-a da svojim nadzornim tijelima osiguraju dostatna sredstva kako bi mogla obavljati svoje zadaće na najbolji mogući način i kako bi se osigurali jednaki uvjeti za provedbu OUZP-a na europskoj razini.