62021CJ0579
SODBA SODIŠČA (prvi senat)
z dne 22. junija 2023 (
*1
) (
i
)
„Predhodno odločanje – Obdelava osebnih podatkov – Uredba (EU) 2016/679 – Člena 4 in 15 – Obseg pravice dostopa do informacij iz člena 15 – Informacije iz dnevniških datotek, ki jih ustvari sistem za obdelavo (log data) – Člen 4 – Pojem ‚osebni podatki‘ – Pojem ‚uporabniki‘ – Časovna veljavnost“
V zadevi C‑579/21,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Itä-Suomen hallinto-oikeus (upravno sodišče za vzhodno Finsko, Finska) z odločbo z dne 21. septembra 2021, ki je na Sodišče prispela 22. septembra 2021, v postopku ki ga je sprožil
J. M.
ob udeležbi
Apulaistietosuojavaltuutettu,
Pankki S,
SODIŠČE (prvi senat),
v sestavi A. Arabadjiev, predsednik senata, P. G. Xuereb, T. von Danwitz, A. Kumin, sodniki, in I. Ziemele (poročevalka), sodnica,
generalni pravobranilec: M. Campos Sánchez-Bordona,
sodna tajnica: C. Strömholm, administratorka,
na podlagi pisnega postopka in obravnave z dne 12. oktobra 2022,
ob upoštevanju stališč ki so jih predložili:
–
za J. M. on sam,
–
za Apulaistietosuojavaltuutettu A. Talus, tietosuojavaltuutettu,
–
za Pankki S T. Kalliokoski in J. Lång, asianajajat, ter E.-L. Hokkonen, oikeustieteen maisteri,
–
za finsko vlado A. Laine in H. Leppo, agentki,
–
za češko vlado A. Edelmannová, M. Smolek in J. Vláčil, agenti,
–
za avstrijsko vlado A. Posch, agent,
–
za Evropsko komisijo A. Bouchagiar, H. Kranenborg in I. Söderlund, agenti,
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 15. decembra 2022
izreka naslednjo
Sodbo
1
Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 15(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2) (v nadaljevanju: SUVP).
2
Ta predlog je bil vložen v okviru postopka, ki ga je oseba J. M. sprožila z namenom odprave odločbe Apulaistietosuojavaltuutettu (namestnik pooblaščenca za varstvo podatkov, Finska), s katero je bil zavrnjen predlog te osebe, naj se Pankki S, bančni ustanovi s sedežem na Finskem, odredi, da ji mora posredovati nekatere informacije v zvezi z dejanji vpogleda v njene osebne podatke.
Pravni okvir
3
V uvodnih izjavah 4, 10, 11, 26, 39, 58, 60, 63 in 74 SUVP je navedeno:
„(4)
Obdelava osebnih podatkov bi morala biti oblikovana tako, da služi ljudem. Pravica do varstva osebnih podatkov ni absolutna pravica; […]
[…]
(10)
Za zagotovitev dosledne in visoke ravni varstva posameznikov ter odstranitev ovir za prenos osebnih podatkov v [Evropski u]niji bi morala biti raven varstva pravic in svoboščin posameznikov pri obdelavi osebnih podatkov enaka v vseh državah članicah. […]
(11)
Za učinkovito varstvo osebnih podatkov po vsej Uniji je treba okrepiti in podrobneje opredeliti pravice posameznikov, na katere se nanašajo osebni podatki, ter obveznosti tistih, ki obdelujejo osebne podatke in določajo obdelavo osebnih podatkov, […]
[…]
(26)
[…] Pri ugotavljanju, ali je posameznik določljiv, bi bilo treba upoštevati vsa sredstva – kot je na primer izločitev – za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika. […]
[…]
(39)
Vsaka obdelava osebnih podatkov bi morala biti zakonita in poštena. Načini zbiranja, uporabe, pregledovanja ali drug način obdelave ter obseg obdelave ali prihodnje obdelave osebnih podatkov, ki se nanašajo na posameznike, bi morali za posameznike biti pregledni. Načelo preglednosti zahteva, da so vse informacije in sporočila, ki se nanašajo na obdelavo teh osebnih podatkov, lahko dostopni in razumljivi ter izraženi v jasnem in preprostem jeziku. To načelo zadeva zlasti informacije za posameznike, na katere se nanašajo osebni podatki, o istovetnosti upravljavca in namenih obdelave ter dodatne informacije za zagotovitev poštene in pregledne obdelave glede zadevnih posameznikov in njihove pravice do pridobitve potrditve in sporočila o obdelavi osebnih podatkov v zvezi z njimi. Posameznike bi bilo treba opozoriti na tveganja, pravila, zaščitne ukrepe in pravice v zvezi z obdelavo njihovih osebnih podatkov ter na to, kako lahko uresničujejo njihove pravice v zvezi s tako obdelavo. Zlasti posebni nameni, za katere se osebni podatki obdelujejo, bi morali biti izrecni in zakoniti ter določeni v času zbiranja osebnih podatkov. […]
[…]
(58)
Načelo preglednosti zahteva, da so vse informacije, ki se nanašajo na javnost ali posameznika, na katerega se nanašajo osebni podatki, jedrnate, lahko dostopne in lahko razumljive ter izražene v jasnem in preprostem jeziku, kjer je ustrezno pa tudi vizualno prikazane. Take informacije bi se lahko predložile v elektronski obliki, na primer na spletni strani, kadar so namenjene javnosti. To je še zlasti pomembno v primerih, kadar posameznik, na katerega se nanašajo osebni podatki, zaradi velikega števila akterjev in tehnološke kompleksnosti težko ve in razume, ali se zbirajo osebni podatki, povezani z njim, kdo jih zbira in v kakšen namen, kot je to v primeru spletnega oglaševanja. Glede na to, da otroci potrebujejo posebno varstvo, bi morale biti vse informacije in vsa komunikacija, pri katerih se obdelava nanaša na otroka, v tako jasnem in preprostem jeziku, da ga lahko otrok zlahka razume.
[…]
(60)
Načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in njegovih namenih. Upravljavec bi moral posamezniku, na katerega se nanašajo osebni podatki, zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov. […]
[…]
(63)
Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico dostopa do osebnih podatkov, ki so bili zbrani v zvezi z njim, in do enostavnega uresničevanja te pravice v razumnih časovnih presledkih, da bi se seznanil z obdelavo in preveril njeno zakonitost. […] Zato bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani, uporabnikih osebnih podatkov, o razlogih za morebitno avtomatsko obdelavo osebnih podatkov in, vsaj v primerih, kadar obdelava temelji na oblikovanju profilov, o posledicah take obdelave. […] Ta pravica ne bi smela negativno vplivati na pravice ali svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, ter predvsem na avtorske pravice, ki ščitijo programsko opremo. […]
[…]
(74)
Uvesti bi bilo treba pristojnost in odgovornost upravljavca glede vsake obdelave osebnih podatkov, ki jo izvede upravljavec ali je izvedena v njegovem imenu. Upravljavec bi moral zlasti izvajati ustrezne in učinkovite ukrepe ter biti zmožen dokazati skladnost dejavnosti obdelave s to direktivo, vključno z učinkovitostjo ukrepov. Ti ukrepi bi morali upoštevati naravo, obseg, okoliščine in namene obdelave ter tveganje za pravice in svoboščine posameznikov.“
4
Člen 1 SUVP, naslovljen „Predmet urejanja in cilji“, v odstavku 2 določa:
„Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.“
5
Člen 4 te uredbe določa:
„V tej uredbi:
(1)
‚osebni podatki‘ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom […]; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika;
(2)
‚obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;
[…]
(7)
‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; […]
[…]
(9)
‚uporabnik‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. […]
[…]
(21)
‚nadzorni organ‘ pomeni neodvisen javni organ, ki ga v skladu s členom 51 ustanovi država članica;
[…]“.
6
Člen 5 navedene uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:
„1.   Osebni podatki morajo biti:
(a)
obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo osebni podatki (‚zakonitost, poštenost in preglednost‘);
[…]
(f)
obdelani na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi (‚celovitost in zaupnost‘).
2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“
7
Člen 12 SUVP, naslovljen „Pregledne informacije, sporočila in načini za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki“, določa:
„1.   Upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, […] Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi. […]
[…]
5.   […] Kadar so zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane zlasti ker se ponavljajo, lahko upravljavec:
[…]
(b)
zavrne ukrepanje v zvezi z zahtevo.
Upravljavec nosi dokazno breme, da je zahteva očitno neutemeljena ali pretirana.
[…]“.
8
Člen 15 SUVP, naslovljen „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, določa:
„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
(a)
namene obdelave;
(b)
vrste zadevnih osebnih podatkov;
(c)
uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
(d)
kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
(e)
obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
(f)
pravico do vložitve pritožbe pri nadzornem organu;
(g)
kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
(h)
obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
[…]
3.   Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. […]
4.   Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih.“
9
Člena 16 in 17 navedene uredbe določata pravico posameznika, na katerega se nanašajo osebni podatki, da doseže popravek netočnih osebnih podatkov (pravica do popravka), in v nekaterih okoliščinah pravico do izbrisa teh podatkov (pravica do izbrisa ali „pravica do pozabe“).
10
Člen 18 iste uredbe, naslovljen „Pravica do omejitve obdelave“, v odstavku 1 določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec omeji obdelavo, kadar velja en od naslednjih primerov:
(a)
posameznik, na katerega se nanašajo osebni podatki, oporeka točnosti podatkov, in sicer za obdobje, ki upravljavcu omogoča preveriti točnost osebnih podatkov;
(b)
je obdelava nezakonita in posameznik, na katerega se nanašajo osebni podatki, nasprotuje izbrisu osebnih podatkov ter namesto tega zahteva omejitev njihove uporabe;
(c)
upravljavec osebnih podatkov ne potrebuje več za namene obdelave, temveč jih posameznik, na katerega se nanašajo osebni podatki, potrebuje za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov;
(d)
je posameznik, na katerega se nanašajo osebni podatki, vložil ugovor v zvezi z obdelavo v skladu s členom 21(1), dokler se ne preveri, ali zakoniti razlogi upravljavca prevladajo nad razlogi posameznika, na katerega se nanašajo osebni podatki.“
11
Člen 21 SUVP, naslovljen „Pravica do ugovora“, v odstavku 1 določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
12
Člen 24(1) te uredbe določa:
„Ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo. […]“.
13
Člen 29 navedene uredbe, naslovljen „Obdelava pod vodstvom upravljavca ali obdelovalca“, določa:
„Obdelovalec in katera koli oseba, ki ukrepa pod vodstvom upravljavca ali obdelovalca in ima dostop do osebnih podatkov, teh podatkov ne sme obdelati brez navodil upravljavca, razen če to od njega zahteva pravo Unije ali pravo države članice.“
14
Člen 30 SUVP, naslovljen „Evidenca dejavnosti obdelave“, določa:
„1.   Vsak upravljavec in predstavnik upravljavca, kadar ta obstaja, vodi evidenco dejavnosti obdelave osebnih podatkov v okviru svoje odgovornosti. […]
[…]
4.   Upravljavec […] ali predstavnik upravljavca […], kadar ta obstaja, nadzornemu organu na zahtevo omogoči[ta] dostop do evidenc.
[…]“.
15
Člen 58 te uredbe, naslovljen „Pooblastila“, v odstavku 1 določa:
„Vsak nadzorni organ ima vsa naslednja preiskovalna pooblastila:
(a)
da upravljavcu in obdelovalcu ter, če je ustrezno, predstavniku upravljavca ali obdelovalca odredi, naj zagotovi vse informacije, ki jih potrebuje za opravljanje svojih nalog;
[…]“.
16
Člen 77 navedene uredbe, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, natančneje določa:
„1.   Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.
2.   Nadzorni organ, pri katerem je vložena pritožba, obvesti pritožnika o stanju zadeve in odločitvi o pritožbi, vključno z možnostjo pravnega sredstva na podlagi člena 78.“
17
Člen 79 SUVP, naslovljen „Pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca“, v odstavku 1 določa:
„Brez poseganja v katero koli razpoložljivo upravno ali izvensodno sredstvo, vključno s pravico do vložitve pritožbe pri nadzornem organu na podlagi člena 77, ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni bila v skladu s to uredbo.“
18
Člen 82 te uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavku 1 določa:
„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“
19
V skladu s členom 99(2) SUVP se je ta uredba začela uporabljati 25. maja 2018.
Spor o glavni stvari in vprašanja za predhodno odločanje
20
Leta 2014 je oseba J. M., takrat zaposlena pri banki Pankki S in njena stranka, izvedela, da so v obdobju med 1. novembrom in 31. decembrom 2013 v njene podatke stranke večkrat vpogledali uslužbenci banke.
21
Ker je oseba J. M., ki ji je bilo medtem odpovedano delovno razmerje z banko Pankki S, podvomila o zakonitosti teh vpogledov, je 29. maja 2018 od banke Pankki S zahtevala, naj ji sporoči identiteto oseb, ki so vpogledale v njene podatke stranke, natančne datume vpogledov in namene obdelave navedenih podatkov.
22
Banka Pankki S je v odgovoru z dne 30. avgusta 2018 kot upravljavec v smislu člena 4, točka 7, SUVP zavrnila sporočitev identitete zaposlenih, ki so izvedli dejanja vpogleda, z obrazložitvijo, da gre pri teh informacijah za osebne podatke teh zaposlenih.
23
Vendar je banka Pankki S v tem odgovoru navedla pojasnila o dejanjih vpogleda, ki jih je po njenih navodilih izvedel oddelek za notranjo revizijo. Tako je pojasnila, da je bila stranka banke, katere svetovalec je bila oseba J. M., upnik osebe, ki ima enak priimek kot oseba J. M., tako da je želela razjasniti, ali sta tožeča stranka iz postopka v glavni stvari in zadevni dolžnik ena in ista oseba in ali je morda obstajalo morebitno neustrezno navzkrižje interesov. Banka Pankki S je dodala, da je bilo treba zaradi razjasnitve te zadeve obdelati podatke osebe J. M., pri čemer naj bi vsak uslužbenec banke, ki je obdelal njene podatke, oddelku za notranjo revizijo podal stališče o razlogih za obdelavo podatkov. Poleg tega je banka navedla, da so ti vpogledi omogočili odpravo vsakršnega suma navzkrižja interesov v zvezi z osebo J. M.
24
Oseba J. M. je zadevo predložila Tietosuojavaltuutetun toimisto (urad pooblaščenca za varstvo podatkov, Finska), to je nadzornemu organu v smislu člena 4, točka 21, SUVP, da bi se banki Pankki S naložilo, naj ji posreduje zahtevane informacije.
25
Namestnik pooblaščenca za varstvo podatkov je zahtevo osebe J. M. z odločbo z dne 4. avgusta 2020 zavrnil. Pojasnil je, da je namen take zahteve, da bi bil tej osebi omogočen dostop do dnevniških datotek zaposlenih, ki so obdelali njene podatke, medtem ko so take datoteke glede na prakso odločanja tega organa osebni podatki, ki se ne nanašajo na posameznika, na katerega se nanašajo osebni podatki, temveč na zaposlene, ki so obdelali podatke tega posameznika.
26
Oseba J. M. je zoper to odločbo vložila tožbo pri predložitvenem sodišču.
27
To sodišče opozarja, da člen 15 SUVP določa pravico posameznika, na katerega se nanašajo osebni podatki, da od upravljavca pridobi dostop do podatkov, ki so bili v zvezi z njim obdelani, ter do informacij med drugim o namenih obdelave in uporabnikih podatkov. Sprašuje se, ali je posredovanje dnevniških datotek, ki so bile ustvarjene ob dejanjih obdelave in ki vsebujejo take informacije, zlasti identiteto zaposlenih upravljavca, zajeto s členom 15 SUVP, ker bi se lahko izkazalo, da posameznik, na katerega se nanašajo osebni podatki, te datoteke potrebuje za presojo zakonitosti obdelave, katere predmet so bili njegovi podatki.
28
V teh okoliščinah je Itä-Suomen hallinto-oikeus (upravno sodišče za vzhodno Finsko, Finska) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1.
Ali je treba pravico dostopa, ki jo ima posameznik, na katerega se nanašajo osebni podatki, v skladu s členom 15(1) [SUVP], v povezavi s [pojmom] ‚osebni podatki‘ v smislu člena 4, točka 1, Uredbe razlagati tako, da informacije, ki jih zbere upravljavec, iz katerih izhaja, kdo, kdaj in za kateri namen je obdelal osebne podatke posameznika, na katerega se nanašajo osebni podatki, niso informacije, do katerih ima posameznik, na katerega se nanašajo osebni podatki, pravico dostopa, zlasti ker gre za podatke, ki se nanašajo na zaposlene upravljavca?
2.
Če je odgovor na prvo vprašanje pritrdilen in posameznik, na katerega se nanašajo osebni podatki, na podlagi člena 15(1) [SUVP] nima pravice dostopa do informacij iz tega vprašanja, ker te informacije niso ‚osebni podatki‘ posameznika, na katerega se nanašajo osebni podatki, v skladu s členom 4, točka 1, [SUVP], je treba v obravnavanem primeru upoštevati še informacije, do katerih ima posameznik, na katerega se nanašajo osebni podatki, v skladu s členom 15(1), od (a) do (h), pravico dostopa:
(a)
Kako je treba razlagati ‚namene obdelave‘ v smislu člena 15(1)(a) [SUVP] glede na obseg pravice dostopa posameznika, na katerega se nanašajo osebni podatki, oziroma ali je mogoče z nameni obdelave utemeljiti pravico dostopa do podatkov o uporabnikih iz dnevniških datotek, ki jih je zbral upravljavec, kot so na primer informacije o osebnih podatkih obdelovalcev ter času in namenu obdelave osebnih podatkov?
(b)
Ali je mogoče osebe, ki so obdelale podatke osebe J. M. kot stranke, v tem okviru pod določenimi merili šteti za ‚uporabnike‘ osebnih podatkov v skladu s členom 15(1)(c) [SUVP], do katerih bi imel posameznik, na katerega se nanašajo osebni podatki, pravico dostopa?
3.
Ali je za obravnavani postopek pomembno, da gre za banko, ki opravlja regulirano dejavnost, ali da je bila oseba J. M. hkrati uslužbenka in stranka banke?
4.
Ali je za presojo zgoraj navedenih vprašanj pomembno, da so bili podatki osebe J. M. obdelani pred začetkom veljavnosti [SUVP]?“
Vprašanja za predhodno odločanje
Četrto vprašanje
29
Predložitveno sodišče s četrtim vprašanjem, ki ga je treba obravnavati najprej, v bistvu sprašuje, ali se člen 15 SUVP v povezavi s členom 99(2) te uredbe uporablja za zahtevo za dostop do informacij iz prve od teh določb, kadar so bila dejanja obdelave, na katera se nanaša ta zahteva, izvedena pred datumom začetka uporabe navedene uredbe, zahteva pa je bila vložena po tem datumu.
30
Za odgovor na to vprašanje je treba navesti, da se v skladu s členom 99(2) SUVP ta uredba uporablja od 25. maja 2018.
31
V obravnavani zadevi pa je iz predložitvene odločbe razvidno, da so bila dejanja obdelave osebnih podatkov iz postopka v glavni stvari izvedena med 1. novembrom 2013 in 31. decembrom 2013, torej pred datumom začetka uporabe SUVP. Vendar je iz te odločbe razvidno tudi, da je oseba J. M. zahtevo po informacijah pri banki Pankki S vložila po tem datumu, namreč 29. maja 2018.
32
V zvezi s tem je treba opozoriti, da se procesna pravila na splošno uporabljajo od dneva, ko ta pravila začnejo veljati, drugače kot materialnopravna pravila, ki se običajno razlagajo tako, da se na položaje, ki so nastali in se v celoti končali pred začetkom njihove veljavnosti, nanašajo le, če je iz njihovega besedila, ciljev ali strukture jasno razvidno, da jim je treba pripisati tak učinek (sodba z dne 15. junija 2021, Facebook Ireland in drugi, C‑645/19, EU:C:2021:483, točka 100 in navedena sodna praksa).
33
V obravnavanem primeru je iz predložitvene odločbe razvidno, da se zahteva osebe J. M., naj se ji sporočijo informacije iz postopka v glavni stvari, navezuje na člen 15(1) SUVP, ki določa pravico posameznika, na katerega se nanašajo osebni podatki, do pridobitve dostopa do osebnih podatkov, ki se nanašajo nanj in ki so predmet obdelave, ter do informacij, na katere se nanaša ta določba.
34
Ugotoviti je treba, da se navedena določba ne nanaša na pogoje za zakonitost obdelave, katere predmet so osebni podatki posameznika, na katerega se ti podatki nanašajo. V členu 15(1) SUVP je namreč zgolj pojasnjen obseg pravice dostopa tega posameznika do podatkov in informacij, na katere se nanaša.
35
Kot je generalni pravobranilec navedel v točki 33 sklepnih predlogov, iz tega izhaja, da imajo na podlagi člena 15(1) SUVP posamezniki, na katere se nanašajo osebni podatki, procesno pravico, pri kateri gre za pridobitev informacij o obdelavi svojih osebnih podatkov. Kot procesno pravilo se ta določba uporablja za zahteve za dostop, vložene po začetku uporabe te uredbe, kot je zahteva osebe J. M.
36
V teh okoliščinah je treba na četrto vprašanje odgovoriti, da je treba člen 15 SUVP v povezavi s členom 99(2) te uredbe razlagati tako, da se uporablja za zahtevo za dostop do informacij iz te določbe, kadar so bila dejanja obdelave, na katera se ta zahteva nanaša, izvedena pred datumom začetka uporabe navedene uredbe, zahteva pa je bila vložena po tem datumu.
Prvo in drugo vprašanje
37
Predložitveno sodišče s prvim in drugim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 15(1) SUVP razlagati tako, da informacije v zvezi z dejanji vpogleda v osebne podatke posameznika, ki se nanašajo na datume in namene teh dejanj ter na identiteto fizičnih oseb, ki so izvedle ta dejanja, pomenijo informacije, ki jih ima ta posameznik pravico dobiti od upravljavca na podlagi te določbe.
38
Najprej je treba opozoriti, da je treba v skladu z ustaljeno sodno prakso pri razlagi določbe prava Unije upoštevati ne le njeno besedilo, ampak tudi kontekst, v katerega je umeščena, ter cilje in namen, ki jim sledi akt, katerega del je (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 29).
39
Kar najprej zadeva besedilo člena 15(1) SUVP, je treba opozoriti, da iz te določbe izhaja, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je tako, dostop do osebnih podatkov in informacije med drugim o namenih obdelave in uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki.
40
V zvezi s tem je treba poudariti, da so pojmi iz člena 15(1) SUVP opredeljeni v členu 4 te uredbe.
41
Tako je, na prvem mestu, v členu 4, točka 1, SUVP določeno, da osebni podatek pomeni „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“, in pojasnjeno, da je „določljiv posameznik […] tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika“.
42
Uporaba izraza „katera koli informacija“ v opredelitvi pojma „osebni podatek“ iz te določbe odraža cilj zakonodajalca Unije, da temu pojmu da širok pomen, ki potencialno zajema vse vrste informacij, tako objektivne kot subjektivne v obliki mnenj ali presoj, če se te „nanašajo“ na zadevnega posameznika (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 23).
43
V zvezi s tem je bilo razsojeno, da se informacija nanaša na določenega ali določljivega posameznika, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 24).
44
Glede „določljivosti“ posameznika je v uvodni izjavi 26 SUVP pojasnjeno, da bi bilo treba upoštevati „vsa sredstva – kot je na primer izločitev – za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika“.
45
Iz tega izhaja, da široka opredelitev pojma „osebni podatki“ ne zajema le podatkov, ki jih upravljavec zbere in hrani, ampak zajema tudi vse informacije, pridobljene z obdelavo osebnih podatkov, ki se nanašajo na določenega ali določljivega posameznika (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 26).
46
Na drugem mestu, v zvezi s pojmom „obdelava“, kot je opredeljen v členu 4, točka 2, SUVP, je treba ugotoviti, da je zakonodajalec Unije z uporabo izraza „vsako dejanje“ temu pojmu želel dati širok obseg, pri čemer je neizčrpno naštel dejanja, ki se izvajajo v zvezi z osebnimi podatki ali nizi osebnih podatkov in ki med drugim zajemajo zbiranje, beleženje, shranjevanje in tudi vpogled (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 27).
47
Na tretjem mestu, člen 4, točka 9, SUVP natančneje določa, da je treba pod pojmom „uporabnik“ razumeti „fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne“.
48
V zvezi s tem je Sodišče razsodilo, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti informacije o konkretnih uporabnikih, ki so jim bili ali jim bodo razkriti osebni podatki v zvezi z njim (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 46).
49
Zato iz jezikovne analize člena 15(1) SUVP in pojmov, ki jih vsebuje, izhaja, da je za pravico dostopa, ki je s to določbo priznana posamezniku, na katerega se nanašajo osebni podatki, značilen širok obseg informacij, ki jih mora upravljavec podatkov zagotoviti temu posamezniku.
50
Kar dalje zadeva kontekst, v katerega je umeščen člen 15(1) SUVP, je treba na prvem mestu opozoriti, da je v uvodni izjavi 63 te uredbe navedeno, da bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani in uporabnikih osebnih podatkov.
51
Na drugem mestu, v uvodni izjavi 60 SUVP je navedeno, da načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in namenih te obdelave, pri čemer je poudarjeno, da bi moral upravljavec zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov. Poleg tega morajo biti v skladu z načelom preglednosti, ki ga navaja predložitveno sodišče, na katero se sklicuje uvodna izjava 58 SUVP in ki je izrecno določeno v členu 12(1) te uredbe, vse informacije, ki se nanašajo na posameznika, na katerega se nanašajo osebni podatki, jedrnate, lahko dostopne in lahko razumljive ter izražene v jasnem in preprostem jeziku.
52
V zvezi s tem člen 12(1) SUVP natančneje določa, da mora upravljavec informacije posredovati v pisni obliki ali z drugimi sredstvi, vključno, kjer je to ustrezno, z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, zahteva, da se posredujejo ustno. Cilj te določbe, ki odraža načelo preglednosti, je, da se zagotovi, da je posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da v celoti razume informacije, ki so mu posredovane (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 38 in navedena sodna praksa).
53
Iz zgoraj navedene kontekstualne analize izhaja, da je člen 15(1) SUVP ena od določb, katerih namen je zagotoviti preglednost načinov obdelave osebnih podatkov v razmerju do posameznika, na katerega se nanašajo osebni podatki.
54
Nazadnje, to razlago obsega pravic dostopa iz člena 15(1) SUVP potrjujejo cilji, ki jim sledi ta uredba.
55
Prvič, cilj te uredbe je namreč, kot je navedeno v njenih uvodnih izjavah 10 in 11, zagotovitev dosledne in visoke ravni varstva fizičnih posameznikov v Uniji ter okrepitev in podrobnejša opredelitev pravic posameznikov, na katere se nanašajo osebni podatki.
56
Poleg tega je, kot je razvidno iz uvodne izjave 63 SUVP, najprej cilj pravice dostopa posameznika do svojih osebnih podatkov in drugih informacij, na katere se nanaša člen 15(1) te uredbe, zagotoviti, da se lahko ta posameznik seznani z obdelavo in preveri njeno zakonitost. V skladu s to uvodno izjavo, in kot je navedeno v točki 50 te sodbe, iz tega izhaja, da bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani, uporabnikih osebnih podatkov in o razlogih za obdelavo osebnih podatkov.
57
V zvezi s tem je treba opozoriti, drugič, da je Sodišče že razsodilo, da mora pravica dostopa iz člena 15 SUVP posamezniku, na katerega se nanašajo osebni podatki, omogočiti, da se prepriča, da so osebni podatki, ki se nanašajo nanj, točni in se obdelujejo zakonito (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 34).
58
Natančneje, ta pravica dostopa je nujna, da bi lahko posameznik, na katerega se nanašajo osebni podatki, po potrebi uveljavljal pravico do popravka, pravico do izbrisa („pravica do pozabe“) in pravico do omejitve obdelave, ki jih ima na podlagi členov od 16 do 18 SUVP, pravico do ugovora obdelavi osebnih podatkov, določeno v členu 21 SUVP, ter pravico do pravnega sredstva v primeru utrpljene škode, ki je določena v členih 79 in 82 SUVP (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 35 in navedena sodna praksa).
59
Zato je člen 15(1) SUVP ena od določb, katerih namen je zagotoviti preglednost načinov obdelave osebnih podatkov v razmerju do posameznika, na katerega se nanašajo osebni podatki (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 42), pri čemer gre za preglednost, brez katere ta posameznik ne bi mogel presoditi zakonitosti obdelave svojih podatkov in izvajati prerogativ, določenih med drugim v členih od 16 do 18, 21, 79 in 82 te uredbe.
60
V obravnavanem primeru je iz predložitvene odločbe razvidno, da je oseba J. M. od banke Pankki S zahtevala, naj ji sporoči informacije o dejanjih vpogleda, katerih predmet so bili njeni osebni podatki med 1. novembrom 2013 in 31. decembrom 2013, pri čemer gre za informacije o datumih teh vpogledov, njihovih namenih in identiteti oseb, ki so opravile navedene vpoglede. Predložitveno sodišče navaja, da bi bilo mogoče na zahtevo osebe J. M. odgovoriti s posredovanjem dnevniških datotek, ki so bile ustvarjene ob navedenih dejanjih.
61
V obravnavanem primeru ni sporno, da gre pri dejanjih vpogleda, katerih predmet so bili osebni podatki tožeče stranke iz postopka v glavni stvari, za „obdelavo“ v smislu člena 4, točka 2, SUVP, tako da ima ta stranka zaradi njih v skladu s členom 15(1) te uredbe ne samo pravico dostopa do teh osebnih podatkov, ampak tudi pravico, da se ji sporočijo informacije v zvezi s temi dejanji, kakor so navedene v zadnjenavedeni določbi.
62
Kar zadeva informacije, kot so tiste, za katere je zaprosila oseba J. M., najprej, sporočitev datumov dejanj vpogleda posamezniku, na katerega se nanašajo osebni podatki, lahko omogoči pridobitev potrditve, da so bili v danem trenutku njegovi osebni podatki dejansko obdelani. Ker morajo biti pogoji za zakonitost iz členov 5 in 6 SUVP izpolnjeni ob sami obdelavi, je poleg tega datum te obdelave element, na podlagi katerega je mogoče preveriti njeno zakonitost. Dalje, navesti je treba, da je informacija v zvezi z nameni obdelave izrecno zajeta s členom 15(1)(a) te uredbe. Nazadnje, člen 15(1)(c) navedene uredbe določa, da mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, sporočiti, katerim uporabnikom so bili njegovi podatki razkriti.
63
Natančneje v zvezi s sporočitvijo vseh teh informacij s posredovanjem dnevniških datotek v zvezi z dejanji obdelave iz postopka v glavni stvari je treba navesti, da člen 15(3), prvi stavek, SUVP določa, da upravljavec „zagotovi kopijo osebnih podatkov, ki se obdelujejo“.
64
V zvezi s tem je Sodišče že razsodilo, da tako uporabljen pojem „kopija“ označuje reprodukcijo ali prepis, ki je skladen z izvirnikom, tako da povsem splošen opis podatkov, ki se obdelujejo, ali napotitev na vrste osebnih podatkov ne bi ustrezal tej opredelitvi. Poleg tega iz besedila člena 15(3), prvi stavek, te uredbe izhaja, da se obveznost sporočitve nanaša na osebne podatke, ki so predmet zadevne obdelave (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 21).
65
Kopija, ki jo mora upravljavec zagotoviti, mora vsebovati vse osebne podatke, ki se obdelujejo, imeti vse značilnosti, ki posamezniku, na katerega se nanašajo osebni podatki, omogočajo učinkovito uveljavljanje svojih pravic na podlagi navedene uredbe, in zato te podatke v celoti in natančno reproducirati (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točki 32 in 39).
66
Za zagotovitev, da so tako zagotovljene informacije lahko razumljive, kot se zahteva s členom 12(1) SUVP v povezavi z uvodno izjavo 58 te uredbe, se namreč lahko izkaže, da je reprodukcija izvlečkov iz dokumentov ali celo celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo osebne podatke, ki se obdelujejo, nujna, če je za zagotovitev razumljivosti obdelanih podatkov potrebna njihova umestitev v kontekst. Natančneje, kadar se osebni podatki pridobivajo iz drugih podatkov ali kadar taki podatki izhajajo iz neizpolnjenih polj, in sicer kadar manjka navedba, iz katere bi izhajala informacija o posamezniku, na katerega se nanašajo osebni podatki, je okvir, v katerem se ti podatki obdelujejo, nujni element, ki posamezniku, na katerega se nanašajo osebni podatki, omogoča pregleden dostop do teh podatkov in njihovo razumljivo predstavitev (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točki 41 in 42).
67
Kot je generalni pravobranilec navedel v točkah od 88 do 90 sklepnih predlogov, v obravnavanem primeru dnevniške datoteke, ki vsebujejo informacije, ki jih je zahtevala oseba J. M., ustrezajo evidencam dejavnosti v smislu člena 30 SUVP. Zanje je treba šteti, da spadajo med ukrepe, navedene v uvodni izjavi 74 te uredbe, ki jih izvaja upravljavec, da bi dokazal skladnost dejavnosti obdelave z navedeno uredbo. Člen 30(4) iste uredbe zlasti natančneje določa, da mora biti nadzornemu organu na zahtevo omogočen dostop do teh evidenc.
68
Če te evidence dejavnosti ne vsebujejo nobene informacije, ki se nanaša na določenega ali določljivega posameznika, v smislu sodne prakse, na katero je bilo opozorjeno v točkah 42 in 43 te sodbe, te evidence dejavnosti omogočajo le, da upravljavec izpolni svoje obveznosti v razmerju do nadzornega organa, ki bi zahteval njihovo predložitev.
69
Natančneje v zvezi z dnevniškimi datotekami upravljavca se lahko posredovanje kopije informacij iz teh datotek izkaže za nujno, da bi bila izpolnjena obveznost, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi dostop do vseh informacij iz člena 15(1) SUVP in da se zagotovi poštena in pregledna obdelava, ki tako temu posamezniku omogoča, da v celoti uveljavlja pravice, ki jih ima na podlagi te uredbe.
70
Prvič, take datoteke namreč razkrivajo obstoj obdelave podatkov, kar je informacija, do katere mora imeti posameznik, na katerega se nanašajo osebni podatki, dostop na podlagi člena 15(1) SUVP. Poleg tega je iz njih razvidna pogostost in intenzivnost dejanj vpogleda, ki tako posamezniku, na katerega se nanašajo osebni podatki, omogočajo, da se prepriča, ali je izvedena obdelava dejansko utemeljena z nameni, ki jih je navedel upravljavec.
71
Drugič, te datoteke vsebujejo informacije o identiteti oseb, ki so izvedle dejanja vpogleda.
72
V obravnavanem primeru je iz predložitvene odločbe razvidno, da so osebe, ki so izvedle dejanja vpogleda iz postopka v glavni stvari, zaposleni banke Pankki S, ki so delovali pod njenim vodstvom in v skladu z njenimi navodili.
73
Iz člena 15(1)(c) SUVP sicer izhaja, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da od upravljavca dobi informacije o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, vendar zaposlenih upravljavca ni mogoče šteti za „uporabnike“ v smislu člena 15(1)(c) SUVP, kakor je bilo nanj opozorjeno v točkah 47 in 48 te sodbe, kadar obdelujejo osebne podatke pod vodstvom navedenega upravljavca in v skladu z njegovimi navodili, kot je to generalni pravobranilec navedel v točki 63 sklepnih predlogov.
74
V zvezi s tem je treba poudariti, da lahko v skladu s členom 29 SUVP katera koli oseba, ki ukrepa pod vodstvom upravljavca in ima dostop do osebnih podatkov, te podatke obdeluje le po navodilih navedenega upravljavca.
75
Kljub temu pa bi lahko informacije iz dnevniških datotek o osebah, ki so izvedle vpoglede v osebne podatke posameznika, na katerega se nanašajo osebni podatki, pomenile informacije, ki spadajo med tiste iz člena 4, točka 1, SUVP, kakor je bilo nanje opozorjeno v točki 41 te sodbe, ki bi lahko temu posamezniku omogočile, da preveri zakonitost obdelave, katere predmet so bili njegovi podatki, zlasti da se prepriča, ali so bila dejanja obdelave dejansko izvedena pod vodstvom upravljavca in v skladu z njegovimi navodili.
76
Vendar, prvič, iz predložitvene odločbe izhaja, da informacije iz dnevniških datotek, kot so informacije iz postopka v glavni stvari, omogočajo identifikacijo zaposlenih, ki so izvedli dejanja obdelave in vsebujejo osebne podatke teh zaposlenih v smislu člena 4, točka 1, SUVP.
77
V zvezi s tem je treba opozoriti, da je v zvezi s pravico dostopa iz člena 15 SUVP v uvodni izjavi 63 te uredbe pojasnjeno, da „[t]a pravica ne bi smela negativno vplivati na pravice ali svoboščine drugih“.
78
V skladu s členom 4 SUVP namreč pravica do varstva osebnih podatkov ni absolutna pravica, saj jo je treba obravnavati glede na vlogo, ki jo ima v družbi, in jo uravnotežiti z drugimi temeljnimi pravicami (sodba z dne 16. julija 2020, Facebook Ireland in Schrems, C‑311/18, EU:C:2020:559, točka 172).
79
Tudi če se predpostavi, da je sporočitev informacij o identiteti zaposlenih upravljavca posamezniku, na katerega se nanašajo osebni podatki, za tega posameznika nujna, da se prepriča o zakonitosti obdelave svojih osebnih podatkov, pa lahko ta sporočitev poseže v pravice in svoboščine teh zaposlenih.
80
V teh okoliščinah je treba, če pride do navzkrižja med, na eni strani, uveljavljanjem pravice dostopa, ki zagotavlja polni učinek pravic, ki so s SUVP priznane posamezniku, na katerega se nanašajo osebni podatki, in, na drugi strani, pravicami ali svoboščinami drugih, zadevne pravice in svoboščine uravnotežiti. Kolikor je mogoče, je treba izbrati ureditve, ki ne vplivajo negativno na pravice ali svoboščine drugih, pri čemer je treba upoštevati, da to ne sme „povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij“, kot je to razvidno iz besedila uvodne izjave 63 SUVP (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 44).
81
Vendar, drugič, iz predložitvene odločbe izhaja, da oseba J. M. ne zahteva, naj se ji sporočijo informacije o identiteti zaposlenih banke Pankki S, ki so izvedli dejanja vpogleda v njene osebne podatke, ker naj dejansko ne bi delovali pod vodstvom in v skladu z navodili upravljavca, temveč očitno dvomi o resničnosti informacij v zvezi z namenom teh vpogledov, ki ji jih je sporočila banka Pankki S.
82
V teh okoliščinah ima posameznik, na katerega se nanašajo osebni podatki, če bi menil, da informacije, ki jih je sporočil upravljavec, ne zadostujejo za odpravo dvomov, ki jih ima glede zakonitosti obdelave, katere predmet so bili njeni osebni podatki, na podlagi člena 77(1) SUVP pravico, da pri nadzornem organu vloži pritožbo, pri čemer je ta organ na podlagi člena 58(1)(a) te uredbe pooblaščen, da od upravljavca zahteva, naj zagotovi vse informacije, ki jih potrebuje za preučitev pritožbe posameznika, na katerega se nanašajo osebni podatki.
83
Iz zgoraj navedenih preudarkov izhaja, da je treba člen 15(1) SUVP razlagati tako, da informacije v zvezi z dejanji vpogleda v osebne podatke posameznika, ki se nanašajo na datume in namene teh dejanj, pomenijo informacije, ki jih ima ta posameznik pravico dobiti od upravljavca na podlagi te določbe. Navedena določba pa ne zajema take pravice v zvezi z informacijami o identiteti zaposlenih navedenega upravljavca, ki so izvedli ta dejanja pod njegovim vodstvom in v skladu z njegovimi navodili, razen če so te informacije nujne za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki so mu podeljene s to uredbo, in se upoštevajo pravice in svoboščine teh zaposlenih.
Tretje vprašanje
84
Predložitveno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je okoliščina, da na eni strani upravljavec opravlja regulirano dejavnost bančništva in da je bil na drugi strani posameznik, katerega osebni podatki so bili obdelani v njegovem statusu stranke upravljavca, tudi zaposlen pri tem upravljavcu, upoštevna za opredelitev obsega pravice dostopa, ki je temu posamezniku priznana s členom 15(1) SUVP.
85
Najprej je treba poudariti, da v zvezi s področjem uporabe pravice dostopa iz člena 15(1) SUVP nobena določba te uredbe ne razlikuje glede na naravo dejavnosti upravljavca ali glede na status posameznika, katerega osebni podatki so predmet obdelave.
86
Kar na eni strani zadeva reguliranost dejavnosti banke Pankki S, člen 23 SUVP državam članicam sicer dopušča, da z zakonodajnimi ukrepi omejijo obseg obveznosti in pravic med drugim iz člena 15 te uredbe.
87
Vendar iz predložitvene odločbe ni razvidno, da bi bila dejavnost banke Pankki S predmet take zakonodaje.
88
Kar na drugi strani zadeva okoliščino, da je bila oseba J. M. hkrati stranka banke Pankki S in zaposlena pri tej banki, je treba navesti, da ob upoštevanju ne le ciljev SUVP, ampak tudi obsega pravice dostopa, ki jo ima posameznik, na katerega se nanašajo osebni podatki, kakor je bilo nanje opozorjeno v točkah 49 in od 55 do 59 te sodbe, kontekst, v katerem ta posameznik zahteva dostop do informacij iz člena 15(1) SUVP, nikakor ne more vplivati na obseg te pravice.
89
Zato je treba člen 15(1) SUVP razlagati tako, da okoliščina, da upravljavec opravlja regulirano dejavnost bančništva in da je bil posameznik, katerega osebni podatki so bili obdelani v njegovem statusu stranke upravljavca, tudi zaposlen pri tem upravljavcu, načeloma ne vpliva na obseg pravice, ki jo ima ta posameznik na podlagi te določbe.
Stroški
90
Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (prvi senat) razsodilo:
1.
Člen 15 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) v povezavi s členom 99(2) te uredbe
je treba razlagati tako, da
se uporablja za zahtevo za dostop do informacij iz te določbe, kadar so bila dejanja obdelave, na katera se ta zahteva nanaša, izvedena pred datumom začetka uporabe navedene uredbe, zahteva pa je bila vložena po tem datumu.
2.
Člen 15(1) Uredbe 2016/679
je treba razlagati tako, da
informacije v zvezi z dejanji vpogleda v osebne podatke posameznika, ki se nanašajo na datume in namene teh dejanj, pomenijo informacije, ki jih ima ta posameznik pravico dobiti od upravljavca na podlagi te določbe. Navedena določba pa ne zajema take pravice v zvezi z informacijami o identiteti zaposlenih navedenega upravljavca, ki so izvedli ta dejanja pod njegovim vodstvom in v skladu z njegovimi navodili, razen če so te informacije nujne za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki so mu podeljene s to uredbo, in se upoštevajo pravice in svoboščine teh zaposlenih.
3.
Člen 15(1) Uredbe 2016/679
je treba razlagati tako, da
okoliščina, da upravljavec opravlja regulirano dejavnost bančništva in da je bil posameznik, katerega osebni podatki so bili obdelani v njegovem statusu stranke upravljavca, tudi zaposlen pri tem upravljavcu, načeloma ne vpliva na obseg pravice, ki jo ima ta posameznik na podlagi te določbe.
Podpisi
(
*1
)	Jezik postopka: finščina.
(
i
)	Točke 19, 29, 31, 35 in 36 ter točka 1 izreka tega besedila so bile jezikovno popravljene po njegovi prvotni objavi na spletu.