62023CJ0169
PRESUDA SUDA (treće vijeće)
28. studenoga 2024. (
*1
)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka i slobodno kretanje takvih podataka – Uredba (EU) 2016/679 – Podaci obrađeni prilikom sastavljanja potvrde o bolesti COVID-19 – Podaci koji nisu dobiveni od ispitanika – Informacije koje treba pružiti – Iznimka od obveze pružanja informacija – Članak 14. stavak 5. točka (c) – Podaci koje je voditelj obrade generirao u svojem postupku – Pravo na pritužbu – Nadležnost nadzornog tijela – Članak 77. stavak 1. – Odgovarajuće mjere zaštite legitimnih interesa ispitanika propisane pravom države članice koje se primjenjuje na voditelja obrade – Mjere za sigurnost obrade podataka – Članak 32.”
U predmetu C‑169/23 [Másdi] (
i
),
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputila Kúria (Vrhovni sud, Mađarska), odlukom od 8. veljače 2023., koju je Sud zaprimio 17. ožujka 2023., u postupku
Nemzeti Adatvédelmi és Információszabadság Hatóság
protiv
UC,
SUD (treće vijeće),
u sastavu: K. Jürimäe, predsjednica drugog vijeća, u svojstvu predsjednika trećeg vijeća, K. Lenaerts, predsjednik Suda, u svojstvu suca trećeg vijeća, N. Jääskinen, M. Gavalec (izvjestitelj) i N. Piçarra, suci,
nezavisna odvjetnica: L. Medina,
tajnik: A. Calot Escobar,
uzimajući u obzir pisani dio postupka,
uzimajući u obzir očitovanja koja su podnijeli:
–
za Nemzeti Adatvédelmi és Információszabadság Hatóság, G. J. Dudás, ügyvéd,
–
za osobu UC, D. Karsai i V. Łuszcz, ügyvédek,
–
za mađarsku vladu, Zs. Biró-Tóth i M. Z. Fehér, u svojstvu agenata,
–
za češku vladu, L. Březinová, M. Smolek i J. Vláčil, u svojstvu agenata,
–
za Europsku komisiju, A. Bouchagiar, C. Kovács i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisne odvjetnice na raspravi održanoj 6. lipnja 2024.,
donosi sljedeću
Presudu
1
Zahtjev za prethodnu odluku odnosi se na tumačenje članka 14. stavka 1. i stavka 5. točke (c), članka 32. i članka 77. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).
2
Zahtjev je upućen u okviru spora između Nemzeti Adatvédelmi és Információszabadság Hatósága (nacionalno tijelo za zaštitu podataka i slobodu informiranja, Mađarska; u daljnjem tekstu: nacionalno tijelo) i osobe UC u vezi s postojanjem obveze pružanja informacija u vezi s obradom osobnih podataka za Budapest Főváros Kormányhivatalu (Vladin ured glavnog grada Budimpešte, Mađarska; u daljnjem tekstu: uprava izdavateljica), zaduženu za izdavanje potvrda o imunitetu za osobe koje su cijepljene protiv bolesti COVID-19 ili koje su preboljele tu bolest.
Pravni okvir
Pravo Unije
OUZP
3
U skladu s uvodnim izjavama 1., 10. i 61. do 63. OUZP‑a:
„(1)
Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima […] te člankom 16. stavkom 1. [UFEU‑a] utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.
[…]
(10)
Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar [Europske u]nije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. U pogledu obrade osobnih podataka za usklađivanje s pravnom obvezom, za izvršavanje zadaće od javnog interesa ili pri obavljanju službene ovlasti dodijeljene voditelju obrade državama članicama trebalo bi dopustiti da zadrže ili uvedu nacionalne odredbe kako bi se dodatno odredila primjena pravila iz ove Uredbe. […]
[…]
(61)
Ispitaniku bi tijekom prikupljanja podataka trebalo dati informacije o obradi osobnih podataka koji se odnose na njega, ili ako se osobni podaci ne uzimaju od ispitanika već su prikupljeni iz drugog izvora, u razumnom roku ovisno o okolnostima slučaja. Ako se osobni podaci legitimno mogu otkriti drugom primatelju, ispitanika bi trebalo informirati kada se osobni podaci prvi put otkrivaju primatelju. Ako voditelj obrade namjerava obrađivati osobne podatke u svrhu koja je različita od one za koju su prikupljeni, voditelj obrade bi prije te daljnje obrade ispitaniku trebao pružiti informacije o toj drugoj svrsi te druge potrebne informacije. Ako se izvor osobnih podataka ne može dati ispitaniku jer su upotrebljavani razni izvori, trebalo bi dati opće informacije.
(62)
Obvezu pružanja informacija ipak nije potrebno nametati ako ispitanik već posjeduje tu informaciju, ako je bilježenje ili otkrivanje osobnih podataka izrijekom propisano zakonom ili ako je pružanje informacije ispitaniku nemoguće ili bi zahtijevalo nerazmjeran napor. […]
(63)
Ispitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. […]”
4
Članak 1. te uredbe, naslovljen „Predmet i ciljevi”, u stavku 2. određuje:
„Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”
5
Članak 4. navedene uredbe, naslovljen „Definicije”, određuje:
„Za potrebe ove Uredbe:
1.
‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’);
2.
‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7.
‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade […]
[…]”
6
Člankom 6. OUZP‑a, naslovljenim „Zakonitost obrade”, u stavku 1. propisuje se:
„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
[…]
(c)
obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
[…]
(e)
obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
[…]”
7
Člankom 9. te uredbe, naslovljenim „Obrada posebnih kategorija osobnih podataka”, u stavcima 1. i 2. određuje se:
„1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.
2.   Stavak 1. ne primjenjuje se ako je ispunjen[o] jedno od sljedećeg:
[…]
(i)
obrada je nužna u svrhu javnog interesa u području javnog zdravlja kao što je zaštita od ozbiljnih prekograničnih prijetnji zdravlju ili osiguravanje visokih standarda kvalitete i sigurnosti zdravstvene skrbi te lijekova i medicinskih proizvoda, na temelju prava Unije ili prava države članice kojim se propisuju odgovarajuće i posebne mjere za zaštitu prava i sloboda ispitanika, posebno čuvanje profesionalne tajne;
[…]”
8
Poglavlje III. OUZP‑a, naslovljeno „Prava ispitanika”, sadržava nekoliko odjeljaka, među kojima je odjeljak 2. naslovljen „Informacije i pristup osobnim podacima”.
9
U tom odjeljku 2. nalaze se članak 13. koji se odnosi na „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, članak 14. koji se odnosi na „Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika” i članak 15. OUZP‑a koji se odnosi na „Pravo ispitanika na pristup”.
10
U skladu s člankom 14. navedene uredbe:
„1.   Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:
(a)
identitet i kontaktne podatke voditelja obrade i predstavnika voditelja obrade, ako je primjenjivo;
(b)
ako je primjenjivo, kontaktne podatke službenika za zaštitu podataka;
(c)
svrhe obrade kojoj su namijenjeni osobni podaci kao i pravnu osnovu za obradu;
(d)
kategorij[e] osobnih podataka o kojima je riječ;
(e)
primatelje ili kategorije primatelja osobnih podataka, prema potrebi;
(f)
ako je primjenjivo, namjeru voditelja obrade da osobne podatke prenese primatelju u trećoj zemlji ili međunarodnoj organizaciji […]
2.   Osim informacija iz stavka 1. voditelj obrade ispitaniku pruža sljedeće informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika:
(a)
razdoblje u kojem će se osobni podaci pohranjivati ili, ako to nije moguće, kriterije kojima se utvrdilo to razdoblje;
(b)
ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane;
(c)
postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika i prava na ulaganje prigovora na obradu te prava na prenosivost podataka;
(d)
ako se obrada temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a), postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena;
(e)
pravu na podnošenje pritužbe nadzornom tijelu;
(f)
izvor osobnih podataka i, prema potrebi, dolaze li iz javno dostupnih izvora;
(g)
postojanje automatiziranog donošenja odluka […]
[…]
4.   Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci dobiveni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.
5.   Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:
(a)
ispitanik već posjeduje informacije;
(b)
pružanje takvih informacija nemoguće je ili bi zahtijevalo nerazmjerne napore; posebno za obrade u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, podložno uvjetima i zaštitnim mjerama iz članka 89. stavka 1. ili u mjeri u kojoj je vjerojatno da se obvezom iz stavka 1. ovog članka može onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade. U takvim slučajevima voditelj obrade poduzima odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanikâ, među ostalim stavljanjem informacija na raspolaganje javnosti;
(c)
dobivanje ili otkrivanje podataka izrijekom je propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a koje predviđa odgovarajuće mjere zaštite legitimnih interesa ispitanika;
(d)
ako osobni podaci moraju ostati povjerljivi u skladu s obvezom čuvanja profesionalne tajne koju uređuje pravo Unije ili pravo države članice, uključujući obvezu čuvanja tajne koja se navodi u statutu.”
11
Članak 32. OUZP‑a, naslovljen „Sigurnost obrade”, glasi kako slijedi:
„1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:
(a)
pseudonimizaciju i enkripciju osobnih podataka;
(b)
sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade;
(c)
sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta;
(d)
proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.
2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.
3.   Poštovanje odobrenog kodeksa ponašanja iz članka 40. ili odobrenog mehanizma certificiranja iz članka 42. može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavka 1. ovog članka.
4.   Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.”
12
Članak 55. te uredbe, naslovljen „Nadležnost”, u stavku 1. propisuje:
„Svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Uredbom na državnom području vlastite države članice.”
13
Člankom 57. OUZP‑a, naslovljenim „Zadaće”, u stavku 1. propisuje se:
„Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:
(a)
prati i provodi primjenu ove Uredbe;
[…]
(c)
savjetuje, u skladu s pravom države članice, nacionalni parlament, vladu i druge institucije i tijela o zakonodavnim i administrativnim mjerama u vezi sa zaštitom prava i sloboda pojedinaca u pogledu obrade;
[…]”
14
Članak 58. te uredbe, naslovljen „Ovlasti”, u stavku 3. određuje:
„Svako nadzorno tijelo ima sve sljedeće ovlasti u vezi s odobravanjem te savjetodavne ovlasti:
[…]
(b)
na vlastitu inicijativu ili na zahtjev, izdati nacionalnom parlamentu, vladi države članice ili, u skladu s pravom države članice, drugim institucijama i tijelima, te javnosti, mišljenje o svakom pitanju u vezi sa zaštitom osobnih podataka;
[…]”
15
U članku 77. navedene uredbe, naslovljenom „Pravo na pritužbu nadzornom tijelu”, u stavku 1. propisuje se:
„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.”
16
Članak 78. OUZP‑a, naslovljen „Pravo na učinkoviti sudski pravni lijek protiv nadzornog tijela”, glasi kako slijedi:
„1.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.
2.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek svaki ispitanik ima pravo na učinkoviti sudski pravni lijek ako nadzorno tijelo nadležno na temelju članaka 55. i 56. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 77.
3.   Postupci protiv nadzornog tijela vode se pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan.
4.   Ako je pokrenut postupak protiv odluke nadzornog tijela kojoj je prethodilo mišljenje ili odluka Odbora u okviru mehanizma konzistentnosti, nadzorno tijelo prosljeđuje to mišljenje ili odluku sudu.”
Uredba (EU) 2021/953
17
Članak 10. Uredbe (EU) 2021/953 Europskog parlamenta i Vijeća od 14. lipnja 2021. o okviru za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) radi olakšavanja slobodnog kretanja tijekom pandemije bolesti COVID-19 (SL 2021., L 211, str. 1. i ispravak SL 2022., L 72, str. 7.), naslovljen „Zaštita osobnih podataka”, predviđao je u stavku 1.:
„Na obradu osobnih podataka koja se izvršava pri provedbi ove Uredbe primjenjuje se OUZP.”
Mađarsko pravo
18
Člankom 2. stavkom 1. koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendeleta (Vladina uredba br. 60/2021 (II.12.) o potvrdi o imunitetu protiv koronavirusa) od 12. veljače 2021., u verziji primjenjivoj na glavni postupak (u daljnjem tekstu: Uredba br. 60/2021):
„U potvrdi o imunitetu navodi se:
(a)
ime ispitanika;
(b)
broj putovnice ispitanika, ako je on ima;
(c)
broj i identifikacijska oznaka iz trajne osobne iskaznice ispitanika, ako je on ima;
(d)
serijski broj potvrde o imunitetu;
(e)
ako se prilaže potvrda o cijepljenju, datum cijepljenja;
(f)
ako se prilaže potvrda o preboljenju, datum valjanosti dokaza;
(g)
kod za pohranu podataka koji je optički čitljiv s pomoću računalnih uređaja i koji se generira na temelju podataka navedenih u točkama (a) do (f);
(h)
sljedeće napomene, u obliku tekstualnih upozorenja:
(ha)
‚Kako bi kartica bila valjana, treba je priložiti osobnoj iskaznici ili putovnici’;
(hb)
‚Nije prenosiva’;
(hc)
‚Prava povezana s potvrdom mogu se pronaći na internetskoj stranici koronavirus.gov.hu’.”
19
U skladu s člankom 2. stavcima 6. i 7. Uredbe br. 60/2021, potvrda o imunitetu izdaje se svakoj fizičkoj osobi koja je ovlaštena dobiti je, bilo po službenoj dužnosti ili na zahtjev.
20
Člankom 3. stavkom 3. te uredbe određuje se:
„U slučajevima iz članka 2. stavka 6. točaka (c) i (d), uprava izdavateljica prikuplja, automatskim prijenosom informacija, po potrebi posredstvom službi za elektroničko upravljanje identifikacijskim podacima:
(a)
od operatora platforme EESZT (Elektronikus Egészségügyi Szolgáltatási Tér (Elektronička platforma zdravstvenih usluga)): broj socijalnog osiguranja ispitanika, podatke iz članka 2. stavka 1. točaka (e) i (g) kao i podatke iz stavka 1.;
(b)
od tijela zaduženog za vođenje registra osobnih podataka i adresa: ime, identifikacijske oznake iz putovnice i trajne osobne iskaznice te adresu ispitanika.”
Glavni postupak i prethodna pitanja
21
Osobi UC, fizičkoj osobi, uprava izdavateljica izdala je potvrdu o imunitetu kojom se potvrđuje njezino cijepljenje protiv bolesti COVID-19 na temelju Uredbe br. 60/2021.
22
Dana 30. travnja 2021. osoba UC pokrenula je upravni postupak u vezi s obradom osobnih podataka koji se na nju odnose time što je nacionalnom tijelu podnijela pritužbu na temelju članka 77. stavka 1. OUZP‑a, kako bi se upravi izdavateljici naložilo da svoje postupke obrade uskladi s odredbama OUZP‑a. U svojoj pritužbi, među ostalim, tvrdila je da uprava izdavateljica nije sastavila niti objavila informativni letak o obradi osobnih podataka koji se odnose na izdavanje potvrda o imunitetu te je isticala da ne postoje informacije o svrsi obrade tih podataka i pravnoj osnovi za nju kao ni o pravima ispitanika i načinima na koje ih može ostvariti.
23
U postupku pokrenutom na temelju te pritužbe uprava izdavateljica izjavila je da obavlja svoje zadaće povezane s izdavanjem potvrde o imunitetu na temelju članka 2. Uredbe br. 60/2021 jer je pravna osnova obrade osobnih podataka članak 6. stavak 1. točka (e) OUZP‑a, a članak 9. stavak 2. točka (i) te uredbe u pogledu obrade osobnih podataka posebnih kategorija.
24
Usto je uprava izdavateljica navela da je osobne podatke koje obrađuje dobila od drugog tijela, u skladu s odredbama Uredbe br. 60/2021. Na toj osnovi tvrdila je da na temelju članka 14. stavka 5. točke (c) OUZP‑a nije dužna pružiti informacije o obradi tih podataka. Međutim, sastavila je i na svojoj internetskoj stranici objavila zatraženu izjavu o zaštiti osobnih podataka.
25
Odlukom od 15. studenoga 2021. nacionalno tijelo odbilo je zahtjev osobe UC i zaključilo da ne postoji obveza pružanja informacija uprave izdavateljice zbog toga što je predmetna obrada osobnih podataka obuhvaćena iznimkom predviđenom u članku 14. stavku 5. točki (c) OUZP‑a.
26
Konkretno, to je tijelo smatralo da je Uredba br. 60/2021 pravna osnova za obradu i da se njome upravi izdavateljici izrijekom nalaže da prikuplja predmetne podatke. Prema mišljenju navedenog tijela, objava informacija o obradi osobnih podataka koju provodi uprava izdavateljica na svojoj internetskoj stranici predstavlja dobru praksu, a ne pravnu obvezu.
27
Usto je nacionalno tijelo po službenoj dužnosti ispitalo postoje li odgovarajuće mjere zaštite legitimnih interesa ispitanika u smislu članka 14. stavka 5. točke (c) drugog dijela rečenice OUZP‑a te je smatralo da takvima treba smatrati odredbe članaka 2., 3. i 5. do 7. Uredbe br. 60/2021.
28
Osoba UC podnijela je upravnu tužbu protiv te odluke Fővárosi Törvényszéku (Okružni sud u Budimpešti, Mađarska), koji je poništio navedenu odluku i naložio tom tijelu pokretanje novog postupka.
29
Taj je sud u svojoj presudi smatrao da iznimka predviđena člankom 14. stavkom 5. točkom (c) OUZP‑a nije primjenjiva jer određene osobne podatke dostavljene u vezi s potvrdama o imunitetu voditelj obrade nije dobio od drugog tijela, nego ih je sam generirao u okviru izvršavanja svojih zadaća. Prema mišljenju navedenog suda, to je bio slučaj sa serijskim brojem potvrde o imunitetu, datumom isteka valjanosti potvrde izdane osobi koja je oboljela od bolesti, QR kodom koji se nalazi na karti, bar kodovima i drugim alfanumeričkim kodovima koji se nalaze na dopisu o predaji potvrde i s osobnim podacima koji su generirani postupkom voditelja obrade u vezi s upravljanjem predmetom. Prema mišljenju istog suda, iznimkom predviđenom u članku 14. stavku 5. točki (c) OUZP‑a mogli bi biti obuhvaćeni samo osobni podaci dobiveni od drugog tijela.
30
Nacionalno tijelo podnijelo je Kúriji (Vrhovni sud, Mađarska), sudu koji je uputio zahtjev, izvanredni pravni lijek protiv te presude.
31
U vezi s tim taj sud najprije dvoji o tome može li se iznimka predviđena u članku 14. stavku 5. točki (c) OUZP‑a primijeniti na svaku obradu osobnih podataka osim na obradu osobnih podataka koja se odnosi na osobne podatke dobivene od ispitanika.
32
U slučaju potvrdnog odgovora, navedeni sud dvoji o tome je li u okviru postupka pritužbe na temelju članka 77. stavka 1. OUZP‑a nadzorno tijelo nadležno provjeriti, kako bi odlučilo o primjenjivosti te iznimke, predviđaju li se nacionalnim pravom voditelja obrade odgovarajuće mjere zaštite legitimnih interesa ispitanika.
33
U slučaju potvrdnog odgovora, sud koji je uputio zahtjev naposljetku želi doznati odnosi li se ta provjera i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. OUZP‑a kako bi zajamčio sigurnost obrade osobnih podataka.
34
U tim je okolnostima Kúria (Vrhovni sud) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Treba li članak 14. stavak 5. točku (c) [OUZP‑a], u vezi s njegovim člankom 14. stavkom 1. i uvodnom izjavom 62., tumačiti na način da se iznimka predviđena člankom 14. stavkom 5. točkom (c) ne odnosi na podatke koje je voditelj obrade generirao u svojem postupku, nego isključivo na podatke koje je on izričito dobio od druge osobe?
2.
U slučaju da se članak 14. stavak 5. točka (c) OUZP‑a primjenjuje i na podatke koje je voditelj obrade generirao u svojem postupku, treba li pravo na pritužbu nadzornom tijelu iz članka 77. stavka 1. OUZP‑a tumačiti na način da fizička osoba koja tvrdi da je došlo do nepoštovanja obveze pružanja informacija može, prilikom ostvarivanja svojeg prava na pritužbu, zatražiti da se ispita jesu li u pravu države članice utvrđene odgovarajuće mjere zaštite legitimnih interesa ispitanika, u skladu s člankom 14. stavkom 5. točkom (c) OUZP‑a?
3.
U slučaju potvrdnog odgovora na drugo pitanje, može li se članak 14. stavak 5. točka (c) OUZP‑a tumačiti na način da ‚odgovarajuće mjere’ navedene u toj odredbi podrazumijevaju da nacionalni zakonodavac treba (pravnim pravilom) prenijeti mjere koje se odnose na sigurnost podataka i koje su utvrđene u članku 32. OUZP‑a?”
35
Dana 16. siječnja 2024. Sud je pozvao stranke i zainteresirane osobe iz članka 23. Statuta Suda Europske unije da u pisanom obliku odgovore na određena pitanja, na temelju članka 61. Poslovnika Suda. Tužitelj i tuženik iz glavnog postupka, mađarska i češka vlada te Europska komisija odgovorili su na ta pitanja.
O prethodnim pitanjima
Prvo pitanje
36
Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 14. stavak 5. točku (c) OUZP‑a tumačiti na način da se iznimka od obveze voditelja obrade da pruži informacije ispitaniku, predviđene tom odredbom, odnosi samo na osobne podatke koje je voditelj obrade dobio od osobe koja nije ispitanik ili se ona odnosi i na osobne podatke koje je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća.
37
Člankom 14. stavcima 1., 2. i 4. te uredbe određuju se informacije koje voditelj obrade mora pružiti ispitaniku u smislu članka 4. točke 1. navedene uredbe ako osobni podaci nisu dobiveni od te osobe.
38
U članku 14. stavku 5. iste uredbe navode se iznimke od te obveze. Među tim iznimkama točkom (c) tog stavka 5. predviđa se da se navedena obveza ne primjenjuje ako i u mjeri u kojoj je dobivanje ili otkrivanje podataka izrijekom propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a koje predviđa odgovarajuće mjere zaštite legitimnih interesa ispitanika.
39
Kako bi se utvrdilo obuhvaća li ta iznimka osobne podatke koje je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća iz podataka dobivenih od osobe koja nije ispitanik, na temelju ustaljene sudske prakse valja uzeti u obzir ne samo tekst odredbe kojim se ona propisuje nego i kontekst u kojem se ta odredba nalazi te ciljeve propisa kojeg je dio (vidjeti u tom smislu presudu od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 32. i navedenu sudsku praksu).
40
Kao prvo, s obzirom na tekst članka 14. stavka 5. točke (c) OUZP‑a, valja odrediti predmet „dobivanja ili otkrivanja” iz te odredbe.
41
Naime, kao prvo, postoji razlika između različitih jezičnih verzija navedene odredbe. U verziji te odredbe na francuskom jeziku upućuje se na dobivanje ili otkrivanje „informacija”, dok, najprije, mađarska („adat”), estonska („isikuandmed”), hrvatska („podataka”), litavska („duomenų”), nizozemska („gegevens”), portugalska („Dados”), rumunjska („datelor”) i švedska („uppgifter”) upućuju na dobivanje ili otkrivanje „podataka”, zatim, verzija na finskom jeziku sadržava izraz („tietojen”) koji se istodobno može odnositi na „podatke” ili „informacije” i, naposljetku, u verzijama na bugarskom, španjolskom, češkom, danskom, njemačkom, grčkom, engleskom, talijanskom, latvijskom, malteškom, poljskom, slovačkom i slovenskom jeziku ne navodi se predmet dobivanja ili otkrivanja.
42
Međutim, u skladu s ustaljenom sudskom praksom, formulacija neke odredbe prava Unije upotrijebljena u jednoj od jezičnih verzija ne može služiti kao jedina osnova za tumačenje te odredbe niti joj se može dati prednost u odnosu na druge jezične verzije. Naime, odredbe prava Unije moraju se tumačiti i primjenjivati ujednačeno s obzirom na verzije sastavljene na svim jezicima Unije. U slučaju nejednakosti između različitih jezičnih verzija nekog teksta prava Unije, odredba o kojoj je riječ mora se tumačiti s obzirom na opću strukturu i svrhu propisa kojeg je dio (presuda od 21. ožujka 2024., Cobult, C‑76/23, EU:C:2024:253, t. 25. i navedena sudska praksa).
43
Kad je riječ o općoj strukturi OUZP‑a, članak 14. stavak 5. te uredbe valja tumačiti s obzirom na uvodne izjave 61. i 62., u kojima se upućuje, s jedne strane, na „osobnih podataka […] prikupljeni [i] […] osobnih podataka […] otkrivaju” kao i na „bilježenje ili otkrivanje osobnih podataka […] izrijekom propisano zakonom” i, s druge strane, na „trebalo bi dati […] informacije” ili „koje se trebaju pružiti”. Tumačenje prema kojem se „dobivanje ili otkrivanje” u smislu članka 14. stavka 5. točke (c) OUZP‑a odnosi na osobne podatke usto je potvrđeno širokim dosegom pojma „obrada” u smislu članka 4. točke 2. OUZP‑a, koji obuhvaća svaki postupak koji se primjenjuje na osobne podatke (vidjeti u tom smislu presudu od 5. listopada 2023., Ministerstvo zdravotnictví (Mobilna aplikacija Covid-19), C‑659/22, EU:C:2023:745, t. 27. i navedenu sudsku praksu).
44
Što se tiče svrhe propisa kojeg je dio članak 14. stavak 5. točka (c) OUZP‑a, dovoljno je primijetiti, kao što je to učinila nezavisna odvjetnica u točki 31. svojega mišljenja, da se ratio legis te iznimke temelji na činjenici da obveza pružanja informacija ispitaniku propisana člankom 14. stavcima 1., 2. i 4. te uredbe nije opravdana ako druga odredba prava Unije ili prava države članice dovoljno potpuno i obvezujuće nalaže voditelju obrade da pruži toj osobi informacije koje se odnose na dobivanje ili otkrivanje osobnih podataka. Naime, u slučaju iz tog članka 14. stavka 5. točke (c), ispitanici čiji se podaci obrađuju moraju imati dovoljno saznanja o načinima i svrhama dobivanja ili otkrivanja tih podataka.
45
Slijedom toga, s obzirom na tekst članka 14. stavka 5. točke (c) OUZP‑a u svim njegovim jezičnim verzijama, valja smatrati da tu odredbu treba shvatiti na način da upućuje na dobivanje ili otkrivanje osobnih podataka.
46
Kao drugo, valja utvrditi da se tekstom članka 14. stavka 5. točke (c) OUZP‑a iznimka koja se njime predviđa ne ograničava samo na osobne podatke koje voditelj obrade dobije od osobe koja nije ispitanik niti se njime isključuju podaci koje je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća iz takvih podataka.
47
Iz toga slijedi da su osobni podaci koje je voditelj obrade „dobio” u smislu navedene odredbe svi osobni podaci koje voditelj obrade dobije od osobe koja nije ispitanik i oni koje je on sam, u okviru izvršavanja svoje zadaće, generirao iz podataka dobivenih od osobe koja nije ispitanik.
48
Kao drugo, valja primijetiti da je materijalno područje primjene članka 14. OUZP‑a negativno definirano u odnosu na članak 13. te uredbe. Kao što to proizlazi iz samih naslova tih odredbi, članak 13. odnosi se na informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika, dok se članak 14. odnosi na one koje se trebaju dostaviti ako osobni podaci nisu dobiveni od ispitanika. Uzimajući u obzir tu dihotomiju, svi slučajevi u kojima podaci nisu dobiveni od ispitanika obuhvaćeni su materijalnim područjem primjene navedenog članka 14.
49
Prema tome, iz tumačenja članka 13. u vezi s člankom 14. OUZP‑a proizlazi da su osobni podaci koje voditelj obrade dobije od osobe koja nije ispitanik i podaci koje je generirao sam voditelj obrade, koji po svojoj prirodi također nisu dobiveni od ispitanika, obuhvaćeni područjem primjene tog članka 14. Iz toga proizlazi da iznimka utvrđena u navedenom članku 14. stavku 5. točki (c) obuhvaća te dvije kategorije podataka.
50
Kao treće, članak 14. stavak 5. točku (c) OUZP‑a valja tumačiti na način koji je u skladu s ciljem koji se nastoji postići tom uredbom, a koji se sastoji, među ostalim, kao što to proizlazi iz njezina članka 1. u vezi s njezinim uvodnim izjavama 1. i 10., od osiguravanja visoke razine zaštite temeljnih prava i sloboda fizičkih osoba, osobito njihova prava na privatnost u vezi s obradom osobnih podataka, utvrđenog u članku 8. stavku 1. Povelje o temeljnim pravima i članku 16. stavku 1. UFEU‑a (vidjeti u tom smislu presudu od 7. ožujka 2024., IAB Europe, C‑604/22, EU:C:2024:214, t. 53. i navedenu sudsku praksu).
51
U tom pogledu iz uvodne izjave 63. OUZP‑a proizlazi da je zakonodavac Unije želio da ispitanik, u smislu te uredbe, ima pravo na pristup prikupljenim osobnim podacima koji se na njega odnose kako bi bio svjestan obrade i provjerio njezinu zakonitost.
52
Stoga se voditelj obrade može osloboditi obveze pružanja informacija koju obično ima prema ispitaniku pod uvjetom da ta osoba može izvršiti nadzor nad svojim osobnim podacima i ostvariti prava koja su joj dodijeljena OUZP‑om.
53
U skladu sa zadanim ciljem te uredbe, iznimka od obveze pružanja informacija ispitaniku, predviđena člankom 14. stavkom 5. točkom (c) OUZP‑a, zahtijeva, s jedne strane, da su dobivanje ili otkrivanje osobnih podataka od strane voditelja obrade izrijekom predviđeni pravom Unije ili pravom države članice kojem taj voditelj obrade podliježe. S druge strane, to pravo mora predvidjeti odgovarajuće mjere za zaštitu legitimnih interesa ispitanika.
54
Iz toga proizlazi da je, kako bi bila u potpunosti u skladu s ciljem koji se nastoji postići OUZP‑om, primjena članka 14. stavka 5. točke (c) te uredbe uvjetovana strogim poštovanjem uvjeta predviđenih tom odredbom, odnosno, među ostalim, postojanjem razine zaštite ispitanika koja je barem jednaka onoj zajamčenoj člankom 14. stavcima 1. do 4. navedene uredbe.
55
Uzimajući u obzir prethodne razloge, na prvo pitanje valja odgovoriti tako da članak 14. stavak 5. točku (c) OUZP‑a treba tumačiti na način da se iznimka od obveze voditelja obrade da pruži informacije ispitaniku, predviđena tom odredbom, bez razlike odnosi na sve osobne podatke koje voditelj obrade nije dobio izravno od ispitanika, bilo da ih je voditelj obrade dobio od osobe koja nije ispitanik bilo da ih je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća.
Drugo i treće pitanje
56
Svojim drugim i trećim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 14. stavak 5. točku (c) i članak 77. stavak 1. OUZP‑a tumačiti na način da je u okviru postupka pritužbe nadzorno tijelo nadležno provjeriti predviđaju li se pravom države članice kojem podliježe voditelj obrade odgovarajuće mjere za zaštitu legitimnih interesa ispitanika u svrhu primjene iznimke predviđene u tom članku 14. stavku 5. točki (c) i, u slučaju potvrdnog odgovora, odnosi li se ta provjera i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. te uredbe kako bi osigurao sigurnost obrade osobnih podataka.
57
Kao prvo, valja podsjetiti na to da na temelju članka 77. stavka 1. OUZP‑a, ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu ako smatra da obrada osobnih podataka koja se odnosi na njega krši tu uredbu.
58
Što se tiče nadležnosti nadzornih tijela, članak 55. stavak 1. navedene uredbe predviđa da je svako nadzorno tijelo na državnom području vlastite države članice nadležno za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene na temelju te uredbe.
59
Kada je riječ o tim zadaćama, člankom 57. stavkom 1. točkom (a) OUZP‑a određuje se da svako nadzorno tijelo prati i provodi njezinu primjenu.
60
OUZP ne sadržava nijednu odredbu na temelju koje bi se određeni aspekti primjene iznimke predviđene člankom 14. stavkom 5. točkom (c) te uredbe mogli izuzeti iz nadležnosti tih nadzornih tijela.
61
Na temelju te odredbe, voditelj obrade izuzet je od obveze pružanja informacija ispitaniku iz članka 14. stavaka 1., 2. i 4. OUZP‑a ako i u mjeri u kojoj je, s jedne strane, dobivanje ili otkrivanje podataka izrijekom propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a, s druge strane, tim pravom predviđaju se odgovarajuće mjere zaštite legitimnih interesa ispitanika.
62
Stoga se pritužba na temelju članka 77. stavka 1. OUZP‑a može temeljiti na povredi obveze voditelja obrade da pruži informacije, koja se temelji na nepoštovanju uvjeta za primjenu iznimke predviđene u članku 14. stavku 5. točki (c) te uredbe.
63
Kad je riječ o prvom uvjetu, navedenom u točki 61. ove presude, od nadzornog tijela kojem je podnesena takva pritužba može se zatražiti da provjeri predviđa li pravo Unije ili nacionalno pravo da voditelj obrade mora dobiti ili otkriti osobne podatke.
64
Što se tiče drugog uvjeta, valja utvrditi, poput nezavisne odvjetnice u točkama 67. i 69. svojega mišljenja, da doseg izraza „odgovarajuće mjere za zaštitu legitimnih interesa ispitanika” nije pojašnjen u OUZP‑u. Međutim, odredbe prava Unije ili prava države članice kojima se predviđaju takve mjere i koje se primjenjuju na voditelja obrade moraju jamčiti, kao što je to navedeno u točki 54. ove presude, razinu zaštite ispitanika s obzirom na obradu njegovih osobnih podataka koja je barem jednaka onoj predviđenoj u članku 14. stavcima 1. do 4. te uredbe. Stoga te odredbe moraju omogućiti ispitaniku da izvršava nadzor nad svojim osobnim podacima i izvršava prava koja su mu dodijeljena OUZP‑om.
65
U tu je svrhu osobito važno da se u tim odredbama jasno i predvidljivo navede izvor iz kojeg ispitanik dobiva informacije o obradi osobnih podataka koji se na njega odnose.
66
U vezi s prijenosom osobnih podataka među tijelima države članice i generiranjem takvih podataka od strane voditelja obrade iz podataka prikupljenih od osobe koja nije ispitanik, valja istaknuti da je, u slučaju pritužbe te osobe, na nadzornom tijelu da provjeri, među ostalim, definira li nacionalno pravo ili relevantno pravo Unije dovoljno precizno različite vrste osobnih podataka koje treba dobiti ili otkriti te osobne podatke koje treba generirati u okviru izvršavanja svojih zadaća i propisuje li se tim pravom na koji način ispitanik ima stvarni pristup informacijama iz članka 14. stavaka 1., 2. i 4. OUZP‑a.
67
Kao što to Komisija naglašava u svojim pisanim očitovanjima, provjera – koju provodi nadzorno tijelo – jesu li ispunjeni svi uvjeti za primjenu iznimke predviđene u članku 14. stavku 5. točki (c) OUZP‑a ipak nije obuhvaćena ispitivanjem valjanosti relevantnih odredbi nacionalnog prava. To tijelo odlučuje samo o tome ima li voditelj obrade u određenom slučaju pravo pozvati se na iznimku predviđenu tom odredbom u pogledu ispitanika.
68
Kad je riječ o ishodu takve provjere, valja podsjetiti na to da, na temelju članka 78. te uredbe, kada u određenom slučaju nadzorno tijelo odluči da je ispitanikova pritužba neosnovana, on u svojoj državi članici mora imati pravo na djelotvoran pravni lijek protiv te odluke o odbijanju.
69
Nasuprot tomu, ako to tijelo smatra da je pritužba osnovana i da nisu ispunjeni uvjeti za primjenu iznimke predviđene u članku 14. stavku 5. točki (c) navedene uredbe, ono voditelju obrade nalaže da ispitaniku pruži informacije u skladu s člankom 14. stavcima 1., 2. i 4. iste uredbe.
70
Kao drugo, što se tiče pitanja treba li se ta provjera odnositi i na prikladnost, s obzirom na članak 32. OUZP‑a, mjera koje voditelj obrade mora provesti kako bi osigurao sigurnost obrade, valja naglasiti da se člankom 14. stavkom 5. točkom (c) te uredbe utvrđuje samo iznimka od obveze pružanja informacija predviđene u članku 14. stavcima 1., 2. i 4. navedene uredbe, a da se pritom ne predviđa odstupanje od obveza sadržanih u drugim odredbama te uredbe, među kojima je i njezin članak 32.
71
Tim člankom 32. voditelja obrade i izvršitelja obrade obvezuje se da provedu odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti obrade osobnih podataka. Prikladnost takvih mjera nacionalni sudovi moraju konkretno ocijeniti, uzimajući u obzir rizike povezane s obradom o kojoj je riječ i ocjenom toga jesu li priroda, sadržaj i provedba tih mjera prilagođeni tim rizicima (vidjeti u tom smislu presude od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 42., 46. i 47., i od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 37. i 38.).
72
S obzirom na tekst tih dviju odredbi, valja istaknuti da su obveze utvrđene u članku 32. OUZP‑a, koje se u svakom slučaju moraju poštovati i neovisno o postojanju obveze pružanja informacija na temelju članka 14. te uredbe, različite prirode i dosega u odnosu na obvezu pružanja informacija predviđenu tim člankom 14.
73
Tako je u slučaju pritužbe na temelju članka 77. stavka 1. OUZP‑a, zbog toga što se voditelj obrade pogrešno pozvao na iznimku predviđenu u članku 14. stavku 5. točki (c) te uredbe, predmet provjera koje nadzorno tijelo treba provesti ograničen područjem primjene samo članka 14. navedene uredbe, pri čemu poštovanje njezina članka 32. nije dio tih provjera.
74
Uzimajući u obzir prethodno navedene razloge, na drugo i treće pitanje valja odgovoriti tako da članak 14. stavak 5. točku (c) i članak 77. stavak 1. OUZP‑a treba tumačiti na način da je u okviru postupka pritužbe nadzorno tijelo nadležno provjeriti predviđaju li se pravom države članice koje se primjenjuje na voditelja obrade odgovarajuće mjere za zaštitu legitimnih interesa ispitanika u svrhu primjene iznimke predviđene u tom članku 14. stavku 5. točki (c). Međutim, ta provjera ne odnosi se i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. te uredbe kako bi zajamčio sigurnost obrade osobnih podataka.
Troškovi
75
Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (treće vijeće) odlučuje:
1.
Članak 14. stavak 5. točku (c) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da se:
iznimka od obveze voditelja obrade da pruži informacije ispitaniku, predviđena tom odredbom, bez razlike odnosi na sve osobne podatke koje voditelj obrade nije dobio izravno od ispitanika, bilo da ih je voditelj obrade dobio od osobe koja nije ispitanik bilo da ih je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća.
2.
Članak 14. stavak 5. točku (c) i članak 77. stavak 1. Uredbe 2016/679
treba tumačiti na način da je:
u okviru postupka pritužbe nadzorno tijelo nadležno provjeriti predviđaju li se pravom države članice koje se primjenjuje na voditelja obrade odgovarajuće mjere za zaštitu legitimnih interesa ispitanika u svrhu primjene iznimke predviđene u tom članku 14. stavku 5. točki (c). Međutim, ta provjera ne odnosi se i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. te uredbe kako bi zajamčio sigurnost obrade osobnih podataka.
Potpisi
(
*1
)	Jezik postupka: mađarski
(
i
)	Naziv ovog predmeta je izmišljen. On ne odgovara stvarnom imenu nijedne stranke u postupku.