62023CC0169
SKLEPNI PREDLOGI GENERALNE PRAVOBRANILKE
LAILE MEDINA,
predstavljeni 6. junija 2024 (
1
)
Zadeva C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
proti
UC
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Kúria (vrhovno sodišče, Madžarska))
„Predhodno odločanje – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Obdelava podatkov zaradi izdaje potrdila o covidu-19 – Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se osebni podatki nanašajo – Člen 14(1) – Odstopanja od obveznosti zagotavljanja informacij – Pridobitev ali razkritje, ki je izrecno določeno s pravom Unije ali države članice – Ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki – Člen 14(5)(c) – Pravica do vložitve pritožbe pri nadzornem organu – Člen 77“
I. Uvod
1.
Ena od najpomembnejših obveznosti upravljavca podatkov je obveznost, da posamezniku, na katerega se nanašajo osebni podatki, zagotovi informacije. Generalni pravobranilec P. Cruz Villalón je to odlično izrazil v sklepnih predlogih v zadevi Bara, ko je navedel, da se z zahtevo, da se obvesti posameznika, na katerega se nanašajo osebni podatki, „zagotavlja preglednost kakršne koli obdelave“. (
2
) Obveznost obveščanja ustreza temeljni pravici posameznika, na katerega se nanašajo osebni podatki, da prejme informacije o obdelavi svojih podatkov. V pravni literaturi (
3
) se navaja, da je s pravico do informacij „ponazorjeno“ načelo preglednosti in da „pomeni osrednjo točko“ vseh drugih pravic. Dejansko je s širokimi zahtevami po informacijah posamezniku, na katerega se nanašajo osebni podatki, omogočeno uveljavljanje drugih pomembnih pravic, priznanih z Uredbo (EU) 2016/679. (
4
)
2.
Obravnavana zadeva se je pojavila v okviru izdajanja potrdil o covidu-19. Sodišče je z njo prvič pozvano k razlagi pomembnega odstopanja od obveznosti upravljavca podatkov, da zagotovi informacije, ki je določeno v členu 14(5)(c) SUVP. Upoštevno odstopanje bo preučeno glede na pooblastila nadzornih organov v okviru pritožbe, ki jo vloži posameznik, na katerega se nanašajo osebni podatki.
II. Pravni okvir
A.
Pravo Evropske unije
3.
Člen 14 SUVP, naslovljen „Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo“, v odstavkih 1, 2 in 5 določa:
„1.   Kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije:
(a)
identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
(b)
kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
(c)
namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
(d)
vrste zadevnih osebnih podatkov;
(e)
uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
(f)
kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa [Evropske k]omisije o ustreznosti […].
2.   Upravljavec poleg informacij iz odstavka 1 posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije, ki so potrebne za zagotavljanje poštene in pregledne obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki:
(a)
obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
(b)
kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
(c)
obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ali omejitev obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki, in obstoj pravice do ugovora obdelavi ter pravice do prenosljivosti podatkov;
(d)
kadar obdelava temelji na točki (a) člena 6(1) ali točki (a) člena 9(2), obstoj pravice, da se lahko privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave podatkov, ki se je na podlagi privolitve izvajala do njenega preklica;
(e)
pravico do vložitve pritožbe pri nadzornem organu;
(f)
od kje izvirajo osebni podatki in po potrebi, ali izvirajo iz javno dostopnih virov, in
(g)
obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
[…]
5.   Odstavki 1 do 4 se ne uporabljajo, kadar in kolikor:
[…]
(c)
je pridobitev ali razkritje izrecno določeno s pravom Unije ali pravom države članice, ki velja za upravljavca in s katerim so določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki,
[…].“
4.
Člen 32 SUVP, naslovljen „Varnost obdelave“, v odstavku 1 določa:
„Ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno:
[…].“
5.
Člen 77 SUVP, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, v odstavku 1 določa:
„Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.“
B.
Madžarsko pravo
6.
Člen 2(1), od (a) do (g), koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (uredba vlade 60/2021 z dne 12. februarja 2021 o potrdilu o imunosti proti koronavirusu, v nadaljevanju: uredba 60/2021) v različici, ki se uporablja za spor o glavni stvari, določa:
„Potrdilo o imunosti vsebuje:
(a)
ime zadevnega posameznika;
(b)
številko potnega lista zadevnega posameznika, če ga ima;
(c)
številko in identifikacijsko oznako stalnega osebnega dokumenta zadevnega posameznika, če ga ima;
(d)
serijsko številko potrdila o imunosti;
(e)
če se predloži dokazilo o cepljenju, datum cepljenja;
(f)
če se predloži dokazilo o prebolelosti, datum veljavnosti dokazila;
(g)
kodo za shranjevanje podatkov, ki je optično čitljiva z uporabo računalniških naprav, ki se ustvari iz podatkov iz točk od (a) do (f);
[…].“
7.
V skladu s členom 2(6) in (7) uredbe 60/2021 je moral potrdilo o imunosti upravičeni fizični osebi po uradni dolžnosti ali na zahtevo izdati Főváros Kormányhivatala (vladni urad za glavno mesto Budimpešto, Madžarska, v nadaljevanju: urad za Budimpešto).
8.
Člen 3(3) uredbe 60/2021 določa:
„V primerih iz člena 2(6)(c) in (d) [urad za Budimpešto] s samodejnim prenosom podatkov, po potrebi prek ustreznih služb összerendelési nyilvántartás (register za elektronsko upravljanje identifikacijskih podatkov, Madžarska), pridobiva podatke od
(a)
upravljavca EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (služba za elektronske storitve za zdravstvo)]: številko socialnega zavarovanja zadevnega posameznika, podatke iz člena 2(1)(e) in (g) ter podatke iz pododstavka 1;
(b)
organa, pristojnega za register osebnih podatkov in naslovov: ime, identifikacijsko oznako potnega lista in stalnega osebnega dokumenta ter naslov zadevne osebe.“
III. Spor v postopku v glavni stvari in vprašanji za predhodno odločanje
9.
UC, fizična oseba, je od urada za Budimpešto prejel potrdilo o imunosti, s katerim je bilo potrjeno, da je bil cepljen proti covidu-19.
10.
UC je 30. aprila 2021 vložil pritožbo na podlagi člena 77(1) SUVP pri Nemzeti Adatvédelmi és Információszabadság Hatóság (nacionalni organ za varstvo podatkov in svobodo obveščanja, Madžarska, v nadaljevanju: madžarski nadzorni organ). UC je od tega organa zahteval, naj uradu za Budimpešto naloži, naj svoja dejanja obdelave uskladi z določbami SUVP. UC je v pritožbi med drugim trdil, da urad za Budimpešto ni pripravil ali objavil izjave o varstvu osebnih podatkov v zvezi z izdajo potrdil o imunosti ter da ni bilo dovolj informacij o namenu in pravni podlagi obdelave, pravicah posameznikov, na katere se nanašajo osebni podatki, in načinih za uveljavljanje teh pravic.
11.
V postopku, ki se je začel na podlagi vložene pritožbe, je urad za Budimpešto navedel, da svoje dolžnosti v zvezi z izdajo potrdil o imunosti opravlja v skladu s členom 2 uredbe 60/2021, pri čemer sta pravna podlaga za obdelavo člen 6(1)(e) SUVP in, kar zadeva obdelavo posebnih vrst osebnih podatkov, člen 9(2)(i) SUVP.
12.
Poleg tega je urad za Budimpešto navedel, da je v skladu s členom 3(2) in (3) uredbe 60/2021 zbiral podatke, ki so bili obdelani s samodejnim prenosom podatkov upravljavca službe za elektronske storitve za zdravstvo ter organa, pristojnega za register osebnih podatkov in naslovov. Navedel je, da v skladu s členom 14(5)(c) SUVP ni dolžan zagotoviti informacij o obdelavi. Zato je pripravil izjavo o varstvu osebnih podatkov v zvezi z upoštevno obdelavo in to izjavo objavil na svoji spletni strani.
13.
Madžarski nadzorni organ je z odločbo z dne 15. novembra 2021 zavrnil pritožbo, češ da urad za Budimpešto ni dolžan zagotoviti informacij, saj za zadevno obdelavo velja odstopanje, določeno v členu 14(5)(c) SUVP. Natančneje, ta nadzorni organ je menil, da uredba 60/2021 pomeni pravno podlago za obdelavo in da urad za Budimpešto ni pridobil podatkov od posameznikov, na katere se nanašajo osebni podatki. Dalje, navedel je, da je s členom 3(1) uredbe 60/2021 uradu za Budimpešto izrecno naloženo zbiranje podatkov. To, da je urad za Budimpešto na svoji spletni strani objavil informacije o obdelavi podatkov, čeprav tega zakonsko ni bil dolžan storiti, naj bi se štelo za dobro prakso.
14.
Madžarski nadzorni organ je po uradni dolžnosti preučil vprašanje ustreznih ukrepov za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, iz člena 14(5)(c) SUVP in ugotovil, da je treba člene 2 in 3 ter od 5 do 7 uredbe 60/2021 šteti za take ukrepe.
15.
UC je odločbo madžarskega nadzornega organa izpodbijal pred Fővárosi Törvényszék (županijsko sodišče v Budimpešti, Madžarska). To sodišče je ugodilo tožbi, razveljavilo odločbo madžarskega nadzornega organa in mu naložilo, naj opravi nov postopek.
16.
Fővárosi Törvényszék (županijsko sodišče v Budimpešti) je v obrazložitvi sodbe navedlo, da se odstopanje iz člena 14(5)(c) SUVP ne uporabi, ker nekateri podatki v zvezi s potrdili o imunosti niso bili pridobljeni od drugega organa, temveč jih je ustvaril ta upravljavec. Med drugim gre za serijsko številko potrdila o imunosti, rok veljavnosti potrdila, kodo QR, vključeno v potrdilo, črtno kodo in druge alfanumerične kode, ki jih je med postopkom ustvaril upravljavec.
17.
Madžarski nadzorni organ je zoper pravnomočno sodbo Fővárosi Törvényszék (županijsko sodišče v Budimpešti) pri Kúria (vrhovno sodišče, Madžarska) vložil izredno pravno sredstvo – revizijo.
18.
Predložitveno sodišče v bistvu meni, da se lahko odstopanje iz člena 14(5)(c) SUVP uporabi za vse vrste obdelave, ki se ne nanašajo na podatke, pridobljene od posameznika, na katerega se ti nanašajo, v smislu člena 13 SUVP, vključno s podatki, ki jih ustvari upravljavec.
19.
Če se sledi tej razlagi člena 14(5)(c) SUVP, se predložitvenemu sodišču porajajo dvomi o popravljalnih pooblastilih nacionalnih nadzornih organov v okviru pritožbe, vložene na podlagi člena 77(1) SUVP. Natančneje, predložitveno sodišče dvomi o tem, ali je v okviru take pritožbe nadzorni organ pooblaščen, da preuči vprašanje ustreznih ukrepov, določenih v nacionalnem pravu za zaščito zakonitih interesov posameznika, na katerega se nanašajo podatki, navedenih v členu 14(5)(c) SUVP.
20.
Če bi se ugotovilo, da nadzorni organ ima to pooblastilo, se predložitveno sodišče sprašuje o natančnem pomenu pojma „ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki“. V zvezi s tem navaja, da bi se lahko ugotovilo, da „ustrezni ukrepi“ obsegajo po eni strani prenos vsebin iz člena 14(1), od (a) do (f), SUVP v nacionalno pravo. Po drugi strani bi lahko ti ukrepi obsegali pravico, da se zahteva preučitev varnosti obdelave, urejeno s členom 32 SUVP. Vendar bi se zaradi tega razumevanja „ustreznih ukrepov“ zakonodaja lahko obremenila s tehničnimi določbami, kar bi bilo v nasprotju z zahtevo, da so zakonodajni akti razumljivi in jasni. Lahko pa bi tudi pomenilo zadostno jamstvo, če bi bili spoštovani ukrepi, ki se nanašajo na varstvo podatkov, čeprav niso bili posebej preneseni.
21.
V teh okoliščinah je Kúria (vrhovno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1.
Ali je treba člen 14(5)(c) v povezavi s členom 14(1) in uvodno izjavo 62 [SUVP] razlagati tako, da se odstopanje iz člena 14(5)(c) ne nanaša na podatke, ki se ustvarijo v samem postopku upravljavca, temveč izključno na podatke, ki jih je upravljavec izrecno pridobil od druge osebe?
2.
Če se člen 14(5)(c) SUVP uporablja tudi za podatke, ustvarjene s samim postopkom upravljavca, ali je treba pravico do vložitve pritožbe pri nadzornem organu iz člena 77(1) SUVP razlagati tako, da lahko posameznik, ki zatrjuje kršitev obveznosti zagotavljanja informacij, pri uveljavljanju svoje pravice do pritožbe zahteva, da se preuči, ali pravo države članice v skladu s členom 14(5)(c) SUVP določa ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki?
3.
Če je odgovor na drugo vprašanje pritrdilen, ali je mogoče člen 14(5)(c) SUVP razlagati tako, da ‚ustrezni ukrepi‘ iz te določbe pomenijo, da mora nacionalni zakonodajalec (s pravnim aktom) prenesti ukrepe za varnost podatkov iz člena 32 SUVP?“
22.
Pisna stališča so predložili UC, madžarski nadzorni organ, madžarska vlada in Komisija. Sodišče je strankam in zainteresiranim strankam v skladu s členom 23 Statuta Sodišča Evropske unije poslalo vprašanja za pisni odgovor, na katera so odgovorili UC, češka vlada, madžarska vlada in Komisija.
IV. Presoja
A.
Uvodne ugotovitve o obveznosti glede obveščanja in odstopanju iz člena 14(5)(c) SUVP
23.
Zagotovitev informacij posameznikom, na katere se nanašajo osebni podatki, je osrednji element načela preglednosti iz člena 5(1)(a) SUVP. Preglednost „posameznike, na katere se nanašajo osebni podatki, opolnomoči, da od upravljavcev in obdelovalcev podatkov zahtevajo odgovornost“, saj okrepi možnost, da sami nadzirajo svoje podatke. (
5
) Kot je navedeno v sodbi Bara in drugi, je „zahteva po obveščanju posameznikov, na katere se obdelava osebnih podatkov nanaša, še toliko pomembnejša, ker je ta zahteva pogoj za to, da lahko ti posamezniki izvajajo pravico dostopa do obdelanih podatkov in popravka teh podatkov“. (
6
) Ključne določbe v zvezi s tem so členi 12, 13 in 14 SUVP.
24.
V skladu s členom 12(1) SUVP mora upravljavec sprejeti ustrezne ukrepe, s katerimi zagotovi vse informacije iz členov 13 in 14 „v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku“. Običajno so informacije sporočene v listini ali izjavi o varstvu osebnih podatkov. (
7
)
25.
Vsebina in obseg obveznosti obveščanja sta določena v členih 13 in 14 SUVP. Člen 13 ureja informacije, ki jih je treba zagotoviti, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se nanašajo (neposredno zbiranje), člen 14 pa informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo (posredno zbiranje). (
8
) Informacije, ki jih je treba zagotoviti, se v teh dveh določbah znatno prekrivajo. (
9
)
26.
V zvezi s posrednim zbiranjem podatkov so v členu 14(1) SUVP v „standardni nabor podatkov“ (
10
) vključene informacije o identiteti upravljavca podatkov, namenih obdelave, uporabnikih podatkov in morebitnem prenosu podatkov uporabniku v tretji državi. Med dodatnimi informacijami, ki so potrebne za zagotovitev poštene in pregledne obdelave, so v členu 14(2) SUVP izrecno navedeni obdobje hrambe osebnih podatkov, zakoniti interesi upravljavca (
11
) ali obstoj pravice, da se od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov.
27.
Od obveznosti upravljavca podatkov, da v primeru posrednega zbiranja na podlagi člena 14 SUVP zagotovi informacije, obstajajo štiri vrste odstopanja, določene v odstavku 5 tega člena. Odstopanje, za katerega gre v postopku v glavni stvari, je odstopanje iz člena 14(5)(c), ki vsebuje „pomensko odprto določbo“. (
12
) Upravljavec je oproščen zagotoviti informacije, če in v obsegu, v katerem „je pridobitev ali razkritje izrecno določeno s pravom Unije ali pravom države članice, ki velja za upravljavca“, in so s pravom „določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki“.
28.
Angleška jezikovna različica člena 14(5)(c) SUVP se tako kot druge jezikovne različice (
13
) ne sklicuje izrecno na vsebino dejanja „pridobitve ali razkrijta“. Številne druge jezikovne različice se izrecno sklicujejo na pridobitev ali razkritje „podatkov“. (
14
) Očitno se samo francoska jezikovna različica sklicuje na pridobitev ali razkritje „informacij“. (
15
)
29.
Ker pa je treba vsem jezikovnim različicam akta Unije načeloma priznati enako vrednost, je treba v primeru razhajanj med temi različicami zadevno določbo razlagati glede na splošno sistematiko in namen ureditve, katere del je. (
16
)
30.
V zvezi s tem je iz splošne sistematike pravil, katere del je člen 14(5)(c) SUVP, razvidno, da se pridobitev ali razkritje nanaša na osebne podatke (in ne na informacije). Že iz naslova člena 14 je razvidno, da se informacije „zagotovijo“, dejanje pridobivanja pa se nanaša na „osebne podatke“. Ta razlaga je podprta z uvodno izjavo 61, ki se nanaša na „osebne podatke“, pridobljene iz drugega vira, in uvodno izjavo 62, ki se nanaša na beleženje ali razkritje „osebnih podatkov“. Poleg tega je treba ob upoštevanju širokega pomena pojma „obdelava“ iz člena 4, točka 2, SUVP, in sicer vsakega dejanja ali niza dejanj, ki se izvaja v zvezi z osebnimi podatki, (
17
)„pridobitev ali razkritje“ opredeliti kot dejanje obdelave, ki se izvaja v zvezi z osebnimi podatki.
31.
V zvezi z namenom pravil, katerih del je člen 14(5)(c), se zdi, da je predpostavka, na kateri temelji upoštevno odstopanje, ta, da se s pravom Unije ali države članice nadomesti ali zamenja obveznost, da se zagotovijo informacije glede pridobitve ali razkritja podatkov, ki je običajno naložena upravljavcu. (
18
) Na podlagi upoštevnega zakona so posamezniki, na katere se nanašajo osebni podatki, že dovolj seznanjeni s pridobitvijo ali razkritjem podatkov. (
19
) Tak zakon, ki velja za upravljavca podatkov, se mora izrecno nanašati na pridobitev ali razkritje podatkov, pridobitev ali razkritje pa bi morala biti za upravljavca podatkov obvezna. (
20
)
32.
Iz zgoraj navedenega je tako jasno razvidno, da se predmet odstopanja od pridobitve ali razkritja podatkov nanaša na osebne podatke.
33.
Glede na te ugotovitve bom v nadaljevanju preučila odstopanje iz člena 14(5)(c) SUVP v okviru analize vprašanj za predhodno odločanje.
B.
Prvo vprašanje
34.
Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 14(5)(c) SUVP razlagati tako, da se odstopanje od obveznosti upravljavca podatkov, da zagotovi informacije posamezniku, na katerega se nanašajo osebni podatki, uporablja zgolj za podatke, ki jih je upravljavec izrecno pridobil od druge osebe, izključeni pa so podatki, ki jih upravljavec ustvari v svojem postopku.
35.
To vprašanje izvira iz tega, da v postopku v glavni stvari nekaterih podatkov v potrdilu covid-19 ni pridobila druga organizacija, ampak jih je ustvaril urad za Budimpešto. (
21
)
36.
Ugotoviti je torej treba, ali so z izrazom „pridobitev“ iz člena 14(5)(c) SUVP izključeni podatki, ki jih ustvari upravljavec.
37.
Za odgovor na to vprašanje je treba najprej opozoriti, da je treba pri razlagi določbe prava Unije upoštevati ne le njeno besedilo, ampak tudi njen kontekst ter cilje in namen, ki jim sledi akt, katerega del je ta določba. (
22
)
38.
Kar zadeva besedilo člena 14(5)(c) SUVP, v tej določbi ni določena omejitev glede posebne vrste obdelave ali točne metode, s katero upravljavec podatkov pridobi podatke. Podatke je mogoče pridobiti s tehničnim postopkom, kot je ustvarjanje podatkov s strani upravljavca.
39.
Široko razumevanje izraza „pridobitev“ je potrjeno z uvodno izjavo 62 SUVP. V tej uvodni izjavi je uporabljen izraz „shranjevanje [beleženje]“ podatkov, ki se – kot je opozorilo predložitveno sodišče – nanaša na širšo skupino dejanj obdelave, ki jih lahko opravi upravljavec podatkov. Člena 14(5)(c) zato ni mogoče razlagati, kot da se uporablja zgolj za podatke, pridobljene od drugega subjekta, ne pa za podatke, ki jih ustvari upravljavec.
40.
Ta razlaga člena 14(5)(c) SUVP je podprta tudi s kontekstom, v katerem se ta določba pojavlja, ter s cilji in namenom te določbe.
41.
V zvezi s tem je treba poudariti, da se odstopanja iz člena 14(5) nanašajo na odstavke od 1 do 4 istega člena. Stvarno področje uporabe člena 14 (katerega del je upoštevno odstopanje) je v primerjavi s členom 13 opredeljeno na negativen način. Člen 13 ureja informacije, ki jih je treba zagotoviti, kadar so osebni podatki pridobljeni od posameznika, na katerega se nanašajo, člen 14 pa ureja zagotavljanje informacij, kadar osebni podatki niso pridobljeni od posameznika, na katerega se ti nanašajo. Iz dihotomije med neposrednim in posrednim zbiranjem podatkov izhaja, da vsi primeri, v katerih se podatki ne pridobijo od posameznika, na katerega se nanašajo osebni podatki, spadajo na stvarno področje uporabe člena 14. Ni upoštevno, ali je podatke ustvaril upravljavec, ker niso pridobljeni od posameznika, na katerega se nanašajo. Široko stvarno področje uporabe člena 14 je potrjeno tudi z uvodno izjavo 61, ki se sklicuje na podatke, ki se „pridobijo iz drugega vira“, torej vira, ki ni posameznik, na katerega se nanašajo podatki.
42.
Poleg tega, kot sta pripomnila Komisija in madžarski nadzorni organ, v bistvu pravila iz členov 13 in 14 SUVP tvorijo celovit sistem, s katerim je urejeno zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki, v vseh možnih položajih. Če bi izraz „pridobitev“ iz člena 14(5)(c) SUVP razlagali, kot da izključuje podatke, ki jih ustvari upravljavec, bi bilo področje uporabe te določbe ožje od področja uporabe člena 14, katerega del je.
43.
Kar zadeva poseben namen upoštevnega odstopanja, temelji oprostitev upravljalca od tega, da zagotovi informacije, kot je bilo poudarjeno v uvodnih ugotovitvah teh sklepnih predlogov, na domnevi, da pravo nadomešča obveznost zagotovitve informacij, ki je običajno naložena upravljalcu. (
23
) Odstopanje iz člena 14(5)(c) SUVP daje državam članicam polje proste presoje, da določijo drugačen način za obvestitev posameznika, na katerega se nanašajo osebni podatki, in da zagotovijo pošteno in pregledno obdelavo v primerjavi z informacijami, ki jih upravljavec zagotovi posamično. Drugačna pravna pot mora še vedno doseči enak rezultat. Pravo, s katerim je nadomeščena obveznost upravljavcev glede obveščanja, mora posamezniku, na katerega se nanašajo osebni podatki, omogočiti, da nadzira svoje podatke in uveljavlja svoje pravice na podlagi SUVP. (
24
)
44.
Če bi člen 14(5)(c) razlagali tako, kot da je z njim z njegovega področja uporabe izključeno ustvarjanje podatkov s strani upravljavca, bi to omejilo polje proste presoje, dano državam članicam, na podlagi razloga, ki očitno ni upošteven za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.
45.
Še več, drugačna razlaga – taka, s katero bi bila uvedena izjema od odstopanja iz člena 14(5)(c), kadar podatke ustvari upravljavec podatkov – bi lahko za posameznika, na katerega se nanašajo osebni podatki, zadeve še bolj zapletla. Posamezniku, na katerega se nanašajo osebni podatki, mora biti omogočeno, da ve, iz katerega vira bo dobil informacije o obdelavi svojih podatkov, kadar se ti podatki ne pridobivajo od njega samega. Z upoštevnim zakonom mora postati za posameznika, na katerega se nanašajo osebni podatki, obdelava predvidljiva v vseh takih položajih. (
25
)
46.
Iz zgoraj navedenega izhaja, da je treba člen 14(5)(c) SUVP razlagati tako, da se odstopanje od obveznosti upravljavca podatkov, da zagotovi informacije posamezniku, na katerega se nanašajo osebni podatki, uporablja za vse podatke, ki jih upravljavec ni pridobil od posameznika, na katerega se nanašajo osebni podatki. V zvezi s tem ni upoštevno, ali so podatki izrecno pridobljeni od drugega subjekta ali pa jih ustvari upravljavec v svojem postopku.
C.
Drugo vprašanje
47.
Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 77(1) SUVP razlagati tako, da je v pritožbenem postopku nadzorni organ pooblaščen, da preuči, ali pravo države članice, ki velja za upravljavca, določa ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, zato da bi bilo mogoče uporabiti odstopanje iz člena 14(5)(c) te uredbe.
48.
V zvezi s tem je treba spomniti, prvič, da ima v skladu s členom 77(1) SUVP vsak posameznik, na katerega se nanašajo osebni podatki, pravico do vložitve pritožbe pri nadzornem organu, če meni, da obdelava osebnih podatkov v zvezi z njim pomeni kršitev te uredbe. (
26
)
49.
Po drugi strani je v skladu s členom 55(1) te uredbe vsak nadzorni organ na ozemlju svoje države članice pristojen za opravljanje nalog, ki so mu dodeljene, in izvajanje prenesenih pooblastil v skladu s to uredbo. (
27
) Poleg tega so skladu s členom 57(1)(a) SUVP nacionalni nadzorni organi odgovorni za spremljanje in zagotavljanje uporabe SUVP.
50.
Z določbami, navedenimi v zgornjih dveh točkah, iz pristojnosti nacionalnih nadzornih organov niso izključeni pogoji za uporabo odstopanja iz člena 14(5)(c) SUVP.
51.
Tako imajo – kot sta navedli madžarska vlada in Komisija – v bistvu v okviru pritožbe, vložene v skladu s členom 77(1) SUVP, nadzorni organi pooblastilo, da preverijo, ali so izpolnjeni vsi pogoji iz člena 14(5)(c). Kot je razvidno iz prvega stavka člena 14(5), se vsa odstopanja, ki jih določa, uporabljajo „kadar in kolikor“ so izpolnjeni pogoji, ki so določeni v njem.
52.
V zvezi s tem morajo imeti nadzorni organi pooblastilo, da preučijo, natančneje, prvič, ali se pravo nanaša neposredno na upravljavca podatkov in ali sta pridobivanje ali razkritje za upravljavca obvezna. (
28
) Drugič, nadzornim organom mora biti omogočeno, da preučijo, ali so s pravom, na katerega se sklicuje upravljavec, določeni „ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki“, in ali upravljavec podatkov lahko dokaže, da je pridobitev ali razkritje osebnih podatkov skladno temi ukrepi. (
29
)
53.
Madžarski nadzorni organ navaja, da bi preverjanje vprašanja, ali so z nacionalnim pravom določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, presegalo njegove naloge in pooblastila iz členov 57 in 58 SUVP. Ta organ meni, da ti določbi na podlagi nacionalnega prava nadzornim organom ne dajeta popravljalnih pooblastil in da takih pooblastil ni mogoče uveljavljati v odnosu do upravljavca, ki je zgolj ravnal v skladu z nacionalnim pravom.
54.
V zvezi s tem je treba opozoriti, da preverjanje vprašanja, ki ga opravi nacionalni nadzorni organ, ali so izpolnjene vse zahteve za uporabo odstopanja, določenega v členu 14(5)(c), ne vključuje, kot je pravilno ugotovila Komisija, preučitve veljavnosti nacionalnega prava. Nadzorni organ preuči zgolj vprašanje, ali se je upravljavec podatkov upravičen sklicevati na odstopanje v odnosu do konkretnega posameznika, na katerega se nanašajo osebni podatki, v konkretnem položaju.
55.
Zato je nacionalni nadzorni organ tisti, ki je dolžan preučiti trditev posameznika, na katerega se nanašajo osebni podatki, da upravljavec podatkov ne bi smel biti oproščen zagotavljanja informacij, ker v upoštevnem zakonu ni določen ustrezen ukrep za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.
56.
Če nadzorni organ ugotovi, da zahteva ni utemeljena, mora imeti, kot izhaja iz člena 78 SUVP, posameznik, ki je vložil zahtevo in ki ugovarja tej ugotovitvi, dostop do pravnih sredstev, s katerimi lahko izpodbija tako odločbo pred nacionalnimi sodišči.
57.
Če nacionalni nadzorni organ meni, da zahteva ni upravičena in da niso izpolnjeni pogoji za odstopanje, je pooblaščen, kot sta v bistvu trdili madžarska vlada in Komisija, da upravljavcu odredi, naj ugodi zahtevi posameznika, na katerega se nanašajo osebni podatki. V tem položaju mora upravljavec zagotoviti informacije v skladu z odstavki od 1 do 4 člena 14.
58.
Češka vlada je v odgovoru na pisna vprašanja Sodišča trdila, da preučitev, ali so ukrepi ustrezni za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, ni mogoča, če je z nacionalnim pravom ciljno, ob upoštevanju konkretnega položaja, določena izjema od obveznosti zagotavljanja informacij. Ta vlada se sklicuje na sodbo Schrems (
30
) in v bistvu ugotavlja, da je preučitev, ali je en vir prava združljiv z drugim virom prava, v izključni pristojnosti sodišč, ne pa upravnega organa.
59.
V zvezi s tem je treba spomniti, da se je eno od glavnih vprašanj iz zadeve Schrems nanašalo na pooblastila nacionalnih nadzornih organov, da preučijo zahtevo posameznika glede zaščite njegovih pravic in svoboščin v zvezi z odločbo Komisije, v kateri je bilo ugotovljeno, da tretja država zagotavlja ustrezno raven varstva. (
31
) Sodišče je v bistvu presodilo, da ko nacionalni nadzorni organi preučujejo tako zahtevo, niso upravičeni, da bi sami ugotovili neveljavnost te odločbe. (
32
) Kadar nacionalni nadzorni organ meni, da so očitki, ki jih je podala oseba, ki je vložila zahtevo, utemeljeni, mora imeti ta organ možnost sodelovati v sodnih postopkih. (
33
)
60.
Vendar se zdi, da sodba Schrems ni neposredno upoštevna za vprašanje pooblastil nadzornih organov v zvezi s preučitvijo odstopanja iz člena 14(5)(c) SUVP. Na začetku je treba poudariti, da v okviru te preučitve nadzorni organ ne posega v zakonsko obveznost upravljavca podatkov, da pridobi ali razkrije osebne podatke. Povedano drugače, nadzorni organ ne odredi upravljavcu, naj se vzdrži tega, da bi uporabil zakonsko zahtevo za pridobitev ali razkritje, ki je za upravljavca podatkov še vedno zavezujoča. Kot sta trdili Komisija in madžarska vlada, je v bistvu v takem položaju pooblastilo nacionalnega nadzornega organa v tem, da upravljavcu odredi, naj zagotovi potrebne informacije o svoji izjavi o varstvu osebnih podatkov, (
34
) če niso izpolnjeni pogoji za upoštevno odstopanje. Taka odreditev, kot je bilo poudarjeno zgoraj, ne posega v veljavnost zakonskega ukrepa, ki velja za upravljavca.
61.
Pooblastilo nadzornega organa, da upravljavcu odredi zagotovitev informacij, ne posega v pooblastilo tega organa, da v skladu s členom 58(5) SUVP – če meni, da zadevni zakonski ukrep ni veljaven – začne sodni postopek, ki je v ta namen določen z nacionalnim pravom.
62.
Nazadnje, na bolj sistemski ravni je, kot so navedle vse zainteresirane stranke, nadzorni organ pooblaščen, da zakonodajni ali izvršilni oblasti svetuje, naj spremeni upoštevni zakonski ukrep, če meni, da z njim niso zagotovljeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. V zvezi s tem je treba spomniti, da so nadzorni organi v skladu s členom 57(1)(c) SUVP odgovorni za to, da svetujejo nacionalnemu parlamentu, vladi ter drugim institucijam in organom. Imajo tudi svetovalna pooblastila, določena v členu 58(3)(b) SUVP.
63.
Iz zgoraj navedenega je razvidno, da je treba člen 77(1) SUVP razlagati tako, da je v pritožbenem postopku nadzorni organ pooblaščen, da preuči, ali so izpolnjeni vsi pogoji iz člena 14(5)(c) te uredbe. Natančneje, pooblaščen je, da preuči, ali so s pravom Unije ali pravom države članice, ki velja za upravljavca, določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.
D.
Tretje vprašanje
64.
Predložitveno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je treba člen 14(5)(c) SUVP razlagati tako, da „ustrezni ukrepi“ iz te določbe pomenijo, da mora nacionalni zakonodajalec prenesti ukrepe za varnost podatkov iz člena 32 te uredbe.
65.
V zvezi s tem je treba po eni strani spomniti, da je možnost uporabe odstopanja od obveznosti zagotavljanja informacij v skladu s členom 14(5)(c) SUVP odvisna od zagotovitve „ustreznih ukrepov“ za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. Po drugi strani iz člena 32 SUVP izhaja, da morata upravljavec in obdelovalec izvajati „ustrezne tehnične in organizacijske ukrepe“, da zagotovita varnost obdelave.
66.
Vendar Komisija navaja, da imata člena 14 in 32 različno področje uporabe. Področje uporabe „ustreznih ukrepov“ je treba preučiti v kontekstu člena 14 SUVP. Zato enega od pogojev uporabe odstopanja iz člena 14(5)(c) ni mogoče določiti s prenosom pojma „ustrezni tehnični in organizacijski ukrepi“ iz druge določbe. Poleg tega se zdi, da v okviru člena 32 SUVP ni upoštevno, ali je upravljavec tisti, ki zagotavlja informacije, oziroma ali je pridobitev ali razkritje določeno v zakonom. Zato mora biti predmet preučitve, ki jo opravi nadzorni organ, zamejen s področjem uporabe člena 14.
67.
Točna vsebina „ustreznih ukrepov“ v členu 14(5)(c) SUVP ni določena. Široka je dovolj, da zajame kateri koli ukrep, za katerega zakonodajalec meni, da je potreben in ustrezen. Pojem „ustrezni ukrepi“ je treba razlagati, kot je v bistvu navedla Komisija, ob upoštevanju načela preglednosti iz člena 5(1)(a) SUVP. V zvezi s tem je pomembno upoštevati, da je upoštevni zakon, kot je poudarjeno v uvodnih ugotovitvah teh sklepnih predlogov, (
35
)„nadomestilo“ za obveznost glede obveščanja, ki običajno bremeni upravljavca. Zakonodajalec mora določiti ustrezne ukrepe v odvisnosti od, na primer, vrste pridobljenih podatkov in konteksta, v katerem poteka obdelava.
68.
Češka vlada je v odgovor na vprašanje Sodišča navedla, da je obseg ustreznih ukrepov širši od seznama informacij iz odstavkov 1, 2 in 4 člena 14 SUVP.
69.
Strinjam se, da primernosti ukrepov ni mogoče presojati zgolj prek „mehanske“ primerjave z obveznostmi, ki jih ima upravljavec glede obveščanja in ki so usklajene z SUVP. Nesmiselno bi bilo določiti „pomensko odprto določbo“ na podlagi člena 14(5)(c), (
36
) hkrati pa določiti popolnoma enake obveznosti, ne da bi se zakonodajalcu pustilo kakršno koli polje proste presoje. Ob tem mora biti z upoštevnim zakonom zagotovljen standard poštene in pregledne obdelave, enakovreden standardu iz odstavkov od 1 do 4 člena 14. (
37
) Da bi posameznik, na katerega se nanašajo podatki, lahko ocenil vsa tveganja, povezana s pridobivanjem podatkov in njihovo obdelavo, (
38
) mora biti že ob samem branju upoštevne zakonske določbe jasno, kdo obdeluje podatke, zakaj in na kakšen način. (
39
) Kot sem poudarila zgoraj, (
40
) mora različno pravno sredstvo doseči enak rezultat, ki je v tem, da je posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da nadzira svoje podatke in uveljavlja svoje pravice na podlagi SUVP.
70.
Posebna pravna podlaga za obdelavo prav tako vpliva na določitev „ustreznih ukrepov“ za posebne okoliščine obdelave. V zvezi s tem je treba spomniti, da je iz člena 6(1)(c) in (e) SUVP razvidno, da je obdelava zakonita, le in kolikor je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca, in kadar je potrebna za opravljanje naloge v javnem interesu. V skladu s členom 6(2) lahko države članice v zvezi s tako obdelavo ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil SUVP v zvezi z obdelavo, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave. (
41
) Poleg tega morajo biti v skladu s členom 9(2)(i) SUVP s pravom držav članic (ali Unije), če je obdelava potrebna iz razlogov javnega interesa na področju javnega zdravja, zagotovljeni ustrezni in posebni ukrepi za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki.
71.
V postopku v glavni stvari je bila pridobitev podatkov naložena z uredbo 60/2021, ki je bila, kot je razvidno iz spisa, sprejeta na podlagi člena 6(1)(c) in (e) ter člena 9(2)(i) SUVP. Madžarska vlada navaja, da so bila v uredbi 60/2021 – razen splošnih jamstev, ki se uporabljajo na podlagi pravnega okvira, sprejetega za zagotovitev zakonitosti obdelave – določena dodatna jamstva. V zvezi s tem je ta vlada navedla, da je bilo eno od teh jamstev, da so podizvajalci, določeni s to uredbo, v državni lasti in morajo spoštovati zakonodajni okvir glede varstva podatkov, ki se uporablja za državne organe in lokalno upravo. Predložitveno sodišče je tisto, ki mora preučiti te navedbe in presoditi ali so z nacionalnim zakonom zagotovljeni zadostni ukrepi glede na zgornje premisleke.
72.
Glede na zgoraj navedeno menim, da je treba člen 14(5)(c) SUVP razlagati tako, da „ustrezni ukrepi“ iz te določbe ne pomenijo, da mora nacionalni zakonodajalec prenesti ukrepe za varnost podatkov iz člena 32 te uredbe.
V. Predlog
73.
Ob upoštevanju vseh navedenih ugotovitev Sodišču predlagam, naj na vprašanja za predhodno odločanje, ki jih je postavilo Kúria (vrhovno sodišče, Madžarska), odgovori:
1.
Člen 14(5)(c) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da se odstopanje od obveznosti upravljavca podatkov, da zagotovi informacije posamezniku, na katerega se nanašajo osebni podatki, uporablja za vse podatke, ki jih upravljavec ni pridobil od posameznika, na katerega se nanašajo osebni podatki. V zvezi s tem ni upoštevno, ali so podatki izrecno pridobljeni od drugega subjekta ali pa jih ustvari upravljavec v svojem postopku.
2.
Člen 77(1) Uredbe 2016/679
je treba razlagati tako, da je v pritožbenem postopku nadzorni organ pooblaščen, da preuči, ali so izpolnjeni vsi pogoji iz člena 14(5)(c) te uredbe. Natančneje, pooblaščen je, da preuči, ali so s pravom Unije ali pravom države članice, ki velja za upravljavca, določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.
3.
Člen 14(5)(c) Uredbe 2016/679
je treba razlagati tako, da „ustrezni ukrepi“ iz te določbe ne pomenijo, da mora nacionalni zakonodajalec prenesti ukrepe za varnost podatkov iz člena 32 te uredbe.
(
1
)	Jezik izvirnika: angleščina.
(
i
)	Ime te zadeve je izmišljeno. Ne ustreza resničnemu imenu nobene od strank v postopku.
(
2
)	Sklepni predlogi generalnega pravobranilca P. Cruza Villalóna v zadevi Bara in drugi (C‑201/14, EU:C:2015:461, točka 74) (moj poudarek).
(
3
)	Vrabec, U. H., „Data Subject Rights under the GDPR“, Oxford University Press, Oxford, 2021, str. 64.
(
4
)	Uredba Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2, v nadaljevanju: SUVP).
(
5
)	Glej dokument Delovne skupine za varstvo podatkov iz člena 29, Smernice o preglednosti po Uredbi 2016/679, sprejete 29. novembra 2017, 17/EN WP260 rev. 01 (v nadaljevanju: smernice o preglednosti), točka 4. Ta delovna skupina je bila nato nadomeščena z Evropskim odborom za varstvo podatkov (EOVP). Vendar so smernice o preglednosti še vedno veljavne. Glej tudi EOVP, Smernice št. 03/2020 o obdelavi podatkov o zdravstvenem stanju za namene znanstvenih raziskav v okviru izbruha covida-19, sprejete 21. aprila 2020, točka 5.1.2.4.
(
6
)	Sodba z dne 1. oktobra 2015, Bara in drugi (C‑201/14, EU:C:2015:638, točka 33), v kateri se napotuje na sklepne predloge generalnega pravobranilca P. Cruza Villalóna v tej zadevi.
(
7
)	Smernice o preglednosti, točka 24. Glej tudi Vrabec, U., H., Data Subject Rights under the GDPR, delo, navedeno v opombi 3 zgoraj, str. 84.
(
8
)	Glej Zanfir-Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject“, v Kuner, C., Bygrave, L. A., in Docksey, C. (ur.), The EU General Data Protection Regulation (GDPR) – A Commentary, Oxford University Press, Oxford, 2020, str. od 435 do 448, na str. 436.
(
9
)	Prav tam, str. 444.
(
10
)	Vrabec, U., H., Data Subject Rights under the GDPR, delo, navedeno v opombi 3 zgoraj, str. 68.
(
11
)	Kadar obdelava temelji na členu 6(1)(f) SUVP.
(
12
)	Ker gre za določbo, ki je pomensko odprta, je državam članicam omogočeno, da določijo dodatna, strožja ali odstopajoča nacionalna pravila, in jim je puščeno polje proste presoje glede načina, kako se upoštevna določba lahko izvaja (glej v tem smislu sodbo z dne 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, točka 51). Glej Knyrim, R., „IV. Ausnahme von der Informationspflicht“, v Ehmann, E., in Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, München, 2. izdaja, 2018, člen 14, točke od 42 do 48, v točki 47.
(
13
)	In sicer bolgarska, danska, nemška, grška, španska, italijanska, latvijska, poljska, slovaška in švedska jezikovna različica.
(
14
)	To še posebej velja za estonsko („isikuandmed’“), litovsko („duomenų“), madžarsko („adat“), nizozemsko („gegevens“), portugalsko („dados“), romunsko („datelor“) in finsko („tietojen“) jezikovno različico.
(
15
)	V pravni literaturi v francoskem jeziku se ugotavlja, da bi moral biti v francoski jezikovni različici naveden izraz „podatki“ namesto izraza „informacije“, kot je bilo v predhodniku člena 14(5)(c) SUVP, in sicer členu 11(2) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355) (glej de Terwangne, C., in Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant“, v Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Bruselj, 1. izdaja, 2018, str. od 409 do 432, opomba 132).
(
16
)	Glej v tem smislu sodbo z dne 21. marca 2024, Cobult (C‑76/23, EU:C:2024:253, točka 25 in navedena sodna praksa).
(
17
)	Glej v tem smislu sodbo z dne 5. oktobra 2023, Ministerstvo zdravotnictví (Mobilna aplikacija covid‑19) (C‑659/22, EU:C:2023:745, točka 27).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht“, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, str. od 272 do 298, na str. 280. Avtor tudi ugotavlja (na str. 281), da je oprostitev upravljalca od tega, da zagotovi informacije, v položaju iz člena 14(5)(c) sredstvo, s katerim se izognemo tveganju „utrujenosti“ zaradi informacij ali „prezasičenosti“ z informacijami; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)“, v Simitis, S., Hornung, G., in Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, München, 2019, odstavka 27 in 28, v odstavku 27, ki se na upoštevni zakon sklicuje kot na „zadosten nadomestek“ („hinreichendes Surrogat“) zahtevanih informacij, ki jih zagotovi upravljavec.
(
19
)	Dix, A., delo, navedeno v opombi 18 zgoraj.
(
20
)	Smernice o preglednosti, točka 66. Zato morajo biti upravljavci podatkov zmožni dokazati, kako se zanje uporablja zadevno pravo in kako je z njim od njih zahtevano, da bodisi pridobijo bodisi razkrijejo zadevne osebne podatke.
(
21
)	Glej točko 16 teh sklepnih predlogov.
(
22
)	Sodba z dne 7. decembra 2023, SCHUFA Holding (Odpis preostanka dolga) (C‑26/22 in C‑64/22, EU:C:2023:958, točka 48 in navedena sodna praksa).
(
23
)	Glej točko 31 zgoraj.
(
24
)	Glej točko 23 zgoraj.
(
25
)	Dix, A., v Simitis, S., Hornung, G., in Spiecker, I., delo, navedeno v opombi 18, in Ebner, K., „6. Ausschluss der Informationspflicht“, delo, navedeno v opombi 18, str. 281.
(
26
)	Sodba z dne 16. januarja 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, točka 61).
(
27
)	Prav tam.
(
28
)	Smernice o preglednosti, točka 66.
(
29
)	Prav tam.
(
30
)	Sodba z dne 6. oktobra 2015, Schrems (C‑362/14, EU:C:2015:650, točka 65).
(
31
)	Sprejeto na podlagi člena 25(6) Direktive 95/46.
(
32
)	Glej v tem smislu sodbo z dne 6. oktobra 2015, Schrems (C‑362/14, EU:C:2015:650, točka 62).
(
33
)	Prav tam, točka 65.
(
34
)	To ne posega v omejitve pravice do informacij, ki jo vzpostavi Unija ali zakon države članice pravo države članice, na podlagi enega od razlogov v skladu s pogoji iz člena 23 SUVP.
(
35
)	Točka 31 teh sklepnih predlogov.
(
36
)	Glej točko 27 teh sklepnih predlogov.
(
37
)	Glej v tem smislu Ebner, K., „6. Ausschluss der Informationspflicht“, delo, navedeno v opombi 18, str. 281, ki se sklicuje na primerljivo raven varstva („vergleichbares Schutzniveau“); Mester, B.-A., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)“, v Taeger, J., in Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, odstavek 26; Paal, B., in Hennemann, M., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)“, v Paal, B., in Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, München, 2021, odstavek 42.
(
38
)	Mester, B.-A., v Taeger, J., in Gabel, D., delo, navedeno v opombi 37.
(
39
)	Ebner, K., „6. Ausschluss der Informationspflicht“, delo, navedeno v opombi 18, str. 281.
(
40
)	Točka 43 teh sklepnih predlogov.
(
41
)	Te posebne določbe lahko vključujejo elemente iz člena 6(3) SUVP, med drugim: splošne pogoje, ki urejajo zakonitost obdelave podatkov; vrste podatkov, ki se obdelujejo; subjekte, katerim se osebni podatki lahko razkrijejo, in namene, za katere se lahko razkrijejo; omejitve namena; obdobja hrambe; ter dejanja obdelave in postopke obdelave, vključno z ukrepi za zagotovitev zakonite in poštene obdelave, kot so tisti za druge posebne primere obdelave iz poglavja IX SUVP.