Predmet C-319/20
Meta platforms Ireland Limited, prije Facebook Ireland Limited
protiv
Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V
(zahtjev za prethodnu odluku koji je podnio Bundesgerichtshof)
Presuda Suda (treće vijeće) od 28. travnja 2022.
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 80. – Zastupanje ispitanika od strane neprofitne udruge – Predstavnička tužba koju je podnijela udruga za zaštitu interesa potrošača bez mandata i neovisno o tome jesu li povrijeđena konkretna prava ispitanika – Tužba koja se temelji na zabrani nepoštene poslovne prakse, povredi zakona u području zaštite potrošača ili zabrani korištenja ništavih općih uvjeta”
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Zastupanje ispitanika – Procesna legitimacija – Udruga za zaštitu interesa potrošača – Predstavnička tužba koju je ta udruga podnijela bez mandata i neovisno o tome jesu li povrijeđena konkretna prava ispitanika – Tužba koja se temelji na povredi pravila o zaštiti potrošača ili suzbijanju nepoštene poslovne prakse – Dopuštenost – Uvjet
(Uredba Europskog parlamenta i Vijeća 2016/679, čl. 80. st. 2.)
(t. 57.-60., 63.-79., 83. i izreka)
Kratak prikaz
Društvo Meta Platforms Ireland upravlja ponudom usluga internetske društvene mreže Facebook i voditelj je obrade osobnih podataka korisnika te mreže u Uniji. Internetska platforma Facebook na internetskoj stranici www.facebook.de sadržava prostor pod nazivom „App-Zentrum” (Centar za aplikacije) na kojem društvo Meta Platforms Ireland nudi korisnicima pristup besplatnim igrama trećih osoba. Prilikom pristupa nekim od tih igara, korisnik se upozorava da korištenjem dotičnom aplikacijom omogućuje društvu koje je isporučilo igru da dobije određeni broj osobnih podataka i ovlašćuje ga da u njegovo ime vrši objave. Korištenjem te aplikacije on prihvaća opće uvjete i politiku zaštite podataka. Usto, u slučaju određene igre korisnik se obavještava da je aplikacija ovlaštena objaviti slike i druge informacije u njegovo ime.
Savezna unija organizacija i udruga potrošača(1) smatrala je da su informacije koje pružaju predmetne igre u Centar za aplikacije nepoštene. Prema tome, kao tijelo koje ima aktivnu procesnu legitimaciju da zatraži prestanak povreda zakonodavstva u području zaštite potrošača(2), Savezna unija podnijela je tužbu za prestanak povrede protiv društva Meta Platforms Ireland. Ta tužba podnesena je a da pritom nije postojala konkretna povreda prava na zaštitu podataka ispitanika i bez njegova mandata. Društvo Meta Platforms Ireland podnijelo je žalbu protiv odluke kojom je prihvaćena ta tužba, a koje je, s obzirom na to da je žalba odbijena, zatim Bundesgerichtshofu (Savezni vrhovni sud, Njemačka) podnijelo reviziju. Budući da je imao dvojbe u pogledu dopuštenosti tužbe koju je podnijela Savezna unija i osobito u pogledu njezine sposobnosti da pokrene postupak protiv društva Meta Platforms Ireland, taj je sud pokrenuo postupak pred Sudom.
Sud je u svojoj presudi presudio da se članku 80. stavku 2. Opće uredbe o zaštiti podataka(3) ne protivi mogućnost udruge za zaštitu interesa potrošača da pokrene postupak pred sudom, bez mandata koji joj se u tu svrhu dodjeljuje i neovisno o tome jesu li povrijeđena konkretna prava ispitanikâ, protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka, pozivajući se na kršenje zabrane nepoštenih poslovnih praksi, zakona u području zaštite potrošača ili zabrane korištenja ništavih općih uvjeta. Takva je tužba moguća s obzirom na to da predmetna obrada podataka može utjecati na prava koja identificirana fizička osoba ili fizička osoba koju se može identificirati ima na temelju GDPR-a.
Ocjena Suda
Sud najprije podsjeća da dok GDPR(4) ima za cilj osigurati, u načelu potpunu, usklađenost nacionalnih zakonodavstava koji se odnose na zaštitu osobnih podataka, članak 80. stavak 2. te uredbe jedna je od odredbi kojima se državama članicama ostavlja marginu prosudbe u vezi s njegovom provedbom(5). Stoga, kako bi se predstavnička tužba mogla podnijeti bez mandata u području zaštite osobnih podatka predviđenog tom odredbom, države članice moraju iskoristiti mogućnost ponuđenu tom odredbom da u svom nacionalnom pravu predvide taj način zastupanja ispitanika. Međutim, prilikom korištenjem te mogućnosti države članice moraju koristiti svoju marginu prosudbe u uvjetima i granicama predviđenima GDPR-om i donijeti zakone ne dovodeći pritom u pitanje sadržaj i ciljeve te uredbe.
Nadalje, Sud je naglasio da, time što se državama članicama otvara mogućnost predviđanja mehanizma predstavničke tužbe protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka, se člankom 80. stavkom 2. GDPR-a predviđa određen broj zahtjeva koje treba poštovati. Tako se, kao prvo, aktivna procesna legitimacija priznaje tijelu, organizaciji ili udruzi koja ispunjava kriterije navedene u GDPR-u(6). Taj pojam može uključivati udrugu za zaštitu interesa potrošača, poput Savezne unije, koja nastoji ostvariti cilj od javnog interesa koji se sastoji od osiguravanja prava i sloboda ispitanikâ u njihovu svojstvu potrošača s obzirom na to da ostvarenje takvog cilja može biti povezano sa zaštitom njihovih osobnih podataka. Kao drugo, podnošenje navedene predstavničke tužbe pretpostavlja da predmetni subjekt, neovisno o tome ima li mandat koji mu se u tu svrhu dodjeljuje ili nema, smatra da su prava koja ispitanik ima na temelju GDPR-a povrijeđena zbog obrade njegovih osobnih podataka.
Stoga, s jedne strane, podnošenje predstavničke tužbe(7) ne zahtijeva da predmetni subjekt prethodno pojedinačno utvrdi osobu na koju se konkretno odnosi obrada podataka koja je navodno protivna odredbama GDPR-a. U tu svrhu, određivanje kategorije ili skupine osoba na koje utječe takva obrada također može biti dovoljno(8).
S druge strane, podnošenje takve tužbe ne zahtijeva postojanje konkretne povrede prava koje za osobu proizlaze iz GDPR-a. Naime, kako bi se priznala aktivna procesna legitimacija nekog subjekta, dovoljno je istaknuti da dotična obrada podataka može utjecati na prava koja identificirana fizička osoba ili fizička osoba koju se može identificirati ima na temelju navedene uredbe, pri čemu nije potrebno dokazati stvarnu štetu koju je ispitanik u određenoj situaciji pretrpio zbog povrede njegovih prava. Stoga, s obzirom na cilj koji se nastoji postići GDPR-om, činjenica da se udruge za zaštitu interesa potrošača, kao što je to Savezna unija, ovlašćuju da putem mehanizma predstavničke tužbe podnose tužbe za prestanak obrada koje su protivne odredbama GDPR-a, neovisno o tome jesu li povrijeđena prava osobe koja je pojedinačno i konkretno pogođena tom povredom, nedvojbeno pridonosi jačanju prava ispitanika i osiguravanju visoke razine njihove zaštite.
Naposljetku, Sud je pojasnio da povreda pravila o zaštiti osobnih podataka istodobno može dovesti do povrede pravila o zaštiti potrošača ili nepoštenoj poslovnoj praksi. Naime, GDPR-om(9) se državama članicama omogućuje da koriste svoju mogućnost da predvide kako su udruge za zaštitu interesa potrošača ovlaštene pokrenuti postupke zbog povreda prava predviđenih GDPR-om putem pravila kojima je cilj zaštita potrošača ili suzbijanje nepoštene poslovne prakse.
1      Bundesverband der Verbraucherzentralen und Verbraucherverbände - Verbraucherzentrale Bundesverband e.V. (u daljnjem tekstu: Savezna unija)
2      Prema njemačkom pravu zakoni o zaštiti potrošača također obuhvaćaju pravila kojima se definira zakonitost prikupljanja ili obrade ili korištenja osobnih podataka potrošača od strane poduzeća ili poduzetnika.
3      Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: GDPR). Na temelju članka 80. stavka 2. „[d]ržave članice mogu predvidjeti da svako tijelo, organizacija ili udruženje iz stavka 1. ovog članka, neovisno o mandatu ispitanika, ima pravo u toj državi članici podnijeti pritužbu nadzornom tijelu nadležnom u skladu s člankom 77. i ostvarivati prava iz članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka [koji se na njega odnose] prekršena prava ispitanika iz [te] uredbe.”
4      Kako to proizlazi iz članka 1. stavka 1., u vezi s uvodnim izjavama 9., 10. i 13. te uredbe.
5      U skladu s „odstupajućim klauzulama”.
6      Osobito u članku 80. stavku 1. GDPR-a. U toj se odredbi upućuje na „neprofitno tijelo, organizaciju ili udruženje koje je pravilno osnovano u skladu s pravom Unije ili pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njihovih osobnih podataka”.
7      Na temelju članka 80. stavka 2. GDPR-a.
8      Osobito s obzirom na doseg pojma „ispitanik” predviđen u članku 4. točki 1. GDPR-a, koji obuhvaća kako „pojedinca čiji se identitet može utvrditi” tako i „osobu koja se može identificirati”.
9      Osobito, članak 80. stavak 2. GDPR-a