62023TJ0070_RES
Združene zadeve T‑70/23, T‑84/23 in T‑111/23
(objava odlomkov)
Data Protection Commission
proti
Evropskemu odboru za varstvo podatkov
Sodba Splošnega sodišča z dne 29. januarja 2025
„Varstvo osebnih podatkov – Člen 65(1)(a) Uredbe (EU) 2016/679 – Zavezujoča odločitev, v kateri se vodilnemu nadzornemu organu nalaga, naj razširi obseg preiskave in pripravi osnutek dopolnilne odločitve – Pristojnost Evropskega odbora za varstvo podatkov“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pristojnost Evropskega odbora za varstvo podatkov (EOVP) – Obseg – Zavezujoča odločitev, v kateri se vodilnemu nadzornemu organu nalaga, naj razširi obseg preiskave in pripravi osnutek dopolnilne odločitve – Vključitev
(člen 39 PEU; členi 16(1) in (2), 101 in 102 PDEU; Listina Evropske unije o temeljnih pravicah, člen 8(1) in (3); Uredba 2016/679 Evropskega parlamenta in Sveta, uvodne izjave 126, 136 in 141 ter členi 4, točka 24, 57(1)(a) in (f), 58(2), 60, 65(1)(a), (2), (3) in (6) ter 66)
(Glej točke 35, 36, od 38 do 40, od 43 do 45, od 49 do 54, od 56 do 59, 62, 63, od 68 do 75 in od 77 do 82.)
Povzetek
Splošno sodišče, ki je odločalo v razširjenem senatu, je zavrnilo tožbi Data Protection Commission, irskega nadzornega organa na področju varstva osebnih podatkov, za razglasitev delne ničnosti zavezujočih odločitev Evropskega odbora za varstvo podatkov (EOVP). V sodbi se je prvič izreklo o pristojnosti EOVP, da nacionalnemu nadzornemu organu naloži, naj razširi svojo analizo primera in, kadar je to potrebno, svojo preiskavo.
Data Protection Commission je kot vodilni nadzorni organ po izmenjavi dopisov z drugimi zadevnimi nadzornimi organi ugotovil, da ni soglasja glede ugovorov, podanih v zvezi z njegovimi osnutki odločitev o čezmejni obdelavi podatkov, povezanih z uporabo družbenega omrežja Facebook, družbenega omrežja Instagram in storitvijo za pošiljanje sporočil WhatsApp. Zato je zadevo predložil EOVP v okviru mehanizma za skladnost. (
1
)
Po preučitvi vseh treh spisov se je EOVP, ki je menil, da je večina ugovorov zoper osnutke sklepov ustreznih in utemeljenih, odločil, da zavzame stališče o vprašanjih, ki so bila v njih postavljena.
Tako je 5. decembra 2022 sprejel zavezujoče odločitve, s katerimi je Data Protection Commission naložil, naj izvede nove preiskave o obdelavi podatkov, povezani z uporabo treh zgoraj navedenih aplikacij, in na tej podlagi pripravi dopolnilne osnutke odločitev.
Data Protection Commission je zato izpodbijal pristojnost EOVP, da mu z zavezujočimi odločitvami naloži take ukrepe.
Presoja Splošnega sodišča
Na prvem mestu, Splošno sodišče je obseg pristojnosti EOVP (
2
) pojasnilo tako, da se je oprlo na jezikovno, kontekstualno in teleološko analizo SUVP.
V tem okviru je najprej navedlo, da je EOVP v skladu z jezikovno razlago upoštevnih določb SUVP (
3
) pristojen za sprejetje določil, kot so izpodbijana določila, s katerimi vodilnemu nadzornemu organu naloži, naj opravi novo preiskavo o nekaterih vidikih zadevnih spisov in nato sprejme nove osnutke odločitev. Ker se mora zavezujoča odločitev EOVP nanašati na vsa vprašanja, ki so predmet ustreznih in utemeljenih ugovorov, upoštevne določbe Splošne uredbe o varstvu podatkov ne prepovedujejo, da kadar EOVP odobri ustrezen in utemeljen ugovor v zvezi s tem, da v osnutku odločitve ni navedena analiza vidika zadeve oziroma ta analiza ni zadostna, kar preprečuje, da bi se ugotovilo, ali je bila ta uredba kršena ali ne, EOVP v tej odločitvi vodilnemu nadzornemu organu lahko naloži, naj odpravi to pomanjkljivost analize in, kadar je to potrebno glede na spis, ki ga ima EOVP, za to poglobi ali razširi preiskavo, ki je bila opravljena do takrat. Če se izkaže, da spis ne zadostuje za popolno izvedbo potrebne analize, mora EOVP imeti možnost, da vodilnemu nadzornemu organu naloži dopolnitev preiskave.
Dalje, Splošno sodišče je na podlagi kontekstualne razlage upoštevnih določb SUVP ugotovilo, da splošni okvir obveznosti sodelovanja med zadevnimi nadzornimi organi, ki je določena v SUVP, potrjuje pristojnost EOVP za sprejetje izpodbijanih ukrepov.
V zvezi s tem navaja, da postopek sodelovanja med zadevnimi nadzornimi organi, (
4
) ki lahko vključuje sprožitev mehanizma za skladnost, ki ga zagotavlja EOVP, ni „enosmerni“ postopek, v katerem bi faze vedno sledile vrstnemu redu določb, ki jih določajo, brez možnosti vrnitve v prejšnjo fazo ali začasne ohranitve v isti fazi.
Poleg tega ugotavlja, da analiza pogojev, pod katerimi se izvaja obdelava osebnih podatkov, in njene skladnosti s SUVP ne sme biti omejena na to, kar je navedeno v pritožbi pritožnika. Natančneje, za celovito opravljanje nalog nadzornih organov, določenih v SUVP, da zagotovijo spoštovanje te uredbe in obravnavajo pritožbe v ustreznem obsegu, (
5
) je potrebno, da se ohrani ustrezen obseg analize spisa glede na pritožbo, v zvezi s katero je bil sestavljen, pa tudi glede na druge elemente, ki ga lahko dopolnijo. Ustrezen in utemeljen ugovor pa se v skladu s svojo opredelitvijo nanaša na vidike, katerih analiza spada med zgoraj navedeni nalogi. Zato to, da se ustrezen in utemeljen ugovor nanaša na obseg analize in, kadar je to potrebno, na obseg preiskave ter da EOVP v zvezi z njim ukrepa, teh nalog nikakor ne ogroža.
Nazadnje, Splošno sodišče je poudarilo, da tudi preučitev namenov SUVP potrjuje jezikovno razlago upoštevnih določb te uredbe.
V zvezi s tem je med drugim opozorilo, da je mehanizem sodelovanja med zadevnimi nadzornimi organi omejen, kadar ti organi ne dosežejo soglasja. V tem primeru mora vodilni nadzorni organ vprašanje, o katerem ni soglasja, predložiti mehanizmu za skladnost, ki privede do zavezujoče odločitve EOVP. V primeru ponovne uvedbe preiskave mora pristojni organ končno odločitev o vsebinskih vidikih, ki so bili analizirani in obravnavani po zavezujoči odločitvi EOVP, sprejeti v roku, določenem v SUVP. To mu ne preprečuje, da izvede dopolnilno preiskavo in analizira vidike primera, ki še niso bili preučeni.
Na drugem mestu, Splošno sodišče je ugotovilo, da pogoji za podelitev pristojnosti organu Unije ne nasprotujejo razlagi, ki je bila sprejeta, in sicer, da je EOVP pooblaščen, da vodilnemu nadzornemu organu naloži, naj razširi svojo analizo in po potrebi svojo preiskavo. Izvajanje take pristojnosti je namreč omejeno z različnimi merili in pogoji, ki opredeljujejo obseg njenega izvajanja. Tako se na eni strani ta pristojnost izvaja le takrat, kadar je bila jasno ugotovljena nezadostnost analize vodilnega nadzornega organa pri obravnavi zadeve, ki ima lahko pomembne posledice, kot izhaja iz opredelitve ustreznega in utemeljenega ugovora, na drugi strani pa navedena pristojnost izhaja iz skupne presoje nadzornih organov, ki sestavljajo EOVP.
Poleg tega je Splošno sodišče pojasnilo, da je izvajanje navedene pristojnosti predmet sodnega nadzora. Konkretneje, v okviru tožbenih razlogov, ki so bili navedeni pred njim, bi lahko sodišče Unije preverilo vsebinsko zakonitost izpodbijanih določil glede na okoliščine obravnavane zadeve. Zlasti bi lahko preverilo, prvič, ali je EOVP s sprejetjem takih določil dejansko ukrepal na podlagi ustreznega in utemeljenega ugovora nadzornega organa. Drugič, lahko bi preverilo zakonitost samega bistva takih določil, ki nadzornim organom dajejo navodila.
V tem okviru je Splošno sodišče dodalo, da zavezujoča odločitev EOVP, s katero je bilo vodilnemu nadzornemu organu naloženo, naj razširi svojo analizo in preiskavo, ne posega v njegovo zmožnost, da prednostno razvrsti opravljanje svojih različnih obveznosti, ki jih ima kot neodvisen organ, kar je naloga, za nadzor nad katero je pristojno le nacionalno sodišče. Prav tako, širše, taka odločitev ne posega v neodvisnost tega organa. (
6
)
(
1
)	V smislu člena 60(4) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1; v nadaljevanju: SUVP).
(
2
)	Na podlagi člena 65(1)(a) SUVP.
(
3
)	Člen 65(1)(a) SUVP v povezavi s členom 4, točka 24, členom 65(6) ter uvodnima izjavama 126 in 136 te uredbe.
(
4
)	Določen v členu 60 SUVP.
(
5
)	Člen 57(1)(a) in (f) SUVP.
(
6
)	Določeno v členu 39 PEU, členu 16(2) PDEU in členu 8(3) Listine Evropske unije o temeljnih pravicah.