Spojeni predmeti T-70/23, T-84/23 i T-111/23
(objavljeno u ulomcima)
Data Protection Commission
protiv
Europskog odbora za zaštitu podataka
Presuda Općeg suda od 29. siječnja 2025.
„Zaštita osobnih podataka – Članak 65. stavak 1. točka (a) Uredbe (EU) 2016/679 – Obvezujuća odluka kojom se vodećem nadzornom tijelu nalaže da proširi opseg istrage i pripremi nacrt dopunske odluke – Nadležnost Europskog odbora za zaštitu podataka”
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Nadležnost Europskog odbora za zaštitu podataka (EDPS) – Doseg – Obvezujuća odluka kojom se vodećem nadzornom tijelu nalaže da proširi opseg istrage i pripremi nacrt dopunske odluke – Uključenost
(čl. 39. UEU-a; čl. 16. st. 1. i 2., čl. 101. i 102. UFEU-a; Povelja Europske unije o temeljnim pravima, čl. 8. st. 1. i 3.; Uredba 2016/679 Europskog parlamenta i Vijeća, uvodne izjave 126., 136. i 141. te čl. 4. točka 24., čl. 57. st. 1. točke (a) i (f), čl. 58. st. 2., čl. 60., čl. 65. st. 1. t. (a), čl. 65. st. 2., 3. i 6. te čl. 66.)
(t. 35., 36., 38.-40., 43.-45., 49.-54., 56.-59., 62., 63., 68.-75., 77.-82.)
Kratak prikaz
Odlučujući u proširenom vijeću, Opći sud odbija tužbe Data Protection Commissiona, irskog nadzornog tijela u području zaštite osobnih podataka kojima traži djelomično poništenje obvezujućih odluka Europskog odbora za zaštitu podataka (EDPS). Opći sud u svojoj presudi prvi put odlučuje o nadležnosti u okviru koje EDPS nacionalnom nadzornom tijelu nalaže da to tijelo proširi analizu, i, po potrebi, istragu nekog slučaja.
Nakon razmjene podnesaka s drugim predmetnim nadzornim tijelima, Data Protection Commission kao vodeće nadzorno tijelo, utvrdio je da neće biti postignut konsenzus u pogledu prigovora podnesenih protiv njegovih nacrta odluke u vezi s prekograničnim obradama podataka koje su povezane s korištenjem društvenih mreža Facebook i Instagram te aplikacijom za slanje poruka WhatsApp. Slijedom toga, predao je predmet EDPS-u da ga razmotri u okviru mehanizma konzistentnosti(1).
Nakon razmatranja triju spisa EDPS je, smatrajući da je većina prigovora podnesenih protiv nacrtâ odluka bila relevantna i obrazložena, odlučio zauzeti stajalište o pitanjima koja su u njima istaknuta.
Stoga je 5. prosinca 2022. donio obvezujuće odluke u kojima je Data Protection Commissionu naložio provođenje novih istraga nad obradama podataka koje su povezane s korištenjem triju prethodno spomenutih aplikacija i da na toj osnovi izradi dopunske nacrte odluka.
Data Protection Commission osporavao je slijedom toga nadležnost EDPS-a da mu obvezujućim odlukama izrekne takve mjere.
Ocjena Općeg suda
Opći sud prije svega pojašnjava doseg EDPS-ove nadležnosti(2) oslanjajući se na doslovnu, kontekstualnu i teleološku analizu OUZP-a.
U tom okviru, prije svega ističe da je EDPS, u skladu s doslovnim tumačenjem relevantnih odredbi OUZP-a(3), nadležan za donošenje odredbi poput pobijanih odredbi, kojima se vodećem nadzornom tijelu nalaže da provede novu istragu o određenim aspektima dotičnih spisa i da potom donese nove nacrte odluke. Budući da se EDPS-ova obvezujuća odluka mora odnositi na sva pitanja koja su predmet relevantnih i obrazloženih prigovora, relevantne odredbe OUZP-a ne zabranjuju to da se u toj odluci, onda kad EDPS prihvati relevantan i obrazložen prigovor koji se odnosi na činjenicu da u nacrtu odluke ne postoji ili nije dostatno analiziran neki aspekt, zbog čega nije moguće saznati je li došlo do povrede te uredbe, nalazi nalog vodećem nadzornom tijelu da ispravi taj nedostatak u analizi, i da, ako je to potrebno s obzirom na spis kojim raspolaže EDPS, u tu svrhu produbi ili proširi istragu koja je do tada provedena. Ako se pokaže da spis nije dovoljan da bi se u potpunosti provela potrebna analiza, to mora rezultirati time da EDPS ima mogućnost vodećem nadzornom tijelu naložiti dopunu istrage.
Nadalje, Opći sud na osnovi kontekstualnog tumačenja relevantnih odredbi OUZP-a smatra da opći kontekst obveze suradnje među nadzornim tijelima koja se bave nekim slučajem, utvrđen u OUZP-u, potvrđuje da je EDPS nadležan za donošenje osporavanih mjera.
S tim u vezi, navodi da postupak suradnje među nadzornim tijelima koja se bave nekim slučajem(4), koji može podrazumijevati pokretanje mehanizma konzistentnosti čije izvršavanje osigurava EDPS, nije „jednosmjeran” postupak u kojem stadiji uvijek slijede redoslijed odredbi koje ih predviđaju, bez mogućnosti povratka u prethodni stadij ili privremenog zadržavanja u istom stadiju.
Usto, primjećuje da analizu uvjeta u kojima se izvršava obrada osobnih podataka i njezine sukladnosti s OUZP-om ne treba ograničiti samo na ono što osoba koja je podnosi ističe u svojoj pritužbi. Konkretno, osiguranje potpunog obavljanja zadaća nadzornih tijela predviđenih u OUZP-u da brinu o postupanju u skladu s tom uredbom i rješavaju pritužbe u odgovarajućoj mjeri(5) podrazumijeva utvrđivanje odgovarajućeg opsega analize spisa s obzirom na pritužbu zbog koje se ona provodi, ali i s obzirom na druge podatke koji je mogu dopuniti. Naime, relevantan i obrazložen prigovor se prema svojoj definiciji odnosi na aspekte čija je analiza obuhvaćena dvjema naprijed spomenutim zadaćama. Slijedom toga, činjenica da se relevantan i obrazložen prigovor odnosi na opseg analize i, ako je to slučaj, opseg istrage i njegovo prihvaćanje od strane EDPS-a, ni na koji način ne dovodi u pitanje te zadaće.
Naposljetku, Opći sud naglašava da ispitivanje svrha OUZP-a također potvrđuje doslovno tumačenje njegovih relevantnih odredbi.
U tom pogledu, podsjeća među ostalim na to da je djelovanje mehanizma za suradnju među nadzornim tijelima koja se bave određenim slučajem ograničeno kad ta tijela ne postignu konsenzus. Upravo u toj situaciji vodeće nadzorno tijelo mora pitanje o kojem ne postoji konsenzus predati na rješavanje u sklopu mehanizma konzistentnosti, nakon čega EDPS donosi obvezujuću odluku. U slučaju ponovnog pokretanja istrage, nadležno tijelo mora u roku predviđenom OUZP-om donijeti konačnu odluku o meritornim aspektima koji su analizirani i o kojima je odlučeno nakon obvezujuće odluke EDPS-a. To ga ne sprječava u provođenju dopunske istrage i analize još nerazmotrenih aspekata slučaja.
Na drugome mjestu, Opći sud smatra da se prihvaćeno tumačenje ne protivi uvjetima za dodjelu nadležnosti tijelu Unije, u skladu s kojim EDPS ima ovlast vodećem nadzornom tijelu naložiti da proširi svoju analizu i, po potrebi, svoju istragu. Naime, izvršavanje takve ovlasti je ograničeno različitim kriterijima i uvjetima koji određuju njegov djelokrug djelovanja. Tako se ta ovlast, s jedne strane, provodi samo u slučaju točno određene nedostatnosti analize vodećeg nadzornog tijela prilikom obrade slučaja, koja može imati bitne posljedice, kao što to proizlazi iz definicije relevantnog i obrazloženog prigovora, i, s druge strane, proizlazi iz kolektivne ocjene nadzornih tijela koja sačinjavaju EDPS.
Osim toga, Opći sud pojašnjava da izvršavanje navedene ovlasti podliježe sudskom nadzoru. Konkretnije, u granicama tužbenih razloga koji se pred njime ističu, sud Unije može provjeriti materijalnu zakonitost osporavanih odredbi s obzirom na okolnosti slučaja. Među ostalim, on može prije svega provjeriti je li EDPS donošenjem takvih odredbi postupio slijedom relevantnog i obrazloženog prigovora nadzornog tijela. Potom može provjeriti zakonitost samog sadržaja takvih odredbi dajući naputke nadzornim tijelima.
U tom smislu, Opći sud dodaje da EDPB-ova obvezujuća odluka kojom vodećem nadzornom tijelu nalaže da proširi svoje analizu i istragu ne dovodi u pitanje njegovu sposobnost da kao neovisno tijelo odredi prioritete prilikom ispunjenja svojih različitih zadaća, a riječ je o zadatku nad kojim nadzor provodi sam nacionalni sud. Općenitije, njome se ne dovodi u pitanje ni njegova neovisnost(6).
1      U skladu s člankom 60. stavkom 4. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).
2      Na temelju članka 65. stavka 1. točke (a) OUZP-a
3      Članak 65. stavak 1. točka (a) OUZP-a u vezi s člankom 4. točkom 24., člankom 65. stavkom 6. kao i uvodnim izjavama 126. i 136. te uredbe
4      Predviđeno u članku 60. OUZP-a
5       Članak 57. stavak 1. točke (a) i (f) OUZP-a
6      Utvrđena u članku 39. UEU-a, članku 16. stavku 2. UFEU-a i članku 8. stavku 3. Povelje Europske unije o temeljnim pravima