CELEX: 62021CC0077
Language: hr
Date: 2022-03-31 00:00:00
Title: Mišljenje nezavisnog odvjetnika Pikamäe iznesen 31. ožujka 2022.###

Privremena verzija
MIŠLJENJE NEZAVISNOG ODVJETNIKA
PRIITA PIKAMÄEA
od 31. ožujka 2022.(1)

Predmet C-77/21

Digi Távközlési és Szolgáltató Kft.

protiv

Nemzeti Adatvédelmi és Információszabadság Hatóság

(zahtjev za prethodnu odluku koji je uputio Fővárosi Törvényszék (Okružni sud u Glavnom gradu Budimpešti, Mađarska))
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 5. stavak 1. točke (b) i (e) – Načelo ograničavanja svrhe – Načelo ograničavanja pohrane – Zakonito prikupljeni i pohranjeni osobni podaci klijenata – Izrada druge posebne interne baze podataka nakon tehničkog kvara – Naknadna provjera svrhe obrade – Dvostruka svrha – Nepostojanje istovjetnosti svrhe obrade i svrhe prikupljanja podataka – Usklađenost obrade sa svrhom prikupljanja – Članak 6. stavak 4. – Neprovođenje brisanja baze podataka nakon uklanjanja tehničkog kvara – Postizanje svrhe obrade”

1.        Pod kojim uvjetima pružatelj pristupa internetu i televiziji može čuvati osobne podatke svojih klijenata koji su bez njihove izričite privole zakonito prikupljeni i već pohranjeni na dodatni interni medij kako bi se umanjile posljedice tehničkog kvara?

2.        To je jedno od pitanjâ istaknutih u ovom predmetu koje će Sudu omogućiti da dopuni svoju sve bogatiju sudsku praksu koja se odnosi na Uredbu (EU) 2016/679(2), točnije u pogledu načela ograničavanja svrhe i pohrane iz članka 5. stavka 1. točaka (b) i (e) tog akta.
I.      Pravni okvir

3.        U okviru ovog predmeta relevantni su članci 4. do 6., 13. i 32. GDPR-a.
II.    Glavni postupak i prethodna pitanja

4.        Digi Távközlési és Szolgáltató Kft. (u daljnjem tekstu: Digi) jedan je od glavnih pružatelja internetskih i televizijskih usluga u Mađarskoj.

5.        U travnju 2018., nakon tehničkog kvara koji je utjecao na rad poslužitelja, Digi je stvorio bazu podataka za testiranje pod nazivom „test” u koju je kopirao osobne podatke otprilike trećine svojih klijenata fizičkih osoba.

6.        Digi je 23. rujna 2019. saznao da je jedan „etički haker” pristupio osobnim podacima otprilike 322 000 osoba. Sâm haker u pisanom je obliku obavijestio tog poduzetnika o napadu  u poruci elektroničke pošte poslanoj 21. rujna 2019.,  pri čemu je kao dokaz  izdvojio jedan redak iz baze podataka za testiranje. Digi je ispravio nedostatak te je sklopio ugovor o povjerljivosti s tom osobom i ponudio joj nagradu.

7.        Nakon što je obrisao bazu podataka za testiranje, Digi je 25. rujna 2019. obavijestio Nemzeti Adatvédelmi és Információszabadság Hatóság (Nacionalno tijelo za zaštitu podataka i slobodu informiranja, u daljnjem tekstu: NAIH) o povredi osobnih podataka, nakon čega je to tijelo pokrenulo istragu.

8.        Odlukom od 18. svibnja 2020. NAIH je među ostalim zaključio, s jedne strane, da je Digi povrijedio članak 5. stavak 1. točke (b) i (e) GDPR-a jer nakon provedbe potrebnih ispitivanja i ispravljanja pogrešaka nije obrisao bazu podataka za testiranje, nego je u toj bazi podataka za testiranje bez ikakve svrhe čuvao velik broj osobnih podataka još gotovo osamnaest mjeseci u jednoj datoteci koja je  mogla omogućavati identifikaciju ispitanika,  pri čemu je propuštanje brisanja te baze podataka omogućilo povredu osobnih podataka. S druge strane, NAIH je smatrao da je Digi povrijedio članak 32. stavke 1. i 2. GDPR-a. U tim je okolnostima NAIH izrekao Digiju kaznu od 100 000 000 mađarskih forinti (HUF) (oko 270 000 eura).

9.        Digi je osporavao zakonitost te odluke pred sudom koji je uputio zahtjev.

10.      Taj sud ističe da su osobni podaci koje je Digi kopirao u bazu podataka za testiranje bili prikupljani u svrhu sklapanja ugovorâ o pretplati i da NAIH nije dovodio u pitanje zakonitost prikupljanja podataka. Međutim, sud bi želio znati mijenja li se svrha prikupljanja i obrade podataka zbog toga što su podaci koji su bili prikupljani za jednu određenu svrhu kopirani u drugu bazu podataka. Dodaje da također treba utvrditi jesu li izrada baze podataka za testiranje i takva daljnja obrada podataka o klijentima usklađene sa svrhom prikupljanja tih podataka. U tom pogledu, načelo ograničavanja svrhe ne pruža jasne naznake o tome u kojim je internim sustavima voditelj obrade ovlašten obrađivati zakonito prikupljene podatke, niti o tome može li on te podatke kopirati u bazu podataka za testiranje a da se pritom ne promijeni svrha prikupljanja podataka.

11.      Ako izrada baze podataka za testiranje nije u skladu sa svrhom prikupljanja, sud koji je uputio zahtjev pita i je li, s obzirom na to da svrha obrade podataka o klijentima u drugoj bazi podataka nije uklanjanje pogrešaka nego sklapanje ugovorâ, vrijeme potrebno za čuvanje  mora slijediti vrijeme koje je potrebno za uklanjanje pogrešaka ili,  bolje rečeno, vrijeme potrebno za izvršenje ugovornih obveza.

12.      U tim je okolnostima Fővárosi Törvényszék (Okružni sud u Glavnom gradu Budimpešti, Mađarska) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.      Treba li pojam ‚ograničavanje svrhe’, definiran u članku 5. stavku 1. točki (b) [GDPR-a] […], tumačiti na način da je u skladu s navedenim pojmom i činjenica da voditelj obrade istodobno u drugoj bazi podataka čuva osobne podatke koji su uostalom prikupljani u točno određene zakonite svrhe te čuvani u skladu s tom svrhom ili, suprotno tomu, na način da čuvanje u usporednoj bazi podataka više nije u skladu sa zakonitom svrhom prikupljanja predmetnih podataka?
2.      U slučaju da na prvo pitanje treba odgovoriti na način da istodobno  čuvanje podataka samo po sebi nije u skladu s načelom ‚ograničavanja svrhe’, je li u skladu s načelom ‚ograničenja pohrane’ utvrđenim u članku 5. stavku 1. točki (e) [GDPR-a] činjenica da voditelj obrade u drugoj bazi podataka čuva također osobne podatke koji su prikupljeni i pohranjeni u ograničene zakonite svrhe?”
III. Postupak pred Sudom

13.      Tužitelj i tuženik iz glavnog postupka, mađarska, češka i portugalska vlada te Europska komisija podnijeli su pisana očitovanja. Na raspravi održanoj 17. siječnja 2022. saslušana su i usmena očitovanja tužitelja i tuženika iz glavnog postupka te mađarske vlade i Komisije.
IV.    Analiza

A.      Dopuštenost

14.      NAIH i mađarska vlada izrazili su sumnju u dopuštenost zahtjeva za prethodnu odluku uz obrazloženje da postavljena pitanja ne odražavaju činjenice iz glavnog predmeta i nisu izravno relevantna za njegovo rješavanje.

15.      Iz ustaljene sudske prakse Suda proizlazi da je isključivo na nacionalnom sudu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da, uvažavajući posebnosti predmeta, ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu. Posljedično, s obzirom na to da se postavljena pitanja odnose na tumačenje ili valjanost pravnog pravila Unije, Sud je u načelu dužan odlučiti. Iz navedenog proizlazi da pitanja koja postave nacionalni sudovi uživaju pretpostavku relevantnosti. Sud može odbiti odlučiti o prethodnom pitanju koje je postavio nacionalni sud samo ako zatraženo tumačenje nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi mogao dati koristan odgovor na navedena pitanja. U predmetnom slučaju, zahtjev za prethodnu odluku sadržava činjenične i pravne elemente dostatne za razumijevanje dosega prethodnih pitanja. Usto i štoviše, ni iz jednog elementa u spisu kojim raspolaže Sud ne može se zaključiti da zatraženo tumačenje prava Unije nema veze s činjeničnim stanjem ili predmetom spora u glavnom postupku ili da je hipotetske naravi(3).

16.      U tom pogledu valja istaknuti da je sudu koji je uputio zahtjev podnesena tužba za poništenje odluke kojom se sankcionira Digi, kao voditelj obrade, zbog navodne povrede načelâ ograničavanja svrhe i pohrane iz članka 5. stavka 1. točaka (b) i (e) GDPR-a, na koji se odnosi zahtjev tog suda za tumačenje. Zahtjev za prethodnu odluku stoga treba smatrati dopuštenim.
B.      Pravni okvir analize

17.      Valja napomenuti da se zahtjev za prethodnu odluku odnosi isključivo na tumačenje članka 5. GDPR-a u okviru spora iz glavnog postupka koji se odnosi na zakonitost obrade osobnih podataka koju je proveo Digi, jedan od glavnih pružatelja internetskih i televizijskih usluga u Mađarskoj, koji je stoga operator koji nudi javni pristup internetskim komunikacijskim uslugama.

18.      Međutim, valja istaknuti da se člankom 1. Direktive 2002/58/EZ(4) u stavku 1. određuje da ta direktiva predviđa usklađivanje nacionalnih odredbi koje su potrebne kako bi se, među ostalim, osigurala odgovarajuća razina zaštite osnovnih prava i sloboda, a posebno prava na privatnost i povjerljivost s obzirom na obradu osobnih podataka u području elektroničkih komunikacija. Usto, u članku 3. Direktive 2002/58 navodi se da se ta direktiva primjenjuje na obradu osobnih podataka vezanih uz pružanje javno dostupnih usluga elektroničkih komunikacija na javno dostupnim komunikacijskim mrežama u Uniji, uključujući javne komunikacijske mreže koje podržavaju uređaje za prikupljanje podataka i identifikaciju. Slijedom toga, valja smatrati da se navedenom direktivom uređuju aktivnosti pružatelja takvih usluga(5).

19.      U skladu sa njezinim člankom 1. stavkom 2., Direktiva 2002/58 pojašnjava i nadopunjuje Direktivu 95/46/EZ(6) u svrhe navedene u tom stavku 1., uzimajući u obzir da se na temelju članka 94. stavka 2. GDPR-a upućivanja u Direktivi 2002/58 na Direktivu 95/46 smatraju upućivanjima na tu uredbu(7). U skladu s uvodnom izjavom 10. Direktive 2002/58, u području elektroničkih komunikacija Direktiva 95/46 primjenjuje se prije svega na sva pitanja vezana uz zaštitu temeljnih prava i sloboda koja nisu izričito obuhvaćena odredbama Direktive 2002/58, uključujući obveze voditelja obrade osobnih podataka i prava pojedinaca(8).

20.      Iz zahtjeva za prethodnu odluku proizlazi da se glavni postupak ne odnosi na način na koji Digijevi pretplatnici upotrebljavaju usluge elektroničkih komunikacija, a time ni na zaštitu takve komunikacije i s time povezanih podataka o prometu koja se uređuje Direktivom 2002/58, nego se odnosi na unutarnje funkcioniranje tog poduzetnika. Točno je da je Digi 2018., nakon tehničkog kvara poslužitelja koji je doveo do nemogućnosti pristupa izvornoj bazi podataka njegovih pretplatnika, stvorio datoteku pod nazivom „test” u koju je kopirao osobne podatke jednog dijela svojih klijenata(9). Nakon što je Digi uklonio taj kvar, pohranjivanje podataka u dodatnu bazu podataka nastavilo se do rujna 2019. kada je došlo do računalnog hakiranja te baze. Takva Digijeva aktivnost predstavlja „obradu osobnih podataka” za koju je taj poduzetnik „odgovoran” u smislu definicija iz članka 4. stavaka 2. i 7. GDPR-a. Također, u tom je svojstvu NAIH kaznio Digi jer je tom prilikom povrijedio svoje obveze koje osobito proizlaze iz članka 5. stavka 1. točaka (b) i (e) GDPR-a.

21.      U tom pogledu valja podsjetiti na to da, osim odstupanja dopuštenih na temelju članka 23. GDPR-a, svaka obrada osobnih podataka treba poštovati načela kojima se ona uređuje, kao i prava dotične osobe utvrđene u poglavljima II. i III. te uredbe. Konkretno, svaka obrada osobnih podataka mora, s jedne strane, biti u skladu s načelima utvrđenima u članku 5. navedene uredbe i, s druge strane, ispuniti uvjete zakonitosti navedene u članku 6. te iste uredbe(10).

22.      U skladu s člankom 5. GDPR-a, voditelj obrade mora osigurati da su osobni podaci „zakonito, pošteno i transparentno obrađivani” (točka (a)), da su „prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama” (točka (b)), da su „primjereni, relevantni i da [nisu pretjerani u odnosu na]  svrhe u koje se obrađuju” (točka (c)), da su „točni i prema potrebi ažur[ira]ni  ” (točka (d)) i, konačno, da su „čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno [za postizanje] svrhe radi kojih se [prikupljaju ili zbog kojih se dalje obrađuju]” (točka (e)), obrada podataka u povijesne, statističke ili znanstvene svrhe predmet je posebnih odredbi. U tom kontekstu taj voditelj mora poduzeti sve razumne mjere kako bi podaci koji ne ispunjavaju zahtjeve te odredbe bili izbrisani ili ispravljeni(11).
C.      Opseg zahtjeva za prethodnu odluku

23.      Sud koji je uputio zahtjev od Suda traži smjernice u pogledu tumačenja načelâ ograničavanja svrhe i ograničenja pohrane utvrđenih člankom 5. stavkom 1. točkama (b) i (e) GDPR-a, što se odražava tekst dvaju različitih prethodnih pitanja koja se odnose na te odredbe. Drugo pitanje, koje se odnosi na načelo ograničenja pohrane podataka, upućuje se samo uvjetno, u slučaju da predmetna obrada nije u skladu s načelom ograničavanja svrhe.

24.      Naime, važno je naglasiti da su zahtjevi koji se odnose na obradu osobnih podataka iz članka 5. GDPR-a očito kumulativni i samostalni jedni u odnosu na druge(12). Problematika poštovanja načela ograničenja pohrane pravno je neovisna o problematici koja se odnosi na načelo ograničavanja svrhe. U odluci na koju se odnosi glavni postupak NAIH smatra da se pohranjivanjem podataka na dodatan interni medij povređuju dva prethodno navedena različita načela.

25.      Čak i ako je sud koji je uputio zahtjev formalno ograničio svoje drugo pitanje njegovom uvjetnom prirodom, ta okolnost ne sprečava Sud da mu pruži sve elemente za tumačenje koji mogu biti korisni za odlučivanje u glavnom predmetu, izvodeći iz svih elemenata koje mu je taj sud dostavio, osobito iz obrazloženja odluke kojom se upućuje prethodno pitanje, elemente prava Unije koje treba tumačiti uzimajući u obzir predmet spora(13).
D.      Zakonitost obrade s obzirom na načelâ ograničavanja svrhe i ograničenja pohrane

1.      Uvodne napomene

26.      Čini mi se da je najprije potrebno analizirati opseg načelâ definiranih u članku 5. stavku 1. točkama (b) i (e) GDPR-a i to u vezi s pojmom pohrane koji se upotrebljava u zahtjevu za prethodnu odluku i pismenima zainteresiranih strana kako bi se opisao postupak sporne obrade s dvaju aspekata. Prvi aspekt odnosi se na samu aktivnost pohrane ili zaštite podataka, u ovom slučaju pohranu kopije podataka jednog dijela Digijevih pretplatnika u dodatnu internu bazu. Drugi aspekt odnosi se na pohranu u smislu trajanja zadržavanja te baze podataka. Stoga se postavlja pitanje o trajanju pohrane podataka. U tom pogledu, prema mojem mišljenju, prethodno navedena problematika u pogledu trajanja zadržavanja nije obuhvaćena načelom ograničavanja svrhe, nego isključivo načelom ograničenja pohrane.

27.      Načelo ograničavanja svrhe predviđeno člankom 5. stavkom 1. točkom (b) GDPR-a ima dvije sastavnice: osobni podaci trebaju, s jedne strane, biti prikupljeni u „posebne, izričite i zakonite” svrhe te, s druge strane, ne smiju se „obrađivati na način koji nije u skladu” s tim svrhama. Svrha je tog načela što jasnije razgraničiti upotrebu osobnih podataka osiguravanjem ravnoteže između poštovanja temeljnih prava ispitanikâ u pogledu privatnosti i zaštite podataka te priznavanja određene fleksibilnosti u korist voditelja obrade u upravljanju tim podacima, kako to zahtijeva digitalni život i rizici koje on nosi.

28.      U okviru svoje druge sastavnice, koja me osobito zanima u ovom slučaju, navedenim se načelom nastoje utvrditi granice unutar kojih se osobni podaci prikupljeni u ograničene svrhe mogu ponovno upotrijebiti. U skladu s člankom 5. stavkom 1. točkom (b) GDPR-a, svaku obradu nakon prikupljanja treba smatrati „daljnjom obradom” i ona stoga treba, uz iznimke, ispunjavati zahtjev usklađenosti(14). Taj zahtjev odražava potrebu za konkretnom, logičnom i dovoljno bliskom vezom između svrhe prikupljanja podataka i njihove daljnje obrade. Drugim riječima, ta obrada ne smije biti nepovezana s izvornom svrhom prikupljanja podataka niti s njom u proturječnosti, a njezin sadržaj treba biti usklađen sa svrhom prikupljanja, neovisno o problematici u pogledu trajanja zadržavanja.

29.      Načelo ograničavanja svrhe nije u pravom smislu riječi izraz načela proporcionalnosti, za razliku od načela ograničenja pohrane navedenog u članku 5. stavku 1. točki (e) GDPR-a. Kao što je to pojasnio Sud, iz zahtjeva predviđenih u tom članku proizlazi da čak i u početku zakonita obrada podataka može s vremenom postati neusklađena s tom uredbom ako ti podaci više nisu nužni s obzirom na svrhe radi kojih su bili prikupljeni ili obrađeni. To je posebno slučaj kad se pokažu neprikladnima, kad nisu relevantni odnosno nisu više relevantni ili kad su pretjerani u odnosu na te svrhe i vrijeme koje je proteklo(15).

30.      Stoga je u okviru načela ograničenja pohrane riječ o ocjeni proporcionalnosti obrade u odnosu na njezinu svrhu s obzirom na protek vremena. Tom se načelu protivi pohrana podataka tijekom razdoblja koje prelazi nužno razdoblje, odnosno kojim se prekoračuje trajanje potrebno u svrhe radi kojih su ti podaci zadržani(16). Ako su svrhe te obrade ostvarene, podatke treba izbrisati(17). Načelo ograničenja pohrane tako odgovara na pitanje kada pohranjivanje podataka na Digijev dodatan interni medij više nije opravdano.

31.      S obzirom na prethodno navedena razmatranja, ispitat ću zakonitost predmetne obrade s obzirom na dva prethodno navedena načela.
2.      Načelo ograničavanja svrhe

32.      Provjera poštovanja takvog načela, u okviru njegove druge sastavnice, podrazumijeva prethodno utvrđivanje svrhe ili svrha prikupljanja predmetnih podataka.  Iz spisa podnesenog Sudu proizlazi da je Digi prikupio podatke u svrhu sklapanja i izvršenja ugovora o pretplati koje nudi u svojstvu pružatelja pristupa internetu i televiziji te da zakonitost te prve obrade nije predmet rasprave među strankama glavnog postupka. Isto vrijedi za neophodan naknadni postupak obrade koji se sastoji od pohrane navedenih podataka na za to namijenjen medij koji se kvalificira kao izvorna baza podataka(18). U tom kontekstu sud koji je uputio zahtjev osobito želi dobiti odgovor na pitanje je li posebna, izričita i zakonita svrha prikupljanja podataka „promijenjena” zbog činjenice da su ti podaci kopirani u bazu podataka koja se dodaje prvoj pohrani koja nije sporna među strankama.

33.      Prema sudskoj praksi Suda, pravila o zaštiti osobnih podataka koja sadržava GDPR moraju se poštovati pri svakoj obradi tih podataka kako je utvrđeno u članku 2. te uredbe.(19) Čini se da prethodno navedeno pitanje odražava nepoštovanje zahtjeva pojedinačne ocjene svih postupaka obrade podataka nakon njihova prikupljanja, kao što u ovom slučaju proizlazi iz članka 5. stavka 1. točke (b) GDPR-a.

34.      Drugim riječima, svaki slučaj daljnje upotrebe tih podataka treba ispitati kako bi se provjerila njezina posebna svrha i, po potrebi, njezina usklađenost sa svrhom prikupljanja. Zakonitost potonjeg prikupljanja i prve pohrane podataka ne mogu, po nekom obliku načela zahvaćanja, automatski utjecati na poštovanje načela ograničavanja svrhe drugom aktivnošću daljnje obrade, neovisno o činjenici da se potonja obrada odnosi na iste podatke. Kao što to tvrdi mađarska vlada, ne može se smatrati da voditelj obrade može pohraniti osobne podatke u nekoliko datoteka i bez ograničenja, pod uvjetom da ih je prvotno zakonito prikupio i obrađivao.

35.      Stoga valja ispitati pitanje usklađenosti svrha prikupljanja podataka i daljnje obrade tih podataka, koja se zahtijeva člankom 5. stavkom 1. točkom (b) GDPR-a. Međutim, to se pitanje logično postavlja samo u slučaju kada se ta obrada provodi u svrhe različite od onih koje su prvotno navedene.

36.      Stoga, u skladu s uvodnom izjavom 50. te uredbe, obrada osobnih podataka „u svrhe različite” od svrha za koje su oni prvotno prikupljeni smjela bi se dopustiti samo ako je obrada usklađena sa svrhama tog prikupljanja. Tekst članka 6. stavka 4. navedene uredbe također potvrđuje prethodno navedeni zaključak. U toj se odredbi utvrđuje netaksativan popis kriterija koji omogućuju da se u određenoj situaciji ocijeni je li obrada „u drugu svrhu” u skladu sa svrhom za koju su osobni podaci prvotno prikupljeni. Stoga bi utvrđivanje istovjetnosti svrhe između prikupljanja podataka i njihove daljnje obrade, koju navodi Digi, pitanje usklađenosti učinilo bespredmetnim i omogućilo da se zaključi da je ta obrada bila zakonita s obzirom na načelo ograničavanja svrhe(20).
a)      Svrhe obrade

37.      Iz spisa podnesenog Sudu i konkretnije iz Digijevih izjava proizlazi da je nakon tehničkog kvara poslužitelja koji je doveo do nemogućnosti pristupa izvornoj bazi podataka taj poduzetnik pohranio kopiju podataka jednog dijela pretplatnika u dodatnu internu bazu nazvanu „test” kako bi ispravio tehničku poteškoću i zajamčio pristup podacima u skladu s obvezom koja se voditelju obrade nalaže člankom 5. stavkom 1. točkom (f) i koja je detaljno opisana u članku 32. GDPR-a(21). Digi tvrdi da je taj postupak obrade stoga pridonio i postizanju svrhe prikupljanja podataka, odnosno pružanju usluge koja je predviđena ugovorom. U tim okolnostima, sporna pohrana nije povezana s različitom svrhom, čime se isključuje bilo kakva povreda članka 5. stavka 1. točke (b) te uredbe.

38.      Iako je očito na sudu koji je uputio zahtjev da provjeri zakonitost prethodno navedenog postupka obrade, osobito s obzirom na zahtjeve utvrđene u članku 5. GDPR-a i sve okolnosti slučaja o kojem je riječ, u tu mu se svrhu može pružiti nekoliko smjernica. 

39.      Kao prvo, ističem da Digi u biti ističe da postoji dvostruka svrha sporne obrade u smislu da je prvi i specifičan cilj uklanjanja kvara poslužitelja i zaštite dostupnosti podataka pretplatnika i sâm bio dio sekundarnog i općeg cilja koji se odnosi na izvršenje ugovorâ o pretplati, koji se podudara s ciljem početnog prikupljanja podataka.

40.      U praksi je sasvim zamislivo da se osobni podaci mogu prikupljati ili dalje obrađivati u više svrha, što se jasno predviđa i priznaje GDPR-om, kao što to odražava tekst članka 5. stavka 1. točke (b) i članka 6. stavka 1. točke (a) te uvodnih izjava 32. i 50. te uredbe. Taj pristup odgovara potrebi za pragmatizmom i fleksibilnošću koje zahtijevaju složene i nelinearne obrade osobnih podataka u digitalnom dobu. Međutim, njime treba uzeti u obzir zahtjev pojašnjenja svrhe koji je ključan element u provedbi europskog sustava zaštite osobnih podataka.

41.      Dovoljan stupanj pojašnjenja svrhe stoga predstavlja temeljno jamstvo u smislu predvidljivosti i pravne sigurnosti, tako da pridonosi tome da ispitanik pravilno razumije moguću upotrebu svojih podataka i omogućuje mu informiranu odluku. Ta je predvidljivost ključna pri ocjeni usklađenosti svrhe prikupljanja podataka i njihove daljnje obrade, čime se smanjuje opasnost od narušavanja razumnih očekivanja ispitanikâ u pogledu moguće buduće upotrebe njihovih podataka i postupaka koje je izvršio voditelj obrade. Navođenje svrhe potrebno je i radi primjene drugih zahtjeva u pogledu kvalitete podataka, uključujući primjerenost, relevantnost, proporcionalnost i točnost prikupljenih podataka, kao i zahtjeva koji se odnose na trajanje njihove pohrane u skladu s člankom 5. stavkom 1. točkama (c), (d) i (e) GDPR-a.

42.      Stoga taj zahtjev pojašnjenja vrijedi, kao što se to naglašava u mišljenju 3/2013 radne skupine iz članka 29.(22), za svaki postupak obrade, a ne samo u početnoj fazi prikupljanja podataka. Zanimljivo je istaknuti da će u slučaju obrade podataka na temelju privole ispitanika ona u skladu s člankom 6. stavkom 1. točkom (a) GDPR-a biti zakonita samo ako je osoba pristala na tu obradu u jednu ili više „posebnih” svrha.

43.      U tim okolnostima, ako obrada može ostvarivati dvije svrhe, svaka od njih mora biti precizne prirode te imati objektivnu i dovoljno blisku vezu s postupkom predmetne obrade.

44.      Kao drugo, valja navesti poseban kontekst u kojem treba provesti ocjenu predmetne svrhe ili predmetnih svrha daljnje obrade.

45.      U skladu s uvodnim izjavama 60. i 61. GDPR-a, načelom poštene i transparentne obrade zahtijeva se da je ispitanik informiran o postupku obrade i njegovim svrhama te mu treba pružiti informacije o obradi njegovih osobnih podataka u trenutku u kojem se oni prikupljaju od njega. U tom pogledu člankom 13. stavkom 1. točkom (c) te uredbe predviđa se da, ako su osobni podaci koji se odnose na ispitanika prikupljeni od njega, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža informacije o svrhama obrade radi kojih se upotrebljavaju kao i pravnoj osnovi za obradu.

46.      Uostalom, koliko god oprezan i pažljiv bio voditelj obrade, moguće je da pri planiranju obrade ne može predvidjeti ili odrediti prirodu kao ni točan doseg svih postupaka koji čine lanac obrade podataka. Isto tako, ovaj predmet savršen je primjer problematike koja je povezana rješavanjem tehničkog kvara, po definiciji neočekivanog, i naknadnom provedbom određene vrste obrade podataka u svrhu koja prvotno nije određena.

47.      U okviru ocjene, kao u ovom slučaju, u pogledu zakonitosti takve obrade, koju provodi nadzorno tijelo, a zatim i sud nadležan za tužbu protiv odluke tog tijela, ta je svrha predmet naknadne provjere s obzirom na smjernice koje je pružio voditelj obrade tijekom upravnog postupka. Na tom je voditelju, idejnom začetniku predmetnog postupka obrade, da na temelju načela odgovornosti predviđenog člankom 5. stavkom 2. GDPR-a dokaže stvarnost navodne svrhe i, po potrebi, usklađenost obrade s ciljem prikupljanja podataka(23).

48.      U tom pogledu, dva konkretna i objektivna elementa mogu se uzeti u obzir pri provjeri te svrhe. Kao prvo, člankom 13. stavkom 3. GDPR-a predviđa se da, ako su osobni podaci koji se odnose na ispitanika prikupljeni od njega i ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci prikupljeni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi(24) te sve druge relevantne informacije iz stavka 2. te odredbe. Kao drugo, člankom 30. stavkom 1. GDPR-a svakom se voditelju obrade nalaže da u pisanom obliku, što uključuje i u elektroničkom obliku, vodi evidenciju aktivnosti obrade za koje je odgovoran i da je na zahtjev stavi na raspolaganje nadzornom tijelu. Ta evidencija sadržava različite informacije, među kojima su i one koje se odnose na svrhu obrade.

49.      U ovom se slučaju čini očitim da Digi nikoga od dotičnih pretplatnika nije obavijestio o svojoj namjeri da kopira njihove podatke i pohrani ih na interni medij namijenjen provedbi testova i uklanjanju pogrešaka jer je taj operater smatrao da taj postupak obrade nema svrhu koja se razlikuje od svrhe prikupljanja podataka i da stoga nije obuhvaćen područjem primjene članka 13. stavka 3. GDPR-a(25). Usto, na temelju spisa podnesenog Sudu ne može se utvrditi je li Digi mogao koristiti oslobođenje predviđeno člankom 30. stavkom 5. te uredbe u pogledu obveze vođenja evidencije(26).

50.      U svakom slučaju ističem da je Digi na raspravi jasno naveo da tehnički kvar koji se dogodio 2018. nije doveo do prekida usluge koja se predviđa ugovorom jer je sporna pohrana provedena samo s obzirom na rizik takvog prekida. Te izjave trebaju biti povezane s objektivnim materijalnim utvrđenima u pogledu izbora naziva baze podataka takozvane baze podataka „test”, s činjenicom da ta baza nije sadržavala podatke svih pretplatnika već samo jedne trećine njih i da je, nakon što je Digi zaboravio na nju 18 mjeseci nakon rješavanja početne tehničke poteškoće, navedena baza podataka odmah izbrisana nakon računalnog hakiranja u rujnu 2019. koje je utjecalo na sigurnost podataka.

51.      U tim okolnostima, čini se da se može utvrditi da je sporna obrada odgovarala samo jednom konkretnom i specifičnom cilju, a to je privremeno osiguranje dijela podataka o pretplatnicima u vezi s uklanjanjem tehničke poteškoće koja utječe na rad poslužitelja, što je cilj koji je, prema mojem mišljenju, različit od cilja prikupljanja podataka.

52.      Suprotno tomu, Komisija i Digi tvrde da se ne može smatrati da takva obrada, čiji je cilj poštovati obvezu sigurnosti koja se voditelju obrade nalaže člankom 5. stavkom 1. točkom (f) GDPR-a i koja je detaljno opisana u članku 32. te uredbe, ima novu ili drukčiju svrhu jer bi se inače ugrozio koristan učinak tog akta te bi to dovelo do informiranja ispitanika koje nema praktičan interes.

53.      Taj apstraktan i sustavan pristup čini mi se protivnim zahtjevu ocjene zakonitosti svakog postupka obrade s obzirom na sve relevantne okolnosti slučaja. Zapravo takav pristup oduzima koristan učinak obvezi informiranja ispitanika predviđenoj člankom 13. stavkom 3. GDPR-a, koju u odnosu na te osobe ima voditelj obrade kako bi osigurao poštenu obradu podataka koji se odnose na njih(27). Ta je obveza od iznimne važnosti kad se obrada provodi, kao u ovom slučaju, u okviru ugovornog odnosa i temelji na članku 6. stavku 1. točki (b) tog akta koji se odnosi na nužnost izvršenja ugovora a da pritom nije potrebna suglasnost ugovornih strana. Konačno, tim se pristupom ne poštuje smisao članka 5. stavka 1. točke (b) GDPR-a, odnosno činjenica da daljnja obrada provedena u svrhu koja se razlikuje od svrhe prikupljanja podataka nije nužno nezakonita, a sama njezina usklađenost s potonjom svrhom dovoljna je da se poštuje prethodno navedena odredba.
b)      Usklađenost obrade

54.      Članak 5. stavak 1. točka (b) GDPR-a ne sadržava nikakvu naznaku o uvjetima u kojima se daljnja obrada, čiji se cilj razlikuje od prvotne svrhe prikupljanja podataka, može smatrati usklađenom s prvotnim prikupljanjem. U tom pogledu valja uputiti na članak 6. stavak 4. GDPR-a, u vezi s uvodnom izjavom 50. tog akta, čiji sadržaj odražava vezu između načela ograničavanja svrhe i pravne osnove predmetne obrade.

55.      Stoga se u toj odredbi pravi razlika u pogledu zahtjeva usklađenosti, ovisno o tome temelji li se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1. GDPR-a.

56.      U slučaju potvrdnog odgovora, u skladu s uvodnom izjavom 50. drugim odlomkom GDPR-a, voditelju obrade dopušta se daljnja obrada osobnih podataka neovisno o usklađenosti svrha(28). To odstupanje od zahtjeva usklađenosti u biti opravdava postojanje drugih pravila kojima se štite prava ispitanikâ i, konkretnije, prava koja se odnose na informiranje potonjih ispitanika o drugim svrhama i njihova prava prigovora na obradu(29).

57.      Ako je odgovor niječan, a ta situacija odgovara ovom predmetu, u skladu s člankom 6. stavkom 4. GDPR-a:
„[…]
voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:
(a)      svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade;
(b)      kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade;
(c)      prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.;
(d)      moguće posljedice namjeravanog nastavka obrade za ispitanike;
(e)      postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju”.

58.      Budući da Digi u trenutku prikupljanja podataka uopće nije službeno naveo da planira daljnju obradu niti njezinu svrhu, valja se ograničiti na suštinski pristup koji, čini mi se, dovodi do zaključka o usklađenosti obrade.

59.      U tom pogledu, nedvojbeno postoji veza između prvotnog prikupljanja podataka, odnosno izvršenja ugovora o internetskoj i televizijskoj pretplati i obrade čiji je cilj zaštita tih podataka u dodatnoj internoj bazi i sigurna provedba testova koji su namijenjeni uklanjanju tehničkog kvara koji je potencijalno štetan za pružanje usluge koja se predviđa ugovorom. Iako se te svrhe ne preklapaju, kao što se prethodno navodi, one su logički povezane.

60.      Valja naglasiti da ta obrada ne odstupa od legitimnih očekivanja pretplatnika u pogledu daljnje uporabe njihovih podataka. Dodatno pohranjivanje podataka na interni medij potaknuto potrebom rješavanja tehničkog kvara koji utječe na mogućnost pristupa podacima u izvornoj bazi ne može se naime smatrati iznenađujućim ili malo vjerojatnim. Usto, predmetne podatke nastavio je obrađivati isti voditelj obrade te oni nisu otkrivani trećim osobama, što a priori  ukazuje da nema negativnog utjecaja. Činjenica da je u okviru računalnog hakerskog napada na Digi počinitelj mogao pristupiti podacima koji se nalaze na tom mediju, prema mojem mišljenju ne omogućuje da se naknadno zaključi da predmetna obrada nije usklađena.
3.      Načelo ograničavanja pohrane

61.      U skladu s člankom 5. stavkom 1. točkom (e) GDPR-a, podaci moraju biti čuvani u obliku koji omogućuje identifikaciju ispitanikâ(30) samo onoliko dugo koliko je potrebno u svrhe radi kojih se obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1. te uredbe, što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih tom uredbom radi osiguravanja prava i sloboda ispitanika.

62.      Kao što se to prethodno navodi, načelo ograničenja pohrane izraz je načela proporcionalnosti kao i načela „smanjenja količine podataka”, prema kojem osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju(31). U okviru načela ograničenja pohrane, pitanje nužnosti obrade, razmatrano s vremenskog aspekta, povezano je s pitanjem postojanosti njezine svrhe.

63.      Valja također podsjetiti na to da poštovanje zahtjeva proporcionalnosti nalaže da su odstupanja i ograničenja u zaštiti osobnih podataka u granicama onog što je strogo nužno(32). Sud je jasno naveo da se člankom 5. stavkom 1. točkom (e) GDPR-a nastoje zaštititi ispitanici(33).

64.      U uvodnoj izjavi 39. GDPR-a jednako se izričito navodi da razdoblje u kojem se osobni podaci pohranjuju treba biti „ograničeno na strogi minimum” i da bi u tu svrhu voditelj obrade trebao odrediti rokove za brisanje ili periodično preispitivanje. U članku 13. stavku 2. točki (a) GDPR-a određuje se da voditelj obrade u trenutku kada se osobni podaci prikupljaju treba ispitaniku pružiti dodatne informacije u odnosu na one iz stavka 1. tog članka, koje su potrebne kako bi se osigurala poštena i transparentna obrada, uključujući i razdoblje u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije na temelju kojih se utvrđuje to razdoblje(34).

65.      U tom kontekstu valja utvrditi, s obzirom na sve okolnosti slučaja o kojem je riječ(35), u kojem bi se trenutku svrhe pohrane kopije podataka jednog dijela pretplatnika u dodatnu internu bazu eventualno mogle smatrati postignutima, čime se ta obrada lišava svrhe te se Digi obvezuje na brisanje podataka. Očito je da je na voditelju obrade da u skladu s načelom odgovornosti predviđenim u članku 5. stavku 2. GDPR-a podnese dokaz o zakonitosti obrade s obzirom na načelo ograničenja pohrane, kao i načelo ograničavanja svrhe.

66.      U ovom slučaju, smatrajući da se spornom pohranom nastojao postići cilj zaštite sigurnosti podataka te da je ona sama po sebi pridonijela postizanju cilja izvršenja ugovora o pretplati, Digi tvrdi da je razdoblje u kojem se podaci pohranjuju u bazi podataka za testiranje usklađeno s razdobljem izvršenja ugovornih obveza, čime se isključuje svaka povreda članka 5. stavka 1. točke (e) GDPR-a.

67.      Što se tiče utvrđenja svrhe ili svrha, upućujem na sva utvrđenja i ocjene koji su izneseni u okviru odgovora na pitanje u pogledu poštovanja načela ograničavanja svrhe iz kojeg proizlazi da se ne može smatrati da se predmetnom obradom nastojala postići dvostruka svrha koja uključuje izvršenje ugovorâ o pretplati(36).

68.      U svakom slučaju, neovisno o prirodi odabrane svrhe ili svrha, obrada podataka u obliku pohrane u dodatnu internu datoteku ipak bi trebala biti vremenski ograničena na ono što je strogo nužno. Drugim riječima, nakon što se uklonio početni kvar, nestala je okolnost koja je opravdavala postupak pohranjivanja i zadržavanje baze. Izravan i primaran cilj zaštite sigurnosti podataka u vezi s uklanjanjem tehničke poteškoće, kad se razmatra zasebno ili čak i zajedno s neizravnim i dodatnim ciljem izvršenja ugovora o pretplati, u tim okolnostima više ne može obuhvaćati daljnju obradu.

69.      Valja utvrditi da je Digi jednoznačno naveo da je baza podataka za testiranje trebala zajamčiti pristup podacima pretplatnika „dok se pogreška ne ukloni” i da je nije obrisao zbog nepažnje iako je više nije opravdavalo uklanjanje pogrešaka(37), što znači da sporna obrada više nije bila korisna i stoga nije imala svrhu. Može li se smatrati da interna baza podataka, za koju je sam voditelj obrade priznao da je bila zaboravljena godinu i pol dana, može i dalje djelotvorno služiti svrsi? Čini mi se da je odgovor nužno niječan.
V.      Zaključak

70.      S obzirom na navedena razmatranja, predlažem Sudu da Fővárosi Törvényszéku (Okružni sud u Glavnom gradu Budimpešti, Mađarska) odgovori na sljedeći način:
1.      Članak 5. stavak 1. točku (b) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da se načelu koje se u njoj navodi ne protivi čuvanje osobnih podataka koji su zakonito prikupljeni i pohranjeni u dodatnoj internoj bazi, ako se tom obradom nastoji postići ista svrha kao i prikupljanjem, ili, ako to nije slučaj, da je ona usklađena s tom svrhom, što je na voditelju obrade da dokaže, uključujući u slučaju kad se obradom ispunjava njegova obveza u pogledu osiguravanja odgovarajuće sigurnosti osobnih podataka koja je predviđena člankom 5. stavkom 1. točkom (f) navedene uredbe.
Ako se navedena obrada koja se provodi u svrhu različitu od one za koju su podaci prikupljeni ne temelji na privoli ispitanika ili na zakonodavnom aktu Unije ili države članice iz članka 23. stavka 1. Uredbe 2016/679, njezinu usklađenost treba utvrditi, među ostalim, s obzirom na kriterije iz članka 6. stavka 4. te uredbe.
2.      Članak 5. stavak 1. točku (e) Uredbe 2016/679 treba tumačiti na način da se načelu koje se u njoj navodi protivi čuvanje zakonito prikupljenih i pohranjenih podataka u obliku koji omogućuje identifikaciju ispitanika u dodatnoj internoj bazi podataka čiji je cilj uklanjanje tehničke nepravilnosti i privremeno osiguravanje tih podataka, u trajanju koje prekoračuje vrijeme potrebno za postizanje tog cilja i stoga nakon rješavanja te poteškoće, uključujući kad se navedeni izravan i primarni cilj može povezati s neizravnim i dodatnim ciljem izvršenja pružanja usluge koja se predviđa ugovorom.

1      Izvorni jezik: francuski

2      Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: GDPR)

3      Presuda od 16. srpnja 2020., Facebook Ireland i Schrems (C-311/18, EU:C:2020:559, t. 73. i 74.)

4      Direktiva Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL 2002., L 201, str. 37.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 52., str. 111.)

5      Presuda od 6. listopada 2020., Privacy International (C-623/17, EU:C:2020:790, t. 34. i 36.)

6      Direktiva Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)

7      Valja podsjetiti na to da, budući da je GDPR stavio izvan snage i zamijenio Direktivu 95/46 i da relevantne odredbe te uredbe imaju u biti isti doseg kao i relevantne odredbe te direktive, sudska praksa Suda koja se odnosi na navedenu direktivu u načelu se primjenjuje i u pogledu navedene uredbe (presuda od 17. lipnja 2021., M.I.C.M. (C-597/19, EU:C:2021:492, t. 107.)).

8      Vidjeti presudu od 11. studenoga 2020., Orange Romania (C-61/19, EU:C:2020:901), za isključivu provedbu odredbi Direktive 95/46 i GDPR-a u predmetu koji se odnosi na privolu klijenata društva Orange România, pružatelja uslugâ pokretne telekomunikacije na rumunjskom tržištu, u pogledu prikupljanja i čuvanja preslika njihovih osobnih isprava.

9      Iz točke 2. Komisijinih očitovanja proizlazi da ti podaci uključuju sljedeće informacije: ime, mjesto i datum rođenja, adresu, broj osobne iskaznice, katkad osobni broj, adresu elektroničke pošte, brojeve fiksnog i mobilnog telefona ispitanikâ.

10      Presuda od 6. listopada 2020., La Quadrature du Net i dr. (C-511/18, C-512/18 i C-520/18, EU:C:2020:791, t. 208.)

11      Vidjeti po analogiji presudu od 13. svibnja 2014., Google Spain i Google (C-131/12, EU:C:2014:317, t. 72.).

12      Autonomija obveza koje ima voditelj obrade utvrđenih u članku 5. GDPR-a ne isključuje postojanje njihove međusobne povezanosti koju u ovom slučaju predstavlja pojam svrhe. Provjera prirode i svrhe aktivnosti obrade ključna je za ocjenu poštovanja načela navedenih u toj odredbi i osobito načela ograničavanja svrhe i pohrane podataka na koja se odnosi spor u glavnom postupku.

13      Presuda od 22. travnja 2021., Profi Credit Slovakia (C-485/19, EU:C:2021:313, t. 50.)

14      Daljnju obradu u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe treba smatrati zakonitim postupkom obrade koji je usklađen s prvotnim svrhama u skladu s člankom 5. stavkom 1. točkom (b) GDPR-a, što je situacija koja ne odgovara okolnostima glavnog predmeta.

15      Vidjeti po analogiji presudu od 13. svibnja 2014., Google Spain i Google (C-131/12, EU:C:2014:317, t. 93.).

16      Vidjeti u tom smislu presude od 7. svibnja 2009., Rijkeboer (C-553/07, EU:C:2009:293, t. 33.) i od 13. svibnja 2014., Google Spain i Google (C-131/12, EU:C:2014:317, t. 92.).

17      Vidjeti u tom smislu presudu od 7. svibnja 2009., Rijkeboer (C-553/07, EU:C:2009:293, t. 33.).

18      S obzirom na prirodu tih postupaka obrade, čini se da članak 6. stavak 1. točke (a) i (b) GDPR-a predstavljaju odgovarajuću pravnu osnovu, koja, štoviše, nije predmet nikakve rasprave u ovom slučaju.

19      Vidjeti po analogiji presudu od 20. svibnja 2003., Österreichischer Rundfunk i dr. (C-465/00, C-138/01 i C-139/01, EU:C:2003:294, t. 40.).

20      Postupci prikupljanja osobnih podataka klijenata i njihove pohrane u izvornu bazu podataka istodobno imaju istu svrhu, odnosno pružanje usluge koja je predviđena ugovorom.

21      Vidjeti točku 13. Digijevih očitovanja.

22      Neovisno savjetodavno tijelo osnovano na temelju članka 29. Direktive 95/46 i zamijenjeno nakon donošenja GDPR-a Europskim odborom za zaštitu podataka.

23      Vidjeti po analogiji presudu od 11. studenoga 2020., Orange Romania (C-61/19, EU:C:2020:901, t. 51. i 52.).

24      Sadržaj članka 13. stavka 3. GDPR-a potvrđuje pristup prema kojem se zahtjev pojašnjenja svrhe ne primjenjuje samo na fazu prikupljanja podataka, nego se odnosi na svaki postupak obrade.

25      Ta odredba odražava fleksibilnost upravljanja priznatu u korist voditelja obrade, čijom se ocjenom jedinom određuje provedba obveze informiranja ispitanika. Ta mogućnost usporedno zahtijeva da nadzorno tijelo provede strogu provjeru svrhe obrade, što je bitno kako bi se osigurala zakonitost daljnje obrade i, među ostalim, poštovanje zahtjeva usklađenosti.  

26      Naime, doseg te obveze smanjen je troškom u korist poduzeća ili organizacija u kojima je zaposleno manje od 250 osoba, osim ako obrada koju provode može prouzročiti visok rizik za prava i slobode ispitanika, ako obrada nije povremena ili uključuje posebne kategorije podataka iz članka 9. stavka 1. GDPR-a ili je riječ o osobnim podacima u vezi s kaznenim osudama i kažnjivim djelima iz članka 10. tog akta.

27      Presuda od 11. studenoga 2020., Orange Romania (C-61/19, EU:C:2020:901, t. 48.). Naglašavam da izuzeće od obveze informiranja koju ima voditelj obrade kad osobni podaci nisu prikupljeni od ispitanika, kao što se predviđa člankom 14. stavkom 5. točkom (b) GDPR-a u slučaju da se pružanje informacija pokaže nemogućim ili ako bi zahtijevalo nerazmjerne napore, nije primjenjivo na situacije uređene člankom 13. te uredbe.

28      Valja istaknuti da se među obradama koje su izuzete iz zahtjeva usklađenosti ne nalaze one koje se temelje na članku 6. stavku 1. točki (c) GDPR-a, koje se odnose na obrade nužne radi poštovanja pravne obveze voditelja obrade i, osobito, ona predviđena člankom 5. stavkom 1. točkom (f) te uredbe koja se odnosi na odgovarajuću sigurnost osobnih podataka.

29      Podsjećam na to da je na temelju članka 6. stavka 1. točke (a) GDPR-a obrada zakonita ako je i u mjeri u kojoj je ispitanik dao privolu za obradu svojih osobnih podataka „u jednu ili više posebnih svrha”.

30      Taj uvjet nije predmet rasprave u ovom slučaju.

31      Vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C-439/19, EU:C:2021:504, t. 98.).

32      Presuda od 6. listopada 2020., La Quadrature du Net i dr. (C-511/18, C-512/18 i C-520/18, EU:C:2020:791, t. 210.)

33      Vidjeti po analogiji presudu od 7. svibnja 2009., Rijkeboer (C-553/07, EU:C:2009:293, t. 35.).

34      S obzirom na uvjete u kojima je provedena sporna obrada, ta odredba nije primijenjena u ovom slučaju.

35      Presuda od 13. svibnja 2014., Google Spain i Google (C-131/12, EU:C:2014:317, t. 94.)

36      Podsjećam samo na to da utvrđenje u pogledu brisanja baze podataka za testiranje odmah nakon „etičkog” hakiranja koje je pretrpio Digi, neovisno o nastavku ugovornih odnosa s dotičnim pretplatnicima, potpuno proturječi tvrdnji o zadržavanju te baze koju opravdava izvršenje pretplatničkih ugovora.

37      Vidjeti osobito točku 22. Digijevih očitovanja.