Privremena verzija

MIŠLJENJE NEZAVISNOG ODVJETNIKA

PRIITA PIKAMÄEA

od 22. veljače 2024.(1)

Predmet C-693/22

I. sp. z o. o.

protiv

M. W.

(zahtjev za prethodnu odluku koji je uputio Sąd Rejonowy dla m.st. Warszawy w Warszawie (Općinski sud u Gradu Varšavi, Poljska))

„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Prodaja baze podataka koja sadržava osobne podatke u okviru ovršnog postupka – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Članak 5. stavak 1. točka (b) – Ograničavanje svrhe – Članak 6. stavci 1., 3. i 4. – Zakonitost obrade – Poštovanje pravne obveze koja se nalaže voditelju obrade – Izvršavanje zadaće od javnog interesa – Članak 23. stavak 1. točka (j) – Ostvarivanje potraživanja u građanskim sporovima – Nužna i razmjerna mjera”

1.        Može li prodaja baze podataka koja sadržava osobne podatke u okviru ovršnog postupka biti u skladu s odredbama Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (u daljnjem tekstu: OUZP)(2), ako ispitanici nisu dali svoju privolu za takvu prodaju?

2.        To je glavno pitanje koje Sudu u ovom prethodnom postupku upućuje Sąd Rejonowy dla m. st. Warszawy w Warszawie (Općinski sud u Gradu Varšavi, Poljska,).

3.        Od Suda će se tako tražiti da ispita poseban slučaj s obzirom na OUZP i da zauzme stajalište o određenim ključnim elementima te uredbe, kao što je pojam „voditelj obrade”, zakonitost obrade i doseg načela ograničavanja svrhe.

 Pravni okvir

 Pravo Unije

4.        Člankom 4. OUZP-a predviđa se:

„Za potrebe ove Uredbe:

1.      ‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); […]

2.      ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]

7.      ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;

[…]”

5.        Člankom 5. te uredbe, naslovljenim „Načela obrade osobnih podataka”, u stavcima 1. i 2. određuje se:

„1.      Osobni podaci moraju biti

(a)      zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);

(b)      prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; […]

(c)      primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);

[…]

2.      Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

6.        Članak 6. navedene uredbe, naslovljen „Zakonitost obrade”, glasi kako slijedi:

„1.      Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)      ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

[…]

(c)      obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

[…]

(e)      obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

[…]

3.      Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

(a)      pravu Unije; ili

(b)      pravu države članice kojem voditelj obrade podliježe.

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. […] Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.      Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

(a)      svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade;

(b)      kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade;

(c)      prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.;

(d)      moguće posljedice namjeravanog nastavka obrade za ispitanike;

(e)      postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.”

7.        Člankom 23. OUZP-a, naslovljenim „Ograničenja”, u stavku 1. predviđa se:

„1.      Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

(j)      ostvarivanja potraživanja u građanskim sporovima.”

 Poljsko pravo

8.        Članak 299. ustawe Kodeks spółek handlowych (Zakon o Zakoniku o trgovačkim društvima) od 15. rujna 2000. (Dz. U. iz 2022., poz. 1467., u daljnjem tekstu: Zakonik o trgovačkim društvima) glasi ovako:

„1.      Ako ovrha protiv društva nije uspješna, članovi uprave solidarno odgovaraju za njegove obveze.

2.      Član uprave može biti oslobođen od odgovornosti iz stavka 1. ako dokaže da je zahtjev za otvaranje stečaja podnesen na vrijeme ili da je u to vrijeme donesena odluka o pokretanju postupka restrukturiranja ili o potvrđivanju nagodbe u postupku za potvrđivanje nagodbe ili da do nepodnošenja zahtjeva za otvaranje stečaja nije došlo njegovom krivnjom, ili pak da unatoč tomu što nije podnesen zahtjev za otvaranje stečaja i što nije donesena odluka o pokretanju postupka restrukturiranja ili potvrđena nagodba u postupku za potvrđivanje nagodbe, vjerovnik nije pretrpio nikakvu štetu.”

9.        U skladu s člankom 796. stavkom 1. ustawe Kodeks postępowania cywilnego (Zakon o Zakoniku o građanskom postupku) od 17. studenoga 1964. (Dz. U. iz 2021., poz. 1805.), kako je izmijenjen (u daljnjem tekstu: Zakonik o građanskom postupku):

„Prijedlog za ovrhu podnosi se sudu ili sudskom ovršitelju, u skladu s nadležnošću. Zahtjev koji se podnosi sudskom ovršitelju može se podnijeti na službenom obrascu.”

10.      U članku 799. stavku 1. prvoj rečenici Zakonika o građanskom postupku određuje se:

11.      „Prijedlog za ovrhu ili prijedlog za određivanje ovrhe po službenoj dužnosti omogućuju provođenje ovrhe primjenom svih dopuštenih metoda, osim provođenja ovrhe na nekretninama. […]”

12.      Članak 824. stavak 1. točka 3. tog zakonika glasi kako slijedi:

„Potpuna ili djelomična obustava ovršnog postupka utvrđuje se po službenoj dužnosti:

[…]

3)      ako je jasno da se ovrhom neće ostvariti nikakav iznos veći od troškova provedbe ovrhe.”

13.      Člankom 831. navedenog zakonika predviđa se:

„1.      Ovrha se ne može provesti u odnosu na:

[…]

3)      neotuđiva prava, osim ako je njihovo otuđenje isključeno ugovorom, a predmet činidbe može se ovršiti ili se izvršenje prava može povjeriti nekoj drugoj osobi.”

14.      Ustawom o komornikach sądowych (Zakon o sudskim ovršiteljima) od 22. ožujka 2018. (Dz. U. iz 2022., poz. 1168.), kako je izmijenjena (u daljnjem tekstu: Zakon o sudskim ovršiteljima), uređuju se status i djelokrug sudskih ovršitelja. U skladu s člankom 3. stavcima 1. i 3.:

„Sudski ovršitelj tijelo je javne vlasti u području poduzimanja radnji u ovršnom postupku i postupku određivanja mjera osiguranja. Te radnje poduzima sudski ovršitelj, uzimajući u obzir zakonom predviđene iznimke.

[…]

Sudskom ovršitelju povjeravaju se sljedeće zadaće:

1)      izvršavanje sudskih odluka u predmetima koji uključuju novčane i nenovčane tražbine i polaganje osiguranja, uključujući europske naloge za blokadu bankovnih računa, uzimajući u obzir iznimke predviđene [Zakonom o građanskom postupku];

[…]”

15.      U članku 9. stavku 1. Zakona o sudskim ovršiteljima određuje se:

16.      „Sudski ovršitelj ne može odbiti prihvaćanje zahtjeva koji se odnosi na:

17.       provedbu ovrhe

18.      […]

19.      akata za koje je nadležan u skladu s odredbama [Zakonika o građanskom postupku].”

20.      Članak 31. stavak 1. prva rečenica navedenog zakona glasi kako slijedi:

21.      „Iznose zaplijenjene na bankovnom računu, računu koji vodi kreditno-zadružna štedionica ili računu koji vodi brokersko društvo, dobivene nakon što je dužnik zaplijenjene tražbine izvršio prvu uplatu, ovršitelj će uplatiti vjerovniku najranije sedmog dana, a najkasnije četrnaestog dana računajući od dana njihova primitka. […]”

22.      U članku 2. stavku 1. točki 1. ustawe o ochronie baz danych (Zakon o zaštiti baza podataka) od 27. srpnja 2001. (Dz. U. iz 2021., poz. 386.) (u daljnjem tekstu: Zakon o zaštiti baza podataka) predviđa se sljedeće:

„Za potrebe ovog zakona primjenjuju se sljedeće definicije:

1.      ‚baza podataka’ znači skup podataka ili bilo koje druge građe i elemenata uređenih po određenom sustavu ili određenoj metodi i pojedinačno dostupnih na bilo koji način, uključujući elektroničkim sredstvima, koja zahtijeva znatno ulaganje s kvalitativnog ili kvantitativnog gledišta u postizanje, verifikaciju ili predstavljanje njezina sadržaja.”

23.      Člankom 6. stavkom 1. Zakona o zaštiti baza podataka određuje se:

„Stvaratelj baze podataka ima isključivo i prenosivo pravo na izvlačenje podataka i ponovno korištenje cijelog ili znatnog dijela njezina sadržaja, u kvalitativnom ili kvantitativnom smislu.”

 Glavni postupak, prethodno pitanje i postupak pred Sudom

24.       Društvo I. (u daljnjem tekstu: tužitelj ili društvo vjerovnik), sa sjedištem u Poljskoj, u skladu s konačnom sudskom odlukom ima tražbinu prema društvu NMW, koje je specijalizirano za prodaju na internetu, čiji je član upravnog odbora M. W.

25.      Na zahtjev tužitelja pokrenut je ovršni postupak protiv društva NMW, u kojem se traži namirivanje te tražbine. Taj je postupak okončan odlukom sudskog ovršitelja kojom se obustavlja ta ovrha uz obrazloženje da društvo NMW nema imovinu koja se može ovršiti. U tim je okolnostima tužitelj podnio Sądu Rejonowyjem dla m. st. Warszawy w Warszawie (Općinski sud u Gradu Varšavi) tužbu protiv osobe M. W. na temelju članka 299. stavka 1. Zakonika o trgovačkim društvima, kojim se predviđa odgovornost za naknadu imovinske štete člana upravnog odbora društva dužnika u slučaju da tu tražbinu nije moguće namiriti iz imovine tog društva.

26.      M. W. je tražio da se ta tužba odbije jer društvo NMW posjeduje imovinu koja ima veću vrijednost od tužiteljeve tražbine, odnosno kod softvera za kupnju na internetu povezan s uslugom quasi cashback (u daljnjem tekstu: platforma M.) i dvije baze podataka korisnika te platforme.

27.      Sud koji je uputio zahtjev ipak navodi da prodaja same platforme M., bez tih baza podataka, nije tako privlačna na tržištu kao prodaja cijelog „paketa”.

28.      Stoga je, prema mišljenju tog suda, potrebno dobiti odgovor na pitanje mogu li se baze podataka koje je izradilo društvo NMW prenijeti u okviru ovršnog postupka. Naime, potvrdan bi odgovor doveo do odbijanja tužbe u glavnom postupku.

29.      U tom pogledu, sud koji je uputio zahtjev pojašnjava da je, iako nije obvezan procjenom vrijednosti imovine o kojoj je riječ, na koju se oslanja M. W., tim više jer tu procjenu nije proveo sudski vještak, odgovor na prethodno navedeno pitanje i dalje potreban radi rješenja spora u glavnom postupku s obzirom na to da se odredbama kojima se uređuje poljski građanski postupak ne omogućuje izvođenje takvog dokaza a da se prethodno ne utvrdi njegova relevantnost.

30.      Taj sud smatra da su baze podataka o kojima je riječ obuhvaćene pojmom „baza podataka” u smislu članka 1. Direktive 96/9 Europskog parlamenta i Vijeća od 11. ožujka 1996. o pravnoj zaštiti baza podataka(3), tako da njihov vlasnik, društvo NMW, ima imovinsko pravo prenijeti te baze podataka na temelju članka 7. te direktive. Naime, ovršni postupci mogu se provoditi u odnosu na bilo koje imovinsko pravo, osim ako se nekom odredbom izričito isključuje takva mogućnost. Međutim, poljski zakonodavac nije predvidio nijedno pravilo kojim se zabranjuje ovrha baze podataka kao što je ona o kojoj je riječ u glavnom postupku.

31.      Sud koji je uputio zahtjev iznosi dvojbe u pogledu činjenice da se takve baze podataka mogu ovršiti jer sadržavaju osobne podatke stotine tisuća korisnika platforme M. i jer ne postoji nijedan dokaz da su korisnici te platforme dali privolu na obradu svojih osobnih podataka u obliku stavljanja na raspolaganje tih podataka trećim stranama, izvan navedene platforme. U tom pogledu, pojašnjava da predmetni podaci nisu obuhvaćeni posebnim kategorijama osobnih podataka u smislu članka 9. OUZP-a.

32.      Taj sud želi saznati i kakav je odnos između ograničenja obrade osobnih podataka utvrđenih OUZP-om i prava na slobodno raspolaganje bazom podataka koje proizlazi iz Direktive 96/9 i nacionalnog prava, uključujući, prema njegovu mišljenju, pravo na prijenos baze podataka u okviru ovršnog postupka.

33.      U tim je okolnostima Sąd Rejonowy dla m.st. Warszawy w Warszawie (Općinski sud u Gradu Varšavi) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:

„Treba li odredbe članka 5. stavka 1. točke (a) u vezi s odredbama članka 6. stavka 1. točaka (a), (c) i (e) te članka 6. stavka 3. [OUZP-a] tumačiti na način da im se protivi nacionalni propis kojim se u okviru ovršnog postupka dopušta prodaja baze podataka u smislu članka 1. stavka 2. [Direktive 96/9] koja sadržava osobne podatke, ako ispitanici na koje se ti podaci odnose nisu dali svoju privolu za takvu prodaju?”

34.      Pisana očitovanja podnijele su poljska vlada i Europska komisija. Izlaganja tih zainteresiranih stranaka, kao i društva I., saslušana su na raspravi održanoj 16. studenoga 2023.

 Analiza

 Dopuštenost

35.      Najprije treba razmotriti dva pitanja koja se odnose na dopuštenost ovog prethodnog pitanja.

36.      Kao prvo, tužitelj iz glavnog postupka na raspravi je iznio dvojbe u pogledu relevantnosti tog pitanja. Prema mišljenju te stranke, društvo NMW već je prije nekoliko godina prekinulo svoju gospodarsku djelatnost. Konkretnije, to društvo više nema upravni ni izvršni odbor te korisnicima platforme M. ne pruža usluge od travnja 2019.(4). Prema tome, nužno je prekinulo bilo kakvu obradu osobnih podataka povezanu s obavljanjem svoje djelatnosti. U tim okolnostima, načela ograničavanja svrhe i ograničenja pohrane zahtijevaju brisanje podataka o kojima je riječ jer je inače nezakonito samo postojanje baza podataka o kojima je riječ u glavnom postupku. S obzirom na navedeno, pitanje suda koji je uputio zahtjev, povezano sa zakonitošću prodaje tih baza u okviru ovršnog postupka, nije relevantno za rješenje spora u glavnom postupku.

37.      Valja napomenuti da, u skladu s člankom 5. stavkom 1. točkom (e) OUZP-a, osobni podaci(5) moraju biti čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju. Iz toga proizlazi da čak i obrada podataka koja je u početku zakonita može s vremenom postati neusklađena s OUZP-om ako ti podaci više nisu nužni za ostvarenje tih svrha(6). U takvom slučaju podatke treba izbrisati(7). U ovom su slučaju podaci o kojima je riječ sigurno prikupljeni u svrhu djelatnosti prodaje na internetu koju je obavljalo društvo NMW. Budući da je ono prekinulo obavljati tu djelatnost u travnju 2019., nije uopće sporno da ti podaci više nisu potrebni za obavljanje te djelatnosti te ih je stoga trebalo izbrisati. Budući da se nije provelo takvo brisanje, postojanje baza podataka o kojima je riječ nije u skladu s OUZP-om te je očito da ovo prethodno pitanje nije relevantno za rješenje spora u glavnom postupku.

38.      S obzirom na navedeno, valja podsjetiti na to da je, prema ustaljenoj sudskoj praksi, Sud ovlašten samo odlučivati o tumačenju prava Unije s obzirom na činjenični i pravni okvir koji nacionalni sud utvrđuje pod vlastitom odgovornošću a da pritom ne može dovoditi u pitanje niti provjeriti njegovu točnost(8).

39.      Međutim, ni iz jednog dijela odluke kojom se upućuje zahtjev za prethodnu odluku ne proizlazi da je društvo NMW prekinulo obavljanje svoje djelatnosti u travnju 2019., kao što to tvrdi tužitelj.

40.      Kao drugo, sud koji je uputio zahtjev ima dvojbe u pogledu primjenjivosti OUZP-a s obzirom na odredbe Direktive 96/9.

41.      Uvodno valja podsjetiti na to da se Direktivom 96/9 približavanjem nacionalnih zakonodavstava nastoje ukloniti razlike koje su među njima postojale u pogledu pravne zaštite baza podataka i kojima se narušava funkcioniranje unutarnjeg tržišta, slobodno kretanje robe i usluga u Uniji te razvoj tržišta informacija u Uniji(9). U skladu s člankom 1. stavkom 1. te direktive, ona se odnosi na pravnu zaštitu baza podataka u bilo kojem obliku, uzimajući u obzir da se u stavku 2. tog članka navodi da „baza podataka” znači „zbirku samostalnih djela, podataka ili druge građe uređenih po određenom sustavu ili određenoj metodi i pojedinačno dostupnih elektroničkim ili drugim sredstvima”.

42.      Navedenom se direktivom od svih država članica zahtijeva da u svojem nacionalnom pravu predvide zaštitu baza podataka pravom sui generis. Konkretno, člankom 7. stavkom 1. Direktive 96/9 stvaratelju baze podataka za koju su bila potrebna znatna ulaganja s kvalitativnog i kvantitativnog gledišta dodjeljuje se pravo da spriječi izvlačenje i/ili ponovno korištenje cijelog ili znatnog dijela sadržaja te baze. To je pravo prenosivo na temelju članka 7. stavka 3. te direktive.

43.      Prema mišljenju suda koji je uputio zahtjev, baze podataka koje pripadaju društvu NMW ispunjavaju uvjete za primjenu zaštite koja se osigurava Zakonom o zaštiti baza podataka i Direktivom 96/9, koja se u poljski pravni poredak prenosi tim zakonom. Člankom 6. tog zakona predviđa se, među ostalim, da stvaratelj ima isključivo i prenosivo pravo na izvlačenje podataka i njihovo ponovno korištenje u cijelosti ili u znatnom dijelu. Stoga je, prema mišljenju suda koji je uputio zahtjev, riječ o imovinskom pravu koje je apsolutno i proizvodi učinke erga omnes. U skladu s poljskim pravom, ovršni se postupak može provesti u odnosu na bilo koje imovinsko pravo, osim ako zakonom nije izričito predviđeno drukčije. Međutim, poljski zakonodavac nije predvidio nijedno pravilo kojim se zabranjuje ovrha nad bazama podataka. Iz toga slijedi da je sudski ovršitelj u ovom slučaju nositelj prava na prijenos baza podataka za račun vjerovnika, koje proizlazi iz prava stvaratelja baze u odnosu na kojeg se provodi ovršni postupak da slobodno raspolaže tim bazama. Pozivanje na to pravo može biti prepreka primjeni pravila iz OUZP-a u slučaju kao što je ovaj te je zbog njega ovo pitanje nedopušteno.

44.      Najprije valja napomenuti da sud koji je uputio zahtjev nije točno utvrdio pravo sui generis, priznato člankom 7. te direktive. Zapravo je riječ o pravu na protivljenje radnjama koje, među ostalim, uključuju obnovu baze podataka ili njezina znatnog dijela uz samo dio troška koji je potreban za njihovo samostalno stvaranje(10), uzimajući u obzir da time zakonodavac Unije nastoji postići cilj da se osobi koja je poduzela inicijativu i rizik znatnog ulaganja u postizanje, verifikaciju ili predstavljanje sadržaja baze podataka zajamči naknada za njezino ulaganje, pri čemu je se štiti od neovlaštenog prisvajanja rezultata tog ulaganja(11).

45.      Usto i najprije, kad je riječ o odnosu između Direktive 96/9 i OUZP-a, iz članka 13. te direktive proizlazi da ona ne dovodi u pitanje odredbe koje se posebno odnose na zaštitu osobnih podataka i privatnosti, a iz njezine uvodne izjave 48. da odredbe te direktive ne utječu na primjenu pravila o zaštiti podataka predviđenih Direktivom 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka(12), koja je preteča OUZP-u(13).

46.      Stoga smatram da Sud treba odlučiti o meritumu ovog predmeta.

 Meritum

47.      Sud koji je uputio zahtjev svojim pitanjem u biti želi saznati treba li članak 5. stavak 1. točku (a) i članak 6. stavak 1. prvi podstavak točke (a), (c) i (e) te članak 6. stavak 3. OUZP-a tumačiti na način da im se protivi nacionalni propis kojim se sudskom ovršitelju dopušta da u okviru ovršnog postupka proda bazu podataka koja sadržava osobne podatke, ako ispitanici na koje se odnose ti podaci nisu dali svoju privolu za takvu prodaju.

48.      Moja pravna analiza slijedi u nastavku. Kad je riječ o OUZP-u, pitanje primjenjivosti te uredbe u ovom slučaju i pitanje koje se odnosi na utvrđivanje voditelja obrade o kojem je riječ razmotrit će se prije tumačenja pravila kojima se uređuje zakonitost takve obrade.

49.      Rasuđivanje izneseno u ovom mišljenju pokazat će da se odredbe prava Unije za koje se traži od Suda da ih uzme u obzir samo djelomično podudaraju s odredbama koje se navode u prethodnom pitanju. Predloženi odgovor stoga će se odnositi na te odredbe(14).

 Postojanje obrade i utvrđivanje voditelja obrade

50.      Kao što to proizlazi iz uvodne izjave 10. OUZP-a, cilj je te uredbe, među ostalim, osigurati visoku razinu zaštite pojedinaca u Uniji te u tu svrhu osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka u čitavoj Uniji(15).

51.      Na temelju članka 2. stavka 1. te uredbe, ona se primjenjuje na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu kad ti osobni podaci čine sustav pohrane ili im je namjena biti njegovim dijelom.

52.      Stavkom 2. tog članka predviđa se niz iznimki od područja primjene navedene uredbe, koje se temelje na vrsti aktivnosti u okviru koje se obavlja obrada. Iz sudske prakse Suda proizlazi da je, s obzirom na to da te iznimke treba tumačiti usko, potrebno da se ta aktivnost nalazi među onima koje su izričito spomenute u članku 2. stavku 2. OUZP-a ili se može razvrstati u istu kategoriju kao i one. Prema tome, utvrđivanje aktivnosti kao aktivnosti specifične za državu ili tijelo javne vlasti nije dovoljno kako bi se moglo smatrati da je obrada o kojoj je riječ obavljena tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije u smislu iznimke navedene u članku 2. stavku 2. točke (a) OUZP-a(16).

53.      Kad je riječ o onome što je relevantno u ovom slučaju, važno je napomenuti da obrada obavljena u okviru ostvarivanja potraživanja u građanskim sporovima nije obuhvaćena područjem primjene te uredbe.

54.      Okvir područja primjene OUZP-a utvrđen je pojmom „obrada”. Na temelju članka 4. točke 2. te uredbe, taj pojam uključuje svaki postupak koji se eventualno obavlja na osobnim podacima ili na skupovima osobnih podataka automatiziranim sredstvima, kao što su, među ostalim, „pronalaženje”, „obavljanje uvida”, „uporaba” i „ili stavljanj[e] na raspolaganje na drugi način” tih podataka. Tako je zakonodavac Unije navedenom pojmu namjeravao pridati širok opseg(17).

55.      Postoji li u ovom slučaju obrada osobnih podataka?

56.      Uvodno je potrebno iznijeti jednu napomenu. Postupci na osobnim podacima koje je društvo NMW provodilo u svrhu obavljanja svoje djelatnosti prodaje na internetu preko platforme M. nisu obuhvaćeni opsegom pitanja suda koji je uputio zahtjev. To se pitanje isključivo odnosi na ovršni postupak pokrenut radi prisilne prodaje predmetnih baza podataka. Prema mišljenju suda koji je uputio zahtjev, takav postupak podrazumijeva obradu u smislu OUZP-a, za koju je odgovoran sudski ovršitelj.

57.      Pojašnjenja koja je na raspravi iznijela poljska vlada u pogledu zadaće povjerene sudskom ovršitelju u okviru takvog ovršnog postupka, prema mojem mišljenju, ne ostavljaju mjesta dvojbi u pogledu točnosti tog tumačenja.

58.      Ta je vlada objasnila da postupak o kojem je riječ počinje zapljenom baze podataka kojom sudski ovršitelj dobiva pristup osobnim podacima koji se u njoj nalaze kako bi proveo procjenu njezine vrijednosti te je naveo u zapisniku o zapljeni. U svrhu takve procjene, sudski ovršitelj provodi niz postupaka, koji uključuju pronalaženje, obavljanje uvida i upotrebu tih podataka(18). Ovršni postupak okončava se otuđenjem baze podataka na javnoj dražbi. Jednom kad dosuda postane konačna i plati se cijela cijena, sudski ovršitelj stavit će navedenu bazu podataka na raspolaganje kupcu.

59.      Iz toga proizlazi da su osobni podaci koji su sadržani u bazama podataka, poput onih o kojima je konkretno riječ, u najmanju ruku bili izvadci koje je sudski ovršitelj pregledao i upotrijebio u okviru procjene vrijednosti tih baza koje je zatim stavio na raspolaganje kupcu. U tom pogledu, valja napomenuti da obradu osobnih podataka može činiti više postupaka, pri čemu se svaki od njih odnosi na jednu od različitih faza od kojih se obrada osobnih podataka može sastojati(19). U ovom slučaju treba smatrati da ti postupci predstavljaju „obradu” u smislu OUZP-a.

60.      Nadalje, valja utvrditi voditelja te obrade.

61.      Podsjećam na to da na temelju članka 4. točke 7. OUZP-a pojam „voditelj obrade” obuhvaća fizičke ili pravne osobe, tijela javne vlasti, agencije ili druga tijela koja sama ili zajedno s drugima određuju svrhe i sredstva obrade(20). U toj se odredbi navodi i da se, kada su svrhe i sredstva obrade utvrđeni osobito pravom države članice, voditelj obrade ili posebni kriteriji za to imenovanje mogu se predvidjeti tim pravom. Takvom se širokom definicijom pojma „voditelj obrade”, prema ustaljenoj sudskoj praksi, nastoji osigurati učinkovita i potpuna zaštita ispitanika(21).

62.      Ako se određivanje svrha i sredstava obrade provodi u skladu s nacionalnim pravom, prema najnovijoj sudskoj praksi, valja provjeriti je li tim pravom imenovan voditelj obrade ili se njime predviđaju posebni kriteriji za njegovo imenovanje. Imenovanje voditelja obrade u nacionalnom pravu može biti ne samo izričito nego i prešutno. U potonjem slučaju ipak se zahtijeva da to određivanje s dovoljnom sigurnošću proizlazi iz uloge, zadaće ili ovlasti koje su dodijeljene dotičnoj osobi ili subjektu(22).

63.      U ovom slučaju, iz članka 3. stavka 1. Zakona o sudskim ovršiteljima proizlazi da je sudski ovršitelj tijelo javne vlasti koje, uzimajući u obzir zakonom predviđene iznimke, među ostalim, poduzima radnje u ovršnom postupku. Nadalje, kao što je već navedeno u ovom mišljenju, iz elemenata iz spisa proizlazi da, kad se ovrha odnosi na baze podataka, te radnje uključuju, među ostalim, pronalaženje, obavljanje uvida, uporabu osobnih podataka koje sadržavaju u okviru procjene vrijednosti tih baza podataka u svrhu otuđenja na javnoj dražbi, kao i stavljanje kupcu na raspolaganje te baze jednom kad dosuda postane konačna. Čini mi se da su se poljskim pravom tako barem implicitno utvrdili svrhe i sredstva obrade osobnih podataka koju je obavio sudski ovršitelj.

64.      Iz toga slijedi da se može smatrati da je u ovom slučaju sudski ovršitelj, kao tijelo javne vlasti koje je zaduženo za provođenje svakog ovršnog postupka, uključujući onog koji se odnosi na bazu podataka, voditelj obrade osobnih podataka sadržanih u njoj u smislu članka 4. točke 7. OUZP-a.

65.      Sud koji je uputio zahtjev ne navodi nijednu odredbu poljskog prava kojom se društvu dužniku NMW nalažu obveze suradnje sa sudskim ovršiteljem kako bi mu se omogućilo da procijeni vrijednost predmetnih baza podataka u svrhu njihove prisilne prodaje.

66.      Ne može se isključiti da takve obveze podrazumijevaju obavljanje druge obrade u smislu OUZP-a, za koju je odgovorno to društvo. U tom je pogledu važno napomenuti da je Sud u presudi Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe) smatrao da otkrivanje i stavljanje na raspolaganje osobnih podataka poreznoj upravi države članice koje provodi gospodarski subjekt koji ih je zakonski dužan otkriti podrazumijeva takvu obradu, koja se dodaje obradi koju je obavila ta uprava na temelju zahtjeva kojim je tražila otkrivanje i stavljanje na raspolaganje tih podataka(23).

67.      Manje je vjerojatno, ali apstraktno moguće zamisliti, da sudski ovršitelj i društvo dužnik NMW mogu biti zajedno odgovorni za obrade predmetnih osobnih podataka koje su obavljane u svrhu prisilne prodaje. Prema presudi État belge (Obrada podataka u službenom listu), do tog se zaključka može doći ako su različiti postupci obrade ujedinjeni svrhama i sredstvima utvrđenima nacionalnim pravom i ako se njime utvrđuju obveze svakog od zajedničkih voditelja obrade(24).

68.      S obzirom na navedeno, analiza koja slijedi temelji se na pretpostavki koja se odnosi na elemente ovog slučaja, prema kojoj je sudski ovršitelj jedini odgovoran za obradu u kojoj je riječ u glavnom postupku.

69.      Kao voditelj obrade, sudski ovršitelj nije samo odgovoran za poštovanje načela kojima se uređuje obrada osobnih podataka(25), nego ima i znatan broj obveza kojima odgovaraju prava ispitanika(26). Te obveze može ograničiti isključivo nacionalni zakonodavac u uvjetima predviđenima člankom 23. OUZP-a. Kad se na raspravi poljsku vladu pitalo postoje li takve odredbe zakona u nacionalnom pravu, ona je navela samo članak 4. Zakona o zaštiti podataka. Međutim, tim se člankom samo ograničava opseg obveza voditelja obrade koji izvršava javnu dužnost koje proizlaze iz članka 14. stavaka 1., 2. i 4. OUZP-a („Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika”).

 Zakonitost obrade osobnih podataka o kojoj je riječ

70.      Kao što je to Sud u više navrata odlučio, svaka obrada osobnih podataka mora osobito biti u skladu s načelima koja se odnose na obradu podataka iz članka 5. stavka 1. OUZP-a i, s obzirom na načelo zakonitosti obrade, ispunjavati uvjete zakonitosti obrade navedene u članku 6. te uredbe(27).

71.      Člankom 6. stavkom 1. prvim podstavkom navedene uredbe predviđa se iscrpan i taksativan popis pretpostavki u kojima se obrada osobnih podataka može kvalificirati kao zakonita. Takva kvalifikacija podrazumijeva da je obrada obuhvaćena jednom od tih pretpostavki. Međutim, valja podsjetiti na to da obrada o kojoj je riječ nije obuhvaćena glavnom pretpostavkom koja se predviđa tom odredbom, odnosno pretpostavkom prema kojoj je ispitanik dao privolu za obradu u jednu ili više posebnih svrha(28). Kao što to proizlazi iz odluke kojom se upućuje zahtjev za prethodnu odluku, u glavnom postupku nije podnesen nijedan dokaz na temelju kojeg se može utvrditi da su ispitanici na koje se odnose osobni podaci prikupljeni u bazama podataka o kojima je riječ dali privolu na to da se njihovi podaci prenesu trećim osobama izvan djelatnosti povezane s platformom M., osobito da ih se proda u ovršnom postupku.

72.      Prema tvrdnjama suda koji je uputio zahtjev, obrada koju obavlja sudski ovršitelj može biti obuhvaćena člankom 6. stavkom 1. prvim podstavkom točkom (c) OUZP-a (nužna obrada radi poštovanja pravnih obveza voditelja obrade) ili člankom 6. stavkom 1. prvim podstavkom točkom (e) te uredbe (nužna obrada za izvršavanje zadaće od javnog interesa ili pri izvršavanju zadaće povezane sa službenom ovlasti voditelja obrade)(29).

73.      Kao što to napominje sud koji je uputio zahtjev, člankom 3. Zakona o sudskim ovršiteljima sudskom se ovršitelju dodjeljuje status tijela javne vlasti. Prema mojem mišljenju, teško se može tvrditi da postupci koji su mu povjereni u okviru provođenja ovrhe i koji se odnose na namirivanje tražbina vjerovnika ne predstavljaju izvršavanje zadaće povezane sa službenom ovlasti koju ima taj ovršitelj.

74.      Nadalje, teško bi bilo smatrati da se u ovoj situaciji primjenjuje pretpostavka iz članka 6. stavka 1. prvog podstavka točke (c) OUZP-a. U tom je pogledu važno napomenuti da je područje primjene te odredbe strogo utvrđeno. Naime, kao što to proizlazi iz mišljenja 6/2014 radne skupine iz članka 29.(30), pravna obveza koju ima voditelj obrade mora biti dovoljno jasna u odnosu na potrebnu obradu osobnih podataka. To konkretno podrazumijeva postojanje pravnih odredbi u kojima se izričito navodi priroda i predmet obrade(31).

75.      U ovom slučaju ne smatram da se kao takve mogu kvalificirati odredbe koje navodi sud koji je uputio zahtjev, odnosno članak 3. stavak 1., članak 9. stavak 1. točka 1. i članak 31. stavak 1. prva rečenica Zakona o sudskim ovršiteljima, te članak 796. stavak 1. i članak 799. stavak 1. prva rečenica Zakonika o građanskom postupku, jer samo iz tih odredbi proizlazi da je sudski ovršitelj u svojem svojstvu tijela javne vlasti dužan postupiti u pogledu svakog zahtjeva kojim se traži provedba ovrhe u skladu sa svim odobrenim metodama. Konkretno, ne čini se da se u poljskom pravu sudskom ovršitelju nalaže pravna obveza prisilne prodaje baze podataka koja sadržava osobne podatke. U tom pogledu, valja istaknuti da se člankom 831. stavkom 1. točkom 3. Zakonika o građanskom postupku isključuje ovrha „neotuđivih prava”, što se može shvatiti kao zabrana prijenosa baze podataka u slučaju kad prijenos nije u skladu s OUZP-om.

76.      U svakom slučaju, nije potrebno isključiti da je potonja pretpostavka relevantna u ovom predmetu. Naime, iako je dovoljno da se može primijeniti jedna pretpostavka zakonitosti, kao što se to potvrđuje tekstom članka 6. stavka 1. prvog podstavka OUZP-a, Sud je priznao da jedna te ista obrada može biti u skladu s više tih pretpostavki(32).

77.      Obrada o kojoj je riječ stoga je, prema mojem mišljenju, obuhvaćena pretpostavkom zakonitosti iz članka 6. stavka 1. prvog podstavka točke (e) OUZP-a.

78.      Valja napomenuti da ta pretpostavka podrazumijeva da se uzme u obzir drugi uvjet zakonitosti obrade. Naime, člankom 6. stavkom 3. OUZP-a pojašnjava se da osnovu obrade koja se navodi, među ostalim, u članku 6. stavku 1. prvom podstavku točki (e) te uredbe treba definirati u pravu Unije ili pravu države članice koje se primjenjuje na voditelja obrade i njome se treba nastojati ostvariti cilj od javnog interesa te ona mora biti razmjerna zakonitom cilju koji se želi postići(33).

79.      Odredbe članka 6. stavka 1. prvog podstavka točke (e) u vezi s člankom 6. stavkom 3. OUZP-a stoga zahtijevaju postojanje pravne osnove, osobito nacionalne, koja služi kao osnova za obradu osobnih podataka od strane voditeljâ te obrade koji djeluju osobito u okviru zadaće povezane s izvršavanjem službene ovlasti, kao što su one koje sudski ovršitelj osigurava u okviru ovrhe koja se provodi na imovini nekog društva(34).

80.      Prema mojem mišljenju, ta pravna osnova uključuje niz odredbi poljskog prava koje se navode u prvoj rečenici točke 69. ovog mišljenja, iz koje proizlazi da je sudski ovršitelj u svojem svojstvu tijela javne vlasti dužan postupati u pogledu svakog zahtjeva kojim se traži provedba ovrhe u skladu sa svim odobrenim metodama.

81.      Naposljetku, pitanje je li obrada o kojoj je riječ u skladu s OUZP-om zahtijeva da se razmotri dodatna pravna problematika koja je okosnica ovog predmeta.

82.      Naime, napominjem da se svrha obrade osobnih podataka koju obavlja sudski ovršitelj, odnosno prisilna prodaja baze podataka korisnika platforme M. kako bi se namirile tražbine vjerovnikâ društva NMW, razlikuje od prvotne svrhe obrade osobnih podataka koju je obavilo to društvo, odnosno od omogućivanja upotrebe platforme M. za potrebe djelatnosti prodaje na internetu koju je obavljalo navedeno društvo.

83.      U tom pogledu valja podsjetiti na to da, u skladu s člankom 5. stavkom 1. točkom (b) OUZP-a, u kojem se navodi načelo „ograničavanje svrhe”, osobni podaci moraju biti, s jedne strane, prikupljeni u posebne, izričite i zakonite svrhe te se, s druge strane, dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama. Ta odredba ipak ne sadržava podatke o uvjetima u kojima se može smatrati da je daljnja obrada osobnih podataka u skladu sa svrhama prvotnog prikupljanja tih podataka(35).

84.      Iz članka 6. stavka 4. OUZP-a, u vezi s uvodnom izjavom 50. te uredbe(36), proizlazi da ispitivanje takve usklađenosti podrazumijeva da se uzme u obzir niz netaksativnih kriterija koji se u njemu navode.

85.      Očito je da uzimanje u obzir tih kriterija u ovom slučaju ne može dovesti do potvrdnog odgovora kad je riječ o usklađenosti svrha o kojima je riječ. Kao što je to Sud nedavno pojasnio, navedeni kriteriji odražavaju nužnost konkretne, logične i dovoljno bliske veze između svrha prvotnog prikupljanja osobnih podataka i daljnje obrade tih podataka te omogućuju da se osigura da daljnja obrada ne odstupa od legitimnih očekivanja ispitanika u pogledu daljnje uporabe njihovih podataka(37). Međutim, u ovom se predmetu ne može utvrditi takva veza.

86.      U svakom slučaju, iz prve rečenice članka 6. stavka 4. OUZP-a proizlazi da je ocjena usklađenosti svrha nužna samo „ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1. [OUZP-a]”.

87.      U ovom je slučaju utvrđeno da korisnici platforme M. nisu dali privolu za obradu u svrhu koja je različita od svrhe u koju su prikupljeni njihovi osobni podaci. Stoga valja pitati temelji li se takva obrada na nacionalnom pravu ili pravu Unije i može li se smatrati da predstavlja nužnu i razmjernu mjeru u demokratskom društvu za postizanje jednog od ciljeva navedenih u članku 23. stavku 1. OUZP-a.

88.      U tom pogledu, čini mi se da je potrebno pojasniti da je Sud tumačio tu pretpostavku na način da predstavlja stvarno odstupanje od načela ograničavanja svrhe. Sud se oslonio na uvodnu izjavu 50. OUZP-a te je pritom naveo da je voditelju obrade tako dopušteno izvršiti daljnju obradu podataka o kojima je riječ neovisno o usklađenosti te obrade sa svrhama u koje su ti podaci prvotno prikupljeni, kako bi se zaštitili važni ciljevi od općeg javnog interesa navedeni u članku 23. stavku 1. OUZP-a. Tako je zaključio da se članak 6. stavak 4. prva rečenica te uredbe primjenjuje na podnošenje, koje je sud naložio u okviru građanskog sudskog postupka, kao dokaza dokumenta koji sadržava osobne podatke trećih osoba koji su prikupljeni prvenstveno u svrhu poreznog nadzora(38).

89.      Iako s takvim tumačenjem možda neće biti zadovoljni oni koji smatraju da bi pravo na zaštitu osobnih podataka trebalo moći ograničiti samo nacionalnim zakonskim mjerama, prema mojem mišljenju ono je u potpunosti u skladu s namjerama zakonodavca Unije. Naime, važno je podsjetiti na to da se u Obrazloženju stajališta Vijeća u pripremnim aktima OUZP-a ističe, možda čak i jasnije nego u uvodnoj izjavi 50. te uredbe, odabir da se voditelju obrade omogući pažljivo utvrđen manevarski prostor u okviru kojeg može obaviti obradu koja nije u skladu sa svrhom koja je navedena u trenutku prikupljanja osobnih podataka na koje se ona odnosi(39).

90.      Budući da je u ovom slučaju već utvrđeno postojanje pravne osnove za obradu o kojoj je riječ, valja zatim utvrditi nastoje li se tom obradom zajamčiti ciljevi navedeni u članku 23. OUZP-a.

91.      Napominjem da je među tim ciljevima, u skladu sa stavkom 1. točkom (j) te odredbe, „ostvarivanj[e] potraživanja u građanskim sporovima”. Čini mi se da se obradom osobnih podataka o kojoj je riječ može zajamčiti ostvarivanje tog cilja. U tom je pogledu važno napomenuti da, prema mišljenju suda koji je uputio zahtjev, svrha te obrade proizlazi iz teksta članka 911. Zakonika o građanskom postupku u vezi s člankom 31. stavkom 1. prvom rečenicom Zakona o sudskim ovršiteljima, kojim se sudske ovršitelje ovlašćuje da prodaju bazu podataka i da zatim vjerovniku prenesu iznos dobiven za tu prisilnu prodaju.

92.      Za odgovor na pitanje predstavlja li obrada koju je obavio sudski ovršitelj u okviru ovršnog postupka nužnu i razmjernu mjeru u demokratskom društvu za postizanje cilja da se osigura ostvarivanje potraživanja u građanskim sporovima, nadležan je sud koji je uputio zahtjev. Međutim, zadaća je Suda da na temelju raspoloživih informacija pruži tom sudu sve za to potrebne upute s obzirom na pravo Unije(40).

93.      Kad je riječ o nužnosti, nije sporno da je mjera nužna ako se željeni legitimni cilj ne može postići manje ograničavajućom, ali jednako prikladnom mjerom. Drugim riječima, je li moguće osigurati ostvarivanje potraživanja društva vjerovnika drugim sredstvima koja su jednako učinkovita, ali kojima se manje zadire u pravo korisnikâ platforme M. na poštovanje privatnog života i zaštitu osobnih podataka? U tom pogledu samo napominjem da, prema mišljenju suda koji je uputio zahtjev, nije moguće namiriti tražbinu društva vjerovnika iz imovine društva dužnika a da se pritom ne provede prisilna prodaja baza podataka o kojima je riječ.

94.      Kad je riječ o razmjernosti, ocjena tog uvjeta zahtijeva da se odvagnu suprotstavljeni postojeći interesi ovisno o konkretnim okolnostima određenog slučaja koji se ispituje.

95.      U ovom slučaju, prvi od tih interesa, odnosno temeljno pravo propisano člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) i člankom 16. UFEU-a, odnosi se na zaštitu korisnika platforme M. s obzirom na obradu osobnih podataka. S njim je usko povezano pravo na poštovanje privatnog života, propisano člankom 7. Povelje. Kao što se to navodi u uvodnoj izjavi 4. OUZP-a, pravo na zaštitu osobnih podataka nije apsolutno pravo, nego ga treba razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Jedno od tih prava je pravo na vlasništvo koje se navodi u članku 17. Povelje. Međutim, prodaja baze podataka koja pripada dužniku u okviru ovršnog postupka, prema mojem mišljenju, pridonosi poštovanju prava na vlasništvo imatelja tražbine koja je sudski utvrđena.

96.      U tom pogledu, valja podsjetiti na to da članak 17. Povelje odgovara članku 1. Dodatnog protokola uz Europsku Konvenciju za zaštitu ljudskih prava i temeljnih sloboda, potpisanu u Rimu 4. studenoga 1950. (u daljnjem tekstu: EKLJP), tako da su njegov smisao i opseg, na temelju članka 52. stavka 3. Povelje, jednaki onima iz navedenog članka 1. EKLJP-a.

97.      Prema sudskoj praksi Europskog suda za ljudska prava, pravo na vlasništvo podrazumijeva da države imaju pozitivnu obvezu da uspostave sustav izvršenja sudskih odluka koji je djelotvoran u praksi i s pravnog aspekta te kojim se omogućuje da se osigura da se postupci koji su zakonodavstvom uvedeni za izvršenje konačnih sudskih odluka provode bez nepotrebnog odgađanja(41). Ako je vjerovnik privatni subjekt, država je obvezna pružiti potrebnu pomoć vjerovnicima u izvršenju sudskih odluka o kojima je riječ, primjerice posredstvom službe sudskih ovršitelja(42). U tom kontekstu, ako su tijela dužna djelovati da se izvrši presuda, a ona se suzdrže od djelovanja, zbog njihova se nedjelovanja može utvrditi odgovornost države, među ostalim, na temelju članka 1. Dodatnog protokola br. 1 uz EKLJP(43).

98.      U okviru ocjene tog odvagivanja između prava na vlasništvo, s jedne strane, i pravâ na zaštitu osobnih podataka i poštovanje privatnosti, s druge strane, prema mojem mišljenju, može se uzeti u obzir poseban element koji proizlazi iz spisa.

99.      Prema odluci kojom se upućuje zahtjev, nijednom se odredbom poljskog prava ne uvode ograničenja sa subjektivnog gledišta u pogledu kupca baze podataka jer je jedini uvjet posjedovanje pravne sposobnosti, a ta praznina podrazumijeva da treći kupac može biti i subjekt sa sjedištem izvan Europske unije, koji kao takav nije obvezan poštovati pravila u području obrade osobnih podataka koja se predviđaju OUZP-om.

100. U takvoj situaciji, čini mi se da obrada o kojoj je riječ uključuje prekomjerno zadiranje u pravo na zaštitu osobnih podataka te se stoga ne može smatrati da predstavlja razmjernu mjeru. Takav bi se rezultat mogao izbjeći primjerice nacionalnim pravnim pravilom kojim se sudskom ovršitelju nalaže da u specifikacije sastavljene u svrhu prodaje na dražbi uključi klauzulu kojom se trećem kupcu nalaže da poštuje pravila iz OUZP-a.

 Zaključak

101. S obzirom na prethodno navedena razmatranja, predlažem Sudu da na prethodno pitanje koje je uputio Sąd Rejonowy dla m. st. Warszawy w Warszawie (Općinski sud u Gradu Varšavi, Poljska) odgovori na sljedeći način:

Članak 6. stavak 1. prvi podstavak točku (e) te članak 6. stavak 3. i članak 6. stavak 4. prvu rečenicu Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da im se:

ne protivi nacionalni propis kojim se sudskom ovršitelju omogućuje da u okviru ovršnog postupka proda bazu podataka koja sadržava osobne podatke, ako ispitanici na koje se odnose ti podaci nisu dali privolu za takvu prodaju, pod uvjetom da obrada koju obavlja taj sudski ovršitelj u odnosu na navedene podatke predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ostvarivanja potraživanja u građanskim sporovima.

1      Izvorni jezik: francuski

2      SL 2016., L 679, str. 2. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.

3      SL 1996., L 77, str. 20. (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 24., str. 36.)

4      Korisnici platforme M. primili su 30. travnja 2019. poruku elektroničke pošte u kojoj ih se obavijestilo da je društvo NMW prekinulo svoje djelatnosti povezane s takvom platformom.

5      Nije iznesena nikakva dvojba u pogledu činjenice da podatke iz baza podataka o kojima je riječ u glavnom postupku treba kvalificirati kao „osobne podatke” u smislu članka 4. točke 1. OUZP-a.

6      Presuda od 20. listopada 2022., Digi (C-77/21, EU:C:2022:805, t. 54.)

7      Presuda od 7. svibnja 2009., Rijkeboer (C-553/07, EU:C:2009:293, t. 33.)

8      Vidjeti presudu od 3. lipnja 2021., Ministero dell’Istruzione, dell’Universitàe della Ricerca – MIUR i dr. (Sveučilišni istraživači) (C-326/19, EU:C:2021:438, t. 36. i navedena sudska praksa).

9      Vidjeti presudu od 18. listopada 2012., Football Dataco i dr. (C-173/11, EU:C:2012:642, t. 25. i navedena sudska praksa).

10      Vidjeti uvodnu izjavu 7. Direktive 96/9.

11      Vidjeti uvodne izjave 39. i 40. Direktive 96/9. Vidjeti i presudu od 19. prosinca 2013., Innoweb (C-202/12, EU:C:2013:850, t. 36.).

12      SL 1995., L 281, str. 31. (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)

13      Suprotno onomu što smatra Komisija u svojim pisanim očitovanjima, člankom 7. stavkom 4. Direktive 96/9 („Zaštita baza podataka pravom predviđenim stavkom 1. ne dovodi u pitanje prava koja postoje na njihovim sadržajima”) ne uređuje se odnos te direktive i OUZP-a. Vidjeti u tom pogledu uvodnu izjavu 18. navedene direktive.

14      Prema ustaljenoj sudskoj praksi, kako bi se nacionalnom sudu dao koristan odgovor koji će mu omogućiti da riješi spor koji se vodi pred njim, Sud može uzeti u obzir pravila prava Unije na koja se nacionalni sud nije pozvao u svojem pitanju. Vidjeti presudu od 21. prosinca 2023., Infraestruturas de Portugal i Futrifer Indústrias Ferroviárias (C-66/22, EU:C:2023:1016, t. 41. i navedena sudska praksa).

15      Presuda od 20. listopada 2022., Digi (C-77/21, EU:C:2022:805, t. 48.)

16      Vidjeti presudu od 9. srpnja 2020., Land Hessen (C-272/19, EU:C:2020:535, t. 70.), u kojoj se od Suda tražilo da odluči o kvalifikaciji Odbora za predstavke Parlamenta te savezne zemlje kao „voditelja obrade”. Vidjeti i presude od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C-439/19, EU:C:2021:504, t. 66.) i od 20. listopada 2022., Koalicia „Demokratična Bulgaria – Obedinenie” (C-306/21, EU:C:2022:813, t. 39.).

17      Prema mišljenju Suda, to tumačenje proizlazi iz teksta te odredbe, osobito izraza „svaki postupak” i netaksativne prirode postupaka koji se u njoj navode, koja se odražava u izrazu „kao što su”. Vidjeti presudu od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe) (C-175/20, EU:C:2022:124, t. 35.).

18      Moguće je imenovati vještaka ako sudski ovršitelj smatra da procjena vrijednosti te baze podataka zahtijeva specijalizirano znanje zbog njezinih posebnih obilježja. U tom slučaju, sudski ovršitelj stavlja bazu podataka na raspolaganje vještaku.

19      Presuda od 29. srpnja 2019., Fashion ID (C-40/17, EU:C:2019:629, t. 72.). Radi sveobuhvatnosti, naglašavam da se navedena presuda odnosi na tumačenje pojma „obrada” koji je definiran u članku 2. točki (b) Direktive 95/46. Iako ta direktiva više nije na snazi i iako ju je zamijenio OUZP, tumačenje koje je utvrdio Sud i dalje je relevantno u okviru primjene OUZP-a, uzimajući u obzir da je definicija tog pojma ista u obama instrumentima, izuzevši manje formalne izmjene. Stoga ću bez razlike upućivati na presude koje se odnose na jedan ili drugi instrument.

20      Naime, kao što je to Sud odlučio, cilj je članka 4. točke 7. OUZP-a širokom definicijom pojma „voditelj obrade” osigurati učinkovitu i potpunu zaštitu ispitanikâ. Vidjeti presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949, t. 29. i navedena sudska praksa).

21      Presuda od 8. prosinca 2022., Google (Uklanjanje poveznica koje vode do navodno netočnog sadržaja) (C-460/20, EU:C:2022:962, t. 51. i navedena sudska praksa)

22      Presuda od 11. siječnja 2024., État belge (Obrada podataka u službenom listu) (C-231/22, EU:C:2024:7, t. 29. i 30.). Vidjeti i Smjernice 07/2020 o pojmovima voditelja i izvršitelja obrade u Općoj uredbi o zaštiti podataka, donesene 7. srpnja 2021., dostupne na sljedećoj internetskoj stranici: https://edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_hr.pdf, t. 24., u kojima se navodi da je „češći slučaj da će umjesto izravnog imenovanja voditelja obrade ili utvrđivanja kriterija za njegovo imenovanje zakonom nekome biti određen zadatak ili propisana dužnost da prikuplja i obrađuje određene podatke. U tim je slučajevima svrha obrade često određena zakonom. Voditelj obrade obično će biti onaj koji je zakonom predviđen za ostvarenje te svrhe, odnosno tog javnog zadatka. Primjerice, to bi bio slučaj kada neki subjekt kojem su povjerene određene javne dužnosti”).

23      Presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe) (C-175/20, EU:C:2022:124, osobito t. 37., 38. i 60.)

24      Presuda od 11. siječnja 2024. (C-231/22, EU:C:2024:7, t. 49.). Navodim da, prema sudskoj praksi, postojanje zajedničke odgovornosti ne znači nužno jednaku odgovornost različitih subjekata uključenih u istu obradu osobnih podataka. Naprotiv, ti subjekti mogu biti uključeni u tu obradu u različitim fazama i stupnjevima, tako da razinu odgovornosti svakog od njih valja procjenjivati vodeći računa o svim relevantnim okolnostima predmetnog slučaja. Vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949, t. 42. i navedena sudska praksa).

25      Vidjeti poglavlje II. OUZP-a. U skladu s člankom 5. stavkom 2. OUZP-a, „[v]oditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’)”.

26      Vidjeti poglavlje III. OUZP-a.

27      Presuda od 6. listopada 2020., La Quadrature du Net i dr. (C-511/18, C-512/18 i C-520/18, EU:C:2020:791, t. 208. i navedena sudska praksa)

28      Vidjeti članak 6. stavak 1. prvi podstavak točku (a) i uvodnu izjavu 40. OUZP-a, kojim se odražava latinska izreka „volenti non fit iniuria” (onomu koji pristaje ne čini se šteta).

29      Ta dvojba nije iznenađujuća s obzirom na to da postoji očito preklapanje područja primjene tih dviju pretpostavki jer se zadaća od javnog interesa ili zadaća povezana sa službenom ovlasti obično temelje na zakonskoj odredbi.

30      Riječ je o neovisnom savjetodavnom tijelu osnovanom na temelju članka 29. Direktive 95/46 i zamijenjenom nakon donošenja OUZP-a Europskim odborom za zaštitu podataka.

31      Primjerice, navodi se obveza lokalnog tijela da prikuplja osobne podatke u svrhu obrade novčanih kazni za nepropisno parkiranje.

32      Presuda od 9. ožujka 2017., Manni (C-398/15, EU:C:2017:197, t. 42.)

33      Vidjeti i uvodnu izjavu 45. OUZP-a.

34      Vidjeti presudu od 2. ožujka 2023., Norra Stockholm Bygg (C-268/21, EU:C:2023:145, t. 32.).

35      Vidjeti presudu od 20. listopada 2022., Digi (C-77/21, EU:C:2022:805, t. 32.).

36      U skladu s tom uvodnom izjavom „[…] [a]ko je ispitanik dao privolu ili se obrada temelji na pravu Unije ili pravu države članice koje čini potrebnu i razmjernu mjeru u demokratskom društvu posebno za zaštitu važnih ciljeva od općeg javnog interesa, voditelju obrade trebalo bi dopustiti daljnju obradu osobnih podataka neovisno o usklađenosti svrha.”

37      Presuda od 20. listopada 2022., Digi (C-77/21, EU:C:2022:805, t. 36.)

38      Presuda od 2. ožujka 2023., Norra Stockholm Bygg (C-268/21, EU:C:2023:145, t. 33. do 41.)

39      Obrazloženje Vijeća: Stajalište Vijeća (EU) br. 6/2016 u prvom čitanju s ciljem donošenja Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka), koje je doneseno 8. travnja 2016. (t. 3.3.)

40      Presuda od 7. rujna 2016., ANODE (C-121/15, EU:C:2016:637, t. 54. i navedena sudska praksa)

41      Presuda ESLJP-a od 7. lipnja 2005., Fuklev protiv Ukrajine (CE:ECHR:2005:0607JUD007118601, t. 91.)

42      Vidjeti osobito presudu ESLJP-a od 19. listopada 2006., Kesyan protiv Rusije (CE:ECHR:2006:1019JUD003649602, t. 80.).

43      Vidjeti osobito presudu ESLJP-a od 28. rujna 1995., Scollo protiv Italije (CE:ECHR:1995:0928JUD001913391, t. 44.).