–

za Meta Platforms Ireland Ltd, M. Braun, H.-G. Kamann i V. Wettner, Rechtsanwälte,

–

za Bundesverband der Verbraucherzentralen und Verbraucherverbände –Verbraucherzentrale Bundesverband eV, P. Wassermann, Rechtsanwalt,

–

za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,

–

za portugalsku vladu, P. Barros da Costa, J. Ramos i C. Vieira Guerra, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar, F. Erlbacher i H. Kranenborg, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 80. stavka 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP), u vezi s njezinim člankom 12. stavkom 1. prvom rečenicom i člankom 13. stavkom 1. točkama (c) i (e).

2

Zahtjev je upućen u okviru spora između društva Meta Platforms Ireland Ltd, prije Facebook Ireland Ltd, sa sjedištem u Irskoj, i Bundesverbanda der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (Savezna unija organizacija potrošača, Njemačka) (u daljnjem tekstu: Savezna unija), u vezi s povredom društva Meta Platforms Ireland njemačkog zakonodavstva o zaštiti osobnih podataka, koja istodobno predstavlja nepoštenu poslovnu praksu, povredu zakona u području zaštite potrošača i povredu zabrane primjene ništetnih općih uvjeta poslovanja.

3

U uvodnim izjavama 10., 13., 39., 58., 60. i 142. OUZP‑a navodi se:

[…]

[…]

[…]

[…]

[…]

4

Članak 1. te uredbe, naslovljen „Predmet i ciljevi”, u stavku 1. određuje:

„Ovom se Uredbom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka.”

5

U skladu s člankom 4. točkama 1., 2., 9. i 11. navedene uredbe:

„Za potrebe ove Uredbe:

[…]

[…]

6

Člankom 5. navedene uredbe, naslovljenim „Načela obrade osobnih podataka”, određuje se:

„1.   Osobni podaci moraju biti:

[…]

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

7

Člankom 6. stavkom 1. točkom (a) OUZP‑a, naslovljenim „Zakonitost obrade”, predviđa se:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

8

Poglavlje III. OUZP‑a, koje sadržava njegove članke 12. do 23., naslovljeno je „Prava ispitanika”.

9

U stavku 1. članka 12. te uredbe naslovljenog „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika” navodi se:

„Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je drugim sredstvima utvrđen identitet ispitanika.”

10

U članku 13. OUZP‑a, naslovljenom „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. točkama (c) i (e) propisuje se:

„Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

[…]

[…]

11

Poglavlje VIII. navedene uredbe, koje sadržava njezine članke 77. do 84., naslovljeno je „Pravna sredstva, odgovornost i sankcije”.

12

Članak 77. stavak 1. OUZP‑a‚ naslovljen „Pravo na pritužbu nadzornom tijelu”‚ glasi:

„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.”

13

U članku 78. OUZP‑a‚ naslovljenom „Pravo na učinkoviti pravni lijek protiv nadzornog tijela”‚ u stavku 1. navodi se:

„Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.”

14

Članak 79. navedene uredbe‚ naslovljen „Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade”‚ u stavku 1. predviđa:

„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj Uredbi prekršena njegova prava iz ove Uredbe.”

15

Članak 80. OUZP‑a, naslovljen „Zastupanje ispitanika”, glasi kako slijedi:

„1.   Ispitanik ima pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje, koje je pravilno osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njegovih osobnih podataka, da podnesu pritužbu u njegovo ime i da ostvaruju prava iz članaka 77., 78. i 79. u njegovo ime te da ostvaruju pravo na naknadu iz članka 82. u ime ispitanika ako je to predviđeno pravom države članice.

2.   Države članice mogu predvidjeti da svako tijelo, organizacija ili udruženje iz stavka 1. ovog članka, neovisno o mandatu ispitanika, ima pravo u toj državi članici podnijeti pritužbu nadzornom tijelu nadležnom u skladu s člankom 77. i ostvarivati prava iz članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka prekršena prava ispitanika iz ove Uredbe.”

16

Članak 82. OUZP‑a, pod naslovom „Pravo na naknadu štete i odgovornost”, u stavku 1. određuje:

„Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.”

17

Člankom 84. OUZP‑a, naslovljenim „Sankcije”, u stavku 1. određuje se:

„Države članice utvrđuju pravila o ostalim sankcijama koje se primjenjuju na kršenja ove Uredbe, a posebno na ona kršenja koja ne podliježu upravnim novčanim kaznama na temelju članka 83., te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba. Te sankcije moraju biti učinkovite, proporcionalne i odvraćajuće.”

18

U skladu s člankom 2. Gesetza über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (Zakon o tužbama za prestanak povrede potrošačkih i drugih prava) od 26. studenoga 2001. (BGBl. 2001. I, str. 3138.), u verziji primjenjivoj u glavnom postupku (u daljnjem tekstu: Zakon o tužbama za prestanak povrede):

„(1)   U slučaju povrede pravila o zaštiti potrošača (Zakon o zaštiti potrošača), na način koji ne uključuje upotrebu ili preporuku općih uvjeta, može se naložiti prestanak povrede ubuduće i trenutačni prestanak povrede u interesu zaštite potrošača. […]

(2)   U smislu ove odredbe, ‚zakoni o zaštiti potrošača’ osobito znače:

[…]

11. pravila kojima se definira zakonitost

19

Bundesgerichtshof (Savezni vrhovni sud, Njemačka) navodi da, na temelju članka 3. stavka 1. prve rečenice točke 1. Zakona o tužbama za prestanak povrede, tijela koja imaju aktivnu procesnu legitimaciju u smislu članka 4. tog zakona mogu, s jedne strane, u skladu s člankom 1. navedenog zakona, zahtijevati prestanak korištenja općih uvjeta koji su ništavi na temelju članka 307. Bürgerliches Gesetzbucha (Građanski zakonik) i, s druge strane, zahtijevati prestanak povreda zakona u području zaštite potrošača u smislu članka 2. stavka 2. tog zakona.

20

Članak 3. stavak 1. Gesetza gegen den unlauteren Wettbewerb (Zakon o suzbijanju nepoštenog tržišnog natjecanja) od 3. srpnja 2004. (BGBl., 2004. I, str. 1414.) u verziji koja se primjenjuje u glavnom postupku (u daljnjem tekstu: Zakon o suzbijanju nepoštenog tržišnog natjecanja) određuje:

„Nepoštena poslovna praksa nezakonita je.”

21

Članak 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja glasi:

„Tko povrijedi zakonsku odredbu namijenjenu, među ostalim, uređenju djelovanja na tržištu u interesu njegovih sudionika, čini akt nepoštenog tržišnog natjecanja ako ta povreda može znatno utjecati na interese potrošača, drugih sudionika na tržištu ili konkurenata.”

22

U članku 8. tog zakona navodi se:

„(1)   Svaka poslovna praksa koja je nezakonita na temelju članka 3. ili članka 7. može dovesti do izdavanja naloga o prestanku aktivnosti te, u slučaju opasnosti od ponavljanja povrede, naloga o prestanku povrede ili zabrani. […]

[…]

(3)   Izdavanje naloga iz stavka 1. mogu zatražiti:

[…]

23

Bundesgerichtshof (Savezni sud) navodi da je članak 13. stavak 1. Telemediengesetza (Zakon o elektroničkim medijima) od 26. veljače 2007. (BGBl., 2007. I, str. 179.) bio primjenjiv do stupanja na snagu OUZP‑a. Od tog datuma ta je odredba zamijenjena člancima 12. do 14. OUZP‑a.

24

U skladu s člankom 13. stavkom 1. prvom rečenicom Zakona o elektroničkim medijima:

„Pružatelj usluga dužan je korisnika od samog početka uporabe obavijestiti, u općenito razumljivom obliku, o prirodi, opsegu i svrsi prikupljanja i uporabe osobnih podataka te o obradi njegovih podataka u državama na koje se ne primjenjuje Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281., str. 31.), osim ako korisnik o tome već nije bio obaviješten.”

25

Društvo Meta Platforms Ireland, koje upravlja ponudom usluga internetske društvene mreže Facebook u Uniji, voditelj je obrade osobnih podataka korisnika te društvene mreže u Uniji. Društvo Facebook Germany GmbH, sa sjedištem u Njemačkoj, na internetskoj adresi www.facebook.de promiče prodaju oglasnog prostora. Internetska platforma Facebook na internetskoj adresi www.facebook.de sadržava prostor pod nazivom „App‑Zentrum” (Centar za aplikacije) na kojem društvo Meta Platforms Ireland stavlja korisnicima na raspolaganje besplatne aplikacije s igrama trećih strana. Prilikom pregledavanja tog prostora korisnik je obaviješten da korištenjem nekih od tih aplikacija njima omogućava da prikupljaju različite osobne podatke i da ih ovlašćuje da u njegovo ime objavljuju neke od tih podataka, kao što su njegovi rezultati kao i, za jednu od predmetnih igara, njegov status i fotografije. Također je obaviješten da je upotrebom dotičnih aplikacija prihvatio opće uvjete tih aplikacija i njihovu politiku o zaštiti podataka.

26

Savezna unija, tijelo koje ima aktivnu procesnu legitimaciju na temelju članka 4. Zakona o tužbama za prestanak povrede, smatrala je da su podaci koje pružaju predmetne aplikacije za igru u Centru za aplikacije nepošteni, osobito u smislu nepoštovanja zakonskih uvjeta koji se primjenjuju na dobivanje valjane privole korisnika na temelju odredaba o zaštiti osobnih podataka. Osim toga, ona je smatrala da su podaci prema kojima su te aplikacije ovlaštene u ime korisnika objavljivati određene njihove osobne podatke predstavljali opći uvjet kojim se korisnici neopravdano stavljaju u nepovoljniji položaj.

27

U tom kontekstu, Savezna unija podnijela je Landgerichtu Berlin (Zemaljski sud u Berlinu, Njemačka) tužbu za prestanak povrede na temelju članka 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja, članka 2. stavka 2. prve rečenice točke 11. Zakona o tužbama za prestanak povrede i Građanskog zakonika, kako bi se, posebice, društvu Meta Platforms Ireland zabranilo postavljanje aplikacija za igru poput dotičnih u Centru za aplikacije. Ta je tužba podnesena neovisno o tome jesu li povrijeđena konkretna prava ispitanika na zaštitu podataka i bez njegova mandata.

28

Landgericht Berlin (Zemaljski sud u Berlinu) usvojio je tužbeni zahtjev Savezne unije. Žalba društva Meta Platforms Ireland podnesena Kammergerichtu Berlin (Visoki zemaljski sud u Berlinu, Njemačka) je odbijena. Društvo Meta Platforms Ireland je stoga sudu koji je uputio zahtjev podnijelo reviziju protiv odluke žalbenog suda o odbijanju.

29

Sud koji je uputio zahtjev smatra da je tužba Savezne unije osnovana jer je društvo Meta Platforms Ireland povrijedilo članak 3.a Zakona o suzbijanju nepoštenog tržišnog natjecanja i članak 2. stavak 2. prvu rečenicu točku 11. Zakona o tužbama za prestanak povrede te je koristilo opći uvjet koji je ništav u smislu članka 1. Zakona o tužbama za prestanak povrede.

30

Međutim, taj je sud dvojio o dopuštenosti tužbe Savezne unije. Naime, on smatra da nije isključeno to da je Savezna unija, koja je imala aktivnu procesnu legitimaciju na dan podnošenja svoje tužbe – na temelju članka 8. stavka 3. Zakona o suzbijanju nepoštenog tržišnog natjecanja i članka 3. stavka 1. prve rečenice točke 1. Zakona o tužbama za prestanak povrede – izgubila to svojstvo tijekom postupka, nakon stupanja na snagu OUZP‑a, a osobito njegova članka 80. stavaka 1. i 2. i članka 84. stavka 1. Ako je tako, sud koji je uputio zahtjev trebao bi prihvatiti reviziju društva Meta Platforms Ireland i odbiti tužbu Savezne unije, s obzirom na to da, u skladu s relevantnim postupovnim odredbama njemačkog prava, aktivna procesna legitimacija mora nastaviti postojati sve do okončanja postupka u posljednjem stupnju.

31

Tako je odlukom od 28. svibnja 2020. Bundesgerichtshof (Savezni vrhovni sud) odlučio prekinuti postupak i uputiti Sudu prethodno pitanje koje se odnosi na tumačenje članka 80. stavaka 1. i 2. te članka 84. stavka 1. OUZP‑a.

32

U svojoj presudi od 28. travnja 2022., Meta Platforms Ireland (C‑319/20, EU:C:2022:322), Sud je odgovorio na to pitanje tako da članak 80. stavak 2. OUZP‑a treba tumačiti na način da mu se ne protivi nacionalni propis kojim se udruzi za zaštitu interesa potrošača dopušta da pokrene sudski postupak, bez mandata koji joj se dodjeljuje u tu svrhu i neovisno o tome jesu li povrijeđena konkretna prava ispitanika, protiv navodnog počinitelja povrede prava na zaštitu osobnih podataka pozivajući se na kršenje zabrane nepoštenih poslovnih praksi, zakona u području zaštite potrošača ili zabrane korištenja ništavih općih uvjeta, ako dotična obrada podataka može utjecati na prava koja za identificiranu fizičku osobu ili fizičku osobu koju se može identificirati proizlaze iz te uredbe.

33

S obzirom na tu presudu, sud koji je uputio zahtjev smatra da aktivna procesna legitimacija subjekta u smislu članka 80. stavka 2. OUZP‑a ne podliježe uvjetu da taj subjekt prethodno pojedinačno utvrdi identitet ispitanika na kojeg se odnosi obrada podataka koja je navodno protivna odredbama OUZP‑a. Pojam „ispitanik” u smislu članka 4. točke 1. te uredbe obuhvaća ne samo „pojedinca čiji je identitet utvrđen” nego i „pojedinca čiji se identitet može utvrditi”, odnosno fizičku osobu „koja se može identificirati” izravno ili neizravno, uz pomoć identifikatora kao što je, među ostalim, ime, identifikacijski broj, podaci o lokaciji ili mrežni identifikator. U tim okolnostima, određivanje kategorije ili skupine osoba na koje utječe takvo postupanje može biti dovoljno za podnošenje takve predstavničke tužbe. U ovom slučaju, Savezna unija identificirala je takvu skupinu ili takvu kategoriju.

34

Međutim, prema mišljenju suda koji je uputio zahtjev, u prethodno navedenoj presudi Sud nije ispitao uvjet naveden u članku 80. stavku 2. OUZP‑a, prema kojem, kako bi iskoristila pravna sredstva predviđena tom uredbom, udruga za zaštitu interesa potrošača treba smatrati da su prava ispitanika predviđena navedenom uredbom povrijeđena „uslijed obrade”.

35

S jedne strane, taj sud smatra da iz te presude ne proizlazi jasno predstavlja li povreda obveze koja proizlazi iz članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) OUZP‑a da se ispitaniku u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, pruže informacije o svrsi obrade osobnih podataka i primateljima tih podataka, povredu „uslijed obrade” i obuhvaća li pojam „obrada” u smislu članka 4. točke 2. te uredbe situacije koje prethode prikupljanju takvih podataka.

36

S druge strane, navedeni sud smatra da nije jasno utvrđeno je li u slučaju poput onoga u glavnom postupku do povrede obveze obavješćivanja došlo „uslijed” obrade osobnih podataka u smislu članka 80. stavka 2. OUZP‑a. U tom pogledu on ističe da, iako bi takva formulacija mogla upućivati na to da se subjekt koji podnosi predstavničku tužbu mora, kako bi ta tužba bila dopuštena, pozvati na povredu prava ispitanika koja proizlazi iz postupka obrade osobnih podataka u smislu članka 4. točke 2. te uredbe i koja je stoga uslijedila nakon takve radnje, cilj navedene uredbe da se osobito osigura visoka razina zaštite osobnih podataka može ići u prilog proširenju aktivne procesne legitimacije tog subjekta u slučaju povrede obveze obavješćivanja, čak i ako tu obvezu treba ispuniti prije bilo kakve obrade osobnih podataka.

37

U tim je okolnostima Bundesgerichtshof (Savezni vrhovni sud) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:

„Poziva li se na povredu prava [ispitanika] ‚uslijed obrade’ u smislu članka 80. stavka 2. OUZP‑a kada udruga za zaštitu interesa potrošača u prilog svojoj tužbi tvrdi da su povrijeđena prava ispitanika jer nisu ispunjene obveze obavješćivanja predviđene člankom 12. stavkom 1. prvom rečenicom OUZP‑a u vezi s člankom 13. stavkom 1. točkama (c) i (e) OUZP‑a, koje se odnose na svrhu obrade podataka i primatelja osobnih podataka?”

38

Svojim pitanjem sud koji je uputio zahtjev, u biti, pita treba li članak 80. stavak 2. OUZP‑a tumačiti na način da je uvjet prema kojem ovlašteni subjekt, kako bi mogao podnijeti predstavničku tužbu na temelju te odredbe, mora tvrditi da smatra da su prava ispitanika čiji se podaci obrađuju na temelju te uredbe povrijeđena „uslijed obrade”, u smislu navedene odredbe, ispunjen ako se takva tužba temelji na povredi obveze – koju voditelj obrade ima na temelju članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) te uredbe – da se ispitaniku u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, pruže informacije koje se odnose na svrhu navedene obrade i primatelje takvih podataka, i to najkasnije prilikom njihova prikupljanja.

39

Kako bi se odgovorilo na to pitanje, uvodno se mora podsjetiti na to da OUZP uređuje, među ostalim, pravne lijekove koji omogućuju zaštitu prava ispitanika kada su osobni podaci koji se na njega odnose predmet obrade koja je navodno u suprotnosti s odredbama navedene uredbe. Zaštitu tih prava tako može izravno tražiti ispitanik, koji ima pravo da sam podnese pritužbu nadzornom tijelu države članice, u skladu s člankom 77. OUZP‑a, ili tužbu pred nacionalnim sudovima, na temelju članaka 78. i 79. te uredbe, ili ovlašteni subjekt, sa ili bez mandata u tu svrhu, na temelju članka 80. navedene uredbe.

40

Posebice se člankom 80. stavkom 2. OUZP‑a državama članicama daje mogućnost da predvide mehanizam predstavničkih tužbi protiv navodnog počinitelja povrede zaštite osobnih podataka, bez ispitanikova mandata, pri čemu se navodi određeni broj zahtjeva na razini osobnog i materijalnog područja primjene koje treba poštovati u tu svrhu (presuda od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 63.).

41

U tom pogledu, što se tiče, kao prvo, osobnog područja primjene takvog mehanizma, aktivna procesna legitimacija priznaje se tijelu, organizaciji ili udruženju koje ispunjava kriterije iz članka 80. stavka 1. OUZP‑a. Posebice, kao što je Sud već utvrdio, udruga za zaštitu interesa potrošača, kao što je to Savezna unija, može biti obuhvaćena tim pojmom jer se njime nastoji postići cilj od javnog interesa koji se sastoji od osiguranja prava i sloboda ispitanika u njihovu svojstvu potrošača, s obzirom na to da ostvarenje takvog cilja može biti povezano sa zaštitom njihovih osobnih podataka (presuda od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 64. i 65.).

42

Kada je riječ, kao drugo, o materijalnom području primjene navedenog mehanizma, podnošenje predstavničke tužbe predviđene člankom 80. stavkom 2. OUZP‑a od strane subjekta koji ispunjava uvjete navedene u stavku 1. tog članka pretpostavlja da taj subjekt, neovisno o bilo kakvom mandatu koji mu je dan, smatra da su „uslijed obrade osobnih podataka prekršena prava ispitanika iz [te] Uredbe” (presuda od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 67.).

43

U tom pogledu, Sud je pojasnio da podnošenje predstavničke tužbe nije uvjetovano postojanjem „konkretne povrede” prava koja osoba ima na temelju pravila u području zaštite podataka, tako da je, kako bi se na temelju navedene odredbe priznala aktivna procesna legitimacija takvom subjektu, dovoljno istaknuti da dotična obrada podataka može utjecati na prava koja za identificirane fizičke osobe ili fizičke osobe koje se mogu identificirati proizlaze iz navedene uredbe, a da pritom nije potrebno dokazati stvarnu štetu koju je ispitanik u određenoj situaciji pretrpio zbog povrede svojih prava (presuda od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 70. i 72.).

44

Međutim, kao što je Sud već presudio, podnošenje predstavničke tužbe pretpostavlja da subjekt o kojem je riječ „smatra” da su prava ispitanika predviđena OUZP‑om povrijeđena zbog obrade njegovih osobnih podataka i da stoga tvrdi da „postoji obrada podataka” za koju smatra da je protivna odredbama te uredbe (vidjeti u tom smislu presudu od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 71.), pri čemu takva obrada ne smije biti samo hipotetska, kao što je to istaknuo nezavisni odvjetnik u točki 48. svojeg mišljenja.

45

Konkretno, kao što to proizlazi iz teksta članka 80. stavka 2. OUZP‑a, podnošenje predstavničke tužbe na temelju te odredbe podrazumijeva da do povrede prava koja ispitanik ima na temelju te uredbe dođe prilikom obrade osobnih podataka.

46

To je tumačenje potkrijepljeno usporedbom različitih jezičnih verzija članka 80. stavka 2. OUZP‑a kao i njegovom uvodnom izjavom 142., u kojoj se navodi da subjekti koji ispunjavaju uvjete iz članka 80. stavka 1. te uredbe moraju imati razloga smatrati da je do kršenja prava ispitanika predviđenih tom uredbom došlo zbog „obrade osobnih podataka kojom se krši [ta] Uredba”.

47

Nakon što je to pojašnjeno, kako bi se odgovorilo na prethodno pitanje, valja još provjeriti predstavlja li povreda obveze koju voditelj obrade ima na temelju članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) OUZP‑a da ispitaniku pruži, u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, informacije o svrsi obrade osobnih podataka i primateljima takvih podataka, najkasnije prilikom prikupljanja navedenih podataka, povredu prava te osobe „uslijed obrade” u smislu članka 80. stavka 2. OUZP‑a.

48

Uvodno valja podsjetiti na to da je cilj OUZP‑a, kao što to proizlazi iz njegova članka 1. i uvodne izjave 10., među ostalim, osiguranje visoke razine zaštite temeljnih prava i sloboda pojedinaca, osobito njihova prava na privatnost u vezi s obradom osobnih podataka (vidjeti, u tom smislu, presudu od 7. ožujka 2024., IAB Europe, C‑604/22, EU:C:2024:214, t. 53.).

49

U tu svrhu, poglavlja II. i III. te uredbe navode, redom, načela kojima se uređuje obrada osobnih podataka kao i prava ispitanika koja se moraju poštovati kod svake obrade osobnih podataka. Konkretno, podložno odstupanjima predviđenima u članku 23. navedene uredbe, svaka obrada osobnih podataka mora, s jedne strane, biti u skladu s načelima koja se odnose na obradu takvih podataka navedenima u članku 5. iste uredbe i ispunjavati uvjete zakonitosti navedene u njezinu članku 6. i, s druge strane, poštovati prava ispitanika navedena u njezinim člancima 12. do 22. (vidjeti u tom smislu presude od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 208. i od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 50. i 61. i navedenu sudsku praksu).

50

U tom pogledu, valja podsjetiti na to da, u skladu s člankom 5. stavkom 1. točkom (a) OUZP‑a, osobni podaci moraju biti obrađivani zakonito, pošteno i transparentno s obzirom na ispitanika. Usto, u skladu s člankom 5. stavkom 1. točkom (b) OUZP‑a, ti podaci moraju biti prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama.

51

Što se tiče tumačenja članka 5. stavka 1. točke (b) OUZP‑a, Sud je presudio da se tom odredbom nalaže, među ostalim, da su svrhe obrade jasno navedene i utvrđene najkasnije u vrijeme prikupljanja osobnih podataka (presuda od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 64. i 65.).

52

Usto, u skladu s člankom 5. stavkom 2. OUZP‑a, na voditelju obrade je teret dokazivanja da su ti podaci osobito prikupljeni u posebne, izričite i zakonite svrhe i zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika.

53

Stoga iz članka 5. OUZP‑a proizlazi da obrada osobnih podataka mora, među ostalim, ispunjavati konkretne zahtjeve u pogledu transparentnosti u pogledu osobe na koju se takva obrada odnosi. U tu svrhu OUZP, u svojem poglavlju III., s jedne strane, predviđa precizne obveze za voditelja obrade i, s druge strane, priznaje čitav niz prava osobi čiji se podaci obrađuju, među kojima se osobito nalazi pravo da od voditelja obrade dobije informacije o svrhama te obrade i konkretnim primateljima kojima su otkriveni ili će biti otkriveni osobni podaci koji se odnose na nju (presuda od 22. lipnja 2023., Pankki S, C‑579/21, EU:C:2023:501, t. 48.).

54

Konkretno, člankom 13. stavkom 1. točkama (c) i (e) OUZP‑a predviđa se obveza voditelja obrade da, ako se osobni podaci prikupljaju od ispitanika, njega obavijesti o svrhama obrade za koje su ti podaci namijenjeni i pravnoj osnovi te obrade kao i o primateljima ili kategorijama primatelja navedenih podataka.

55

Osim toga, članak 12. stavak 1. te uredbe zahtijeva da voditelj obrade poduzme odgovarajuće mjere kako bi, među ostalim, informacije navedene u prethodnoj točki koje su pružene ispitaniku bile sažete, transparentne, razumljive, uz uporabu jasnog i jednostavnog jezika.

56

Tako je Sud presudio da je cilj članka 12. stavka 1. OUZP‑a, kao odraza obveze transparentnosti, osigurati da ispitanik može u potpunosti razumjeti informacije koje mu se dostavljaju (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 38.).

57

Važnost poštovanja takve obveze obavješćivanja je potvrđena i uvodnom izjavom 60. OUZP‑a, u kojoj se navodi da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 36.).

58

Iz prethodno navedenog proizlazi, kao prvo, da je obveza obavješćivanja koju ima voditelj obrade u pogledu osoba na koje se odnosi obrada osobnih podataka posljedica prava na informaciju koje se tim osobama priznaje člancima 12. i 13. OUZP‑a i koje je stoga dio prava koja se predstavničkom tužbom predviđenom u članku 80. stavku 2. navedene uredbe nastoji zaštititi. Usto, kao što to proizlazi iz točaka 56. i 57. ove presude, poštovanje te obveze općenito jamči poštovanje načela transparentnosti i poštene obrade, predviđenih u članku 5. stavku 1. OUZP‑a.

59

Kao drugo, kao što je istaknuo nezavisni odvjetnik u točki 47. svojeg mišljenja, navodna povreda prava ispitanika na to da budu dovoljno obaviješteni o svim okolnostima obrade osobnih podataka, osobito o njezinoj svrsi i primatelju tih podataka, može biti prepreka davanju „informiran[e]” privole u smislu članka 4. točke 11. OUZP‑a, zbog čega ta obrada može biti nezakonita u smislu članka 5. stavka 1. OUZP‑a.

60

Naime, valjanost privole koju je dao ispitanik ovisi, među ostalim, o tome je li ta osoba prethodno dobila informacije s obzirom na sve okolnosti obrade predmetnih podataka na koje je imala pravo na temelju članaka 12. i 13. OUZP‑a i koje joj omogućuju davanje privole uz potpuno poznavanje činjenica.

61

Budući da se obradom osobnih podataka provedenom protivno pravu na informaciju koje ispitanik ima na temelju članaka 12. i 13. OUZP‑a povređuju zahtjevi utvrđeni u članku 5. te uredbe, povredu tog prava na informaciju valja smatrati povredom prava ispitanika „uslijed obrade”, u smislu članka 80. stavka 2. te uredbe.

62

Iz toga slijedi da pravo ispitanika na kojeg se odnosi obrada osobnih podataka, koje proizlazi iz prve rečenice članka 12. stavka 1. i članka 13. stavka 1. točaka (c) i (e) OUZP‑a, da od voditelja obrade dobije, u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, informacije o svrsi takve obrade kao i o primateljima takvih podataka, predstavlja pravo čija povreda omogućuje korištenje mehanizma predstavničke tužbe predviđenog člankom 80. stavkom 2. te uredbe.

63

To je tumačenje potvrđeno, s jedne strane, ciljem OUZP‑a, navedenim u točki 48. ove presude, osiguravanja učinkovite zaštite temeljnih prava i sloboda pojedinaca i, osobito, visoke razine zaštite prava svake osobe na privatnost u vezi s obradom osobnih podataka koji se na nju odnose.

64

S druge strane, takvo je tumačenje također u skladu s preventivnom funkcijom predstavničke tužbe predviđene u članku 80. stavku 2. OUZP‑a koju podnose udruge za zaštitu interesa potrošača, kao što je to u ovom slučaju Savezna unija (presuda od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 76.).

65

Imajući sve prethodno navedeno u vidu, na prethodno pitanje valja odgovoriti tako da članak 80. stavak 2. OUZP‑a treba tumačiti na način da je uvjet prema kojem ovlašteni subjekt, kako bi mogao podnijeti predstavničku tužbu na temelju te odredbe, mora tvrditi da smatra da su prava ispitanika predviđena tom uredbom povrijeđena „uslijed obrade”, u smislu navedene odredbe, ispunjen ako taj subjekt tvrdi da je do povrede prava te osobe došlo prilikom obrade osobnih podataka i da ona proizlazi iz povrede obveze koju voditelj obrade ima na temelju članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) navedene uredbe, da ispitaniku koji sudjeluje u toj obradi podataka u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, pruži podatke koji se odnose na svrhu te obrade kao i na primatelje tih podataka, i to najkasnije prilikom njihova prikupljanja.

66

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (četvrto vijeće) odlučuje:

Članak 80. stavak 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da je:

uvjet prema kojem ovlašteni subjekt, kako bi mogao podnijeti predstavničku tužbu na temelju te odredbe, mora tvrditi da smatra da su prava ispitanika predviđena tom uredbom povrijeđena „uslijed obrade”, u smislu navedene odredbe, ispunjen ako taj subjekt tvrdi da je do povrede prava te osobe došlo prilikom obrade osobnih podataka i da ona proizlazi iz povrede obveze koju voditelj obrade ima na temelju članka 12. stavka 1. prve rečenice i članka 13. stavka 1. točaka (c) i (e) navedene uredbe, da ispitaniku koji sudjeluje u toj obradi podataka u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, pruži podatke koji se odnose na svrhu te obrade kao i na primatelje tih podataka, i to najkasnije prilikom njihova prikupljanja.