–

za Nemzeti Adatvédelmi és Információszabadság Hatóság, G. J. Dudás, ügyvéd,

–

za osobu UC, D. Karsai i V. Łuszcz, ügyvédek,

–

za mađarsku vladu, Zs. Biró-Tóth i M. Z. Fehér, u svojstvu agenata,

–

za češku vladu, L. Březinová, M. Smolek i J. Vláčil, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar, C. Kovács i H. Kranenborg, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 14. stavka 1. i stavka 5. točke (c), članka 32. i članka 77. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).

2

Zahtjev je upućen u okviru spora između Nemzeti Adatvédelmi és Információszabadság Hatósága (nacionalno tijelo za zaštitu podataka i slobodu informiranja, Mađarska; u daljnjem tekstu: nacionalno tijelo) i osobe UC u vezi s postojanjem obveze pružanja informacija u vezi s obradom osobnih podataka za Budapest Főváros Kormányhivatalu (Vladin ured glavnog grada Budimpešte, Mađarska; u daljnjem tekstu: uprava izdavateljica), zaduženu za izdavanje potvrda o imunitetu za osobe koje su cijepljene protiv bolesti COVID-19 ili koje su preboljele tu bolest.

3

U skladu s uvodnim izjavama 1., 10. i 61. do 63. OUZP‑a:

[…]

[…]

4

Članak 1. te uredbe, naslovljen „Predmet i ciljevi”, u stavku 2. određuje:

„Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”

5

Članak 4. navedene uredbe, naslovljen „Definicije”, određuje:

„Za potrebe ove Uredbe:

[…]

[…]”

6

Člankom 6. OUZP‑a, naslovljenim „Zakonitost obrade”, u stavku 1. propisuje se:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

[…]”

7

Člankom 9. te uredbe, naslovljenim „Obrada posebnih kategorija osobnih podataka”, u stavcima 1. i 2. određuje se:

„1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

2.   Stavak 1. ne primjenjuje se ako je ispunjen[o] jedno od sljedećeg:

[…]

[…]”

8

Poglavlje III. OUZP‑a, naslovljeno „Prava ispitanika”, sadržava nekoliko odjeljaka, među kojima je odjeljak 2. naslovljen „Informacije i pristup osobnim podacima”.

9

U tom odjeljku 2. nalaze se članak 13. koji se odnosi na „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, članak 14. koji se odnosi na „Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika” i članak 15. OUZP‑a koji se odnosi na „Pravo ispitanika na pristup”.

10

U skladu s člankom 14. navedene uredbe:

„1.   Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:

2.   Osim informacija iz stavka 1. voditelj obrade ispitaniku pruža sljedeće informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika:

[…]

4.   Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci dobiveni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

5.   Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:

11

Članak 32. OUZP‑a, naslovljen „Sigurnost obrade”, glasi kako slijedi:

„1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:

2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.

3.   Poštovanje odobrenog kodeksa ponašanja iz članka 40. ili odobrenog mehanizma certificiranja iz članka 42. može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavka 1. ovog članka.

4.   Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.”

12

Članak 55. te uredbe, naslovljen „Nadležnost”, u stavku 1. propisuje:

„Svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Uredbom na državnom području vlastite države članice.”

13

Člankom 57. OUZP‑a, naslovljenim „Zadaće”, u stavku 1. propisuje se:

„Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:

[…]

[…]”

14

Članak 58. te uredbe, naslovljen „Ovlasti”, u stavku 3. određuje:

„Svako nadzorno tijelo ima sve sljedeće ovlasti u vezi s odobravanjem te savjetodavne ovlasti:

[…]

[…]”

15

U članku 77. navedene uredbe, naslovljenom „Pravo na pritužbu nadzornom tijelu”, u stavku 1. propisuje se:

„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.”

16

Članak 78. OUZP‑a, naslovljen „Pravo na učinkoviti sudski pravni lijek protiv nadzornog tijela”, glasi kako slijedi:

„1.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.

2.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek svaki ispitanik ima pravo na učinkoviti sudski pravni lijek ako nadzorno tijelo nadležno na temelju članaka 55. i 56. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 77.

3.   Postupci protiv nadzornog tijela vode se pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan.

4.   Ako je pokrenut postupak protiv odluke nadzornog tijela kojoj je prethodilo mišljenje ili odluka Odbora u okviru mehanizma konzistentnosti, nadzorno tijelo prosljeđuje to mišljenje ili odluku sudu.”

17

Članak 10. Uredbe (EU) 2021/953 Europskog parlamenta i Vijeća od 14. lipnja 2021. o okviru za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) radi olakšavanja slobodnog kretanja tijekom pandemije bolesti COVID-19 (SL 2021., L 211, str. 1. i ispravak SL 2022., L 72, str. 7.), naslovljen „Zaštita osobnih podataka”, predviđao je u stavku 1.:

„Na obradu osobnih podataka koja se izvršava pri provedbi ove Uredbe primjenjuje se OUZP.”

18

Člankom 2. stavkom 1. koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendeleta (Vladina uredba br. 60/2021 (II.12.) o potvrdi o imunitetu protiv koronavirusa) od 12. veljače 2021., u verziji primjenjivoj na glavni postupak (u daljnjem tekstu: Uredba br. 60/2021):

„U potvrdi o imunitetu navodi se:

19

U skladu s člankom 2. stavcima 6. i 7. Uredbe br. 60/2021, potvrda o imunitetu izdaje se svakoj fizičkoj osobi koja je ovlaštena dobiti je, bilo po službenoj dužnosti ili na zahtjev.

20

Člankom 3. stavkom 3. te uredbe određuje se:

„U slučajevima iz članka 2. stavka 6. točaka (c) i (d), uprava izdavateljica prikuplja, automatskim prijenosom informacija, po potrebi posredstvom službi za elektroničko upravljanje identifikacijskim podacima:

21

Osobi UC, fizičkoj osobi, uprava izdavateljica izdala je potvrdu o imunitetu kojom se potvrđuje njezino cijepljenje protiv bolesti COVID-19 na temelju Uredbe br. 60/2021.

22

Dana 30. travnja 2021. osoba UC pokrenula je upravni postupak u vezi s obradom osobnih podataka koji se na nju odnose time što je nacionalnom tijelu podnijela pritužbu na temelju članka 77. stavka 1. OUZP‑a, kako bi se upravi izdavateljici naložilo da svoje postupke obrade uskladi s odredbama OUZP‑a. U svojoj pritužbi, među ostalim, tvrdila je da uprava izdavateljica nije sastavila niti objavila informativni letak o obradi osobnih podataka koji se odnose na izdavanje potvrda o imunitetu te je isticala da ne postoje informacije o svrsi obrade tih podataka i pravnoj osnovi za nju kao ni o pravima ispitanika i načinima na koje ih može ostvariti.

23

U postupku pokrenutom na temelju te pritužbe uprava izdavateljica izjavila je da obavlja svoje zadaće povezane s izdavanjem potvrde o imunitetu na temelju članka 2. Uredbe br. 60/2021 jer je pravna osnova obrade osobnih podataka članak 6. stavak 1. točka (e) OUZP‑a, a članak 9. stavak 2. točka (i) te uredbe u pogledu obrade osobnih podataka posebnih kategorija.

24

Usto je uprava izdavateljica navela da je osobne podatke koje obrađuje dobila od drugog tijela, u skladu s odredbama Uredbe br. 60/2021. Na toj osnovi tvrdila je da na temelju članka 14. stavka 5. točke (c) OUZP‑a nije dužna pružiti informacije o obradi tih podataka. Međutim, sastavila je i na svojoj internetskoj stranici objavila zatraženu izjavu o zaštiti osobnih podataka.

25

Odlukom od 15. studenoga 2021. nacionalno tijelo odbilo je zahtjev osobe UC i zaključilo da ne postoji obveza pružanja informacija uprave izdavateljice zbog toga što je predmetna obrada osobnih podataka obuhvaćena iznimkom predviđenom u članku 14. stavku 5. točki (c) OUZP‑a.

26

Konkretno, to je tijelo smatralo da je Uredba br. 60/2021 pravna osnova za obradu i da se njome upravi izdavateljici izrijekom nalaže da prikuplja predmetne podatke. Prema mišljenju navedenog tijela, objava informacija o obradi osobnih podataka koju provodi uprava izdavateljica na svojoj internetskoj stranici predstavlja dobru praksu, a ne pravnu obvezu.

27

Usto je nacionalno tijelo po službenoj dužnosti ispitalo postoje li odgovarajuće mjere zaštite legitimnih interesa ispitanika u smislu članka 14. stavka 5. točke (c) drugog dijela rečenice OUZP‑a te je smatralo da takvima treba smatrati odredbe članaka 2., 3. i 5. do 7. Uredbe br. 60/2021.

28

Osoba UC podnijela je upravnu tužbu protiv te odluke Fővárosi Törvényszéku (Okružni sud u Budimpešti, Mađarska), koji je poništio navedenu odluku i naložio tom tijelu pokretanje novog postupka.

29

Taj je sud u svojoj presudi smatrao da iznimka predviđena člankom 14. stavkom 5. točkom (c) OUZP‑a nije primjenjiva jer određene osobne podatke dostavljene u vezi s potvrdama o imunitetu voditelj obrade nije dobio od drugog tijela, nego ih je sam generirao u okviru izvršavanja svojih zadaća. Prema mišljenju navedenog suda, to je bio slučaj sa serijskim brojem potvrde o imunitetu, datumom isteka valjanosti potvrde izdane osobi koja je oboljela od bolesti, QR kodom koji se nalazi na karti, bar kodovima i drugim alfanumeričkim kodovima koji se nalaze na dopisu o predaji potvrde i s osobnim podacima koji su generirani postupkom voditelja obrade u vezi s upravljanjem predmetom. Prema mišljenju istog suda, iznimkom predviđenom u članku 14. stavku 5. točki (c) OUZP‑a mogli bi biti obuhvaćeni samo osobni podaci dobiveni od drugog tijela.

30

Nacionalno tijelo podnijelo je Kúriji (Vrhovni sud, Mađarska), sudu koji je uputio zahtjev, izvanredni pravni lijek protiv te presude.

31

U vezi s tim taj sud najprije dvoji o tome može li se iznimka predviđena u članku 14. stavku 5. točki (c) OUZP‑a primijeniti na svaku obradu osobnih podataka osim na obradu osobnih podataka koja se odnosi na osobne podatke dobivene od ispitanika.

32

U slučaju potvrdnog odgovora, navedeni sud dvoji o tome je li u okviru postupka pritužbe na temelju članka 77. stavka 1. OUZP‑a nadzorno tijelo nadležno provjeriti, kako bi odlučilo o primjenjivosti te iznimke, predviđaju li se nacionalnim pravom voditelja obrade odgovarajuće mjere zaštite legitimnih interesa ispitanika.

33

U slučaju potvrdnog odgovora, sud koji je uputio zahtjev naposljetku želi doznati odnosi li se ta provjera i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. OUZP‑a kako bi zajamčio sigurnost obrade osobnih podataka.

34

U tim je okolnostima Kúria (Vrhovni sud) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

35

Dana 16. siječnja 2024. Sud je pozvao stranke i zainteresirane osobe iz članka 23. Statuta Suda Europske unije da u pisanom obliku odgovore na određena pitanja, na temelju članka 61. Poslovnika Suda. Tužitelj i tuženik iz glavnog postupka, mađarska i češka vlada te Europska komisija odgovorili su na ta pitanja.

36

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 14. stavak 5. točku (c) OUZP‑a tumačiti na način da se iznimka od obveze voditelja obrade da pruži informacije ispitaniku, predviđene tom odredbom, odnosi samo na osobne podatke koje je voditelj obrade dobio od osobe koja nije ispitanik ili se ona odnosi i na osobne podatke koje je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća.

37

Člankom 14. stavcima 1., 2. i 4. te uredbe određuju se informacije koje voditelj obrade mora pružiti ispitaniku u smislu članka 4. točke 1. navedene uredbe ako osobni podaci nisu dobiveni od te osobe.

38

U članku 14. stavku 5. iste uredbe navode se iznimke od te obveze. Među tim iznimkama točkom (c) tog stavka 5. predviđa se da se navedena obveza ne primjenjuje ako i u mjeri u kojoj je dobivanje ili otkrivanje podataka izrijekom propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a koje predviđa odgovarajuće mjere zaštite legitimnih interesa ispitanika.

39

Kako bi se utvrdilo obuhvaća li ta iznimka osobne podatke koje je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća iz podataka dobivenih od osobe koja nije ispitanik, na temelju ustaljene sudske prakse valja uzeti u obzir ne samo tekst odredbe kojim se ona propisuje nego i kontekst u kojem se ta odredba nalazi te ciljeve propisa kojeg je dio (vidjeti u tom smislu presudu od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 32. i navedenu sudsku praksu).

40

Kao prvo, s obzirom na tekst članka 14. stavka 5. točke (c) OUZP‑a, valja odrediti predmet „dobivanja ili otkrivanja” iz te odredbe.

41

Naime, kao prvo, postoji razlika između različitih jezičnih verzija navedene odredbe. U verziji te odredbe na francuskom jeziku upućuje se na dobivanje ili otkrivanje „informacija”, dok, najprije, mađarska („adat”), estonska („isikuandmed”), hrvatska („podataka”), litavska („duomenų”), nizozemska („gegevens”), portugalska („Dados”), rumunjska („datelor”) i švedska („uppgifter”) upućuju na dobivanje ili otkrivanje „podataka”, zatim, verzija na finskom jeziku sadržava izraz („tietojen”) koji se istodobno može odnositi na „podatke” ili „informacije” i, naposljetku, u verzijama na bugarskom, španjolskom, češkom, danskom, njemačkom, grčkom, engleskom, talijanskom, latvijskom, malteškom, poljskom, slovačkom i slovenskom jeziku ne navodi se predmet dobivanja ili otkrivanja.

42

Međutim, u skladu s ustaljenom sudskom praksom, formulacija neke odredbe prava Unije upotrijebljena u jednoj od jezičnih verzija ne može služiti kao jedina osnova za tumačenje te odredbe niti joj se može dati prednost u odnosu na druge jezične verzije. Naime, odredbe prava Unije moraju se tumačiti i primjenjivati ujednačeno s obzirom na verzije sastavljene na svim jezicima Unije. U slučaju nejednakosti između različitih jezičnih verzija nekog teksta prava Unije, odredba o kojoj je riječ mora se tumačiti s obzirom na opću strukturu i svrhu propisa kojeg je dio (presuda od 21. ožujka 2024., Cobult, C‑76/23, EU:C:2024:253, t. 25. i navedena sudska praksa).

43

Kad je riječ o općoj strukturi OUZP‑a, članak 14. stavak 5. te uredbe valja tumačiti s obzirom na uvodne izjave 61. i 62., u kojima se upućuje, s jedne strane, na „osobnih podataka […] prikupljeni [i] […] osobnih podataka […] otkrivaju” kao i na „bilježenje ili otkrivanje osobnih podataka […] izrijekom propisano zakonom” i, s druge strane, na „trebalo bi dati […] informacije” ili „koje se trebaju pružiti”. Tumačenje prema kojem se „dobivanje ili otkrivanje” u smislu članka 14. stavka 5. točke (c) OUZP‑a odnosi na osobne podatke usto je potvrđeno širokim dosegom pojma „obrada” u smislu članka 4. točke 2. OUZP‑a, koji obuhvaća svaki postupak koji se primjenjuje na osobne podatke (vidjeti u tom smislu presudu od 5. listopada 2023., Ministerstvo zdravotnictví (Mobilna aplikacija Covid-19), C‑659/22, EU:C:2023:745, t. 27. i navedenu sudsku praksu).

44

Što se tiče svrhe propisa kojeg je dio članak 14. stavak 5. točka (c) OUZP‑a, dovoljno je primijetiti, kao što je to učinila nezavisna odvjetnica u točki 31. svojega mišljenja, da se ratio legis te iznimke temelji na činjenici da obveza pružanja informacija ispitaniku propisana člankom 14. stavcima 1., 2. i 4. te uredbe nije opravdana ako druga odredba prava Unije ili prava države članice dovoljno potpuno i obvezujuće nalaže voditelju obrade da pruži toj osobi informacije koje se odnose na dobivanje ili otkrivanje osobnih podataka. Naime, u slučaju iz tog članka 14. stavka 5. točke (c), ispitanici čiji se podaci obrađuju moraju imati dovoljno saznanja o načinima i svrhama dobivanja ili otkrivanja tih podataka.

45

Slijedom toga, s obzirom na tekst članka 14. stavka 5. točke (c) OUZP‑a u svim njegovim jezičnim verzijama, valja smatrati da tu odredbu treba shvatiti na način da upućuje na dobivanje ili otkrivanje osobnih podataka.

46

Kao drugo, valja utvrditi da se tekstom članka 14. stavka 5. točke (c) OUZP‑a iznimka koja se njime predviđa ne ograničava samo na osobne podatke koje voditelj obrade dobije od osobe koja nije ispitanik niti se njime isključuju podaci koje je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća iz takvih podataka.

47

Iz toga slijedi da su osobni podaci koje je voditelj obrade „dobio” u smislu navedene odredbe svi osobni podaci koje voditelj obrade dobije od osobe koja nije ispitanik i oni koje je on sam, u okviru izvršavanja svoje zadaće, generirao iz podataka dobivenih od osobe koja nije ispitanik.

48

Kao drugo, valja primijetiti da je materijalno područje primjene članka 14. OUZP‑a negativno definirano u odnosu na članak 13. te uredbe. Kao što to proizlazi iz samih naslova tih odredbi, članak 13. odnosi se na informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika, dok se članak 14. odnosi na one koje se trebaju dostaviti ako osobni podaci nisu dobiveni od ispitanika. Uzimajući u obzir tu dihotomiju, svi slučajevi u kojima podaci nisu dobiveni od ispitanika obuhvaćeni su materijalnim područjem primjene navedenog članka 14.

49

Prema tome, iz tumačenja članka 13. u vezi s člankom 14. OUZP‑a proizlazi da su osobni podaci koje voditelj obrade dobije od osobe koja nije ispitanik i podaci koje je generirao sam voditelj obrade, koji po svojoj prirodi također nisu dobiveni od ispitanika, obuhvaćeni područjem primjene tog članka 14. Iz toga proizlazi da iznimka utvrđena u navedenom članku 14. stavku 5. točki (c) obuhvaća te dvije kategorije podataka.

50

Kao treće, članak 14. stavak 5. točku (c) OUZP‑a valja tumačiti na način koji je u skladu s ciljem koji se nastoji postići tom uredbom, a koji se sastoji, među ostalim, kao što to proizlazi iz njezina članka 1. u vezi s njezinim uvodnim izjavama 1. i 10., od osiguravanja visoke razine zaštite temeljnih prava i sloboda fizičkih osoba, osobito njihova prava na privatnost u vezi s obradom osobnih podataka, utvrđenog u članku 8. stavku 1. Povelje o temeljnim pravima i članku 16. stavku 1. UFEU‑a (vidjeti u tom smislu presudu od 7. ožujka 2024., IAB Europe, C‑604/22, EU:C:2024:214, t. 53. i navedenu sudsku praksu).

51

U tom pogledu iz uvodne izjave 63. OUZP‑a proizlazi da je zakonodavac Unije želio da ispitanik, u smislu te uredbe, ima pravo na pristup prikupljenim osobnim podacima koji se na njega odnose kako bi bio svjestan obrade i provjerio njezinu zakonitost.

52

Stoga se voditelj obrade može osloboditi obveze pružanja informacija koju obično ima prema ispitaniku pod uvjetom da ta osoba može izvršiti nadzor nad svojim osobnim podacima i ostvariti prava koja su joj dodijeljena OUZP‑om.

53

U skladu sa zadanim ciljem te uredbe, iznimka od obveze pružanja informacija ispitaniku, predviđena člankom 14. stavkom 5. točkom (c) OUZP‑a, zahtijeva, s jedne strane, da su dobivanje ili otkrivanje osobnih podataka od strane voditelja obrade izrijekom predviđeni pravom Unije ili pravom države članice kojem taj voditelj obrade podliježe. S druge strane, to pravo mora predvidjeti odgovarajuće mjere za zaštitu legitimnih interesa ispitanika.

54

Iz toga proizlazi da je, kako bi bila u potpunosti u skladu s ciljem koji se nastoji postići OUZP‑om, primjena članka 14. stavka 5. točke (c) te uredbe uvjetovana strogim poštovanjem uvjeta predviđenih tom odredbom, odnosno, među ostalim, postojanjem razine zaštite ispitanika koja je barem jednaka onoj zajamčenoj člankom 14. stavcima 1. do 4. navedene uredbe.

55

Uzimajući u obzir prethodne razloge, na prvo pitanje valja odgovoriti tako da članak 14. stavak 5. točku (c) OUZP‑a treba tumačiti na način da se iznimka od obveze voditelja obrade da pruži informacije ispitaniku, predviđena tom odredbom, bez razlike odnosi na sve osobne podatke koje voditelj obrade nije dobio izravno od ispitanika, bilo da ih je voditelj obrade dobio od osobe koja nije ispitanik bilo da ih je voditelj obrade sam generirao u okviru izvršavanja svojih zadaća.

56

Svojim drugim i trećim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 14. stavak 5. točku (c) i članak 77. stavak 1. OUZP‑a tumačiti na način da je u okviru postupka pritužbe nadzorno tijelo nadležno provjeriti predviđaju li se pravom države članice kojem podliježe voditelj obrade odgovarajuće mjere za zaštitu legitimnih interesa ispitanika u svrhu primjene iznimke predviđene u tom članku 14. stavku 5. točki (c) i, u slučaju potvrdnog odgovora, odnosi li se ta provjera i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. te uredbe kako bi osigurao sigurnost obrade osobnih podataka.

57

Kao prvo, valja podsjetiti na to da na temelju članka 77. stavka 1. OUZP‑a, ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu ako smatra da obrada osobnih podataka koja se odnosi na njega krši tu uredbu.

58

Što se tiče nadležnosti nadzornih tijela, članak 55. stavak 1. navedene uredbe predviđa da je svako nadzorno tijelo na državnom području vlastite države članice nadležno za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene na temelju te uredbe.

59

Kada je riječ o tim zadaćama, člankom 57. stavkom 1. točkom (a) OUZP‑a određuje se da svako nadzorno tijelo prati i provodi njezinu primjenu.

60

OUZP ne sadržava nijednu odredbu na temelju koje bi se određeni aspekti primjene iznimke predviđene člankom 14. stavkom 5. točkom (c) te uredbe mogli izuzeti iz nadležnosti tih nadzornih tijela.

61

Na temelju te odredbe, voditelj obrade izuzet je od obveze pružanja informacija ispitaniku iz članka 14. stavaka 1., 2. i 4. OUZP‑a ako i u mjeri u kojoj je, s jedne strane, dobivanje ili otkrivanje podataka izrijekom propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a, s druge strane, tim pravom predviđaju se odgovarajuće mjere zaštite legitimnih interesa ispitanika.

62

Stoga se pritužba na temelju članka 77. stavka 1. OUZP‑a može temeljiti na povredi obveze voditelja obrade da pruži informacije, koja se temelji na nepoštovanju uvjeta za primjenu iznimke predviđene u članku 14. stavku 5. točki (c) te uredbe.

63

Kad je riječ o prvom uvjetu, navedenom u točki 61. ove presude, od nadzornog tijela kojem je podnesena takva pritužba može se zatražiti da provjeri predviđa li pravo Unije ili nacionalno pravo da voditelj obrade mora dobiti ili otkriti osobne podatke.

64

Što se tiče drugog uvjeta, valja utvrditi, poput nezavisne odvjetnice u točkama 67. i 69. svojega mišljenja, da doseg izraza „odgovarajuće mjere za zaštitu legitimnih interesa ispitanika” nije pojašnjen u OUZP‑u. Međutim, odredbe prava Unije ili prava države članice kojima se predviđaju takve mjere i koje se primjenjuju na voditelja obrade moraju jamčiti, kao što je to navedeno u točki 54. ove presude, razinu zaštite ispitanika s obzirom na obradu njegovih osobnih podataka koja je barem jednaka onoj predviđenoj u članku 14. stavcima 1. do 4. te uredbe. Stoga te odredbe moraju omogućiti ispitaniku da izvršava nadzor nad svojim osobnim podacima i izvršava prava koja su mu dodijeljena OUZP‑om.

65

U tu je svrhu osobito važno da se u tim odredbama jasno i predvidljivo navede izvor iz kojeg ispitanik dobiva informacije o obradi osobnih podataka koji se na njega odnose.

66

U vezi s prijenosom osobnih podataka među tijelima države članice i generiranjem takvih podataka od strane voditelja obrade iz podataka prikupljenih od osobe koja nije ispitanik, valja istaknuti da je, u slučaju pritužbe te osobe, na nadzornom tijelu da provjeri, među ostalim, definira li nacionalno pravo ili relevantno pravo Unije dovoljno precizno različite vrste osobnih podataka koje treba dobiti ili otkriti te osobne podatke koje treba generirati u okviru izvršavanja svojih zadaća i propisuje li se tim pravom na koji način ispitanik ima stvarni pristup informacijama iz članka 14. stavaka 1., 2. i 4. OUZP‑a.

67

Kao što to Komisija naglašava u svojim pisanim očitovanjima, provjera – koju provodi nadzorno tijelo – jesu li ispunjeni svi uvjeti za primjenu iznimke predviđene u članku 14. stavku 5. točki (c) OUZP‑a ipak nije obuhvaćena ispitivanjem valjanosti relevantnih odredbi nacionalnog prava. To tijelo odlučuje samo o tome ima li voditelj obrade u određenom slučaju pravo pozvati se na iznimku predviđenu tom odredbom u pogledu ispitanika.

68

Kad je riječ o ishodu takve provjere, valja podsjetiti na to da, na temelju članka 78. te uredbe, kada u određenom slučaju nadzorno tijelo odluči da je ispitanikova pritužba neosnovana, on u svojoj državi članici mora imati pravo na djelotvoran pravni lijek protiv te odluke o odbijanju.

69

Nasuprot tomu, ako to tijelo smatra da je pritužba osnovana i da nisu ispunjeni uvjeti za primjenu iznimke predviđene u članku 14. stavku 5. točki (c) navedene uredbe, ono voditelju obrade nalaže da ispitaniku pruži informacije u skladu s člankom 14. stavcima 1., 2. i 4. iste uredbe.

70

Kao drugo, što se tiče pitanja treba li se ta provjera odnositi i na prikladnost, s obzirom na članak 32. OUZP‑a, mjera koje voditelj obrade mora provesti kako bi osigurao sigurnost obrade, valja naglasiti da se člankom 14. stavkom 5. točkom (c) te uredbe utvrđuje samo iznimka od obveze pružanja informacija predviđene u članku 14. stavcima 1., 2. i 4. navedene uredbe, a da se pritom ne predviđa odstupanje od obveza sadržanih u drugim odredbama te uredbe, među kojima je i njezin članak 32.

71

Tim člankom 32. voditelja obrade i izvršitelja obrade obvezuje se da provedu odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti obrade osobnih podataka. Prikladnost takvih mjera nacionalni sudovi moraju konkretno ocijeniti, uzimajući u obzir rizike povezane s obradom o kojoj je riječ i ocjenom toga jesu li priroda, sadržaj i provedba tih mjera prilagođeni tim rizicima (vidjeti u tom smislu presude od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 42., 46. i 47., i od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 37. i 38.).

72

S obzirom na tekst tih dviju odredbi, valja istaknuti da su obveze utvrđene u članku 32. OUZP‑a, koje se u svakom slučaju moraju poštovati i neovisno o postojanju obveze pružanja informacija na temelju članka 14. te uredbe, različite prirode i dosega u odnosu na obvezu pružanja informacija predviđenu tim člankom 14.

73

Tako je u slučaju pritužbe na temelju članka 77. stavka 1. OUZP‑a, zbog toga što se voditelj obrade pogrešno pozvao na iznimku predviđenu u članku 14. stavku 5. točki (c) te uredbe, predmet provjera koje nadzorno tijelo treba provesti ograničen područjem primjene samo članka 14. navedene uredbe, pri čemu poštovanje njezina članka 32. nije dio tih provjera.

74

Uzimajući u obzir prethodno navedene razloge, na drugo i treće pitanje valja odgovoriti tako da članak 14. stavak 5. točku (c) i članak 77. stavak 1. OUZP‑a treba tumačiti na način da je u okviru postupka pritužbe nadzorno tijelo nadležno provjeriti predviđaju li se pravom države članice koje se primjenjuje na voditelja obrade odgovarajuće mjere za zaštitu legitimnih interesa ispitanika u svrhu primjene iznimke predviđene u tom članku 14. stavku 5. točki (c). Međutim, ta provjera ne odnosi se i na prikladnost mjera koje je voditelj obrade dužan provesti na temelju članka 32. te uredbe kako bi zajamčio sigurnost obrade osobnih podataka.

75

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (treće vijeće) odlučuje: