–

za Datenschutzbehörde, M. Schmidl i E. Wagner, u svojstvu agenata,

–

za Bundesministerin für Justiz, E. Riedl, u svojstvu agenta,

–

za austrijsku vladu, A. Posch, J. Schmoll i C. Gabauer, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar i M. Heller, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 4. točke 7. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).

2

Zahtjev je podnesen u okviru spora između Amt der Tiroler Landesregierunga (Ured vlade savezne zemlje Tirol, Austrija) (u daljnjem tekstu: Ured) i Datenschutzbehördea (Tijelo za zaštitu podataka, Austrija) u vezi s navodno nezakonitom obradom tog ureda osobnih podataka fizičke osobe.

3

Uvodne izjave 1., 7., 10., 45. i 74. OUZP‑a glase kako slijedi:

[…]

[…]

[…]

[…]

4

Članak 1. te uredbe, naslovljen „Predmet i ciljevi”, u stavku 2. određuje:

„Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”

5

Članak 4. navedene uredbe, naslovljen „Definicije”, glasi kako slijedi:

Za potrebe ove Uredbe:

[…]

[…]

[…]”

6

U skladu s člankom 5. te uredbe, naslovljenim „Načela obrade osobnih podataka”:

„1.   Osobni podaci moraju biti:

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

7

U članku 6. OUZP‑a, naslovljenom „Zakonitost obrade”, u stavcima 1. i 3. navedeno je:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

[…]

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. […]”

8

Članak 56. Landesverfassungsgesetza über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989.) [regionalni zakon o osnivanju savezne zemlje Tirol (Uredba savezne zemlje Tirol iz 1989.)] od 21. rujna 1988., u verziji koja se primjenjuje na glavni postupak (u daljnjem tekstu: Uredba savezne zemlje Tirol iz 1989.), naslovljen „Landeshauptmann (guverner savezne zemlje, Austrija) (u daljnjem tekstu: guverner)”, u svom stavku 1. propisuje:

„[guverner] predstavlja saveznu zemlju Tirol.”

9

Članak 58. Uredbe savezne zemlje Tirol iz 1989., naslovljen „[Ured]”, u stavku 1. predviđa:

„[Guverner], vlada savezne zemlje i njezini članovi se u vezi s obradom svojih predmeta obraćaju [Uredu]. [Guverner] je predsjednik [Ureda].”

10

Članak 2. Tirolera Datenverarbeitungsgesetza (Zakon savezne zemlje Tirol o obradi podataka, u daljnjem tekstu: TDVG), propisuje:

„1.   Voditeljem obrade u smislu članka 4. točke 7. [OUZP‑a] smatra se:

[…]

3.   Kad savezna zemlja Tirol izvršava ili naručuje obradu podataka, voditeljem te obrade uvijek se smatra [Ured], pod uvjetom da

11

U okviru mjera namijenjenih borbi protiv pandemije bolesti COVID-19, Ured, pomoćno administrativno tijelo u službi guvernera i vlade savezne zemlje Tirol, poslao je „dopis s podsjetnikom na cijepljenje” svim punoljetnim osobama koje borave u saveznoj zemlji Tirol, a koje još nisu bile cijepljene protiv tog virusa. Kako bi odredio adresate tih dopisa, Ured je ovlastio dva privatna poduzeća koja su usporedila podatke iz središnjeg registra cijepljenja s onima u registru pacijenata, u kojem su bile navedene adrese njihova boravišta.

12

Dana 21. prosinca 2021., osoba CW, jedna od tih adresata, podnijela je Tijelu za zaštitu podataka pritužbu protiv Ureda zbog nezakonite obrade njezinih osobnih podataka. Ured je pred tim tijelom naveo da ima svojstvo „voditelja obrade” i da dopis upućen osobi CW potječe od njega.

13

Odlukom od 22. kolovoza 2022., navedeno tijelo utvrdilo je da je Ured povrijedio pravo osobe CW na zaštitu njezinih osobnih podataka, s obzirom na to da je, kako bi joj poslao „dopis s podsjetnikom na cijepljenje”, izvršio uvid u njezine podatke iz registra cijepljenja iako nije imao pravo pristupa tom registru ni registru pacijenata. Obrada osobnih podataka osobe CW bila je stoga nezakonita.

14

Ured je protiv te odluke podnio tužbu Bundesverwaltungsgerichtu (Savezni upravni sud, Austrija). Taj je sud presudio da je Ured na temelju mjerodavnog nacionalnog prava imao svojstvo voditelja obrade, ali nije imao pravo uvida u registar cijepljenja za potrebe slanja dopisa s podsjetnikom, poput onoga upućenog osobi CW. Budući da je taj sud odbio žalbu Ureda, potonji je protiv te presude podnio reviziju Verwaltungsgerichtshofu (Visoki upravni sud, Austrija), a riječ je o sudu koji je uputio zahtjev.

15

Taj sud smatra da, kako bi mogao donijeti odluku o predmetu koji je pred njime u tijeku, treba utvrditi ima li Ured, u okolnostima ovog predmeta, svojstvo „voditelja obrade” u smislu članka 4. točke 7. OUZP‑a.

16

U tom pogledu, sud koji je uputio zahtjev naglašava činjenicu da je Ured guverneru samo predložio slanje „dopisa s podsjetnikom o cijepljenju”, a riječ je o prijedlogu koji je on odobrio kao predsjednik Ureda i zastupnik savezne zemlje Tirol, u skladu s člankom 58. i člankom 56. stavkom 1. Uredbe savezne zemlje Tirol iz 1989. Ured je tako guverneru samo naveo, s jedne strane, svrhu namjeravane obrade osobnih podataka, a to je povećanje stope cijepljenja, i, s druge strane, sredstva koja će se upotrijebiti na temelju te obrade, odnosno slanje takvog „dopisa s podsjetnikom na cijepljenje” upotrebom podataka iz središnjeg registra cijepljenja i registra pacijenata.

17

Imajući u vidu to guvernerovo odobrenje, sud koji je uputio zahtjev smatra da je samo potonji odlučio o svrsi i sredstvima obrade osobnih podataka, tako da Ured ne može imati svojstvo „voditelja obrade” u smislu članka 4. točke 7. prve rečenice OUZP‑a.

18

Međutim, taj se sud pita je li Ured odredbom nacionalnog prava, odnosno člankom 2. stavkom 1. točkom (a) TDVG‑a, mogao biti valjano imenovan „voditeljem obrade”.

19

Naime, Ured nije pravna osoba ili tijelo zaduženo za obradu osobnih podataka zbog kojeg je došlo do slanja „dopisa s podsjetnikom na cijepljenje” osobi CW. Ured je u obradi sudjelovao samo kao pomoćno administrativno tijelo u službi tijela javne vlasti. On nema pravnu osobnost kao ni vlastitu pravnu sposobnost. Stoga valja utvrditi može li se Ured u tim okolnostima smatrati „agencijom ili drugim tijelom” u smislu članka 4. točke 7. prve rečenice OUZP‑a, koji se, u skladu s člankom 4. točkom 7. drugom rečenicom te uredbe, može imenovati voditeljem obrade na temelju nacionalnog prava.

20

Usto, navedeni sud podsjeća na to da se voditelj obrade, u skladu s člankom 4. točkom 7. drugom rečenicom OUZP‑a, može izravno odrediti samo ako su svrhe i sredstva dotične obrade osobnih podataka određena nacionalnim pravom. Međutim, iako je Ured člankom 2. stavkom 1. točkom (a) TDVG‑a imenovan voditeljem obrade, u tom članku ipak nisu konkretno navedene ni vrste obrada osobnih podataka koje može provesti Ured, ni svrhe koje se tim obradama trebaju postići, ni sredstva kojima se u tu svrhu može koristiti Ured.

21

Sud koji je uputio zahtjev dodaje da iz članka 6. stavka 1. točaka (c) i (e) OUZP‑a proizlazi da je obrada osobnih podataka zakonita ako je nužna radi poštovanja pravnih obveza voditelja obrade ili ako je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade. Iz tih uvjeta zakonitosti i cilja koji se želi postići člankom 4. točkom 7. OUZP‑a, a to je osiguranje djelotvorne zaštite i opsega ispitanikâ, proizlazi da države članice kao voditelja obrade mogu imenovati samo osobu ili subjekt koji mogu odrediti svrhe i sredstva obrade osobnih podataka ili barem, sudjelovati u tom određivanju.

22

U tim je okolnostima Verwaltungsgerichtshof (Visoki upravni sud) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:

„Treba li članak 4. točku 7. [OUZP‑a] tumačiti na način da mu se protivi primjena odredbe nacionalnog prava (kao što je to u ovom slučaju članak 2. stavak 1. [TDVG‑a] kojom se predviđa određeni voditelj obrade u smislu članka 4. točke 7. druge rečenice OUZP‑a, ali

23

Svojim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 4. točku 7. OUZP‑a tumačiti na način da mu se protivi nacionalni propis kojim se voditeljem obrade imenuje pomoćno administrativno tijelo koje nema pravnu osobnost kao ni vlastitu pravnu sposobnost, a da pritom u njemu nisu konkretno navedeni posebni postupci obrade osobnih podataka za koje je to tijelo odgovorno, ni svrha tih postupaka. Taj sud želi također znati treba li članak 4. točku 7. OUZP‑a tumačiti na način da subjekt koji je u skladu s tom odredbom nacionalnim pravom imenovan voditeljem obrade mora stvarno odlučiti o svrhama i sredstvima obrade osobnih podataka kako bi kao voditelj obrade bio dužan odgovoriti na zahtjeve koje mu ispitanici upućuju na temelju svojih prava koja proizlaze iz OUZP‑a.

24

Prije svega treba podsjetiti na to da na temelju članka 4. točke 7. OUZP‑a pojam „voditelj obrade” obuhvaća fizičke ili pravne osobe, tijela javne vlasti, agencije ili druga tijela koja sama ili zajedno s drugima određuju svrhe i sredstva obrade osobnih podataka. U toj je odredbi navedeno i da se, kada su svrhe i sredstva takve obrade utvrđeni među ostalim pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu predvidjeti tim pravom.

25

Iz sudske prakse Suda proizlazi da se navedenom odredbom, širokom definicijom pojma „voditelj obrade”, želi osigurati učinkovita i potpuna zaštita ispitanikâ (vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 29. i od 5. prosinca 2023., Deutsche Wohnen, C‑807/21, EU:C:2023:950, t. 40.).

26

Cilj je OUZP‑a, kao što to proizlazi iz njegova članka 1. te uvodnih izjava 1. i 10., među ostalim, osiguranje visoke razine zaštite temeljnih prava i sloboda pojedinaca, osobito njihova prava na privatnost u vezi s obradom osobnih podataka, utvrđenog u članku 8. stavku 1. Povelje o temeljnim pravima i članku 16. stavku 1. UFEU‑a (presuda od 7. ožujka 2024., IAB Europe, C‑604/22, EU:C:2024:214, t. 53. i navedena sudska praksa).

27

S obzirom na tekst članka 4. točke 7. OUZP‑a, u vezi s tim ciljem, kako bi se utvrdilo treba li osobu ili subjekt kvalificirati kao „voditelja obrade” u smislu te odredbe, valja ispitati određuje li ta osoba ili taj subjekt, sam ili zajedno s drugima, svrhe i sredstva obrade ili su oni određeni nacionalnim pravom. Ako se takvo određivanje provodi u skladu s nacionalnim pravom, valja provjeriti je li tim pravom voditelj obrade imenovan ili se njime predviđaju posebni kriteriji za njegovo imenovanje (presuda od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 29.).

28

S obzirom na široku definiciju pojma „voditelj obrade”, u smislu članka 4. točke 7. OUZP‑a, utvrđivanje svrhe i sredstava obrade i, prema potrebi, imenovanje tog voditelja u nacionalnom pravu može biti ne samo izričito nego i prešutno. U potonjem slučaju ipak se zahtijeva da to određivanje s dovoljnom sigurnošću proizlazi iz uloge, zadaće i ovlasti koje su dodijeljene dotičnoj osobi ili subjektu (presuda od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 30.).

29

Postavljeno pitanje valja ispitati s obzirom na ta uvodna razmatranja. U tu svrhu, treba kao prvo odrediti u kojoj mjeri nacionalni zakonodavac može valjano imenovati pomoćno administrativno tijelo u službi javnih tijela voditeljem obrade u smislu članka 4. točke 7. druge rečenice OUZP‑a, kad taj subjekt nema pravnu osobnost ni vlastitu pravnu sposobnost.

30

U tom pogledu, valja istaknuti s jedne strane, da je Sud već presudio da iz jasnog teksta članka 4. točke 7. OUZP‑a proizlazi da voditelj obrade može biti ne samo fizička ili pravna osoba nego i tijelo javne vlasti, agencija ili tijelo, pri čemu takvi subjekti nemaju nužno pravnu osobnost prema nacionalnom pravu (vidjeti u tom smislu presudu od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 36.).

31

Stoga nije moguće isključiti mogućnost kvalificiranja nekog subjekta kao „voditelja obrade” u smislu te odredbe, čak ni kad on nema pravnu osobnost.

32

S druge strane, što se tiče pitanja zahtijeva li kvalifikacija nekog subjekta kao „voditelja obrade” postojanje vlastite pravne sposobnosti tog subjekta, ili je u tu svrhu dovoljno da dotični subjekt ima određenu sposobnost donošenja odluka i postupanja u okviru zaštite osobnih podataka, treba podsjetiti na to da iz uvodne izjave 74. OUZP‑a proizlazi da je zakonodavac Unije htio da odgovornost voditelja obrade bude jednaka neovisno o obradi osobnih podataka koju provodi, bilo da je provodi sam ili posredstvom treće osobe koja je provodi u njegovo ime. Taj je zakonodavac također htio osigurati da voditelj obrade ima obvezu provođenja odgovarajućih i djelotvornih mjera te da bude u mogućnosti dokazati usklađenost aktivnosti obrade s tom uredbom uključujući i djelotvornost mjera, s tim da bi njima u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.

33

U toj je mjeri člankom 5. stavkom 2. OUZP‑a utvrđeno načelo pouzdanosti, na temelju kojeg je voditelj obrade odgovoran za usklađenost s načelima koja se odnose na obradu osobnih podataka, navedenima u stavku 1. tog članka 5., te predviđa da navedeni voditelj obrade mora biti u mogućnosti dokazati usklađenost s tim načelima.

34

Imajući u vidu pravne obveze voditelja obrade iz članka 4. točke 7. OUZP‑a, on mora, u skladu s modalitetima predviđenima propisima države članice koji se na njega primjenjuju, biti u mogućnosti činjenično i pravno ispuniti te obveze, s tim da činjenica da taj subjekt ima ili nema pravnu osobnost i vlastitu pravnu sposobnost u tom smislu nema nikakvog utjecaja.

35

U konkretnom slučaju, sud koji je uputio zahtjev mora provjeriti je li Ured na temelju austrijskog prava ovlašten preuzeti odgovornosti i obveze koje je OUZP propisao voditelju obrade, osobito s obzirom na okolnost, koja nije osporavana pred nacionalnim sudovima pred kojima se vodi glavni postupak, da Ured može podnijeti tužbu protiv odluke Tijela za zaštitu podataka, kao i da je protiv njega pred tim tijelom moguće podnijeti pritužbu. Sud koji je uputio zahtjev moći će također uzeti u obzir činjenicu da je Ured ovlastio dva privatna poduzeća za provedbu obrada osobnih podataka koji se nalaze u središnjem registru cijepljenja i u onom pacijenata koji borave u saveznoj zemlji Tirol.

36

Kao drugo, sud koji je uputio zahtjev pita se može li nacionalni zakonodavac neki subjekt imenovati voditeljem obrade na temelju članka 4. točke 7. druge rečenice OUZP‑a, a da pritom konkretno ne navede ni obrade osobnih podataka koje će taj subjekt možda morati provesti, ni njihovu svrhu, ni konkretna sredstva koja može upotrijebiti u svrhu te obrade.

37

Kao što je to navedeno u točki 28. ove presude, kad je neki subjekt na temelju nacionalnog prava imenovan voditeljem obrade, određivanje svrha i sredstava obrade tim pravom može biti prešutno pod uvjetom da to određivanje s dovoljnom sigurnošću proizlazi iz uloge, zadaće i ovlasti koje su dodijeljene tom subjektu. Taj je uvjet ispunjen ako te svrhe i sredstva u bitnome proizlaze iz odredbi nacionalnog prava koje uređuju djelatnost tog subjekta.

38

Izravno imenovanje – od strane nacionalnog zakonodavca – subjekta kao voditelja obrade doprinosi cilju pravne sigurnosti kojoj teži OUZP, kao što to proizlazi iz njegove uvodne izjave 7., time što se fizičkim osobama čiji se osobni podaci obrađuju omogućuje lako određivanje subjekta koji je dužan brinuti se o poštovanju prava koja imaju na temelju te uredbe.

39

Takvo imenovanje je, međutim, valjano pod uvjetom da je nacionalnim propisom određen opseg obrade osobnih podataka za koju je odgovoran taj subjekt, pri čemu ipak nije potrebno da taj zakonodavac iscrpno nabroji sve postupke obrade za čije je provođenje navedeni subjekt imenovan. Kao što je to navedeno u uvodnoj izjavi 45. te uredbe, „[j]edan propis kao osnova za više postupaka obrade, koji se temelje na pravnoj obvezi kojoj podliježe voditelj obrade ili ako je obrada potrebna za izvršenje zadaće koja se provodi zbog javnog interesa ili pri izvršavanju službene ovlasti, može biti dovoljan”.

40

Iz toga slijedi da je nacionalni propis – kojim se subjekt imenuje voditeljem obrade, a da njime pritom nisu izričito nabrojeni svi posebni postupci obrade osobnih podataka za koje je odgovoran ni svrha tih postupaka obrade – u skladu s člankom 4. točkom 7. OUZP‑a, ako je tim propisom, izričito ili barem prešutno, određen opseg obrade osobnih podataka za koju je taj subjekt odgovoran.

41

U konkretnom slučaju, sud koji je uputio zahtjev mora provjeriti, s jedne strane, je li obrada osobnih podataka koju je Ured proveo za potrebe pripreme i slanja „dopisa s podsjetnikom za cijepljenje” o kojima je riječ u glavnom postupku u skladu sa svrhama koje moraju ispunjavati postupci obrade osobnih podataka za čije je provođenje Ured imenovan odgovornim, kako te svrhe, makar prešutno, proizlaze iz svih odredbi nacionalnog prava koje uređuju njegovu djelatnost i, s druge strane, sredstva koja može upotrijebiti u tu svrhu. Sama okolnost da u tim nacionalnim odredbama nisu, ako je to slučaj, konkretno navedeni postupci obrade koje Ured može provesti, ne može isključiti kvalifikaciju subjekta poput Ureda, kao voditelja obrade u smislu članka 4. točke 7. OUZP‑a.

42

Kao treće, sud koji je uputio zahtjev pita treba li subjekt koji je nacionalnim pravom, na temelju članka 4. točke 7. druge rečenice OUZP‑a, imenovan voditeljem obrade, također sam ili s drugim nadležnim tijelima odlučivati o svrhama i sredstvima obrade osobnih podataka za koju je imenovan odgovornim, kako bi u tom svojstvu bio dužan odgovoriti na zahtjeve koje mu ispitanici upućuju na temelju svojih prava koja proizlaze iz OUZP‑a.

43

U tom smislu, dovoljno je navesti da je upravo radi utvrđivanja svojstva voditelja obrade nekog subjekta, u smislu članka 4. točke 7. prve rečenice OUZP‑a, potrebno ispitati je li taj subjekt za vlastite potrebe stvarno utjecao na određivanje svrha i sredstava te obrade (vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 30. i 31.).

44

S druge strane, kako bi se utvrdilo svojstvo voditelja obrade nekog subjekta, u smislu članka 4. točke 7. druge rečenice OUZP‑a, nije potrebno, kao što to proizlazi iz jasnog teksta te odredbe, da taj subjekt utječe na određivanje svrhâ i sredstava te obrade.

45

Takav subjekt, koji je nacionalnim pravom imenovan voditeljem obrade, stoga ne treba sam odlučivati o svrhama i sredstvima obrade osobnih podataka kako bi, kao voditelj obrade, morao odgovoriti na zahtjeve koje mu ispitanici upućuju na temelju svojih prava koja proizlaze iz OUZP‑a.

46

U tom pogledu, Sud je već presudio da na valjanost izravnog imenovanja nije utjecala okolnost da, na temelju nacionalnog prava, subjekt koji je imenovan voditeljem obrade ne izvršava nikakav nadzor nad osobnim podacima koje treba obraditi (vidjeti u tom smislu presudu od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 37. i 38.).

47

Takvo je tumačenje u skladu s ciljem pravne sigurnosti koji se želi postići OUZP‑om. Kao što je to Europska komisija naglasila u svojim pisanim očitovanjima, taj bi cilj bio ugrožen kad bi ispitanici, da bi mogli smatrati da je nacionalni zakonodavac valjano izvršio takvo imenovanje, trebali provjeriti da subjekt koji je imenovan kao voditelj obrade njihovih osobnih podataka ima ovlast sam odrediti svrhe i sredstva takve obrade.

48

Važno je još dodati da činjenica da nije potrebno da subjekt koji je nacionalnim pravom imenovan voditeljem obrade bude ovlašten i za to da sam odlučuje o svrhama i sredstvima obrade osobnih podataka kako bi kao voditelj obrade morao odgovoriti na zahtjeve koje mu ispitanici upućuju na temelju svojih prava koja proizlaze iz OUZP‑a, te ispitanike ipak ne lišava mogućnosti da te zahtjeve upute drugom subjektu kojeg smatraju voditeljem obrade svojih osobnih podataka ili subjektu koji je zajedno s njime zadužen za tu obradu podataka zbog utjecaja koji je taj drugi subjekt izvršio na određivanje svrha i sredstava obrade o kojoj je riječ.

49

S obzirom na prethodno navedeno, na postavljeno pitanje treba odgovoriti tako da članak 4. točku 7. OUZP‑a treba tumačiti na način da mu se ne protivi nacionalni propis kojim se voditeljem obrade imenuje pomoćno administrativno tijelo koje nema pravnu osobnost kao ni vlastitu pravnu sposobnost, a da pritom u njemu nisu konkretno navedeni posebni postupci obrade osobnih podataka za koje je to tijelo odgovorno, ni svrha tih postupaka ako, s sjedne strane, takav subjekt može u skladu s tim nacionalnim zakonodavstvom ispuniti obveze koje voditelj obrade ima prema ispitanicima u području zaštite osobnih podataka i, s druge strane, ako je navedenim nacionalnim propisom izričito ili barem prešutno određen opseg obrade osobnih podataka za koju je taj subjekt odgovoran.

50

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (osmo vijeće) odlučuje:

Članak 4. točku 7. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),

treba tumačiti na način da mu se:

ne protivi nacionalni propis kojim se voditeljem obrade imenuje pomoćno administrativno tijelo koje nema pravnu osobnost kao ni vlastitu pravnu sposobnost, a da pritom u njemu nisu konkretno navedeni posebni postupci obrade osobnih podataka za koje je to tijelo odgovorno, ni svrha tih postupaka ako, s sjedne strane, takav subjekt može u skladu s tim nacionalnim zakonodavstvom ispuniti obveze koje voditelj obrade ima prema ispitanicima u području zaštite osobnih podataka i, s druge strane, ako je navedenim nacionalnim propisom izričito ili barem prešutno određen opseg obrade osobnih podataka za koju je taj subjekt odgovoran.