–

J. M., osobno,

–

za Apulaistietosuojavaltuutettu, A. Talus, tietosuojavaltuutettu,

–

za Pankki S, T. Kalliokoski i J. Lång, asianajajat, te E.-L. Hokkonen, oikeustieteen maisteri,

–

za finsku vladu, A. Laine i H. Leppo, u svojstvu agenata,

–

za češku vladu, A. Edelmannová, M. Smolek i J. Vláčil, u svojstvu agenata,

–

za austrijsku vladu, A. Posch, u svojstvu agenta,

–

za Europsku komisiju, A. Bouchagiar, H. Kranenborg i I. Söderlund, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 15. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).

2

Zahtjev je upućen u okviru postupka koji je pokrenula osoba J. M., kojim traži poništenje odluke Apulaistietosuojavaltuutettu (zamjenik službenika za obradu podataka, Finska) kojom je odbijen njezin zahtjev da se društvu Pankki S, bankarskoj instituciji sa sjedištem u Finskoj, naloži da joj pruži određene informacije koje se odnose na uvide u njezine osobne podatke.

3

U uvodnim izjavama 4., 10., 11., 26., 39., 58., 60., 63. i 74. OUZP‑a navodi se:

[...]

[...]

[...]

[...]

[...]

[...]

[...]

4

Članak 1. OUZP‑a, naslovljen „Predmet i ciljevi”, u stavku 2. propisuje:

„Ovom se [u]redbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.”

5

Člankom 4. te uredbe predviđa se:

„Za potrebe ove [u]redbe:

[...]

[...]

[...]

[...]”

6

Članak 5. navedene uredbe, naslovljen „Načela obrade osobnih podataka”, glasi kako slijedi:

„1.   Osobni podaci moraju biti:

[...]

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

7

U članku 12. OUZP‑a, naslovljenom „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika”, navodi se:

„1.   Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, [...] Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. [...]

[...]

5.   [...] Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može:

[...]

Teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva jest na voditelju obrade.

[...]”

8

Člankom 15. te uredbe, naslovljenim „Pravo ispitanika na pristup”, propisuje se:

„1.   Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:

[...]

3.   Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. [...]

4.   Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.”

9

Člancima 16. i 17. navedene uredbe utvrđuju se ispitanikovo pravo na ispravak netočnih osobnih podataka (pravo na ispravak) odnosno njegovo pravo, u određenim okolnostima, na brisanje tih podataka (pravo na brisanje ili „pravo na zaborav”).

10

Članak 18. iste uredbe, naslovljen „Pravo na ograničenje obrade”, u stavku 1. propisuje:

„Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećeg:

11

Članak 21. OUZP‑a, naslovljen „Pravo na prigovor”, u stavku 1. predviđa:

„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

[...]”

12

U skladu s člankom 24. stavkom 1. te uredbe:

„Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom [u]redbom. [...]”

13

Članak 29. navedene uredbe, naslovljen „Obrada pod vodstvom voditelja obrade ili izvršitelja obrade”, glasi kako slijedi:

„Izvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.”

14

Člankom 30. OUZP‑a, naslovljenim „Evidencija aktivnosti obrade”, predviđa se:

„1.   Svaki voditelj obrade i predstavnik voditelja obrade, ako je primjenjivo, vodi evidenciju aktivnosti obrade za koje je odgovoran.

[...]

4.   Voditelj obrade ili izvršitelj obrade te predstavnik voditelja obrade ili izvršitelja obrade, ako je primjenjivo, na zahtjev daju nadzornom tijelu uvid u evidenciju.

[...]”

15

Članak 58. te uredbe, naslovljen „Ovlasti”, u stavku 1. propisuje:

„1. Svako nadzorno tijelo ima sve sljedeće istražne ovlasti:

16

Člankom 77. navedene uredbe‚ naslovljenim „Pravo na pritužbu nadzornom tijelu”‚ određuje se sljedeće:

„1.   Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek‚ svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu‚ osobito u državi članici u kojoj ima uobičajeno boravište‚ u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja‚ ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu [u]redbu.

2.   Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe‚ među ostalim o mogućnosti sudskog pravnog lijeka na temelju članka 78.”

17

U članku 79. OUZP‑a‚ naslovljenom „Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade”‚ u stavku 1. navodi se:

„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj [u]redbi prekršena njegova prava iz ove [u]redbe.”

18

Članak 82. te uredbe, naslovljen „Pravo na naknadu štete i odgovornost”, u stavku 1., predviđa:

„Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove [u]redbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.”

19

U skladu s člankom 99. stavkom 2. OUZP‑a, on je stupio na snagu 25. svibnja 2018.

20

Tijekom 2014. osoba J. M., koja je tada bila zaposlenik i klijent banke Pankki S, doznala je da su djelatnici banke u razdoblju od 1. studenoga do 31. prosinca 2013. u više navrata izvršili uvid u njezine osobne podatke kao klijenta.

21

Budući da je sumnjala u zakonitost tih uvida, osoba J. M., koja je u međuvremenu otpuštena sa svojeg radnog mjesta u banci Pankki S, zatražila je 29. svibnja 2018. od te banke da joj pruži informacije o identitetu osoba koje su izvršile uvid u njezine podatke kao klijenta, točnim datumima uvidâ i svrsi obrade navedenih podataka.

22

U svojem odgovoru od 30. kolovoza 2018. banka Pankki S, kao voditelj obrade u smislu članka 4. točke 7. OUZP‑a, odbila je pružiti informacije o identitetu zaposlenika koji su izvršili uvide s obrazloženjem da te informacije predstavljaju osobne podatke tih zaposlenika.

23

Međutim, u tom je odgovoru banka Pankki S iznijela pojašnjenja o uvidima koje je prema njezinim uputama izvršila služba za internu reviziju. Tako je objasnila da je klijent banke, čiji je osobni bankar bila osoba J. M., bio vjerovnik osobe koja se preziva isto kao i osoba J. M., pa je željela razjasniti jesu li tužitelj iz glavnog postupka i predmetni dužnik jedna te ista osoba i je li možda došlo do nedopuštenog sukoba interesa. Banka Pankki S dodala je da je obrada podataka osobe J. M. bila nužna za rješavanje tog pitanja te da se svaki djelatnik banke koji je obrađivao te podatke morao očitovati službi za internu reviziju o razlozima te obrade podataka. Usto, banka je izjavila da je na temelju tih uvida isključena svaka sumnja u sukob interesa u pogledu osobe J. M.

24

Osoba J. M. obratila se Tietosuojavaltuutetun toimisto (Ured službenika za zaštitu podataka, Finska), nadzornom tijelu u smislu članka 4. točke 21. OUZP‑a, kako bi se banci Pankki S naložilo da joj proslijedi tražene informacije.

25

Odlukom od 4. kolovoza 2020. zamjenik službenika za obradu podataka odbio je zahtjev osobe J. M. Objasnio je da je cilj takvog zahtjeva toj osobi omogućiti pristup datotekama zapisâ zaposlenika koji su obrađivali njezine podatke, ali, prema njegovoj praksi odlučivanja, takve datoteke nisu osobni podaci koji se odnose na ispitanika, nego podaci koji se odnose na zaposlenike koji su obrađivali podatke te osobe.

26

Osoba J. M. podnijela je tužbu protiv te odluke sudu koji je uputio zahtjev.

27

Taj sud podsjeća na to da je člankom 15. OUZP‑a predviđeno pravo ispitanika da od voditelja obrade dobije pristup podacima koji se na njega odnose i informacijama o, među ostalim, svrsi obrade i primateljima podataka. On nastoji doznati odnosi li se članak 15. OUZP‑a na prosljeđivanje datoteka zapisâ generiranih tijekom postupaka obrade, koje sadržavaju takve informacije, osobito identitet zaposlenikâ voditelja obrade, s obzirom na to da bi se te datoteke mogle pokazati potrebnima da ispitanik ocijeni zakonitost obrade svojih podataka.

28

U tim je okolnostima Itä-Suomen hallinto‑oikeus (Upravni sud istočne Finske, Finska) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

29

Svojim četvrtim pitanjem, koje valja najprije ispitati, sud koji je uputio zahtjev u biti pita primjenjuje li se članak 15. OUZP‑a, u vezi s člankom 99. stavkom 2. te uredbe, na zahtjev za pristup informacijama navedenima u prvoj od tih odredbi kada su postupci obrade na koje se taj zahtjev odnosi provedeni prije datuma početka primjene navedene uredbe, ali je zahtjev podnesen nakon tog datuma.

30

Kako bi se odgovorilo na to pitanje, valja istaknuti da se na temelju članka 99. stavka 2. OUZP‑a ta uredba primjenjuje od 25. svibnja 2018.

31

U ovom slučaju, iz odluke kojom se upućuje prethodno pitanje proizlazi da su postupci obrade osobnih podataka o kojima je riječ u glavnom postupku provedeni između 1. studenoga 2013. i 31. prosinca 2013., odnosno prije datuma početka primjene OUZP‑a. Međutim, iz te odluke također proizlazi da je osoba J. M. svoj zahtjev za pružanje informacija podnijela banci Pankki S nakon tog datuma, odnosno 29. svibnja 2018.

32

U tom pogledu treba podsjetiti na to da se postupovna pravila općenito primjenjuju od datuma svojeg stupanja na snagu‚ za razliku od materijalnih pravila‚ koja se obično tumače na način da se na situacije koje su nastale i u cijelosti su okončane prije njihova stupanja na snagu primjenjuju samo ako iz njihove formulacije‚ svrhe ili strukture jasno proizlazi da im valja priznati takav učinak (presuda od 15. lipnja 2021.‚ Facebook Ireland i dr.‚ C‑645/19‚ EU:C:2021:483‚ t. 100. i navedena sudska praksa).

33

U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da je zahtjev osobe J. M. za pružanje informacija o kojima je riječ u glavnom postupku povezan s člankom 15. stavkom 1. OUZP‑a, kojim se predviđa pravo ispitanika na pristup osobnim podacima koji se na njega odnose i koji se obrađuju te informacijama navedenima u toj odredbi.

34

Valja utvrditi da se navedena odredba ne odnosi na uvjete zakonitosti obrade ispitanikovih osobnih podataka. Naime, člankom 15. stavkom 1. OUZP‑a samo se pojašnjava opseg prava te osobe na pristup podacima i u njemu navedenim informacijama.

35

Iz toga proizlazi da, kao što je to nezavisni odvjetnik istaknuo u točki 33. svojeg mišljenja, člankom 15. stavkom 1. OUZP‑a ispitanicima se dodjeljuje postupovno pravo (pravo na pristup) na dobivanje informacija o obradi njihovih osobnih podataka. S obzirom na njegovu postupovnu prirodu, ta se odredba primjenjuje na zahtjeve za pristup koji su podneseni od početka primjene te uredbe, kao što je to zahtjev osobe J. M.

36

U tim okolnostima, na četvrto pitanje valja odgovoriti tako da članak 15. OUZP‑a, u vezi s člankom 99. stavkom 2. te uredbe, treba tumačiti na način da se primjenjuje na zahtjev za pristup informacijama navedenima u toj odredbi kada su postupci obrade na koje se taj zahtjev odnosi provedeni prije datuma početka primjene navedene uredbe, ali je zahtjev podnesen nakon tog datuma.

37

Svojim prvim i drugim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li članak 15. stavak 1. OUZP‑a tumačiti na način da informacije o uvidima u osobne podatke određene osobe, koje se odnose na datume i svrhe tih uvida, kao i na identitet pojedinaca koje su te uvide izvršile, predstavljaju informacije koje ta osoba ima pravo dobiti od voditelja obrade na temelju te odredbe.

38

Najprije valja podsjetiti na to da, u skladu s ustaljenom sudskom praksom, pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 12. siječnja 2023., Österreichische Post (Informacije koje se odnose na primatelje osobnih podataka), C‑154/21, EU:C:2023:3, t. 29.).

39

Što se tiče, prije svega, teksta članka 15. stavka 1. OUZP‑a, tom se odredbom predviđa da ispitanik ima pravo od voditelja obrade dobiti potvrdu o tome obrađuju li se osobni podaci koji se na njega odnose i, ako je odgovor potvrdan, ostvariti pristup navedenim osobnim podacima te dobiti informacije, među ostalim, o svrsi obrade, o primateljima ili kategorijama primatelja kojima su ti osobni podaci otkriveni ili će biti otkriveni.

40

U tom pogledu valja naglasiti da su pojmovi iz članka 15. stavka 1. OUZP‑a definirani u članku 4. te uredbe.

41

Stoga je, kao prvo, člankom 4. točkom 1. OUZP‑a utvrđeno da su osobni podaci „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” te je pojašnjeno da „pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.

42

Upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” u toj odredbi odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (presuda 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 23.).

43

U tom je pogledu presuđeno da se informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (presuda 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 24.).

44

Kad je riječ o tome može li se „utvrditi identitet” pojedinca, uvodnom izjavom 26. OUZP‑a pojašnjava se da bi „trebalo [...] uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca”.

45

Iz toga proizlazi da široka definicija pojma „osobni podaci” ne obuhvaća samo podatke koje prikuplja i pohranjuje voditelj obrade, nego također uključuje sve informacije koje proizlaze iz obrade osobnih podataka koji se odnose na osobu čiji je identitet utvrđen ili se može utvrditi (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 26.).

46

Kao drugo, kad je riječ o pojmu „obrada”, kako je definiran u članku 4. stavku 2. OUZP‑a, valja utvrditi da je upotrebom izraza „svaki postupak” zakonodavac Unije namjeravao tom pojmu dati široko značenje koristeći neiscrpni popis postupaka koji se obavljaju na osobnim podacima ili skupovima osobnih podataka koji, među ostalim, obuhvaćaju prikupljanje, bilježenje, pohranu ili pak obavljanje uvida (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 27.).

47

Kao treće, u članku 4. točki 9. OUZP‑a pojašnjeno je da „primatelj” znači „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana”.

48

U tom je pogledu Sud presudio da ispitanik ima pravo od voditelja obrade dobiti informacije o konkretnim primateljima kojima su otkriveni ili će biti otkriveni osobni podaci koji se odnose na njega (presuda od 12. siječnja 2023., Österreichische Post (Informacije o primateljima osobnih podataka), C‑154/21, EU:C:2023:3, t. 46.).

49

Prema tome, iz jezične analize članka 15. stavka 1. OUZP‑a i u njemu navedenih pojmova proizlazi da je pravo na pristup, koje se tom odredbom priznaje ispitaniku, obilježeno širokim opsegom informacija koje voditelj obrade podataka treba pružiti toj osobi.

50

Nadalje, što se tiče konteksta članka 15. stavka 1. OUZP‑a, valja podsjetiti na to da se, kao prvo, uvodnom izjavom 63. te uredbe predviđa da bi svaki ispitanik trebao imati pravo znati i dobiti obavijest, osobito, o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, te o primateljima osobnih podataka.

51

Kao drugo, u uvodnoj izjavi 60. OUZP‑a navodi se da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka. Osim toga, u skladu s načelom transparentnosti, koje navodi sud koji je uputio zahtjev, na koje se upućuje u uvodnoj izjavi 58. OUZP‑a i koje je izričito utvrđeno člankom 12. stavkom 1. te uredbe, svaka informacija namijenjena ispitaniku treba biti sažeta, lako dostupna i razumljiva, uz uporabu jasnog i jednostavnog jezika.

52

U tom pogledu, člankom 12. stavkom 1. OUZP‑a pojašnjava se da voditelj obrade mora pružiti informacije u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem, osim ako ispitanik ne zatraži da se pruže usmenim putem. Cilj je te odredbe, kao odraza obveze transparentnosti, osigurati da ispitanik može u potpunosti razumjeti informacije koje mu se dostavljaju (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 38. i navedena sudska praksa).

53

Iz prethodne kontekstualne analize proizlazi da je članak 15. stavak 1. OUZP‑a jedna od odredbi kojima se jamči transparentnost načina obrade osobnih podataka u odnosa na ispitanika.

54

Naposljetku, to tumačenje opsega prava na pristup iz članka 15. stavka 1. OUZP‑a potvrđuju ciljevi koji se nastoje postići tom uredbom.

55

Naime, kao prvo, njezina je svrha, kao što je to navedeno u uvodnim izjavama 10. i 11. te uredbe, osigurati postojanu i visoku razinu zaštite pojedinaca u Uniji te ojačati i detaljno odrediti prava ispitanika.

56

Usto, kao što to proizlazi iz uvodne izjave 63. OUZP‑a, cilj ispitanikova prava na pristup vlastitim osobnim podacima i drugim informacijama koje se navode u članku 15. stavku 1. te uredbe prije svega je omogućiti toj osobi da bude svjesna obrade svojih podataka i da provjeri njezinu zakonitost. Iz toga slijedi da bi, u skladu s tom uvodnom izjavom i kao što je navedeno u točki 50. ove presude, svaki ispitanik trebao imati pravo znati i dobiti obavijest, osobito, o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, o primateljima osobnih podataka te o logici njihove obrade.

57

U tom pogledu, kao drugo, valja podsjetiti na to da je Sud već presudio da pravo na pristup iz članka 15. OUZP‑a treba omogućiti ispitaniku da se uvjeri u točnost osobnih podataka koji se na njega odnose i zakonitost njihove obrade (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 34.).

58

Konkretno, to je pravo na pristup nužno kako bi se ispitaniku omogućilo da prema potrebi ostvari svoje pravo na ispravak, brisanje („pravo na zaborav”) i pravo na ograničenje obrade, koja su mu priznata člancima 16., 17. i 18. OUZP‑a, pravo na podnošenje prigovora protiv obrade osobnih podataka, predviđeno člankom 21. OUZP‑a te pravo na pravni lijek u slučaju pretrpljene štete predviđeno člancima 79. i 82. OUZP‑a (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 35. i navedena sudska praksa).

59

Prema tome, članak 15. stavak 1. OUZP‑a jedna je od odredbi kojima se jamči transparentnost načina obrade osobnih podataka u pogledu ispitanika (presuda od 12. siječnja 2023.Österreichische Post (Informacije o primateljima osobnih podataka), C‑154/21, EU:C:2023:3, t. 42.), a bez koje transparentnosti bez koje on ne bi mogao ocijeniti zakonitost obrade svojih podataka ni izvršavati ovlasti koje su, među ostalim, predviđene člancima 16. do 18., 21., 79. i 82. te uredbe.

60

U ovom slučaju iz odluke kojom se upućuje prethodno pitanje proizlazi da je osoba J. M. od banke Pankki S zatražila da joj pruži informacije o uvidima u njezine osobne podatke između 1. studenoga 2013. i 31. prosinca 2013., koje se odnose na datume tih uvida, njihovu svrhu i identitet osoba koje su izvršile navedene uvide. Sud koji je uputio zahtjev navodi da bi se prosljeđivanjem datoteka zapisâ generiranih tijekom navedenih uvida moglo udovoljiti zahtjevu osobe J. M.

61

U ovom slučaju nije sporno da uvidi u osobne podatke tužitelja iz glavnog postupka predstavljaju „obradu” u smislu članka 4. točke 2. OUZP‑a, tako da on na temelju članka 15. stavka 1. te uredbe ima ne samo pravo na pristup tim osobnim podacima nego i pravo na to da mu se pruže informacije koje se odnose na te uvide, kako su navedene u potonjoj odredbi.

62

Kad je riječ o informacijama kao što su one koje je zatražila osoba J. M., obavijest o, prije svega, datumima uvida omogućuje ispitaniku da dobije potvrdu da su njegovi osobni podaci stvarno obrađivani u određenom trenutku. Usto, budući da uvjeti zakonitosti iz članaka 5. i 6. OUZP‑a trebaju biti ispunjeni u trenutku same obrade, datum te obrade je podatak koji omogućuje provjeru njezine zakonitosti. Nadalje, valja istaknuti da se informacija o svrsi obrade izričito navodi u članku 15. stavku 1. točki (a) te uredbe. Naposljetku, člankom 15. stavkom 1. točkom (c) navedene uredbe predviđa se da voditelj obrade obavješćuje ispitanika o primateljima kojima su otkriveni njezini podaci.

63

Što se tiče, konkretnije, pružanja svih tih informacija dostavom datoteka zapisâ o postupcima obrade o kojima je riječ u glavnom postupku, valja istaknuti da se u članku 15. stavku 3. prvoj rečenici OUZP‑a navodi da voditelj obrade „osigurava kopiju osobnih podataka koji se obrađuju”.

64

U tom pogledu Sud je već presudio da tako upotrijebljen pojam „kopija” označava reprodukciju ili vjerni prijepis izvornika, tako da isključivo opći opis podataka koji se obrađuju ili upućivanje na kategorije osobnih podataka ne odgovaraju toj definiciji. Usto, iz teksta članka 15. stavka 3. prve rečenice te uredbe proizlazi da se obveza priopćavanja odnosi na osobne podatke koji su predmet obrade o kojoj je riječ (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 21.).

65

Kopija, koju voditelj obrade treba osigurati, treba sadržavati sve osobne podatke koji se obrađuju, sve značajke koje ispitaniku omogućuju učinkovito ostvarivanje njegovih prava na temelju navedene uredbe i stoga treba u potpunosti i vjerno reproducirati te podatke (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 32. i 39.).

66

Stoga, kako bi se osiguralo da su tako pružene informacije lako razumljive, kao što se to zahtijeva člankom 12. stavkom 1. OUZP‑a, u vezi s uvodnom izjavom 58. te uredbe, reprodukcija izvadaka dokumenata, cijelih dokumenta ili pak izvadaka iz baza podataka koji, među ostalim, sadržavaju osobne podatke koji se obrađuju, može se pokazati neophodnom, u slučaju kada je kontekstualizacija obrađenih podataka nužna kako bi se osigurala njihova razumljivost. Konkretno, kada su osobni podaci dobiveni iz drugih podataka ili kada takvi podaci proizlaze iz neispunjenih polja, odnosno iz nenavođenja informacije o ispitaniku, kontekst u kojem se ti podaci obrađuju bitan je element koji ispitaniku omogućuje transparentan pristup tim podacima i njihov razumljiv prikaz (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 41. i 42.).

67

U ovom slučaju, kao što je to istaknuo nezavisni odvjetnik u točkama 88. do 90. svojeg mišljenja, u datoteke zapisâ, koje sadržavaju informacije koje je zatražila osoba J. M., spadaju evidencije aktivnosti u smislu članka 30. OUZP‑a. Treba smatrati da se na njih odnose mjere, navedene u uvodnoj izjavi 74. te uredbe, koje provodi voditelj obrade kako bi dokazao usklađenost aktivnosti obrade s navedenom uredbom. U članku 30. stavku 4. te uredbe posebno se navodi da se nadzornom tijelu, na njegov zahtjev, te evidencije trebaju dati na uvid.

68

Pod uvjetom da te evidencije aktivnosti ne sadržavaju informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi, u smislu sudske prakse navedene u točkama 42. i 43. ove presude, one voditelju obrade samo omogućuju da ispuni svoje obveze prema nadzornom tijelu koje zatraži njihovu dostavu.

69

Kad je, konkretnije, riječ o datotekama zapisâ voditelja obrade, dostava kopije informacija koje se nalaze u tim datotekama može se pokazati nužnom za ispunjenje obveze da se ispitaniku omogući pristup svim informacijama iz članka 15. stavka 1. OUZP‑a i za osiguravanje poštene i transparentne obrade, čime bi mu se omogućilo da u potpunosti ostvari svoja prava koja ima na temelju te uredbe.

70

Naime, kao prvo, takve datoteke upućuju na to da postoji obrada podataka kojoj ispitanik treba imati pristup na temelju članka 15. stavka 1. OUZP‑a. Usto, one pružaju informacije o učestalosti i intenzitetu uvida, što omogućuje ispitaniku da se uvjeri da je obrada doista provedena u svrhe koje je voditelj obrade naveo.

71

Kao drugo, te datoteke sadržavaju informacije o identitetu osoba koje su izvršile uvide.

72

U ovom slučaju, iz odluke kojom se upućuje prethodno pitanje proizlazi da su osobe koje su izvršile uvide o kojima je riječ u glavnom postupku zaposlenici banke Pankki S koji su djelovali pod njezinim vodstvom i u skladu s njezinim uputama.

73

Iako iz članka 15. stavka 1. točke (c) OUZP‑a proizlazi da ispitanik ima pravo od voditelja obrade dobiti informacije o primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, zaposlenici voditelja obrade ne mogu se smatrati „primateljima” u smislu članka 15. stavka 1. točke (c) OUZP‑a, kako je navedeno u točkama 47. i 48. ove presude, kada obrađuju osobne podatke pod vodstvom navedenog voditelja i u skladu s njegovim uputama, kao što je to istaknuo nezavisni odvjetnik u točki 63. svojeg mišljenja.

74

U tom pogledu, važno je naglasiti da, u skladu s člankom 29. OUZP‑a, bilo koja osoba koja djeluje pod vodstvom voditelja obrade i koja ima pristup osobnim podacima može obrađivati te podatke samo po uputi navedenog voditelja.

75

Prema tome, informacije koje su sadržane u datotekama zapisâ i koje se odnose na osobe koje su izvršavale uvide u ispitanikove osobne podatke mogu predstavljati informacije iz članka 4. točke 1. OUZP‑a, kao što su one navedene u točki 41. ove presude, koje omogućuju ispitaniku da provjeri zakonitost obrade svojih podataka, a osobito da se uvjeri da su postupci obrade stvarno provedeni pod vodstvom voditelja obrade i u skladu s njegovim uputama.

76

Međutim, kao prvo, iz odluke kojom se upućuje prethodno pitanje proizlazi da informacije iz datoteka zapisâ, kao što su one iz glavnog postupka, omogućuju utvrđivanje identiteta zaposlenika koji su proveli obradu i sadržavaju osobne podatke tih zaposlenika, u smislu članka 4. točke 1. OUZP‑a.

77

U tom pogledu valja podsjetiti na to da, kad je riječ o pravu na pristup iz članka 15. OUZP‑a, u uvodnoj izjavi 63. te uredbe pojašnjava se da „[t]o pravo ne bi smjelo negativno utjecati na prava ili slobode drugih”.

78

Naime, na temelju uvodne izjave 4. OUZP‑a, pravo na zaštitu osobnih podataka nije apsolutno pravo jer ga treba razmatrati u odnosu na njegovu funkciju u društvu i ujednačiti s drugim temeljnim pravima (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 172.).

79

Međutim, pod pretpostavkom da je pružanje informacija o identitetu zaposlenikâ voditelja obrade nužno da bi se ispitanik na kojeg se obrada odnosi uvjerio u zakonitost obrade svojih osobnih podataka, time se ipak mogu povrijediti prava i slobode tih zaposlenika.

80

U tim okolnostima, u slučaju sukoba između, s jedne strane, ostvarivanja prava na pristup, kojim se osigurava koristan učinak prava koja se OUZP‑om priznaju ispitaniku i, s druge strane, prava i sloboda drugih, treba odvagnuti prava i slobode o kojima je riječ. Ako je to moguće, potrebno je odabrati načine kojima se ne povređuju prava i slobode drugih, uzimajući u obzir, kao što to proizlazi iz uvodne izjave 63. OUZP‑a, da rezultat tih razmatranja ne bi smjelo biti „odbijanje pružanja svih informacija ispitaniku” (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 44.).

81

Međutim, kao drugo, iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da osoba J. M. ne traži pružanje informacija o identitetu zaposlenikâ banke Pankki S koji su izvršili uvide u njezine osobne podatke jer oni nisu stvarno djelovali pod vodstvom voditelja obrade i u skladu s njegovim uputama, nego se čini da sumnja u istinitost informacija o svrsi tih uvida koje mu je priopćila banka Pankki S.

82

U takvim okolnostima, ako ispitanik smatra da informacije koje mu je pružio voditelj obrade nisu dovoljne da otklone njegove sumnje u pogledu zakonitosti obrade njegovih osobnih podataka, on ima pravo podnijeti pritužbu nadzornom tijelu na temelju članka 77. stavka 1. OUZP‑a, a to tijelo ima ovlast, na temelju članka 58. stavka 1. točke (a) te uredbe, zahtijevati od voditelja obrade da mu pruži sve informacije koje su mu potrebne za rješavanje ispitanikove pritužbe.

83

Iz prethodnih razmatranja proizlazi da članak 15. stavak 1. OUZP‑a treba tumačiti na način da informacije o uvidima u osobne podatke određene osobe, koje se odnose na datume i svrhe tih uvida, predstavljaju informacije koje ta osoba ima pravo dobiti od voditelja obrade na temelju te odredbe. Nasuprot tomu, navedenom se odredbom ne utvrđuje takvo pravo kad je riječ o informacijama koje se odnose na identitet zaposlenikâ navedenog voditelja koji su izvršavali te uvide pod njegovim vodstvom i u skladu s njegovim uputama, osim ako su te informacije neophodne kako bi se ispitaniku omogućilo učinkovito ostvarivanje prava koja su mu dodijeljena tom uredbom i pod uvjetom da se uzmu u obzir prava i slobode tih zaposlenika.

84

Svojim trećim pitanjem sud koji je uputio zahtjev u biti pita je li okolnost, s jedne strane, da voditelj obrade obavlja bankarsku djelatnost u okviru uređene djelatnosti i, s druge strane, da je osoba čiji su osobni podaci obrađeni u svojstvu klijenta voditelja obrade ujedno i zaposlenik tog voditelja, relevantna za utvrđivanje opsega prava na pristup koje toj osobi priznaje članak 15. stavak 1. OUZP‑a.

85

Najprije valja naglasiti da se, kad je riječ o području primjene prava na pristup iz članka 15. stavka 1. OUZP‑a, nijednom odredbom te uredbe ne radi razlika s obzirom na narav djelatnosti voditelja obrade ili svojstvo osobe čiji se osobni podaci obrađuju.

86

Što se tiče, s jedne strane, uređenosti djelatnosti banke Pankki S, točno je da se člankom 23. OUZP‑a državama članicama omogućuje da u svojem zakonodavstvu ograniče opseg obveza i pravâ, među ostalim, iz članka 15. te uredbe.

87

Međutim, iz odluke kojom se upućuje prethodno pitanje ne proizlazi da se na djelatnost banke Pankki S primjenjuje takvo zakonodavstvo.

88

Što se tiče, s druge strane, okolnosti da je osoba J. M. istodobno bila klijent i zaposlenik banke Pankki S, valja istaknuti da, uzimajući u obzir ne samo ciljeve OUZP‑a, nego i opseg ispitanikova prava na pristup, kako su navedeni u točkama 49. i 55. do 59. ove presude, kontekst u kojem ta osoba traži pristup informacijama iz članka 15. stavka 1. OUZP‑a ne može ni na koji način utjecati na opseg tog prava.

89

Slijedom toga, članak 15. stavak 1. OUZP‑a treba tumačiti na način da okolnost da voditelj obrade obavlja bankarsku djelatnost u okviru uređene djelatnosti i da je osoba čiji se osobni podaci obrađuju u svojstvu klijenta voditelja obrade ujedno i zaposlenik tog voditelja, načelno ne utječe na opseg prava koje ta osoba ima na temelju te odredbe.

90

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (prvo vijeće) odlučuje: