–

za osobu RK, D. Sudolská, advokátka,

–

za češku vladu, M. Smolek, O. Serdula i J. Vláčil, u svojstvu agenata,

–

za nizozemsku vladu, M. K. Bulterman i A. Hanje, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar, H. Kranenborg i P. Ondrůšek, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 2. točke 1. i članka 4. stavka 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1.) (u daljnjem tekstu: OUZP).

2

Zahtjev je upućen u okviru spora između osobe RK i Ministerstva zdravotnictví (ministarstvo zdravstva, Češka Republika, u daljnjem tekstu: ministarstvo), u vezi s donošenjem od strane potonjeg izvanredne mjere kojom se uređuje pristup osoba određenim mjestima i događajima radi zaštite stanovništva od širenja epidemije bolesti COVID-19.

3

U skladu s uvodnom izjavom 1. OUZP‑a, „[z]aštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima […] te člankom 16. stavkom 1. Ugovora o funkcioniranju Europske unije (UFEU) utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka”.

4

Članak 2. te uredbe, naslovljen „Glavno područje primjene”, u stavku 1. određuje:

„Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.”

5

U stavku 2. tog članka navode se četiri slučaja u kojima se OUZP „ne odnosi na obradu osobnih podataka”.

6

U skladu s člankom 4. navedene uredbe:

„Za potrebe ove Uredbe:

[…]”

7

Članci 5. i 6. iste uredbe odnose se na „[n]ačela obrade osobnih podataka” i na „[z]akonitost obrade”.

8

Uvodna izjava 48. Uredbe (EU) 2021/953 Europskog parlamenta i Vijeća od 14. lipnja 2021. o okviru za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) radi olakšavanja slobodnog kretanja tijekom pandemije bolesti COVID-19 (SL 2021., L 211, str. 1.), glasi:

„Na obradu osobnih podataka koja se provodi pri provedbi ove Uredbe primjenjuje se [OUZP]. Ovom Uredbom utvrđuje se pravna osnova za obradu osobnih podataka u smislu članka 6. stavka 1. točke (c) i članka 9. stavka 2. točke (g) [OUZP‑a] koja je nužna za izdavanje i provjeru interoperabilnih potvrda predviđenih ovom Uredbom. […] Države članice mogu obrađivati osobne podatke u druge svrhe ako je pravna osnova za obradu takvih podataka u druge svrhe, uključujući povezana razdoblja zadržavanja podataka, propisana nacionalnim pravom, koje mora biti u skladu s pravom Unije o zaštiti podataka te načelima učinkovitosti, nužnosti i proporcionalnosti i trebala bi sadržavati odredbe kojima se jasno utvrđuju područje i opseg obrade, konkretna svrha, kategorije subjekta koji može provjeravati potvrde te relevantne zaštitne mjere za sprečavanje diskriminacije i zlouporabe vodeći računa o rizicima za prava i slobode ispitanika. […]”

9

Članak 1. te uredbe, naslovljen „Predmet”, propisuje:

„Ovom se Uredbom utvrđuje okvir za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) u svrhu olakšavanja ostvarivanja prava nositeljâ na slobodno kretanje tijekom pandemije bolesti COVID-19. Ovom se Uredbom također doprinosi olakšavanju postupnog ukidanja ograničenja slobodnog kretanja koja su države članice uvele u skladu s pravom Unije kako bi se ograničilo širenje virusa SARS‑CoV-2, na koordinirani način.

Njome se pruža pravna osnova za obradu osobnih podataka potrebnih za izdavanje tih potvrda i obradu informacija potrebnih za provjeru i potvrđivanje vjerodostojnosti i valjanosti tih potvrda u potpunosti u skladu s [OUZP‑om].”

10

Članak 3. te uredbe naslovljen „EU digitalna COVID potvrda”, predviđa u svojem stavku 1. da Okvir za EU digitalnu COVID potvrdu omogućuje izdavanje, prekograničnu provjeru i prihvaćanje potvrdâ o cijepljenju, potvrdâ o testiranju kao i potvrdâ o preboljenju. Osim toga, u skladu s njegovim stavkom 2.:

„Države članice ili imenovana tijela koja djeluju u ime država članica izdaju potvrde iz stavka 1. ovog članka u digitalnom ili papirnatom obliku ili u obama oblicima. Budući nositelji imaju pravo dobiti potvrde u obliku koji sami izaberu. Te potvrde moraju biti prilagođene korisnicima i sadržavati interoperabilni crtični kod kojim se omogućuje provjera njihove vjerodostojnosti, valjanosti i cjelovitosti. Crtični kod mora ispunjavati tehničke specifikacije utvrđene na temelju članka 9. Informacije iz potvrda prikazane su i u formatu čitljivom čovjeku i navedene su barem na službenom jeziku ili jezicima države članice izdavateljice i na engleskom jeziku.”

11

Članak 5. stavak 2. točka (a), članak 6. stavak 2. točka (a) kao i članak 7. stavak 2. točka (a) navedene uredbe predviđaju da potvrda o cijepljenju, potvrda o testiranju i potvrda o preboljenju sadržavaju identitet njezina nositelja.

12

Članak 10. iste uredbe, naslovljen „Zaštita osobnih podataka”, u prvim četirima stavcima predviđa:

„1.   Na obradu osobnih podataka koja se izvršava pri provedbi ove Uredbe primjenjuje se [OUZP].

2.   Za potrebe ove Uredbe osobni podatci iz potvrda koje su izdane na temelju ove Uredbe obrađuju se samo u svrhu pristupa informacijama uključenima u potvrdu i njihove provjere kako bi se olakšalo ostvarivanje prava na slobodno kretanje unutar Unije tijekom pandemije bolesti COVID-19. Nakon kraja razdoblja primjene ove Uredbe ne provodi se daljnja obrada.

3.   Osobne podatke uključene u potvrde iz članka 3. stavka 1. obrađuju nadležna tijela države članice odredišta ili tranzita ili pružatelji usluga prekograničnog prijevoza putnika koji su u skladu s nacionalnim pravom obvezni provoditi određene javnozdravstvene mjere tijekom pandemije bolesti COVID-19 samo kako bi provjerili i potvrdili status nositelja u pogledu cijepljenja, rezultata testiranja ili preboljenja. U tu svrhu osobni podatci ograničeni su samo na ono što je strogo potrebno. Osobni podatci kojima se pristupa u skladu s ovim stavkom ne zadržavaju se.

4.   Osobne podatke koji se obrađuju u svrhu izdavanja potvrda iz članka 3. stavka 1., uključujući izdavanje nove potvrde, izdavatelj ne zadržava dulje nego što je strogo potrebno za tu svrhu, a ni u kojem slučaju dulje od razdoblja za koje se potvrde mogu koristiti radi ostvarivanja prava na slobodno kretanje.”

13

Ministarstvo je izvanrednom mjerom od 29. prosinca 2021. (u daljnjem tekstu: izvanredna mjera), donesenom radi zaštite stanovništva od proširenja pandemije bolesti COVID-19, od 3. siječnja 2022. postavilo različite uvjete za pristup osoba određenim unutarnjim i vanjskim prostorima kao i za njihovo sudjelovanje u masovnim događajima ili drugim aktivnostima. Tako se osobito zahtijevalo, kao prvo, negativni test RT‑PCR za otkrivanje prisutnosti virusa SARS‑CoV-2 ne stariji od 72 sata za osobe mlađe od 18 godina, osobe koje se nisu mogle cijepiti protiv bolesti COVID-19 zbog kontraindikacija, kao i osobe koje nisu potpuno cijepljene; kao drugo, istek razdoblja od najmanje 14 dana od potpunog cijepljenja s odobrenim lijekom ili, kao treće, zaraza bolešću COVID-19 koju je potvrdio laboratorij, ako je razdoblje izolacije isteklo i nije prošlo više od 180 dana od prvog pozitivnog testa (u daljnjem tekstu: takozvani uvjeti „nepostojanja zaraze”).

14

Izvanredna mjera obvezivala je klijente (gledatelje, sudionike) da dostave dokaz o ispunjavanju tih uvjeta te se od operaterâ (organizatorâ) zahtijevalo da s pomoću mobilne aplikacije ministarstva nazvane „čTečka” nadziru njihovo poštovanje. Ako klijent ne dokaže da je ispunio navedene uvjete, operatoru je bilo zabranjeno pružati mu uslugu i omogućiti mu pristup prostoru ili događaju. U skladu s izvanrednom mjerom, ta je aplikacija jamčila pouzdanu provjeru vjerodostojnosti i valjanosti predočenog dokumenta koji sadržava QR kod.

15

Kako bi odlučio o tužbi za poništenje izvanredne mjere koju je osoba RK podnijela 20. siječnja 2022., Nejvyšší správní soud (Vrhovni upravni sud, Češka Republika), koji je sud koji je uputio zahtjev, smatra za početak potrebnim ispitati predstavlja li nadzor takozvanih uvjeta „nepostojanja zaraze” putem aplikacije „čTečka” automatiziranu „obradu” osobnih podataka u smislu članka 4. točke 2. OUZP‑a, uz pojašnjenje da on smatra da su informacije sadržane u EU digitalnim potvrdama osobni podaci u smislu članka 4. točke 1. te uredbe. U slučaju potvrdnog odgovora, primjenjuje se navedena uredba, u skladu s njezinim člankom 2. stavkom 1.

16

Sud koji je uputio zahtjev pojašnjava da aplikacija „čTečka” omogućuje nadzor i provjeru valjanosti EU digitalnih COVID potvrda izdanih na temelju Uredbe 2021/953. Ta aplikacija skenira QR kod potvrde pomoću fotoaparata mobilnog telefona osobe zadužene za provođenje nadzora. Ta osoba zatim raspolaže pregledom osnovnih identifikacijskih podataka nositelja potvrde (prezime, ime i datum rođenja) kao i statusom – valjan ili nevaljan – te potvrde. Pritiskom na određenu tipku aplikacije, osoba zadužena za provođenje nadzora može pristupiti svim podacima navedenim u toj potvrdi, kao što su cijepljenje, vrsta cjepiva, proizvođač cjepiva, broj primljenih doza, datum cijepljenja, datum prvog pozitivnog rezultata i izdavatelj potvrde. Aplikacija „čTečka” ograničena je na privremeno prikazivanje tih podataka na zaslonu mobilnog telefona osobe zadužene za provođenje nadzora, tako da se navedeni podaci ne zadržavaju ni ne prenose.

17

Taj sud navodi da, kako bi se provjerila valjanost EU digitalne COVID potvrde, ta aplikacija sa sučelja ministarstva preuzima, jednom svakih 24 sata ili na zahtjev, javne ključeve potvrda država članica i pravila o validaciji država članica. Taj se postupak može odvijati i izvan interneta. Prilikom instalacije aplikacije na mobilni telefon osobe zadužene za provođenje nadzora pojavljuje se tekst u kojem se navodi da se „aplikacija čTečka upotrebljava u skladu s pravom Unije i pravom Češke Republike te olakšava slobodno kretanje osoba i pristup uslugama i događajima tijekom pandemije bolesti COVID-19. Aplikacija obrađuje osobne podatke nositelja digitalnih COVID potvrda država članica Unije, radi njihove kontrole od strane osoba ovlaštenih na temelju uredbe Unije, izvanrednih mjera [ministarstva] ili na dobrovoljnoj osnovi. Aplikacija ni na koji način ne zadržava ni ne prenosi osobne podatke o zdravlju kontroliranih osoba. U uvjetima uporabe mogu se pronaći detaljne informacije o obradi osobnih podataka”.

18

Sud koji je uputio zahtjev usto ističe da na temelju članka 3. stavka 2. Uredbe 2021/953, potvrda koju je izdala država članica mora sadržavati interoperabilni crtični kod koji omogućuje provjeru njezine vjerodostojnosti, valjanosti i cjelovitosti. Navodi da se pretvorba osobnih podataka navedenih u točki 16. ove presude, iz strojno čitljivog formata u format koji može čitati čovjek, provodi automatiziranim postupkom, odnosno aplikacijom „čTečka”, što bi moglo predstavljati obradu osobnih podataka u smislu članka 4. točke 2. GDPR‑a.

19

Međutim, sud koji je uputio zahtjev sumnja u to da ta obična pretvorba i prikazivanje tih podataka na mobilnom telefonu predstavljaju „obradu” u smislu te odredbe, tim više što te dvije radnje ne mogu dovesti do zlouporabe ili zlonamjernog iskorištavanja osobnih podataka ni do zadiranja u pravo na zaštitu tih podataka jer aplikacija ne prenosi tako dobivene podatke.

20

Osim toga, sud koji je uputio zahtjev smatra da bi i provjera valjanosti potvrde primjenom aplikacije „čTečka” mogla predstavljati obradu osobnih podataka, s obzirom na to da ta radnja dovodi do korištenja osobnih podataka sadržanih u toj potvrdi i koji se odnose na zdravlje osobe koja se nadzire. Naime, kako bi mogla ocijeniti je li potvrda valjana i utvrditi ispunjava li dotična osoba takozvane uvjete „nepostojanja zaraze” predviđene izvanrednom mjerom, aplikacija nužno mora usporediti podatke o zdravlju te osobe, kao što je datum cijepljenja, s pravilima validacije koja su na snazi u tom trenutku.

21

Naposljetku, taj sud smatra da se obrada osobnih podataka može sastojati od kombinacije postupaka koji se odvijaju tijekom nadzora potvrda putem aplikacije „čTečka”, odnosno pretvaranja osobnih podataka s QR koda u format koji može čitati čovjek, njihova prikazivanja na mobilnom telefonu, njihova pregleda od strane nadzornika i ocjenjivanja valjanosti potvrde putem te aplikacije usporedbom osobnih podataka o zdravlju s pravilima o validaciji. Iako ti postupci, razmatrani pojedinačno, možda ne predstavljaju obradu u smislu članka 4. točke 2. OUZP‑a, njihovo međusobno povezivanje moglo bi dovesti do te kvalifikacije.

22

U tom smislu, taj sud ističe da se člankom 10. stavcima 1. i 3. Uredbe 2021/953 izričito predviđa da se, u svrhu izvršavanja prava na slobodno kretanje u Uniji, OUZP primjenjuje na obradu osobnih podataka sadržanih u EU digitalnim COVID potvrdama. Usto, u skladu s uvodnom izjavom 48. Uredbe 2021/953, obrada osobnih podataka sadržanih u potvrdama mora imati ujednačen pravni režim.

23

U tim je okolnostima Nejvyšší správní soud (Vrhovni upravni sud) odlučio prekinuti postupak i postaviti Sudu sljedeće prethodno pitanje:

„Dolazi li prilikom provjere valjanosti interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 koje se izdaju u skladu s Uredbom [2021/953] i koje Češka Republika primjenjuje u nacionalne svrhe, u nacionalnoj aplikaciji „čTečka” do automatizirane obrade osobnih podataka u smislu članka 4. točke 2. [OUZP‑a], tako da je ta aktivnost obuhvaćena glavnim područjem primjene [OUZP‑a] u skladu s člankom 2. stavkom 1. te uredbe?”

24

Svojim pitanjem sud koji je uputio zahtjev u biti pita treba li pojam „obrada” osobnih podataka iz članka 4. točke 2. OUZP‑a tumačiti na način da uključuje provjeru, putem nacionalne mobilne aplikacije, valjanosti interoperabilnih COVID-19 potvrda o cijepljenju, testiranju i preboljenju izdanih na temelju Uredbe 2021/953, a koje država članica koristi u nacionalne svrhe.

25

Nesporno je da veći broj informacija kojima osoba zadužena za provedbu nadzora pristupa prilikom provjere valjanosti EU digitalne COVID potvrde, kako su iznesene u točki 16. ove presude, čine „osobne podatke” u smislu članka 4. točke 1. OUZP‑a. Naime, iz te odredbe proizlazi da pojam „osobni podaci” znači „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” i da ta identifikacija može, među ostalim, proizlaziti iz korištenja imena dotične osobe.

26

U tom pogledu dovoljno je utvrditi da se člankom 5. stavkom 2. točkom (a), člankom 6. stavkom 2. točkom (a) i člankom 7. stavkom 2. točkom (a) Uredbe 2021/953 predviđa da potvrda o cijepljenju, potvrda o testiranju i potvrda o preboljenju sadržavaju identitet njezina nositelja.

27

S obzirom na to pojašnjenje, valja istaknuti da se u članku 4. točki 2. OUZP‑a pojam „obrada” definira kao „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima”. U netaksativnom nabrajanju, koje se uvodi izrazom „kao što su”, ta odredba kao primjere obrade osobnih podataka navodi obavljanje uvida i uporabu. Stoga iz teksta te odredbe, a osobito iz izraza „svaki postupak”, proizlazi da je zakonodavac Unije pojmu „obrada” namjeravao dati široko značenje (vidjeti, u tom smislu, presudu od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 35.).

28

To široko tumačenje pojmova „osobni podaci” i „obrada” u skladu je s ciljem jamčenja djelotvornosti temeljnog prava na zaštitu pojedinaca s obzirom na obradu osobnih podataka, koji se navodi u uvodnoj izjavi 1. OUZP‑a, i na kojem se temelji primjena te uredbe.

29

Međutim, u ovom slučaju nacionalna mobilna aplikacija, kao što je aplikacija „čTečka”, skenira QR kod koji se nalazi na EU digitalnoj COVID potvrdi kako bi osobne podatke koje sadržava taj kod pretvorila u format koji može čitati osoba zadužena za provjeru valjanosti te potvrde. Na taj način takva aplikacija omogućuje osobi zaduženoj za provedbu nadzora da nakon automatiziranog postupka, odnosno skeniranja, izvrši uvid u osobne podatke i da ih upotrijebi kako bi ocijenila je li situacija dotične osobe u skladu s pravilima o validaciji, odnosno, drugim riječima, s primjenjivim zdravstvenim zahtjevima. Rezultat te ocjene također je automatiziran s obzirom na to da se na mobilnom telefonu nadzornika prikazuje zelena kvačica kada su ispunjeni zdravstveni zahtjevi, dok se u suprotnom slučaju pojavljuje crveni križić.

30

Stoga valja smatrati da provjera putem aplikacije „čTečka” valjanosti interoperabilnih COVID-19 potvrda o cijepljenju, testiranju i preboljenju izdanih na temelju Uredbe 2021/953, predstavlja „obradu” u smislu članka 4. točke 2. OUZP‑a i da je, u skladu s člankom 2. stavkom 1. te uredbe, obuhvaćena njezinim materijalnim područjem primjene.

31

Tumačenje iz točke 30. ove presude potkrijepljeno je Uredbom 2021/953 kojom se predviđa da provedba EU digitalne COVID potvrde predstavlja obradu u smislu članka 4. točke 2. OUZP‑a. Naime, članak 1. stavak 2. Uredbe 2021/953 određuje da ta uredba „pruža pravn[u] osnov[u] za obradu osobnih podataka potrebnih za izdavanje tih potvrda i obradu informacija potrebnih za provjeru i potvrđivanje vjerodostojnosti i valjanosti tih potvrda u potpunosti u skladu s [OUZP‑om]”. Usto, iz uvodne izjave 48. Uredbe 2021/953 proizlazi, s jedne strane, da se OUZP primjenjuje na obradu osobnih podataka koja se provodi prilikom provedbe Uredbe 2021/953 i, s druge strane, da se potonjom uredbom utvrđuje pravna osnova za obradu osobnih podataka, u smislu članka 6. stavka 1. točke (c) i članka 9. stavka 2. točke (g) OUZP‑a, koja je potrebna za izdavanje i provjeru interoperabilnih certifikata predviđenih Uredbom 2021/953. Članak 10. stavak 1. te uredbe potvrđuje i da se OUZP primjenjuje na obradu osobnih podataka koja se izvršava pri provedbi Uredbe 2021/953.

32

Slijedom toga, na sudu koji je uputio zahtjev jest da provjeri je li obrada uvedena izvanrednom mjerom, s jedne strane, u skladu s načelima koja se odnose na obradu podataka navedenima u članku 5. OUZP‑a i, s druge strane, odgovara li jednom od načela zakonitosti obrade navedenih u članku 6. te uredbe (vidjeti, posebice, presude od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 96. i od 4. svibnja 2023., Bundesrepublik Deutschland, C‑60/22, EU:C:2023:373, t. 57.).

33

S obzirom na prethodna razmatranja, pojam „obrada” osobnih podataka iz članka 4. točke 2. OUZP‑a treba tumačiti na način da uključuje provjeru, putem nacionalne mobilne aplikacije, valjanosti interoperabilnih COVID-19 potvrda o cijepljenju, testiranju i preboljenju izdanih na temelju Uredbe 2021/953, a koje država članica koristi u nacionalne svrhe.

34

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (osmo vijeće) odlučuje:

Pojam „obrada” osobnih podataka iz članka 4. točke 2. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka),

treba tumačiti na način da:

uključuje provjeru, putem nacionalne mobilne aplikacije, valjanosti interoperabilnih COVID-19 potvrda o cijepljenju, testiranju i preboljenju izdanih na temelju Uredbe (EU) 2021/953 Europskog parlamenta i Vijeća od 14. lipnja 2021. o okviru za izdavanje, provjeru i prihvaćanje interoperabilnih potvrda o cijepljenju, testiranju i preboljenju bolesti COVID-19 (EU digitalna COVID potvrda) radi olakšavanja slobodnog kretanja tijekom pandemije bolesti COVID-19, a koje država članica koristi u nacionalne svrhe.