1.

Če želi oseba, katere osebni podatki se obdelujejo, od upravljavca pridobiti informacije o tretjih osebah, ki so jim ti podatki razkriti, ali njena pravica dostopa nujno pomeni, da prejme informacije o konkretnih uporabnikih sporočil v zvezi z njenimi osebnimi podatki, oziroma se lahko upravljavec omeji le na zagotavljanje informacij o kategorijah uporabnikov teh sporočil?

2.

To je v bistvu vprašanje, postavljeno Sodišču v okviru tega predloga za sprejetje predhodne odločbe, ki ga je vložilo predložitveno sodišče Oberster Gerichtshof (vrhovno sodišče, Avstrija) v zvezi z razlago člena 15(1)(c) Uredbe (EU) št. 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) ( 2 ) (v nadaljevanju: SUVP).

3.

Vprašanje predložitvenega sodišča je bilo postavljeno v okviru spora med RW, fizično osebo, in Österreichische Post, glavnim izvajalcem poštnih in logističnih storitev v Avstriji, ki osebi RW, potem ko je zaprosila za dostop do svojih osebnih podatkov, ni posredoval informacij o natančnih uporabnikih sporočil, ki se nanašajo na njene osebne podatke.

4.

Člen 15 SUVP „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“ v odstavku 1(c) določa:

„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca pridobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in do naslednjih informacij:

[…]

[…]“

5.

Oseba RW, tožeča stranka pred predložitvenim sodiščem, se je 15. januarja 2019 obrnila na Österreichische Post, da bi na podlagi člena 15 SUVP med drugim dobila dostop do osebnih podatkov, ki se nanašajo nanjo in ki jih je takrat ali v preteklosti hranila Österreichische Post, in da bi v primeru razkritja teh podatkov tretjim osebam dobila dostop do identitete uporabnikov teh sporočil.

6.

Österreichische Post je v odgovoru navedla, da v okviru svoje dejavnosti urednika telefonskih imenikov uporablja podatke v obsegu, ki ga dovoljuje zakon, in jih zagotavlja poslovnim strankam zaradi trženja. Nato se je sklicevala na spletno stran, ki vsebuje splošne informacije o namenu obdelave podatkov o osebi RW in povezavo na drugo spletno stran. Na tej drugi spletni strani je bilo spet navedeno splošno obvestilo o varstvu podatkov in je bilo mogoče na splošno določiti nekatere kategorije uporabnikov, ki jim je Österreichische Post razkrivala osebne podatke. Vendar Österreichische Post osebi RW ni nikoli razkrila, katerim konkretnim uporabnikom je posredovala njene osebne podatke.

7.

Oseba RW je vložila tožbo, s katero je predlagala, naj se Österreichische Post naloži, da ji na podlagi člena 15 SUVP zagotovi več informacij o tem, ali so bili njeni osebni podatki preneseni tretjim osebam in, če so bili, tudi informacije o konkretnem uporabniku/uporabnikih, ki so mu/jim bili ali mu/jim bodo osebni podatki razkriti. Oseba RW trdi, da informacije, ki jih je posredovala Österreichische Post, ne izpolnjujejo zakonskih zahtev člena 15 SUVP, ker iz njih ni razvidno, ali je Österreichische Post njene osebne podatke prenesla tretjim osebam, in če jih je, kdo so konkretno uporabniki teh sporočil.

8.

Prvostopenjsko in višje sodišče sta zavrnili predlog osebe RW, ker sta v bistvu menili, da se člen 15(1)(c) SUVP nanaša na uporabnike ali kategorije uporabnikov, zato ta določba upravljavcu omogoča, da se odloči, ali se omeji na to, da posamezniku, na katerega se nanašajo osebni podatki, razkrije kategorije uporabnikov, ne da bi moral poimensko navesti konkretne uporabnike sporočil, ki se nanašajo na osebne podatke tega posameznika.

9.

Oseba RW je vztrajala pri svojih trditvah v okviru revizije, vložene pri predložitvenem sodišču.

10.

Med postopkom pred tem sodiščem je Österreichische Post osebo RW obvestila, da so se njeni podatki obdelovali zaradi trženja v okviru objave telefonskih imenikov in da so bili posredovani poslovnim strankam, kot so oglaševalska podjetja, ki opravljajo dejavnost prodaje po pošti in v prodajalnah, podjetja IT, izdajatelji telefonskih imenikov in društva, kot so dobrodelne organizacije, NVO ali politične stranke. Vendar ni razkrila konkretnih uporabnikov sporočil, ki se nanašajo na osebne podatke osebe RW.

11.

Zaradi tega predložitveno sodišče dvomi o razlagi člena 15 SUVP, ki jo je uporabilo sodišče, ki odloča o glavni stvari, zato je sklenilo prekiniti postopek in Sodišču v predhodno odločanje predložiti to vprašanje:

„Ali je treba člen 15(1)(c) [SUVP] razlagati tako, da je pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa do informacij o kategorijah uporabnika omejena, če konkretni uporabniki pri načrtovanih razkritjih še niso znani, pri čemer mora pravica dostopa obvezno zajemati tudi uporabnike teh razkritij, če so bili podatki že razkriti?“

12.

Predložitveno sodišče z vprašanjem za predhodno odločanje Sodišče sprašuje o razlagi člena 15(1)(c) SUVP glede obsega pravice posameznika, na katerega se nanašajo osebni podatki, da od upravljavca pridobi informacije o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki tega posameznika.

13.

Predložitveno sodišče se sprašuje, ali je treba to določbo razlagati tako, da je treba obseg navedene pravice dostopa posameznika, na katerega se nanašajo osebni podatki, razlikovati glede na to, ali so bili podatki že razkriti – pri čemer bi morala ta pravica zajemati tudi konkretne uporabnike teh sporočil – oziroma ali konkretni uporabniki načrtovanih sporočil še niso bili znani – v tem primeru bi bilo treba šteti, da je ta pravica omejena na informacije, ki se nanašajo na kategorije uporabnikov.

14.

V zvezi s tem je treba najprej poudariti, da člen 15 SUVP ureja pravico dostopa posameznika, na katerega se nanašajo osebni podatki, do osebnih podatkov v zvezi z njim, ki se obdelujejo, in do vrste informacij, ki se zlasti nanašajo na obdelavo. V tej določbi je pojasnjena in natančno opredeljena pravica dostopa vsakega posameznika do podatkov, ki se nanašajo nanj, kot je določena v členu 8(2), drugi stavek, Listine Evropske unije o temeljnih pravicah. ( 3 )

15.

Natančneje, v skladu s členom 15(1) SUVP ima posameznik, na katerega se nanašajo osebni podatki, prvič, pravico, da od upravljavca pridobi potrditev, ali se v zvezi z njim obdelujejo osebni podatki. Če je tako, ima posameznik, na katerega se nanašajo osebni podatki, pravico dostopa do osebnih podatkov, ki se obdelujejo, in do različnih dodatnih informacij, ki so navedene v točkah od (a) do (h) te določbe. V tem smislu ima posameznik, na katerega se nanašajo osebni podatki, v skladu s členom 15(1)(c) SUVP, pravico dostopa do informacij o „uporabnikih ali kategorijah uporabnikov, ki so jim bili ali bodo osebni podatki razkriti, zlasti če so uporabniki iz tretjih držav ali mednarodnih organizacij“.

16.

Predložitveno sodišče z vprašanjem za predhodno odločanje zahteva razlago določbe člena 15(1)(c) SUVP, da se določi natančen obseg pravice posameznika, na katerega se nanašajo osebni podatki, da pridobi informacije o uporabnikih sporočil v zvezi z osebnimi podatki tega posameznika.

17.

V zvezi s tem je treba opozoriti na ustaljeno sodno prakso, iz katere izhaja, da je treba pri razlagi določbe prava Unije upoštevati tako njeno besedilo kot tudi sobesedilo, v katero je umeščena, ter cilje in namen akta, katerega del je. ( 4 )

18.

Poleg tega je treba določbe SUVP, ki urejajo obdelavo osebnih podatkov in ki lahko ogrožajo temeljne svoboščine, zlasti pravico do spoštovanja zasebnega življenja, nujno razlagati ob upoštevanju temeljnih pravic, zagotovljenih z Listino Evropske unije o temeljnih pravicah. ( 5 )

19.

Iz ustaljene sodne prakse izhaja tudi, da je treba, kadar je določbo prava Unije mogoče razlagati na več načinov, dati prednost razlagi, s katero se ohrani njen polni učinek. ( 6 )

20.

Predvsem glede besedila zadevne določbe, kot so poudarili tudi predložitveno sodišče in več intervenientov pred Sodiščem, besedilo določbe člena 15(1)(c) SUVP ne omogoča dokončnega odgovora na vprašanje, ali je treba šteti, da pravica dostopa do informacij posameznika, na katerega se nanašajo osebni podatki, ki je določena v tej določbi, vključuje dostop do informacij o posameznih uporabnikih sporočil, katerih predmet so osebni podatki, ki se nanašajo na takega posameznika, ali se lahko omeji samo na dostop do informacij o kategorijah uporabnikov. V tej določbi se namreč izraza „uporabniki“ in „kategorije uporabnikov“ uporabljata zaporedoma in nevtralno, ne da bi bilo mogoče sklepati o prednostnem vrstnem redu med njima. V tej določbi tudi ni izrecno določeno, ali je mogoče izbirati med dvema možnima kategorijama predvidenih informacij („uporabniki“ ali „kategorije uporabnikov“) oziroma kdo (posameznik, na katerega se nanašajo osebni podatki, ali upravljavec) lahko po potrebi izbere, do katere vrste informacij je treba zagotoviti dostop.

21.

Vendar, kot navaja predložitveno sodišče, struktura člena 15(1) SUVP po mojem mnenju daje prednost razlagi zadevne določbe v smislu, da mora posameznik, na katerega se nanašajo osebni podatki (in torej ne upravljavec, kot sta v obravnavanem primeru razsodili nacionalni sodišči, ki odločata o glavni stvari), izbrati med dvema možnostma, ki sta določeni v tej določbi. V nasprotju z drugimi določbami SUVP, kot sta člena 13 in 14, ( 7 ) ki določajo obveznost za upravljavca, da posreduje informacije, zadevna določba določa dejansko pravico dostopa v korist posameznika, na katerega se nanašajo osebni podatki. Uveljavljanje te pravice dostopa posameznika, na katerega se nanašajo osebni podatki, logično predpostavlja, da ima imetnik te pravice možnost, da se odloči, ali bo, kadar je to mogoče, pridobil dostop do informacij, ki se nanašajo na konkretne uporabnike, ki so jim bili ali bodo razkriti podatki, ali bo zahteval samo informacije o kategorijah uporabnikov.

22.

Razlaga določbe člena 15(1)(c) SUVP v smislu, da je v njej določena pravica posameznika, na katerega se nanašajo osebni podatki, da zahteva dostop do informacij o konkretnih uporabnikih sporočil v zvezi z njegovimi osebnimi podatki, kadar je to mogoče, je dejansko potrjena z analizo sobesedila, v katero je umeščena, in namena te določbe ob upoštevanju ciljev in splošne strukture SUVP.

23.

V zvezi s tem najprej poudarjam, da je v uvodni izjavi 63 SUVP izrecno navedeno, da mora imeti posameznik, na katerega se nanašajo osebni podatki, „pravico do seznanitve s sporočilom in njegove pridobitve […] [o…] uporabnikih osebnih podatkov“. Ta uvodna izjava, ob katere upoštevanju je treba razlagati zadevno določbo, se nanaša na pravico dostopa posameznika, na katerega se nanašajo osebni podatki, do informacij o konkretnih uporabnikih sporočil v zvezi z njegovimi osebnimi podatki in v njej ni nikjer navedeno, da bi bilo to pravico po presoji upravljavca mogoče omejiti le na kategorije uporabnikov.

24.

Poleg tega iz sodne prakse izrecno izhaja, da je namen SUVP, kot je razvidno iz njene uvodne izjave 10, zlasti zagotoviti visoko raven varstva fizičnih oseb v Uniji in s tem zagotoviti dosledno in enotno uporabo predpisov o varstvu temeljnih pravic in svoboščin teh oseb pri obdelavi osebnih podatkov v celotni Uniji. ( 8 )

25.

Zato mora biti vsaka obdelava osebnih podatkov v skladu z načeli člena 5 te uredbe. ( 9 ) Zlasti iz člena 5(1)(a) SUVP izhaja, da mora biti obdelava osebnih podatkov pregledna za posameznika, na katerega se ti nanašajo. ( 10 ) V tem smislu člen 15 SUVP, ki ureja pravico dostopa posameznika, na katerega se nanašajo osebni podatki, pomeni temeljno določbo, s katero se posameznikom, na katere se nanašajo osebni podatki, zagotovijo pregledni načini obdelave teh podatkov.

26.

Kot izhaja iz uvodne izjave 63 SUVP, ( 11 ) je cilj navedene pravice dostopa posamezniku, na katerega se nanašajo osebni podatki, prvič, zagotoviti seznanjenost z obdelavo njegovih osebnih podatkov in možnost, da preveri njeno zakonitost. ( 12 ) Uveljavljanje te pravice dostopa mora posamezniku, na katerega se nanašajo osebni podatki, zlasti omogočati, da preveri, ali so podatki v zvezi z njim pravilni in ali so bili razkriti pooblaščenim uporabnikom. ( 13 ) To načeloma predpostavlja, da se mu zagotovijo čim natančnejše informacije.

27.

V tem okviru se strinjam s Komisijo, da bi se z zanikanjem, da pravica dostopa posameznika, na katerega se nanašajo osebni podatki, ki je določena v členu 15(1)(c) SUVP, zajema konkretne uporabnike, s čimer bi se ta pravica omejila samo na kategorije uporabnikov, preprečilo posamezniku, na katerega se nanašajo osebni podatki, da bi lahko v celoti preveril zakonitost obdelave, ki jo izvaja upravljavec, in zlasti zakonitost že posredovanih sporočil v zvezi z njegovimi osebnimi podatki. S tako razlago zadevne določbe se posamezniku, na katerega se nanašajo osebni podatki, ne bi omogočilo, da preveri, ali so bili njegovi osebni podatki poslani le pooblaščenim uporabnikom, kar je v nasprotju z zahtevami, navedenimi v prejšnjem odstavku.

28.

Drugič, kar se tiče prvega cilja, je navedena pravica dostopa nujna, kot je med drugim že poudarilo Sodišče, da bi posameznik, na katerega se nanašajo posebni podatki, lahko uveljavljal pravico do popravka, pravico do izbrisa („pravica do pozabe“) in pravico do omejitve obdelave, ki jo ima na podlagi členov 16, 17 in 18 SUVP. ( 14 ) Poleg tega je Sodišče pojasnilo, da je pravica dostopa potrebna tudi za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči uveljavljanje pravice do ugovora zoper obdelave svojih osebnih podatkov iz člena 21 SUVP ali pravice do pravnega sredstva, če utrpi škodo, in do odškodnine za nastalo škodo, kot je določeno v členih 79 in 82 SUVP. ( 15 )

29.

Zaradi takšne razlage zadevne določbe – da se posamezniku, na katerega se nanašajo osebni podatki, odreče možnost pridobiti informacije o konkretnih uporabnikih sporočil v zvezi z njegovimi osebnimi podatki – tak posameznik ne bi vedel za identiteto konkretnih uporabnikov in zato ne bi mogel uveljavljati svojih pravic na podlagi zgoraj navedenih določb SUVP ali pa bi jih lahko uveljavljal samo z nesorazmernim naporom. ( 16 ) S tako razlago bi se v takih okoliščinah odvzel polni učinek navedenim določbam in pravicam, ki iz njih izhajajo.

30.

Ob upoštevanju sobesedila zgoraj navedeno razlago člena 15(1)(c) SUVP potrjuje tudi določba člena 19 iste uredbe. V tej določbi je navedeno, da „[u]pravljavec vsakemu uporabniku, ki so mu bili osebni podatki razkriti, sporoči vse popravke ali izbrise osebnih podatkov ali omejitve obdelave v skladu s členom 16, členom 17(1) in členom 18, razen če se to izkaže za nemogoče ali vključuje nesorazmeren napor“.

31.

Člen 19 SUVP upravljavcu tako nalaga obveznost, da vse uporabnike, ki jim je razkril osebne podatke, obvesti o vsaki zahtevi o popravku, izbrisu ali omejitvi obdelave takih podatkov, ti pa morajo tej zahtevi ugoditi. Tako obveščeni uporabniki morajo zato nemudoma zagotoviti popravek, izbris ali omejitev obdelave tistih zadevnih podatkov, ki jih še obdelujejo. V okviru uresničevanja cilja zagotavljanja visoke ravni varstva, navedenega v točki 24 teh sklepnih predlogov, je namen člena 19 SUVP v tem smislu razbremeniti posameznika, na katerega se nanašajo osebni podatki, obveznosti pošiljanja ustreznih dodatnih zahtev za popravek, izbris ali omejitev obdelave zadevnim uporabnikom, potem ko je že zaprosil za informacije na podlagi člena 15(1)(c) SUVP. Vendar mora biti posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da preveri, ali je bil po obvestilu, ki ga je poslal upravljavec, popravek, izbris ali omejitev dejansko upoštevan. Ob upoštevanju tega člen 19 SUVP določa, da mora upravljavec posameznika, na katerega se nanašajo osebni podatki, obvestiti o takih uporabnikih, kadar ta posameznik tako zahteva.

32.

V določbi člena 19 SUVP je navedeno, da mora biti za zagotovitev polnega učinka pravic posameznika, na katerega se nanašajo osebni podatki, do izbrisa, popravka ali omejitve obdelave iz členov 16, 17 in 18 SUVP, takemu posamezniku načeloma omogočena pravica do obvestila o identiteti konkretnih uporabnikov, če so bili njegovi osebni podatki že razkriti. Samo tako lahko posameznik, na katerega se nanašajo posebni podatki, uveljavlja svoje pravice do uporabnikov.

33.

Iz navedenega izhaja, da ima pravica dostopa iz člena 15(1)(c) SUVP funkcionalno in instrumentalno vlogo v primerjavi z uveljavljanjem drugih pravic posameznika, na katerega se nanašajo osebni podatki, ki so določene v SUVP. Zato je treba za zagotovitev polnega učinka vseh zgoraj navedenih določb SUVP to določbo razlagati tako, da se mora pravica dostopa, ki je v njej določena, načeloma nujno nanašati na možnost, da se od upravljavca pridobijo informacije o konkretnih uporabnikih sporočil v zvezi z osebnimi podatki posameznika, na katerega se osebni podatki nanašajo.

34.

Vendar je razširitev pravice dostopa iz člena 15(1)(c) SUVP na konkretne uporabnike navedenih sporočil po mojem mnenju omejena vsaj v dveh primerih.

35.

Prvič, kadar dejansko ni mogoče zagotoviti informacij o konkretnih uporabnikih, na primer zato, ker ti v resnici še niso bili identificirani, od upravljavca ni mogoče zahtevati, naj sporoči informacije, ki še ne obstajajo. Zato v takem primeru, ki je izrecno določen v vprašanju za predhodno odločanje, pravica dostopa posameznika, na katerega se nanašajo osebni podatki, lahko zajema samo kategorije uporabnikov.

36.

Drugič, kot je navedla italijanska vlada, je treba uveljavljanje pravice dostopa posameznika, na katerega se nanašajo osebni podatki, in izpolnitev ustrezne obveznosti upravljavca šteti za načeli poštenosti in sorazmernosti.

37.

V zvezi s tem je treba opozoriti na sodno prakso Sodišča, iz katere izhaja, da pravice iz členov 7 in 8 Listine Evropske unije o temeljnih pravicah niso absolutne, ampak jih je treba upoštevati glede na njihovo funkcijo v družbi. ( 17 )

38.

V tem smislu je, prvič, v členu 12(5), ki se izrecno uporablja tudi za določbo v okviru vprašanja za predhodno odločanje, jasno navedeno, da zahteve posameznika, na katerega se nanašajo osebni podatki, ne smejo biti očitno neutemeljene ali pretirane in da v takem primeru upravljavcu ni treba ugoditi zahtevi. Iz iste določbe tudi izhaja, da upravljavec nosi „dokazno breme, da je zahteva očitno neutemeljena ali pretirana“.

39.

Drugič, Sodišče je že pojasnilo, da je treba zagotoviti ustrezno ravnovesje med pravico do varstva zasebnega življenja, zlasti prek sredstev za posredovanje in možnostmi vložitve pravnega sredstva, kot je določeno v SUVP, na eni in obveznostmi upravljavca na drugi strani. ( 18 ) Cilj takega ravnovesja je nameniti večjo pozornost varstvu podatkov in zasebnega življenja posameznika, na katerega se nanašajo osebni podatki, saj je treba nujno dokazati, da zahteva za dostop posameznika, na katerega se nanašajo osebni podatki, očitno ni utemeljena ali da je pretirana, da se ji ne ugodi.

40.

Glede na te ugotovitve Sodišču predlagam, naj na vprašanje za predhodno odločanje, ki ga je predložilo Oberster Gerichtshof (vrhovno sodišče, Avstrija), odgovori:

Člen 15(1)(c) Uredbe (EU) št. 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) je treba razlagati tako, da se mora pravica dostopa posameznika, na katerega se nanašajo osebni podatki, ki je določena v tej določbi, nujno razširiti na informacije o konkretnih uporabnikih sporočil v zvezi z osebnimi podatki tega posameznika, če ta tako zahteva. Ta pravica dostopa se lahko omeji samo na informacije o kategoriji uporabnikov, kadar dejansko ni mogoče določiti konkretnih uporabnikov sporočil v zvezi z osebnimi podatki posameznika, na katerega se nanašajo osebni podatki, ali kadar upravljavec dokaže, da zahteve posameznika, na katerega se nanašajo osebni podatki, očitno niso utemeljene ali da so pretirane, kot določa člen 12(5) Uredbe (EU) št. 2016/679.