–

za Nemzeti Adatvédelmi és Információszabadság Hatóság G. J. Dudás, ügyvéd,

–

za UC D. Karsai in V. Łuszcz, ügyvédek,

–

za madžarsko vlado Zs. Biró-Tóth in M. Z. Fehér, agenta,

–

za češko vlado L. Březinová, M. Smolek in J. Vláčil, agenti,

–

za Evropsko komisijo A. Bouchagiar, C. Kovács in H. Kranenborg, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 14(1) in (5)(c), člena 32 in člena 77(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med Nemzeti Adatvédelmi és Információszabadság Hatóság (nacionalni organ za varstvo podatkov in svobodo obveščanja, Madžarska) (v nadaljevanju: nacionalni organ) in osebo UC glede obstoja obveznosti obveščanja v zvezi z obdelavo osebnih podatkov, ki jo ima Budapest Főváros Kormányhivatala (vladni urad v Budimpešti, Madžarska) (v nadaljevanju: uprava za izdajo potrdil), ki je zadolžen za izdajo potrdil o imunosti osebam, cepljenim proti covidu-19, ali osebam, ki so že zbolele za to boleznijo.

3

V uvodnih izjavah 1, 10 in od 61 do 63 SUVP je navedeno:

[…]

[…]

4

Člen 1 te uredbe, naslovljen „Predmet urejanja in cilji“, v odstavku 2 določa:

„Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.“

5

Člen 4 navedene uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…]“

6

Člen 6 SUVP, naslovljen „Zakonitost obdelave“, v odstavku 1 določa:

„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

[…]

[…]

[…]“

7

Člen 9 te uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, v odstavkih 1 in 2 določa:

„1.   Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

2.   Odstavek 1 se ne uporablja, če velja eno od naslednjega:

[…]

[…]“

8

Poglavje III SUVP, naslovljeno „Pravice posameznika, na katerega se nanašajo osebni podatki“, vsebuje več oddelkov, med katerimi je oddelek 2 te uredbe, naslovljen „Informacije in dostop do osebnih podatkov“.

9

V tem oddelku 2 so člen 13, ki se nanaša na „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, člen 14, ki se nanaša na „Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo“, in člen 15, ki se nanaša na „Pravico dostopa posameznika, na katerega se nanašajo osebni podatki“, SUVP.

10

Člen 14 te uredbe določa:

„1.   Kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije:

2.   Upravljavec poleg informacij iz odstavka 1 posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije, ki so potrebne za zagotavljanje poštene in pregledne obdelave v zvezi s posameznikom, na katerega se nanašajo osebni podatki:

[…]

4.   Kadar namerava upravljavec nadalje obdelovati osebne podatke za namen, ki ni namen, za katerega so bili osebni podatki pridobljeni, upravljavec posamezniku, na katerega se nanašajo osebni podatki, pred tako nadaljnjo obdelavo zagotovi informacije o tem drugem namenu in vse nadaljnje relevantne informacije iz odstavka 2.

5.   Odstavki 1 do 4 se ne uporabljajo, kadar in kolikor:

11

Člen 32 navedene uredbe, naslovljen „Varnost obdelave“, določa:

„1.   Ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno:

2.   Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani.

3.   Zavezanost k odobrenemu kodeksu ravnanja iz člena 40 ali izvajanje odobrenega mehanizma certificiranja iz člena 42 se lahko uporabi kot element, s katerim se izkaže izpolnjevanje zahtev iz odstavka 1 tega člena.

4.   Upravljavec in obdelovalec zagotovita, da katera koli fizična oseba, ki ukrepa pod vodstvom upravljavca ali obdelovalca, ki ima dostop do osebnih podatkov, slednjih ne sme obdelati brez navodil upravljavca, razen če to od nje zahteva pravo Unije ali pravo države članice.“

12

Člen 55 te uredbe, naslovljen „Pristojnost“, v odstavku 1 določa:

„Vsak nadzorni organ je na ozemlju svoje države članice pristojen za opravljanje dodeljenih nalog in izvajanje prenesenih pooblastil v skladu s to uredbo.“

13

Člen 57 SUVP, naslovljen „Naloge“, v odstavku 1 določa:

„Brez poseganja v druge naloge, določene v tej uredbi, vsak nadzorni organ na svojem ozemlju:

[…]

[…]“

14

Člen 58 te uredbe, naslovljen „Pooblastila“, v odstavku 3 določa:

„Vsak nadzorni organ ima vsa naslednja pooblastila v zvezi z dovoljenji in svetovalnimi pristojnostmi:

[…]

[…]“

15

Člen 77 navedene uredbe, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, v odstavku 1 določa:

„Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.“

16

Člen 78 SUVP, naslovljen „Pravica do učinkovitega pravnega sredstva zoper nadzorni organ“, določa:

„1.   Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.

2.   Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar nadzorni organ, ki je pristojen na podlagi členov 55 in 56, ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, vloženi na podlagi člena 77.

3.   Za postopke zoper nadzorni organ so pristojna sodišča države članice, v kateri ima nadzorni organ 1 ustanovitev.

4.   Kadar je začet postopek zoper odločitev nadzornega organa, v zvezi s katero je odbor pred tem sprejel mnenje ali odločitev v okviru mehanizma za skladnost, nadzorni organ to mnenje ali odločitev posreduje sodišču.“

17

Člen 10 Uredbe (EU) 2021/953 Evropskega parlamenta in Sveta z dne 14. junija 2021 o okviru za izdajanje, preverjanje in priznavanje interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19 (digitalno COVID potrdilo EU) za olajšanje prostega gibanja med pandemijo COVID-19 (UL 2021, L 211, str.1), naslovljen „Varstvo osebnih podatkov“, v odstavku 1 določa:

„Za obdelavo osebnih podatkov v okviru izvajanja te uredbe se uporablja [SUVP].“

18

Člen 2(1) a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (odlok vlade št. 60/2021 (II.12.) o potrdilu o imunosti proti koronavirusu) z dne 12. februarja 2021 v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: odlok št. 60/2021), določa:

„Potrdilo o imunosti vsebuje:

19

V skladu s členom 2(6) in (7) odloka št. 60/2021 potrdilo o imunosti upravičeni fizični osebi izda uprava za izdajo potrdil po uradni dolžnosti ali na zahtevo.

20

Člen 3(3) tega odloka določa:

„V primerih iz člena 2(6)(c) in (d) uprava za izdajo potrdil s samodejnim prenosom podatkov, po potrebi prek služb registra za elektronsko upravljanje identifikacijskih podatkov, pridobiva podatke:

21

UC, ki je fizična oseba, je uprava za izdajo potrdil izdala potrdilo o imunosti v skladu z odlokom št. 60/2021, s katerim je bilo potrjeno, da je bil cepljen proti covidu-19.

22

UC je 30. aprila 2021 začel upravni postopek v zvezi z obdelavo svojih osebnih podatkov tako, da je pri nacionalnem organu vložil pritožbo na podlagi člena 77(1) SUVP z namenom, da se upravi za izdajo potrdil odredi, naj svoja dejanja obdelave uskladi z določbami SUVP. V pritožbi je med drugim upravi za izdajo potrdil očital, da ni pripravila in objavila izjave o varstvu osebnih podatkov v zvezi z izdajo potrdil o imunosti, in trdil, da ni bilo informacij niti o namenu in pravni podlagi obdelave teh podatkov niti o pravicah posameznika, na katerega se nanašajo osebni podatki, in tem, kako jih je mogoče uveljavljati.

23

V okviru postopka, začetega na podlagi te pritožbe, je uprava za izdajo potrdil navedla, da svoje naloge, povezane z izdajo potrdila o imunosti, opravlja na podlagi člena 2 odloka št. 60/2021, pri čemer je pravna podlaga za obdelavo osebnih podatkov člen 6(1)(e) SUVP, za obdelavo posebnih vrst osebnih podatkov pa člen 9(2)(i) te uredbe.

24

Poleg tega je uprava za izdajo potrdil navedla, da je osebne podatke, ki jih je obdelovala, pridobila od drugega organa v skladu z določbami odloka št. 60/2021. Na tej podlagi je trdila, da v skladu s členom 14(5)(c) SUVP ni dolžna zagotoviti informacij o obdelavi teh podatkov. Kljub temu je pripravila in na svojem spletnem mestu objavila zahtevano izjavo o varstvu osebnih podatkov.

25

Nacionalni organ je z odločbo z dne 15. novembra 2021 zavrnil zahtevo UC in ugotovil, da uprava za izdajo potrdil nima dolžnosti obveščanja, saj za zadevno obdelavo osebnih podatkov velja izjema iz člena 14(5)(c) SUVP.

26

Natančneje, ta organ je menil, da je odlok št. 60/2021 pravna podlaga za obdelavo in da je bilo z njim upravi za izdajo potrdil izrecno naloženo zbiranje zadevnih podatkov. Po mnenju navedenega organa je to, da uprava za izdajo potrdil na svojem spletnem mestu objavi informacije o obdelavi osebnih podatkov, dobra praksa, ne pa zakonska obveznost.

27

Poleg tega je nacionalni organ po uradni dolžnosti preizkusil, ali obstajajo ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, v smislu člena 14(5)(c), drugi del stavka, SUVP, in ocenil, da je treba za take ukrepe šteti določbe členov 2, 3 in od 5 do 7 odloka št. 60/2021.

28

UC je zoper to odločbo vložil upravno pritožbo pri Fővárosi Törvényszék (županijsko sodišče v Budimpešti, Madžarska), ki je navedeno odločbo odpravilo in temu organu odredilo, naj začne nov postopek.

29

Navedeno sodišče je v sodbi menilo, da se izjema iz člena 14(5)(c) SUVP ne uporabi, ker nekaterih osebnih podatkov, ki so bili predloženi v zvezi s potrdili o imunosti, upravljavec ni pridobil od drugega organa, temveč jih je v okviru opravljanja svojih nalog ustvaril sam. Po mnenju navedenega sodišča je tako bilo v primeru serijske številke potrdila o imunosti, datuma izteka veljavnosti potrdila, izdanega osebi, ki je zbolela za boleznijo, kode QR na izkaznici, črtne kode in drugih alfanumeričnih kod, navedenih na dokazilu o vročitvi potrdila, ter osebnih podatkov, ustvarjenih med postopkom upravljavca v zvezi z obravnavo zadeve. Po mnenju istega sodišča lahko le za osebne podatke, pridobljene od drugega organa, velja izjema iz člena 14(5)(c) SUVP.

30

Nacionalni organ je pri Kúria (vrhovno sodišče, Madžarska), ki je predložitveno sodišče, zoper to sodbo vložil izredno pravno sredstvo.

31

V tem okviru se navedeno sodišče najprej sprašuje, ali se izjema iz člena 14(5)(c) SUVP lahko uporablja za vse obdelave osebnih podatkov, razen za tiste, ki se nanašajo na osebne podatke, pridobljene od posameznika, na katerega se ti podatki nanašajo.

32

Če je odgovor pritrdilen, se navedeno sodišče sprašuje, ali je nadzorni organ v okviru pritožbenega postopka iz člena 77(1) SUVP pristojen, da za to, da bi odločil o uporabi te izjeme, preveri, ali so v nacionalnem pravu upravljavca določeni ustrezni ukrepi za varstvo zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

33

Če je odgovor pritrdilen, želi predložitveno sodišče nazadnje izvedeti, ali se to preverjanje nanaša tudi na ustreznost ukrepov, ki jih mora upravljavec na podlagi člena 32 SUVP izvesti za zagotovitev varnosti obdelave osebnih podatkov.

34

V teh okoliščinah je Kúria (vrhovno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

35

Sodišče je 16. januarja 2024 stranke in zainteresirane subjekte iz člena 23 Statuta Sodišča Evropske unije v skladu s členom 61 Poslovnika Sodišča pozvalo, naj pisno odgovorijo na nekatera vprašanja. Tožeča in tožena stranka iz postopka v glavni stvari, madžarska in češka vlada ter Evropska komisija so na ta vprašanja odgovorile.

36

Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 14(5)(c) SUVP razlagati tako, da se izjema od obveznosti upravljavca, ki je določena v tej določbi, da obvešča posameznika, na katerega se nanašajo osebni podatki, nanaša samo na osebne podatke, ki jih je upravljavec pridobil od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, ali pa se nanaša tudi na osebne podatke, ki jih je ta upravljavec v okviru opravljanja svojih nalog ustvaril sam.

37

Člen 14(1), (2) in (4) te uredbe določa informacije, ki jih mora upravljavec zagotoviti posamezniku, na katerega se nanašajo osebni podatki, v smislu člena 4, točka 1, navedene uredbe, kadar osebni podatki niso bili pridobljeni od tega posameznika.

38

Člen 14(5) te uredbe določa izjeme od te obveznosti. Med temi izjemami točka (c) tega odstavka 5 določa, da se navedena obveznost ne uporablja, kadar in kolikor je pridobitev ali razkritje izrecno določeno s pravom Unije ali pravom države članice, ki velja za upravljavca in s katerim so določeni ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

39

Za ugotovitev, ali ta izjema zajema osebne podatke, ki jih je upravljavec v okviru opravljanja svojih nalog ustvaril sam na podlagi podatkov, pridobljenih od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, je treba v skladu z ustaljeno sodno prakso upoštevati ne samo besedilo določbe, ki določa to izjemo, ampak tudi kontekst te določbe in cilje, ki se uresničujejo z ureditvijo, katere del je (glej v tem smislu sodbo z dne 12. januarja 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, točka 32 in navedena sodna praksa).

40

Na prvem mestu, glede na besedilo člena 14(5)(c) SUVP je treba določiti predmet „pridobitve ali razkritja“ iz te določbe.

41

Prvič, obstaja namreč razhajanje med različnimi jezikovnimi različicami navedene določbe. Francoska različica te določbe se sklicuje na pridobitev ali razkritje „informacij“, medtem ko se, najprej, madžarska („adat“), estonska („isikuandmed“), hrvaška („podataka“), litovska („duomenų“), nizozemska („gegevens“), portugalska („dados“), romunska („datelor“) in švedska („uppgifter“) jezikovna različica sklicujejo na pridobitev ali razkritje „podatkov“, dalje, finska jezikovna različica vsebuje izraz („tietojen“), ki se lahko nanaša tako na „podatke“ kot na„informacije“, in nazadnje, bolgarska, španska, češka, danska, nemška, grška, angleška, italijanska, latvijska, malteška, poljska, slovaška in slovenska jezikovna različica ne omenjajo predmeta pridobitve ali razkritja.

42

V skladu s prav tako ustaljeno sodno prakso pa formulacija, uporabljena v eni od jezikovnih različic določbe prava Unije, ne more biti edina podlaga za razlago te določbe oziroma ne more imeti prednosti pred drugimi jezikovnimi različicami. Določbe prava Unije je treba namreč razlagati in uporabljati enotno, ob upoštevanju različic v vseh jezikih Unije. V primeru razhajanj med različnimi jezikovnimi različicami besedila prava Unije je treba zadevno določbo razlagati glede na splošno sistematiko in namen ureditve, katere del je (sodba z dne 21. marca 2024, Cobult, C‑76/23, EU:C:2024:253, točka 25 in navedena sodna praksa).

43

Kar zadeva splošno sistematiko SUVP, je treba člen 14(5) te uredbe razlagati ob upoštevanju njenih uvodnih izjav 61 in 62, ki se sklicujeta, na eni strani, na to, da se „osebni podatki pridobijo […] in razkrijejo“, ter na „shranjevanje ali razkritje osebnih podatkov[, ki je] izrecno določeno z zakonom“, in na drugi strani, na „informacije[, ki so zagotovljene]“ ali „[ki jih je treba zagotoviti]“. Razlaga, da se „pridobitev ali razkritje“ v smislu člena 14(5)(c) SUVP nanašata na osebne podatke, je poleg tega potrjena s širokim obsegom pojma „obdelava“ v smislu člena 4, točka 2, SUVP, ki zajema vsako dejanje, ki se izvaja v zvezi z osebnimi podatki (glej v tem smislu sodbo z dne 5. oktobra 2023, Ministerstvo zdravotnictví (Mobilna aplikacija covid‑19), C‑659/22, EU:C:2023:745, točka 27 in navedena sodna praksa).

44

Kar zadeva namen ureditve, katere del je člen 14(5)(c) SUVP, zadostuje ugotoviti – tako kot je ugotovila generalna pravobranilka v točki 31 sklepnih predlogov – da je ratio legis te izjeme v tem, da obveznost obveščanja posameznika, na katerega se nanašajo osebni podatki, ki je naložena s členom 14(1), (2) in (4) te uredbe, ni upravičena, kadar druga določba prava Unije ali prava države članice upravljavcu dovolj izčrpno in zavezujoče nalaga, da temu posamezniku zagotovi informacije o pridobitvi ali razkritju osebnih podatkov. V primeru, ki spada na področje uporabe tega člena 14(5)(c), morajo namreč posamezniki, na katere se nanašajo osebni podatki, zadostno poznati načine in namene pridobitve ali razkritja teh podatkov.

45

Posledično je treba glede na besedilo člena 14(5)(c) SUVP v vseh njegovih jezikovnih različicah šteti, da je treba to določbo razumeti tako, da se nanaša na pridobitev ali razkritje osebnih podatkov.

46

Drugič, ugotoviti je treba, da z besedilom člena 14(5)(c) SUVP izjema, ki jo ta člen določa, ni omejena samo na osebne podatke, ki jih upravljavec pridobi od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, pa tudi, da ne izključuje podatkov, ki jih je upravljavec v okviru opravljanja svojih nalog na podlagi takih podatkov ustvaril sam.

47

Iz tega sledi, da so osebni podatki, ki jih je upravljavec „pridobil“ v smislu navedene določbe, vsi tisti osebni podatki, ki jih ta upravljavec pridobi od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, in osebni podatki, ki jih je v okviru opravljanja svojih nalog ustvaril sam na podlagi podatkov, pridobljenih od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki.

48

Na drugem mestu, ugotoviti je treba, da je stvarno področje uporabe člena 14 SUVP opredeljeno negativno glede na člen 13 te uredbe. Kot je razvidno iz samih naslovov teh določb, se ta člen 13 nanaša na informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, medtem ko se ta člen 14 nanaša na informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti podatki nanašajo. Ob upoštevanju te dihotomije vsi primeri, v katerih se podatki ne pridobijo od posameznika, na katerega se ti podatki nanašajo, spadajo na stvarno področje uporabe navedenega člena 14.

49

Zato iz povezane razlage členov 13 in 14 SUVP izhaja, da tako osebni podatki, ki jih upravljavec pridobi od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, kot podatki, ki jih je upravljavec ustvaril sam in ki po naravi prav tako niso bili pridobljeni od posameznika, na katerega se nanašajo osebni podatki, spadajo na področje uporabe tega člena 14. Iz tega izhaja, da izjema iz navedenega člena 14(5)(c) zajema ti dve kategoriji podatkov.

50

Na tretjem mestu, člen 14(5)(c) SUVP je treba razlagati v skladu s ciljem te uredbe, ki je – kot je razvidno iz njenega člena 1 v povezavi z njenima uvodnima izjavama 1 in 10 – med drugim zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov, zlasti njihove pravice do zasebnosti pri obdelavi osebnih podatkov, ki je določena v členu 8(1) Listine o temeljnih pravicah in členu 16(1) PDEU (glej v tem smislu sodbo z dne 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, točka 53 in navedena sodna praksa).

51

V zvezi s tem je iz uvodne izjave 63 SUVP razvidno, da je zakonodajalec Unije želel, da ima posameznik, na katerega se nanašajo osebni podatki, v smislu te uredbe pravico dostopa do osebnih podatkov, ki so bili zbrani v zvezi z njim, da bi se seznanil z obdelavo teh podatkov in preveril njeno zakonitost.

52

Tako je upravljavec lahko oproščen obveznosti obveščanja, ki jo običajno ima do posameznika, na katerega se nanašajo osebni podatki, pod pogojem, da ima ta posameznik možnost izvajati nadzor nad svojimi osebnimi podatki in uveljavljati pravice, ki so mu podeljene s SUVP.

53

V skladu s ciljem, ki se uresničuje s to uredbo, izjema od obveznosti obveščanja posameznika, na katerega se nanašajo osebni podatki, določena v členu 14(5)(c) SUVP, na eni strani zahteva, da sta pridobitev ali razkritje osebnih podatkov s strani upravljavca izrecno določeni s pravom Unije ali pravom države članice, ki velja za tega upravljavca. Na drugi strani mora ta pravica določati ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

54

Iz tega izhaja, da je uporaba člena 14(5)(c) te uredbe, da bi bila popolnoma v skladu s ciljem, ki se uresničuje s SUVP, odvisna od doslednega spoštovanja pogojev iz te določbe, in sicer zlasti od obstoja ravni varstva posameznika, na katerega se nanašajo osebni podatki, ki je vsaj enakovredna varstvu, zagotovljenemu s členom 14, od (1) do (4), navedene uredbe.

55

Ob upoštevanju zgoraj navedenih razlogov je treba na prvo vprašanje odgovoriti, da je treba člen 14(5)(c) SUVP razlagati tako, da se izjema od obveznosti obveščanja posameznika, na katerega se nanašajo osebni podatki, s strani upravljavca, ki je določena v tej določbi, brez razlikovanja nanaša na vse osebne podatke, ki jih upravljavec ni pridobil neposredno od posameznika, na katerega se nanašajo osebni podatki, ne glede na to, ali je upravljavec te podatke pridobil od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, ali pa jih je v okviru opravljanja svojih nalog ustvaril sam.

56

Predložitveno sodišče z drugim in tretjim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 14(5)(c) in člen 77(1) SUVP razlagati tako, da je nadzorni organ v okviru pritožbenega postopka pristojen za to, da za namene uporabe izjeme iz tega člena 14(5)(c) preveri, ali pravo države članice, ki velja za upravljavca, določa ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, in če je odgovor pritrdilen, ali se to preverjanje nanaša tudi na ustreznost ukrepov, ki jih mora upravljavec na podlagi člena 32 te uredbe izvesti, da bi zagotovil varnost obdelave osebnih podatkov.

57

Na prvem mestu, opozoriti je treba, da ima na podlagi člena 77(1) SUVP vsak posameznik, na katerega se nanašajo osebni podatki, brez poseganja v katero koli drugo upravno ali pravno sredstvo, pravico, da vloži pritožbo pri nadzornem organu, če meni, da se pri obdelavi osebnih podatkov v zvezi z njim ta uredba krši.

58

Glede pristojnosti nadzornih organov člen 55(1) navedene uredbe določa, da je vsak nadzorni organ na ozemlju svoje države članice pristojen, da opravlja dodeljene naloge in izvaja prenesena pooblastila na podlagi te uredbe.

59

Kar zadeva te naloge, člen 57(1)(a) SUVP določa, da vsak nadzorni organ na svojem ozemlju spremlja in zagotavlja uporabo te uredbe.

60

SUVP ne vsebuje nobene določbe, na podlagi katere bi bili nekateri vidiki uporabe izjeme iz člena 14(5)(c) te uredbe izvzeti iz pristojnosti teh nadzornih organov.

61

Na podlagi te določbe upravljavcu ni treba posamezniku, na katerega se nanašajo osebni podatki, zagotoviti informacij iz člena 14(1), (2) in (4) SUVP, kadar in kolikor je, na eni strani, pridobitev ali razkritje osebnih podatkov izrecno določeno s pravom Unije ali pravom države članice, ki velja za upravljavca, in na drugi strani, ta pravica določa ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

62

Zato lahko pritožba v skladu s členom 77(1) SUVP temelji na kršitvi obveznosti obveščanja s strani upravljavca, ki se nanaša na nespoštovanje pogojev za uporabo izjeme iz člena 14(5)(c) te uredbe.

63

Kar zadeva prvi pogoj, na katerega je bilo opozorjeno v točki 61 te sodbe, bo nadzorni organ, ki odloča o taki pritožbi, morda moral preveriti, ali pravo Unije ali nacionalno pravo določa, da mora upravljavec pridobiti ali razkriti osebne podatke.

64

Kar zadeva drugi pogoj, je treba ugotoviti – tako kot je ugotovila generalna pravobranilka v točkah 67 in 69 sklepnih predlogov – da obseg izraza „ustrezni ukrepi za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki“ v SUVP ni pojasnjen. Vendar morajo določbe prava Unije ali prava države članice, ki določajo take ukrepe in ki veljajo za upravljavca, zagotoviti – kot je navedeno v točki 54 te sodbe – raven varstva posameznika, na katerega se nanašajo osebni podatki, v zvezi z obdelavo njegovih osebnih podatkov, ki je vsaj enakovredna ravni iz člena 14, od (1) do (4), te uredbe. Tako morajo biti te določbe take, da posamezniku, na katerega se nanašajo osebni podatki, omogočajo izvajanje nadzora nad njegovimi osebnimi podatki in uveljavljanje pravic, ki so mu podeljene s SUVP.

65

V ta namen je med drugim pomembno, da je v navedenih določbah jasno in predvidljivo naveden vir, iz katerega bo posameznik, na katerega se nanašajo osebni podatki, pridobil informacije o obdelavi osebnih podatkov, ki se nanašajo nanj.

66

V okviru posredovanja osebnih podatkov med organi države članice in tega, da upravljavec take podatke ustvarja na podlagi podatkov, pridobljenih od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki, je treba navesti, da bo moral nadzorni organ v primeru pritožbe tega posameznika med drugim preveriti, ali upoštevno nacionalno pravo ali pravo Unije dovolj natančno opredeljuje različne vrste osebnih podatkov, ki se pridobijo ali razkrijejo, ter osebne podatke, ki jih mora ta upravljavec ustvariti v okviru opravljanja svojih nalog, in ali ta pravica določa, kako ima posameznik, na katerega se nanašajo osebni podatki, dejanski dostop do informacij iz člena 14(1), (2) in (4) SUVP.

67

Kot v pisnih stališčih poudarja Komisija, pa to, da nadzorni organ preveri, ali so izpolnjeni vsi pogoji za uporabo izjeme iz člena 14(5)(c) SUVP, ne spada v okvir preizkusa veljavnosti upoštevnih določb nacionalnega prava. Ta organ odloči samo o tem, ali se lahko upravljavec v danem primeru v razmerju do posameznika, na katerega se nanašajo osebni podatki, sklicuje na izjemo iz te določbe ali ne.

68

V zvezi z izidom takega preverjanja je treba opozoriti, da člen 78 te uredbe določa, da kadar nadzorni organ v danem primeru odloči, da pritožba posameznika, na katerega se nanašajo osebni podatki, ni utemeljena, mora posameznik, na katerega se nanašajo osebni podatki, imeti v svoji državi članici pravico do učinkovitega pravnega sredstva zoper to zavrnilno odločbo.

69

Kadar pa ta organ meni, da je pritožba utemeljena in pogoji za uporabo izjeme iz člena 14(5)(c) navedene uredbe niso izpolnjeni, upravljavcu odredi, naj posamezniku, na katerega se nanašajo osebni podatki, v skladu s členom 14(1), (2) in (4) te uredbe zagotovi informacije.

70

Na drugem mestu, kar zadeva vprašanje, ali se mora to preverjanje nanašati tudi na ustreznost – glede na člen 32 SUVP – ukrepov, ki jih mora upravljavec izvesti za zagotovitev varnosti obdelave, je treba poudariti, da člen 14(5)(c) te uredbe določa izjemo zgolj od obveznosti obveščanja iz člena 14(1), (2) in (4) navedene uredbe, ne določa pa odstopanja od obveznosti iz drugih določb te uredbe, med katerimi je člen 32 te uredbe.

71

Ta člen 32 upravljavca in morebitnega obdelovalca zavezuje, da izvedeta ustrezne tehnične in organizacijske ukrepe za zagotovitev ustrezne ravni varnosti obdelave osebnih podatkov. Ustreznost takih ukrepov je treba oceniti konkretno, pri čemer je treba upoštevati tveganja, povezana z zadevno obdelavo, ter presoditi, ali so narava, vsebina in izvajanje teh ukrepov prilagojeni tem tveganjem (glej v tem smislu sodbi z dne 14. decembra 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, točke 42, 46 in 47, in z dne 25. januarja 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, točki 37 in 38).

72

Glede na besedilo teh dveh določb je treba navesti, da so obveznosti iz člena 32 SUVP, ki jih je treba spoštovati v vsakem primeru in neodvisno od tega, ali obstaja obveznost obveščanja na podlagi člena 14 te uredbe, drugačne narave in obsega v primerjavi z obveznostjo obveščanja iz tega člena 14.

73

Tako je v primeru pritožbe v skladu s členom 77(1) SUVP, ker se je upravljavec napačno skliceval na izjemo iz člena 14(5)(c) te uredbe, predmet preverjanj, ki jih mora opraviti nadzorni organ, omejen na področje uporabe zgolj člena 14 navedene uredbe, saj spoštovanje člena 32 te uredbe ni del teh preverjanj.

74

Ob upoštevanju zgoraj navedenih razlogov je treba na drugo in tretje vprašanje odgovoriti, da je treba člen 14(5)(c) in člen 77(1) SUVP razlagati tako, da je nadzorni organ v okviru pritožbenega postopka pristojen za to, da za namene uporabe izjeme iz tega člena 14(5)(c) preveri, ali pravo države članice, ki velja za upravljavca, določa ustrezne ukrepe za zaščito zakonitih interesov posameznika, na katerega se nanašajo osebni podatki. Vendar se to preverjanje ne nanaša na ustreznost ukrepov, ki jih mora upravljavec na podlagi člena 32 te uredbe izvesti, da bi zagotovil varnost obdelave osebnih podatkov.

75

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (tretji senat) razsodilo: