–

za Meta Platforms Ireland Ltd M. Braun, H.-G. Kamann in V. Wettner, Rechtsanwälte,

–

za Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV P. Wassermann, Rechtsanwalt,

–

za nemško vlado J. Möller in P.-L. Krüger, agenta,

–

za portugalsko vlado P. Barros da Costa, J. Ramos in C. Vieira Guerra, agentke,

–

za Evropsko komisijo A. Bouchagiar, F. Erlbacher in H. Kranenborg, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 80(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP) v povezavi s členom 12(1), prvi stavek, in členom 13(1)(c) in (e) te uredbe.

2

Ta predlog je bil vložen v okviru spora med družbo Meta Platforms Ireland Ltd, nekdanjo Facebook Ireland Ltd, s sedežem na Irskem in Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (zvezno združenje organizacij in združenj za varstvo potrošnikov, Nemčija) (v nadaljevanju: zvezno združenje), ker je družba Meta Platforms Ireland kršila nemško zakonodajo o varstvu osebnih podatkov, kar hkrati pomeni nepošteno poslovno prakso, kršitev zakona o varstvu potrošnikov in kršitev prepovedi uporabe neveljavnih splošnih pogojev.

3

V uvodnih izjavah 10, 13, 39, 58, 60 in 142 SUVP je navedeno:

[…]

[…]

[…]

[…]

[…]

4

Člen 1 te uredbe, naslovljen „Predmet urejanja in cilji“, v odstavku 1 določa:

„Ta uredba določa pravila o varstvu posameznikov pri obdelavi osebnih podatkov in pravila o prostem pretoku osebnih podatkov.“

5

Člen 4, točke 1, 2, 9 in 11, navedene uredbe določa:

„V tej uredbi:

[…]

[…]

6

Člen 5 iste uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki morajo biti:

[…]

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (,odgovornost‘).“

7

Člen 6(1)(a) SUVP, naslovljen „Zakonitost obdelave“, določa:

„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

8

Poglavje III SUVP, ki vsebuje člene od 12 do 23, je naslovljeno „Pravice posameznika, na katerega se nanašajo osebni podatki“.

9

Člen 12 te uredbe, naslovljen „Pregledne informacije, sporočila in načini za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1 določa:

„Upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene posebej otroku. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi. Na zahtevo posameznika, na katerega se nanašajo osebni podatki, se lahko informacije predložijo ustno, pod pogojem, da se identiteta posameznika, na katerega se nanašajo osebni podatki, dokaže z drugimi sredstvi.“

10

Člen 13 navedene uredbe, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1(c) in (e) določa:

„Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:

[…]

[…]

11

Poglavje VIII iste uredbe, ki vsebuje člene od 77 do 84, je naslovljeno „Pravna sredstva, odgovornost in kazni“.

12

Člen 77 SUVP, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, v odstavku 1 določa:

„Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.“

13

Člen 78 te uredbe, naslovljen „Pravica do učinkovitega pravnega sredstva zoper nadzorni organ“, v odstavku 1 določa:

„Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.“

14

Člen 79 navedene uredbe, naslovljen „Pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca“, v odstavku 1 določa:

„Brez poseganja v katero koli razpoložljivo upravno ali izvensodno sredstvo, vključno s pravico do vložitve pritožbe pri nadzornem organu na podlagi člena 77, ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni bila v skladu s to uredbo.“

15

Člen 80 iste uredbe, naslovljen „Zastopanje posameznikov, na katere se nanašajo osebni podatki“, določa:

„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da pooblasti neprofitno telo, organizacijo ali združenje, ki je ustrezno ustanovljeno v skladu s pravom države članice, in katerega statutarno določeni cilji so v javnem interesu ter je dejavno na področju varstva pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, kar zadeva varstvo njihovih osebnih podatkov, da vloži pritožbo v njegovem imenu in da v njegovem imenu uveljavlja pravice iz členov 77, 78 in 79 ter da v njegovem imenu uveljavlja pravico do odškodnine iz člena 82, kadar tako določa pravo države članice.

2.   Države članice lahko določijo, da ima katero koli telo, organizacija ali združenje iz odstavka 1 tega člena neodvisno od pooblastila posameznika, na katerega se nanašajo osebni podatki, v tej državi članici pravico, da vloži pritožbo pri nadzornem organu, ki je pristojen na podlagi člena 77, in da uveljavlja pravice iz členov 78 in 79, če meni, da so pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave.“

16

Člen 82 SUVP, naslovljen „Pravica do odškodnine in odgovornost“, v odstavku 1 določa:

„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“

17

Člen 84 SUVP, naslovljen „Kazni“, v odstavku 1 določa:

„Države članice določijo pravila o drugih kaznih, ki se uporabljajo za kršitve te uredbe, zlasti za kršitve, za katere se ne uporabljajo upravne globe v skladu s členom 83, in sprejmejo vse potrebne ukrepe za zagotovitev, da se te kazni izvajajo. Te kazni morajo biti učinkovite, sorazmerne in odvračilne.“

18

Člen 2 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (zakon o opustitvenih tožbah zaradi kršitev potrošniškega prava in drugih kršitev) z dne 26. novembra 2001 (BGBl. 2001 I, str. 3138) v različici, ki se uporablja v sporu o glavni stvari (v nadaljevanju: zakon o opustitvenih tožbah), določa:

„(1)   Zoper vsakogar, ki kako drugače kot z uporabo ali priporočanjem splošnih poslovnih pogojev krši določbe za varstvo potrošnikov (zakoni o varstvu potrošnikov), je v interesu varstva potrošnikov mogoče vložiti opustitveno tožbo in tožbo za odpravo posledic te kršitve. […]

(2)   Zakoni o varstvu potrošnikov v smislu tega člena so zlasti:

[…]

11. predpisi o zakonitosti

19

Bundesgerichtshof (zvezno vrhovno sodišče, Nemčija) navaja, da lahko organi, ki imajo procesno upravičenje v smislu člena 4 zakona o opustitvenih tožbah, na podlagi člena 3(1), prvi stavek, točka 1, tega zakona v skladu s členom 1 navedenega zakona na eni strani zahtevajo prenehanje uporabe neveljavnih splošnih pogojev na podlagi člena 307 Bürgerliches Gesetzbuch (civilni zakonik) in na drugi strani prenehanje kršitev zakonodaje s področja varstva potrošnikov v smislu člena 2(2) istega zakona.

20

Člen 3(1) Gesetz gegen den unlauteren Wettbewerb (zakon o preprečevanju nelojalne konkurence) z dne 3. julija 2004 (BGBl. 2004 I, str. 1414) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: zakon o preprečevanju nelojalne konkurence), določa:

„Nepoštene poslovne prakse so prepovedane.“

21

Člen 3a zakona o preprečevanju nelojalne konkurence določa:

„Nepošteno ravna, kdor krši zakonsko določbo, s katero se med drugim v interesu udeležencev na trgu ureja ravnanje na trgu, če lahko ta kršitev občutno poseže v interese potrošnikov, drugih udeležencev na trgu ali konkurentov.“

22

Člen 8 tega zakona določa:

„1.   Zoper vsakogar, čigar poslovno ravnanje je v nasprotju s členom 3 ali 7, je mogoče vložiti tožbo za odpravo ali v primeru ponovitvene nevarnosti opustitveno tožbo. […]

[…]

(3)   Tožbi iz odstavka 1 lahko vložijo:

[…]

23

Bundesgerichtshof (zvezno vrhovno sodišče) navaja, da se je člen 13(1) Telemediengesetz (zakon o elektronskih medijih) z dne 26. februarja 2007 (BGBl. 2007 I, str. 179) uporabljal do začetka veljavnosti SUVP. Od tega datuma je bila ta določba nadomeščena s členi od 12 do 14 te uredbe.

24

Člen 13(1), prvi stavek, zakona o elektronskih medijih določa:

„Ponudnik storitev mora uporabnika pred začetkom uporabe na splošno razumljiv način obvestiti o vrsti, obsegu in namenu zbiranja in uporabe osebnih podatkov ter o obdelavi njegovih podatkov v državah zunaj področja uporabe Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355), če taka obvestitev ni bila že opravljena.“

25

Družba Meta Platforms Ireland, ki ponuja storitve spletnega družbenega omrežja Facebook v Uniji, je odgovorna za obdelavo osebnih podatkov uporabnikov tega družbenega omrežja v Uniji. Družba Facebook Germany GmbH, ki ima sedež v Nemčiji, pod spletnim naslovom www.facebook.de spodbuja prodajo oglasnega prostora. Spletna platforma Facebook med drugim na spletnem naslovu www.facebook.de vsebuje prostor, imenovan „App-Zentrum“ (center za aplikacije), na katerem družba Meta Platforms Ireland uporabnikom daje na voljo brezplačne igre tretjih ponudnikov. Uporabnik je bil ob ogledu tega prostora obveščen, da z uporabo nekaterih od teh aplikacij tem omogoča zbiranje različnih osebnih podatkov in jim dovoljuje, da v njegovem imenu objavijo nekatere od teh podatkov, kot so njegov rezultat ter za eno od zadevnih iger njegov status in njegove fotografije. Obveščen je bil tudi, da je z uporabo zadevnih aplikacij sprejel splošne pogoje teh aplikacij in njihovo politiko varstva podatkov.

26

Zvezno združenje, organizacija, ki ima procesno upravičenje na podlagi člena 4 zakona o opustitvenih tožbah, je presodilo, da podatki iz zadevnih aplikacij v center za aplikacije, niso dovoljeni, zlasti zato, ker ne upoštevajo zakonskih pogojev za pridobitev veljavne privolitve uporabnika na podlagi določb o varstvu osebnih podatkov. Poleg tega je ugotovilo, da so informacije, v skladu s katerimi lahko te aplikacije v imenu uporabnikov objavijo nekatere njihove osebne podatke, splošen pogoj, ki te uporabnike neupravičeno postavlja v slabši položaj.

27

V tem okviru je zvezno združenje pri Landgericht Berlin (deželno sodišče v Berlinu, Nemčija) na podlagi člena 3a zakona o preprečevanju nelojalne konkurence, člena 2(2), prvi stavek, točka 11, zakona o opustitvenih tožbah in civilnega zakonika vložilo opustitveno tožbo, da bi se družbi Meta Platforms Ireland zlasti prepovedalo, da v centru za aplikacije predstavlja aplikacije za igre, kot so zadevne aplikacije. Ta tožba je bila vložena, ne da bi bila posamezniku, na katerega se nanašajo osebni podatki, konkretno kršena pravica do varstva podatkov in brez pooblastila takega posameznika.

28

Landgericht Berlin (deželno sodišče v Berlinu) je predlogom zveznega združenja ugodilo. Pritožba družbe Meta Platforms Ireland pri Kammergericht Berlin (višje deželno sodišče v Berlinu, Nemčija) je bila zavrnjena. Družba Meta Platforms Ireland je zato pri predložitvenem sodišču vložila revizijo zoper zavrnilno odločbo, ki jo je sprejelo višje sodišče.

29

Predložitveno sodišče je ugotovilo, da je tožba zveznega združenja utemeljena, ker je družba Meta Platforms Ireland kršila člen 3a zakona o preprečevanju nelojalne konkurence in člen 2(2), prvi stavek, točka 11, zakona o opustitvenih tožbah ter uporabila neveljaven splošni pogoj v smislu člena 1 zakona o opustitvenih tožbah.

30

Vendar je imelo navedeno sodišče pomisleke o dopustnosti tožbe zveznega združenja. Ugotovilo je namreč, da ni izključeno, da je zvezno združenje, ki je imelo ob vložitvi tožbe procesno upravičenje – na podlagi člena 8(3) zakona o preprečevanju nelojalne konkurence in člena 3(1), prvi stavek, točka 1, zakona o opustitvenih tožbah – med postopkom izgubilo ta status po začetku veljavnosti SUVP, zlasti člena 80(1) in (2) ter člena 84(1) te uredbe. Če bi bilo tako, bi moralo predložitveno sodišče ugoditi reviziji, ki jo je vložila družba Meta Platforms Ireland, in zavrniti opustitveno tožbo zveznega združenja, saj mora procesno upravičenje v skladu z upoštevnimi postopkovnimi določbami nemškega prava trajati do konca postopka na zadnji stopnji.

31

Tako je Bundesgerichtshof (zvezno vrhovno sodišče) z odločbo z dne 28. maja 2020 prekinilo odločanje in Sodišču v predhodno odločanje predložilo vprašanje v zvezi z razlago člena 80(1) in (2) ter člena 84(1) SUVP.

32

Sodišče je v sodbi z dne 28. aprila 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322), na to vprašanje odgovorilo, da je treba člen 80(2) SUVP razlagati tako, da ne nasprotuje nacionalni ureditvi, ki združenju za varstvo interesov potrošnikov omogoča, da ob neobstoju pooblastila, ki mu je bilo podeljeno za to, in ne glede na kršitev konkretnih pravic posameznikov, na katere se nanašajo osebni podatki, proti domnevnemu kršitelju varstva osebnih podatkov sproži postopek pred sodiščem, ob zatrjevanju kršitve prepovedi nepoštenih poslovnih praks, zakona o varstvu potrošnikov ali prepovedi uporabe neveljavnih splošnih pogojev, če zadevna obdelava podatkov lahko vpliva na pravice, ki jih imajo določeni ali določljivi posamezniki na podlagi te uredbe.

33

Predložitveno sodišče glede na navedeno sodbo meni, da procesno upravičenje subjekta v smislu člena 80(2) SUVP ni pogojeno s tem, da tak subjekt predhodno posamično identificira posameznika, na katerega se nanaša obdelava podatkov, ki naj bi bila v nasprotju z določbami SUVP. Pojem „posameznik, na katerega se nanašajo osebni podatki“ v smislu člena 4, točka 1, te uredbe ne zajema le „določenega posameznika“, temveč tudi „določljivega posameznika“, in sicer posameznika, „ki ga je mogoče neposredno ali posredno določiti“ z navedbo identifikatorja, kot je med drugim ime, identifikacijska številka, podatki o lokaciji ali spletni identifikator. V teh okoliščinah bi lahko določitev kategorije ali skupine posameznikov, na katere se nanaša taka obdelava, zadostovala tudi za vložitev zastopniške tožbe. V obravnavanem primeru naj bi zvezno združenje opredelilo tako skupino ali kategorijo.

34

Vendar po mnenju predložitvenega sodišča v zgoraj navedeni sodbi Sodišča ni bil preučen pogoj iz člena 80(2) SUVP, v skladu s katerim mora združenje za varstvo interesov potrošnikov za uveljavljanje pravnih sredstev iz te uredbe meniti, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, določene v navedeni uredbi, kršene „zaradi obdelave“.

35

Na eni strani navedeno sodišče meni, da iz navedene sodbe ni jasno razvidno, ali kršitev obveznosti, ki izhaja iz člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) SUVP, in sicer, da se posamezniku, na katerega se nanašajo osebni podatki, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku sporočijo informacije o namenu obdelave osebnih podatkov in o uporabnikih teh podatkov, pomeni kršitev „zaradi obdelave“ in ali pojem „obdelava“ v smislu člena 4, točka 2, te uredbe zajema položaje, ki so nastali pred zbiranjem takih podatkov.

36

Na drugi strani isto sodišče meni, da ni jasno razvidno, ali je v primeru, kakršen je ta iz postopka v glavni stvari, do kršitve obveznosti zagotavljanja informacij prišlo „zaradi“ obdelave osebnih podatkov v smislu člena 80(2) SUVP. V zvezi s tem poudarja, da če bi bilo mogoče na podlagi takega besedila razumeti, da se mora subjekt, ki vloži zastopniško tožbo, za dopustnost te tožbe sklicevati na kršitev pravic posameznika, na katerega se nanašajo osebni podatki, ki je posledica postopka obdelave osebnih podatkov v smislu člena 4, točka 2, te uredbe in ki je torej poznejša od takega postopka, bi lahko cilj navedene uredbe, da se med drugim zagotovi visoka raven varstva osebnih podatkov, govoril v prid razširitvi procesnega upravičenja tega subjekta v primeru kršitve obveznosti zagotavljanja informacij, čeprav mora biti ta obveznost izpolnjena pred kakršnim koli postopkom obdelave osebnih podatkov.

37

V teh okoliščinah je Bundesgerichtshof (zvezno vrhovno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

„Ali se uveljavlja kršitev [pravic posameznika, na katerega se nanašajo osebni podatki,] ,zaradi obdelave‘ v smislu člena 80(2) [SUVP], če združenje za varstvo interesov potrošnikov svojo tožbo utemeljuje z dejstvom, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, kršene, ker niso bile izpolnjene obveznosti zagotavljanja informacij iz prvega stavka člena 12(1) [SUVP] v povezavi s členom 13(1)(c) in (e) te uredbe, ki se nanaša na namen in uporabnike osebnih podatkov?“

38

Predložitveno sodišče v bistvu sprašuje, ali je treba člen 80(2) SUVP razlagati tako, da je pogoj, v skladu s katerim mora pooblaščeni subjekt za vložitev zastopniške tožbe na podlagi te določbe navesti, da meni, da so bile pravice posameznika, na katerega se nanaša obdelava osebnih podatkov, ki so določene v tej uredbi, kršene „zaradi obdelave“ v smislu navedene določbe, izpolnjen, če taka tožba temelji na kršitvi obveznosti, ki jo ima upravljavec na podlagi člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) navedene uredbe, da posamezniku, na katerega se nanašajo osebni podatki, najpozneje ob zbiranju podatkov v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku zagotovi informacije o namenu te obdelave podatkov in o uporabnikih takih podatkov.

39

Za odgovor na to vprašanje je treba najprej opozoriti, da SUVP med drugim ureja pravna sredstva, ki omogočajo varstvo pravic posameznika, na katerega se nanašajo osebni podatki, kadar so bili osebni podatki, ki se nanj nanašajo, obdelani domnevno v nasprotju z določbami te uredbe. Varstvo teh pravic lahko tako zahteva bodisi neposredno posameznik, na katerega se nanašajo osebni podatki in ki ima pravico, da sam vloži pritožbo pri nadzornem organu države članice v skladu s členom 77 SUVP ali pravno sredstvo pred nacionalnimi sodišči v skladu s členoma 78 in 79 te uredbe, bodisi pooblaščeni subjekt, ki ima za to pooblastilo oziroma če ga nima, na podlagi člena 80 navedene uredbe.

40

Natančneje, člen 80(2) SUVP državam članicam omogoča, da določijo mehanizem zastopniške tožbe zoper domnevnega kršitelja varstva osebnih podatkov, če ni pooblastila posameznika, na katerega se nanašajo osebni podatki, hkrati pa določa nekatere zahteve na ravni osebnega in stvarnega področja uporabe, ki jih je treba za to spoštovati (sodba z dne 28. aprila 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, točka 63).

41

Na prvem mestu, v zvezi z osebnim področjem uporabe takega mehanizma se procesno upravičenje prizna telesu, organizaciji ali združenju, ki izpolnjuje merila iz člena 80(1) SUVP. Natančneje, kot je Sodišče že ugotovilo, je lahko združenje za varstvo interesov potrošnikov, kot je zvezno združenje, zajeto s tem pojmom, ker sledi cilju v javnem interesu, ki je zagotoviti pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, kot potrošnikov, saj je uresničitev takega cilja lahko povezana z varstvom osebnih podatkov teh posameznikov (sodba z dne 28. aprila 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, točki 64 in 65).

42

Na drugem mestu, glede stvarnega področja uporabe navedenega mehanizma se za to, da subjekt, ki izpolnjuje pogoje iz odstavka 1 člena 80 SUVP, vloži zastopniško tožbo iz odstavka 2 tega člena, predpostavlja, da ta subjekt ne glede na pooblastila, ki so mu bila podeljena, „meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, iz te uredbe kršene zaradi obdelave“ njegovih osebnih podatkov (sodba z dne 28. aprila 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, točka 67).

43

V zvezi s tem je Sodišče pojasnilo, da vložitev zastopniške tožbe med drugim ni pogojena z obstojem „konkretne kršitve“ pravic, ki jih ima posameznik na podlagi pravil na področju varstva osebnih podatkov, tako da za priznanje procesnega upravičenja takemu subjektu zadostuje trditev, da lahko zadevna obdelava podatkov vpliva na pravice, ki jih imajo določeni ali določljivi posamezniki na podlagi navedene uredbe, ne da bi bilo treba dokazati dejansko škodo, ki je posamezniku, na katerega se nanašajo osebni podatki, v določenem položaju nastala s kršitvijo njegovih pravic (sodba z dne 28. aprila 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, točki 70 in 72).

44

Vendar, kot je Sodišče že razsodilo, vložitev zastopniške tožbe predpostavlja, da subjekt iz te določbe „meni“, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, določene v SUVP, kršene zaradi obdelave njegovih osebnih podatkov, in torej zatrjuje „obstoj obdelave podatkov“, za katero meni, da je v nasprotju z določbami te uredbe (glej v tem smislu sodbo z dne 28. aprila 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, točka 71), saj taka obdelava ne sme biti zgolj hipotetična, kot je generalni pravobranilec navedel v točki 48 sklepnih predlogov.

45

Konkretno, kot izhaja iz besedila člena 80(2) SUVP, vložitev zastopniške tožbe na podlagi te določbe pomeni, da do kršitve pravic, ki jih ima posameznik, na katerega se nanašajo osebni podatki, na podlagi te uredbe, pride pri obdelavi osebnih podatkov.

46

Ta razlaga je potrjena s primerjavo različnih jezikovnih različic člena 80(2) SUVP in uvodno izjavo 142 te uredbe, v kateri je navedeno, da morajo imeti subjekti, ki izpolnjujejo pogoje iz člena 80(1) te uredbe, razloge za domnevo, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, določene v navedeni uredbi, kršene zaradi „obdelave osebnih podatkov, ki krši [isto] uredbo“.

47

Po tem pojasnilu je treba za odgovor na vprašanje za predhodno odločanje preveriti še, ali kršitev obveznosti upravljavca na podlagi člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) SUVP, da posamezniku, na katerega se nanašajo osebni podatki, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku zagotovi informacije o namenu obdelave osebnih podatkov in o uporabnikih takih podatkov najpozneje ob zbiranju teh podatkov, pomeni kršitev pravic tega posameznika „zaradi obdelave“ v smislu člena 80(2) SUVP.

48

Najprej je treba opozoriti, da je cilj SUVP, kot izhaja iz njenega člena 1 in uvodne izjave 10, med drugim zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov, zlasti njihove pravice do zasebnosti pri obdelavi osebnih podatkov (glej v tem smislu sodbo z dne 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, točka 53).

49

Za to so v poglavjih II in III te uredbe navedena načela, ki urejajo obdelavo osebnih podatkov in pravice posameznika, na katerega se nanašajo osebni podatki, ki jih je treba spoštovati pri vsaki obdelavi osebnih podatkov. Natančneje, ob upoštevanju odstopanj, določenih v členu 23 navedene uredbe, mora biti vsaka obdelava osebnih podatkov, prvič, v skladu z načeli v zvezi z obdelavo takih podatkov, določenimi v členu 5 te uredbe, in mora izpolnjevati pogoje za zakonitost, naštete v njenem členu 6, ter drugič, spoštovati pravice posameznika, na katerega se nanašajo osebni podatki, iz členov od 12 do 22 SUVP (glej v tem smislu sodbi z dne 6. oktobra 2020, La Quadrature du Net in drugi (C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 208), in z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov v davčne namene), C‑175/20, EU:C:2022:124, točki 50 in 61 ter navedena sodna praksa).

50

V zvezi s tem je treba poudariti, da morajo biti v skladu s členom 5(1)(a) SUVP osebni podatki obdelani zakonito, pošteno in pregledno v zvezi s posameznikom, na katerega se nanašajo osebni podatki. Poleg tega točka (b) tega člena 5(1) določa, da so ti podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni.

51

Sodišče je v zvezi z razlago člena 5(1)(b) SUVP razsodilo, da ta določba med drugim nalaga, da morajo biti nameni obdelave jasno določeni in opredeljeni najpozneje ob zbiranju osebnih podatkov (sodba z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov za davčne namene), C‑175/20, EU:C:2022:124, točki 64 in 65).

52

Poleg tega mora v skladu s členom 5(2) SUVP upravljavec dokazati, da se ti podatki med drugim zbirajo za določene, izrecne in zakonite namene ter da se v zvezi s posameznikom, na katerega se nanašajo osebni podatki, obdelujejo zakonito, pošteno in pregledno.

53

Iz člena 5 SUVP torej izhaja, da mora obdelava osebnih podatkov med drugim izpolnjevati konkretne zahteve glede preglednosti v zvezi s posameznikom, na katerega se taka obdelava nanaša. Za to SUVP v poglavju III na eni strani določa natančne obveznosti za upravljavca in na drugi strani posamezniku, na katerega se nanaša obdelava osebnih podatkov, priznava več pravic, med katerimi je tudi pravica, da od upravljavca pridobi informacije o namenih te obdelave in o konkretnih uporabnikih, ki so jim bili ali jim bodo posredovani osebni podatki, ki se nanašajo na tega posameznika (sodba z dne 22. junija 2023, Pankki S, C‑579/21, EU:C:2023:501, točka 48).

54

Natančneje, člen 13(1)(c) in (e) SUVP določa, da mora upravljavec, kadar se osebni podatki zbirajo od posameznika, na katerega se nanašajo osebni podatki, tega posameznika obvestiti o namenih obdelave, za katere so ti podatki namenjeni, in o pravni podlagi za to obdelavo ter o uporabnikih ali kategorijah uporabnikov navedenih podatkov.

55

Poleg tega člen 12(1) te uredbe zahteva, da upravljavec sprejme ustrezne ukrepe, zato da so med drugim informacije, navedene v prejšnji točki, ki se zagotovijo posamezniku, na katerega se nanašajo osebni podatki, jedrnate, pregledne, razumljive, lahko dostopne ter oblikovane v jasnem in preprostem jeziku.

56

Kot je razsodilo Sodišče, je cilj člena 12(1) SUVP, ki odraža načelo preglednosti, zagotovitev, da je posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da v celoti razume informacije, ki so mu posredovane (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 38).

57

Pomen spoštovanja take obveznosti obveščanja je prav tako potrjen z uvodno izjavo 60 SUVP, v kateri je navedeno, da načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju obdelave in namenih te obdelave, pri čemer je treba poudariti, da bi moral upravljavec zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 36).

58

Iz navedenega izhaja, na prvem mestu, da obveznost upravljavca glede zagotavljanja informacij posameznikom, na katere se nanaša obdelava osebnih podatkov, izhaja iz pravice do obveščenosti, ki je tem posameznikom priznana s členoma 12 in 13 SUVP in ki tako spada med pravice, ki so varovane z zastopniško tožbo iz člena 80(2) te uredbe. Poleg tega, kot je razvidno iz točk 56 in 57 te sodbe, spoštovanje te obveznosti splošneje zagotavlja spoštovanje načel preglednosti in poštenosti obdelave, določenih v členu 5(1) navedene uredbe.

59

Na drugem mestu, kot je generalni pravobranilec navedel v točki 47 sklepnih predlogov, zatrjevana kršitev pravice posameznikov, na katere se nanašajo osebni podatki, da so zadostno obveščeni o vseh okoliščinah obdelave osebnih podatkov, zlasti o namenu te obdelave in uporabniku teh podatkov, lahko ovira izražanje „informirane“ privolitve v smislu člena 4, točka 11, SUVP, zaradi česar je lahko ta obdelava nezakonita v smislu člena 5(1) te uredbe.

60

Veljavnost privolitve posameznika, na katerega se nanašajo osebni podatki, je namreč med drugim odvisna od tega, ali je ta posameznik predhodno pridobil informacije v zvezi z vsemi okoliščinami obdelave zadevnih podatkov, do katerih je bil upravičen na podlagi členov 12 in 13 SUVP in ki mu omogočajo, da privolitev poda ob popolnem poznavanju dejstev.

61

Ker se z obdelavo osebnih podatkov, opravljeno v nasprotju s pravico do obveščenosti, ki jo ima posameznik, na katerega se nanašajo osebni podatki, na podlagi členov 12 in 13 SUVP, kršijo zahteve, določene v členu 5 te uredbe, je treba kršitev te pravice do obveščenosti šteti za kršitev pravic posameznika, na katerega se nanašajo osebni podatki, „zaradi obdelave“ v smislu člena 80(2) navedene uredbe.

62

Iz tega sledi, da je pravica posameznika, na katerega se nanašajo osebni podatki, ki izhaja iz člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) SUVP, da v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku od upravljavca pridobi informacije o namenu take obdelave in o uporabnikih takih podatkov, pravica, katere kršitev omogoča uporabo mehanizma zastopniške tožbe iz člena 80(2) te uredbe.

63

Ta razlaga je na eni strani potrjena s ciljem SUVP, na katerega je bilo opozorjeno v točki 48 te sodbe, in sicer da se zagotovi učinkovito varstvo temeljnih pravic in svoboščin posameznikov ter zlasti visoka raven varstva pravice vsakogar do zasebnosti pri obdelavi osebnih podatkov, ki se nanašajo nanj.

64

Na drugi strani je taka razlaga tudi v skladu s preventivno funkcijo zastopniške tožbe iz člena 80(2) SUVP, ki jo izvajajo združenja za varstvo interesov potrošnikov, kot je v obravnavanem primeru zvezno združenje (sodba z dne 28. aprila 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, točka 76).

65

Glede na navedeno je treba na vprašanje za predhodno odločanje odgovoriti, da je treba člen 80(2) SUVP razlagati tako, da je pogoj, v skladu s katerim mora pooblaščeni subjekt za vložitev zastopniške tožbe na podlagi te določbe navesti, da meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, ki so določene v tej uredbi, kršene „zaradi obdelave“ v smislu navedene določbe, izpolnjen, če ta subjekt trdi, da je do kršitve pravic tega posameznika prišlo pri obdelavi osebnih podatkov in ta kršitev izhaja iz nespoštovanja obveznosti, ki jo ima upravljavec na podlagi člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) navedene uredbe, da posamezniku, na katerega se nanaša ta obdelava podatkov, najpozneje ob zbiranju podatkov v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku zagotovi informacije o namenu navedene obdelave podatkov in o uporabnikih takih podatkov.

66

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (četrti senat) razsodilo:

Člen 80(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)

je treba razlagati tako, da

je pogoj, v skladu s katerim mora pooblaščeni subjekt za vložitev zastopniške tožbe na podlagi te določbe navesti, da meni, da so bile pravice posameznika, na katerega se nanašajo osebni podatki, ki so določene v tej uredbi, kršene „zaradi obdelave“ v smislu navedene določbe, izpolnjen, če ta subjekt trdi, da je do kršitve pravic tega posameznika prišlo pri obdelavi osebnih podatkov in ta kršitev izhaja iz nespoštovanja obveznosti, ki jo ima upravljavec na podlagi člena 12(1), prvi stavek, ter člena 13(1)(c) in (e) navedene uredbe, da posamezniku, na katerega se nanaša ta obdelava podatkov, najpozneje ob zbiranju podatkov v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku zagotovi informacije o namenu navedene obdelave podatkov in o uporabnikih takih podatkov.