–

za Datenschutzbehörde M. Schmidl in E. Wagner, agenta,

–

za Bundesministerin für Justiz E. Riedl, agent,

–

za avstrijsko vlado A. Posch, J. Schmoll in C. Gabauer, agenti,

–

za Evropsko komisijo A. Bouchagiar in M. Heller, agenta,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 4, točka 7, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2; v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med Amt der Tiroler Landesregierung (urad deželne vlade Tirolske, Avstrija; v nadaljevanju: urad) in Datenschutzbehörde (organ za varstvo podatkov, Avstrija) v zvezi s tem, da je urad domnevno nezakonito obdeloval osebne podatke fizične osebe.

3

V uvodnih izjavah 1, 7, 10, 45 in 74 SUVP je navedeno:

[…]

[…]

[…]

[…]

4

Člen 1 te uredbe, naslovljen „Predmet urejanja in cilji“, v odstavku 2 določa:

„Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.“

5

Člen 4 navedene uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…]

[…].“

6

Člen 5 navedene uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki morajo biti:

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“

7

Člen 6 SUVP, naslovljen „Zakonitost obdelave“, v odstavkih 1 in 3 določa:

„1.   Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

[…]

[…]

[…]

3.   Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:

Namen obdelave se določi v navedeni pravni podlagi ali pa je v primeru obdelave iz točke (e) odstavka 1 potreben za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu. Navedena pravna podlaga lahko vključuje posebne določbe, s katerimi se prilagodi uporaba pravil iz te uredbe, med drugim: splošne pogoje, ki urejajo zakonitost obdelave podatkov s strani upravljavca; vrste podatkov, ki se obdelujejo; zadevne posameznike, na katere se nanašajo osebni podatki; subjekte, katerim se osebni podatki lahko razkrijejo, in namene, za katere se lahko razkrijejo; omejitve namena; obdobja hrambe; ter dejanja obdelave in postopke obdelave, vključno z ukrepi za zagotovitev zakonite in poštene obdelave, kot tiste za druge posebne primere obdelave iz poglavja IX. […]“

8

Člen 56 Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) (deželni zakon o ustavi dežele Tirolske, deželni red Tirolske iz leta 1989) z dne 21. septembra 1988 v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: deželni red Tirolske iz leta 1989), naslovljen „Landeshauptmann (deželni glavar, Avstrija, v nadaljevanju: glavar)“, v odstavku 1 določa:

„[Glavar] zastopa deželo Tirolsko.“

9

Člen 58 deželnega reda Tirolske iz leta 1989, naslovljen „[urad]“, v odstavku 1 določa:

„[Glavar], deželna vlada in njeni člani se morajo za obravnavanje svojih zadev obrniti na [urad]. [Glavar] je predsednik [urada].“

10

Člen 2 Tiroler Datenverarbeitungsgesetz (zakon dežele Tirolske o obdelavi podatkov, v nadaljevanju: TDVG) določa:

„1.   Za upravljavca v smislu člena 4, točka 7, [SUVP] se šteje:

[…]

3.   Kadar obdelavo podatkov izvaja ali naroči dežela Tirolska, se [urad] vedno šteje za upravljavca take obdelave, če

11

Urad, ki je pomožni upravni subjekt v službi glavarja in deželne vlade Tirolske, je v okviru ukrepov za boj proti pandemiji covida‑19 vsem polnoletnim osebam s prebivališčem v deželi Tirolski, ki še niso bile cepljene proti temu virusu, poslal „opomnik o cepljenju“. Urad je za identifikacijo naslovnikov teh opomnikov pooblastil dve zasebni podjetji, ki sta opravili navzkrižno preverjanje podatkov iz centralnega registra cepljenja in registra pacientov, v katerem je bil naveden naslov njihovega prebivališča.

12

Oseba CW, ena od teh naslovnikov, je 21. decembra 2021 pri organu za varstvo podatkov vložila pritožbo zoper urad zaradi nezakonite obdelave njenih osebnih podatkov. Urad je pred tem organom navedel, da ima status „upravljavca“ in da je osebi CW poslal opomnik.

13

Navedeni organ je z odločbo z dne 22. avgusta 2022 ugotovil, da je urad kršil pravico osebe CW do varstva njenih osebnih podatkov, ker je urad, da bi ji poslal „opomnik o cepljenju“, imel vpogled v podatke zadevne osebe iz registra cepljenja, čeprav nima pravice dostopa niti do tega registra niti do registra pacientov. Obdelava osebnih podatkov osebe CW naj bi bila torej nezakonita.

14

Urad je zoper to odločbo vložil tožbo pri Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija). To sodišče je na podlagi veljavnega nacionalnega prava odločilo, da je urad sicer imel status upravljavca, vendar ni imel pravice do vpogleda v centralni register cepljenja zaradi pošiljanja opomnika, kakršnega je poslal osebi CW. Ker je to sodišče zavrnilo tožbo urada, je slednji vložil revizijo zoper to sodbo pri Verwaltungsgerichtshof (vrhovno upravno sodišče, Avstrija), ki je predložitveno sodišče.

15

To sodišče meni, da je treba za odločitev v zadevi, o kateri odloča, ugotoviti, ali ima urad v tem postopku status „upravljavca“ v smislu člena 4, točka 7, SUVP.

16

V zvezi s tem predložitveno sodišče poudarja, da naj bi urad deželnemu glavarju zgolj predložil predlog, naj se pošlje „opomnik o cepljenju“, in sicer predlog, ki naj bi ga ta odobril kot predsednik urada in predstavnik dežele Tirolske v skladu s členom 58 oziroma členom 56(1) deželnega reda Tirolske iz leta 1989. Urad naj bi tako deželnemu glavarju zgolj sporočil, prvič, kakšen naj bi bil namen predvidene obdelave osebnih podatkov, in sicer povečanje stopnje cepljenosti, in drugič, kakšna sredstva naj bi se uporabila na podlagi te obdelave, in sicer pošiljanje takega „opomnika o cepljenju“ tako, da se uporabijo podatki iz centralnega registra cepljenja in iz registra pacientov.

17

Po mnenju predložitvenega sodišča je ob upoštevanju te odobritve deželnega glavarja le zadnjenavedeni odločil tako o namenu kot o sredstvih obdelave osebnih podatkov, zato urad ne more biti „upravljavec“ v smislu člena 4, točka 7, prvi stavek, SUVP.

18

Vendar se to sodišče sprašuje, ali je bil urad kot tak lahko veljavno imenovan z določbo nacionalnega prava, in sicer s členom 2(1)(a) TDVG.

19

Urad naj namreč ne bi bil pravna oseba oziroma organ za obdelavo osebnih podatkov, ki je osebi CW poslal „opomnik o cepljenju“. Urad naj bi pri tej obdelavi posredoval le kot pomožni upravni subjekt v službi javnega organa. Urad naj ne bi bil pravna oseba niti naj ne bi imel lastne pravne sposobnosti. Ugotoviti bi bilo torej treba, ali je mogoče urad v teh okoliščinah šteti za „agencijo ali drugo telo“ v smislu člena 4, točka 7, prvi stavek, SUVP, ki se lahko v skladu s členom 4, točka 7, drugi stavek, te uredbe imenuje za upravljavca na podlagi nacionalnega prava.

20

Poleg tega navedeno sodišče opozarja, da je v skladu s členom 4, točka 7, drugi stavek, SUVP upravljavca mogoče neposredno imenovati le, če namene in sredstva obdelave zadevnih osebnih podatkov določa nacionalno pravo. Čeprav člen 2(1)(a) TDVG imenuje urad kot upravljavca, pa ne določa konkretno niti katere vrste obdelave osebnih podatkov lahko izvaja urad, niti namenov, ki bi se morali uresničevati s to obdelavo, niti sredstev, ki bi jih urad lahko za to uporabil.

21

Predložitveno sodišče dodaja, da iz člena 6(1)(c) in (e) SUVP izhaja, da je obdelava osebnih podatkov zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca, ali če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Iz teh pogojev zakonitosti in cilja, ki naj bi ga uresničeval člen 4, točka 7, SUVP, da se zagotovi učinkovito in obsežno varstvo posameznikov, na katere se nanašajo osebni podatki, naj bi izhajalo, da lahko države članice za upravljavca imenujejo le osebo ali subjekt, ki lahko določi namene in sredstva obdelave osebnih podatkov ali vsaj sodeluje pri tej določitvi.

22

V teh okoliščinah je Verwaltungsgerichtshof (vrhovno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

„Ali je treba člen 4, točka 7, [SUVP] razlagati tako, da nasprotuje uporabi določbe nacionalnega prava (kot je v obravnavanem primeru člen 2(1) [TDVG]), v kateri je sicer v smislu člena 4, točka 7, drugi del stavka, SUVP določen neki upravljavec, vendar

23

Predložitveno sodišče v bistvu sprašuje, ali je treba člen 4, točka 7, SUVP razlagati tako, da nasprotuje nacionalni ureditvi, s katero je kot upravljavec imenovan pomožni upravni subjekt, ki ni pravna oseba in nima lastne pravne sposobnosti, ne da bi bila konkretno določena specifična dejanja obdelave osebnih podatkov, za katera je ta subjekt odgovoren, niti namen teh dejanj. To sodišče se želi tudi prepričati, ali je treba člen 4, točka 7, SUVP razlagati tako, da mora subjekt, ki je z nacionalnim pravom imenovan kot upravljavec v skladu s to določbo, dejansko odločiti o namenih in sredstvih obdelave osebnih podatkov, da bi bil zavezan, da kot upravljavec odgovori na zahteve, ki jih nanj naslovijo posamezniki, na katere se nanašajo osebni podatki, na podlagi pravic, ki jih imajo na podlagi SUVP.

24

Uvodoma je treba spomniti, da v skladu s členom 4, točka 7, SUVP pojem „upravljavec“ zajema fizične ali pravne osebe, javne organe, agencije ali druga telesa, ki sami ali skupaj z drugimi določajo namene in sredstva obdelave. V tej določbi je določeno tudi, da kadar namene in sredstva obdelave določa med drugim pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s tem pravom.

25

Iz sodne prakse Sodišča izhaja, da je namen navedene določbe s široko opredelitvijo pojma „upravljavec“ zagotoviti učinkovito in popolno varstvo oseb, na katere se nanašajo osebni podatki (glej v tem smislu sodbi z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 29, in z dne 5. decembra 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, točka 40).

26

Cilj SUVP, kot izhaja iz njenega člena 1 ter uvodnih izjav 1 in 10, je med drugim zagotoviti visoko raven varstva temeljnih pravic in svoboščin posameznikov, zlasti njihove pravice do zasebnosti pri obdelavi osebnih podatkov, kot je določena v členu 8(1) Listine o temeljnih pravicah in členu 16(1) PDEU (sodba z dne 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, točka 53 in navedena sodna praksa).

27

Glede na besedilo člena 4, točka 7, SUVP in ob upoštevanju tega cilja je treba za to, da bi se določilo, ali je treba neko osebo ali subjekt šteti za „upravljavca“ v smislu te določbe, ugotoviti, ali ta oseba oziroma subjekt določa – sama ali skupaj z drugimi – namene in sredstva obdelave ali pa so ti določeni z nacionalnim pravom. Če se ti določijo z nacionalnim pravom, je treba nato preveriti, ali to pravo imenuje upravljavca oziroma določa posebna merila za njegovo imenovanje (sodba z dne 11. januarja 2024, État belge (Podatki, obdelani v uradnem listu), C‑231/22, EU:C:2024:7, točka 29).

28

Glede na široko opredelitev pojma „upravljavec“ v smislu člena 4, točka 7, SUVP je določitev namenov in sredstev obdelave ter, če je potrebno, določitev tega upravljavca z nacionalnim pravom, lahko ne le eksplicitna, ampak tudi implicitna. Vendar se v zadnjenavedenem primeru zahteva, da ta določitev dovolj zanesljivo izhaja iz vloge, nalog in pooblastil, dodeljenih zadevni osebi ali subjektu (sodba z dne 11. januarja 2024, État belge (Podatki, obdelani v uradnem listu), C‑231/22, EU:C:2024:7, točka 30).

29

Postavljeno vprašanje je treba preučiti ob upoštevanju teh uvodnih ugotovitev. Za to je treba, prvič, ugotoviti, v kolikšnem obsegu lahko nacionalni zakonodajalec veljavno imenuje pomožni upravni subjekt v službi javnega organa, za upravljavca v smislu člena 4, točka 7, drugi stavek, SUVP, če ta subjekt ni pravna oseba niti nima lastne pravne sposobnosti.

30

V zvezi s tem je treba na eni strani poudariti, da je Sodišče že razsodilo, da je iz jasnega besedila člena 4, točka 7, SUVP razvidno, da je lahko upravljavec ne le fizična ali pravna oseba, ampak tudi javni organ, agencija ali telo, pri čemer taki subjekti na podlagi nacionalnega prava niso nujno pravne osebe (glej v tem smislu sodbo z dne 11. januarja 2024, État belge (Podatki, obdelani v uradnem listu), C‑231/22, EU:C:2024:7, točka 36).

31

Tako ni mogoče izključiti, da je subjekt mogoče opredeliti kot „upravljavca“ v smislu te določbe, tudi če ta subjekt ni pravna oseba.

32

Na drugi strani je treba v zvezi z vprašanjem, ali opredelitev subjekta kot „upravljavca“ zahteva, da ima ta subjekt lastno pravno sposobnost ali pa za ta namen zadostuje, da ima zadevni subjekt določeno sposobnost odločanja in ukrepanja v okviru varstva osebnih podatkov, opozoriti, da je iz uvodne izjave 74 SUVP razvidno, da je zakonodajalec Unije želel, da je odgovornost, naložena upravljavcu, enaka ne glede na to, kakšna je obdelava osebnih podatkov, ki jo izvaja bodisi sam bodisi prek tretje osebe, vendar za svoj račun. Ta zakonodajalec je želel tudi zagotoviti, da mora upravljavec izvajati ustrezne in učinkovite ukrepe ter da je zmožen izkazati skladnost dejavnosti obdelave s to uredbo, vključno z učinkovitostjo zadevnih ukrepov, pri čemer je treba pri teh ukrepih upoštevati naravo, obseg, okoliščine in namene obdelave ter tveganje, ki ga obdelava pomeni za pravice in svoboščine posameznikov.

33

V tem okviru člen 5(2) SUVP določa načelo odgovornosti, v skladu s katerim je upravljavec odgovoren za skladnost z načeli v zvezi z obdelavo osebnih podatkov iz odstavka 1 tega člena 5, in določa, da mora biti navedeni upravljavec zmožen dokazati skladnost s temi načeli.

34

Ob upoštevanju zakonskih obveznosti, ki jih ima tako upravljavec iz člena 4, točka 7, SUVP, mora biti ta upravljavec v skladu s postopki, določenimi v ureditvi države članice, kateri pripada, sposoben dejansko in pravno izpolniti te obveznosti, ne da bi bilo pri tem upoštevno, ali je ta subjekt pravna oseba in ali ima lastno pravno sposobnost.

35

V obravnavanem primeru mora predložitveno sodišče preveriti, ali ima urad na podlagi avstrijskega prava odgovornosti in obveznosti, ki jih SUVP nalaga upravljavcu, zlasti ob upoštevanju okoliščine, ki ni bila sporna pred nacionalnima sodiščema, ki sta odločali o sporu o glavni stvari, da lahko urad vloži tožbo zoper odločbo organa za varstvo podatkov, prav tako kot je lahko zoper njega vložena pritožba pri tem organu. Predložitveno sodišče bo lahko upoštevalo tudi dejstvo, da je urad za izvedbo obdelave osebnih podatkov iz centralnega registra cepljenja in registra pacientov, ki prebivajo v deželi Tirolski, pooblastil dve zasebni družbi.

36

Drugič, predložitveno sodišče se sprašuje, ali lahko nacionalni zakonodajalec imenuje subjekt za upravljavca na podlagi člena 4, točka 7, drugi stavek, SUVP, ne da bi konkretno opredelil obdelave osebnih podatkov, ki jih bo ta subjekt morda moral izvesti, niti njihov namen ali konkretna sredstva, ki jih lahko uporabi za to obdelavo.

37

Kot je bilo navedeno v točki 28 te sodbe, kadar nacionalno pravo imenuje subjekt kot upravljavca, je lahko določitev namenov in sredstev obdelave s tem pravom implicitna, če ta določitev dovolj zanesljivo izhaja iz vloge, naloge in pooblastil, podeljenih temu subjektu. Ta pogoj je izpolnjen, če ti nameni in sredstva v bistvu izhajajo iz določb nacionalnega prava, ki urejajo dejavnost navedenega subjekta.

38

To, da nacionalni zakonodajalec neposredno imenuje subjekt za upravljavca, prispeva k cilju pravne varnosti, ki ga uresničuje SUVP, kot je razvidno iz njene uvodne izjave 7, saj posameznikom, katerih osebni podatki se obdelujejo, omogoča, da zlahka opredelijo subjekt, ki je odgovoren za zagotavljanje spoštovanja pravic, ki jih jim podeljuje ta uredba.

39

Vendar je veljavnost takega imenovanja pogojena s tem, da nacionalna ureditev določa obseg obdelave osebnih podatkov, za katero je ta subjekt imenovan za upravljavca, pri čemer ni potrebno, da bi ta zakonodajalec izčrpno naštel vsa dejanja obdelave, za katera je ta subjekt tako imenovan. Kot je navedeno v uvodni izjavi 45 te uredbe, je lahko „[z]adosten […] zakon, ki je podlaga za več dejanj obdelave, ki temeljijo na pravni obveznosti, ki velja za upravljavca, ali za primere, ko je obdelava potrebna za izvajanje naloge v javnem interesu ali izvrševanje javne oblasti.“

40

Iz tega sledi, da je nacionalna ureditev, s katero je subjekt imenovan za upravljavca, ne da bi bila v njej izrecno našteta vsa konkretna dejanja obdelave osebnih podatkov, za katera je odgovoren, niti namen teh dejanj obdelave, združljiva s členom 4, točka 7, SUVP, če ta ureditev izrecno ali vsaj implicitno določa obseg obdelave osebnih podatkov, za katero je ta subjekt imenovan za upravljavca.

41

V obravnavanem primeru mora predložitveno sodišče preveriti, prvič, ali je obdelava osebnih podatkov, ki jo je opravil urad za pripravo in pošiljanje „opomnikov o cepljenju“ iz postopka v glavni stvari, združljiva z nameni, ki jih je treba doseči z dejanji obdelave osebnih podatkov, za katero je bil urad imenovan za upravljavca, kot ti nameni vsaj implicitno izhajajo iz vseh določb nacionalnega prava, ki urejajo njegovo dejavnost, in drugič, sredstva, ki jih lahko za to uporabi. Zgolj okoliščina, da te nacionalne določbe ne določajo – po potrebi konkretno – dejanj obdelave, za katera je urad pooblaščen, ne more izključiti opredelitve subjekta, kot je urad, za upravljavca v smislu člena 4, točka 7, SUVP.

42

Tretjič, predložitveno sodišče sprašuje, ali mora subjekt, ki je z nacionalno zakonodajo imenovan za upravljavca na podlagi člena 4, točka 7, drugi stavek, SUVP, prav tako sam ali z drugimi pristojnimi organi določiti namene in sredstva obdelave osebnih podatkov, za katero je imenovan za upravljavca, da bi bil zavezan, da v tej vlogi odgovori na zahteve, ki jih nanj naslovijo posamezniki, na katere se nanašajo osebni podatki, na podlagi pravic, ki jih imajo na podlagi SUVP.

43

V zvezi s tem zadostuje navesti, da je treba to, ali je subjekt zaradi svojih ciljev dejansko vplival na določitev namenov in sredstev obdelave, preučiti za to, da bi se ugotovilo, ali je ta subjekt upravljavec te obdelave v smislu člena 4, točka 7, prvi stavek, SUVP (glej v tem smislu sodbo z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točki 30 in 31).

44

Za ugotovitev statusa upravljavca subjekta v smislu člena 4, točka 7, drugi stavek, SUVP, kot je razvidno iz jasnega besedila te določbe, pa ni nujno, da ta subjekt vpliva na določitev namenov in sredstev te obdelave.

45

Takemu subjektu, ki je v nacionalnem pravu imenovan za upravljavca, torej ni treba samemu odločati o namenih in sredstvih obdelave osebnih podatkov, da bi bil zavezan, da kot upravljavec odgovori na zahteve, ki jih posamezniki, na katere se nanašajo osebni podatki, nanj naslovijo na podlagi pravic, ki jih imajo na podlagi SUVP.

46

V zvezi s tem je Sodišče že razsodilo, da na veljavnost neposrednega imenovanja ne vpliva okoliščina, da subjekt, imenovan za upravljavca, v skladu z nacionalnim pravom ne izvaja nobenega nadzora nad osebnimi podatki, ki jih mora obdelati (glej v tem smislu sodbo z dne 11. januarja 2024, État belge (Podatki, obdelani v uradnem listu), C‑231/22, EU:C:2024:7, točki 37 in 38).

47

Taka razlaga je v skladu s ciljem pravne varnosti, ki ga uresničuje SUVP. Kot je Evropska komisija poudarila v pisnem stališču, bi bil ta cilj ogrožen, če bi morali posamezniki, na katere se nanašajo osebni podatki, da bi se lahko štelo, da je nacionalni zakonodajalec veljavno določil to imenovanje, preveriti, ali je subjekt, imenovan za upravljavca njihovih osebnih podatkov, pristojen, da sam določi namene in sredstva take obdelave.

48

Dodati je treba še, da dejstvo, da ni nujno, da je subjekt, ki je z nacionalnim pravom imenovan za upravljavca, pristojen tudi, da sam določi namene in sredstva obdelave osebnih podatkov, da bi bil zavezan, da kot upravljavec odgovori na zahteve, ki jih nanj naslovijo posamezniki, na katere se nanašajo osebni podatki, na podlagi pravic, ki jih imajo na podlagi SUVP, tem posameznikom ne odvzema možnosti, da te zahteve naslovijo na drug subjekt, ki ga štejejo za upravljavca ali soupravljavca svojih osebnih podatkov, zaradi vpliva tega drugega subjekta na določanje namenov in sredstev zadevne obdelave.

49

Ob upoštevanju zgoraj navedenih razlogov je treba na postavljeno vprašanje odgovoriti, da je treba člen 4, točka 7, SUVP razlagati tako, da ne nasprotuje nacionalni ureditvi, s katero je za upravljavca imenovan pomožni upravni subjekt, ki ni pravna oseba in nima lastne pravne sposobnosti, ne da bi bila s to ureditvijo konkretno določena posamezna dejanja obdelave osebnih podatkov, za katera je ta subjekt odgovoren, in namen teh dejanj, prvič, če je tak subjekt v skladu s to nacionalno ureditvijo sposoben izpolnjevati obveznosti, ki jih ima upravljavec v razmerju do posameznikov, na katere se nanašajo osebni podatki, na področju varstva osebnih podatkov, in drugič, če navedena nacionalna ureditev izrecno ali vsaj implicitno določa obseg obdelave osebnih podatkov, za katero je ta subjekt odgovoren.

50

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (osmi senat) razsodilo:

Člen 4, točka 7, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)

je treba razlagati tako, da

ne nasprotuje nacionalni ureditvi, s katero je za upravljavca imenovan pomožni upravni subjekt, ki ni pravna oseba in nima lastne pravne sposobnosti, ne da bi bila s to ureditvijo konkretno določena posamezna dejanja obdelave osebnih podatkov, za katera je ta subjekt odgovoren, in namen teh dejanj, prvič, če je tak subjekt v skladu s to nacionalno ureditvijo sposoben izpolnjevati obveznosti, ki jih ima upravljavec v razmerju do posameznikov, na katere se nanašajo osebni podatki, na področju varstva osebnih podatkov, in drugič, če navedena nacionalna ureditev izrecno ali vsaj implicitno določa obseg obdelave osebnih podatkov, za katero je ta subjekt odgovoren.