—

za Rīgas pašvaldības SIA „Rīgas satiksme“ L. Bemhens, agent,

—

za latvijsko vlado I. Kalniņš in A. Bogdanova, agenta,

—

za češko vlado J. Vláčil in M. Smolek, agenta,

—

za špansko vlado M. J. García-Valdecasas Dorrego, agentka,

—

za avstrijsko vlado G. Eberhard, agent,

—

za portugalsko vlado L. Inez Fernandes, M. Figueiredo in C. Vieira Guerra, agenti,

—

za Evropsko komisijo D. Nardi, H. Kranenborg in I. Rubene, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 7(f) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).

2

Ta predlog je bil vložen v okviru spora med Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (urad za prometne prekrške pri varnostni policiji regije Riga, Latvija) (v nadaljevanju: nacionalna policija) in Rīgas pašvaldības SIA „Rīgas satiksme“ (v nadaljevanju: „Rīgas satiksme“), avtobusno družbo mesta Riga, glede zahteve za razkritje podatkov za identifikacijo povzročitelja nesreče.

3

Člen 1 Direktive 95/46, naslovljen „Namen direktive“, določa:

„1.   V skladu s to direktivo države članice varujejo temeljne pravice in svoboščine fizičnih oseb in predvsem njihovo pravico do zasebnosti pri obdelavi osebnih podatkov.

2.   Države članice ne omejujejo niti ne prepovedujejo prostega prenosa osebnih podatkov med državami članicami zaradi razlogov, povezanih z varstvom, ki je zagotovljeno na podlagi odstavka 1.“

4

Člen 2 te direktive določa:

„V tej direktivi:

[…]

[…]“

5

Člen 5 Direktive 95/46 določa:

„Države članice v mejah določb tega poglavja natančneje določijo pogoje, pod katerimi je obdelava osebnih podatkov zakonita.“

6

Člen 7 te direktive v oddelku II, naslovljenem „Merila za zakonitost obdelave podatkov“, ki je v njenem poglavju II, določa:

„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:

7

Člen 8(2)(e) Direktive 95/46 določa, da se prepoved obdelave nekaterih vrst osebnih podatkov, kot so tisti, ki kažejo na rasni izvor ter politična mnenja, ne uporablja, kadar se obdelava nanaša na podatke, ki jih posameznik, na katerega se nanašajo, javno objavi ali je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

8

Člen 6 Fizisko personu datu aizsardzības likums (zakon o varstvu podatkov fizičnih oseb) z dne 23. marca 2000 (Latvijas Vēstnesis, 2000, št. 123/124) določa:

„Vsaka fizična oseba ima pravico do varstva osebnih podatkov, ki se nanjo nanašajo.“

9

Člen 7 tega zakona, ki je namenjen prenosu člena 7 Direktive 95/46, določa, da je obdelava osebnih podatkov dovoljena le, če ni v tem zakonu drugače določeno in če je izpolnjen vsaj eden od naslednjih pogojev:

10

Člen 12 tega zakona določa, da lahko osebne podatke, ki se nanašajo na kazniva dejanja, na obsodbe s kazenskega in upravnega področja ter na sodne odločbe ali sodne spise, obdelujejo le z zakonom določene osebe v zakonsko določenih primerih.

11

V skladu s členom 261 Latvijas Administratīvo pārkāpumu kodekss (latvijski zakonik o upravnih prekrških) lahko v okviru prekrškovnega postopka organ ali uradnik, ki je pooblaščen za vodenje postopka, osebi, ki ji je s prekrškom nastala škoda, prizna status oškodovanca. Ta člen določa pravice oškodovancev, vključno s pravico vpogleda v spis in uveljavljanja procesnih pravic za pridobitev odškodnine.

12

Decembra 2012 se je v Rigi zgodila prometna nezgoda. Voznik taksija je svoje vozilo ustavil ob robu ceste. Ko je mimo tega taksija pripeljal avtobus družbe Rīgas satiksme, je potnik, ki je sedel na zadnjem sedežu navedenega taksija, odprl vrata, ki so oplazila in poškodovala avtobus. Uveden je bil prekrškovni postopek in o tem je bilo sestavljeno poročilo.

13

Družba Rīgas satiksme je, ker se je najprej štelo, da je za navedeno nesrečo odgovoren voznik taksija, zahtevala odškodnino pri zavarovalnici, pri kateri je bila zavarovana civilna odgovornost lastnika ali zakonitega uporabnika zadevnega taksija. Vendar je ta zavarovalnica družbo Rīgas satiksme obvestila, da ji ne bo izplačala nobene odškodnine, ker je do nesreče prišlo zaradi ravnanja potnika tega taksija, ne pa njegovega voznika. Pojasnila je, da lahko družba Rīgas satiksme svoje zahtevke proti temu potniku uveljavlja v okviru civilnopravnega postopka.

14

Družba Rīgas satiksme se je nato obrnila na nacionalno policijo, pri kateri je zaprosila, naj se ji posredujejo informacije o osebi, ki je po nesreči prejela upravno sankcijo, pošlje kopija izjav voznika in potnika o okoliščinah nesreče, ter sporočita ime in priimek potnika taksija, njegova identifikacijska številka in njegov naslov. Družba Rīgas satiksme je nacionalni policiji pojasnila, da se bodo zaprošeni podatki uporabili samo za potrebe civilnopravnega postopka, ki bo sprožen zoper to osebo.

15

Nacionalna policija je prošnji družbe Rīgas satiksme ugodila samo deloma, in sicer ji je posredovala ime in priimek potnika v taksiju, zavrnila pa je posredovanje identifikacijske številke in naslova tega potnika. Družbi Rīgas satiksme ni posredovala niti kopije izjav oseb, vpletenih v nesrečo.

16

Odločitev nacionalne policije temelji na tem, da lahko informacije v zvezi s prekrškovnim postopkom pridobijo le stranke tega postopka. Družba Rīgas satiksme pa ni stranka zadevnega postopka. V skladu z latvijskim zakonikom o prekrških namreč v prekrškovnem postopku organ ali uradnik, ki je pooblaščen za vodenje postopka, osebi prizna status oškodovanca na njeno prošnjo. Družba Rīgas satiksme v obravnavanem primeru ni uporabila te pravice.

17

Družba Rīgas satiksme je pri administratīvā rajona tiesa (okrožno upravno sodišče, Latvija) v upravnem sporu izpodbijala sklep nacionalne policije v delu, v katerem je bilo zavrnjeno posredovanje identifikacijske številke in naslova potnika, vpletenega v nesrečo. To sodišče je z odločbo z dne 16. maja 2014 ugodilo tožbi družbe Rīgas satiksme in nacionalni policiji naložilo, naj posreduje informacije v zvezi z identifikacijsko številko in naslovom stalnega prebivališča tega potnika.

18

Nacionalna policija je pri predložitvenem sodišču vložila kasacijsko pritožbo. To je za mnenje zaprosilo Datu valsts inspekcija (nacionalni organ za varstvo podatkov, Latvija), ki je v svojem odgovoru z dne 13. oktobra 2015 navedel, da v sporu o glavni stvari posredovanje podatkov ne more temeljiti na členu 7, točka 6, zakona o varstvu osebnih podatkov, saj so v latvijskem zakoniku o upravnih prekrških naštete osebe, ki jim lahko nacionalna policija posreduje informacije v zvezi z neko zadevo. Tako bi se po mnenju nacionalnega organa za varstvo podatkov osebni podatki iz prekrškovnega postopka na podlagi točk 3 in 5 tega člena lahko posredovali samo v zakonsko določenih primerih. Člen 7 navedenega zakona naj upravljavca, v obravnavanem primeru nacionalne policije, ne bi zavezoval k obdelavi podatkov, ampak naj bi ji to le dovoljeval.

19

Nacionalni organ za varstvo podatkov je navedel, da ima družba Rīgas satiksme dve možnosti za pridobitev teh informacij. Lahko bi bodisi naslovila obrazloženo zahtevo na register prebivalstva bodisi vložila tožbo na podlagi členov od 98 do 100 zakona o civilnopravnem postopku, da bi dokaze pridobila tako, da bi sodišču predlagala, naj od nacionalne policije zahteva posredovanje osebnih podatkov, potrebnih za uveljavljanje pravnega sredstva proti zadevni osebi.

20

Predložitveno sodišče dvomi o učinkovitosti možnosti, ki ju je nacionalni organ za varstvo podatkov navedel za pridobitev osebnih podatkov. V zvezi s tem pojasnjuje, prvič, da če zahteva, naslovljena na register prebivalstva, vsebuje le ime potnika taksija, je mogoče, da tega potnika ni mogoče identificirati brez njegove identifikacijske številke, saj ima lahko več oseb enako ime in priimek. Drugič, predložitveno sodišče meni, da mora glede na nacionalne določbe o predložitvi dokazov prosilec, da bi vložil civilnopravno tožbo, poznati vsaj naslov stalnega prebivališča tožene stranke.

21

V zvezi s tem predložitveno sodišče meni, da obstajajo dvomi glede razlage pojma „potrebnost“ iz člena 7(f) te direktive.

22

V teh okoliščinah je Augstākās tiesas Administratīvo lietu departaments (vrhovno sodišče, oddelek za upravne zadeve, Latvija) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:

23

Predložitveno sodišče s svojima vprašanjema, ki ju je treba obravnavati skupaj, sprašuje, ali je treba člen 7(f) Direktive 95/46 razlagati tako, da nalaga obveznost posredovanja osebnih podatkov tretji stranki, da bi se ji omogočila vložitev odškodninske tožbe pri civilnem sodišču zaradi škode, ki jo je povzročila oseba, na katero se nanaša varstvo teh podatkov, in ali lahko to, da je ta oseba mladoletna, vpliva na razlago te določbe.

24

V postopku v glavni stvari ni sporno, da sta identifikacijska številka in naslov potnika taksija, za posredovanje katerih je zaprosila družba Rīgas satiksme, informacija, ki se nanaša na določeno ali določljivo fizično osebo, in tako „osebni podatek“ v smislu člena 2(a) Direktive 95/46. Prav tako ni sporno, da je nacionalna policija, na katero je bilo to zaprosilo naslovljeno, upravljavec teh podatkov v smislu člena 2(d) te direktive in je zlasti odgovorna za njihovo morebitno posredovanje.

25

V skladu s členom 5 Direktive 95/46 so države članice pristojne za to, da v mejah določb te direktive natančneje določijo pogoje, pod katerimi je obdelava osebnih podatkov zakonita. Člen 7 navedene direktive, ki določa merila za zakonitost take obdelave, v zvezi s tem določa, da „[d]ržave članice določijo, da se lahko osebni podatki obdelujejo samo“, če je izpolnjen eden od pogojev, izčrpno navedenih v tej določbi. Na podlagi tega člena 7(f) je obdelava osebnih podatkov dovoljena, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1) Direktive 95/46.

26

Tako je iz sistematike Direktive 95/46 in besedila člena 7 te direktive razvidno, da člen 7(f) Direktive 95/46 sam po sebi ne določa obveznosti, temveč izraža možnost obdelave podatkov, kot je to, da se tretji stranki posredujejo podatki, potrebni za uresničitev zakonitega interesa, za katerega si ta prizadeva. Kot je poudaril generalni pravobranilec v točkah od 43 do 46 sklepnih predlogov, je tako razlago prav tako mogoče izpeljati iz drugih instrumentov prava Unije v zvezi z osebnimi podatki (glej v tem smislu glede obdelave osebnih podatkov v sektorju elektronskih komunikacij sodbo z dne 29. januarja 2008, Promusicae, C‑275/06, EU:C:2008:54, točki 54 in 55).

27

Vendar je treba ugotoviti, da člen 7(f) Direktive 95/46 ne bi nasprotoval takemu posredovanju, če bi bilo to opravljeno na podlagi nacionalnega prava ob spoštovanju pogojev iz te določbe.

28

V zvezi s tem člen 7(f) Direktive 95/46 določa tri kumulativne pogoje za to, da je obdelava osebnih podatkov zakonita, in sicer, prvič, da si upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, prizadeva za zakonit interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, in tretjič, da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov.

29

Glede pogoja v zvezi s prizadevanjem za zakonit interes, kot je generalni pravobranilec poudaril v točkah 65, 79 in 80 sklepnih predlogov, ni nobenega dvoma, da je mogoče interes tretje stranke za pridobitev osebnih podatkov osebe, ki je povzročila škodo na njenem premoženju, da bi lahko proti tej osebi vložila odškodninsko tožbo, opredeliti kot zakonit interes (glej v tem smislu sodbo z dne 29. januarja 2008, Promusicae, C‑275/06, EU:C:2008:54, točka 53). Ta analiza je podprta s členom 8(2)(e) Direktive 95/46, ki določa, da se prepoved obdelave nekaterih vrst osebnih podatkov, kot so tisti, ki kažejo na rasni izvor ter politična mnenja, ne uporablja, zlasti kadar je obdelava potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

30

Glede pogoja v zvezi s potrebnostjo obdelave podatkov je treba opozoriti, da morajo biti odstopanja in omejitve varstva osebnih podatkov strogo omejeni na tisto, kar je nujno (sodbe z dne 9. novembra 2010, Volker und Markus Schecke in Eifert, C‑92/09 in C‑93/09, EU:C:2010:662, točka 86; z dne 7. novembra 2013, IPI, C‑473/12, EU:C:2013:715, točka 39, in z dne 11. decembra 2014, Ryneš, C‑212/13, EU:C:2014:2428, točka 28). V zvezi s tem je treba ugotoviti, da glede na navedbe predložitvenega sodišča posredovanje zgolj imena in priimka storilca škode ne omogoča njegove dovolj natančne identifikacije, da bi se lahko proti njemu vložila tožba. Tako je v ta namen očitno treba pridobiti tudi naslov in/ali identifikacijsko številko te osebe.

31

Nazadnje, pogoj tehtanja zadevnih nasprotujočih si pravic in interesov je načeloma odvisen od konkretnih okoliščin posameznega primera (glej v tem smislu sodbi z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 in C‑469/10, EU:C:2011:777, točka 40, in z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 62).

32

V zvezi s tem je Sodišče presodilo, da je mogoče upoštevati to, da je teža posega v temeljne pravice osebe, na katero se navedena obdelava nanaša, lahko različna glede na to, ali so ti podatki že v javno dostopnih virih ali ne (glej v tem smislu sodbo z dne 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 in C‑469/10, EU:C:2011:777, točka 44).

33

Kar zadeva drugi del vprašanja za predhodno odločanje, kot je bilo preoblikovano v točki 23 te sodbe, je treba poudariti, da je lahko starost zadevne osebe eden od elementov, ki jih je treba upoštevati pri tem tehtanju. Vendar je treba ugotoviti, kot je poudaril generalni pravobranilec v točkah od 82 do 84 sklepnih predlogov in s pridržkom preveritev, ki jih mora v zvezi s tem opraviti predložitveno sodišče, da v okoliščinah, kakršne so te v postopku v glavni stvari, očitno ni upravičeno oškodovancu zavrniti posredovanja osebnih podatkov, potrebnih za vložitev odškodninske tožbe proti storilcu škode, ali, odvisno od primera, osebam, ki uresničujejo starševske pravice, ker bi bil ta storilec mladoleten.

34

Iz zgoraj navedenih razmislekov izhaja, da je treba člen 7(f) Direktive 95/46 razlagati tako, da ne nalaga obveznosti posredovanja osebnih podatkov tretji stranki, da bi se ji omogočila vložitev odškodninske tožbe pri civilnem sodišču zaradi škode, ki jo je povzročila oseba, na katero se nanaša varstvo teh podatkov. Vendar člen 7(f) te direktive ne nasprotuje takemu posredovanju na podlagi nacionalnega prava.

35

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (drugi senat) razsodilo:

Člen 7(f) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da ne nalaga obveznosti posredovanja osebnih podatkov tretji stranki, da bi se ji omogočila vložitev odškodninske tožbe pri civilnem sodišču zaradi škode, ki jo je povzročila oseba, na katero se nanaša varstvo teh podatkov. Vendar člen 7(f) te direktive ne nasprotuje takemu posredovanju na podlagi nacionalnega prava.