–

za „SS“ SIA M. Ruķers,

–

za latvijsko vlado sprva K. Pommere, V. Soņeca in L. Juškeviča, nato K. Pommere, agentke,

–

za belgijsko vlado J.-C. Halleux in P. Cottin, agenta, skupaj s C. Molitorjem, avocat,

–

za grško vlado E.-M. Mamouna in O. Patsopoulou, agentki,

–

za špansko vlado sprva J. Rodríguez de la Rúa Puig in S. Jiménez García, nato J. Rodríguez de la Rúa Puig, agenta,

–

za Evropsko komisijo sprva H. Kranenborg, D. Nardi in I. Rubene, nato H. Kranenborg in I. Rubene, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2), zlasti njenega člena 5(1).

2

Ta predlog je bil vložen v okviru spora med družbo „SS“ SIA in Valsts ieņēmumu dienests (davčna uprava, Latvija) (v nadaljevanju: latvijska davčna uprava) v zvezi z zahtevo za posredovanje informacij glede oglasov za prodajo vozil, ki so bili objavljeni na spletnem mestu družbe SS.

3

Uredba 2016/679, ki temelji na členu 16 PDEU, se na podlagi svojega člena 99(2) uporablja od 25. maja 2018.

4

V uvodnih izjavah 1, 4, 10, 19, 26, 31, 39, 41 in 50 te uredbe je navedeno:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

[…]

5

Člen 2 Uredbe 2016/679, naslovljen „Področje uporabe“, določa:

„1.   Ta uredba se uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi.

2.   Ta uredba se ne uporablja za obdelavo osebnih podatkov:

[…]“

6

Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

[…]

[…]“

7

Člen 5 navedene uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki morajo biti:

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (,odgovornost‘).“

8

Člen 6 iste uredbe, naslovljen „Zakonitost obdelave“, določa:

„1.   Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

2.   Države članice lahko ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) odstavka 1, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX.

3.   Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:

Namen obdelave se določi v navedeni pravni podlagi ali pa je v primeru obdelave iz točke (e) odstavka 1 potreben za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu. […] Pravo Unije ali pravo države članice izpolnjuje cilj javnega interesa in je sorazmerno z zakonitim ciljem, za katerega si prizadeva.

4.   Kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, ki predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva:

9

Člen 13(3) Uredbe št. 2016/679 določa:

„Kadar namerava upravljavec nadalje obdelovati osebne podatke za namen, ki ni namen, za katerega so bili osebni podatki zbrani, upravljavec posamezniku, na katerega se nanašajo osebni podatki, pred tako nadaljnjo obdelavo podatkov zagotovi informacije o tem drugem namenu in vse nadaljnje relevantne informacije iz odstavka 2.“

10

Člen 14 te uredbe določa:

„1.   Kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije:

[…]

[…]

5.   Odstavki 1 do 4 se ne uporabljajo, kadar in kolikor:

[…]

[…]“

11

Člen 23(1)(e) navedene uredbe določa:

„Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

[…]

[…]“

12

Člen 25(2) Uredbe 2016/679 določa:

„Upravljavec izvede ustrezne tehnične in organizacijske ukrepe, s katerimi zagotovi, da se privzeto obdelajo samo osebni podatki, ki so potrebni za vsak poseben namen obdelave. Ta obveznost velja za količino zbranih osebnih podatkov, obseg njihove obdelave, obdobje njihove hrambe in njihovo dostopnost. S takšnimi ukrepi se zagotovi zlasti, da osebni podatki niso samodejno dostopni nedoločenemu številu posameznikov brez posredovanja zadevnega posameznika.“

13

V uvodnih izjavah 10 in 11 Direktive 2016/680 je navedeno:

14

Člen 3 te direktive določa:

„V tej direktivi:

[…]

(7) ‚pristojni organ‘ pomeni:

[…]“

15

V skladu s členom 15(6) likums „Par nodokļiem un nodevām“ (zakon o davkih in dajatvah, Latvijas Vēstnesis, 1995, št. 26) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: zakon o davkih in dajatvah), mora ponudnik storitev objavljanja oglasov na spletu na zahtevo latvijske davčne uprave predložiti informacije, s katerimi razpolaga, v zvezi z davčnimi zavezanci, ki so z naročilom njegovih storitev objavili oglase.

16

Družba SS je ponudnik storitev objavljanja oglasov na spletu s sedežem v Latviji.

17

Latvijska davčna uprava je 28. avgusta 2018 na družbo SS naslovila zahtevo za posredovanje informacij na podlagi člena 15(6) zakona o davkih in dajatvah, v kateri je to družbo pozvala, naj ponovno vzpostavi dostop te davčne uprave do številk šasij vozil, ki so predmet oglasov, objavljenih na spletnem portalu navedene družbe, in do telefonskih številk prodajalcev ter naj ji najpozneje do 3. septembra 2018 posreduje informacije o oglasih, objavljanih v rubriki, naslovljeni „Osebna vozila“, v obdobju med 14. julijem in 31. avgustom 2018.

18

V tej zahtevi je bilo pojasnjeno, da je treba te informacije, ki vključujejo povezavo do oglasa, njegovo besedilo, znamko, model, številko šasije in ceno vozila ter telefonsko številko prodajalca, elektronsko predložiti v formatu, ki omogoča filtriranje ali selekcijo podatkov.

19

Poleg tega je bila družba SS pozvana, naj, če dostopa do informacij iz oglasov, objavljenih na zadevnem spletnem portalu, ne bi bilo mogoče ponovno vzpostaviti, navede razlog za to in najpozneje tretji dan vsakega meseca predloži upoštevne informacije v zvezi z oglasi, objavljenimi v prejšnjem mesecu.

20

Ker je družba SS menila, da zahteva latvijske davčne uprave za posredovanje informacij ni v skladu z načeloma sorazmernosti in najmanjšega obsega osebnih podatkov, določenima v Uredbi 2016/679, je zoper to zahtevo vložila pritožbo pri vršilcu dolžnosti generalnega direktorja latvijske davčne uprave.

21

Ta je z odločbo z dne 30. oktobra 2018 to pritožbo zavrnil in med drugim navedel, da je latvijska davčna uprava v okviru obdelave osebnih podatkov iz postopka v glavni stvari izvajala pooblastila, ki so ji podeljena z zakonom.

22

Družba SS je pri administratīvā rajona tiesa (prvostopenjsko upravno sodišče, Latvija) vložila tožbo zaradi odprave te odločbe. Poleg trditev, ki jih je navedla v svoji pritožbi, je družba SS v tožbi trdila, da v navedeni odločbi ni naveden niti specifični namen obdelave osebnih podatkov, ki jo predvideva latvijska davčna uprava, niti količina podatkov, ki so za to obdelavo potrebni, kar je v nasprotju s členom 5(1) Uredbe 2016/679.

23

Administratīvā rajona tiesa (prvostopenjsko upravno sodišče) je s sodbo z dne 21. maja 2019 to tožbo zavrnilo in v bistvu navedlo, da je bila latvijska davčna uprava upravičena zahtevati dostop do informacij, ki se nanašajo na vse osebe in v neomejeni količini, razen če se te informacije štejejo za nezdružljive z nameni pobiranja davkov. To sodišče je poleg tega menilo, da se določbe Uredbe 2016/679 za to upravo ne uporabljajo.

24

Družba SS je zoper to sodbo pri predložitvenem sodišču vložila pritožbo, v kateri je trdila, prvič, da se določbe Uredbe 2016/679 uporabljajo za latvijsko davčno upravo in, drugič, da je ta uprava s tem, da je mesečno in brez časovne omejitve zahtevala veliko količino osebnih podatkov v zvezi z neomejenim številom oglasov, ne da bi opredelila davčne zavezance, zoper katere bi bil začet davčni nadzor, kršila načelo sorazmernosti.

25

Predložitveno sodišče navaja, da v okviru spora o glavni stvari ni sporno niti to, da je izvršitev zadevne zahteve za posredovanje informacij neločljivo povezana z obdelavo osebnih podatkov, niti to, da ima latvijska davčna uprava pravico pridobiti informacije, s katerimi razpolaga ponudnik storitev nameščanja oglasov na spletu in ki so nujne za izvajanje specifičnih ukrepov na področju pobiranja davkov.

26

Spor o glavni stvari naj bi se nanašal na količino in vrsto informacij, ki jih lahko latvijska davčna uprava zahteva, na njihovo omejenost ali neomejenost ter na vprašanje, ali je treba obveznost posredovanja, ki jo ima družba SS, časovno omejiti.

27

Predložitveno sodišče zlasti meni, da mora ugotoviti, ali se v okoliščinah zadeve v glavni stvari obdelava osebnih podatkov izvaja pregledno glede posameznikov, na katere se osebni podatki nanašajo, ali se informacije, navedene v zadevni zahtevi za posredovanje informacij, zahtevajo za določene, izrecne in zakonite namene ter ali se osebni podatki obdelujejo le, kolikor je dejansko potrebno za opravljanje nalog latvijske davčne uprave v smislu člena 5(1) Uredbe 2016/679.

28

Zato naj bi bilo treba opredeliti merila, na podlagi katerih je mogoče presoditi, ali se z zahtevo latvijske davčne uprave za posredovanje informacij spoštuje bistvo temeljnih svoboščin in pravic ter ali je mogoče v demokratični družbi zahtevo za posredovanje informacij iz postopka v glavni stvari šteti za potrebno in sorazmerno, da bi se zagotovilo doseganje pomembnih ciljev Unije ter latvijskih javnih interesov na proračunskem in davčnem področju.

29

V teh okoliščinah je Administratīvā apgabaltiesa (regionalno upravno sodišče, Latvija) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

30

Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba določbe Uredbe 2016/679 razlagati tako, da se zahteve iz te uredbe, zlasti tiste iz njenega člena 5(1), uporabljajo za davčno upravo države članice, ko ta od gospodarskega subjekta zbira informacije z veliko količino osebnih podatkov.

31

Za odgovor na to vprašanje je treba na prvem mestu preveriti, ali taka zahteva spada na stvarno področje uporabe Uredbe št. 2016/679, kot je opredeljeno v njenem členu 2(1), na drugem mestu pa, ali ne spada med obdelave osebnih podatkov, ki so s členom2(2) te uredbe s tega področja uporabe izključene.

32

Na prvem mestu, člen 2(1) Uredbe 2016/679 določa, da se ta uredba uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi.

33

Člen 4, točka 1, Uredbe 2016/679 določa, da „osebni podatek“ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom, torej v zvezi s posameznikom, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. V uvodni izjavi 26 te uredbe je v zvezi s tem pojasnjeno, da je treba pri ugotavljanju, ali je posameznik določljiv, upoštevati vsa sredstva, za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika.

34

V okviru spora o glavni stvari ni sporno, da so informacije, katerih posredovanje zahteva latvijska davčna uprava, osebni podatki v smislu člena 4, točka 1, Uredbe 2016/679.

35

Na podlagi člena 4, točka 2, te uredbe je zbiranje, vpogled, razkritje s posredovanjem ali drugačno omogočanje dostopa do osebnih podatkov „obdelava“ v smislu navedene uredbe. Iz besedila te določbe, zlasti iz izraza „vsako dejanje“, je razvidno, da je zakonodajalec Unije pojmu „obdelava“ želel dati širok obseg. To razlago potrjuje neizčrpnost dejanj, navedenih v tej določbi, ki je izražena z besedno zvezo „kot je“.

36

V obravnavanem primeru latvijska davčna uprava od zadevnega gospodarskega subjekta zahteva, naj službam te uprave ponovno vzpostavi dostop do številk šasij vozil, ki so v oglasih, objavljenih na njegovem spletnem portalu, in ji zagotovi informacije o oglasih, objavljenih na tem portalu.

37

Taka zahteva, s katero davčna uprava države članice od gospodarskega subjekta zahteva posredovanje in dajanje na voljo osebnih podatkov, ki ji jih mora ta subjekt zagotoviti in dati na voljo na podlagi nacionalne ureditve te države članice, sproži postopek „zbiranja“ teh podatkov v smislu člena 4, točka 2, Uredbe 2016/679.

38

Poleg tega to, da zadevni gospodarski subjekt tej upravi posreduje in da na voljo navedene podatke, zajema „obdelavo“ v smislu tega člena 4, točka 2.

39

Na drugem mestu, preučiti je treba, ali je za dejanje, s katerim želi davčna uprava države članice od gospodarskega subjekta zbrati osebne podatke, ki se nanašajo na nekatere davčne zavezance, mogoče šteti, da je na podlagi člena 2(2) Uredbe 2016/679 izključeno s področja uporabe te uredbe.

40

V zvezi s tem je treba najprej opozoriti, da ta določba predpisuje izjeme od področja uporabe te uredbe, kot je opredeljeno v njenem členu 2(1), in da je treba te izjeme razlagati ozko (sodba z dne 16. julija 2020, Facebook Ireland in Schrems, C‑311/18, EU:C:2020:559, točka 84).

41

Konkretno, člen 2(2)(d) Uredbe 2016/679 določa, da se ta uredba ne uporablja za obdelavo osebnih podatkov s strani pristojnih organov za namene preprečevanja in preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij.

42

Kot je razvidno iz uvodne izjave 19 te uredbe, je ta izjema utemeljena z okoliščino, da mora obdelavo osebnih podatkov v te namene in s strani javnih organov urejati poseben pravni akt Unije, in sicer Direktiva 2016/680, ki je bila sprejeta istega dne kot Uredba 2016/679, v njenem členu 3, točka 7, pa je opredeljeno, kako je treba razumeti izraz „pristojni organ“, pri čemer je treba tako opredelitev po analogiji uporabiti za člen 2(2)(d) te uredbe (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 69).

43

Iz uvodne izjave 10 Direktive 2016/680 izhaja, da je treba pojem „pristojni organ“ razumeti v povezavi z varstvom osebnih podatkov na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, ob upoštevanju prilagoditev, ki se lahko v zvezi s tem izkažejo za potrebne zaradi posebne narave teh področij. Poleg tega je v uvodni izjavi 11 te direktive pojasnjeno, da se za obdelavo osebnih podatkov, ki bi jo izvedel „pristojni organ“ v smislu člena 3, točka 7, navedene direktive, vendar za druge namene od tistih, ki so določeni v tej direktivi, uporablja Uredba 2016/679 (sodba z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 70).

44

Tako ni razvidno niti to, da bi bilo mogoče davčno upravo države članice, kadar ta uprava od gospodarskega subjekta zahteva, naj ji posreduje osebne podatke v zvezi z nekaterimi davčnimi zavezanci za namene pobiranja davkov in boja proti davčnim goljufijam, šteti za „pristojni organ“ v smislu člena 3, točka 7, Direktive 2016/680, niti to, da bi zato take zahteve za posredovanje informacij lahko bile zajete z izjemo iz člena 2(2)(d) Uredbe 2016/679.

45

Poleg tega, čeprav ni izključeno, da bi se osebni podatki iz postopka v glavni stvari lahko uporabili v okviru kazenskega pregona, ki bi ga bilo mogoče v primeru kršitve na davčnem področju sprožiti zoper nekatere zadevne osebe, ni razvidno, da bi bili ti podatki zbrani s specifičnim namenom izvajanja takega kazenskega pregona ali v okviru dejavnosti države na področjih kazenskega prava (glej v tem smislu sodbo z dne 27. septembra 2017, Puškár, C‑73/16, EU:C:2017:725, točka 40).

46

Zato to, da davčna uprava države članice zbira osebne podatke, ki se nanašajo na oglase za prodajo vozil, objavljene na spletnem mestu gospodarskega subjekta, spada na stvarno področje uporabe Uredbe 2016/679 in mora zato ta uprava med drugim spoštovati načela v zvezi z obdelavo osebnih podatkov, določena v členu 5 te uredbe.

47

Glede na vse zgoraj navedeno je treba na prvo vprašanje odgovoriti, da je treba določbe Uredbe 2016/679 razlagati tako, da se zahteve iz te uredbe, zlasti tiste iz njenega člena 5(1), uporabljajo za zbiranje – od gospodarskega subjekta – informacij z veliko količino osebnih podatkov, ki ga izvaja davčna uprava države članice.

48

Predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba določbe Uredbe 2016/679 razlagati tako, da davčna uprava države članice lahko odstopa od določb člena 5(1) te uredbe, čeprav ji tako pooblastilo z nacionalnim pravom te države članice ni bilo podeljeno.

49

Najprej je treba opozoriti, da je namen Uredbe 2016/679, kot je razvidno iz njene uvodne izjave 10, med drugim zagotoviti visoko raven varstva fizičnih oseb v Uniji.

50

V ta namen so v poglavjih II in III Uredbe 2016/679 navedena načela, ki urejajo obdelavo osebnih podatkov oziroma pravice posameznika, na katerega se nanašajo osebni podatki, ki se morajo spoštovati pri vsaki obdelavi osebnih podatkov. Natančneje, vsaka obdelava osebnih podatkov mora biti med drugim skladna z načeli v zvezi z obdelavo takih podatkov, ki so določena v členu 5 navedene uredbe (glej v tem smislu sodbo z dne 6. oktobra 2020, La Quadrature du Net in drugi, C‑511/18, C‑512/18 in C‑520/18, EU:C:2020:791, točka 208).

51

Vendar je s členom 23 Uredbe 2016/679 Uniji in državam članicam dovoljeno, da sprejmejo „zakonodajne ukrepe“, s katerimi omejijo obseg obveznosti in pravic, med drugim tistih, ki so določene v členu 5 te uredbe, če te ustrezajo pravicam in obveznostim iz členov od 12 do 22 navedene uredbe, kadar se pri taki omejitvi spoštuje bistvo temeljnih pravic in svoboščin ter je ta omejitev potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje doseganja pomembnih ciljev v splošnem javnem interesu Unije ali zadevne države članice, kot je, med drugim, pomemben gospodarski ali finančni interes, vključno s proračunskimi in davčnimi zadevami.

52

V zvezi s tem je iz uvodne izjave 41 Uredbe 2016/679 razvidno, da sklicevanje na „zakonodajni ukrep“ v tej uredbi ne pomeni nujno, da se zahteva, da parlament sprejme zakonodajni akt.

53

Ob tem je treba opozoriti, da se v Uredbi 2016/679, kot je navedeno v njeni uvodni izjavi 4, spoštujejo vse temeljne pravice in upoštevajo svoboščine in načela, priznana z Listino, kakor so zajeta v Pogodbah, med katerimi je zlasti varstvo osebnih podatkov.

54

V skladu s členom 52(1), prvi stavek, Listine pa mora biti kakršno koli omejevanje uresničevanja pravic in svoboščin, ki jih priznava ta listina, med katerimi sta med drugim pravica do spoštovanja zasebnega življenja, zagotovljena s členom 7 Listine, in pravica do varstva osebnih podatkov, določena v členu 8 te listine, predpisano z zakonom, kar zlasti pomeni, da mora biti že v pravni podlagi, ki omogoča poseg v te pravice, opredeljen obseg omejitve uresničevanja zadevne pravice (glej v tem smislu sodbo z dne 6. oktobra 2020, Privacy International, C‑623/17, EU:C:2020:790, točka 65 in navedena sodna praksa).

55

V zvezi s tem je Sodišče poleg tega presodilo, da morajo biti v okviru ureditve, ki zajema ukrep, ki omogoča tak poseg, določena jasna in natančna pravila, ki urejajo obseg in uporabo zadevnega ukrepa ter nalagajo minimalne zahteve, tako da imajo osebe, katerih osebni podatki so bili posredovani, zadostna jamstva, ki omogočajo učinkovito zaščito teh podatkov pred tveganjem zlorabe (glej v tem smislu sodbo z dne 2. marca 2021, Prokuratuur (Pogoji za dostop do podatkov o elektronskih komunikacijah), C‑746/18, EU:C:2021:152, točka 48 in navedena sodna praksa).

56

Zato morajo biti vsi ukrepi, sprejeti na podlagi člena 23 Uredbe 2016/679, kot je poleg tega zakonodajalec Unije poudaril v uvodni izjavi 41 te uredbe, jasni in natančni, njihova uporaba pa mora biti za posameznike predvidljiva. Zlasti morajo imeti ti posamezniki možnost identificirati okoliščine in pogoje, v katerih je obseg pravic, ki so jim podeljene z navedeno uredbo, lahko omejen.

57

Iz zgornjih preudarkov izhaja, da davčna uprava države članice ne sme odstopati od določb člena 5 Uredbe 2016/679, če ni jasne in natančne pravne podlage v pravu Unije ali nacionalnem pravu, katere uporaba je za posameznike predvidljiva ter ki določa okoliščine in pogoje, pod katerimi je mogoče omejiti obseg obveznosti in pravic iz tega člena 5.

58

Zato je treba na drugo vprašanje odgovoriti, da je treba določbe Uredbe 2016/679 razlagati tako, da davčna uprava države članice ne sme odstopati od določb člena 5(1) te uredbe, če ji tako pooblastilo ni bilo podeljeno z zakonodajnim ukrepom v smislu člena 23(1) navedene uredbe.

59

Predložitveno sodišče z vprašanji od tretjega do devetega, ki jih je treba obravnavati skupaj, v bistvu sprašuje, ali je treba določbe Uredbe 2016/679 razlagati tako, da nasprotujejo temu, da davčna uprava države članice ponudniku storitev objavljanja oglasov na spletu naloži, naj ji za časovno neomejeno obdobje in ne da bi bil natančno določen namen te zahteve za posredovanje informacij, sporoča informacije o vseh davčnih zavezancih, ki so objavili oglase v eni od rubrik njegovega spletnega portala.

60

Najprej je treba ugotoviti, da v položaju, kakršen je ta v postopku v glavni stvari, lahko pride do dveh obdelav osebnih podatkov. Kot je razvidno iz točk 37 in 38 te sodbe, gre za zbiranje osebnih podatkov s strani davčne uprave pri zadevnem ponudniku storitev in v tem okviru za razkritje s posredovanjem teh podatkov s strani tega ponudnika tej upravi.

61

Kot izhaja iz sodne prakse, navedene v točki 50 te sodbe, je treba pri vsakem od teh dejanj obdelave, brez poseganja v odstopanja, ki jih dopušča člen 23 Uredbe 2016/679, spoštovati načela v zvezi z obdelavo osebnih podatkov iz člena 5 te uredbe in pravice posameznika, na katerega se nanašajo osebni podatki, iz členov od 12 do 22 navedene uredbe.

62

V obravnavanem primeru se predložitveno sodišče sprašuje zlasti v zvezi z okoliščino, prvič, da se obdelavi, navedeni v točki 60 te sodbe, nanašata na informacije v neomejeni količini, ki se nanašajo na nedoločen čas, in drugič, da namen teh obdelav v zahtevi za posredovanje informacij ni natančno določen.

63

V zvezi s tem je treba na prvem mestu poudariti, da člen 5(1)(b) Uredbe 2016/679 določa, da morajo biti osebni podatki zbrani zlasti za določene, izrecne in zakonite namene.

64

Najprej, zahteva, da je treba določiti namene obdelave, pomeni, kot izhaja iz uvodne izjave 39 te uredbe, da je treba te opredeliti najpozneje ob zbiranju osebnih podatkov.

65

Dalje, nameni obdelave morajo biti izrecni, kar pomeni, da morajo biti jasno navedeni.

66

Nazadnje, ti nameni morajo biti zakoniti. Zato je pomembno, da zagotavljajo zakonito obdelavo v smislu člena 6(1) navedene uredbe.

67

Obdelavi iz točke 60 te sodbe se začneta z zahtevo za posredovanje osebnih podatkov, ki jo latvijska davčna uprava naslovi na ponudnika storitve objavljanja oglasov na spletu. V zvezi s tem je razvidno, da mora ta ponudnik na podlagi člena 15(6) zakona o davkih in dajatvah taki zahtevi ugoditi.

68

Glede na ugotovitve, navedene v točkah 64 in 65 te sodbe, morajo biti nameni teh obdelav v tej zahtevi jasno navedeni.

69

Če so nameni, ki so tako navedeni v tej zahtevi, potrebni za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je dodeljena davčni upravi, ta okoliščina, kot izhaja iz člena 6(1), prvi pododstavek, uvodni stavek in točka (e), Uredbe 2016/679 v povezavi s členom 6(3), drugi pododstavek, te uredbe, zadostuje za to, da navedeni obdelavi izpolnjujeta tudi zahtevo po zakonitosti, na katero je opozorjeno v točki 66 te sodbe.

70

V zvezi s tem je treba opozoriti, da je treba pobiranje davkov in boj proti davčnim goljufijam šteti za nalogi v javnem interesu v smislu člena 6(1), prvi pododstavek, točka (e), Uredbe 2016/679 (glej po analogiji sodbo z dne 27. septembra 2017, Puškár, C‑73/16, EU:C:2017:725, točka 108).

71

Iz tega sledi, da je v primeru, ko se posredovanje zadevnih osebnih podatkov ne opira neposredno na zakonsko določbo, ki je njegova podlaga, ampak izhaja iz zahteve pristojnega organa javne oblasti, potrebno, da se v tej zahtevi natančno navede, kateri so specifični nameni tega zbiranja podatkov glede na naloge v javnem interesu ali glede na izvajanje javne oblasti, da bi se naslovniku navedene zahteve omogočilo, da se prepriča, da je posredovanje zadevnih osebnih podatkov zakonito, nacionalnim sodiščem pa, da izvajajo nadzor nad zakonitostjo zadevnih obdelav.

72

Na drugem mestu, v skladu s členom 5(1)(c) Uredbe 2016/679 morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

73

V zvezi s tem je treba opozoriti, da morajo biti v skladu z ustaljeno sodno prakso odstopanja od in omejitve načela varstva takih podatkov omejeni na tisto, kar je nujno potrebno (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 110 in navedena sodna praksa).

74

Iz tega sledi, da upravljavec, tudi kadar deluje v okviru naloge v javnem interesu, ki mu je bila zaupana, ne sme na splošno in brez razlikovanja zbirati osebnih podatkov in da se mora vzdržati zbiranja podatkov, ki niso nujno potrebni za namene obdelave.

75

V obravnavanem primeru je treba poudariti, da je latvijska davčna uprava, kot je razvidno iz točk od 17 do 19 te sodbe, od zadevnega gospodarskega subjekta zahtevala, naj ji predloži podatke v zvezi z oglasi za prodajo osebnih vozil, objavljenimi na njegovem spletnem mestu med 14. julijem in 31. avgustom 2018, in da naj ji, če dostopa do teh informacij ne bi bilo mogoče ponovno vzpostaviti, najpozneje tretji dan vsakega meseca posreduje podatke v zvezi z oglasi za prodajo osebnih vozil, objavljenimi na njegovem spletnem mestu v prejšnjem mesecu, ne da bi to zadnjo zahtevo kakor koli časovno omejila.

76

Glede na preudarke, navedene v točki 74 te sodbe, mora predložitveno sodišče preveriti, ali je namen zbiranja teh podatkov mogoče doseči, ne da bi latvijska davčna uprava potencialno razpolagala s podatki v zvezi z vsemi oglasi za prodajo osebnih vozil, objavljenimi na spletnem mestu navedenega gospodarskega subjekta, in zlasti ali je mogoče, da se ta uprava osredotoči na nekatere oglase z uporabo specifičnih meril.

77

V tem okviru je treba poudariti, da mora biti upravljavec v skladu z načelom odgovornosti iz člena 5(2) Uredbe 2016/679 zmožen dokazati, da spoštuje načela v zvezi z obdelavo osebnih podatkov, določena v odstavku 1 tega člena.

78

Zato mora latvijska davčna uprava dokazati, da je v skladu s členom 25(2) te uredbe poskušala količino osebnih podatkov, ki jih je treba zbrati, zmanjšati na najmanjši možni obseg.

79

V zvezi z okoliščino, da v zahtevi za posredovanje informacij, ki jo je poslala latvijska davčna uprava, v primeru, da zadevni ponudnik storitev objavljanja oglasov ne bi ponovno vzpostavil dostopa do oglasov, objavljenih v obdobju, ki je predmet zahteve, ni nobene časovne omejitve, je treba opozoriti, da mora upravljavec ob upoštevanju načela najmanjšega obsega podatkov obdobje zbiranja zadevnih osebnih podatkov prav tako omejiti na nujno potrebno glede na cilj predvidene obdelave.

80

Zato obdobje, na katero se zbiranje nanaša, ne sme presegati trajanja, ki je nujno potrebno za dosego zastavljenega cilja v splošnem interesu.

81

Kot izhaja iz točke 77 te sodbe, dokazno breme v zvezi s tem nosi latvijska davčna uprava.

82

Vendar pa okoliščina, da se navedeni podatki zbirajo, ne da bi latvijska davčna uprava v sami zahtevi za posredovanje informacij opredelila časovno omejitev take obdelave, sama po sebi ne omogoča ugotovitve, da trajanje obdelave presega trajanje, ki je nujno potrebno za dosego zastavljenega cilja.

83

V tem okviru je treba vseeno opozoriti, da je za izpolnitev zahteve po sorazmernosti, ki je izražena v členu 5(1)(c) Uredbe 2016/679 (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 98 in navedena sodna praksa), potrebno, da so v okviru ureditve, na kateri temelji obdelava, določena jasna in natančna pravila, ki urejajo obseg in uporabo zadevnega ukrepa in nalagajo minimalne zahteve, tako da imajo osebe, za katerih osebne podatke gre, na voljo zadostna jamstva, ki omogočajo učinkovito varovanje teh podatkov pred tveganji zlorabe. Ta ureditev mora biti pravno zavezujoča v nacionalnem pravu, v njej pa mora biti zlasti določeno, v kakšnih okoliščinah in pod katerimi pogoji je mogoče sprejeti ukrep, ki predvideva obdelavo takih podatkov, s čimer se tako zagotovi, da je poseganje omejeno na to, kar je nujno potrebno (sodba z dne 6. oktobra 2020, Privacy International, C‑623/17, EU:C:2020:790, točka 68 in navedena sodna praksa).

84

Iz tega izhaja, da se mora nacionalna ureditev, s katero se ureja zahteva za posredovanje informacij, kot je ta iz postopka v glavni stvari, pri določitvi okoliščin in pogojev, pod katerimi je ponudnik spletnih storitev dolžan posredovati osebne podatke v zvezi s svojimi uporabniki, opreti na objektivna merila (glej v tem smislu sodbo z dne 6. oktobra 2020, Privacy International, C‑623/17, EU:C:2020:790, točka 78 in navedena sodna praksa).

85

Glede na vse zgornje preudarke je treba na vprašanja od tretjega do devetega odgovoriti, da je treba določbe Uredbe št. 2016/679 razlagati tako, da ne nasprotujejo temu, da davčna uprava države članice ponudniku storitev objavljanja oglasov na spletu naloži, naj ji posreduje informacije o davčnih zavezancih, ki so objavili oglase v eni od rubrik njegovega spletnega portala, zlasti če so ti podatki nujni glede na specifične namene, za katere se zbirajo, in če obdobje, na katero se zbiranje navedenih podatkov nanaša, ne presega obdobja, ki je nujno potrebno za dosego zastavljenega cilja v splošnem interesu.

86

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (peti senat) razsodilo: