62022CJ0060

PRESUDA SUDA (peto vijeće)

4. svibnja 2023. ( *1 )

„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 5. – Načela obrade – Odgovornost za obradu – Članak 6. – Zakonitost obrade – Elektronički spis o zahtjevu za azil koji je sastavilo upravno tijelo – Prosljeđivanje nadležnom nacionalnom sudu putem elektroničkog poštanskog pretinca – Povreda članaka 26. i 30. – Nepostojanje dogovora o zajedničkom vođenju obrade i vođenju evidencije aktivnosti obrade – Posljedice – Članak 17. stavak 1. – Pravo na brisanje (‚pravo na zaborav’) – Članak 18. stavak 1. – Pravo na ograničenje obrade – Pojam ‚zakonita obrada’ – Razmatranje elektroničkog spisa od strane nacionalnog suda – Nepostojanje privole ispitanika”

U predmetu C‑60/22,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), odlukom od 27. siječnja 2022., koju je Sud zaprimio 1. veljače 2022., u postupku

protiv

Bundesrepublik Deutschland,

SUD (peto vijeće),

u sastavu: E. Regan (izvjestitelj), predsjednik vijeća, D. Gratsias, M. Ilešič, I. Jarukaitis i Z. Csehi, suci,

nezavisna odvjetnica: T. Ćapeta,

tajnik: A. Calot Escobar,

uzimajući u obzir pisani dio postupka,

uzimajući u obzir očitovanja koja su podnijeli:

–	za UZ, J. Leuschner, Rechtsanwalt,

–	za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,

–	za češku vladu, O. Serdula, M. Smolek i J. Vláčil, u svojstvu agenata,

–	za francusku vladu, A.-L. Desjonquères i J. Illouz, u svojstvu agenata,

–	za austrijsku vladu, A. Posch, M.-T. Rappersberger i J. Schmoll, u svojstvu agenata,

–	za poljsku vladu, B. Majczyna, u svojstvu agenta,

–	za Europsku komisiju, A. Bouchagiar, F. Erlbacher i H. Kranenborg, u svojstvu agenata,

odlučivši, nakon što je saslušao nezavisnu odvjetnicu, da u predmetu odluči bez mišljenja,

donosi sljedeću

Presudu

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 5., članka 17. stavka 1. točke (d), članka 18. stavka 1. točke (b) te članaka 26. i 30. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).

Zahtjev je upućen u okviru spora između osobe UZ, državljanina treće zemlje, i Bundesrepublik Deutschland (Savezna Republika Njemačka), koji zastupa Bundesamt für Migration und Flüchtlinge (Savezni ured za migraciju i izbjeglice, Njemačka; u daljnjem tekstu: Savezni ured), u vezi s obradom zahtjeva za međunarodnu zaštitu koji je podnio taj državljanin.

Pravni okvir

Pravo Unije

Direktiva 2013/32/EU

Uvodna izjava 52. Direktive 2013/32/EZ Europskog parlamenta i Vijeća od 26. lipnja 2013. o zajedničkim postupcima za priznavanje i oduzimanje međunarodne zaštite (preinačena) (SL 2013., L 180, str. 60.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 19., svezak 12., str. 249. te ispravci SL 2020., L 76, str. 38 i SL 2020., L 415, str. 90.) glasi:

„Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka [(SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)] uređuje obradu osobnih podataka koju obavljaju države članice prema ovoj Direktivi.”

OUZP

Uvodne izjave 1., 10., 40., 74., 79. i 82. OUZP‑a glase:

„(1)	Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima […] te člankom 16. stavkom 1. [UFEU‑a] utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.

[…]

(10)

Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar [Europske] [u]nije‚ razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. […]

[…]

(40)

Kako bi obrada bila zakonita, osobne podatke trebalo bi obrađivati na temelju privole dotičnog ispitanika ili neke druge legitimne osnove, bilo propisane u ovoj Uredbi bilo u drugom pravu Unije ili pravu države članice na koji upućuje ova Uredba, uključujući obvezu poštovanja pravne obveze kojoj podliježe voditelj obrade ili obvezno izvršavanje ugovora u kojem je ispitanik jedna od stranaka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora.

[…]

(74)

Trebalo bi uspostaviti dužnost i odgovornost voditelja obrade za svaku obradu osobnih podataka koju provede sâm voditelj obrade ili netko drugi u ime voditelja obrade. Osobito, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom Uredbom uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.

[…]

(79)

Zaštita prava i sloboda ispitanikâ, kao i dužnost i odgovornost voditeljâ obrade i izvršiteljâ obrade, također u vezi s praćenjem i mjerama koje provode nadzorna tijela, zahtijevaju jasno utvrđivanje dužnosti u skladu s ovom Uredbom, među ostalim u slučajevima u kojima voditelj obrade određuje svrhe i sredstva obrade zajedno s drugim voditeljima obrade ili kada se postupak obrade provodi u ime voditelja obrade.

[…]

(82)

Voditelj obrade ili izvršitelj obrade trebao bi voditi evidenciju o aktivnostima obrade pod svojom odgovornošću radi dokazivanja sukladnosti s ovom Uredbom. Svaki voditelj obrade i izvršitelj obrade trebao bi imati obvezu surađivati s nadzornim tijelom i omogućiti mu na zahtjev uvid u tu evidenciju kako bi mu mogla poslužiti za praćenje postupaka obrade.”

5	Poglavlje I. OUZP‑a, naslovljeno „Opće odredbe”, sadržava članke 1. do 4.

U skladu s člankom 1. te uredbe, naslovljenim „Predmet i ciljevi”:

„1. Ovom se Uredbom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka.

2. Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.

[…]”

Članak 4. navedene uredbe, naslovljen „Definicije”, u svojim stavcima 2., 7. i 21. određuje:

„2.

,obrada' znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]

‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;

[…]

21.	‚nadzorno tijelo’ znači neovisno tijelo javne vlasti koje je osnovala država članica u skladu s člankom 51.;

[…]”

8	Poglavlje II. OUZP‑a, naslovljeno „Načela”, sadržava članke 5. do 11.

Člankom 5. te uredbe, naslovljenim „Načela obrade osobnih podataka”, predviđa se:

„1. Osobni podaci moraju biti:

(a)	zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (,zakonitost, poštenost i transparentnost’);

(b)

prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama (‚ograničavanje svrhe’);

(c)	primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);

(d)	točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (‚točnost’);

(e)

čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih ovom Uredbom radi zaštite prava i sloboda ispitanika (‚ograničenje pohrane’);

(f)	obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (‚cjelovitost i povjerljivost’);

2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

Članak 6. navedene uredbe, naslovljen „Zakonitost obrade”, u stavku 1. propisuje:

„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)	ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b)	obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

(c)	obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

(d)	obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;

(e)	obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(f)	obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.”

11	Članak 7. OUZP‑a odnosi se na uvjete privole, dok se člankom 8. te uredbe utvrđuju uvjeti koji se primjenjuju na privolu djeteta u odnosu na usluge informacijskog društva.

Člankom 9. te uredbe, naslovljenim „Obrada posebnih kategorija osobnih podataka”, zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

13	Članak 10. navedene uredbe, naslovljen „Obrada osobnih podataka koji se odnose na kaznene osude i kažnjiva djela”, tiče se obrade osobnih podataka koji se odnose na kaznene osude i kažnjiva djela ili povezane mjere sigurnosti na temelju članka 6. stavka 1. iste uredbe.

14	Poglavlje III. OUZP‑a, naslovljeno „Prava ispitanika”, sadržava članke 12. do 23.

Članak 17. te uredbe, naslovljen „Pravo na brisanje (‚pravo na zaborav’)”, glasi:

„1. Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:

(a)	osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;

[…]

(d)	osobni podaci nezakonito su obrađeni;

[…]

3. Stavci 1. i 2. ne primjenjuju se u mjeri u kojoj je obrada nužna:

[…]

(b)	radi poštovanja pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

[…]

(e)	radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.”

U skladu s člankom 18. navedene uredbe, naslovljenim „Pravo na ograničenje obrade”:

„1. Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećeg:

[…]

(b)	obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;

[…]

2. Ako je obrada ograničena stavkom 1., takvi osobni podaci smiju se obrađivati samo uz privolu ispitanika, uz iznimku pohrane, ili za postavljanje, ostvarivanje ili obranu pravnih zahtjeva ili zaštitu prava druge fizičke ili pravne osobe ili zbog važnog javnog interesa Unije ili države članice.

[…]”

17	Poglavlje IV. OUZP‑a, naslovljeno „Voditelj obrade i izvršitelj obrade”, sadržava članke 24. do 43.

U odjeljku 1. tog poglavlja, naslovljenom „Opće obveze”, nalazi se članak 26. te uredbe, naslovljen „Zajednički voditelji obrade”, koji glasi:

„1. Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza iz ove Uredbe, osobito s obzirom na ostvarivanje prava ispitanika i svojih dužnosti u pogledu pružanja informacija iz članaka 13. i 14., te to čine međusobnim dogovorom, osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu i u mjeri u kojoj su one utvrđene. Dogovorom se može odrediti kontaktna točka za ispitanike.

2. Dogovor iz stavka 1. mora odražavati pojedinačne uloge i odnose zajedničkih voditelja obrade u odnosu na ispitanike. Bit dogovora mora biti dostupna ispitaniku.

3. Bez obzira na uvjete dogovora iz stavka 1. ispitanik može ostvarivati svoja prava iz ove Uredbe u vezi sa svakim voditeljem obrade, kao i protiv svakog od njih.”

Člankom 30. navedene uredbe, naslovljenim „Evidencija aktivnosti obrade”, predviđa se:

„1. Svaki voditelj obrade i predstavnik voditelja obrade, ako je primjenjivo, vodi evidenciju aktivnosti obrade za koje je odgovoran. Ta evidencija sadržava sve sljedeće informacije:

(a)	ime i kontaktne podatke voditelja obrade i, ako je primjenjivo, zajedničkog voditelja obrade, predstavnika voditelja obrade i službenika za zaštitu podataka;

(b)	svrhe obrade;

(c)	opis kategorija ispitanika i kategorija osobnih podataka;

(d)	kategorije primateljâ kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije;

[…]

4. Voditelj obrade ili izvršitelj obrade te predstavnik voditelja obrade ili izvršitelja obrade, ako je primjenjivo, na zahtjev daju nadzornom tijelu uvid u evidenciju.

[…]”

U poglavlju VI. OUZP‑a, naslovljenom „Neovisna nadzorna tijela”, nalazi se članak 58., naslovljen „Ovlasti”, koji u svojem stavku 2. određuje:

„Svako nadzorno tijelo ima sve sljedeće kolektivne ovlasti:

(a)	izdavati upozorenja voditelju obrade ili izvršitelju obrade da bi namjeravani postupci obrade lako mogli prouzročiti kršenje odredaba ove Uredbe;

(b)	izdavati službene opomene voditelju obrade ili izvršitelju obrade ako se postupcima obrade krše odredbe ove Uredbe;

(c)	narediti voditelju obrade ili izvršitelju obrade da poštuje zahtjeve ispitanika za ostvarivanje njegovih prava u skladu s ovom Uredbom;

(d)	narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama ove Uredbe, prema potrebi na točno određen način i u točno zadanom roku;

(e)	narediti voditelju obrade da ispitanika obavijesti o povredi osobnih podataka;

(f)	privremeno ili konačno ograničiti, među ostalim zabraniti, obradu;

(g)	narediti ispravljanje ili brisanje osobnih podataka ili ograničavanje obrade u skladu s člancima 16., 17. i 18. i izvješćivanje o takvim radnjama primatelja kojima su osobni podaci otkriveni u skladu s člankom 17. stavkom 2. i člankom 19.;

(h)	povući certifikat ili certifikacijskom tijelu narediti da povuče certifikat izdan u skladu s člankom 42. i 43., ili certifikacijskom tijelu narediti da ne iza certifikat ako nisu ispunjeni zahtjevi za certificiranje ili ako oni više nisu ispunjeni;

(i)	izreći upravnu novčanu kaznu u skladu s člankom 83. uz mjere, ili umjesto mjera koje se navode u ovom stavku, ovisno o okolnostima svakog pojedinog slučaja;

(j)	narediti suspenziju protoka podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji.”

21	Poglavlje VIII. te uredbe, naslovljeno „Pravna sredstva, odgovornost i sankcije”, sadržava članke 77. do 84.

Članak 77. navedene uredbe, naslovljen „Pravo na pritužbu nadzornom tijelu”, u svojem stavku 1. određuje:

„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek‚ svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu‚ osobito u državi članici u kojoj ima uobičajeno boravište‚ u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja‚ ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.”

Članak 82. OUZP‑a, naslovljen „Pravo na naknadu štete i odgovornost”, u svojima stavcima 1. i 2. propisuje:

„1. Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.

2. Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. Izvršitelj obrade je odgovoran za štetu prouzročenu obradom samo ako nije poštovao obveze iz ove Uredbe koje su posebno namijenjene izvršiteljima obrade ili je djelovao izvan zakonitih uputa voditelja obrade ili protivno njima.”

Članak 83. te uredbe, naslovljen „Opći uvjeti za izricanje upravnih novčanih kazni”, u svojim stavcima 4., 5. i 7. predviđa:

„4. Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 10000000 [eura], ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:

(a)	obveza voditelja obrade i izvršitelja obrade u skladu s člancima 8., 11., od 25. do 39., te 42. i 43.;

[…]

5. Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 20000000 [eura], ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:

(a)	osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9.;

[…]

7. Ne dovodeći u pitanje korektivne ovlasti nadzornih tijela iz članka 58. stavka 2. svaka država članica može utvrditi pravila mogu li se i u kojoj mjeri tijelima javne vlasti i javnim tijelima osnovanima u toj državi članici izreći upravne novčane kazne.”

Člankom 94. te uredbe, naslovljenim „Stavljanje izvan snage Direktive 95/46/EZ”, koji se nalazi u njezinu poglavlju XI., naslovljenom „Završne odredbe”, propisuje se:

„1. Direktiva 95/46/EZ stavlja se izvan snage s učinkom od 25. svibnja 2018.

2. Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. Upućivanja na Radnu skupinu o zaštiti pojedinaca s obzirom na obradu osobnih podataka osnovanu člankom 29. Direktive 95/46/EZ tumače se kao upućivanja na Europski odbor za zaštitu podataka osnovan ovom Uredbom.”

Njemačko pravo

Članak 43. Bundesdatenschutzgesetza (Savezni zakon o zaštiti podataka) od 20. prosinca 1990. (BGBl. 1990. I, str. 2954.), u verziji primjenjivoj na glavni postupak (u daljnjem tekstu: BDSG), naslovljen „Odredbe o upravnim novčanim kaznama ”, u svojem stavku 3. propisuje:

„Tijelima javne vlasti ili drugim javnim tijelima u smislu članka 2. stavka 1. [BDSG‑a] ne može se izreći nikakva upravna novčana kazna.”

Glavni postupak i prethodna pitanja

27	Tužitelj iz glavnog postupka je 7. svibnja 2019. Saveznom uredu podnio zahtjev za međunarodnu zaštitu, koji je taj ured odbio.

28	Pri donošenju svoje odluke o odbijanju (u daljnjem tekstu: sporna odluka), Savezni ured oslonio se na elektronički spis „MARIS” koji je sastavio, a koji sadržava osobne podatke tužitelja iz glavnog postupka.

On je protiv sporne odluke podnio tužbu Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), sudu koji je uputio zahtjev u ovom predmetu. Elektronički spis „MARIS” je potom, u okviru zajedničkog postupka na temelju članka 26. OUZP‑a, proslijeđen tom sudu putem elektroničkog sudskog i upravnog poštanskog pretinca (Elektronisches Gerichts- und Verwaltungspostfach) kojim upravlja javno tijelo koje je dio izvršne vlasti.

30	Sud koji je uputio zahtjev ističe da iz uvodne izjave 52. Direktive 2013/32 proizlazi da je obrada osobnih podataka koju obavljaju države članice u okviru postupaka za priznavanje međunarodne zaštite uređena OUZP‑om.

31	Međutim, taj sud dvoji o tome jesu li vođenje elektroničkog spisa koji je sastavio Savezni ured i prosljeđivanje tog spisa njemu putem elektroničkog sudskog i upravnog poštanskog pretinca u skladu s tom uredbom.

S jedne strane, kad je riječ o vođenju elektroničkog spisa, nije dokazano da Savezni ured poštuje odredbe članka 5. stavka 1. u vezi s člankom 30. OUZP‑a. Naime, unatoč zahtjevu koji je u tu svrhu uputio sud koji je uputio zahtjev, Savezni ured nije dostavio potpunu evidenciju aktivnosti obrade koja se odnosi na taj spis. Takva je evidencija trebala biti uspostavljena u trenutku kad su se počeli obrađivati osobni podaci tužitelja iz glavnog postupka, odnosno na datum podnošenja njegova zahtjeva za međunarodnu zaštitu. Nakon što Sud odluči o ovom zahtjevu za prethodnu odluku, Savezni ured treba biti saslušan u pogledu svoje odgovornosti, na temelju članka 5. stavka 2. OUZP‑a.

S druge strane, kad je riječ o prosljeđivanju elektroničkog spisa putem elektroničkog sudskog i upravnog poštanskog pretinca, takvo prosljeđivanje predstavlja „obradu” podataka, u smislu članka 4. točke 2. OUZP‑a, koja mora biti u skladu s načelima navedenima u članku 5. te uredbe. Međutim, protivno članku 26. navedene uredbe, nijedan nacionalni propis ne uređuje taj postupak prosljeđivanja između upravnih tijela i sudova na način da utvrđuje odgovornosti zajedničkih voditelja obrade, a Savezni ured nije dostavio nikakav dogovor u tom smislu, i to unatoč zahtjevu koji je u tu svrhu uputio sud koji je uputio zahtjev. Taj sud stoga dvoji o zakonitosti tog prijenosa podataka putem elektroničkog sudskog i upravnog poštanskog pretinca.

Konkretno, prema mišljenju suda koji je uputio zahtjev, valjalo bi utvrditi treba li povredu obveza predviđenih člancima 5., 26. i 30. OUZP‑a, iz koje proizlazi nezakonitost obrade osobnih podataka, sankcionirati brisanjem tih podataka, u skladu s člankom 17. stavkom 1. točkom (d) te uredbe, ili ograničenjem obrade, u skladu s člankom 18. stavkom 1. točkom (b) navedene uredbe. Takve bi sankcije trebalo barem razmotriti u slučaju ispitanikova zahtjeva. U suprotnom bi taj sud bio prisiljen sudjelovati u nezakonitoj obradi navedenih podataka u okviru sudskog postupka. U takvom bi slučaju, u skladu s člankom 58. OUZP‑a, jedino nadzorno tijelo moglo intervenirati izricanjem upravne novčane kazne tijelima javne vlasti o kojim je riječ, na temelju članka 83. stavka 5. točke (a) te uredbe. Međutim, prema članku 43. stavku 3. BDSG‑a kojim se prenosi članak 83. stavak 7. navedene uredbe, tijelima javne vlasti i drugim javnim tijelima ne može se, na nacionalnoj razini, izreći nikakva upravna novčana kazna. Iz toga slijedi da se ni Direktiva 2013/32 ni OUZP ne bi poštovale.

Osim toga, sud koji je uputio zahtjev smatra da obrada o kojoj je riječ u glavnom postupku nije obuhvaćena člankom 17. stavkom 3. točkom (e) OUZP‑a, kojim se omogućuje uporaba osobnih podataka u svrhu postavljanja, ostvarivanja ili obrane pravnih zahtjeva od strane tuženika. Točno je da bi u ovom slučaju Savezni ured, u skladu s člankom 17. stavkom 3. točkom (b) te uredbe, koristio podatke radi poštovanja pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade. Međutim, primjenom te odredbe došlo bi do trajne legalizacije prakse koja je u suprotnosti sa zakonodavstvom o zaštiti podataka.

Taj sud stoga nastoji doznati u kojoj mjeri može, u okviru svoje sudske aktivnosti, uzeti u obzir osobne podatke dostavljene u takvom postupku koji ulazi u ovlasti izvršne vlasti. Naime, ako se vođenje elektroničkog spisa ili njegovo prosljeđivanje putem elektroničkog sudskog i upravnog poštanskog pretinca treba smatrati nezakonitom obradom s obzirom na OUZP, navedeni bi sud takvim uzimanjem u obzir sudjelovao u nezakonitoj obradi o kojoj je riječ, što bi bilo protivno cilju koji se nastoji postići tom uredbom, a koji se sastoji od zaštite temeljnih prava i sloboda pojedinaca, posebno njihova prava na zaštitu osobnih podataka.

U tom pogledu, sud koji je uputio zahtjev k tomu se pita može li okolnost da je ispitanik dao privolu za korištenje svojih osobnih podataka u okviru sudskog postupka ili se pak tomu protivio, utjecati na mogućnost uzimanja u obzir tih podataka. U slučaju da taj sud ne bi mogao uzeti u obzir podatke iz elektroničkog spisa „MARIS” zbog nezakonitosti u vođenju i prosljeđivanju tog spisa, ne bi postojala nikakva pravna osnova za donošenje odluke o zahtjevu tužitelja iz glavnog postupka za dodjelu statusa izbjeglice, do eventualne provedbe usklađenja. Posljedično, navedeni sud morao bi poništiti spornu odluku.

U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1.

Dovodi li potpuno ili djelomično nepoštovanje odgovornosti voditelja obrade koju ima u skladu s člankom 5. [OUZP‑a], primjerice zbog nepostojeće ili nepotpune evidencije aktivnosti obrade u smislu članka 30. [te uredbe] ili nepostojanja dogovora o zajedničkom postupku u skladu s člankom 26. [navedene uredbe] do toga da je obrada osobnih podataka nezakonita u smislu članka 17. stavka 1. točke (d) [OUZP‑a] i članka 18. stavka 1. točke (b) [te uredbe], tako da ispitanik ima pravo na brisanje ili pravo na ograničenje?

2.	U slučaju potvrdnog odgovora na prvo pitanje: dovodi li postojanje prava na brisanje ili prava na ograničenje obrade do toga da se obrađeni podaci ne mogu uzeti u obzir u sudskom postupku? Navedeno osobito u slučaju ako se ispitanik usprotivi njihovu korištenju u sudskom postupku?

3.	U slučaju niječnog odgovora na prvo pitanje: dovodi li povreda članaka 5., 30. ili 26. [OUZP‑a] koju je počinio voditelj obrade do toga da, kada je riječ o obrađivanju podataka u sudskom postupku, nacionalni sud podatke može uzeti u obzir samo ako ispitanik da izričitu privolu za to korištenje?”

O prethodnim pitanjima

Dopuštenost

Njemačka vlada, iako formalno ne ističe prigovor nedopuštenosti, izražava sumnje u pogledu relevantnosti prethodnih pitanja za ishod glavnog postupka. Najprije, smatra da iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da nije konačno utvrđeno je li Savezni ured povrijedio članak 5. stavak 2. OUZP‑a, već sud koji je uputio zahtjev to samo pretpostavlja. Nadalje, taj sud nije naveo da bi spisi Saveznog ureda, pod pretpostavkom da ih nije ovlašten koristiti, bili jedini odlučujući za rješavanje tog spora. Naime, on raspolaže i drugim izvorima informacija koje bi, na temelju načela ispitivanja po službenoj dužnosti, trebalo u potpunosti iskoristiti kada tijelo ne dostavi spise ili kada su oni nepotpuni. Naposljetku, treće je pitanje očito hipotetsko jer iz odluke kojom se upućuje prethodno pitanje ne proizlazi da je tužitelj iz glavnog postupka dao privolu ili da bi dao privolu na to da sud koji je uputio zahtjev obrađuje njegove osobne podatke.

Valja podsjetiti na to da, na temelju ustaljene sudske prakse Suda, pitanja koja se odnose na pravo Unije uživaju presumpciju relevantnosti. Sud može odbiti odgovoriti na prethodno pitanje nacionalnog suda samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom glavnog postupka, ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi mogao dati koristan odgovor na postavljena pitanja ili ako je problem hipotetski. Osim toga, u okviru postupka iz članka 267. UFEU‑a, koji se temelji na jasnoj podjeli uloga između nacionalnih sudova i Suda, nacionalni sud jedini je nadležan za utvrđivanje i ocjenjivanje činjenica u glavnom postupku (vidjeti osobito presudu od 24. ožujka 2022., Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, t. 20. i 21. te navedenu sudsku praksu).

Kao što to jasno proizlazi iz drugog stavka članka 267. UFEU‑a, u okviru uske suradnje između nacionalnih sudova i Suda, koja se temelji na podjeli funkcija između njih, na sudu koji je uputio zahtjev je da odluči u kojem stadiju postupka taj sud treba uputiti prethodno pitanje Sudu (presuda od 17. srpnja 2008., Coleman, C‑303/06, EU:C:2008:415, t. 29. i navedena sudska praksa).

Konkretno, u tom je pogledu Sud već presudio da okolnost da činjenična pitanja još uvijek nisu bila predmetom dokaznog kontradiktornog upravnog postupka nije sama po sebi takve naravi da bi zbog nje prethodno pitanje bilo nedopušteno (vidjeti u tom smislu presudu od 11. rujna 2014., Österreichischer Gewerkschaftsbund, C‑328/13, EU:C:2014:2197, t. 19. i navedenu sudsku praksu).

Međutim, iako u ovom slučaju iz zahtjeva za prethodnu odluku proizlazi da sud koji je uputio zahtjev nije konačno odlučio je li Savezni ured povrijedio obveze koje ima na temelju članka 5. stavka 2. OUZP‑a, u vezi s člancima 26. i 30. te uredbe, jer prema navodima iz tog zahtjeva o tom aspektu glavnog postupka još treba kontradiktorno raspravljati, taj je sud ipak utvrdio da Savezni ured, kao voditelj obrade, nije dostavio ni dogovor o zajedničkoj obradi podataka ni evidenciju aktivnosti obrade, na koje se odnose te dvije odredbe, i to unatoč zahtjevu koji mu je on u tu svrhu uputio.

Osim toga, iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da je prema mišljenju navedenog suda, koji je jedini nadležan za utvrđivanje i ocjenu činjenica, sporna odluka donesena samo na temelju elektroničkog spisa koji je sastavio Savezni ured, vođenjem i prosljeđivanjem kojeg je možda došlo do povrede pravila propisanih navedenom uredbom, zbog čega bi tu odluku možda trebalo poništiti.

Naposljetku, kad je riječ o privoli tužitelja iz glavnog postupka za upotrebu njegovih osobnih podataka u okviru sudskog postupka, dovoljno je istaknuti da se trećim prethodnim pitanjem upravo želi utvrditi je li u ovom slučaju potrebno izraziti takvu privolu kako bi sud koji je uputio zahtjev bio ovlašten uzeti u obzir te podatke.

U tim okolnostima, kada je Sudu tako podnesen zahtjev za tumačenje prava Unije koji nije očito nepovezan s činjeničnim stanjem ili predmetom spora u glavnom postupku, a on raspolaže podacima potrebnima za davanje korisnog odgovora na pitanja koja su mu postavljena u vezi s utjecajem OUZP‑a na glavni postupak, on na njih mora odgovoriti a da pritom nije dužan sâm razmotriti činjeničnu presumpciju suda koji je uputio zahtjev, presumpciju koju taj sud treba naknadno provjeriti, ako se to pokaže potrebnim (vidjeti po analogiji presudu od 17. srpnja 2008., Coleman, C‑303/06, EU:C:2008:415, t. 31. i navedenu sudsku praksu).

47	Slijedom toga, valja smatrati da je ovaj zahtjev za prethodnu odluku dopušten i odgovoriti na pitanja koja je postavio sud koji je uputio zahtjev, pri čemu je ipak na tom sudu da provjeri je li Savezni ured povrijedio obveze predviđene člancima 26. i 30. OUZP‑a.

Meritum

Prvo pitanje

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 17. stavak 1. točku (d) i članak 18. stavak 1. točku (b) OUZP‑a tumačiti na način da povreda koju počini voditelj obrade u odnosu na obveze predviđene člancima 26. i 30. te uredbe, koje se odnose na sklapanje dogovora kojim se određuje zajedničko vođenje obrade odnosno vođenje evidencije aktivnosti obrade, predstavlja nezakonitu obradu koja ispitaniku daje pravo na brisanje ili ograničavanje obrade, s obzirom na to da takva povreda podrazumijeva povredu načela „pouzdanosti” od strane voditelja obrade, kako je utvrđeno u članku 5. stavku 2. navedene uredbe.

Prema ustaljenoj sudskoj praksi Suda, pri tumačenju odredbe prava Unije u obzir treba uzeti ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve propisa kojeg je dio (vidjeti u tom smislu osobito presudu od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 32. i navedenu sudsku praksu).

Što se tiče, kao prvo, teksta relevantnih odredbi prava Unije, valja podsjetiti na to da, u skladu s člankom 17. stavkom 1. točkom (d) OUZP‑a, ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati te podatke bez nepotrebnog odgađanja ako su ti podaci „nezakonito obrađeni”.

51	Isto tako, na temelju članka 18. stavka 1. točke (b) OUZP‑a, ako se ispitanik protivi brisanju takvih podataka te umjesto toga traži ograničenje njihove uporabe, on ima pravo od voditelja obrade ishoditi ograničenje obrade ako je „obrada nezakonita”.

Odredbe navedene u dvjema prethodnim točkama treba tumačiti u vezi s člankom 5. stavkom 1. te uredbe, prema kojem osobni podaci moraju biti u skladu s određenim brojem načela koji su navedeni u toj odredbi, a među kojima je i ono iz članka 5. stavka 1. točke (a) navedene uredbe, kojim se pojašnjava da osobni podaci moraju biti „zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika”.

Na temelju članka 5. stavka 2. OUZP‑a i u skladu s načelom „pouzdanosti” iz te odredbe, voditelj obrade odgovoran je za usklađenost sa stavkom 1. tog članka i mora moći dokazati da poštuje svako od načela navedenih u tom stavku 1., pri čemu je na njemu teret dokazivanja (vidjeti u tom smislu presudu od 24. veljače 2022., Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe), C‑175/20, EU:C:2022:124, t. 77., 78. i 81.).

54	Iz toga slijedi da na temelju članka 5. stavka 2. navedene uredbe, u vezi sa stavkom 1. točkom (a) tog članka, voditelj obrade mora osigurati „zakonitost” obrade podataka koju provodi.

Valja utvrditi da je, kao što to proizlazi iz samog naslova članka 6. OUZP‑a, upravo zakonitost obrade predmet tog članka kojim se predviđa da je obrada zakonita samo ako je ispunjen barem jedan od uvjeta iz stavka 1. prvog podstavka točaka (a) do (f) navedenog članka, odnosno, kao što to proizlazi i iz uvodne izjave 40. te uredbe, ako je ispitanik dao privolu za obradu svojih osobnih podataka za jednu ili više posebnih svrha, ako je obrada nužna u bilo koju od navedenih svrha koje se odnose na: izvršavanje ugovora u kojem je ispitanik stranka ili poduzimanje radnji na zahtjev ispitanika prije sklapanja ugovora, poštovanje pravnih obveza voditelja obrade, zaštitu životno važnih interesa ispitanika ili druge fizičke osobe, izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade te potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika.

Taj je popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom iscrpan i taksativan, tako da, kako bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih u članku 6. stavku 1. prvom podstavku OUZP‑a (vidjeti u tom smislu presude od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 99. i navedenu sudsku praksu te od 8. prosinca 2022., Inspektor v Inspektorata kam Visshia sadeben savet (Svrhe obrade osobnih podataka – Kaznena istraga), C‑180/21, EU:C:2022:967, t. 83.).

Stoga, prema sudskoj praksi Suda, svaka obrada osobnih podataka mora biti u skladu s načelima koja se odnose na obradu podataka navedenima u članku 5. stavku 1. te uredbe i ispunjavati uvjete za zakonitost obrade navedene u članku 6. te uredbe (vidjeti osobito presude od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 208., od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 96. te od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 49. i 56.).

Osim toga, s obzirom na to da je predmet članaka 7. do 11. OUZP‑a, koji se, poput njezinih članaka 5. i 6., nalaze u poglavlju II. te uredbe koje se odnosi na načela, odrediti doseg obveza koje voditelj obrade ima na temelju članka 5. stavka 1. točke (a) i članka 6. stavka 1. navedene uredbe, da bi obrada osobnih podataka bila zakonita, kao što to proizlazi iz sudske prakse Suda, moraju se poštovati i te druge odredbe navedenog poglavlja koje se u biti odnose na privolu, obradu posebnih kategorija osjetljivih osobnih podataka i obradu osobnih podataka koji se odnose na kaznene osude i kažnjiva djela (vidjeti u tom smislu presude od 24. rujna 2019., GC i dr. (Uklanjanje poveznica na osjetljive podatke), C‑136/17, EU:C:2019:773, t. 72. do 75. i od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 100., 102. i 106.).

Valja međutim utvrditi, kao što su to učinile sve vlade koje su podnijele pisana očitovanja i Europska komisija, da poštovanje obveze voditelja obrade da sklopi dogovor kojim se određuje zajedničko vođenje obrade, koje je predviđeno člankom 26. OUZP‑a, i obveze vođenja evidencije o aktivnostima obrade, koja je propisana člankom 30. te uredbe, nije među osnovama zakonitosti obrade navedenima u članku 6. stavku 1. prvom podstavku navedene uredbe.

60	Usto, za razliku od članaka 7. do 11. OUZP‑a, predmet članaka 26. i 30. te uredbe nije odrediti doseg zahtjeva navedenih u članku 5. stavku 1. točki (a) i članku 6. stavku 1. navedene uredbe.

Stoga, iz samog teksta članka 5. stavka 1. točke (a) i članka 6. stavka 1. prvog podstavka OUZP‑a proizlazi da povreda obveza predviđenih člancima 26. i 30. te uredbe koju je počinio voditelj obrade nije „nezakonita obrada”, u smislu članka 17. stavka 1. točke (d) i članka 18. stavka 1. točke (b) navedene uredbe, koja bi bila pravna posljedica njegove povrede načela „pouzdanosti”, kako je utvrđeno u članku 5. stavku 2. iste uredbe.

Kao drugo, to je tumačenje potkrijepljeno kontekstom u kojem se nalaze te različite odredbe. Naime, iz same strukture OUZP‑a, i prema tome iz njezina ustroja, jasno proizlazi da se u njoj razlikuju, s jedne strane, „načela” koja su predmet poglavlja II., koje sadržava, među ostalim, članke 5. i 6. te uredbe, i, s druge strane, „opće obveze” koje su dio odjeljka 1. poglavlja IV. navedene uredbe, koje se odnosi na voditelje obrade, među kojima su obveze iz članaka 26. i 30. iste uredbe.

Štoviše, ta se razlika odražava u poglavlju VIII. OUZP‑a koje se odnosi na sankcije jer se, s jedne strane, za povrede članaka 26. i 30. te uredbe i, s druge strane, za povrede njezinih članaka 5. i 6., prema članku 83. stavku 4. odnosno 5. navedene uredbe, mogu izreći upravne novčane kazne do određenog iznosa, koji se prema navedenim stavcima razlikuje ovisno o težini koju je tim povredama priznao zakonodavac Unije.

Kao treće i posljednje, doslovno tumačenje OUZP‑a navedeno u točki 61. ove presude potkrijepljeno je ciljem te uredbe koji proizlazi iz njezina članka 1. i uvodnih izjava 1. i 10., a koji se sastoji, među ostalim, od jamčenja visoke razine zaštite temeljnih prava i sloboda pojedinaca, posebno njihova prava na privatnost u vezi s obradom osobnih podataka, iz članka 8. stavka 1. Povelje Europske unije o temeljnim pravima i članka 16. stavka 1. UFEU‑a (vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, t. 125. i navedenu sudsku praksu).

Naime, nepostojanje dogovora kojim se utvrđuje zajedničko vođenje, u skladu s člankom 26. OUZP‑a, ili evidencije aktivnosti obrade, u smislu članka 30. te uredbe, nije samo po sebi dovoljno da bi se utvrdilo postojanje povrede temeljnog prava na zaštitu osobnih podataka. Konkretno, iako je točno, kao što to proizlazi iz njezinih uvodnih izjava 79. i 82., da su jasna raspodjela dužnosti između zajedničkih voditelja obrade i vođenje evidencije aktivnosti obrade načini da se osigura da ti voditelji obrade poštuju jamstva za zaštitu prava i sloboda ispitanika predviđena navedenom uredbom, činjenica je da nepostojanje takve evidencije ili takvog dogovora samo po sebi ne dokazuje da su ta prava i te slobode povrijeđeni.

Iz toga proizlazi da povreda članaka 26. i 30. OUZP‑a koju je počinio voditelj obrade nije „nezakonita obrada” u smislu članka 17. stavka 1. točke (d) ili članka 18. stavka 1. točke (b) te uredbe, u vezi s njezinim člankom 5. stavkom 1. točkom (a) i člankom 6. stavkom 1. prvim podstavkom, kojima se ispitaniku daje pravo na brisanje ili ograničavanje obrade.

Kao što su to istaknule sve vlade koje su podnijele pisana očitovanja i Komisija, takvu povredu stoga treba ispraviti primjenom drugih mjera predviđenih OUZP‑om, kao što su „korektivne mjere” koje donosi nadzorno tijelo, u smislu članka 58. stavka 2. te uredbe, među ostalim, usklađivanjem postupaka obrade u skladu s točkom (d) te odredbe, podnošenjem pritužbe nadzornom tijelu, u skladu s člankom 77. stavkom 1. te uredbe, ili zahtijevanjem naknade štete za koju je eventualno odgovoran voditelj obrade, na temelju njezina članka 82.

Naposljetku, uzimajući u obzir zabrinutost koju je izrazio sud koji je uputio zahtjev, valja još pojasniti da okolnost prema kojoj bi u ovom slučaju izricanje upravne novčane kazne, na temelju članka 58. stavka 2. točke (i) i članka 83. OUZP‑a, bilo isključeno jer nacionalno pravo zabranjuje izricanje takve sankcije Saveznom uredu, ne može spriječiti djelotvornu primjenu te uredbe. Naime, u tom je pogledu dovoljno istaknuti da se člankom 83. stavkom 7. navedene uredbe državama članicama izričito daje mogućnost da predvide mogu li se i u kojoj mjeri tijelima javne vlasti i javnim tijelima izreći takve novčane kazne. Uostalom, različitim alternativnim mjerama predviđenima OUZP‑om, koje su navedene u prethodnoj točki, može se osigurati takva djelotvorna primjena.

Slijedom toga, na prvo pitanje valja odgovoriti tako da članak 17. stavak 1. točku (d) i članak 18. stavak 1. točku (b) OUZP‑a treba tumačiti na način da povreda koju počini voditelj obrade u odnosu na obveze predviđene člancima 26. i 30. te uredbe, koje se odnose na sklapanje dogovora kojim se određuje zajedničko vođenje obrade odnosno vođenje evidencije aktivnosti obrade, ne predstavlja nezakonitu obradu koja ispitaniku daje pravo na brisanje ili ograničavanje obrade, s obzirom na to da takva povreda sama po sebi ne podrazumijeva povredu načela „pouzdanosti” od strane voditelja obrade, kako je utvrđeno u članku 5. stavku 2. navedene uredbe, u vezi s člankom 5. stavkom 1. točkom (a), i njezinu članku 6. stavku 1. prvom podstavku.

Drugo pitanje

70	S obzirom na odgovor na prvo pitanje, na drugo pitanje nije potrebno odgovoriti.

Treće pitanje

Svojim trećim pitanjem sud koji je uputio zahtjev u biti pita treba li pravo Unije tumačiti na način da, kada je voditelj obrade osobnih podataka povrijedio obveze koje ima na temelju članaka 26. ili 30. OUZP‑a, zakonitost uzimanja u obzir takvih podataka od strane nacionalnog suda ovisi o privoli ispitanika.

U tom pogledu valja utvrditi da iz samog teksta članka 6. stavka 1. prvog podstavka te uredbe jasno proizlazi da privola ispitanika iz točke (a) tog podstavka predstavlja samo jednu od osnova zakonitosti obrade, s obzirom na to da se takva privola, naprotiv, ne zahtijeva prema drugim osnovama zakonitosti navedenima u točkama (b) do (f) navedenog podstavka, koji se u biti temelje na tome da je obrada nužna za ostvarenje određene svrhe (vidjeti po analogiji presudu od 11. prosinca 2019., Asocia de Proprietari bloc M5A‑ScaraA, C‑708/18, EU:C:2019:1064, t. 41.).

Međutim, kada sud izvršava sudske ovlasti koje su mu dodijeljene nacionalnim pravom, obradu osobnih podataka koju je taj sud dužan provesti treba smatrati nužnom za ostvarenje svrhe iz članka 6. stavka 1. prvog podstavka točke (e) navedene uredbe, koja se odnosi na izvršavanje zadaće od javnog interesa ili je povezana s izvršavanjem službene ovlasti voditelja obrade.

Budući da je, s jedne strane, dovoljno da je ispunjen jedan od uvjeta iz članka 6. stavka 1. OUZP‑a kako bi se obrada osobnih podataka mogla smatrati zakonitom i da, s druge strane, kao što je to zaključeno u točki 61. ove presude, povreda članaka 26. i 30. te uredbe ne predstavlja nezakonitu obradu, uzimanje u obzir, od strane suda koji je uputio zahtjev, osobnih podataka koje je Savezni ured obradio protivno obvezama predviđenima u navedenim člancima ne ovisi o privoli ispitanika.

Slijedom toga, na treće pitanje valja odgovoriti tako da pravo Unije treba tumačiti na način da, kada je voditelj obrade osobnih podataka povrijedio obveze koje ima na temelju članaka 26. ili 30. OUZP‑a, zakonitost uzimanja u obzir takvih podataka od strane nacionalnog suda ne ovisi o privoli ispitanika.

Troškovi

76	Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (peto vijeće) odlučuje:

Članak 17. stavak 1. točku (d) i članak 18. stavak 1. točku (b) Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da:

povreda koju počini voditelj obrade u odnosu na obveze predviđene člancima 26. i 30. te uredbe, koje se odnose na sklapanje dogovora kojim se određuje zajedničko vođenje obrade odnosno vođenje evidencije aktivnosti obrade, ne predstavlja nezakonitu obradu koja ispitaniku daje pravo na brisanje ili ograničavanje obrade, s obzirom na to da takva povreda sama po sebi ne podrazumijeva povredu načela „pouzdanosti” od strane voditelja obrade, kako je utvrđeno u članku 5. stavku 2. navedene uredbe, u vezi s člankom 5. stavkom 1. točkom (a), i njezinu članku 6. stavku 1. prvom podstavku.

2.	Pravo Unije treba tumačiti na način da, kada je voditelj obrade osobnih podataka povrijedio obveze koje ima na temelju članaka 26. ili 30. Uredbe 2016/679 zakonitost uzimanja u obzir takvih podataka od strane nacionalnog suda ne ovisi o privoli ispitanika.

Potpisi

( *1 ) Jezik postupka: njemački