Sud Europske unije donio je 22. lipnja 2023. presudu u predmetu koji se odnosi na tumačenje članka 15. Opće uredbe o zaštiti podataka, koji ispitanicima daje pravo da od voditelja obrade dobiju pristup svojim osobnim podacima i informacijama o obradi tih podataka.
Pozadina slučaja i preliminarna pitanja
Tijekom 2014. osoba J. M., koja je tada bila zaposlenik i klijent banke Pankki S, doznala je da su djelatnici banke u razdoblju od 1. studenoga do 31. prosinca 2013. u više navrata izvršili uvid u njezine osobne podatke kao klijenta.
Budući da je sumnjala u zakonitost tih uvida, osoba J. M., koja je u međuvremenu otpuštena sa svojeg radnog mjesta u banci Pankki S, zatražila je 29. svibnja 2018. od te banke da joj pruži informacije o identitetu osoba koje su izvršile uvid u njezine podatke kao klijenta, točnim datumima uvida i svrsi obrade navedenih podataka. Banka je odbila otkriti identitet djelatnika uz obrazloženje da se radi o njihovim osobnim podacima te da je pristup bio zakonit i opravdan aktivnostima banke.
Nakon toga J. M. se obratio uredu službenika za zaštitu podataka kao nadzornom tijelu, kako bi se banci Pankki S naložilo da joj proslijedi tražene informacije. Budući da je taj zahtjev odbijen, tužitelj je podnio tužbu Upravnom sudu Finske, koji je zatražio od Suda Europske unije (u nastavku: Sud EU) da tumači članak 15. Opće uredbe za zaštite podataka (u nastavku: Opća uredba).
U tim je okolnostima Upravni sud Finske odlučio prekinuti postupak i uputiti Sudu EU-a sljedeća prethodna pitanja:
- Treba li pravo ispitanika na pristup koje mu pripada u skladu s člankom 15. stavkom 1. Opće uredbe u vezi s pojmom „osobni podaci“ u smislu članka 4. točke 1., tumačiti na način da informacije koje prikupi voditelj obrade, iz kojih proizlazi tko je, kada i u koju svrhu obrađivao osobne podatke ispitanika, nisu informacije kojima ispitanik ima pravo pristupa, osobito jer je riječ o podacima koji se odnose na zaposlenike voditelja obrade?
- U slučaju potvrdnog odgovora i ako ispitanik na temelju članka 15. stavka 1. Opće uredbe nema pravo na pristup informacijama navedenim u tom pitanju jer one nisu „osobni podaci“ ispitanika u skladu s člankom 4. točkom 1. Opće uredbe, u predmetnom je slučaju u obzir potrebno uzeti i informacije kojima ispitanik ima pravo pristupa u skladu s člankom 15. stavkom 1. točkama (a) do (h) navedene uredbe:
(a) kako treba tumačiti svrhu obrade u smislu članka 15. stavka 1. točke (a) Opće uredbe s obzirom na opseg prava ispitanika na pristup, odnosno, može li se na svrsi obrade temeljiti pravo na pristup datotekama zapisa koje je voditelj obrade prikupio, poput primjerice informacija o osobnim podacima osobe koja je podatke obrađivala, vremenu kao i svrsi te obrade?
(b) mogu li se osobe koje su obrađivale podatke o osobi J. M. u svojstvu klijenta u tom kontekstu pod određenim uvjetima smatrati primateljima osobnih podataka u skladu s člankom 15. stavkom 1. točkom (c) Opće uredbe, o kojima bi ispitanik imao pravo dobiti informaciju?
- Relevantnost činjenica da je riječ o banci koja obavlja određenu djelatnost te da je osoba J. M. istodobno radila za banku i bila njezin klijent?
- Činjenica sa da su podaci osobe J. M. obrađeni prije stupanja Opće uredbe na snagu?
Tumačenje i odluka Suda EU-a
- Sud EU-a utvrdio je da se članak 15. Opće uredbe primjenjuje na zahtjev za pristup osobnim podacima koji su obrađeni prije nego što je Opća uredba stupila na snagu, sve dok je zahtjev podnesen nakon tog datuma.
- Sud EU-a smatra da se zaposlenici voditelja obrade ne mogu smatrati ispitanicima u smislu članka 15. stavka 1. točke (c) Opće uredbe kada obrađuju osobne podatke pod ovlaštenjem tog voditelja obrade u skladu s njegovim uputama.
- Članak 15. stavak 1. Opće uredbe daje ispitaniku široko pravo pristupa informacijama o obradi njegovih osobnih podataka, uključujući datume i svrhe obrade, kako bi se ispitaniku omogućilo da provjeri zakonitost obrade i ostvarivanja prava dodijeljenih Općom uredbom. Donoseći ovaj zaključak, Sud EU-a se pozvao na svoje odluke u slučaju C‑487/21[1] i C‑154/21[2].
- Sud EU-a se složio s mišljenjem nezavisnog odvjetnika da članak 15. stavak 1. Opće uredbe općenito ispitaniku ne daje pravo pristupa informacijama o identitetu zaposlenika voditelja obrade koji su izvršili radnje obrade prema ovlaštenju i u skladu s uputama voditelja obrade. Međutim, Sud EU-a došao je do zaključka da takvo pravo može postojati ako su te informacije ključne za ispitanika i za učinkovito ostvarivanje prava prema Općoj uredbi i pod uvjetom da su prava i slobode zaposlenika uzeti u obzir.
- U slučaju sukoba između, s jedne strane, ostvarivanja prava na pristup i, s druge strane, prava ili sloboda drugih, morat će se uspostaviti ravnoteža. Sud EU-a navodi da se, gdje god je to moguće, mora odabrati način priopćavanja osobnih podataka koji ne krši prava ili slobode drugih.
- Činjenica da je voditelj obrade banka (i djeluje u okviru regulirane djelatnosti) te da je ispitanik bio i zaposlenik voditelja obrade, u načelu nema utjecaja na opseg prava pristupa iz članka 15. Opće uredbe.
Zaključak:
Sud EU-a presudio je da pojedinci imaju pravo znati kada i zašto se pristupa njihovim osobnim podacima, bez obzira na to je li voditelj obrade podataka banka. Iako je Sud EU-a priznao pravo na pristup informacijama, naveo je da otkrivanje identiteta zaposlenika ovisi o potrebi učinkovitog ostvarivanja prava i poštovanja prava zaposlenika. Priroda voditelja obrade kao banke i dvostruka uloga zaposlenika nisu utjecali na pravo ispitanika na pristup njihovim podacima.
