–

za J. M. on sam,

–

za Apulaistietosuojavaltuutettu A. Talus, tietosuojavaltuutettu,

–

za Pankki S T. Kalliokoski in J. Lång, asianajajat, ter E.-L. Hokkonen, oikeustieteen maisteri,

–

za finsko vlado A. Laine in H. Leppo, agentki,

–

za češko vlado A. Edelmannová, M. Smolek in J. Vláčil, agenti,

–

za avstrijsko vlado A. Posch, agent,

–

za Evropsko komisijo A. Bouchagiar, H. Kranenborg in I. Söderlund, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 15(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2) (v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru postopka, ki ga je oseba J. M. sprožila z namenom odprave odločbe Apulaistietosuojavaltuutettu (namestnik pooblaščenca za varstvo podatkov, Finska), s katero je bil zavrnjen predlog te osebe, naj se Pankki S, bančni ustanovi s sedežem na Finskem, odredi, da ji mora posredovati nekatere informacije v zvezi z dejanji vpogleda v njene osebne podatke.

3

V uvodnih izjavah 4, 10, 11, 26, 39, 58, 60, 63 in 74 SUVP je navedeno:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

4

Člen 1 SUVP, naslovljen „Predmet urejanja in cilji“, v odstavku 2 določa:

„Ta uredba varuje temeljne pravice in svoboščine posameznikov ter zlasti njihovo pravico do varstva osebnih podatkov.“

5

Člen 4 te uredbe določa:

„V tej uredbi:

[…]

[…]

[…]

[…]“.

6

Člen 5 navedene uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, določa:

„1.   Osebni podatki morajo biti:

[…]

2.   Upravljavec je odgovoren za skladnost z odstavkom 1 in je to skladnost tudi zmožen dokazati (‚odgovornost‘).“

7

Člen 12 SUVP, naslovljen „Pregledne informacije, sporočila in načini za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki“, določa:

„1.   Upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, […] Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi. […]

[…]

5.   […] Kadar so zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane zlasti ker se ponavljajo, lahko upravljavec:

[…]

Upravljavec nosi dokazno breme, da je zahteva očitno neutemeljena ali pretirana.

[…]“.

8

Člen 15 SUVP, naslovljen „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, določa:

„1.   Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

[…]

3.   Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. […]

4.   Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih.“

9

Člena 16 in 17 navedene uredbe določata pravico posameznika, na katerega se nanašajo osebni podatki, da doseže popravek netočnih osebnih podatkov (pravica do popravka), in v nekaterih okoliščinah pravico do izbrisa teh podatkov (pravica do izbrisa ali „pravica do pozabe“).

10

Člen 18 iste uredbe, naslovljen „Pravica do omejitve obdelave“, v odstavku 1 določa:

„Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec omeji obdelavo, kadar velja en od naslednjih primerov:

11

Člen 21 SUVP, naslovljen „Pravica do ugovora“, v odstavku 1 določa:

„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“

12

Člen 24(1) te uredbe določa:

„Ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo. […]“.

13

Člen 29 navedene uredbe, naslovljen „Obdelava pod vodstvom upravljavca ali obdelovalca“, določa:

„Obdelovalec in katera koli oseba, ki ukrepa pod vodstvom upravljavca ali obdelovalca in ima dostop do osebnih podatkov, teh podatkov ne sme obdelati brez navodil upravljavca, razen če to od njega zahteva pravo Unije ali pravo države članice.“

14

Člen 30 SUVP, naslovljen „Evidenca dejavnosti obdelave“, določa:

„1.   Vsak upravljavec in predstavnik upravljavca, kadar ta obstaja, vodi evidenco dejavnosti obdelave osebnih podatkov v okviru svoje odgovornosti. […]

[…]

4.   Upravljavec […] ali predstavnik upravljavca […], kadar ta obstaja, nadzornemu organu na zahtevo omogoči[ta] dostop do evidenc.

[…]“.

15

Člen 58 te uredbe, naslovljen „Pooblastila“, v odstavku 1 določa:

„Vsak nadzorni organ ima vsa naslednja preiskovalna pooblastila:

[…]“.

16

Člen 77 navedene uredbe, naslovljen „Pravica do vložitve pritožbe pri nadzornem organu“, natančneje določa:

„1.   Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.

2.   Nadzorni organ, pri katerem je vložena pritožba, obvesti pritožnika o stanju zadeve in odločitvi o pritožbi, vključno z možnostjo pravnega sredstva na podlagi člena 78.“

17

Člen 79 SUVP, naslovljen „Pravica do učinkovitega pravnega sredstva zoper upravljavca ali obdelovalca“, v odstavku 1 določa:

„Brez poseganja v katero koli razpoložljivo upravno ali izvensodno sredstvo, vključno s pravico do vložitve pritožbe pri nadzornem organu na podlagi člena 77, ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar meni, da so bile njegove pravice iz te uredbe kršene zaradi obdelave njegovih osebnih podatkov, ki ni bila v skladu s to uredbo.“

18

Člen 82 te uredbe, naslovljen „Pravica do odškodnine in odgovornost“, v odstavku 1 določa:

„Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, ima pravico, da od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.“

19

V skladu s členom 99(2) SUVP se je ta uredba začela uporabljati 25. maja 2018.

20

Leta 2014 je oseba J. M., takrat zaposlena pri banki Pankki S in njena stranka, izvedela, da so v obdobju med 1. novembrom in 31. decembrom 2013 v njene podatke stranke večkrat vpogledali uslužbenci banke.

21

Ker je oseba J. M., ki ji je bilo medtem odpovedano delovno razmerje z banko Pankki S, podvomila o zakonitosti teh vpogledov, je 29. maja 2018 od banke Pankki S zahtevala, naj ji sporoči identiteto oseb, ki so vpogledale v njene podatke stranke, natančne datume vpogledov in namene obdelave navedenih podatkov.

22

Banka Pankki S je v odgovoru z dne 30. avgusta 2018 kot upravljavec v smislu člena 4, točka 7, SUVP zavrnila sporočitev identitete zaposlenih, ki so izvedli dejanja vpogleda, z obrazložitvijo, da gre pri teh informacijah za osebne podatke teh zaposlenih.

23

Vendar je banka Pankki S v tem odgovoru navedla pojasnila o dejanjih vpogleda, ki jih je po njenih navodilih izvedel oddelek za notranjo revizijo. Tako je pojasnila, da je bila stranka banke, katere svetovalec je bila oseba J. M., upnik osebe, ki ima enak priimek kot oseba J. M., tako da je želela razjasniti, ali sta tožeča stranka iz postopka v glavni stvari in zadevni dolžnik ena in ista oseba in ali je morda obstajalo morebitno neustrezno navzkrižje interesov. Banka Pankki S je dodala, da je bilo treba zaradi razjasnitve te zadeve obdelati podatke osebe J. M., pri čemer naj bi vsak uslužbenec banke, ki je obdelal njene podatke, oddelku za notranjo revizijo podal stališče o razlogih za obdelavo podatkov. Poleg tega je banka navedla, da so ti vpogledi omogočili odpravo vsakršnega suma navzkrižja interesov v zvezi z osebo J. M.

24

Oseba J. M. je zadevo predložila Tietosuojavaltuutetun toimisto (urad pooblaščenca za varstvo podatkov, Finska), to je nadzornemu organu v smislu člena 4, točka 21, SUVP, da bi se banki Pankki S naložilo, naj ji posreduje zahtevane informacije.

25

Namestnik pooblaščenca za varstvo podatkov je zahtevo osebe J. M. z odločbo z dne 4. avgusta 2020 zavrnil. Pojasnil je, da je namen take zahteve, da bi bil tej osebi omogočen dostop do dnevniških datotek zaposlenih, ki so obdelali njene podatke, medtem ko so take datoteke glede na prakso odločanja tega organa osebni podatki, ki se ne nanašajo na posameznika, na katerega se nanašajo osebni podatki, temveč na zaposlene, ki so obdelali podatke tega posameznika.

26

Oseba J. M. je zoper to odločbo vložila tožbo pri predložitvenem sodišču.

27

To sodišče opozarja, da člen 15 SUVP določa pravico posameznika, na katerega se nanašajo osebni podatki, da od upravljavca pridobi dostop do podatkov, ki so bili v zvezi z njim obdelani, ter do informacij med drugim o namenih obdelave in uporabnikih podatkov. Sprašuje se, ali je posredovanje dnevniških datotek, ki so bile ustvarjene ob dejanjih obdelave in ki vsebujejo take informacije, zlasti identiteto zaposlenih upravljavca, zajeto s členom 15 SUVP, ker bi se lahko izkazalo, da posameznik, na katerega se nanašajo osebni podatki, te datoteke potrebuje za presojo zakonitosti obdelave, katere predmet so bili njegovi podatki.

28

V teh okoliščinah je Itä-Suomen hallinto-oikeus (upravno sodišče za vzhodno Finsko, Finska) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

29

Predložitveno sodišče s četrtim vprašanjem, ki ga je treba obravnavati najprej, v bistvu sprašuje, ali se člen 15 SUVP v povezavi s členom 99(2) te uredbe uporablja za zahtevo za dostop do informacij iz prve od teh določb, kadar so bila dejanja obdelave, na katera se nanaša ta zahteva, izvedena pred datumom začetka uporabe navedene uredbe, zahteva pa je bila vložena po tem datumu.

30

Za odgovor na to vprašanje je treba navesti, da se v skladu s členom 99(2) SUVP ta uredba uporablja od 25. maja 2018.

31

V obravnavani zadevi pa je iz predložitvene odločbe razvidno, da so bila dejanja obdelave osebnih podatkov iz postopka v glavni stvari izvedena med 1. novembrom 2013 in 31. decembrom 2013, torej pred datumom začetka uporabe SUVP. Vendar je iz te odločbe razvidno tudi, da je oseba J. M. zahtevo po informacijah pri banki Pankki S vložila po tem datumu, namreč 29. maja 2018.

32

V zvezi s tem je treba opozoriti, da se procesna pravila na splošno uporabljajo od dneva, ko ta pravila začnejo veljati, drugače kot materialnopravna pravila, ki se običajno razlagajo tako, da se na položaje, ki so nastali in se v celoti končali pred začetkom njihove veljavnosti, nanašajo le, če je iz njihovega besedila, ciljev ali strukture jasno razvidno, da jim je treba pripisati tak učinek (sodba z dne 15. junija 2021, Facebook Ireland in drugi, C‑645/19, EU:C:2021:483, točka 100 in navedena sodna praksa).

33

V obravnavanem primeru je iz predložitvene odločbe razvidno, da se zahteva osebe J. M., naj se ji sporočijo informacije iz postopka v glavni stvari, navezuje na člen 15(1) SUVP, ki določa pravico posameznika, na katerega se nanašajo osebni podatki, do pridobitve dostopa do osebnih podatkov, ki se nanašajo nanj in ki so predmet obdelave, ter do informacij, na katere se nanaša ta določba.

34

Ugotoviti je treba, da se navedena določba ne nanaša na pogoje za zakonitost obdelave, katere predmet so osebni podatki posameznika, na katerega se ti podatki nanašajo. V členu 15(1) SUVP je namreč zgolj pojasnjen obseg pravice dostopa tega posameznika do podatkov in informacij, na katere se nanaša.

35

Kot je generalni pravobranilec navedel v točki 33 sklepnih predlogov, iz tega izhaja, da imajo na podlagi člena 15(1) SUVP posamezniki, na katere se nanašajo osebni podatki, procesno pravico, pri kateri gre za pridobitev informacij o obdelavi svojih osebnih podatkov. Kot procesno pravilo se ta določba uporablja za zahteve za dostop, vložene po začetku uporabe te uredbe, kot je zahteva osebe J. M.

36

V teh okoliščinah je treba na četrto vprašanje odgovoriti, da je treba člen 15 SUVP v povezavi s členom 99(2) te uredbe razlagati tako, da se uporablja za zahtevo za dostop do informacij iz te določbe, kadar so bila dejanja obdelave, na katera se ta zahteva nanaša, izvedena pred datumom začetka uporabe navedene uredbe, zahteva pa je bila vložena po tem datumu.

37

Predložitveno sodišče s prvim in drugim vprašanjem, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 15(1) SUVP razlagati tako, da informacije v zvezi z dejanji vpogleda v osebne podatke posameznika, ki se nanašajo na datume in namene teh dejanj ter na identiteto fizičnih oseb, ki so izvedle ta dejanja, pomenijo informacije, ki jih ima ta posameznik pravico dobiti od upravljavca na podlagi te določbe.

38

Najprej je treba opozoriti, da je treba v skladu z ustaljeno sodno prakso pri razlagi določbe prava Unije upoštevati ne le njeno besedilo, ampak tudi kontekst, v katerega je umeščena, ter cilje in namen, ki jim sledi akt, katerega del je (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 29).

39

Kar najprej zadeva besedilo člena 15(1) SUVP, je treba opozoriti, da iz te določbe izhaja, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je tako, dostop do osebnih podatkov in informacije med drugim o namenih obdelave in uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki.

40

V zvezi s tem je treba poudariti, da so pojmi iz člena 15(1) SUVP opredeljeni v členu 4 te uredbe.

41

Tako je, na prvem mestu, v členu 4, točka 1, SUVP določeno, da osebni podatek pomeni „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“, in pojasnjeno, da je „določljiv posameznik […] tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika“.

42

Uporaba izraza „katera koli informacija“ v opredelitvi pojma „osebni podatek“ iz te določbe odraža cilj zakonodajalca Unije, da temu pojmu da širok pomen, ki potencialno zajema vse vrste informacij, tako objektivne kot subjektivne v obliki mnenj ali presoj, če se te „nanašajo“ na zadevnega posameznika (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 23).

43

V zvezi s tem je bilo razsojeno, da se informacija nanaša na določenega ali določljivega posameznika, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 24).

44

Glede „določljivosti“ posameznika je v uvodni izjavi 26 SUVP pojasnjeno, da bi bilo treba upoštevati „vsa sredstva – kot je na primer izločitev – za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika“.

45

Iz tega izhaja, da široka opredelitev pojma „osebni podatki“ ne zajema le podatkov, ki jih upravljavec zbere in hrani, ampak zajema tudi vse informacije, pridobljene z obdelavo osebnih podatkov, ki se nanašajo na določenega ali določljivega posameznika (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 26).

46

Na drugem mestu, v zvezi s pojmom „obdelava“, kot je opredeljen v členu 4, točka 2, SUVP, je treba ugotoviti, da je zakonodajalec Unije z uporabo izraza „vsako dejanje“ temu pojmu želel dati širok obseg, pri čemer je neizčrpno naštel dejanja, ki se izvajajo v zvezi z osebnimi podatki ali nizi osebnih podatkov in ki med drugim zajemajo zbiranje, beleženje, shranjevanje in tudi vpogled (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 27).

47

Na tretjem mestu, člen 4, točka 9, SUVP natančneje določa, da je treba pod pojmom „uporabnik“ razumeti „fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne“.

48

V zvezi s tem je Sodišče razsodilo, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti informacije o konkretnih uporabnikih, ki so jim bili ali jim bodo razkriti osebni podatki v zvezi z njim (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 46).

49

Zato iz jezikovne analize člena 15(1) SUVP in pojmov, ki jih vsebuje, izhaja, da je za pravico dostopa, ki je s to določbo priznana posamezniku, na katerega se nanašajo osebni podatki, značilen širok obseg informacij, ki jih mora upravljavec podatkov zagotoviti temu posamezniku.

50

Kar dalje zadeva kontekst, v katerega je umeščen člen 15(1) SUVP, je treba na prvem mestu opozoriti, da je v uvodni izjavi 63 te uredbe navedeno, da bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani in uporabnikih osebnih podatkov.

51

Na drugem mestu, v uvodni izjavi 60 SUVP je navedeno, da načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in namenih te obdelave, pri čemer je poudarjeno, da bi moral upravljavec zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov. Poleg tega morajo biti v skladu z načelom preglednosti, ki ga navaja predložitveno sodišče, na katero se sklicuje uvodna izjava 58 SUVP in ki je izrecno določeno v členu 12(1) te uredbe, vse informacije, ki se nanašajo na posameznika, na katerega se nanašajo osebni podatki, jedrnate, lahko dostopne in lahko razumljive ter izražene v jasnem in preprostem jeziku.

52

V zvezi s tem člen 12(1) SUVP natančneje določa, da mora upravljavec informacije posredovati v pisni obliki ali z drugimi sredstvi, vključno, kjer je to ustrezno, z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, zahteva, da se posredujejo ustno. Cilj te določbe, ki odraža načelo preglednosti, je, da se zagotovi, da je posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da v celoti razume informacije, ki so mu posredovane (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 38 in navedena sodna praksa).

53

Iz zgoraj navedene kontekstualne analize izhaja, da je člen 15(1) SUVP ena od določb, katerih namen je zagotoviti preglednost načinov obdelave osebnih podatkov v razmerju do posameznika, na katerega se nanašajo osebni podatki.

54

Nazadnje, to razlago obsega pravic dostopa iz člena 15(1) SUVP potrjujejo cilji, ki jim sledi ta uredba.

55

Prvič, cilj te uredbe je namreč, kot je navedeno v njenih uvodnih izjavah 10 in 11, zagotovitev dosledne in visoke ravni varstva fizičnih posameznikov v Uniji ter okrepitev in podrobnejša opredelitev pravic posameznikov, na katere se nanašajo osebni podatki.

56

Poleg tega je, kot je razvidno iz uvodne izjave 63 SUVP, najprej cilj pravice dostopa posameznika do svojih osebnih podatkov in drugih informacij, na katere se nanaša člen 15(1) te uredbe, zagotoviti, da se lahko ta posameznik seznani z obdelavo in preveri njeno zakonitost. V skladu s to uvodno izjavo, in kot je navedeno v točki 50 te sodbe, iz tega izhaja, da bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani, uporabnikih osebnih podatkov in o razlogih za obdelavo osebnih podatkov.

57

V zvezi s tem je treba opozoriti, drugič, da je Sodišče že razsodilo, da mora pravica dostopa iz člena 15 SUVP posamezniku, na katerega se nanašajo osebni podatki, omogočiti, da se prepriča, da so osebni podatki, ki se nanašajo nanj, točni in se obdelujejo zakonito (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 34).

58

Natančneje, ta pravica dostopa je nujna, da bi lahko posameznik, na katerega se nanašajo osebni podatki, po potrebi uveljavljal pravico do popravka, pravico do izbrisa („pravica do pozabe“) in pravico do omejitve obdelave, ki jih ima na podlagi členov od 16 do 18 SUVP, pravico do ugovora obdelavi osebnih podatkov, določeno v členu 21 SUVP, ter pravico do pravnega sredstva v primeru utrpljene škode, ki je določena v členih 79 in 82 SUVP (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 35 in navedena sodna praksa).

59

Zato je člen 15(1) SUVP ena od določb, katerih namen je zagotoviti preglednost načinov obdelave osebnih podatkov v razmerju do posameznika, na katerega se nanašajo osebni podatki (sodba z dne 12. januarja 2023, Österreichische Post (Informacije o uporabnikih osebnih podatkov), C‑154/21, EU:C:2023:3, točka 42), pri čemer gre za preglednost, brez katere ta posameznik ne bi mogel presoditi zakonitosti obdelave svojih podatkov in izvajati prerogativ, določenih med drugim v členih od 16 do 18, 21, 79 in 82 te uredbe.

60

V obravnavanem primeru je iz predložitvene odločbe razvidno, da je oseba J. M. od banke Pankki S zahtevala, naj ji sporoči informacije o dejanjih vpogleda, katerih predmet so bili njeni osebni podatki med 1. novembrom 2013 in 31. decembrom 2013, pri čemer gre za informacije o datumih teh vpogledov, njihovih namenih in identiteti oseb, ki so opravile navedene vpoglede. Predložitveno sodišče navaja, da bi bilo mogoče na zahtevo osebe J. M. odgovoriti s posredovanjem dnevniških datotek, ki so bile ustvarjene ob navedenih dejanjih.

61

V obravnavanem primeru ni sporno, da gre pri dejanjih vpogleda, katerih predmet so bili osebni podatki tožeče stranke iz postopka v glavni stvari, za „obdelavo“ v smislu člena 4, točka 2, SUVP, tako da ima ta stranka zaradi njih v skladu s členom 15(1) te uredbe ne samo pravico dostopa do teh osebnih podatkov, ampak tudi pravico, da se ji sporočijo informacije v zvezi s temi dejanji, kakor so navedene v zadnjenavedeni določbi.

62

Kar zadeva informacije, kot so tiste, za katere je zaprosila oseba J. M., najprej, sporočitev datumov dejanj vpogleda posamezniku, na katerega se nanašajo osebni podatki, lahko omogoči pridobitev potrditve, da so bili v danem trenutku njegovi osebni podatki dejansko obdelani. Ker morajo biti pogoji za zakonitost iz členov 5 in 6 SUVP izpolnjeni ob sami obdelavi, je poleg tega datum te obdelave element, na podlagi katerega je mogoče preveriti njeno zakonitost. Dalje, navesti je treba, da je informacija v zvezi z nameni obdelave izrecno zajeta s členom 15(1)(a) te uredbe. Nazadnje, člen 15(1)(c) navedene uredbe določa, da mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, sporočiti, katerim uporabnikom so bili njegovi podatki razkriti.

63

Natančneje v zvezi s sporočitvijo vseh teh informacij s posredovanjem dnevniških datotek v zvezi z dejanji obdelave iz postopka v glavni stvari je treba navesti, da člen 15(3), prvi stavek, SUVP določa, da upravljavec „zagotovi kopijo osebnih podatkov, ki se obdelujejo“.

64

V zvezi s tem je Sodišče že razsodilo, da tako uporabljen pojem „kopija“ označuje reprodukcijo ali prepis, ki je skladen z izvirnikom, tako da povsem splošen opis podatkov, ki se obdelujejo, ali napotitev na vrste osebnih podatkov ne bi ustrezal tej opredelitvi. Poleg tega iz besedila člena 15(3), prvi stavek, te uredbe izhaja, da se obveznost sporočitve nanaša na osebne podatke, ki so predmet zadevne obdelave (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 21).

65

Kopija, ki jo mora upravljavec zagotoviti, mora vsebovati vse osebne podatke, ki se obdelujejo, imeti vse značilnosti, ki posamezniku, na katerega se nanašajo osebni podatki, omogočajo učinkovito uveljavljanje svojih pravic na podlagi navedene uredbe, in zato te podatke v celoti in natančno reproducirati (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točki 32 in 39).

66

Za zagotovitev, da so tako zagotovljene informacije lahko razumljive, kot se zahteva s členom 12(1) SUVP v povezavi z uvodno izjavo 58 te uredbe, se namreč lahko izkaže, da je reprodukcija izvlečkov iz dokumentov ali celo celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo osebne podatke, ki se obdelujejo, nujna, če je za zagotovitev razumljivosti obdelanih podatkov potrebna njihova umestitev v kontekst. Natančneje, kadar se osebni podatki pridobivajo iz drugih podatkov ali kadar taki podatki izhajajo iz neizpolnjenih polj, in sicer kadar manjka navedba, iz katere bi izhajala informacija o posamezniku, na katerega se nanašajo osebni podatki, je okvir, v katerem se ti podatki obdelujejo, nujni element, ki posamezniku, na katerega se nanašajo osebni podatki, omogoča pregleden dostop do teh podatkov in njihovo razumljivo predstavitev (sodba z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točki 41 in 42).

67

Kot je generalni pravobranilec navedel v točkah od 88 do 90 sklepnih predlogov, v obravnavanem primeru dnevniške datoteke, ki vsebujejo informacije, ki jih je zahtevala oseba J. M., ustrezajo evidencam dejavnosti v smislu člena 30 SUVP. Zanje je treba šteti, da spadajo med ukrepe, navedene v uvodni izjavi 74 te uredbe, ki jih izvaja upravljavec, da bi dokazal skladnost dejavnosti obdelave z navedeno uredbo. Člen 30(4) iste uredbe zlasti natančneje določa, da mora biti nadzornemu organu na zahtevo omogočen dostop do teh evidenc.

68

Če te evidence dejavnosti ne vsebujejo nobene informacije, ki se nanaša na določenega ali določljivega posameznika, v smislu sodne prakse, na katero je bilo opozorjeno v točkah 42 in 43 te sodbe, te evidence dejavnosti omogočajo le, da upravljavec izpolni svoje obveznosti v razmerju do nadzornega organa, ki bi zahteval njihovo predložitev.

69

Natančneje v zvezi z dnevniškimi datotekami upravljavca se lahko posredovanje kopije informacij iz teh datotek izkaže za nujno, da bi bila izpolnjena obveznost, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi dostop do vseh informacij iz člena 15(1) SUVP in da se zagotovi poštena in pregledna obdelava, ki tako temu posamezniku omogoča, da v celoti uveljavlja pravice, ki jih ima na podlagi te uredbe.

70

Prvič, take datoteke namreč razkrivajo obstoj obdelave podatkov, kar je informacija, do katere mora imeti posameznik, na katerega se nanašajo osebni podatki, dostop na podlagi člena 15(1) SUVP. Poleg tega je iz njih razvidna pogostost in intenzivnost dejanj vpogleda, ki tako posamezniku, na katerega se nanašajo osebni podatki, omogočajo, da se prepriča, ali je izvedena obdelava dejansko utemeljena z nameni, ki jih je navedel upravljavec.

71

Drugič, te datoteke vsebujejo informacije o identiteti oseb, ki so izvedle dejanja vpogleda.

72

V obravnavanem primeru je iz predložitvene odločbe razvidno, da so osebe, ki so izvedle dejanja vpogleda iz postopka v glavni stvari, zaposleni banke Pankki S, ki so delovali pod njenim vodstvom in v skladu z njenimi navodili.

73

Iz člena 15(1)(c) SUVP sicer izhaja, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da od upravljavca dobi informacije o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, vendar zaposlenih upravljavca ni mogoče šteti za „uporabnike“ v smislu člena 15(1)(c) SUVP, kakor je bilo nanj opozorjeno v točkah 47 in 48 te sodbe, kadar obdelujejo osebne podatke pod vodstvom navedenega upravljavca in v skladu z njegovimi navodili, kot je to generalni pravobranilec navedel v točki 63 sklepnih predlogov.

74

V zvezi s tem je treba poudariti, da lahko v skladu s členom 29 SUVP katera koli oseba, ki ukrepa pod vodstvom upravljavca in ima dostop do osebnih podatkov, te podatke obdeluje le po navodilih navedenega upravljavca.

75

Kljub temu pa bi lahko informacije iz dnevniških datotek o osebah, ki so izvedle vpoglede v osebne podatke posameznika, na katerega se nanašajo osebni podatki, pomenile informacije, ki spadajo med tiste iz člena 4, točka 1, SUVP, kakor je bilo nanje opozorjeno v točki 41 te sodbe, ki bi lahko temu posamezniku omogočile, da preveri zakonitost obdelave, katere predmet so bili njegovi podatki, zlasti da se prepriča, ali so bila dejanja obdelave dejansko izvedena pod vodstvom upravljavca in v skladu z njegovimi navodili.

76

Vendar, prvič, iz predložitvene odločbe izhaja, da informacije iz dnevniških datotek, kot so informacije iz postopka v glavni stvari, omogočajo identifikacijo zaposlenih, ki so izvedli dejanja obdelave in vsebujejo osebne podatke teh zaposlenih v smislu člena 4, točka 1, SUVP.

77

V zvezi s tem je treba opozoriti, da je v zvezi s pravico dostopa iz člena 15 SUVP v uvodni izjavi 63 te uredbe pojasnjeno, da „[t]a pravica ne bi smela negativno vplivati na pravice ali svoboščine drugih“.

78

V skladu s členom 4 SUVP namreč pravica do varstva osebnih podatkov ni absolutna pravica, saj jo je treba obravnavati glede na vlogo, ki jo ima v družbi, in jo uravnotežiti z drugimi temeljnimi pravicami (sodba z dne 16. julija 2020, Facebook Ireland in Schrems, C‑311/18, EU:C:2020:559, točka 172).

79

Tudi če se predpostavi, da je sporočitev informacij o identiteti zaposlenih upravljavca posamezniku, na katerega se nanašajo osebni podatki, za tega posameznika nujna, da se prepriča o zakonitosti obdelave svojih osebnih podatkov, pa lahko ta sporočitev poseže v pravice in svoboščine teh zaposlenih.

80

V teh okoliščinah je treba, če pride do navzkrižja med, na eni strani, uveljavljanjem pravice dostopa, ki zagotavlja polni učinek pravic, ki so s SUVP priznane posamezniku, na katerega se nanašajo osebni podatki, in, na drugi strani, pravicami ali svoboščinami drugih, zadevne pravice in svoboščine uravnotežiti. Kolikor je mogoče, je treba izbrati ureditve, ki ne vplivajo negativno na pravice ali svoboščine drugih, pri čemer je treba upoštevati, da to ne sme „povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij“, kot je to razvidno iz besedila uvodne izjave 63 SUVP (glej v tem smislu sodbo z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 44).

81

Vendar, drugič, iz predložitvene odločbe izhaja, da oseba J. M. ne zahteva, naj se ji sporočijo informacije o identiteti zaposlenih banke Pankki S, ki so izvedli dejanja vpogleda v njene osebne podatke, ker naj dejansko ne bi delovali pod vodstvom in v skladu z navodili upravljavca, temveč očitno dvomi o resničnosti informacij v zvezi z namenom teh vpogledov, ki ji jih je sporočila banka Pankki S.

82

V teh okoliščinah ima posameznik, na katerega se nanašajo osebni podatki, če bi menil, da informacije, ki jih je sporočil upravljavec, ne zadostujejo za odpravo dvomov, ki jih ima glede zakonitosti obdelave, katere predmet so bili njeni osebni podatki, na podlagi člena 77(1) SUVP pravico, da pri nadzornem organu vloži pritožbo, pri čemer je ta organ na podlagi člena 58(1)(a) te uredbe pooblaščen, da od upravljavca zahteva, naj zagotovi vse informacije, ki jih potrebuje za preučitev pritožbe posameznika, na katerega se nanašajo osebni podatki.

83

Iz zgoraj navedenih preudarkov izhaja, da je treba člen 15(1) SUVP razlagati tako, da informacije v zvezi z dejanji vpogleda v osebne podatke posameznika, ki se nanašajo na datume in namene teh dejanj, pomenijo informacije, ki jih ima ta posameznik pravico dobiti od upravljavca na podlagi te določbe. Navedena določba pa ne zajema take pravice v zvezi z informacijami o identiteti zaposlenih navedenega upravljavca, ki so izvedli ta dejanja pod njegovim vodstvom in v skladu z njegovimi navodili, razen če so te informacije nujne za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki so mu podeljene s to uredbo, in se upoštevajo pravice in svoboščine teh zaposlenih.

84

Predložitveno sodišče s tretjim vprašanjem v bistvu sprašuje, ali je okoliščina, da na eni strani upravljavec opravlja regulirano dejavnost bančništva in da je bil na drugi strani posameznik, katerega osebni podatki so bili obdelani v njegovem statusu stranke upravljavca, tudi zaposlen pri tem upravljavcu, upoštevna za opredelitev obsega pravice dostopa, ki je temu posamezniku priznana s členom 15(1) SUVP.

85

Najprej je treba poudariti, da v zvezi s področjem uporabe pravice dostopa iz člena 15(1) SUVP nobena določba te uredbe ne razlikuje glede na naravo dejavnosti upravljavca ali glede na status posameznika, katerega osebni podatki so predmet obdelave.

86

Kar na eni strani zadeva reguliranost dejavnosti banke Pankki S, člen 23 SUVP državam članicam sicer dopušča, da z zakonodajnimi ukrepi omejijo obseg obveznosti in pravic med drugim iz člena 15 te uredbe.

87

Vendar iz predložitvene odločbe ni razvidno, da bi bila dejavnost banke Pankki S predmet take zakonodaje.

88

Kar na drugi strani zadeva okoliščino, da je bila oseba J. M. hkrati stranka banke Pankki S in zaposlena pri tej banki, je treba navesti, da ob upoštevanju ne le ciljev SUVP, ampak tudi obsega pravice dostopa, ki jo ima posameznik, na katerega se nanašajo osebni podatki, kakor je bilo nanje opozorjeno v točkah 49 in od 55 do 59 te sodbe, kontekst, v katerem ta posameznik zahteva dostop do informacij iz člena 15(1) SUVP, nikakor ne more vplivati na obseg te pravice.

89

Zato je treba člen 15(1) SUVP razlagati tako, da okoliščina, da upravljavec opravlja regulirano dejavnost bančništva in da je bil posameznik, katerega osebni podatki so bili obdelani v njegovem statusu stranke upravljavca, tudi zaposlen pri tem upravljavcu, načeloma ne vpliva na obseg pravice, ki jo ima ta posameznik na podlagi te določbe.

90

Ker je ta postopek za stranke v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (prvi senat) razsodilo: