–

za RK D. Sudolská, advokátka,

–

za češko vlado M. Smolek, O. Serdula in J. Vláčil, agenti,

–

za nizozemsko vlado M. K. Bulterman in A. Hanje, agentki,

–

za Evropsko komisijo A. Bouchagiar, H. Kranenborg in P. Ondrůšek, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 2(1) in člena 4, točka 2, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, p. 1, in popravek v UL 2018, L 127, str. 2, v nadaljevanju: SUVP).

2

Ta predlog je bil vložen v okviru spora med osebo RK in Ministerstvo Zdravotnictví (ministrstvo za zdravje, Češka republika, v nadaljevanju: ministrstvo), ker je zadnjenavedeno sprejelo izredni ukrep, ki ureja dostop oseb do nekaterih krajev in dogodkov zaradi zaščite prebivalstva pred širjenjem epidemije covida-19.

3

V skladu z uvodno izjavo 1 SUVP je „[v]arstvo posameznikov pri obdelavi osebnih podatkov […] temeljna pravica. V členu 8(1) Listine Evropske unije o temeljnih pravicah […] in členu 16(1) Pogodbe o delovanju Evropske unije (PDEU) je določeno, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj“.

4

Člen 2 te uredbe, naslovljen „Področje uporabe“, v odstavku 1 določa:

„Ta uredba se uporablja za obdelavo osebnih podatkov, ki se v celoti ali delno izvaja z avtomatiziranimi sredstvi, in za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, ki se ne izvaja z avtomatiziranimi sredstvi.“

5

V odstavku 2 tega člena so našteti štirje primeri, v katerih se SUVP „ne uporablja za obdelavo osebnih podatkov“.

6

Člen 4 navedene uredbe določa:

„V tej uredbi:

[…]“

7

Člena 5 in 6 iste uredbe se nanašata na „[n]ačela v zvezi z obdelavo osebnih podatkov“ in „[z]akonitost obdelave“.

8

V uvodni izjavi 48 Uredbe (EU) 2021/953 Evropskega parlamenta in Sveta z dne 14. junija 2021 o okviru za izdajanje, preverjanje in priznavanje interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19 (digitalno COVID potrdilo EU) za olajšanje prostega gibanja med pandemijo COVID-19 (UL 2021, L 211, str.1) je navedeno:

„Za obdelavo osebnih podatkov pri izvajanju te uredbe se uporablja [SUVP]. Ta uredba vzpostavlja pravno podlago za obdelavo osebnih podatkov v smislu točke (c) člena 6(1) in točke (g) člena 9(2) [SUVP], ki je potrebna za izdajanje in preverjanje interoperabilnih potrdil iz te uredbe. […] Država članica lahko osebne podatke obdela za druge namene, če je pravna podlaga za tovrstno obdelavo, vključno s povezanimi obdobji hrambe, določena v nacionalnem pravu, ki mora biti skladno s pravom Unije o varstvu podatkov ter z načeli učinkovitosti, nujnosti in sorazmernosti ter bi moralo vsebovati določbe, s katerimi bi bili jasno določeni področje uporabe in obseg obdelave, poseben namen, kategorije subjektov, ki lahko preverjajo potrdilo, ter ustrezni zaščitni ukrepi za preprečevanje diskriminacije in zlorab, pri čemer se upošteva tveganja za ogrožanje pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki. […]“

9

Člen 1 te uredbe, naslovljen „Predmet urejanja“, določa:

„Ta uredba določa okvir za izdajanje, preverjanje in priznavanje interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19 (v nadaljnjem besedilu: digitalno COVID potrdilo EU) z namenom, da se imetnikom olajša uveljavljanje pravice do prostega gibanja med pandemijo COVID-19. Ta uredba prispeva tudi k lažji postopni odpravi, na usklajen način, omejitev prostega gibanja, ki so jih v skladu s pravom Unije uvedle države članice za omejitev širjenja SARS-CoV-2.

Določa pravno podlago za obdelavo osebnih podatkov, potrebnih za izdajo takih potrdil, ter za obdelavo informacij, potrebnih za preverjanje in potrditev verodostojnosti in veljavnosti takih potrdil ob doslednem upoštevanju [SUVP].“

10

Člen 3 te uredbe, naslovljen „Digitalno COVID potrdilo EU“, v odstavku 1 določa, da digitalno COVID potrdilo EU omogoča izdajanje, čezmejno preverjanje in priznavanje potrdil o cepljenju, potrdil o testu in potrdil o preboleli bolezni. Poleg tega, v skladu z odstavkom 2 istega člena „[d]ržave članice ali imenovana telesa, ki delujejo v imenu držav članic, potrdila iz odstavka 1 tega člena izdajo v digitalni ali papirni obliki ali v obeh oblikah. Prosilci za potrdilo imajo pravico, da potrdilo prejmejo v obliki, ki jo sami izberejo. Ta potrdila so uporabniku prijazna in vsebujejo interoperabilno črtno kodo, ki omogoča preverjanje njihove verodostojnosti, veljavnosti in celovitosti. Črtna koda mora biti skladna s tehničnimi specifikacijami, določenimi na podlagi člena 9. Informacije, ki jih vsebujejo potrdila, se prikažejo tudi v človeku berljivi obliki in se zagotovijo vsaj v uradnem jeziku ali jezikih države članice izdajateljice in angleščini.“

11

Člen 5(2)(a), člen 6(2)(a) in člen 7(2)(a) navedene uredbe določajo, da potrdilo o cepljenju, potrdilo o testu in potrdilo o preboleli bolezni vsebujejo identiteto imetnika potrdila.

12

Člen 10 iste uredbe, naslovljen „Varstvo osebnih podatkov“, v prvih štirih odstavkih določa:

„1.   Za obdelavo osebnih podatkov v okviru izvajanja te uredbe se uporablja [SUVP].

2.   Za namene te uredbe se osebni podatki na potrdilih, izdanih na podlagi te uredbe, obdelujejo samo za namene dostopa do informacij, vključenih na potrdilu, in njihovega preverjanja, da se olajša uveljavljanje pravice do prostega gibanja v Uniji med pandemijo COVID-19. Po koncu obdobja uporabe te uredbe nadaljnja obdelava podatkov ni več dovoljena.

3.   Osebne podatke, vključene v potrdila iz člena 3(1), obdelajo pristojni organi ciljne ali tranzitne države članice ali izvajalci storitev čezmejnega potniškega prevoza, ki jim nacionalno pravo nalaga izvajanje nekaterih javnozdravstvenih ukrepov med pandemijo COVID-19, in sicer samo za preverjanje in potrditev cepljenja, rezultata testa ali prebolele bolezni imetnika. V ta namen so osebni podatki omejeni na to, kar je nujno potrebno. Osebni podatki, do katerih se dostopa na podlagi tega odstavka, se ne hranijo.

4.   Osebnih podatkov, ki se obdelujejo za namen izdaje potrdil iz člena 3(1), vključno z izdajo novega potrdila, izdajatelj ne hrani dlje, kot je nujno potrebno za ta namen, in v nobenem primeru ne dlje kot obdobje, za katero se lahko potrdila uporabijo za uveljavljanje pravice do prostega gibanja.“

13

Ministrstvo je z izrednim ukrepom z dne 29. decembra 2021 (v nadaljevanju: izredni ukrep), ki je bil sprejet zaradi zaščite prebivalstva pred širjenjem pandemije covida‑19, določilo različne pogoje, ki jih morajo od 3. januarja 2022 osebe izpolnjevati za dostop do nekaterih notranjih in zunanjih prostorov ter za sodelovanje na množičnih prireditvah ali drugih dejavnostih. Tako se je zlasti zahteval, prvič – za osebe, mlajše od 18 let, za osebe, ki se zaradi kontraindikacij niso smele cepiti proti covidu-19, in za osebe, ki niso bile polno cepljene – negativni test RT-PCR za odkrivanje prisotnosti virusa SARS-CoV-2, ki ni starejši od 72 ur; drugič, potek vsaj 14 dni od polnega cepljenja z odobrenim zdravilom ali, tretjič, okužba s covidom-19, ki jo je potrdil laboratorij, če je poteklo obdobje izolacije in od prvega pozitivnega testa ni preteklo več kot 180 dni (v nadaljevanju: tako imenovani pogoji „neokuženosti“).

14

Z izrednim ukrepom se je zahtevalo, da stranke (gledalci, udeleženci) dokažejo, da te pogoje izpolnjujejo, upravljavcem (organizatorjem) pa je bilo naloženo, da z mobilno aplikacijo ministrstva, imenovano „čTečka“, preverjajo njihovo izpolnjevanje. Če stranka ni dokazala, da navedene pogoje izpolnjuje, ji upravljavec ni smel ponuditi storitve in omogočiti dostopa do prostora ali prireditve. V skladu z izrednim ukrepom je ta aplikacija zagotavljala zanesljivo preverjanje pristnosti in veljavnosti predloženega potrdila, ki vsebuje QR‑kodo.

15

Nejvyšší správní soud (vrhovno upravno sodišče, Češka republika), ki je predložitveno sodišče, meni, da je treba za odločitev o tožbi za razglasitev ničnosti izrednega ukrepa, ki jo je 20. januarja 2022 vložila oseba RK, najprej preučiti, ali preverjanje izpolnjevanja tako imenovanih pogojev „neokuženosti“ z aplikacijo „čTečka“ pomeni avtomatizirano „obdelavo“ osebnih podatkov v smislu člena 4, točka 2, GDPR, pri čemer šteje, da so podatki v digitalnih potrdilih EU osebni podatki v smislu člena 4, točka 1, te uredbe. Če je odgovor pritrdilen, naj bi se navedena uredba v skladu s svojim členom 2(1) uporabljala.

16

Predložitveno sodišče pojasnjuje, da aplikacija „čTečka“ omogoča nadzor in preverjanje veljavnosti digitalnih COVID potrdil EU, izdanih na podlagi Uredbe 2021/953. S to aplikacijo se QR‑koda potrdila skenira s kamero mobilnega telefona osebe, ki izvaja preverjanje. Tej osebi se nato prikažejo osnovni identifikacijski podatki imetnika potrdila (priimek, ime in datum rojstva) ter status – veljavnost oziroma neveljavnost – tega potrdila. S klikom na določeno polje aplikacije ima oseba, ki izvaja preverjanje, dostop do vseh informacij, vsebovanih v potrdilu, kot so cepljenost, vrsta cepiva, proizvajalec cepiva, število prejetih odmerkov, datum cepljenja, datum prvega pozitivnega rezultata in izdajatelj potrdila. Aplikacija „čTečka“ te podatke zgolj začasno prikaže na zaslonu mobilnega telefona osebe, ki izvaja preverjanje, tako da se navedeni podatki nikamor ne shranjujejo ali prenašajo.

17

To sodišče navaja, da ta aplikacija za preverjanje veljavnosti digitalnega COVID potrdila EU enkrat na 24 ur ali na zahtevo z vmesnika ministrstva prenese javne ključe potrdil držav članic in pravila glede veljavnosti potrdil, ki veljajo v državah članicah. Ta postopek lahko poteka tudi brez povezave. Med namestitvijo aplikacije na mobilni telefon osebe, ki izvaja preverjanje, se pojavi obvestilo, da se „aplikacija čTečka […] uporablja v skladu s pravom Unije in pravom Češke republike ter olajšuje prosto gibanje oseb ter dostop do storitev in prireditev med pandemijo covida‑19. Aplikacija obdeluje osebne podatke imetnikov digitalnih COVID potrdil držav članic Unije zaradi njihovega preverjanja s strani oseb, ki so za to pooblaščene na podlagi uredbe Unije, izrednih ukrepov [ministrstva] ali na prostovoljni bazi. Aplikacija osebnih podatkov o zdravstvenem stanju preverjanih oseb ne hrani in jih nikamor ne pošilja. Podrobne informacije o obdelavi osebnih podatkov so na voljo v pogojih uporabe.“

18

Predložitveno sodišče poleg tega navaja, da mora potrdilo, ki ga izda država članica, v skladu s členom 3(2) Uredbe 2021/953 vsebovati interoperabilno črtno kodo, ki omogoča preverjanje njegove verodostojnosti, veljavnosti in celovitosti. Navaja, da pretvorba osebnih podatkov, navedenih v točki 15 te sodbe, iz strojno berljive oblike v človeku berljivo obliko poteka po avtomatiziranem postopku, to je z aplikacijo „čTečka“, kar bi lahko pomenilo obdelavo osebnih podatkov v smislu člena 4, točka 2, GDPR.

19

Vendar predložitveno sodišče dvomi, da ta preprosti postopek pretvorbe in prikaz teh podatkov na mobilnem telefonu pomenita „obdelavo“ v smislu te določbe, zlasti ker ta postopka ne moreta privesti do zlorabe ali izkoriščanja osebnih podatkov niti ne posegata v pravico do varstva teh podatkov, saj aplikacija tako pridobljenih podatkov nikamor ne prenese.

20

Predložitveno sodišče poleg tega meni, da bi preverjanje veljavnosti potrdila z aplikacijo „čTečka“ lahko pomenilo tudi obdelavo osebnih podatkov, saj to dejanje privede do uporabe osebnih podatkov, ki so vsebovani v tem potrdilu in se nanašajo na zdravstveno stanje osebe, ki se preverja. Namreč, da bi se lahko preverilo, ali je potrdilo veljavno, in ugotovilo, ali zadevna oseba izpolnjuje tako imenovane pogoje „neokuženosti“, določene z izrednim ukrepom, mora aplikacija podatke o zdravstvenem stanju te osebe, kot je datum cepljenja, nujno primerjati s takrat veljavnimi pravili glede veljavnosti potrdil.

21

Nazadnje, to sodišče meni, da bi kombinacija postopkov, ki potekajo med preverjanjem potrdil z aplikacijo „čTečka“, in sicer pretvorba osebnih podatkov, pridobljenih s QR‑kodo, v človeku berljivo obliko, prikazovanje teh podatkov na mobilnem telefonu, vpogled v te podatke s strani osebe, ki opravlja preverjanje, in preverjanje veljavnosti potrdila s to aplikacijo s primerjavo osebnih podatkov o zdravstvenem stanju s pravili glede veljavnosti potrdil, lahko pomenila obdelavo osebnih podatkov. Čeprav ta dejanja, vsako zase, morda ne pomenijo obdelave v smislu člena 4, točka 2, SUVP, pa bi njihovo kombiniranje lahko privedlo do te opredelitve.

22

V zvezi s tem to sodišče navaja, da člen 10(1) in (3) Uredbe 2021/953 izrecno določa, da se za namene uresničevanja pravice do prostega gibanja v Uniji za obdelavo osebnih podatkov, vključenih v digitalna COVID potrdila EU, uporablja SUVP. Poleg tega naj bi moral v skladu z uvodno izjavo 48 Uredbe 2021/953 za obdelavo osebnih podatkov, vsebovanih v potrdilih, veljati enoten pravni režim.

23

V teh okoliščinah je Nejvyšší správní soud (vrhovno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

„Ali gre pri preverjanju veljavnosti interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19, izdanih v skladu z Uredbo [2021/953], ki jih Češka republika uporablja za nacionalne namene, z nacionalno aplikacijo ‚čTečka‘ za obdelavo osebnih podatkov z avtomatiziranimi sredstvi v smislu člena 4, točka 2, [SUVP], tako da ta dejavnost v skladu s členom 2(1) [zadnjenavedene uredbe] spada na stvarno področje uporabe te uredbe?“

24

Predložitveno sodišče z vprašanjem v bistvu sprašuje, ali je treba pojem „obdelava“ osebnih podatkov iz člena 4, točka 2, SUVP razlagati tako, da vključuje preverjanje – z nacionalno mobilno aplikacijo – veljavnosti interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID‑19, izdanih v skladu z Uredbo 2021/953, ki jih država članica uporablja za nacionalne namene.

25

Ni sporno, da več informacij, do katerih ima oseba, ki izvaja preverjanje, dostop med preverjanjem veljavnosti digitalnega COVID potrdila EU, kot so te, navedene v točki 16 te sodbe, pomeni „osebne podatke“ v smislu člena 4, točka 1, SUVP. Iz te določbe namreč izhaja, da pojem „osebni podatek“ pomeni „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“ in da lahko ta identifikacija izhaja zlasti iz uporabe imena posameznika, na katerega se nanašajo osebni podatki.

26

V zvezi z zadnjenavedenim zadostuje ugotoviti, da člen 5(2)(a), člen 6(2)(a) in člen 7(2)(a) Uredbe 2021/953 določajo, da potrdilo o cepljenju, potrdilo o testu in potrdilo o preboleli bolezni vsebujejo identiteto imetnika potrdila.

27

Po tem pojasnilu je treba navesti, da je v členu 4, točka 2, SUVP pojem „obdelava“ opredeljen kot „vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih“. V neizčrpnem seznamu, uvedenem z besedno zvezo „kot je“, sta v tej določbi kot primera obdelave navedena vpogled v osebne podatke in njihova uporaba. Tako je iz besedila navedene določbe, zlasti iz izraza „vsako dejanje“, razvidno, da je zakonodajalec Unije pojmu „obdelava“ želel dati širok obseg (glej v tem smislu sodbo z dne 24. februarja 2022, Valsts ieņēmumu dienests (Obdelava osebnih podatkov za davčne namene) (C‑175/20, EU:C:2022:124, točka 35).

28

Ta široka razlaga pojmov „osebni podatki“ in „obdelava“ je v skladu s ciljem zagotavljanja učinkovitosti temeljne pravice varstva posameznikov pri obdelavi osebnih podatkov, navedenim v uvodni izjavi 1 Splošne uredbe o varstvu podatkov, ki predstavlja podlago za uporabo te uredbe.

29

V obravnavanem primeru pa nacionalna mobilna aplikacija, kot je aplikacija „čTečka“, skenira QR‑kodo na digitalnem COVID potrdilu EU, da se osebni podatki, ki jih ta koda vsebuje, pretvorijo v obliko, ki jo lahko oseba, ki preverja veljavnost tega potrdila, prebere. S tem taka aplikacija osebi, ki izvaja preverjanje, omogoči, da po avtomatiziranem postopku, in sicer skeniranju osebnih podatkov, vpogleda v osebne podatke in na njihovi podlagi oceni, ali je položaj posameznika, na katerega se nanašajo osebni podatki, skladen s pravili glede veljavnosti potrdil, to je z veljavnimi zdravstvenimi zahtevami. Tudi rezultat te ocene je avtomatiziran, saj se, če so izpolnjene zdravstvene zahteve, na mobilnem telefonu nadzornika prikaže zelena kljukica, če niso, pa rdeči križec.

30

Zato je treba šteti, da preverjanje veljavnosti interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19, izdanih v skladu z Uredbo 2021/953, z aplikacijo „čTečka“ pomeni „obdelavo“ v smislu člena 4, točka 2, SUVP in v skladu s členom 2(1) te uredbe spada na stvarno področje uporabe te uredbe.

31

Razlago iz točke 30 te sodbe podpira Uredba 2021/953, ki določa, da uporaba digitalnega COVID potrdila EU pomeni obdelavo v smislu člena 4, točka 2, GDPR. Člen 1, drugi odstavek, Uredbe 2021/953 namreč določa, da ta uredba „določa pravno podlago za obdelavo osebnih podatkov, potrebnih za izdajo takih potrdil, ter za obdelavo informacij, potrebnih za preverjanje in potrditev verodostojnosti in veljavnosti takih potrdil ob doslednem upoštevanju [SUVP]“. Poleg tega iz uvodne izjave 48 Uredbe 2021/953 izhaja, na eni strani, da se za obdelavo osebnih podatkov pri izvajanju te uredbe uporablja SUVP, in na drugi strani, da ta uredba vzpostavlja pravno podlago za obdelavo osebnih podatkov v smislu člena 6(1)(c) in člena 9(2)(g) SUVP, ki je potrebna za izdajanje in preverjanje interoperabilnih potrdil iz Uredbe 2021/953. Člen 10(1) te uredbe potrjuje tudi, da se SUVP uporablja za obdelavo osebnih podatkov v okviru izvajanja Uredbe 2021/953.

32

Zato bo moralo predložitveno sodišče preveriti, na eni strani, ali je obdelava, uvedena z izrednim ukrepom, skladna z načeli v zvezi z obdelavo podatkov iz člena 5 SUVP in, na drugi strani, ali ta obdelava ustreza enemu od pogojev za zakonitost obdelave, ki so našteti v členu 6 te uredbe (glej zlasti sodbi z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 96, in z dne 4. maja 2023, Bundesrepublik Deutschland, C‑60/22, EU:C:2023:373, točka 57).

33

Glede na navedeno je treba pojem „obdelava“ osebnih podatkov iz člena 4, točka 2, SUVP razlagati tako, da vključuje preverjanje – z nacionalno mobilno aplikacijo – veljavnosti interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19, izdanih na podlagi Uredbe 2021/953, ki jih država članica uporablja za nacionalne namene.

34

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (osmi senat) razsodilo:

Pojem „obdelava“ osebnih podatkov iz člena 4, točka 2, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)

je treba razlagati tako, da

vključuje preverjanje – z nacionalno mobilno aplikacijo – veljavnosti interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19, izdanih na podlagi Uredbe (EU) 2021/953 Evropskega parlamenta in Sveta z dne 14. junija 2021 o okviru za izdajanje, preverjanje in priznavanje interoperabilnih potrdil o cepljenju, testu in preboleli bolezni v zvezi s COVID-19 (digitalno COVID potrdilo EU) za olajšanje prostega gibanja med pandemijo COVID-19, ki jih država članica uporablja za nacionalne namene.