1

Tožeča stranka, Data Protection Commission, irski nadzorni organ na področju varstva osebnih podatkov, s tožbami na podlagi člena 263 PDEU predlaga razglasitev delne ničnosti zavezujočih odločitev Evropskega odbora za varstvo podatkov (v nadaljevanju: EOVP) 3/2022, 4/2022 in 5/2022 z dne 5. decembra 2022 v zvezi s spori med zadevnimi nadzornimi organi, ki izhajajo iz osnutkov odločitev tožeče stranke v zvezi z družbenim omrežjem Facebook, družbenim omrežjem Instagram in storitvijo za pošiljanje sporočil WhatsApp v delu, v katerem ji je s temi zavezujočimi odločitvami naloženo, naj izvede nove preiskave o obdelavah podatkov, povezanih z uporabo teh aplikacij, in na tej podlagi pripravi dopolnilne osnutke odločitev.

6

Tožeča stranka je po izmenjavi dopisov z drugimi zadevnimi nadzornimi organi ugotovila, da glede ugovorov, podanih v zvezi z njenimi osnutki odločitev, ni soglasja, in je v skladu s členom 60(4) Uredbe 2016/679 v okviru mehanizma za skladnost, vzpostavljenega s to uredbo, zadevo predložila EOVP.

7

EOVP je po preučitvi treh spisov 5. decembra 2022 na podlagi člena 65(1)(a) Uredbe 2016/679 sprejel zavezujoče odločitve 3/2022, 4/2022 in 5/2022. EOVP je v teh treh zavezujočih odločitvah najprej ugotovil, da je večina ugovorov zoper osnutke odločitev tožeče stranke ustreznih in utemeljenih v smislu člena 4, točka 24, Uredbe 2016/679 ter da lahko zavzame stališče o vprašanjih, na katera se nanašajo. V zvezi s tem je EOVP vsebinsko odobril več ugovorov, za katere je ugotovil, da so ustrezni in utemeljeni.

[…]

15

Tožeča stranka Splošnemu sodišču predlaga, naj:

16

EOVP v vseh treh zadevah Splošnemu sodišču predlaga, naj:

17

Tožeča stranka v vseh treh zadevah navaja en sam tožbeni razlog, ki se nanaša na to, da naj bi EOVP prekoračil pristojnost, ki mu je dana s členom 65(1)(a) Uredbe 2016/679, ker ji je v vsaki od zadevnih zavezujočih odločitev naložil, prvič, naj opravi novo preiskavo v zvezi z vidiki, ki še niso bili preučeni, in drugič, naj v skladu s členom 60(3) iste uredbe predloži osnutek dopolnilne odločitve na podlagi izidov te nove preiskave.

[…]

29

Po tem pojasnilu je treba opozoriti, da iz ustaljene sodne prakse izhaja, da je treba pri razlagi določbe prava Unije načeloma upoštevati ne le njeno besedilo, ampak tudi njen kontekst in cilje, ki jim sledi ureditev, katere del je (glej v tem smislu sodbo z dne 29. novembra 2018, Mensing, C‑264/17, EU:C:2018:968, točka 24 in navedena sodna praksa). V obravnavani zadevi nekatere trditve tožeče stranke izhajajo tudi iz preudarkov ali načel, ki segajo prek same Uredbe 2016/679. Splošno sodišče bo torej o obsegu pristojnosti EOVP odločilo na podlagi člena 65(1)(a) Uredbe 2016/679, tako da bo, kolikor bo potrebno, najprej preučilo trditve, ki jih je tožeča stranka navedla v okviru jezikovne, kontekstualne, teleološke in zgodovinske analize te uredbe, nato pa trditve, ki se nanašajo na pogoje za podelitev pristojnosti organu Unije, značilnosti sodnega nadzora na nacionalni ravni in neodvisnost nadzornih organov, pristojnih za varstvo osebnih podatkov.

30

Tožeča stranka se opira na besedilo člena 65(1)(a), člena 65(6) in člena 4, točka 24, Uredbe 2016/679, da bi utemeljila, da EOVP ni pristojen, da vodilnemu nadzornemu organu v zavezujoči odločitvi, sprejeti na podlagi prve od teh določb, naloži, naj razširi svojo preiskavo in predloži nov osnutek odločitve, pri pripravi katerega upošteva ugotovitve iz tega dopolnilnega dela preiskave. V tem smislu se sklicuje tudi na uvodni izjavi 126 in 136 te uredbe.

31

Člen 65(1)(a) Uredbe št. 2016/679 določa:

„Da se zagotovi pravilna in dosledna uporaba te uredbe v posameznih primerih, [EOVP] sprejme zavezujočo odločitev […] kadar je […] zadevni nadzorni organ dal ustrezen in utemeljen ugovor osnutku odločitve vodilnega nadzornega organa ter se vodilni nadzorni organ z ugovorom ni strinjal ali je tak ugovor zavrnil kot neustrezen ali neutemeljen. Zavezujoča odločitev velja za vse zadeve, na katere se nanaša ustrezen in utemeljen ugovor, zlasti kadar gre za kršitev te uredbe.“

32

V členu 4, točka 24, Uredbe 2016/679 je ustrezen in utemeljen ugovor opredeljen tako:

„‚ustrezen in utemeljen ugovor‘ pomeni ugovor osnutku odločitve glede tega, ali je bila uredba kršena, oziroma glede tega, ali je predvideno ukrepanje v zvezi z upravljavcem ali obdelovalcem v skladu s to uredbo, kar [ki] jasno navede pomen tveganja, ki ga predstavlja osnutek odločitve, kar zadeva temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, in – kjer je to ustrezno – prosti pretok osebnih podatkov v Uniji.“

33

Člen 65(6) Uredbe 2016/679 zlasti določa:

„Vodilni nadzorni organ oziroma nadzorni organ, pri katerem je bila vložena pritožba, končno odločitev sprejme na podlagi odločitve iz odstavka 1 tega člena, brez nepotrebnega odlašanja in najpozneje en mesec po uradnem posredovanju odločitve [EOVP]. […] Končna odločitev zadevnih nadzornih organov se sprejme pod pogoji iz člena 60(7), (8) in (9). Končna odločitev se nanaša na odločitev iz odstavka 1 tega člena, v njej pa je navedeno, da se odločitev iz odstavka 1 objavi na spletnem mestu [EOVP] v skladu z odstavkom 5 tega člena. Končni odločitvi je priložena odločitev iz odstavka 1 tega člena.“

34

Po navedbah tožeče stranke tri določbe, navedene zgoraj v točkah od 31 do 33, obseg zavezujoče odločitve EOVP, sprejete na podlagi člena 65(1)(a) Uredbe 2016/679, omejujejo na razsežnost analiz, opravljenih za pripravo osnutka odločitve vodilnega nadzornega organa, posredovanega drugim nadzornim organom, ki jih spis zadeva. Taka zavezujoča odločitev naj bi bila namreč lahko sprejeta le na podlagi ustreznega in utemeljenega ugovora, ki bi se moral nanašati na vsebino osnutka odločitve, in ne na to, kar v tem osnutku ni navedeno. Pravni učinek zavezujoče odločitve naj bi bil omejen na spremembe, ki jih mora pristojni nadzorni organ v skladu s členom 65(6) iste uredbe glede na to, kar je navedeno v osnutku odločitve, vnesti v končno odločitev v enem mesecu po uradnem obvestilu o tej odločitvi. Zavezujoča odločitev naj bi se tako lahko nanašala le na pravilno razlago Uredbe 2016/679 glede na to, kar je navedeno v osnutku odločitve vodilnega nadzornega organa, zadevne določbe pa naj EOVP ne bi dajale nikakršne pristojnosti, da temu organu da navodila v zvezi z drugim vprašanjem, na primer, da od njega zahteva, naj opravi preiskavo ali predloži nov osnutek odločitve.

35

Vendar je ta razlaga glede na besedilo določb, navedenih v točkah od 31 do 33 zgoraj, ozka. Opozoriti je namreč treba, da je v členu 4, točka 24, Uredbe 2016/679 s pojmom „ustrezen in utemeljen ugovor“ zajet „ugovor osnutku odločitve glede tega, ali je bila uredba kršena, […] [ki] jasno navede pomen tveganja, ki ga predstavlja osnutek odločitve, kar zadeva temeljne pravice in svoboščine posameznikov“. Čeprav člen 65(1)(a) Uredbe 2016/679 določa, da zavezujoča odločitev, sprejeta na tej podlagi, „velja za vse zadeve, na katere se nanaša ustrezen in utemeljen ugovor“, pa nič ne preprečuje, da bi se tak ugovor nanašal na to, da v tem osnutku odločitve vodilnega nadzornega organa ni bil ali ni bil zadosti analiziran vidik spisa, kar preprečuje, da bi se ugotovilo, ali je bila navedena uredba v zvezi s tem vidikom kršena ali ne. Izraz „ugovor osnutku odločitve“ v nasprotju s tem, kar trdi tožeča stranka, ni omejen na ugovore na ugotovitve iz osnutka odločitve. Ker se mora zavezujoča odločitev EOVP nanašati na vsa vprašanja, ki so predmet ustreznih in utemeljenih ugovorov, torej nič ne preprečuje, da EOVP, kadar sprejme ustrezen in obrazložen ugovor v zvezi s takim neobstojem ali nezadostnostjo analize, v taki odločitvi vodilnemu nadzornemu organu odredi, naj ti pomanjkljivosti analize popravi in, če je to potrebno glede na spis, ki ga ima EOVP, za dosego tega poglobi ali razširi preiskavo, ki je bila opravljena do tedaj. Če se namreč izkaže, da spis ne zadostuje za celostno izvedbo zahtevane analize, mora to privesti do tega, da lahko EOVP vodilnemu nadzornemu organu naloži dopolnitev preiskave.

36

Ugotoviti je treba tudi, da besedilo treh določb, navedenih v točkah od 31 do 33 zgoraj, če se obravnavajo skupaj, obsega zavezujoče odločitve ne omejuje zgolj na neposredne spremembe, ki jih je treba vnesti v osnutek odločitve, ki ga je pripravil vodilni nadzorni organ za sprejetje končne odločitve pod pogoji, določenimi v členu 65(6) Uredbe 2016/679, to je zgolj na spremembe, ki se nanašajo na vsebino osnutka odločitve, in ne na to, česar v njem ni navedenega. V zvezi s tem je v nasprotju s tem, kar trdi tožeča stranka, namen zadnjenavedene določbe le pojasniti pogoje sprejetja končne odločitve, kadar lahko ta neposredno sledi zavezujoči odločitvi EOVP, zlasti kadar ni potrebe po nadaljevanju preiskave ali obširnejši oziroma temeljitejši analizi nekaterih vidikov spisa. Navedena določba ni določba, ki bi se nanašala na mogočo vsebino zavezujoče odločitve, saj je ta določena s pravno podlago, na kateri je ta odločitev sprejeta, v obravnavani zadevi s členom 65(1)(a) Uredbe 2016/679, ki ga je treba v zvezi z opredelitvijo pojma „ustrezen in utemeljen ugovor“ razlagati v povezavi s členom 4, točka 24, te uredbe. Glede tega je treba poudariti, da člen 65(1) Uredbe 2016/679 določa različne vrste zavezujočih odločitev EOVP, ki ne povzročijo neizbežno poznejšega in takojšnjega sprejetja končne odločitve nadzornega organa.

[…]

38

Jezikovne analize, navedene v točkah 35 in 36 zgoraj, treh določb, navedenih v točkah od 31 do 33 zgoraj, v nasprotju s tem, kar trdi tožeča stranka, ni mogoče ovreči z besedilom uvodnih izjav 126 in 136 Uredbe 2016/679. Zakonodajalec namreč v prvi od teh uvodnih izjav s tem, da navaja, da bi se „[o] odločitvi […] morali skupaj dogovoriti vodilni nadzorni organ in zadevni nadzorni organi“, s polja presoje zadevnih nadzornih organov, ki niso vodilni nadzorni organ, nikakor ne izvzema vprašanja obsega analize, ki ga mora taka odločitev v posameznem primeru zajemati, temveč ravno nasprotno, saj „odločitve“ ne določa le presoja, ki je v njej navedena, ampak tudi obseg vidikov, na katere se nanaša. Zato besedilo te uvodne izjave ne izključuje možnosti, da lahko ta organ, kadar se o tem zadevni nadzorni organi ne strinjajo in se zato obrnejo na EOVP, naloži razširitev analize in, če je to potrebno, tudi preiskave. Podobno je v uvodni izjavi 136 Uredbe 2016/679 navedeno, da „bi moral [EOVP] izdajati pravno zavezujoče odločitve v jasno določenih primerih, ko pride med nadzornimi organi, zlasti v mehanizmu sodelovanja med vodilnim nadzornim organom in zadevnimi nadzornimi organi, do nasprotujočih si stališč glede vsebine zadeve, predvsem glede tega, ali je bila uredba kršena“. V nasprotju s tem, kar trdi tožeča stranka, obseg preiskave ne spada v okvir postopkovnega vidika, temveč v okvir vidika vsebine spisa, saj določa razsežnost tega, kar je treba preučiti, da bi se lahko ocenilo, ali so zadevna obdelava oziroma obdelave podatkov v skladu z Uredbo 2016/679.

39

V zvezi s tem je mogoče že zdaj zavrniti drugo trditev tožeče stranke, da bi razlaga pojma „ustrezen in utemeljen ugovor“, podana v točki 35 zgoraj, EOVP dala možnost, da vodilnemu nadzornemu organu da navodila v zvezi z vsemi pristojnostmi, ki jih ima ta organ, pod edinim pogojem, da se vprašanje, ki ga postavi zadevni nadzorni organ, opredeli kot ustrezen in utemeljen ugovor v tako sprejetem smislu. Kot je navedeno v členu 4, točka 24, Uredbe 2016/679, se lahko ustrezen in utemeljen ugovor zoper osnutek odločitve vodilnega nadzornega organa nanaša le na vidik, povezan z vprašanjem, ali je ta uredba spoštovana oziroma ali so predvideni popravljalni ukrepi, določeni v zvezi z upravljavcem ali obdelovalcem, v skladu z njo. Tak ugovor se torej lahko nanaša le na vsebino spisa in na končne pristojnosti za odločanje vodilnega nadzornega organa, določene zlasti v členu 58(2) iste uredbe, ki prav tako spadajo v okvir vsebine. Zato se tak ugovor ne more nanašati na izvedbo preiskave v pravem pomenu besede (v nasprotju z obsegom preiskave), ki temelji na preiskovalnih pooblastilih nadzornih organov iz člena 58(1) Uredbe 2016/679.

40

Jezikovna analiza člena 65(1)(a) Uredbe 2016/679, opravljena ob upoštevanju besedila člena 4, točka 24, člena 65(6) ter uvodnih izjav 126 in 136 te uredbe torej podpira pristojnost EOVP za sprejetje določil, kot so izpodbijana določila, ki tožeči stranki nalagajo, naj opravi novo preiskavo nekaterih vidikov zadevnih spisov in nato v zvezi s tem sprejme nove osnutke odločitev. Preučiti je treba, ali trditve, ki jih je tožeča stranka navedla v okviru svoje kontekstualne in teleološke razlage Uredbe 2016/679, nasprotujejo izidom te prve analize.

[…]

43

V zvezi s tem v nasprotju s tem, kar trdi tožeča stranka, postopek sodelovanja med zadevnimi nadzornimi organi, opisan v členu 60 Uredbe 2016/679, ki lahko vključuje sprožitev mehanizma za skladnost, ki ga zagotavlja EOVP in ki je določen v odstavku 4, ni „enosmerni“ postopek, v katerem bi faze vedno sledile vrstnemu redu določb, ki jih določajo, brez možnosti vrnitve v prejšnjo fazo ali začasne ohranitve v isti fazi. Tako se na primer izhajajoč iz položaja, ki ga navaja tožeča stranka, urejenega v odstavku 5, v katerem je vodilni nadzorni organ nameraval upoštevati ugovore drugih zadevnih nadzornih organov v zvezi z osnutkom odločitve, predložene na podlagi odstavka 3, in v katerem je vodilni nadzorni organ tem organom predložil spremenjen osnutek odločitve, postopek lahko razvija na več načinov. Če ti organi spremenjenemu osnutku ne nasprotujejo, se neposredno sprejme končna odločitev oziroma se sprejmejo končne odločitve v skladu z odstavki od 6 do 9. V nasprotnem primeru, kadar se spremenjenemu osnutku nasprotuje in če vodilni nadzorni organ te ugovore v celoti ali deloma sprejme, se ponovno izvaja faza iz odstavka 5, vodilni nadzorni organ pa mora predložiti nov spremenjeni osnutek, upoštevajoč ugovore, ki jih je sprejel. Če vodilni nadzorni organ ne sprejme nekaterih ali vseh ugovorov na spremenjeni osnutek, mora v skladu z odstavkom 4 sprožiti mehanizem za skladnost, tako da zadevo predloži EOVP na podlagi najnovejšega spremenjenega osnutka odločitve.

44

EOVP v odgovoru na tožbo navaja še en primer, ki ponazarja, da postopek sodelovanja med zadevnimi nadzornimi organi, določen v členu 60 Uredbe 2016/679, ni nujno „enosmeren“. Potem ko drugi zadevni nadzorni organi navedejo ugovore glede osnutka odločitve, predloženega na podlagi odstavka 3 tega člena, lahko vodilni nadzorni organ sam ugotovi, da bi se bilo treba, namesto da bi takoj predložil spremenjeni osnutek odločitve ali sprožil mehanizem za skladnost, vrniti nazaj in poglobiti preučitev, preden bo ponovno predložil osnutek odločitve na podlagi istega odstavka 3. EOVP navaja, da je francoski nadzorni organ to storil v eni od zadev.

45

Prav tako je v primeru posredovanja EOVP na podlagi odstavka 4 istega člena in sprejetja zavezujoče odločitve mogočih več potekov. Če so bili vsi pomembni vidiki zadeve ustrezno obravnavani v osnutku odločitve vodilnega nadzornega organa, lahko vodilni nadzorni organ ali, glede na primer, nadzorni organ, pri katerem je bila vložena pritožba, v skladu z odstavki od 6 do 9 istega člena sprejme končno odločitev, s katero se primer zaključi, pri čemer upošteva zlasti zavezujočo odločitev EOVP. Če pa se, nasprotno, v zavezujoči odločitvi EOVP na podlagi ugovorov, vloženih v zvezi s tem, ugotovi, da osnutek odločitve vodilnega nadzornega organa ne obravnava ali ne obravnava zadostno vseh pomembnih vidikov primera in da je zato morebiti potrebna ponovna uvedba preiskave, lahko vodilni nadzorni organ ali nadzorni organ, pri katerem je bil vložen ugovor, sprejme eno ali več delnih končnih odločitev, vodilni nadzorni organ pa mora vzporedno s tem na podlagi zgoraj navedenih določb dopolniti svojo analizo, po potrebi po izvedbi nove preiskave, da bi v skladu z odstavkom 3 istega člena drugim zadevnim nadzornim organom predložil osnutek dopolnilne odločitve.

46

Tožeča stranka v okviru kontekstualne razlage navaja še eno trditev, in sicer, da člen 57(1)(f) Uredbe 2016/679, v katerem je navedeno, da nadzorni organ obravnava pritožbe in preuči njihovo vsebino v ustreznem obsegu, v povezavi z uvodno izjavo 141 te uredbe dokazuje, da obseg preiskave, ki se izvede na podlagi pritožbe, spada v okvir presoje nacionalnih nadzornih organov, v katero lahko poseže edinole nacionalni sodni nadzor.

47

V uvodni izjavi 141 Uredbe 2016/679 je med drugim navedeno:

„Vsak posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico, da vloži pritožbo pri enem nadzornem organu, zlasti v državi članici svojega običajnega prebivališča, in pravico do učinkovitega pravnega sredstva […], kadar meni, da so njegove pravice iz te uredbe kršene, ali če nadzorni organ ne obravnava pritožbe, jo v celoti ali deloma zavrže ali zavrne ali ne ukrepa, kadar je tak ukrep potreben za zaščito pravic posameznika, na katerega se nanašajo osebni podatki. Preiskavo na podlagi pritožbe bi bilo treba izvesti v obsegu, ki je v posamezni zadevi ustrezen, saj je lahko odločitev nadzornega organa predmet sodne presoje. […]“

48

Vendar člen 57(1)(f) Uredbe 2016/679 in preudarki, na katere se sklicuje tožeča stranka, ne vodijo do tega, da bi se vprašanje, ali je obseg preiskave ustrezen, izvzelo iz mehanizmov sodelovanja med zadevnimi nadzornimi organi in spremljanja skladnosti, ki ga opravlja EOVP.

49

Člen 57 Uredbe 2016/679, ki se nanaša na celoto nalog nadzornih organov, namreč kot prvo nalogo v odstavku 1(a) določa, da ti organi spremljajo in zagotavljajo uporabo te uredbe. Tako v nasprotju s tem, kar je tožeča stranka v bistvu navedla na obravnavi, analiza pogojev, pod katerimi se izvaja obdelava osebnih podatkov, in skladnosti te obravnave s to uredbo ne sme biti omejena na to, kar je navedeno v pritožnikovi pritožbi.

50

Predvsem je za celovito zagotavljanje nalog iz člena 57(1)(a) in (f) Uredbe 2016/679, to je zagotavljanje uporabe te uredbe in obravnavanje pritožb v ustreznem obsegu, potrebno, da se ohrani ustrezen obseg analize spisa glede na pritožbo, iz katere izvira, pa tudi glede na druge elemente, ki ga lahko dopolnijo. Ker je zadevna obdelava osebnih podatkov čezmejna, mora ta analiza voditi do sprejetja odločitev, ki so predmet postopka sodelovanja iz člena 60 te uredbe. V okviru tega postopka je merilo, ki ga je treba izpolniti, da je lahko vprašanje predmet zavezujoče odločitve EOVP, sprejete na podlagi člena 65(1)(a) navedene uredbe, to, da je bil v zvezi z njim podan ustrezen in utemeljen ugovor, kot je opredeljen v členu 4, točka 24, iste uredbe. Ustrezen in utemeljen ugovor pa se v skladu s svojo opredelitvijo nanaša na vidike, katerih analiza spada med zgoraj navedeni nalogi. Zato to, da se ustrezen in utemeljen ugovor nanaša na obseg analize in, glede na primer, obseg preiskave ter da EOVP v zvezi z njim odloči, nikakor ne ogroža teh nalog. Poleg tega to, da je zoper vmesne odločitve nadzornih organov, ki so sprejete na podlagi pritožbe, mogoče vložiti tožbo pri nacionalnih sodiščih, ne preprečuje, da bi bil osnutek odločitve vodilnega nadzornega organa lahko predmet nadzora EOVP v vsebinskih okvirih, določenih za mehanizem nadzora skladnosti, uveden z Uredbo 2016/679.

51

S trditvami tožeče stranke, navedenimi v okviru kontekstualne razlage, torej ni mogoče podpreti njenega stališča o nepristojnosti EOVP za sprejetje izpodbijanih določil.

52

Nasprotno, splošni okvir obveznosti sodelovanja med zadevnimi nadzornimi organi, določen v Uredbi 2016/679, potrjuje pristojnost EOVP v zvezi s tem. Člen 60(1) navedene uredbe namreč med drugim določa, da „[v]odilni nadzorni organ sodeluje z drugimi zadevnimi nadzornimi organi v skladu s tem členom in si prizadeva za soglasje“. Člen 60(3) iste uredbe določa, da „[v]odilni nadzorni organ brez odlašanja posreduje ustrezne informacije o zadevi drugim zadevnim nadzornim organom“ in da jim „brez odlašanja predloži osnutek odločitve, s čimer jih zaprosi za mnenje, ki ga ustrezno upošteva“.

53

Iz tega izhaja, da se sodelovanje med zadevnimi nadzornimi organi nanaša zlasti na analizo primera v celoti in na pripravo odločitve ter da mora vodilni nadzorni organ v zvezi s tem poskušati pridobiti soglasje drugih zadevnih nadzornih organov. Nič v zgoraj navedenih določbah ne omogoča, da bi se iz te obveznosti sodelovanja izključilo vprašanje obsega analize, ki jo je treba opraviti, in, če je to potrebno, vprašanje obsega predhodne preiskave, ki jo je treba izvesti. Sodišče je v sodbi z dne 15. junija 2021, Facebook Ireland in drugi (C‑645/19, EU:C:2021:483, točki 63 in 64), opozorilo na potrebnost dialoga ter lojalnega in učinkovitega sodelovanja med zadevnimi nadzornimi organi.

54

Iz točk od 41 do 53 zgoraj izhaja, da preučitev okvira, ki izhaja iz določb Uredbe 2016/679, potrjuje pred tem opravljeno jezikovno analizo.

55

Kar zadeva teleološko razlago, tožeča stranka najprej trdi, da to, da se EOVP prizna pristojnost, da vodilnemu nadzornemu organu naloži pripravo dopolnilnega osnutka odločitve in da za to najprej razširi obseg svoje preiskave, ni združljivo s cilji mehanizma „vse na enem mestu“, ki ga je zakonodajalec želel uvesti s sprejetjem Uredbe 2016/679. Namen vzpostavitve enotnega nadzornega organa za zadevne osebe naj bi bil zlasti izogibanje nepotrebnim stroškom in pretiranim nevšečnostim, kot je navedeno v uvodni izjavi 129 te uredbe. Ponovna uvedba preiskave zgolj zaradi nesoglasja med nadzornimi organi naj bi bila v nasprotju s tem ciljem, saj naj bi se pritožniki in zadevna podjetja zaradi tega morali soočiti s ponovitvijo preiskave skupaj z njenimi stroški in nevšečnostmi, čeprav bi morala biti ta faza že končana.

56

Vendar – ne da bi se bilo treba izreči o namenih zakonodajalca – zadostuje ugotovitev, da sistem vse na enem mestu ustreza cilju poenostavitve postopka, ki ne more prevladati nad bistvenim ciljem Uredbe 2016/679, da se zagotovi spoštovanje temeljne pravice posameznikov do varstva njihovih osebnih podatkov. V uvodni izjavi 1 navedene uredbe je v zvezi s tem opozorjeno, da člen 8(1) Listine o temeljnih pravicah in člen 16(1) PDEU določata, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj. Namen razširitve preiskave, ki jo mora zahtevati vsaj polovica nadzornih organov v okviru EOVP, v nasprotju s tem, kar trdi tožeča stranka, ni za zapletenejše napraviti naloge osebe, ki je vložila pritožbo, ali naloge upravljavca, na katerega se ta pritožba nanaša, temveč je ukrep za zaščito njunih pravic. Poleg tega preiskava in analiza vodilnega nadzornega organa, ki že od začetka zajemata vse vidike, potrebne za pripravo celovite končne odločitve v zvezi z zadevnim primerom, omogočata izognitev nevšečnostim, ki jih navaja tožeča stranka.

57

Trditve tožeče stranke, da ponovna uvedba preiskave odloži dokončno rešitev že analiziranih in rešenih vidikov, je treba prav tako zavrniti.

58

V takem položaju mora namreč nasprotno pristojni organ – kot je sicer v obravnavani zadevi storila tožeča stranka – sprejeti končno odločitev o vsebinskih vidikih, ki so bili analizirani in o katerih je bilo odločeno po zavezujoči odločitvi EOVP v roku, določenem v členu 65(6) Uredbe 2016/679. To mu ne preprečuje, da izvede dopolnilno preiskavo in analizira vidike primera, ki še niso bili preučeni.

59

Tožeča stranka trdi tudi, da to, da EOVP ne bi posegal v določitev obsega analize, ki jo zahteva neki primer, kar naj bi pomenilo predhodno ali postopkovno vprašanje, ne bi preprečevalo delovanja mehanizma sodelovanja med nadzornimi organi.

60

Vendar je mehanizem sodelovanja omejen, kadar zadevni nadzorni organi ne dosežejo soglasja. V tem položaju, ki je izrecno določen v členu 60(4) Uredbe 2016/679, mora vodilni nadzorni organ vprašanje, v zvezi s katerim ni soglasja, predložiti mehanizmu za skladnost, ki privede do zavezujoče odločitve EOVP, kot je navedeno v tej določbi.

61

Tožeča stranka nazadnje trdi, da se tak neobstoj soglasja lahko razreši v okviru nacionalnega sodnega nadzora. Opozarja, da je v členu 58(4) in uvodni izjavi 141 Uredbe 2016/679 navedeno, da je preiskava podvržena učinkovitemu sodnemu nadzoru.

62

Drži sicer, da če EOVP ne bi mogel rešiti težave, povezane z obsegom analize, ki jo opravi vodilni nadzorni organ, bi v zvezi s tem lahko posredovalo nacionalno sodišče. Vendar Uredba 2016/679 določa, da se težave, izpostavljene v okviru ustreznega in utemeljenega ugovora zadevnega nadzornega organa v smislu člena 4, točka 24, navedene uredbe, rešujejo med nadzornimi organi v okviru mehanizmov sodelovanja in, če je to potrebno, mehanizma za skladnost. Kot je bilo analizirano zgoraj, lahko težava v zvezi z obsegom analize in po potrebi preiskavo, ki jo vodi vodilni nadzorni organ, privede do ustreznega in utemeljenega ugovora v zgoraj navedenem smislu. Zato to, da bi se bilo v zvezi s tako težavo mogoče obrniti na nacionalno sodišče, kar poleg tega ne bi bilo nujno enostavno za pritožnika, ki prebiva v državi, ki ni država vodilnega nadzornega organa, ne more pomeniti, da vztrajnih nesoglasij med zadevnimi nadzornimi organi glede vprašanj, ki so bila predmet ustreznih in utemeljenih ugovorov, ni mogoče reševati v okviru EOVP.

63

Iz točk od 55 do 62 zgoraj izhaja, da preučitev namenov Uredbe 2016/679 potrjuje tudi predhodno izvedeno jezikovno analizo.

[…]

65

Na prvem mestu, tožeča stranka v bistvu meni, da načela, ki urejajo podelitev pristojnosti organu Unije, ne omogočajo razlage Uredbe 2016/679 v smislu, ki izhaja iz prejšnjih analiz, to je v smislu, da je z njo EOVP podeljena sporna pristojnost.

66

Tožeča stranka se sklicuje na člen 5 PEU in opozarja, da lahko Unija deluje le v mejah pristojnosti, ki so ji bile podeljene. To načelo naj bi se uporabljalo za institucije in organe Unije, kot je EOVP. Poleg tega naj bi zanje veljala „doktrina Meroni“, ki izhaja iz sodbe z dne 13. junija 1958, Meroni/Visoka oblast (9/56, EU:C:1958:7), in ki se uporablja za organe Unije, kot je Sodišče v zvezi z Evropskim organom za vrednostne papirje in trge (ESMA) razsodilo v sodbi z dne 22. januarja 2014, Združeno kraljestvo/Parlament in Svet (C‑270/12, EU:C:2014:18, točki 53 in 54). Ta doktrina naj bi nalagala, da so pristojnosti organov Unije natančno določene in da so lahko predmet sodnega nadzora glede na cilje, določene v zvezi z zadevnim organom. Natančneje, v točki 45 druge zgoraj navedene sodbe naj bi bilo ugotovljeno, da je pristojnost ESMA, o kateri se je razpravljalo v tej zadevi in ki jo je nazadnje potrdilo Sodišče, uokvirjena z različnimi merili in pogoji, ki omejujejo področje delovanja tega organa. Sodišče naj bi v sodbi z dne 15. julija 2021, FBF (C‑911/19, EU:C:2021:599, točki 67 in 75), ki se nanaša na Evropski bančni organ (EBA), pojasnilo, da mora zakonodajalec pristojnost organa Unije določiti izrecno in da mora biti sodni nadzor nad to pristojnostjo strog.

67

Ta načela, ki so bila uporabljena v sodni praksi, se namreč nanašajo na EOVP, ki je bil kot organ Unije ustanovljen s členom 68 Uredbe 2016/679.

68

Zato je treba najprej preveriti, ali razlaga, ki je bila sprejeta zgoraj v tej sodbi, omogoča ugotovitev, da je izvajanje pristojnosti EOVP, kadar vodilnemu nadzornemu organu naloži, naj razširi svojo analizo in, če je to potrebno, svojo preiskavo, „omejeno z različnimi merili in pogoji, ki določajo [njegovo] področje delovanja“, kot je Sodišče ugotovilo v zvezi s pristojnostjo ESMA, ki je bila izpodbijana v zadevi, v kateri je bila izdana sodba z dne 22. januarja 2014, Združeno kraljestvo/Parlament in Svet (C‑270/12, EU:C:2014:18).

69

V zvezi s tem, kot izhaja iz člena 65(1)(a) Uredbe 2016/679 v povezavi s členom 4, točka 24, navedene uredbe, se ta pristojnost, da vodilnemu nadzornemu organu naloži, naj razširi svojo analizo in, če je to potrebno, svojo preiskavo, lahko izvede šele, če zadevni nadzorni organ poda ustrezen in utemeljen ugovor zoper osnutek odločitve vodilnega nadzornega organa o zadevnem primeru, ki se nanaša na to, da ni bil analiziran vidik vprašanja, „ali je bila Uredba [2016/679] kršena oziroma […] ali je predvideno ukrepanje v zvezi z upravljavcem ali obdelovalcem v skladu s to uredbo“, in ki „jasno navede pomen tveganja, ki ga predstavlja osnutek odločitve, kar zadeva temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, in – kjer je to ustrezno – prosti pretok osebnih podatkov v Uniji“.

70

Poleg tega je v skladu s členom 65(2) in (3) Uredbe 2016/679 izvajanje zgoraj navedene pristojnosti pogojeno s tem, da je v EOVP dvotretjinska večina ali, v nekaterih okoliščinah, vsaj polovica njegovih članov, vključno s predsednikom, kadar so glasovi izenačeni, v bistvu odobrila ta ustrezni in utemeljeni ugovor ter nadaljnje ukrepe, ki jih je treba sprejeti v zvezi z njim. Potrebno je torej, da znatno število nadzornih organov potrdi, da ni bila oziroma ni bila v zadostnem obsegu opravljena analiza pomembnega vidika obravnavanega primera, in se dogovori o nadaljnjih ukrepih, ki jih mora vodilni nadzorni organ sprejeti, da bi to popravil. V zvezi s tem je treba upoštevati, da je EOVP sestavljen iz znatnega števila neodvisnih organov, specializiranih na tem področju, in da zato večinsko sovpadajoče stališče teh organov zagotavlja jamstva glede izvajanja te pristojnosti. Poleg tega, čeprav pojem „ustrezni in utemeljeni“, naveden v točki 69 zgoraj, res dopušča polje proste presoje, zlasti pri ugotavljanju, ali je zadevni upravljavec ali obdelovalec kršil Uredbo 2016/679 oziroma ali je tak vidik treba preučiti, da bi se to ugotovilo, pa ta vprašanja spadajo v okvir natančnih pravnih pravil iz te uredbe, kar ne omogoča izvajanja „široke diskrecijske pravice“.

71

Povzeto, v zvezi z vprašanjem omejevanja pristojnosti EOVP, ki jo tožeča stranka izpodbija, je treba torej ugotoviti, prvič, da se ta pristojnost izvaja le v primeru jasno ugotovljene nezadostnosti analize vodilnega nadzornega organa pri obravnavi primera, ki ima lahko pomembne posledice, kot izhaja iz opredelitve ustreznega in utemeljenega ugovora iz člena 4, točka 24, Uredbe 2016/679, in drugič, da ta pristojnost izhaja iz kolektivne presoje nadzornih organov, ki sestavljajo EOVP, do katere pride pod pogoji, opisanimi v točki 70 zgoraj.

72

V zvezi z vprašanjem, ali je zadevno pristojnost „izrecno“ predvidel zakonodajalec, je treba poudariti, da prislov „izrecno“ ter prislova „eksplicitno“ in „jasno“, ki so sinonimi in ki izhajajo iz pridevnikov „izrecen“, „ekspliciten“ in „jasen“, pomenijo, da ni dvoma o obsegu tega, kar je izraženo. Iz zgoraj navedene jezikovne, kontekstualne in teleološke razlage pa izhaja, da ni dvoma o tem, da EOVP ima sporno pristojnost, in torej o tem, da jo je zakonodajalec izrecno določil. Ugotoviti je mogoče, da so se v sodbi z dne 15. julija 2021, FBF (C‑911/19, EU:C:2021:599), ki se je nanašala na EBA, smernice tega organa, glede katerih je bilo sporno, ali je navedeni organ pristojen za njihovo sprejetje, nanašale na „nadzor in ureditev upravljanja bančnih produktov“. V nobenem od besedil, ki se uporabljajo za ta organ, ni bilo dobesedno navedeno, da lahko ta organ sprejme smernice v zvezi s tem. Sodišče je na podlagi celovite analize teh besedil, to je uredbe o ustanovitvi EBA, ki je na splošno določala njegovo pristojnost za sprejetje smernic za določene namene, in različnih direktiv v zvezi z institucijami in finančnimi produkti, ugotovilo, da sporne smernice spadajo v okvir te pristojnosti.

73

Poleg tega je treba ugotoviti, da izvajanje pristojnosti EOVP, da vodilnemu nadzornemu organu naloži, naj razširi svojo analizo in, če je to potrebno, svojo preiskavo, dejansko je predmet sodnega nadzora. Res je, da se je v obravnavani zadevi tožeča stranka odločila izpodbijana določila izpodbijati zgolj zaradi nepristojnosti EOVP, ne da bi izpodbijala konkretno presojo tega organa glede ugovorov, ki so jih nekateri nadzorni organi podali v zvezi z njenimi osnutki odločitev, to je presojo, ki je privedla do sprejetja teh določil. Vendar naj bi lahko sodišče Unije v mejah tožbenih razlogov, ki naj bi bili navedeni pred njim, preverilo vsebinsko zakonitost takih določil glede na okoliščine obravnavane zadeve. Zlasti naj bi lahko, prvič, preverilo, ali je EOVP s sprejetjem takih določil dejansko ukrepal na podlagi ustreznega in utemeljenega ugovora nadzornega organa v smislu člena 4, točka 24, Uredbe 2016/679. Drugič, lahko naj bi preverilo zakonitost samega bistva takih določil, ki dajejo navodila nadzornim organom.

74

Taka vrsta sodnega nadzora je „stroga“ v smislu, uporabljenem v sodbi z dne 15. julija 2021, FBF (C‑911/19, EU:C:2021:599, točka 67). Sodišče, ki odloča o zakonitosti, je namreč na splošno vezano na svoje naloge in na postopkovna pravila, njegov nadzor pa je nujno strog, če v okviru teh pravil v celoti opravlja svojo pristojnost. Kar zadeva vsebinska vprašanja, sodišče, ki odloča o zakonitosti, glede na obseg diskrecijske pravice avtorja izpodbijanega akta izvaja bodisi običajni nadzor (načeloma v zvezi s pravnimi vidiki, ugotavljanjem dejanskega stanja in primeri vezane pristojnosti) bodisi omejeni nadzor (načeloma glede zapletenih tehničnih vidikov ali kadar ima organ diskrecijsko pravico, v teh primerih sodišče sankcionira le očitno napako pri presoji) (glej v tem smislu in po analogiji v zvezi z nadzorom nacionalnega sodišča nad odločitvami nacionalnih organov na področju varstva osebnih podatkov sodbo z dne 7. decembra 2023, SCHUFA Holding (Odpis preostanka dolga), C‑26/22 in C‑64/22, EU:C:2023:958, točki 68 in 69).

75

Iz točk od 67 do 74 zgoraj izhaja, da pogoji za podelitev pristojnosti organu Unije ne nasprotujejo analizi, ki je bila pred tem opravljena v tej sodbi.

76

Na drugem mestu, tožeča stranka navaja različne razloge, da bi dokazala, da nacionalna sodišča pomenijo „primeren forum“ za obravnavo ugovorov, povezanih s preiskavo, in sicer, da so v najboljšem položaju, da to storijo.

77

Vendar se je zakonodajalec Unije, kot je navedeno v točki 62 zgoraj, odločil, da se o vztrajnih nesoglasjih med zadevnimi nadzornimi organi v zvezi z obsegom analize nekega primera in z morebitnim obsegom preiskave, ki se izvaja v zvezi s tem primerom, odloči v okviru mehanizma za skladnost znotraj EOVP. Zato so trditve tožeče stranke, s katerimi želi dokazati, da so nacionalna sodišča „primeren forum“ za obravnavo ugovorov, povezanih s preiskavo, brezpredmetne.

78

Upoštevajoč, da sta lahko tako nacionalno sodišče kot tudi EOVP pozvana, naj se izrečeta o obsegu analize in preiskave, je treba dodati, da so bila na področju uporabe pravil o konkurenci iz členov 101 in 102 PDEU, na katerem je odgovornosti za izvajanje politike Unije razdeljena med nacionalno raven in raven Unije, v sodni praksi Sodišča določena nekatera načela za usklajevanje delovanja nacionalnih sodišč in subjekta Unije, pristojnega za zagotavljanje usklajenosti pri uporabi zadevne politike, to je Komisije (sodbi z dne 28. februarja 1991, Delimitis, C‑234/89, EU:C:1991:91, in z dne 14. decembra 2000, Masterfoods in HB, C‑344/98, EU:C:2000:689). Sicer ni izključeno, da nacionalno sodišče na podlagi teh načel meni, da je bolje prekiniti postopek, dokler pristojni subjekt Unije ne sprejme odločitve, ali da ga ta odločitev, potem ko je bila sprejeta, zavezuje, razen če dvomi o njeni veljavnosti in Sodišču v okviru postopka predhodnega odločanja predlaga, naj presodi v zvezi s tem, vendar sta ta položaja neločljivo povezana s tako delitvijo odgovornosti in nujnostjo, da se v celotni Uniji zagotovi usklajenost pri izvajanju zadevne politike.

79

Dodati je treba tudi, da v nasprotju s tem, kar tožeča stranka trdi na tretjem mestu, zavezujoča odločitev EOVP, ki je bila sprejeta na podlagi člena 65(1)(a) Uredbe 2016/679 in s katero mu je naloženo, naj razširi svojo analizo in preiskavo, ne posega v njeno zmožnost, da prednostno razvrsti opravljanje svojih različnih obveznosti, ki jih ima kot neodvisen organ, kar je naloga, za nadzor nad katero je pristojno le nacionalno sodišče. Prav tako, splošneje, ne posega v njeno neodvisnost, določeno v členu 39 PEU, členu 16(2) PDEU in členu 8(3) Listine o temeljnih pravicah.

80

Namreč, na eni strani, če mora vodilni nadzorni organ bodisi na lastno pobudo v fazi sodelovanja med zadevnimi nadzornimi organi in po tovrstnem posredovanju njemu prirejenih organov bodisi po taki zavezujoči odločitvi dopolniti svojo analizo in preiskavo nekega primera, ni zavezan, da preneha opravljati vse druge zadeve in to stori prednostno glede na svoje druge naloge. Lahko na primer naznani, da prvi osnutek odločitve ali prva odločitev, ki jo bo sprejel, obravnava le del vprašanj, ki se pojavljajo v zadevnem primeru, in da bo kasneje analize in preiskavo nadaljeval.

81

Le v okoliščinah iz člena 66 Uredbe 2016/679, kadar drug zadevni nadzorni organ meni, da obstaja nujna potreba po ukrepanju zaradi varstva pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, lahko nujna zavezujoča odločitev EOVP od vodilnega nadzornega organa zahteva, da nemudoma preuredi vrstni red svojih prednostnih nalog, da bi lahko obravnaval primer. Zakonodajalec je torej to možnost predvidel le za izjemne primere. Zavezujoče odločitve 3/2022, 4/2022 in 5/2022 namreč niso bile sprejete na podlagi navedenega člena 66 in zato ne posegajo v prednostni vrstni red različnih nalog tožeče stranke.

82

Na drugi strani določbe primarnega prava, na katere se sklicuje tožeča stranka, ne pomenijo absolutne neodvisnosti – ki bi pomenila, da ni nobenega nadzora – organov držav članic, ki so v prvi vrsti zadolženi za zagotavljanje uporabe pravil o varstvu osebnih podatkov. V teh določbah je navedeno le, da je nadzor nad spoštovanjem navedenih pravil zaupan neodvisnim organom, kar torej nikakor ne preprečuje sistema medsebojnega nadzora med neodvisnimi organi, kot so mehanizmi sodelovanja in mehanizem skladnosti iz Uredbe 2016/679, niti seveda sodnega nadzora nad odločitvami, ki jih sprejmejo različni udeleženi organi. Pomembno je, da so nadzorniki nadzornikov tudi sami neodvisni. To velja za EOVP, saj ga sestavljajo nadzorni organi držav članic in evropski nadzornik za varstvo podatkov, ki je neodvisen od institucij in drugih subjektov Unije, ki jih nadzoruje.

[…]

84

V skladu s členom 134(1) Poslovnika se plačilo stroškov na predlog naloži neuspeli stranki. Tožeča stranka ni uspela, zato se ji v skladu s predlogi ESZD naloži plačilo stroškov.

Iz teh razlogov je

SPLOŠNO SODIŠČE (deseti razširjeni senat)

razsodilo: