C-175/2062020CJ0175EU:C:2022:1240001111919CJ

Presuda od 24. 2. 2022. – Predmet C‑175/20

Valsts ieņēmumu dienests (Obrada osobnih podataka u porezne svrhe)

<TI><P><HT TYPE="UC">Presuda Suda</HT> (peto vijeće)</P><P><DATE ISO="20220224">24. veljače 2022.</DATE><NOTE NUMBERING="STAR" TYPE="FOOTNOTE" NOTE.ID="E0001"><P>Jezik postupka: latvijski</P></NOTE></P></TI>Zahtjev za prethodnu odlukuZaštita pojedinaca u vezi s obradom osobnih podatakaUredba (EU) 2016/679Članak 2.Područje primjeneČlanak 4.Pojam obradaČlanak 5.Načela obradeOgraničavanje svrheSmanjenje količine podatakaČlanak 6.Zakonitost obradeObrada nužna za izvršavanje zadaće od javnog interesa povjerene voditelju obradeObrada nužna za ispunjenje zakonske obveze voditelja obradeČlanak 23.OgraničenjaObrada podataka u porezne svrheZahtjev za otkrivanje informacija u vezi s oglasima za prodaju vozila na internetskoj straniciProporcionalnost

U predmetu C‑175/20,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputila Administratīvā apgabaltiesa (Okružni upravni sud, Latvija), odlukom od 11. ožujka 2020., koju je Sud zaprimio 14. travnja 2020., u postupku

SS SIA

protiv

Valsts ieņēmumu dienests,

SUD (peto vijeće),

u sastavu: E. Regan, predsjednik vijeća, K. Lenaerts, predsjednik Suda, u svojstvu suca petog vijeća, C. Lycourgos, predsjednik četvrtog vijeća, I. Jarukaitis i M. Ilešič (izvjestitelj), suci,

nezavisni odvjetnik: M. Bobek,

tajnik: A. Calot Escobar,

uzimajući u obzir pisani postupak,

uzimajući u obzir očitovanja koja su podnijeli:

za SS SIA, M. Ruķers,

za latvijsku vladu, K. Pommere, V. Soņeca i L. Juškeviča, a zatim K. Pommere, u svojstvu agenata,

za belgijsku vladu, J.-C. Halleux i P. Cottin, u svojstvu agenata, uz asistenciju C. Molitor, avocat,

za vladu Helenske Republike, E.-M. Mamouna i O. Patsopoulou, u svojstvu agenata,

za španjolsku vladu, J. Rodríguez de la Rúa Puig i S. Jiménez García, a zatim J. Rodríguez de la Rúa Puig, u svojstvu agenata,

za Europsku komisiju, H. Kranenborg, D. Nardi i I. Rubene, a zatim H. Kranenborg i I. Rubene, u svojstvu agenata,

saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 2. rujna 2021.,donosi sljedeću<TI><P><HT TYPE="BOLD">Presudu</HT></P></TI>1Zahtjev za prethodnu odluku odnosi se na tumačenje Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.), osobito njezina članka 5. stavka 1.2Zahtjev je upućen u okviru spora između društva SS SIA i Valsts ieņēmumu dienestsa (Porezna uprava, Latvija) (u daljnjem tekstu: latvijska porezna uprava) povodom zahtjeva za otkrivanje informacija u vezi s oglasima za prodaju vozila objavljenima na internetskoj stranici društva SS.<TI><P><HT TYPE="BOLD">Pravni okvir</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Pravo Unije</HT></HT></P></TI><TI><P><HT TYPE="ITALIC">Uredba 2016/679</HT></P></TI>3Uredba 2016/679, koja se temelji na članku 16. UFEU‑a, primjenjuje se, na temelju njezina članka 99. stavka 2., od 25. svibnja 2018.4Uvodne izjave 1., 4., 10., 19., 26., 31., 39., 41. i 50. te uredbe propisuju:(1)Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) te člankom 16. stavkom 1. [UFEU‑a] utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.

[…]

(4)Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, doma i komuniciranja, zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, pravo na učinkoviti pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.

[…]

(10)Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. […]

[…]

(19)Zaštita pojedinaca s obzirom na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i slobodnom kretanju takvih podataka i njihovo sprečavanje, podliježe posebnom pravnom aktu Unije. Stoga se ova uredba ne bi trebala primjenjivati na aktivnosti obrade u te svrhe. No, osobni podaci koje su obradila tijela javne vlasti u skladu s ovom Uredbom trebali bi, kada se upotrebljavaju u te svrhe, biti uređeni posebnim pravnim aktom Unije i to Direktivom (EU) 2016/680 Europskog parlamenta i Vijeća [od 27. travnja 2016. o zaštiti pojedinaca pri obradi osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.)]. […]

[…]

(26)Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. […] Kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koju voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. […]

[…]

(31)Tijela javne vlasti kojima se otkrivaju osobni podaci u skladu s pravnom obvezom izvršavanja njihovih službenih zadaća, poput poreznih i carinskih tijela, jedinica za financijsku istragu, neovisnih upravnih tijela ili tijela za financijska tržišta, odgovorna za reguliranje i nadzor tržišta vrijednosnih papira, ne bi se smjela smatrati primateljima ako prime osobne podatke koji su potrebni za provedbu određene istrage u općem interesu, u skladu s pravom Unije ili pravom države članice. Zahtjevi za otkrivanje koje šalju tijela javne vlasti trebali bi uvijek biti u pisanom obliku, obrazloženi i povremeni i ne bi se trebali odnositi na čitav sustav pohrane ili dovesti do međupovezanosti sustavâ pohrane. Ta tijela javne vlasti trebala bi obrađivati takve osobne podatke u skladu s primjenjivim pravilima za zaštitu podataka ovisno o svrhama obrade.

[…]

(39)[…] Načelom transparentnosti traži se da svaka informacija i komunikacija u vezi s obradom tih osobnih podataka bude lako dostupna i razumljiva te da se upotrebljava jasan i jednostavan jezik. To se načelo osobito odnosi na informacije ispitaniku o identitetu voditelja obrade i svrhama obrade te daljnje informacije radi osiguravanja poštenosti i transparentnosti obrade s obzirom na pojedince o kojima je riječ i njihovo pravo da dobiju potvrdu i na obavijest o osobnim podacima koji se obrađuju, a koji se odnose na njih. Pojedinci bi trebali biti upoznati s rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom osobnih podataka i načinom ostvarenja svojih prava u vezi s obradom. Osobito, određena svrha u koju se osobni podaci obrađuju trebala bi biti izrijekom navedena i opravdana te određena u vrijeme prikupljanja osobnih podataka. Osobni podaci trebali bi biti primjereni, bitni i ograničeni na ono što je nužno za svrhe u koje se podaci obrađuju. Zbog toga je osobito potrebno osigurati da je razdoblje u kojem se osobni podaci pohranjuju ograničeno na strogi minimum. Osobni podaci trebali bi se obrađivati samo ako se svrha obrade opravdano ne bi mogla postići drugim sredstvima. […]

[…]

(41)Ako se ovom uredbom upućuje na pravnu osnovu ili zakonodavnu mjeru, to ne znači nužno da parlament mora donijeti zakonodavni akt, ne dovodeći u pitanje zahtjeve u skladu s ustavnim poretkom dotične države članice. Međutim, takva pravna osnova ili zakonodavna mjera trebala bi biti jasna i precizna, a njezina primjena trebala bi biti predvidljiva osobama na koje se primjenjuje sukladno sudskoj praksi Suda […] i Europskog suda za ljudska prava.

[…]

(50)Obrada osobnih podataka u svrhe različite od svrha za koje su podaci prvotno prikupljeni smjela bi se dopustiti samo ako je obrada usklađena sa svrhama za koje su osobni podaci prvotno prikupljeni. U takvom slučaju nije potrebna pravna osnova zasebna od one kojom je dopušteno prikupljanje osobnih podataka. Ako je obrada potrebna za obavljanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti koju ima voditelj obrade, pravom Unije ili pravom države članice mogu se utvrditi i odrediti zadaće i svrhe za koje će se nastavak obrade smatrati usklađenim i zakonitim. Nastavak obrade u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe trebalo bi smatrati usklađenom zakonitom obradom. Pravna osnova koja se predviđa pravom Unije ili pravom države članice za obradu osobnih podataka također može činiti pravnu osnovu za daljnju obradu. Radi utvrđivanja je li svrha nastavka obrade usklađena sa svrhom prvotnog prikupljanja osobnih podataka, voditelj obrade nakon ispunjavanja svih zahtjeva zakonitosti izvorne obrade trebao bi uzeti u obzir, među ostalim, svaku vezu između te svrhe i svrhe planiranog nastavka obrade, kontekst u kojem su prikupljeni osobni podaci, posebno opravdana očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade u pogledu daljnje uporabe podataka, prirodu osobnih podataka, posljedice planiranog nastavka obrade za ispitanike i postojanje primjerenih zaštitnih mjera u izvornoj i planiranoj daljnjoj obradi.5Članak 2. Uredbe 2016/679, naslovljen Glavno područje primjene, propisuje:

1.Ova se uredba primjenjuje na obradu osobnih podataka koja se u cijelosti [ili djelomično] obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.2.

Ova se uredba ne odnosi na obradu osobnih podataka:

(a)tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije;(b)koju obavljaju države članice kada obavljaju aktivnosti koje su obuhvaćene područjem primjene glave V. poglavlja 2. UEU‑a;(c)koju provodi fizička osoba tijekom isključivo osobnih ili kućnih aktivnosti;(d)koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.

[…]

6Članak 4. te uredbe naslovljen Definicije glasi kako slijedi:

Za potrebe ove uredbe:

1.osobni podaci znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (u daljnjem tekstu: ispitanik); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;2.obrada znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]

6.sustav pohrane znači svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi;7.voditelj obrade znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; […]

[…]

9.primatelj znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. Međutim, tijela javne vlasti koja mogu primiti osobne podatke u okviru određene istrage u skladu s pravom Unije ili države članice ne smatraju se primateljima; obrada tih podataka koju obavljaju ta tijela javne vlasti mora biti u skladu s primjenjivim pravilima o zaštiti podataka prema svrhama obrade;

[…]

7U skladu s člankom 5. navedene uredbe naslovljenim Načela obrade osobnih podataka:1.

Osobni podaci moraju biti:

(a)zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (zakonitost, poštenost i transparentnost);(b)prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; […] (ograničavanje svrhe);(c)primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (smanjenje količine podataka);(d)točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave (točnost);(e)čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; […] (ograničenje pohrane);(f)obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera (cjelovitost i povjerljivost);

2.Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (pouzdanost).8Članak 6. te iste uredbe, naslovljen Zakonitost obrade, predviđa:

1.

Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;(b)obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;(c)obrada je nužna radi poštovanja pravnih obveza voditelja obrade;(d)obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;(e)obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;(f)obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.

2.Države članice mogu zadržati ili uvesti posebne odredbe kako bi se primjena pravila ove uredbe s obzirom na obradu prilagodila radi usklađivanja sa stavkom 1. točkama (c) i (e) tako da se preciznije odrede posebni zahtjevi za obradu te druge mjere za osiguravanje zakonite i poštene obrade, među ostalim za druge posebne situacije obrade kako je predviđeno u poglavlju IX.3.

Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

(a)pravu Unije; ili(b)pravu države članice kojem voditelj obrade podliježe.

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. […] Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.

Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

(a)svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade;(b)kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade;(c)prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.;(d)moguće posljedice namjeravanog nastavka obrade za ispitanike;(e)postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.

9U skladu s člankom 13. stavkom 3. Uredbe 2016/679:

Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci prikupljeni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

10Članak 14. te uredbe propisuje:

1.

Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:

[…]

(c)svrhe obrade kojoj su namijenjeni osobni podaci kao i pravnu osnovu za obradu;

[…]

5.

Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:

[…]

(c)dobivanje ili otkrivanje podataka izrijekom je propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a koje predviđa odgovarajuće mjere zaštite legitimnih interesa ispitanika; […]

[…]

11U skladu s člankom 23. stavkom 1. točkom (e) navedene uredbe:

Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

(e)drugih važnih ciljeva od općeg javnog interesa Unije ili države članice, osobito važnog gospodarskog ili financijskog interesa Unije ili države članice, što uključuje monetarna, proračunska i porezna pitanja, javno zdravstvo i socijalnu sigurnost;

[…]

12Članak 25. stavak 2. Uredbe 2016/679 propisuje:

Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

<TI><P><HT TYPE="ITALIC">Direktiva 2016/680</HT></P></TI>13Uvodne izjave 10. i 11. Direktive 2016/680 glase:(10)U Izjavi br. 21 o zaštiti osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, priloženoj završnom aktu međuvladine konferencije na kojoj je donesen Ugovor iz Lisabona, na konferenciji je potvrđeno da bi se određena pravila o zaštiti osobnih podataka i slobodnom kretanju osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje na temelju članka 16. [UFEU‑a] mogla pokazati neophodnima zbog specifične prirode tih područja.(11)Stoga je primjereno da se ta područja urede posebnom direktivom kojom bi se utvrdila posebna pravila o zaštiti pojedinaca s obzirom na obradu osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, poštujući posebnu prirodu tih aktivnosti. Takva nadležna tijela mogu obuhvaćati ne samo tijela javne vlasti poput pravosudnih tijela, policije ili drugih tijela za izvršavanje zakonodavstva, nego i svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih nadležnosti i javnih ovlasti za potrebe ove direktive. Ako takvo tijelo ili subjekt obrađuje osobne podatke u svrhe koje nisu svrhe ove direktive, primjenjuje se Uredba [2016/679]. Uredba [2016/679] primjenjuje se stoga u slučajevima kad tijelo ili subjekt prikuplja osobne podatke za druge potrebe i dalje ih obrađuje radi poštovanja pravne obveze kojoj podliježe. […]14Članak 3. te direktive određuje:

Za potrebe ove direktive:

[…]

7. ,nadležno tijelo' znači:

(a)svako tijelo javne vlasti nadležno za sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje; ili(b)svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih dužnosti i izvršavanje javnih ovlasti u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje;

[…]

<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Latvijsko pravo</HT></HT></P></TI>15U skladu s člankom 15. stavkom 6. likumsa Par nodokļiem un nodevām (Zakon o porezima i nametima, Latvijas Vēstnesis, 1995., br. 26), u verziji koja se primjenjivala u glavnom postupku (u daljnjem tekstu: Zakon o porezima i nametima), pružatelj usluga internetskog oglašavanja obvezan je na zahtjev latvijske porezne uprave pružiti informacije kojima raspolaže u pogledu poreznih obveznika koji su objavili oglase koristeći se navedenim uslugama.<TI><P><HT TYPE="BOLD">Glavni postupak i prethodna pitanja</HT></P></TI>16Društvo SS je pružatelj usluga oglašavanja objavljenih na internetu sa sjedištem u Latviji.17Latvijska porezna uprava uputila je 28. kolovoza 2018. društvu SS zahtjev za otkrivanje informacija na temelju članka 15. stavka 6. Zakona o porezima i nametima u kojem je pozvala to društvo da obnovi pristup koji je ta porezna uprava imala brojevima šasije vozila koja su predmet oglasa objavljenog na internetskom portalu navedenog društva kao i telefonskim brojevima prodavatelja te da joj najkasnije do 3. rujna 2018. pruži informacije u vezi s oglasima objavljenima u rubrici Osobna vozila tog portala u razdoblju od 14. srpnja do 31. kolovoza 2018.18U tom je zahtjevu bilo navedeno da te informacije, koje obuhvaćaju poveznicu na oglas, njegov tekst, marku vozila, model, broj šasije i cijenu vozila kao i broj telefona prodavatelja, moraju biti dostavljene u elektroničkom obliku u formatu koji omogućuje filtriranje ili odabir podataka.19Osim toga, u slučaju da nije bilo moguće obnoviti pristup informacijama iz oglasa objavljenih na predmetnom internetskom portalu, od društva SS se tražilo da navede razlog te da najkasnije treći dan svakog mjeseca dostavi relevantne informacije u vezi s oglasima objavljenima tijekom prethodnog mjeseca.20Smatrajući da zahtjev za otkrivanje informacija latvijske porezne uprave nije u skladu s načelima proporcionalnosti i smanjenja količine osobnih podataka propisanima Uredbom 2016/679, društvo SS podnijelo je pritužbu protiv tog zahtjeva vršitelju dužnosti glavnog direktora latvijske porezne uprave.21Odlukom od 30. listopada 2018. potonji je odbio tu pritužbu navodeći, među ostalim, da u okviru obrade osobnih podataka o kojima je riječ u glavnom postupku latvijska porezna uprava izvršava ovlasti koje su joj dodijeljene zakonom.22Društvo SS podnijelo je administratīvā rajona tiesi (Općinski upravni sud, Latvija) tužbu za poništenje te odluke. Osim argumenata koje je iznijelo u svojoj pritužbi, ono je u njoj istaknulo da u predmetnoj odluci nije navedena posebna svrha obrade osobnih podataka koju je predvidjela latvijska porezna uprava ni količina podataka koji su joj potrebni, protivno članku 5. stavku 1. Uredbe 2016/679.23Presudom od 21. svibnja 2019. administratīvā rajona tiesa (Općinski upravni sud) odbila je tu tužbu navodeći, u biti, da je latvijska porezna uprava imala pravo zatražiti pristup informacijama koje se odnose na bilo koju osobu i u neograničenoj količini, osim ako se te informacije ne smatraju nespojivima sa svrhom naplate poreza. Taj je sud, osim toga, smatrao da se odredbe Uredbe 2016/679 ne primjenjuju na tu upravu.24Društvo SS podnijelo je žalbu protiv te presude sudu koji je uputio zahtjev tvrdeći, s jedne strane, da se na latvijsku poreznu upravu primjenjuju odredbe Uredbe 2016/679 i, s druge strane, da je ta uprava, time što je svaki mjesec i bez vremenskog ograničenja zahtijevala znatnu količinu osobnih podataka u vezi s neodređenim brojem oglasa a da pritom nije navela konkretne porezne obveznike protiv kojih se vodi postupak poreznog nadzora, povrijedila načelo proporcionalnosti.25Sud koji je uputio zahtjev navodi da u okviru glavnog postupka nije sporno da je izvršenje predmetnog zahtjeva za otkrivanje informacija neodvojivo povezano s obradom osobnih podataka ni to da latvijska porezna uprava ima pravo dobiti informacije kojima raspolaže pružatelj usluga objave oglasa na internetu i koje su nužne za poduzimanje posebnih radnji u području naplate poreza.26Glavni postupak odnosi se na količinu i vrstu informacija koje može zatražiti latvijska porezna uprava, njihovu ograničenost odnosno neograničenost, kao i na pitanje treba li obvezu otkrivanja informacija kojoj podliježe društvo SS vremenski ograničiti.27Konkretno, sud koji je uputio zahtjev smatra da je na njemu da utvrdi je li obrada osobnih podataka u okolnostima iz glavnog postupka provedena transparentno u odnosu na ispitanike, jesu li informacije navedene u predmetnom zahtjevu za otkrivanje zatražene u posebne, izričite i zakonite svrhe te provodi li se obrada osobnih podataka samo u mjeri koja je stvarno potrebna za izvršavanje funkcija latvijske porezne uprave u smislu članka 5. stavka 1. Uredbe 2016/679.28U tu svrhu potrebno je definirati kriterije na temelju kojih se može ocijeniti poštuje li zahtjev za otkrivanje informacija koji je uputila latvijska porezna uprava bit temeljnih sloboda i prava te može li se zahtjev za otkrivanje o kojem je riječ u glavnom postupku smatrati nužnim i proporcionalnim u demokratskom društvu kako bi se osigurali važni ciljevi Unije i latvijski javni interesi u području proračuna i poreza.29U tim je okolnostima Administratīvā apgabaltiesa (Okružni upravni sud, Latvija) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:1.Treba li zahtjeve iz Uredbe [2016/679] tumačiti na način da zahtjev za otkrivanje informacija koji je uputila porezna uprava, poput spornog zahtjeva u ovom predmetu, na temelju kojeg se zahtijeva otkrivanje informacija koje sadržavaju znatnu količinu osobnih podataka, treba ispunjavati zahtjeve utvrđene u Uredbi 2016/679 (osobito u njezinu članku 5. stavku 1.)?2.Treba li zahtjeve iz Uredbe [2016/679] tumačiti na način da porezna uprava može odstupiti od odredbi članka 5. stavka 1. Uredbe [2016/679], čak i ako se propisima na snazi u Latviji navedenoj upravi ne dodjeljuje takva ovlast?3.S obzirom na zahtjeve iz Uredbe [2016/679], postoji li legitimni cilj kojim se opravdava obveza, nametnuta zahtjevom za otkrivanje informacija, poput spornog zahtjeva u ovom predmetu, pružanja svih zatraženih podataka u neograničenoj količini i vremenu, a da pritom nije utvrđen datum isteka roka za izvršenje navedenog zahtjeva za otkrivanje informacija?4.S obzirom na zahtjeve iz Uredbe [2016/679], postoji li legitimni cilj kojim se opravdava obveza, nametnuta zahtjevom za otkrivanje informacija, poput spornog zahtjeva u ovom predmetu, pružanja svih zatraženih podataka iako u zahtjevu za otkrivanje informacija nije navedena (ili je nepotpuno navedena) svrha otkrivanja informacija?5.S obzirom na zahtjeve Uredbe [2016/679], postoji li legitimni cilj kojim se opravdava obveza, nametnuta zahtjevom za otkrivanje informacija, poput spornog zahtjeva u ovom predmetu, pružanja svih zatraženih podataka iako bi se to u praksi odnosilo na apsolutno sve osobe koje su objavile oglas u odjeljku Osobna vozila na nekom portalu?6.Koje kriterije treba primijeniti kako bi se provjerilo osigurava li porezna uprava na odgovarajući način, u svojstvu voditelja obrade, da je obrada podataka (uključujući prikupljanje informacija) u skladu sa zahtjevima iz Uredbe [2016/679]?7.Koje kriterije treba primijeniti kako bi se provjerilo je li zahtjev za otkrivanje informacija, poput spornog zahtjeva u ovom predmetu, odgovarajuće obrazložen i povremen?8.Koje kriterije treba primijeniti kako bi se provjerilo provodi li se obrada osobnih podataka u mjeri u kojoj je to nužno i u skladu sa zahtjevima iz Uredbe [2016/679]?9.Koje kriterije treba primijeniti kako bi se provjerilo osigurava li porezna uprava, u svojstvu voditelja obrade, usklađenost obrade podataka sa zahtjevima utvrđenima u članku 5. stavku 1. Uredbe [2016/679] (pouzdanost)?<TI><P><HT TYPE="BOLD">O prethodnim pitanjima</HT></P></TI><TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Prvo pitanje</HT></HT></P></TI>30Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li odredbe Uredbe 2016/679 tumačiti na način da prikupljanje informacija koje uključuju veliku količinu osobnih podataka od gospodarskog subjekta, koje provodi porezna uprava, podliježe zahtjevima te uredbe, osobito onima propisanima njezinim člankom 5. stavkom 1.31Kako bi se odgovorilo na to pitanje, valja provjeriti, kao prvo, ulazi li takav zahtjev u materijalno područje primjene Uredbe 2016/679, kako je definirano u njezinu članku 2. stavku 1. i, kao drugo, je li taj zahtjev jedan od slučajeva obrade osobnih podataka koje članak 2. stavak 2. te uredbe isključuje iz tog područja primjene.32Kao prvo, u skladu s njezinim člankom 2. stavkom 1., Uredba 2016/679 primjenjuje se na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.33Članak 4. točka 1. Uredbe 2016/679 pojašnjava da osobni podaci znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi odnosno osobu koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet. Uvodna izjava 26. te uredbe u tom pogledu pojašnjava da, kako bi se odredilo može li se identitet pojedinca utvrditi, treba uzeti u obzir sva sredstva koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca.34U okviru glavnog postupka nesporno je da su informacije čije otkrivanje traži latvijska porezna uprava osobni podaci u smislu članka 4. točke 1. Uredbe 2016/679.35Na temelju članka 4. točke 2. te uredbe, prikupljanje, obavljanje uvida, otkrivanje prijenosom i svaki oblik stavljanja na raspolaganje osobnih podataka jest obrada u smislu navedene uredbe. Iz teksta te odredbe, a osobito iz izraza svaki postupak, proizlazi da je zakonodavac Unije pojmu obrada namjeravao dati široko značenje. To tumačenje potvrđuje neiscrpnost popisa postupaka navedenih u predmetnoj odredbi izražena izrazom kao što su.36U ovom slučaju latvijska porezna uprava zahtijeva od dotičnog gospodarskog subjekta da ponovno uspostavi pristup njezinih službi brojevima šasije vozila koja su predmet oglasa objavljenog na njegovu internetskom portalu i da joj otkrije informacije u vezi s oglasima objavljenima na tom portalu.37Takvim se zahtjevom, kojim porezna uprava države članice od gospodarskog subjekta traži otkrivanje i stavljanje na raspolaganje osobnih podataka koje joj je potonji dužan otkriti i staviti na raspolaganje na temelju nacionalnog propisa te države članice, započinje postupak prikupljanja tih podataka u smislu članka 4. točke 2. Uredbe 2016/679.38Osim toga, otkrivanje i stavljanje na raspolaganje navedenih podataka koje provodi gospodarski subjekt o kojem je riječ toj upravi podrazumijeva obradu u smislu članka 4. točke 2.39Kao drugo, valja ispitati može li se smatrati da je postupak kojim porezna uprava države članice od gospodarskog subjekta želi prikupiti osobne podatke koji se odnose na određene porezne obveznike isključen iz područja primjene Uredbe 2016/679 na temelju njezina članka 2. stavka 2.40U tom pogledu najprije valja podsjetiti na to da ta odredba predviđa iznimke od područja primjene te uredbe, kako je ono definirano u njezinu članku 2. stavku 1., i da te iznimke treba usko tumačiti (presuda od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 84.).41Konkretno, članak 2. stavak 2. točka (d) Uredbe 2016/679 propisuje da se potonji ne primjenjuje na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija.42Kao što proizlazi iz uvodne izjave 19. te uredbe, ta je iznimka motivirana činjenicom da su obrade osobnih podataka koje nadležna tijela provode u takve svrhe uređene posebnim aktom Unije, odnosno Direktivom 2016/680, koja je donesena istog dana kada i Uredba 2016/679 i koja u članku 3. točki 7. definira što treba smatrati pod nadležnim tijelom, pri čemu takvu definiciju treba po analogiji primijeniti na članak 2. stavak 2. točku (d) te uredbe (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 69.).43Iz uvodne izjave 10. Direktive 2016/680 proizlazi da pojam nadležno tijelo treba tumačiti u vezi sa zaštitom osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, vodeći računa o prilagodbama koje se u tom pogledu mogu pokazati nužnima zbog specifične naravi tih područja. Nadalje, u uvodnoj izjavi 11. te direktive navodi se da se Uredba 2016/679 primjenjuje na obradu osobnih podataka koju provodi nadležno tijelo u smislu članka 3. točke 7. navedene direktive, ali u druge svrhe od onih koje su u njoj predviđene (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 70.).44Stoga, kada od gospodarskog subjekta traži da mu otkrije osobne podatke koji se odnose na određene porezne obveznike u svrhu naplate poreza i borbe protiv utaje poreza, ne čini se da se porezna uprava države članice može smatrati nadležnim tijelom u smislu članka 3. točke 7. Direktive 2016/680 ni, prema tome, da takvi zahtjevi za otkrivanje informacija mogu biti obuhvaćeni iznimkom predviđenom u članku 2. stavku 2. točki (d) Uredbe 2016/679.45Osim toga, iako nije isključeno da se osobne podatke o kojima je riječ u glavnom postupku može upotrebljavati u okviru kaznenog progona, koji bi se, u slučaju kršenja poreznih propisa, mogao provoditi protiv određenih ispitanika, ne čini se da su ti podaci prikupljeni s konkretnim ciljem provođenja takvog kaznenog progona ili u okviru aktivnosti države u području kaznenog prava (vidjeti u tom smislu presudu od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 40.).46Stoga je prikupljanje osobnih podataka koje provodi porezna uprava države članice u vezi s oglasima o prodaji vozila objavljenima na internetskoj stranici gospodarskog subjekta obuhvaćeno materijalnim područjem primjene Uredbe 2016/679 i, slijedom toga, ono mora poštovati, među ostalim, načela koja se odnose na obradu osobnih podataka navedena u članku 5. te uredbe.47S obzirom na sva prethodna razmatranja, na prvo pitanje valja odgovoriti tako da odredbe Uredbe 2016/679 treba tumačiti na način da prikupljanje informacija koje uključuju veliku količinu osobnih podataka od gospodarskog subjekta koje provodi porezna uprava, podliježe zahtjevima te uredbe, osobito onima propisanima njezinim člankom 5. stavkom 1.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Drugo pitanje</HT></HT></P></TI>48Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li odredbe Uredbe 2016/679 tumačiti na način da porezna uprava države članice može odstupiti od odredaba članka 5. stavka 1. te uredbe iako joj takvo pravo nije dodijeljeno nacionalnim pravom te države članice.49Uvodno valja podsjetiti na to da se, kao što to proizlazi iz njezine uvodne izjave 10., Uredbom 2016/679 osobito nastoji osigurati visoka razina zaštite pojedinaca unutar Unije.50U tu svrhu, poglavlja II. i III. Uredbe 2016/679 navode, redom, načela kojima se uređuje obrada osobnih podataka kao i prava ispitanika koja se moraju poštovati kod svake obrade osobnih podataka. Konkretno, svaka obrada osobnih podataka mora, među ostalim, biti u skladu s načelima koja se odnose na obradu takvih podataka iz članka 5. navedene uredbe (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 208.).51Međutim, članak 23. Uredbe 2016/679 dopušta Uniji i državama članicama da donesu zakonske mjere kojima se ograničava opseg obveza i prava predviđenih, među ostalim, u članku 5. te uredbe, pod uvjetom da odgovaraju pravima i obvezama predviđenima u člancima 12. do 22. navedene uredbe, ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu važnih ciljeva od općeg interesa Unije ili predmetne države članice poput, između ostalog, važnog gospodarskog ili financijskog interesa, uključujući proračunska i porezna pitanja.52U tom pogledu, iz uvodne izjave 41. Uredbe 2016/679 proizlazi da upućivanje u toj uredbi na zakonodavnu mjeru ne znači nužno da parlament mora donijeti zakonodavni akt.53S obzirom na navedeno, valja podsjetiti na to da, kao što je to navedeno u njezinoj uvodnoj izjavi 4., Uredba 2016/679 poštuje sva temeljna prava i uvažava slobode i načela priznata Poveljom koja su sadržana u Ugovorima, među kojima je osobito zaštita osobnih podataka.54Međutim, u skladu s prvom rečenicom članka 52. stavka 1. Povelje, svako ograničenje pri ostvarivanju njome priznatih prava i sloboda, među kojima su, među ostalim, pravo na poštovanje privatnog života, zajamčeno člankom 7. Povelje, i pravo na zaštitu osobnih podataka, propisano njezinim člankom 8., mora biti predviđeno zakonom, što osobito podrazumijeva da pravna osnova kojom se dopušta zadiranje u ta prava mora definirati doseg ograničenja ostvarivanja dotičnog prava (vidjeti u tom smisli presudu od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 65. i navedenu sudsku praksu).55Sud je u tom pogledu, usto, presudio da propis koji sadržava mjeru koja dopušta takvo zadiranje mora sadržavati jasna i precizna pravila o dosegu i primjeni dotične mjere te propisivati minimalne uvjete, na način da osobe čiji su osobni podaci preneseni raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu tih podataka od rizika zlouporabe (vidjeti u tom smislu presudu od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 48. i navedenu sudsku praksu).56Slijedom toga, svaka mjera donesena na temelju članka 23. Uredbe 2016/679 mora, kao što je to uostalom zakonodavac Unije naglasio u uvodnoj izjavi 41. te uredbe, biti jasna i precizna te njezina primjena mora biti predvidljiva osobama na koje se primjenjuje. Konkretno, one moraju moći utvrditi okolnosti i uvjete pod kojima opseg prava koja im dodjeljuje navedena uredba može biti predmet ograničenja.57Iz prethodnih razmatranja proizlazi da porezna uprava države članice ne može odstupiti od odredaba članka 5. Uredbe 2016/679 ako ne postoji jasna i precizna pravna osnova predviđena pravom Unije ili nacionalnim pravom, čija je primjena predvidljiva osobama na koje se primjenjuje i kojom se predviđaju okolnosti i uvjeti pod kojima se opseg obveza i prava predviđenih tim člankom 5. može ograničiti.58Stoga na drugo pitanje valja odgovoriti tako da odredbe Uredbe 2016/679 treba tumačiti na način da porezna uprava države članice ne može odstupiti od odredaba članka 5. stavka 1. te uredbe ako joj takvo pravo nije dodijeljeno zakonskom mjerom u smislu njezina članka 23. stavka 1.<TI><P><HT TYPE="BOLD"><HT TYPE="ITALIC">Treće do deveto pitanje</HT></HT></P></TI>59Svojim trećim do devetim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li odredbe Uredbe 2016/679 tumačiti na način da im se protivi to da porezna uprava države članice nametne pružatelju usluga internetskog oglašavanja da joj tijekom neodređenog razdoblja i bez navođenja svrhe tog zahtjeva za otkrivanje otkrije informacije koje se odnose na sve porezne obveznike koji su objavili oglase u nekoj od rubrika njegova internetskog portala.60Uvodno valja primijetiti da je u situaciji poput one o kojoj je riječ u glavnom postupku moguće izvršiti dvije obrade osobnih podataka. Kao što to proizlazi iz točaka 37. i 38. ove presude, riječ je o prikupljanju osobnih podataka od dotičnog pružatelja usluga koje provodi porezna uprava i, u tom okviru, o tome da pružatelj tih usluga te podatke toj upravi otkriva prijenosom.61Kao što to proizlazi iz sudske prakse navedene u točki 50. ove presude, svaki od tih postupaka obrade mora, uz iznimke iz članka 23. Uredbe 2016/679, poštovati načela koja se odnose na obradu osobnih podataka navedena u članku 5. te uredbe kao i prava ispitanika koja se nalaze u njezinim člancima 12. do 22.62U ovom se slučaju sud koji je uputio zahtjev osobito pita o okolnosti da se, s jedne strane, obrade navedene u točki 60. ove presude odnose na informacije u neograničenoj količini koje se odnose na neodređeno razdoblje i, s druge strane, da svrha tih obrada u zahtjevu za otkrivanje informacija nije precizirana.63U tom pogledu treba istaknuti, kao prvo, da je člankom 5. stavkom 1. točkom (b) Uredbe 2016/679 propisano da se osobni podaci trebaju prikupljati, između ostalog, u posebne, izričite i zakonite svrhe.64Najprije, zahtjev prema kojem svrhe obrade moraju biti određene podrazumijeva, kao što to proizlazi iz uvodne izjave 39. te uredbe, da ih treba utvrditi najkasnije u vrijeme prikupljanja osobnih podataka.65Nadalje, svrhe obrade moraju biti izričite, što znači da trebaju biti jasno navedene.66Naposljetku, te svrhe moraju biti zakonite. Stoga je važno da one osiguraju zakonitu obradu u smislu članka 6. stavka 1. navedene uredbe.67Obrade iz točke 60. ove presude pokrenute su zahtjevom za otkrivanje osobnih podataka koji latvijska porezna uprava upućuje pružatelju usluga internetskog oglašavanja. U tom se pogledu čini da je taj pružatelj usluge, na temelju članka 15. stavka 6. Zakona o porezima i nametima, dužan udovoljiti takvom zahtjevu.68S obzirom na razmatranja iznesena u točkama 64. i 65. ove presude, potrebno je da su svrhe tih obrada u tom zahtjevu jasno navedene.69Pod uvjetom da su svrhe koje su tako navedene u predmetnom zahtjevu potrebne za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti porezne uprave, ta je okolnost, kao što to proizlazi iz članka 6. stavka 1. prvog podstavka initio i točke (e) Uredbe 2016/679, u vezi s člankom 6. stavkom 3. drugim podstavkom te uredbe, dovoljna kako bi navedene obrade ispunjavale i zahtjev zakonitosti naveden u točki 66. ove presude.70U tom pogledu valja podsjetiti na to da naplatu poreza i borbu protiv utaje poreza treba smatrati zadaćama od javnog interesa u smislu članka 6. stavka 1. prvog podstavka točke (e) Uredbe 2016/679 (vidjeti po analogiji presudu od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 108.).71Iz toga slijedi da je, u slučaju u kojem se otkrivanje predmetnih osobnih podataka ne temelji izravno na zakonskoj odredbi koja čini njegovu osnovu, nego je posljedica zahtjeva nadležnog javnog tijela, potrebno da se u tom zahtjevu pojasni koje su posebne svrhe tog prikupljanja podataka s obzirom na zadaću od javnog interesa ili izvršavanje službene ovlasti kako bi se adresatu navedenog zahtjeva omogućilo da se uvjeri da je prijenos predmetnih osobnih podataka zakonit, a nacionalnim sudovima da provedu kontrolu zakonitosti predmetnih obrada.72Kao drugo, u skladu s člankom 5. stavkom 1. točkom (c) Uredbe 2016/679, osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno s obzirom na svrhe zbog kojih se obrađuju.73U tom pogledu valja podsjetiti na to da, prema ustaljenoj sudskoj praksi, odstupanja i ograničenja načela zaštite takvih podataka moraju biti u granicama onoga što je strogo nužno (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 110. i navedenu sudsku praksu).74Iz toga slijedi da voditelj obrade, uključujući kada djeluje u okviru zadaće od javnog interesa koja mu je povjerena, ne može općenito i bez razlike pristupiti prikupljanju osobnih podataka te se mora suzdržati od prikupljanja podataka koji nisu strogo nužni s obzirom na svrhe obrade.75U ovom slučaju valja istaknuti da je latvijska porezna uprava, kao što to proizlazi iz točaka 17. do 19. ove presude, zatražila od dotičnog gospodarskog subjekta da joj otkrije podatke u vezi s oglasima o prodaji osobnih vozila objavljenima na njegovoj internetskoj stranici između 14. srpnja i 31. kolovoza 2018. i, u slučaju da se pristup tim informacijama ne može ponovno uspostaviti, da joj najkasnije treći dan svakog mjeseca otkrije podatke u vezi s oglasima o prodaji osobnih vozila objavljenima na njegovoj internetskoj stranici tijekom prethodnog mjeseca, a da taj posljednji zahtjev nije ni na koji način vremenski ograničila.76S obzirom na razmatranja iznesena u točki 74. ove presude, na sudu koji je uputio zahtjev je da provjeri može li svrha prikupljanja tih podataka biti ugrožena a da latvijska porezna uprava potencijalno ne raspolaže podacima o svim oglasima za prodaju osobnih vozila objavljenima na internetskoj stranici navedenog subjekta i, osobito, je li moguće da ta uprava cilja određene oglase pomoću posebnih kriterija.77U tom kontekstu valja istaknuti da, u skladu s načelom pouzdanosti iz članka 5. stavka 2. Uredbe 2016/679, voditelj obrade mora moći dokazati da poštuje načela obrade osobnih podataka navedena u stavku 1. tog članka.78Stoga je na latvijskoj poreznoj upravi da utvrdi da je, u skladu s člankom 25. stavkom 2. te uredbe, nastojala smanjiti što je više moguće količinu osobnih podataka koju treba prikupiti.79Kada je riječ o okolnosti da zahtjev za otkrivanje koji je uputila latvijska porezna uprava ne predviđa, u slučaju da dotični pružatelj usluga oglašavanja nije uspostavio pristup oglasima objavljenima u razdoblju na koje se odnosi zahtjev, nikakvo vremensko ograničenje, valja podsjetiti na to da je, s obzirom na načelo smanjenja količine podataka, voditelj obrade također dužan, s obzirom na predviđeni cilj prikupljanja, ograničiti razdoblje prikupljanja predmetnih osobnih podataka na ono što je krajnje nužno.80Stoga razdoblje na koje se odnosi prikupljanje ne može prelaziti trajanje koje je krajnje nužno za postizanje željenog cilja u općem interesu.81Kao što to proizlazi iz točke 77. ove presude, teret dokazivanja u tom pogledu je na latvijskoj poreznoj upravi.82Stoga, okolnost da se navedeni podaci prikupljaju a da latvijska porezna uprava u samom zahtjevu za otkrivanje nije odredila vremensko ograničenje za takvu obradu ne omogućuje, sama po sebi, zaključak da trajanje obrade prelazi ono što je krajnje nužno za postizanje željenog cilja od općeg interesa.83Međutim, u tom kontekstu valja podsjetiti na to da, kako bi se ispunio zahtjev proporcionalnosti izražen u članku 5. stavku 1. točki (c) Uredbe 2016/679 (vidjeti u tom smislu presudu do 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 98. i navedenu sudsku praksu), propis na kojem se temelji obrada mora imati propisana jasna i precizna pravila kojima se uređuje doseg i primjena predmetne mjere te propisivati minimalne uvjete, tako da osobe o čijim je osobnim podacima riječ raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu tih podataka od rizika zlouporabe. On mora biti pravno obvezujući u unutarnjem pravu i osobito navoditi u kojim se okolnostima i pod kojim uvjetima mjera kojom se predviđa obrada takvih podataka može donijeti, jamčeći time da će njezino zadiranje biti ograničeno na ono što je strogo nužno (presuda od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 68. i navedena sudska praksa).84Iz toga slijedi da se nacionalni propis kojim se uređuje zahtjev za otkrivanje poput onoga o kojem je riječ u glavnom postupku mora temeljiti na objektivnim kriterijima za definiranje okolnosti i uvjeta pod kojima je pružatelj usluga na internetu dužan prenositi osobne podatke u vezi sa svojim korisnicima (vidjeti u tom smislu presudu od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 78. i navedenu sudsku praksu).85S obzirom na sva prethodna razmatranja, na treće do deveto pitanje valja odgovoriti tako da odredbe Uredbe 2016/679 treba tumačiti na način da im se ne protivi to da porezna uprava države članice nametne pružatelju usluga internetskog oglašavanja da joj otkrije informacije koje se odnose na porezne obveznike koji su objavili oglase u nekoj od rubrika njegova internetskog portala, pod uvjetom, među ostalim, da su ti podaci nužni s obzirom na posebne svrhe za koje se prikupljaju i da razdoblje na koje se odnosi prikupljanje navedenih podataka ne prelazi trajanje koje je krajnje nužno za postizanje željenog cilja u općem interesu.<TI><P><HT TYPE="BOLD">Troškovi</HT></P></TI>86Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.Slijedom navedenog, Sud (peto vijeće) odlučuje:1.Odredbe Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da prikupljanje informacija koje uključuju veliku količinu osobnih podataka od gospodarskog subjekta, koje provodi porezna uprava, podliježe zahtjevima te uredbe, osobito onima propisanima njezinim člankom 5. stavkom 1.2.Odredbe Uredbe 2016/679 treba tumačiti na način da porezna uprava države članice ne može odstupiti od odredaba članka 5. stavka 1. te uredbe ako joj takvo pravo nije dodijeljeno zakonskom mjerom u smislu njezina članka 23. stavka 1.3.Odredbe Uredbe 2016/679 treba tumačiti na način da im se ne protivi to da porezna uprava države članice nametne pružatelju usluga internetskog oglašavanja da joj otkrije informacije koje se odnose na porezne obveznike koji su objavili oglase u nekoj od rubrika njegova internetskog portala, pod uvjetom, među ostalim, da su ti podaci nužni s obzirom na posebne svrhe za koje se prikupljaju i da razdoblje na koje se odnosi prikupljanje navedenih podataka ne prelazi trajanje koje je krajnje nužno za postizanje željenog cilja u općem interesu.

Potpisi