1

Svojim tužbama na temelju članka 263. UFEU‑a, tužitelj, Data Protection Commission, irsko nadzorno tijelo u području zaštite osobnih podataka, traži djelomično poništenje obvezujućih odluka Europskog odbora za zaštitu podataka (u daljnjem tekstu: EDPB) 3/2022, 4/2022 i 5/2022 od 5. prosinca 2022. koje se odnose na sporove između predmetnih nadzornih tijela proizašlih iz tužiteljevih nacrta odluka u vezi, redom, s društvenom mrežom Facebook, društvenom mrežom Instagram i aplikacijom za slanje poruka WhatsApp, s obzirom na to da mu je tim obvezujućim odlukama naloženo provođenje novih istraga nad obradama podataka koje su povezane s korištenjem tih aplikacija i izrada dopunskih nacrta odluka na toj osnovi.

Činjenice i postupak

6

Nakon razmjene informacija s drugim predmetnim nadzornim tijelima, tužitelj je utvrdio da neće biti postignut konsenzus u pogledu prigovora podnesenih protiv njegovih nacrta odluke i predao predmet na rješavanje EDPB‑u u okviru mehanizma konzistentnosti uspostavljenog Uredbom 2016/679, u skladu s njezinim člankom 60. stavkom 4.

7

Nakon što je razmotrio ta tri spisa, EDPB je 5. prosinca 2022., na temelju članka 65. stavka 1. točke (a) Uredbe 2016/679, donio obvezujuće odluke 3/2022, 4/2022 i 5/2022. U tim trima obvezujućim odlukama, EDPB je najprije ocijenio da je većina prigovora podnesenih protiv nacrtâ tužiteljevih odluka relevantna i obrazložena u smislu članka 4. točke 24. Uredbe 2016/679 i da može zauzeti stav o pitanjima koja su njima postavljena. U tom pogledu, EDPB je meritorno prihvatio određeni broj tih prigovora koje je ocijenio relevantnima i obrazloženima.

Zahtjevi stranaka

15

Tužitelj od Općeg suda zahtijeva da:

–

u predmetu T‑70/23, poništi drugu rečenicu točaka 198. i 487. EDPB‑ove obvezujuće odluke 3/2022;

–

u predmetu T‑84/23, poništi drugu rečenicu točaka 203. i 454. EDPB‑ove obvezujuće odluke 4/2022;

–

u predmetu T‑111/23, poništi točke 222. i 326.8. EDPB‑ove obvezujuće odluke 5/2022;

–

u trima predmetima EDPB‑u naloži snošenje tužiteljevih troškova.

16

EDPB u trima predmetima od Općeg suda zahtijeva da:

–

odbije tužbe;

–

podredno, pobijane odluke poništi samo u njihovim relevantnim dijelovima;

–

tužitelju naloži snošenje troškova.

Pravo

17

Tužitelj u trima predmetima ističe jedinstven tužbeni razlog koji se temelji na tvrdnji da je EDPB prekoračio nadležnost koja mu je dodijeljena člankom 65. stavkom 1. točkom (a) Uredbe 2016/679 time što mu je u svakoj od obvezujućih odluka o kojima je riječ naložio, s jedne strane, da provede novu istragu o aspektima koji još nisu razmotreni i, s druge strane, da na temelju rezultata te nove istrage podnese nacrt dopunske odluke, u skladu s člankom 60. stavkom 3. te uredbe.

Jedinstven tužbeni razlog koji se temelji na nenadležnosti EDPB‑a za donošenje pobijanih odluka

29

S obzirom na to, valja podsjetiti na to da iz ustaljene sudske prakse proizlazi da načelno u svrhu tumačenja odredbe prava Unije valja uzeti u obzir ne samo njezin tekst nego i kontekst te ciljeve propisa kojeg je ona dio (vidjeti u tom smislu presudu od 29. studenoga 2018., Mensing, C‑264/17, EU:C:2018:968, t. 24. i sudsku praksu). U konkretnom slučaju, određeni tužiteljevi argumenti proizlaze također iz razmatranja ili načela koja sežu izvan same Uredbe 2016/679. Opći sud će dakle odlučiti o opsegu EDPB‑ove nadležnosti na temelju članka 65. stavka 1. točke (a) Uredbe 2016/679 ispitujući, u mjeri u kojoj je to potrebno, prije svega argumente koje je tužitelj iznio u okviru doslovne, kontekstualne, teleološke i povijesne analize te uredbe, zatim one koji se temelje na uvjetima za dodjelu nadležnosti tijelu Unije, značajkama sudskog nadzora koji se provodi na nacionalnoj razini i neovisnosti nadzornih tijela zaduženih za zaštitu osobnih podataka.

Argumenti o opsegu EDPB‑ove nadležnosti na temelju članka 65. stavka 1. točke (a) Uredbe 2016/679, istaknuti u okviru doslovne, kontekstualne, teleološke i povijesne analize navedene uredbe

30

Tužitelj se oslanja na tekstove članka 65. stavka 1. točke (a), članka 65. stavka 6. kao i članka 4. točke 24. Uredbe 2016/679 u prilog tvrdnji da EDPB nije nadležan da bi vodećem nadzornom tijelu, u obvezujućoj odluci donesenoj na temelju prve od tih odredbi, naložio da proširi svoju istragu i podnese novi nacrt odluke kako bi u njemu uzeo u obzir zaključke iz te dopunske istrage. U tom se smislu također poziva na uvodne izjave 126. i 136. te uredbe.

31

Članak 65. stavak 1. točka (a) Uredbe 2016/679 glasi:

32

Člankom 4. točkom 24. Uredbe 2016/679 relevantan i obrazložen prigovor definiran je kako slijedi:

33

U članku 65. stavku 6. Uredbe 2016/679 navedeno je, među ostalim, sljedeće:

34

Tužitelj smatra da tri odredbe navedene u točkama 31. do 33. ove presude opseg EDPB‑ove obvezujuće odluke donesene na temelju članka 65. stavka 1. točke (a) Uredbe 2016/679 ograničavaju na opseg analiza izvršenih u nacrtu odluke vodećeg nadzornog tijela dostavljenom drugim nadzornim tijelima na koja se spis odnosi. Naime, takva obvezujuća odluka može biti donesena samo nakon relevantnog i obrazloženog prigovora koji se mora odnositi na sadržaj nacrta odluke, a ne na ono što u njemu nije navedeno. Pravni učinak obvezujuće odluke ograničen je na izmjene koje prema članku 65. stavku 6. te uredbe nadležno nadzorno tijelo treba unijeti, u roku od mjesec dana od njezina priopćenja, u konačnu odluku u odnosu na nacrt odluke. Stoga se obvezujuća odluka može odnositi samo na pravilno tumačenje Uredbe 2016/679 u odnosu na ono što je navedeno u nacrtu odluke vodećeg nadzornog tijela, a predmetne odredbe ne daju EDPB‑u nikakva ovlast da tom tijelu daje upute u vezi s nekim drugim pitanjem, primjerice, kako bi ga se obvezalo da vodi istragu ili podnese novi nacrt odluke.

35

Međutim, takvo shvaćanje je usko s obzirom na tekst odredbi navedenih u točkama 31. do 33. ove presude. Naime, treba podsjetiti na to da članak 4. točka 24. Uredbe 2016/679 u pojam „relevantan i obrazložen prigovor” uključuje „prigovor na nacrt odluke kao i na to je li došlo do kršenja ove Uredbe […] koji jasno pokazuje važnost rizika koje predstavlja nacrt odluke u pogledu temeljnih prava i sloboda ispitanika”. Naime, iako članak 65. stavak 1. točka (a) Uredbe 2016/679 propisuje da se obvezujuća odluka donesena na tom temelju „odnosi na sva pitanja koja su predmet relevantnog i obrazloženog prigovora”, nije zabranjeno to da se takav prigovor odnosi na nepostojanje ili nedostatnost analize, u tom nacrtu odluke vodećeg nadzornog tijela, aspekta spisa zbog kojeg nije moguće saznati je li došlo do povrede navedene uredbe u pogledu tog aspekta. Izraz „prigovor na nacrt odluke” nije ograničen, suprotno onomu što tvrdi tužitelj, na prigovore na razmatranja koja su navedena u nacrtu odluke. Slijedom toga, s obzirom na to da se EDPB‑ova obvezujuća odluka mora odnositi na sva pitanja koja su predmet relevantnih i obrazloženih prigovora, nije zabranjeno da se u toj odluci, onda kad EDPB prihvati relevantan i obrazložen prigovor koji se odnosi na nepostojanje ili nedostatnost te prirode, nalazi nalog vodećem nadzornom tijelu da ispravi taj nedostatak u analizi, i da, ako je to potrebno s obzirom na spis kojim raspolaže EDPB, u tu svrhu produbi ili proširi istragu koja je do tada provedena. Naime, ako se pokaže da spis nije dovoljan da bi se u potpunosti provela potrebna analiza, to mora rezultirati time da EDPB ima mogućnost vodećem nadzornom tijelu naložiti dopunu istrage.

36

Potrebo je također utvrditi da tekst triju odredbi navedenih u točkama 31. do 33. ove presude, razmatranih zajedno, opseg obvezujuće odluke ne ograničava samo na neposredne izmjene koje treba unijeti u nacrt odluke koji je podnijelo vodeće nadzorno tijelo radi donošenja konačne odluke pod uvjetima pojašnjenima u članku 65. stavku 6. Uredbe 2016/679, odnosno samo na izmjene koje se odnose na sadržaj nacrta odluke, a ne na ono što u njoj nije navedeno. U tom pogledu, suprotno onomu što tvrdi tužitelj, potonjom se odredbom samo pojašnjavaju načini donošenja konačne odluke kad njezino donošenje može uslijediti odmah nakon EDPB‑ove obvezujuće odluke, posebno onda kad nije potrebno ponoviti istragu ili provesti širu ili dublju analizu određenih aspekata spisa. Ona ne predstavlja odredbu koja se odnosi na moguć sadržaj obvezujuće odluke, koji je određen pravnom osnovom na temelju koje je ta odluka donesena, u ovom slučaju člankom 65. stavkom 1. točkom (a) Uredbe 2016/679, koju kao takvu treba primijeniti u vezi s člankom 4. točkom 24. te uredbe što se tiče definicije pojma „relevantan i obrazložen prigovor”. S tim u vezi treba naglasiti da su člankom 65. stavkom 1. Uredbe 2016/679 predviđene različite vrste EDPB‑ovih obvezujućih odluka koje nužno ne podrazumijevaju posljedično i neposredno donošenje konačne odluke od strane nadzornog tijela.

38

Tekstom uvodnih izjava 126. i 136. Uredbe 2016/679, suprotno onomu što tvrdi tužitelj, ne može se dovesti u pitanje doslovna analiza iz točaka 35. i 36. ove presude triju odredbi iz točaka 31. do 33. ove presude. Zakonodavac naime, u prvoj od tih uvodnih izjava, navodeći da bi se „[o] odluci trebali zajednički dogovoriti vodeće nadzorno tijelo i predmetno nadzorno tijelo”, iz ocjene predmetnih nadzornih tijela koja nisu vodeće nadzorno tijelo ni na koji način ne izuzima pitanje opsega analize koji bi takva odluka u konkretnom slučaju morala obuhvatiti, nego upravo suprotno, jer se „odluka” ne materijalizira samo ocjenama koje se u njoj nalaze nego i opsegom aspekata koje obuhvaća. Slijedom toga, ako o tom pitanju ne postoji konsenzus među predmetnim nadzornim tijelima i predmet je s tim u vezi upućen EDPB‑u, tekst te uvodne izjave ne isključuje mogućnost da EDPB naloži proširenje analize i, ako je to potrebno, istrage. Jednako tako, u uvodnoj izjavi 136. Uredbe 2016/679 navedeno je da bi EDPB „trebao izdati […] pravno obvezujuće odluke u jasno određenim slučajevima u kojima postoje sukobljena stajališta među nadzornim tijelima posebno u mehanizmu za suradnju između vodećeg nadzornog tijela i predmetn[ih] nadzorn[ih] tijela o meritumu predmeta, osobito o tome je li došlo do kršenja ove Uredbe”. Suprotno onomu što tvrdi tužitelj, opseg istrage nije obuhvaćen postupovnim aspektom nego meritumom spisa, jer je njime određen opseg onoga što treba ispitati radi ocjene toga je li obrada podataka odnosno jesu li obrade podataka o kojima je riječ u skladu s Uredbom 2016/679.

39

S tim u vezi, već je sada moguće odbiti drugi tužiteljev argument prema kojem tumačenje pojma „relevantan i obrazložen prigovor” iz točke 35. ove presude, EDPB‑u daje mogućnost da vodećem nadzornom tijelu da naloge u vezi sa svim ovlastima koje to tijelo ima pod jednim uvjetom, a taj je da je pitanje koje je postavilo predmetno nadzorno tijelo kvalificirano kao relevantan i obrazložen prigovor u tako utvrđenom smislu. Kao što je to navedeno u članku 4. točki 24. Uredbe 2016/679, relevantan i obrazložen prigovor na nacrt odluke vodećeg nadzornog tijela može se odnositi samo na aspekt koji se tiče pitanja usklađenog postupanja s tom uredbom ili toga jesu li s njom u skladu i same korektivne ovlasti predviđene u vezi s voditeljem obrade ili izvršiteljem obrade. Takav se prigovor stoga može odnositi isključivo na meritum spisa i na konačne ovlasti donošenja odluka vodećeg nadzornog tijela, koje su među ostalim predviđene člankom 58. stavkom 2. te uredbe, i također su obuhvaćene meritumom. Slijedom toga, takav se prigovor ne može odnositi na vođenje same istrage (za razliku od opsega istrage), koje se temelji na istražnim ovlastima nadzornih tijela, navedenima u članku 58. stavku 1. Uredbe 2016/679.

40

Doslovna analiza članka 65. stavka 1. točke (a) Uredbe 2016/679, provedena uzimanjem u obzir tekstova članka 4. točke 24., članka 65. stavka 6. i uvodnih izjava 126. i 136. te uredbe, ide dakle u prilog EDPB‑ovoj nadležnosti za donošenje odredbi, poput pobijanih odredbi, kojima se tužitelju daje nalog da provede novu istragu o određenim aspektima dotičnog spisa i da potom u tom pogledu donese nove nacrte odluka. Treba ispitati jesu li tužiteljevi argumenti istaknuti u okviru njegova kontekstualnog i teleološkog tumačenja Uredbe 2016/679 takvi da proturječe zaključcima te prve analize.

43

U tom pogledu, suprotno onomu što ističe tužitelj, postupak suradnje među nadzornim tijelima koja se bave nekim slučajem, opisan u članku 60. Uredbe 2016/679, koji može podrazumijevati pokretanje mehanizma konzistentnosti čije izvršavanje osigurava EDPB, predviđenog u stavku 4., nije „jednosmjeran” postupak u kojem stadiji uvijek slijede redoslijed odredbi koje ih predviđaju, bez mogućnosti povratka u prethodni stadij ili privremenog zadržavanja u istom stadiju. Stoga, primjerice, polazeći od situacije na koju ukazuje tužitelj, predviđene u stavku 5., u kojoj je samo vodeće nadzorno tijelo namjeravalo uzeti u obzir prigovore drugih predmetnih nadzornih tijela protiv njegova nacrta odluke podnesenog na temelju stavka 3. i u kojoj je tim tijelima podnijelo revidirani nacrt odluke, postupak se može nastaviti na nekoliko načina. U slučaju da ta tijela ne istaknu prigovor na revidirani nacrt, nakon toga se, u skladu sa stavcima 6. do 9., izravno donose konačna odluka odnosno konačne odluke. U suprotnom, odnosno u slučaju prigovorâ na revidirani nacrt, ako ih vodeće nadzorno tijelo djelomično ili u cijelosti prihvati, ponovno se odvija stadij predviđen u stavku 5., s tim da vodeće nadzorno tijelo mora podnijeti novi revidirani nacrt, uzimajući u obzir prigovore koje je prihvatilo. Ako vodeće nadzorno tijelo ne prihvati sve ili dio prigovora na revidirani nacrt, ono mora, u skladu sa stavkom 4., pokrenuti mehanizam konzistentnosti pokretanjem postupka pred EDPB‑om na temelju revidiranog nacrta odluke koji je najviše razrađen.

44

EDPB u svojem odgovoru na tužbu daje drugi primjer kojim ilustrira da postupak suradnje među nadzornim tijelima koja se bave nekim slučajem, predviđen člankom 60. Uredbe 2016/679, nije nužno „jednosmjeran”. Slijedom prigovora drugih predmetnih nadzornih tijela, istaknutih protiv njegova nacrta odluke podnesenog na temelju stavka 3. tog članka, samo vodeće nadzorno tijelo može smatrati da se, umjesto toga da odmah podnese revidirani nacrt odluke ili pokrene mehanizam konzistentnosti, treba vratiti unazad i produbiti ispitivanje prije podnošenja novog nacrta odluke na temelju tog stavka 3. EDPB navodi da je francusko nadzorno tijelo u jednom predmetu bilo postupilo na taj način.

45

Isto tako, u slučaju uključivanja EDPB‑a na temelju stavka 4. tog članka i donošenja obvezujuće odluke, moguće je više scenarija. Ako su svi relevantni aspekti slučaja dostatno obrađeni u nacrtu odluke vodećeg nadzornog tijela, ono, ili ako je to slučaj, nadzorno tijelo kojem je podnesena pritužba, mogu na temelju stavaka 6. do 9. tog članka, donijeti jednu ili više konačnih odluka kojima se okončava slučaj, uzimajući osobito u obzir obvezujuću odluku EDPB‑a. Ako EDPB, s druge strane, u svojoj obvezujućoj odluci, nakon prigovora istaknutih u tom smislu, dođe do zaključka da u nacrtu odluke vodećeg nadzornog tijela nisu ili su nedostatno obrađeni svi relevantni aspekti slučaja i da je stoga po potrebi nužno ponovno pokrenuti istragu, vodeće nadzorno tijelo ili nadzorno tijelo kojem je pritužba bila podnesena mogu na temelju naprijed navedenih odredbi eventualno donijeti jednu ili više djelomičnih konačnih odluka, ali vodeće nadzorno tijelo mora istovremeno dopuniti svoju analizu, nakon što je, po potrebi, provelo novu istragu kako bi drugim predmetnim nadzornim tijelima u skladu sa stavkom 3. tog članka podnijelo nacrt dopunske odluke.

46

Tužitelj ističe drugi argument na temelju kontekstualnog tumačenja prema kojem, u vezi s uvodnom izjavom 141. Uredbe 2016/679, članak 57. stavak 1. točka (f) te uredbe, u kojem je navedeno da nadzorno tijelo rješava pritužbe i istražuje u odgovarajućoj mjeri njihov predmet, dokazuje da i sam opseg istrage koju treba provesti nakon pritužbe ulazi u okvir ocjene nacionalnih nadzornih tijela, što jedino podliježe sudskom nadzoru nacionalnog suda.

47

U uvodnoj izjavi 141. Uredbe 2016/679 navedeno je među ostalim sljedeće:

48

Članak 57. stavak 1. točka (f) Uredbe 2016/679 i uvodne izjave na koje se poziva tužitelj međutim ne dovode do isključenja pitanja prikladnosti opsega istrage iz mehanizama suradnje među predmetnim nadzornim tijelima i nadzora nad konzistentnosti od strane EDPB‑a.

49

Naime, članak 57. Uredbe 2016/679, koji se odnosi na sve zadaće nadzornih tijela, kao prvu zadaću u svojem stavku 1. točki (a) predviđa praćenje i provedbu primjene navedene uredbe. Stoga, suprotno onomu što tužitelj u bitnome ističe na raspravi, analizu uvjeta u kojima se izvršava obrada osobnih podataka i njezine sukladnosti s tom uredbom ne treba ograničiti samo na ono što osoba koja je podnosi ističe u svojoj pritužbi.

50

Dakako, osiguranje potpunog obavljanja zadaća predviđenih u članku 57. stavku 1. točkama (a) i (f) Uredbe 2016/679, briga o postupanju u skladu s tom uredbom i rješavanje pritužbi u odgovarajućoj mjeri, podrazumijeva utvrđivanje odgovarajućeg opsega analize spisa s obzirom na pritužbu zbog koje se ona provodi, ali i s obzirom na druge podatke koji je mogu dopuniti. Ta analiza može dovesti, ako je riječ o prekograničnoj obradi dotične obrade osobnih podataka, do donošenja odluka koje su predmet postupka suradnje predviđenog člankom 60. te uredbe. U okviru tog postupka, kriterij koji treba zadovoljiti kako bi o nekom pitanju mogla biti donesena EDPB‑ova obvezujuća odluka donesena na temelju članka 65. stavka 1. točke (a) te uredbe, jest to da je zbog tog pitanja podnesen relevantan i obrazložen prigovor, kako je definiran u članku 4. točki 24. te uredbe. Naime, relevantan i obrazložen prigovor se prema svojoj definiciji odnosi na aspekte čija je analiza obuhvaćena dvjema naprijed spomenutim zadaćama. Slijedom toga, činjenica da se relevantan i obrazložen prigovor odnosi na opseg analize i, ako je to slučaj, opseg istrage i njegovo prihvaćanje od strane EDPB‑a, ni na koji način ne dovodi u pitanje te zadaće. Osim toga, činjenica da je protiv privremenih odluka nadzornih tijela donesenih nakon pritužbe moguće nacionalnim sudovima podnijeti pravni lijek ne sprječava mogućnost da s druge strane nacrt odluke vodećeg nadzornog tijela može biti predmet nadzora EDPB‑a u materijalnim granicama mehanizma konzistentnosti uspostavljenog Uredbom 2016/679.

51

Tužiteljevi argumenti, istaknuti na osnovi kontekstualnog tumačenja stoga ne mogu potkrijepiti njegovo stajalište o nenadležnosti EDPB‑a za donošenje pobijanih odredbi.

52

Suprotno tomu, opći kontekst obveze suradnje među nadzornim tijelima koja se bave nekim slučajem, utvrđen u Uredbi 2016/679, potvrđuje EDPB‑ovu nadležnost u tom pogledu. Naime, članak 60. stavak 1. navedene uredbe među ostalim propisuje da „[v]odeće nadzorno tijelo surađuje s drugim predmetnim nadzornim tijelima u skladu s ovim člankom kako bi se nastojao postići konsenzus”. Člankom 60. stavkom 3. te uredbe pojašnjava se da „[v]odeće nadzorno tijelo bez odgađanja obavješćuje o bitnim informacijama u vezi s predmetom druga predmetna nadzorna tijela” i da im „bez odgađanja podnosi nacrt odluke […] kako bi ona dala svoje mišljenje te pridaje dužnu pozornost njihovim stajalištima”.

53

Iz toga proizlazi da se suradnja među predmetnim nadzornim tijelima među ostalim odnosi na analizu cjelokupnog slučaja i na pripremu odluke, te da vodeće nadzorno tijelo mora s tim u vezi od drugih predmetnih nadzornih tijela tražiti suglasnost. Na temelju naprijed navedenih odredbi ni u kojem slučaju nije moguće iz te obveze suradnje izostaviti pitanje opsega analize koju treba izvršiti ni, ako je to slučaj, pitanje opsega prethodne istrage koju treba provesti. U presudi od 15. lipnja 2021., Facebook Ireland i dr. (C‑645/19, EU:C:2021:483, t. 63. i 64.), Sud je podsjetio na nužnost dijaloga te lojalne i djelotvorne suradnje među nadzornim tijelima koja se bave određenim slučajem.

54

Iz točaka 41. do 53. ove presude proizlazi da ispitivanje konteksta koji proizlazi iz odredbi Uredbe 2016/679 potvrđuje prethodno provedenu doslovnu analizu.

55

Što se tiče teleološkog tumačenja, tužitelj prije svega tvrdi da priznati EDPB‑u ovlast da vodećem nadzornom tijelu naloži da pripremi nacrt dopunske odluke i u tu svrhu prethodno proširi opseg njegove istrage nije u skladu sa svrhama „jedinstvenog mehanizma” koji je bio želja zakonodavca prilikom donošenja Uredbe 2016/679. Uspostavljanje jedinstvenog nadzornog tijela značilo bi za zainteresirane osobe, među ostalim, izbjegavanje suvišnih troškova i prekomjernih neugodnosti, kao što je to navedeno u uvodnoj izjavi 129. te uredbe. Ponovno pokretanje istrage zbog pukog neslaganja među nadzornim tijelima bilo bi protivno tom cilju, obvezivanjem podnositelja pritužbi i dotičnih poduzetnika da se suoče s ponavljanjem istrage, s troškovima i neugodnostima, iako je taj stadij već trebao biti okončan.

56

Međutim, dovoljno je utvrditi, a da se pritom nije potrebno izjasniti o namjerama zakonodavca, da jedinstveni mehanizam odgovara cilju pojednostavljenja proceduralne prirode koji ne može imati prednost pred osnovnim ciljem Uredbe 2016/679, a to je poštovanje temeljnog prava fizičkih osoba na zaštitu njihovih osobnih podataka. Prva uvodna izjava navedene uredbe s tim u vezi podsjeća na to da članak 8. stavak 1. Povelje Europske unije o temeljnim pravima i članak 16. stavak 1. UFEU‑a propisuju da svatko ima pravo na zaštitu svojih osobnih podataka. Proširenje istrage, koje nužno mora zahtijevati barem polovina nadzornih tijela u okviru EDPB‑a, nema za svrhu – suprotno onomu što tvrdi tužitelj – znatno otežati zadatak osobe koja je podnijela pritužbu ili onaj voditelja obrade na kojeg se ona odnosi, ali predstavlja mjeru za zaštitu njihovih prava. Imajući sve to u vidu, istraga i analiza vodećeg nadzornog tijela koja odmah pokriva sve aspekte potrebne za pripremu potpune konačne odluke o slučaju o kojem je riječ omogućuju izbjegavanje problema koje spominje tužitelj.

57

Treba također odbiti i tužiteljev argument prema kojem ponovno pokretanje istrage odgađa konačnu odluku o aspektima koji su već bili analizirani i o kojima je donesena odluka.

58

Naime, kao što je to uostalom u ovom slučaju tvrdio tužitelj, u takvoj situaciji nadležno tijelo, suprotno tomu, mora donijeti konačnu odluku o meritornim aspektima koji su analizirani i o kojima je odlučeno nakon obvezujuće odluke EDPB‑a u roku predviđenom člankom 65. stavkom 6. Uredbe 2016/679. To ga ne sprječava u provođenju dopunske istrage i analize još nerazmotrenih aspekata slučaja.

59

Tužitelj osim toga ističe da neuključivanje EDPB‑a u određivanju opsega analize koju treba provesti u nekom slučaju, što predstavlja prethodno ili postupovno pitanje, ne sprječava djelovanje mehanizma za suradnju među nadzornim tijelima.

60

Međutim, djelovanje mehanizma za suradnju je ograničeno kad predmetna nadzorna tijela ne postignu konsenzus. Upravo u toj situaciji, koja je izričito predviđena člankom 60. stavkom 4. Uredbe 2016/679, vodeće nadzorno tijelo mora pitanje o kojem ne postoji konsenzus predati na rješavanje u sklopu mehanizma konzistentnosti, nakon čega EDPB donosi obvezujuću odluku, kao što je to navedeno u toj odredbi.

61

Tužitelj naposljetku zaključuje da se takvo nepostojanje konsenzusa rješava u okviru sudskog preispitivanja koje provodi nacionalni sud. Podsjeća na to da je u članku 58. stavku 4. i uvodnoj izjavi 141. Uredbe 2016/679 navedeno da istraga podliježe učinkovitom sudskom preispitivanju.

62

Dakako, ako EDPB ne može riješiti problem povezan s opsegom analize koju provodi vodeće nadzorno tijelo, u tom pogledu može doći do intervencije nacionalnog suda. Međutim, Uredbom 2016/679 predviđeno je da se problemi izneseni u okviru relevantnog i obrazloženog prigovora predmetnog nadzornog tijela, u smislu članka 4. točke 24. navedene uredbe, rješavaju u okviru mehanizama suradnje i, po potrebi, konzistentnosti, među nadzornim tijelima. Naime, kao što je to ranije analizirano, zbog problema koji se odnosi na opseg analize i, ako je to slučaj, opseg istrage koje vodi vodeće nadzorno tijelo može biti podnesen relevantan i obrazložen prigovor u naprijed navedenom smislu. Slijedom toga, moguće pokretanje postupka pred nacionalnim sudom o problemu te prirode, što uostalom ne mora nužno biti jednostavno osobi koja podnosi pritužbu a boravi u državi koja nije država vodećeg nadzornog tijela, ne podrazumijeva to da se trajna neslaganja među predmetnim nadzornim tijelima o pitanjima koja su bila predmet relevantnih i obrazloženih prigovora ne bi mogla rješavati u okviru EDPB‑a.

63

Iz točaka 55. do 62. ove presude proizlazi da ispitivanje svrha Uredbe 2016/679 također potvrđuje prethodno provedenu doslovnu analizu.

Argumenti koji se temelje na uvjetima za dodjelu nadležnosti tijelu Unije, značajkama sudskog nadzora koji se izvršava na nacionalnoj razini i neovisnosti nadzornih tijela zaduženih za zaštitu osobnih podataka

65

Kao prvo, tužitelj u bitnome smatra da na temelju načela koja uređuju dodjelu nadležnosti tijelu Unije Uredbu 2016/679 nije moguće tumačiti na način koji proizlazi iz prethodnih analiza, odnosno na način prema kojem se EDPB‑u njome dodjeljuje sporna nadležnost.

66

Tužitelj se poziva na članak 5. UEU‑a kako bi podsjetio na to da Unija može djelovati samo u granicama nadležnosti koje su joj dodijeljene. To se načelo primjenjuje na institucije i na tijela Unije poput EDPB‑a. Potonja više podliježu „doktrini Meroni” koja proizlazi iz presude od 13. lipnja 1958., Meroni/Haute Autorité (9/56, EU:C:1958:7), koja se primjenjuje na tijela Unije, kao što je to Sud presudio u odnosu na Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala (ESMA) u presudi od 22. siječnja 2014., Ujedinjena Kraljevina/Parlament i Vijeće (C‑270/12, EU:C:2014:18, t. 53. i 54.). Tom je doktrinom propisano da ovlasti tijela Unije moraju biti jasno ograničene i da podliježu sudskom nadzoru s obzirom na ciljeve koji su postavljeni dotičnom tijelu. Konkretno, u točki 45. druge prethodno spomenute presude utvrđeno je da je ESMA‑ina ovlast o kojoj se raspravljalo u tom predmetu, koju je Sud u konačnici potvrdio, ograničena različitim kriterijima i uvjetima koji određuju djelokrug tog tijela. U presudi od 15. srpnja 2021., FBF (C‑911/19, EU:C:2021:599, t. 67. i 75.), koja se odnosi na Europsko nadzorno tijelo za bankarstvo (ABE), Sud je pojasnio da ovlast tijela Unije mora biti izričito predviđena od strane zakonodavca i da sudski nadzor nad tom ovlašću mora biti strog.

67

Ta načela primijenjena u sudskoj praksi tiču se naime EDPB‑a koji je kao tijelo Unije osnovan člankom 68. Uredbe 2016/679.

68

Stoga najprije treba provjeriti je li na temelju tumačenja koje je ranije prihvaćeno u ovoj presudi moguće smatrati da je izvršavanje ovlasti EDPB‑a, kad vodećem nadzornom tijelu nalaže proširenje njegove analize i, po potrebi, njegove istrage, „ograničeno različitim kriterijima i uvjetima koji određuju [njegov] djelokrug”, kao što je to Sud utvrdio u pogledu ESMA‑ine ovlasti koja je bila osporavana u predmetu povodom kojeg je donesena presuda od 22. siječnja 2014., Ujedinjena Kraljevina/Parlament i Vijeće (C‑270/12, EU:C:2014:18).

69

U tom pogledu, kao što to proizlazi iz članka 65. stavka 1. točke (a) Uredbe 2016/679 u vezi s člankom 4. točkom 24. te uredbe, ta ovlast – da se vodećem nadzornom tijelu naloži da proširi svoju analizu i, po potrebi, svoju istragu – može biti provedena tek nakon što predmetno nadzorno tijelo podnese relevantan i obrazložen prigovor na nacrt odluke vodećeg nadzornog tijela o slučaju o kojem je riječ, koji se odnosi na nepostojanje analize aspekta pitanja „je li došlo do kršenja […] Uredbe [2016/679] ili je li djelovanje predviđeno u vezi s voditeljem obrade ili izvršiteljem obrade u skladu s [tom] uredbom” i koji „jasno pokazuje važnost rizika koje predstavlja nacrt odluke u pogledu temeljnih prava i sloboda ispitanika i, ako je primjenjivo, slobodnog protoka osobnih podataka unutar Unije”.

70

Usto, na temelju članka 65. stavaka 2. i 3. Uredbe 2016/679, provedba prethodno navedene ovlasti pretpostavlja da je unutar EDPB‑a, dvotrećinska većina ili barem većina njegovih članova u određenim okolnostima, uključujući predsjednika u slučaju jednakog broja glasova, načelno prihvatila taj relevantan i obrazložen prigovor i mjere koje povodom njega treba provesti. Potrebno je dakle da znatan broj nadzornih tijela potvrdi nepostojanje ili nedostatnost analize nekog bitnog aspekta slučaja o kojem je riječ i da se složi s mjerama koje treba provesti vodeće nadzorno tijelo kako bi to ispravilo. S tim u vezi treba uzeti u obzir to da i sam EDPB čini velik broj neovisnih tijela koja su specijalizirana na tom području, i slijedom toga, to da njihovo većinsko usklađeno mišljenje unutar EDPB‑a pruža jamstva u pogledu izvršavanja te ovlasti. Osim toga, iako pojam „relevantan i obrazložen prigovor”, naveden u točki 69. ove presude dakako ostavlja mjesta margini prosudbe, osobito kako bi se odredilo jesu li voditelj obrade ili dotični izvršitelj obrade povrijedili Uredbu 2016/679 odnosno treba li razmotriti taj aspekt da bi se to saznalo, sva ta pitanja ipak upućuju na konkretna pravna pravila iz te uredbe, što ne omogućuje izvršavanje „široke diskrecijske ovlasti”.

71

Zaključno, što se tiče pitanja određivanja EDPB‑ove ovlasti, koju tužitelj osporava, treba dakle utvrditi da se ta ovlast, s jedne strane, provodi samo u slučaju točno određene nedostatnosti analize vodećeg nadzornog tijela prilikom obrade slučaja, koja može imati bitne posljedice, kao što to proizlazi iz definicije relevantnog i obrazloženog prigovora iz članka 4. točke 24. Uredbe 2016/679, i, s druge strane, da ta ovlast proizlazi iz kolektivne ocjene nadzornih tijela koja sačinjavaju EDPB do koje dolazi pod uvjetima istaknutima u točki 70. ove presude.

72

Kad je riječ o pitanju je li zakonodavac dotičnu ovlast „izričito” predvidio, treba naglasiti da prilog „izričito” kao i prilozi „eksplicitno” i „jasno” koji su sinonimi i koji redom upućuju na pridjeve „izričit”, „eksplicitan” i „jasan”, znači da ne postoji sumnja o opsegu navedenog. Naime, iz prethodno izvršenih tumačenja na doslovnoj, kontekstualnoj i teleološkoj osnovi proizlazi da ne postoji sumnja o činjenici da EDPB ima osporavanu ovlast i slijedom toga o činjenici da ju je zakonodavac izričito predvidio. U presudi od 15. srpnja 2021., FBF (C‑911/19, EU:C:2021:599), u vezi s EBA‑om, može se primijetiti da su se smjernice tog tijela, čija je nadležnost za njihovo usvajanje bila osporavana, odnosile na „sustave upravljanja bankovnim proizvodima za građanstvo i nadzora nad tim proizvodima”. Ni u jednom tekstu koji se primjenjuje na to tijelo nije bilo doslovno navedeno da je ono s tim u vezi moglo donositi smjernice. Tek je na temelju analize svih tih tekstova, odnosno uredbe o osnivanju EBA‑e, kojom je općenito bila predviđena njegova nadležnost za donošenje smjernica u određene svrhe, i raznih direktiva u vezi s financijskim institucijama i proizvodima, Sud zaključio da je donošenje spornih smjernica obuhvaćeno tom nadležnošću.

73

Usto, potrebno je utvrditi da izvršavanje EDPB‑ove ovlasti da vodećem nadzornom tijelu naloži da proširi svoju analizu i, po potrebi, svoju istragu, svakako podliježe sudskom nadzoru. Točno je da je u konkretnom slučaju tužitelj odabrao osporavati pobijane odredbe samo zbog nenadležnosti EDPB‑a, a da pritom nije doveo u pitanje konkretnu ocjenu potonjeg u pogledu prigovora koje su izjavila određena nadzorna tijela u odnosu na njegove nacrte odluka, a riječ je o ocjeni koja je dovela do donošenja tih odredbi. Međutim, u granicama tužbenih razloga koji se pred njime ističu, sud Unije može provjeriti materijalnu zakonitost takvih odredbi s obzirom na okolnosti slučaja. Među ostalim, on može prije svega provjeriti je li EDPB donošenjem takvih odredbi postupio slijedom relevantnog i obrazloženog prigovora nadzornog tijela u smislu članka 4. točke 24. Uredbe 2016/679. Potom može provjeriti zakonitost samog sadržaja takvih odredbi dajući naputke nadzornim tijelima.

74

Takva vrsta sudskog nadzora je „stroga” u smislu koji je upotrijebljen u presudi od 15. srpnja 2021., FBF (C‑911/19, EU:C:2021:599, t. 67.). Naime, sud koji ispituje zakonitost obvezuju njegova funkcija kao i postupovna pravila, a njegov nadzor mora nužno biti strog ako u potpunosti ispunjava svoju funkciju u okviru tih pravila. Kad je riječ o meritornim pitanjima, sud koji ispituje zakonitost izvršava uobičajeni nadzor (načelno u vezi s pravnim aspektima, utvrđivanjem činjenica i slučajevima ograničene nadležnosti) prema margini prosudbe kojom autor pobijanog akta raspolaže ili ne raspolaže, odnosno ograničeni nadzor (načelno o složenim tehničkim aspektima ili kad tijelo raspolaže marginom prosudbe, a riječ je o slučajevima u kojima sud sankcionira samo očitu pogrešku u ocjeni) (vidjeti u tom smislu i po analogiji što se tiče nadzora nacionalnog suda nad odlukama nacionalnih tijela u području zaštite osobnih podataka, presudu od 7. prosinca 2023., SCHUFA Holding (Otpis nepodmirenih dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 68. i 69.).

75

Iz točaka 67. do 74. ove presude proizlazi da se uvjetima za dodjelu nadležnosti tijelu Unije ne protivi analiza koja je prethodno izvršena u ovoj presudi.

76

Kao drugo, tužitelj ističe različite razloge kako bi dokazao da su nacionalni sudovi „prikladni sudovi” za postupanje u pogledu svih osporavanja u vezi s istragom, odnosno da se nalaze u najboljoj poziciji da to čine.

77

Međutim, kao što je to navedeno u točki 62. ove presude, zakonodavac Unije odabrao je da se trajna neslaganja između predmetnih nadzornih tijela, koja se odnose na opseg analize nekog slučaja i, ako je to slučaj, na opseg istrage koja je provedena u vezi s njime, rješavaju u okviru mehanizma konzistentnosti u okviru EDPB‑a. Slijedom toga, bespredmetni su tužiteljevi argumenti kojima želi dokazati da su nacionalni sudovi „prikladni sudovi” za postupanje u pogledu osporavanja u vezi s istragom.

78

Potrebno je dodati, s obzirom na to da se i nacionalni sud i EDPB mogu naći u situaciji da odlučuju o opsegu analize i istrage, da je na području primjene pravila o tržišnom natjecanju propisanih člancima 101. i 102. UFEU‑a, u kojem su odgovornosti također podijeljene između nacionalne razine i razine Unije radi provedbe Unijine politike, u sudskoj praksi Suda utvrđen određen broj načela da bi se uskladila postupanja nacionalnih sudova i Unijina tijela zaduženog za osiguranje usklađenosti u primjeni dotične politike, odnosno Komisije (presude od 28. veljače 1991., Delimitis, C‑234/89, EU:C:1991:91 i od 14. prosinca 2000., Masterfoods i HB, C‑344/98, EU:C:2000:689). Iako nije isključeno da na temelju tih načela nacionalni sud smatra boljim prekinuti postupak dok čeka odluku nadležnog Unijina tijela ili da nakon donošenja te odluke može biti njome vezan, osim ako sumnja u njezinu valjanost i od Suda u okviru prethodnog postupka zatraži njegovu ocjenu u tom pogledu, te su situacije svojstvene takvoj podijeli odgovornosti i potrebi da se u cijeloj Uniji osigura usklađenost u primjeni dotične politike.

79

Treba također dodati, suprotno onomu što kao treće tvrdi tužitelj, da EDPB‑ova obvezujuća odluka, donesena na temelju članka 65. stavka 1. točke (a) Uredbe 2016/679, kojom je tužitelju naloženo da proširi svoje analizu i istragu ne dovodi u pitanje njegovu sposobnost da kao neovisno tijelo odredi prioritete prilikom ispunjenja svojih različitih zadaća, a riječ je o zadatku nad kojim nadzor provodi sam nacionalni sud. Općenitije, njome se ne dovodi u pitanje ni njegova neovisnost utvrđena u članku 39. UEU‑a, članku 16. stavku 2. UFEU‑a i članku 8. stavku 3. Povelje Europske unije o temeljnim pravima.

80

Naime, s jedne strane, bilo da je to na vlastitu inicijativu, u stadiju suradnje među predmetnim nadzornim tijelima nakon intervencija njemu ekvivalentnih tijela u tom smislu ili nakon takve obvezujuće odluke, ako se vodeće nadzorno tijelo nađe u situaciji da mora dopuniti svoju analizu i svoju istragu o nekom slučaju, ono nije obvezno to učiniti, a da pritom prekine s radom na svim slučajevima, dajući tomu prednost u odnosu na njegove druge zadaće. Ono primjerice može najaviti da će se prvi nacrt odluke ili prva donesena odluka odnositi samo na dio pitanja koja su se pojavila u dotičnom slučaju i da će nakon toga nastaviti svoje analize i istragu.

81

Samo u okolnostima predviđenima u članku 66. Uredbe 2016/679, ako predmetno nadzorno tijelo smatra da postoji hitna potreba za djelovanjem kako bi se zaštitila prava i slobode ispitanika, hitnom obvezujućom odlukom EDPB‑a može se vodeće nadzorno tijelo obvezati na to da bez odgode razmotri redoslijed svojih prioriteta kako bi riješilo neki slučaj. Zakonodavac je dakle previdio tu mogućnost samo u iznimnim slučajevima. Naime, obvezujuće odluke 3/2022, 4/2022 i 5/2022 nisu bile donesene na temelju navedenog članka 66. i njima stoga tužitelju nije određen red prioriteta među njegovim različitim zadaćama.

82

S druge strane, odredbe primarnog prava na koje se poziva tužitelj ne podrazumijevaju apsolutnu neovisnost u smislu nepostojanja bilo kakvog nadzora tijela država članica koja su prvenstveno zadužena voditi računa o primjeni pravila o zaštiti osobnih podataka. U tim je odredbama samo navedeno da je obavljanje nadzora nad poštovanjem navedenih pravila povjereno neovisnim tijelima, što stoga nikako ne sprječava zajednički sustav kontrole među neovisnim tijelima, kao što su mehanizam za suradnju i mehanizam konzistentnosti predviđeni u Uredbi 2016/679, ni naravno, sudski nadzor nad odlukama koje su donijela različita uključena tijela. Ono što je bitno jest to da su i sami kontrolori kontrolora neovisni. To je slučaj s EDPB‑om, jer se sastoji od nadzornih tijela država članica i Europskog nadzornika za zaštitu podataka, koji je i sam tijelo koje je neovisno naspram institucija i drugih subjekata Unije koje nadzire.

Troškovi

84

U skladu s člankom 134. stavkom 1. Poslovnika, stranka koja ne uspije u postupku dužna je, na zahtjev protivne stranke, snositi troškove. Budući da tužitelj nije uspio u postupku, treba mu naložiti snošenje troškova sukladno zahtjevu EDPB‑a.

1.

Odbijaju se tužbe u predmetima T‑70/23, T‑84/23 i T‑111/23.

2.

Data Protection Commission snosit će troškove.