Pitanje iz naslova je definitivno od ključne važnosti radi određivanja primjenjuje li se GDPR u određenom slučaju ili ne. Stoga je presuda Europskog suda, koju donosimo, obvezno štivo svakog voditelja i izvršitelja obrade, svakog nadzornog tijela i profesionalca u području zaštite osobnih podataka.
Za uvod je važno prepoznati što GDPR kaže u uvodnoj izjavi (26):
„Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi.
Kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj.
Načela zaštite podataka stoga se ne bi trebala primjenjivati na anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Ova se Uredba stoga ne odnosi na obradu takvih anonimnih informacija, među ostalim za statističke ili istraživačke svrhe.“
Presuda EUCJ u slučaju C‑479/22 P je ovdje:
Izdvajamo:
- Upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” iz članka 4. stavka 1. GDPR‑a odražava cilj zakonodavca Unije da tom pojmu da široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu
- Informacija se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi
- Pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet te fizičke osobe
- Zakonodavac EU upotrebljava pojam „neizravno” kako bi istaknuo da za kvalifikaciju informacije kao osobnog podatka nije potrebno da ta informacija sama po sebi omogućuje identifikaciju osobe o kojoj je riječ
- Kako bi se odredilo može li se identitet pojedinca utvrditi, treba uzeti u obzir ,,sva sredstva” koja voditelj obrade ili ,,bilo koja druga osoba mogu po svemu sudeći” upotrijebiti u svrhu ,,izravnog ili neizravnog” utvrđivanja identiteta pojedinca. Dakle, kako bi se podatak mogao kvalificirati kao „osobni podatak” nije potrebno da se sve informacije koje omogućuju utvrđivanje identiteta osobe o kojoj je riječ moraju nalaziti u posjedu samo jedne osobe.
- Okolnost da su potrebne dodatne informacije za utvrđivanje identiteta osobe o kojoj je riječ ne može isključiti mogućnost da se predmetni podaci kvalificiraju kao osobni podaci
- Također je potrebno da mogućnost kombiniranja predmetnih podataka s dodatnim informacijama predstavlja sredstvo koje se može po svemu sudeći upotrijebiti za utvrđivanje identiteta osobe o kojoj je riječ.
- Kako bi se utvrdilo je li po svemu sudeći izgledno da će se upotrijebiti sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj.
- Sud je već presudio da se za sredstvo ne može po svemu sudeći očekivati da će se upotrijebiti za utvrđivanje identiteta osobe o kojoj je riječ ako je identifikacija te osobe zabranjena zakonom ili neostvariva u praksi, primjerice, zbog toga što bi značila nerazmjerne napore u pogledu vremena, troškova i rada, tako da se rizik identifikacije u stvarnosti čini neznatnim.
- Činjenica da su dodatne informacije u posjedu druge osobe ili izvora, a ne voditelja obrade podataka o kojima je riječ, ni na koji način ne isključuje to da se može utvrditi identitet osobe o kojoj je riječ.
Image from FreePik
#gdprcroatia
