–

za „SS” SIA, M. Ruķers,

–

za latvijsku vladu, K. Pommere, V. Soņeca i L. Juškeviča, a zatim K. Pommere, u svojstvu agenata,

–

za belgijsku vladu, J.-C. Halleux i P. Cottin, u svojstvu agenata, uz asistenciju C. Molitor, avocat,

–

za vladu Helenske Republike, E.-M. Mamouna i O. Patsopoulou, u svojstvu agenata,

–

za španjolsku vladu, J. Rodríguez de la Rúa Puig i S. Jiménez García, a zatim J. Rodríguez de la Rúa Puig, u svojstvu agenata,

–

za Europsku komisiju, H. Kranenborg, D. Nardi i I. Rubene, a zatim H. Kranenborg i I. Rubene, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.), osobito njezina članka 5. stavka 1.

2

Zahtjev je upućen u okviru spora između društva „SS” SIA i Valsts ieņēmumu dienestsa (Porezna uprava, Latvija) (u daljnjem tekstu: latvijska porezna uprava) povodom zahtjeva za otkrivanje informacija u vezi s oglasima za prodaju vozila objavljenima na internetskoj stranici društva SS.

3

Uredba 2016/679, koja se temelji na članku 16. UFEU‑a, primjenjuje se, na temelju njezina članka 99. stavka 2., od 25. svibnja 2018.

4

Uvodne izjave 1., 4., 10., 19., 26., 31., 39., 41. i 50. te uredbe propisuju:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

[…]

5

Članak 2. Uredbe 2016/679, naslovljen „Glavno područje primjene”, propisuje:

„1.   Ova se uredba primjenjuje na obradu osobnih podataka koja se u cijelosti [ili djelomično] obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

2.   Ova se uredba ne odnosi na obradu osobnih podataka:

[…]”

6

Članak 4. te uredbe naslovljen „Definicije” glasi kako slijedi:

„Za potrebe ove uredbe:

[…]

[…]

[…]”

7

U skladu s člankom 5. navedene uredbe naslovljenim „Načela obrade osobnih podataka”:

„1.   Osobni podaci moraju biti:

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

8

Članak 6. te iste uredbe, naslovljen „Zakonitost obrade”, predviđa:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.

2.   Države članice mogu zadržati ili uvesti posebne odredbe kako bi se primjena pravila ove uredbe s obzirom na obradu prilagodila radi usklađivanja sa stavkom 1. točkama (c) i (e) tako da se preciznije odrede posebni zahtjevi za obradu te druge mjere za osiguravanje zakonite i poštene obrade, među ostalim za druge posebne situacije obrade kako je predviđeno u poglavlju IX.

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. […] Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

9

U skladu s člankom 13. stavkom 3. Uredbe 2016/679:

„Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci prikupljeni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.”

10

Članak 14. te uredbe propisuje:

„1.   Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:

[…]

[…]

5.   Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:

[…]

[…]”

11

U skladu s člankom 23. stavkom 1. točkom (e) navedene uredbe:

„Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

[…]”

12

Članak 25. stavak 2. Uredbe 2016/679 propisuje:

„Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.”

13

Uvodne izjave 10. i 11. Direktive 2016/680 glase:

14

Članak 3. te direktive određuje:

„Za potrebe ove direktive:

[…]

7. ,nadležno tijelo' znači:

[…]”

15

U skladu s člankom 15. stavkom 6. likumsa „Par nodokļiem un nodevām” (Zakon o porezima i nametima, Latvijas Vēstnesis, 1995., br. 26), u verziji koja se primjenjivala u glavnom postupku (u daljnjem tekstu: Zakon o porezima i nametima), pružatelj usluga internetskog oglašavanja obvezan je na zahtjev latvijske porezne uprave pružiti informacije kojima raspolaže u pogledu poreznih obveznika koji su objavili oglase koristeći se navedenim uslugama.

16

Društvo SS je pružatelj usluga oglašavanja objavljenih na internetu sa sjedištem u Latviji.

17

Latvijska porezna uprava uputila je 28. kolovoza 2018. društvu SS zahtjev za otkrivanje informacija na temelju članka 15. stavka 6. Zakona o porezima i nametima u kojem je pozvala to društvo da obnovi pristup koji je ta porezna uprava imala brojevima šasije vozila koja su predmet oglasa objavljenog na internetskom portalu navedenog društva kao i telefonskim brojevima prodavatelja te da joj najkasnije do 3. rujna 2018. pruži informacije u vezi s oglasima objavljenima u rubrici „Osobna vozila tog portala u razdoblju od 14. srpnja do 31. kolovoza 2018.”

18

U tom je zahtjevu bilo navedeno da te informacije, koje obuhvaćaju poveznicu na oglas, njegov tekst, marku vozila, model, broj šasije i cijenu vozila kao i broj telefona prodavatelja, moraju biti dostavljene u elektroničkom obliku u formatu koji omogućuje filtriranje ili odabir podataka.

19

Osim toga, u slučaju da nije bilo moguće obnoviti pristup informacijama iz oglasa objavljenih na predmetnom internetskom portalu, od društva SS se tražilo da navede razlog te da najkasnije treći dan svakog mjeseca dostavi relevantne informacije u vezi s oglasima objavljenima tijekom prethodnog mjeseca.

20

Smatrajući da zahtjev za otkrivanje informacija latvijske porezne uprave nije u skladu s načelima proporcionalnosti i smanjenja količine osobnih podataka propisanima Uredbom 2016/679, društvo SS podnijelo je pritužbu protiv tog zahtjeva vršitelju dužnosti glavnog direktora latvijske porezne uprave.

21

Odlukom od 30. listopada 2018. potonji je odbio tu pritužbu navodeći, među ostalim, da u okviru obrade osobnih podataka o kojima je riječ u glavnom postupku latvijska porezna uprava izvršava ovlasti koje su joj dodijeljene zakonom.

22

Društvo SS podnijelo je administratīvā rajona tiesi (Općinski upravni sud, Latvija) tužbu za poništenje te odluke. Osim argumenata koje je iznijelo u svojoj pritužbi, ono je u njoj istaknulo da u predmetnoj odluci nije navedena posebna svrha obrade osobnih podataka koju je predvidjela latvijska porezna uprava ni količina podataka koji su joj potrebni, protivno članku 5. stavku 1. Uredbe 2016/679.

23

Presudom od 21. svibnja 2019. administratīvā rajona tiesa (Općinski upravni sud) odbila je tu tužbu navodeći, u biti, da je latvijska porezna uprava imala pravo zatražiti pristup informacijama koje se odnose na bilo koju osobu i u neograničenoj količini, osim ako se te informacije ne smatraju nespojivima sa svrhom naplate poreza. Taj je sud, osim toga, smatrao da se odredbe Uredbe 2016/679 ne primjenjuju na tu upravu.

24

Društvo SS podnijelo je žalbu protiv te presude sudu koji je uputio zahtjev tvrdeći, s jedne strane, da se na latvijsku poreznu upravu primjenjuju odredbe Uredbe 2016/679 i, s druge strane, da je ta uprava, time što je svaki mjesec i bez vremenskog ograničenja zahtijevala znatnu količinu osobnih podataka u vezi s neodređenim brojem oglasa a da pritom nije navela konkretne porezne obveznike protiv kojih se vodi postupak poreznog nadzora, povrijedila načelo proporcionalnosti.

25

Sud koji je uputio zahtjev navodi da u okviru glavnog postupka nije sporno da je izvršenje predmetnog zahtjeva za otkrivanje informacija neodvojivo povezano s obradom osobnih podataka ni to da latvijska porezna uprava ima pravo dobiti informacije kojima raspolaže pružatelj usluga objave oglasa na internetu i koje su nužne za poduzimanje posebnih radnji u području naplate poreza.

26

Glavni postupak odnosi se na količinu i vrstu informacija koje može zatražiti latvijska porezna uprava, njihovu ograničenost odnosno neograničenost, kao i na pitanje treba li obvezu otkrivanja informacija kojoj podliježe društvo SS vremenski ograničiti.

27

Konkretno, sud koji je uputio zahtjev smatra da je na njemu da utvrdi je li obrada osobnih podataka u okolnostima iz glavnog postupka provedena transparentno u odnosu na ispitanike, jesu li informacije navedene u predmetnom zahtjevu za otkrivanje zatražene u posebne, izričite i zakonite svrhe te provodi li se obrada osobnih podataka samo u mjeri koja je stvarno potrebna za izvršavanje funkcija latvijske porezne uprave u smislu članka 5. stavka 1. Uredbe 2016/679.

28

U tu svrhu potrebno je definirati kriterije na temelju kojih se može ocijeniti poštuje li zahtjev za otkrivanje informacija koji je uputila latvijska porezna uprava bit temeljnih sloboda i prava te može li se zahtjev za otkrivanje o kojem je riječ u glavnom postupku smatrati nužnim i proporcionalnim u demokratskom društvu kako bi se osigurali važni ciljevi Unije i latvijski javni interesi u području proračuna i poreza.

29

U tim je okolnostima Administratīvā apgabaltiesa (Okružni upravni sud, Latvija) odlučila prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

30

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li odredbe Uredbe 2016/679 tumačiti na način da prikupljanje informacija koje uključuju veliku količinu osobnih podataka od gospodarskog subjekta, koje provodi porezna uprava, podliježe zahtjevima te uredbe, osobito onima propisanima njezinim člankom 5. stavkom 1.

31

Kako bi se odgovorilo na to pitanje, valja provjeriti, kao prvo, ulazi li takav zahtjev u materijalno područje primjene Uredbe 2016/679, kako je definirano u njezinu članku 2. stavku 1. i, kao drugo, je li taj zahtjev jedan od slučajeva obrade osobnih podataka koje članak 2. stavak 2. te uredbe isključuje iz tog područja primjene.

32

Kao prvo, u skladu s njezinim člankom 2. stavkom 1., Uredba 2016/679 primjenjuje se na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

33

Članak 4. točka 1. Uredbe 2016/679 pojašnjava da „osobni podaci” znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi odnosno osobu koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet. Uvodna izjava 26. te uredbe u tom pogledu pojašnjava da, kako bi se odredilo može li se identitet pojedinca utvrditi, treba uzeti u obzir sva sredstva koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca.

34

U okviru glavnog postupka nesporno je da su informacije čije otkrivanje traži latvijska porezna uprava osobni podaci u smislu članka 4. točke 1. Uredbe 2016/679.

35

Na temelju članka 4. točke 2. te uredbe, prikupljanje, obavljanje uvida, otkrivanje prijenosom i svaki oblik stavljanja na raspolaganje osobnih podataka jest „obrada” u smislu navedene uredbe. Iz teksta te odredbe, a osobito iz izraza „svaki postupak”, proizlazi da je zakonodavac Unije pojmu „obrada” namjeravao dati široko značenje. To tumačenje potvrđuje neiscrpnost popisa postupaka navedenih u predmetnoj odredbi izražena izrazom „kao što su”.

36

U ovom slučaju latvijska porezna uprava zahtijeva od dotičnog gospodarskog subjekta da ponovno uspostavi pristup njezinih službi brojevima šasije vozila koja su predmet oglasa objavljenog na njegovu internetskom portalu i da joj otkrije informacije u vezi s oglasima objavljenima na tom portalu.

37

Takvim se zahtjevom, kojim porezna uprava države članice od gospodarskog subjekta traži otkrivanje i stavljanje na raspolaganje osobnih podataka koje joj je potonji dužan otkriti i staviti na raspolaganje na temelju nacionalnog propisa te države članice, započinje postupak „prikupljanja” tih podataka u smislu članka 4. točke 2. Uredbe 2016/679.

38

Osim toga, otkrivanje i stavljanje na raspolaganje navedenih podataka koje provodi gospodarski subjekt o kojem je riječ toj upravi podrazumijeva „obradu” u smislu članka 4. točke 2.

39

Kao drugo, valja ispitati može li se smatrati da je postupak kojim porezna uprava države članice od gospodarskog subjekta želi prikupiti osobne podatke koji se odnose na određene porezne obveznike isključen iz područja primjene Uredbe 2016/679 na temelju njezina članka 2. stavka 2.

40

U tom pogledu najprije valja podsjetiti na to da ta odredba predviđa iznimke od područja primjene te uredbe, kako je ono definirano u njezinu članku 2. stavku 1., i da te iznimke treba usko tumačiti (presuda od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 84.).

41

Konkretno, članak 2. stavak 2. točka (d) Uredbe 2016/679 propisuje da se potonji ne primjenjuje na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija.

42

Kao što proizlazi iz uvodne izjave 19. te uredbe, ta je iznimka motivirana činjenicom da su obrade osobnih podataka koje nadležna tijela provode u takve svrhe uređene posebnim aktom Unije, odnosno Direktivom 2016/680, koja je donesena istog dana kada i Uredba 2016/679 i koja u članku 3. točki 7. definira što treba smatrati pod „nadležnim tijelom”, pri čemu takvu definiciju treba po analogiji primijeniti na članak 2. stavak 2. točku (d) te uredbe (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 69.).

43

Iz uvodne izjave 10. Direktive 2016/680 proizlazi da pojam „nadležno tijelo” treba tumačiti u vezi sa zaštitom osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, vodeći računa o prilagodbama koje se u tom pogledu mogu pokazati nužnima zbog specifične naravi tih područja. Nadalje, u uvodnoj izjavi 11. te direktive navodi se da se Uredba 2016/679 primjenjuje na obradu osobnih podataka koju provodi „nadležno tijelo” u smislu članka 3. točke 7. navedene direktive, ali u druge svrhe od onih koje su u njoj predviđene (presuda od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 70.).

44

Stoga, kada od gospodarskog subjekta traži da mu otkrije osobne podatke koji se odnose na određene porezne obveznike u svrhu naplate poreza i borbe protiv utaje poreza, ne čini se da se porezna uprava države članice može smatrati „nadležnim tijelom” u smislu članka 3. točke 7. Direktive 2016/680 ni, prema tome, da takvi zahtjevi za otkrivanje informacija mogu biti obuhvaćeni iznimkom predviđenom u članku 2. stavku 2. točki (d) Uredbe 2016/679.

45

Osim toga, iako nije isključeno da se osobne podatke o kojima je riječ u glavnom postupku može upotrebljavati u okviru kaznenog progona, koji bi se, u slučaju kršenja poreznih propisa, mogao provoditi protiv određenih ispitanika, ne čini se da su ti podaci prikupljeni s konkretnim ciljem provođenja takvog kaznenog progona ili u okviru aktivnosti države u području kaznenog prava (vidjeti u tom smislu presudu od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 40.).

46

Stoga je prikupljanje osobnih podataka koje provodi porezna uprava države članice u vezi s oglasima o prodaji vozila objavljenima na internetskoj stranici gospodarskog subjekta obuhvaćeno materijalnim područjem primjene Uredbe 2016/679 i, slijedom toga, ono mora poštovati, među ostalim, načela koja se odnose na obradu osobnih podataka navedena u članku 5. te uredbe.

47

S obzirom na sva prethodna razmatranja, na prvo pitanje valja odgovoriti tako da odredbe Uredbe 2016/679 treba tumačiti na način da prikupljanje informacija koje uključuju veliku količinu osobnih podataka od gospodarskog subjekta koje provodi porezna uprava, podliježe zahtjevima te uredbe, osobito onima propisanima njezinim člankom 5. stavkom 1.

48

Svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li odredbe Uredbe 2016/679 tumačiti na način da porezna uprava države članice može odstupiti od odredaba članka 5. stavka 1. te uredbe iako joj takvo pravo nije dodijeljeno nacionalnim pravom te države članice.

49

Uvodno valja podsjetiti na to da se, kao što to proizlazi iz njezine uvodne izjave 10., Uredbom 2016/679 osobito nastoji osigurati visoka razina zaštite pojedinaca unutar Unije.

50

U tu svrhu, poglavlja II. i III. Uredbe 2016/679 navode, redom, načela kojima se uređuje obrada osobnih podataka kao i prava ispitanika koja se moraju poštovati kod svake obrade osobnih podataka. Konkretno, svaka obrada osobnih podataka mora, među ostalim, biti u skladu s načelima koja se odnose na obradu takvih podataka iz članka 5. navedene uredbe (vidjeti u tom smislu presudu od 6. listopada 2020., La Quadrature du Net i dr., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, t. 208.).

51

Međutim, članak 23. Uredbe 2016/679 dopušta Uniji i državama članicama da donesu „zakonske mjere” kojima se ograničava opseg obveza i prava predviđenih, među ostalim, u članku 5. te uredbe, pod uvjetom da odgovaraju pravima i obvezama predviđenima u člancima 12. do 22. navedene uredbe, ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu važnih ciljeva od općeg interesa Unije ili predmetne države članice poput, između ostalog, važnog gospodarskog ili financijskog interesa, uključujući proračunska i porezna pitanja.

52

U tom pogledu, iz uvodne izjave 41. Uredbe 2016/679 proizlazi da upućivanje u toj uredbi na „zakonodavnu mjeru” ne znači nužno da parlament mora donijeti zakonodavni akt.

53

S obzirom na navedeno, valja podsjetiti na to da, kao što je to navedeno u njezinoj uvodnoj izjavi 4., Uredba 2016/679 poštuje sva temeljna prava i uvažava slobode i načela priznata Poveljom koja su sadržana u Ugovorima, među kojima je osobito zaštita osobnih podataka.

54

Međutim, u skladu s prvom rečenicom članka 52. stavka 1. Povelje, svako ograničenje pri ostvarivanju njome priznatih prava i sloboda, među kojima su, među ostalim, pravo na poštovanje privatnog života, zajamčeno člankom 7. Povelje, i pravo na zaštitu osobnih podataka, propisano njezinim člankom 8., mora biti predviđeno zakonom, što osobito podrazumijeva da pravna osnova kojom se dopušta zadiranje u ta prava mora definirati doseg ograničenja ostvarivanja dotičnog prava (vidjeti u tom smisli presudu od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 65. i navedenu sudsku praksu).

55

Sud je u tom pogledu, usto, presudio da propis koji sadržava mjeru koja dopušta takvo zadiranje mora sadržavati jasna i precizna pravila o dosegu i primjeni dotične mjere te propisivati minimalne uvjete, na način da osobe čiji su osobni podaci preneseni raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu tih podataka od rizika zlouporabe (vidjeti u tom smislu presudu od 2. ožujka 2021., Prokuratuur (Uvjeti pristupa podacima o elektroničkim komunikacijama), C‑746/18, EU:C:2021:152, t. 48. i navedenu sudsku praksu).

56

Slijedom toga, svaka mjera donesena na temelju članka 23. Uredbe 2016/679 mora, kao što je to uostalom zakonodavac Unije naglasio u uvodnoj izjavi 41. te uredbe, biti jasna i precizna te njezina primjena mora biti predvidljiva osobama na koje se primjenjuje. Konkretno, one moraju moći utvrditi okolnosti i uvjete pod kojima opseg prava koja im dodjeljuje navedena uredba može biti predmet ograničenja.

57

Iz prethodnih razmatranja proizlazi da porezna uprava države članice ne može odstupiti od odredaba članka 5. Uredbe 2016/679 ako ne postoji jasna i precizna pravna osnova predviđena pravom Unije ili nacionalnim pravom, čija je primjena predvidljiva osobama na koje se primjenjuje i kojom se predviđaju okolnosti i uvjeti pod kojima se opseg obveza i prava predviđenih tim člankom 5. može ograničiti.

58

Stoga na drugo pitanje valja odgovoriti tako da odredbe Uredbe 2016/679 treba tumačiti na način da porezna uprava države članice ne može odstupiti od odredaba članka 5. stavka 1. te uredbe ako joj takvo pravo nije dodijeljeno zakonskom mjerom u smislu njezina članka 23. stavka 1.

59

Svojim trećim do devetim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita treba li odredbe Uredbe 2016/679 tumačiti na način da im se protivi to da porezna uprava države članice nametne pružatelju usluga internetskog oglašavanja da joj tijekom neodređenog razdoblja i bez navođenja svrhe tog zahtjeva za otkrivanje otkrije informacije koje se odnose na sve porezne obveznike koji su objavili oglase u nekoj od rubrika njegova internetskog portala.

60

Uvodno valja primijetiti da je u situaciji poput one o kojoj je riječ u glavnom postupku moguće izvršiti dvije obrade osobnih podataka. Kao što to proizlazi iz točaka 37. i 38. ove presude, riječ je o prikupljanju osobnih podataka od dotičnog pružatelja usluga koje provodi porezna uprava i, u tom okviru, o tome da pružatelj tih usluga te podatke toj upravi otkriva prijenosom.

61

Kao što to proizlazi iz sudske prakse navedene u točki 50. ove presude, svaki od tih postupaka obrade mora, uz iznimke iz članka 23. Uredbe 2016/679, poštovati načela koja se odnose na obradu osobnih podataka navedena u članku 5. te uredbe kao i prava ispitanika koja se nalaze u njezinim člancima 12. do 22.

62

U ovom se slučaju sud koji je uputio zahtjev osobito pita o okolnosti da se, s jedne strane, obrade navedene u točki 60. ove presude odnose na informacije u neograničenoj količini koje se odnose na neodređeno razdoblje i, s druge strane, da svrha tih obrada u zahtjevu za otkrivanje informacija nije precizirana.

63

U tom pogledu treba istaknuti, kao prvo, da je člankom 5. stavkom 1. točkom (b) Uredbe 2016/679 propisano da se osobni podaci trebaju prikupljati, između ostalog, u posebne, izričite i zakonite svrhe.

64

Najprije, zahtjev prema kojem svrhe obrade moraju biti određene podrazumijeva, kao što to proizlazi iz uvodne izjave 39. te uredbe, da ih treba utvrditi najkasnije u vrijeme prikupljanja osobnih podataka.

65

Nadalje, svrhe obrade moraju biti izričite, što znači da trebaju biti jasno navedene.

66

Naposljetku, te svrhe moraju biti zakonite. Stoga je važno da one osiguraju zakonitu obradu u smislu članka 6. stavka 1. navedene uredbe.

67

Obrade iz točke 60. ove presude pokrenute su zahtjevom za otkrivanje osobnih podataka koji latvijska porezna uprava upućuje pružatelju usluga internetskog oglašavanja. U tom se pogledu čini da je taj pružatelj usluge, na temelju članka 15. stavka 6. Zakona o porezima i nametima, dužan udovoljiti takvom zahtjevu.

68

S obzirom na razmatranja iznesena u točkama 64. i 65. ove presude, potrebno je da su svrhe tih obrada u tom zahtjevu jasno navedene.

69

Pod uvjetom da su svrhe koje su tako navedene u predmetnom zahtjevu potrebne za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti porezne uprave, ta je okolnost, kao što to proizlazi iz članka 6. stavka 1. prvog podstavka initio i točke (e) Uredbe 2016/679, u vezi s člankom 6. stavkom 3. drugim podstavkom te uredbe, dovoljna kako bi navedene obrade ispunjavale i zahtjev zakonitosti naveden u točki 66. ove presude.

70

U tom pogledu valja podsjetiti na to da naplatu poreza i borbu protiv utaje poreza treba smatrati zadaćama od javnog interesa u smislu članka 6. stavka 1. prvog podstavka točke (e) Uredbe 2016/679 (vidjeti po analogiji presudu od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 108.).

71

Iz toga slijedi da je, u slučaju u kojem se otkrivanje predmetnih osobnih podataka ne temelji izravno na zakonskoj odredbi koja čini njegovu osnovu, nego je posljedica zahtjeva nadležnog javnog tijela, potrebno da se u tom zahtjevu pojasni koje su posebne svrhe tog prikupljanja podataka s obzirom na zadaću od javnog interesa ili izvršavanje službene ovlasti kako bi se adresatu navedenog zahtjeva omogućilo da se uvjeri da je prijenos predmetnih osobnih podataka zakonit, a nacionalnim sudovima da provedu kontrolu zakonitosti predmetnih obrada.

72

Kao drugo, u skladu s člankom 5. stavkom 1. točkom (c) Uredbe 2016/679, osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno s obzirom na svrhe zbog kojih se obrađuju.

73

U tom pogledu valja podsjetiti na to da, prema ustaljenoj sudskoj praksi, odstupanja i ograničenja načela zaštite takvih podataka moraju biti u granicama onoga što je strogo nužno (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 110. i navedenu sudsku praksu).

74

Iz toga slijedi da voditelj obrade, uključujući kada djeluje u okviru zadaće od javnog interesa koja mu je povjerena, ne može općenito i bez razlike pristupiti prikupljanju osobnih podataka te se mora suzdržati od prikupljanja podataka koji nisu strogo nužni s obzirom na svrhe obrade.

75

U ovom slučaju valja istaknuti da je latvijska porezna uprava, kao što to proizlazi iz točaka 17. do 19. ove presude, zatražila od dotičnog gospodarskog subjekta da joj otkrije podatke u vezi s oglasima o prodaji osobnih vozila objavljenima na njegovoj internetskoj stranici između 14. srpnja i 31. kolovoza 2018. i, u slučaju da se pristup tim informacijama ne može ponovno uspostaviti, da joj najkasnije treći dan svakog mjeseca otkrije podatke u vezi s oglasima o prodaji osobnih vozila objavljenima na njegovoj internetskoj stranici tijekom prethodnog mjeseca, a da taj posljednji zahtjev nije ni na koji način vremenski ograničila.

76

S obzirom na razmatranja iznesena u točki 74. ove presude, na sudu koji je uputio zahtjev je da provjeri može li svrha prikupljanja tih podataka biti ugrožena a da latvijska porezna uprava potencijalno ne raspolaže podacima o svim oglasima za prodaju osobnih vozila objavljenima na internetskoj stranici navedenog subjekta i, osobito, je li moguće da ta uprava cilja određene oglase pomoću posebnih kriterija.

77

U tom kontekstu valja istaknuti da, u skladu s načelom pouzdanosti iz članka 5. stavka 2. Uredbe 2016/679, voditelj obrade mora moći dokazati da poštuje načela obrade osobnih podataka navedena u stavku 1. tog članka.

78

Stoga je na latvijskoj poreznoj upravi da utvrdi da je, u skladu s člankom 25. stavkom 2. te uredbe, nastojala smanjiti što je više moguće količinu osobnih podataka koju treba prikupiti.

79

Kada je riječ o okolnosti da zahtjev za otkrivanje koji je uputila latvijska porezna uprava ne predviđa, u slučaju da dotični pružatelj usluga oglašavanja nije uspostavio pristup oglasima objavljenima u razdoblju na koje se odnosi zahtjev, nikakvo vremensko ograničenje, valja podsjetiti na to da je, s obzirom na načelo smanjenja količine podataka, voditelj obrade također dužan, s obzirom na predviđeni cilj prikupljanja, ograničiti razdoblje prikupljanja predmetnih osobnih podataka na ono što je krajnje nužno.

80

Stoga razdoblje na koje se odnosi prikupljanje ne može prelaziti trajanje koje je krajnje nužno za postizanje željenog cilja u općem interesu.

81

Kao što to proizlazi iz točke 77. ove presude, teret dokazivanja u tom pogledu je na latvijskoj poreznoj upravi.

82

Stoga, okolnost da se navedeni podaci prikupljaju a da latvijska porezna uprava u samom zahtjevu za otkrivanje nije odredila vremensko ograničenje za takvu obradu ne omogućuje, sama po sebi, zaključak da trajanje obrade prelazi ono što je krajnje nužno za postizanje željenog cilja od općeg interesa.

83

Međutim, u tom kontekstu valja podsjetiti na to da, kako bi se ispunio zahtjev proporcionalnosti izražen u članku 5. stavku 1. točki (c) Uredbe 2016/679 (vidjeti u tom smislu presudu do 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 98. i navedenu sudsku praksu), propis na kojem se temelji obrada mora imati propisana jasna i precizna pravila kojima se uređuje doseg i primjena predmetne mjere te propisivati minimalne uvjete, tako da osobe o čijim je osobnim podacima riječ raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu tih podataka od rizika zlouporabe. On mora biti pravno obvezujući u unutarnjem pravu i osobito navoditi u kojim se okolnostima i pod kojim uvjetima mjera kojom se predviđa obrada takvih podataka može donijeti, jamčeći time da će njezino zadiranje biti ograničeno na ono što je strogo nužno (presuda od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 68. i navedena sudska praksa).

84

Iz toga slijedi da se nacionalni propis kojim se uređuje zahtjev za otkrivanje poput onoga o kojem je riječ u glavnom postupku mora temeljiti na objektivnim kriterijima za definiranje okolnosti i uvjeta pod kojima je pružatelj usluga na internetu dužan prenositi osobne podatke u vezi sa svojim korisnicima (vidjeti u tom smislu presudu od 6. listopada 2020., Privacy International, C‑623/17, EU:C:2020:790, t. 78. i navedenu sudsku praksu).

85

S obzirom na sva prethodna razmatranja, na treće do deveto pitanje valja odgovoriti tako da odredbe Uredbe 2016/679 treba tumačiti na način da im se ne protivi to da porezna uprava države članice nametne pružatelju usluga internetskog oglašavanja da joj otkrije informacije koje se odnose na porezne obveznike koji su objavili oglase u nekoj od rubrika njegova internetskog portala, pod uvjetom, među ostalim, da su ti podaci nužni s obzirom na posebne svrhe za koje se prikupljaju i da razdoblje na koje se odnosi prikupljanje navedenih podataka ne prelazi trajanje koje je krajnje nužno za postizanje željenog cilja u općem interesu.

86

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (peto vijeće) odlučuje: