Sodba Sodišča (drugi senat) z dne 20. decembra 2017.

SODBA SODIŠČA (drugi senat)

z dne 20. decembra 2017 (*1)

„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Direktiva 95/46/ES – Člen 2(a) – Pojem ‚osebni podatki‘ – Pisni odgovori, ki jih je na poklicnem izpitu dal kandidat – Komentarji popravljavca glede teh odgovorov – Člen 12(a) in (b) – Obseg pravic posameznika, na katerega se nanašajo osebni podatki, do dostopa in popravka“

V zadevi C‑434/16,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Supreme Court (vrhovno sodišče, Irska) z odločbo z dne 29. julija 2016, ki je prispela na Sodišče 4. avgusta 2016, v postopku

Peter Nowak

proti

Data Protection Commissioner,

SODIŠČE (drugi senat),

v sestavi M. Ilešič (poročevalec), predsednik senata, A. Rosas, sodnik, C. Toader in A. Prechal, sodnici, ter E. Jarašiūnas, sodnik,

generalna pravobranilka: J. Kokott,

sodni tajnik: M. Aleksejev, administrator,

na podlagi pisnega postopka in obravnave z dne 22. junija 2017,

ob upoštevanju stališč, ki so jih predložili:

• za P. Nowaka G. Rudden, solicitor, in N. Travers, SC,
• za Data Protection Commissioner D. Young, solicitor, in P. A. McDermott, SC,
• za Irsko E. Creedon, L. Williams in A. Joyce, agenti, skupaj z A. Caroll, barrister,
• za češko vlado M. Smolek in J. Vláčíl, agenta,
• za grško vlado G. Papadaki in S. Charitaki, agentki,
• za madžarsko vlado M. Z. Fehér in A. Pálfy, agenta,
• za avstrijsko vlado G. Eberhard, agent,
• za poljsko vlado B. Majczyna, agent,
• za portugalsko vlado L. Inez Fernandes, M. Figueiredo in I. Oliveira, agenti,
• za Evropsko komisijo D. Nardi in H. Kranenborg, agenta,

po predstavitvi sklepnih predlogov generalne pravobranilke na obravnavi 20. julija 2017

izreka naslednjo

Sodbo

1Predlog za sprejetje predhodne odločbe se nanaša na razlago Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).

2Ta predlog je bil vložen v okviru spora med Petrom Nowakom in Data Protection Commissioner (pooblaščenec za varstvo podatkov, Irska), ker je zadnji P. Nowaku zavrnil dostop do popravljenega izpitnega izdelka kandidata z obrazložitvijo, da informacije v tem izdelku niso osebni podatki.

Pravni okvir

Pravo Unije

Direktiva 95/46

3V uvodnih izjavah 25, 26 in 41 Direktive 95/46, katere namen je v skladu s členom 1 te direktive varstvo temeljnih pravic in svoboščin fizičnih oseb, zlasti njihove pravice do zasebnosti pri obdelavi osebnih podatkov, ter odprava ovir za prosti pretok teh podatkov, je navedeno:

„(25)

ker se morajo načela varstva po eni strani izražati v obveznostih, ki so naložene osebam […], odgovornim za obdelavo, predvsem glede kakovosti podatkov, tehnične varnosti, uradnega obvestila nadzornemu organu in okoliščin, v katerih se lahko izvaja obdelava, ter po drugi strani v pravici, podeljeni posameznikom, katerih podatki so predmet obdelave, da so obveščeni o potekajoči obdelavi, da imajo vpogled v podatke, da zahtevajo popravke in da v nekaterih okoliščinah celo ugovarjajo obdelavi;

• (26) ker se morajo načela varstva uporabljati za vse informacije v zvezi z določeno ali določljivo osebo; ker bi bilo treba za odločitev o tem, ali je oseba določljiva ali ne, upoštevati vsa sredstva, za katera se [razumno] pričakuje, da jih bo uporabil bodisi upravljavec ali katera koli druga oseba za določitev take osebe; ker se načela varstva ne uporabljajo za podatke, ki so spremenjeni v anonimne tako, da posameznik, na katerega se osebni podatki nanašajo, ni več določljiv; […]

[…]

• (41) ker mora biti vsaka oseba sposobna uresničiti pravico dostopa do podatkov v obdelavi, ki se nanašajo nanjo, da bi preverila zlasti njihovo točnost in zakonitost obdelave; […]“

4Pojem „osebni podatek“ je v členu 2(a) te direktive opredeljen kot „katera koli informacija, ki se nanaša na določeno ali določljivo fizično osebo (‚posameznik, na katerega se nanašajo osebni podatki‘); določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto“.

5Člen 6 navedene direktive, ki je v Oddelku I, naslovljenem „Načela v zvezi s kakovostjo podatkov“, Poglavja II te direktive določa:

„1. Države članice določijo, da morajo biti osebni podatki:

• (a) pošteno in zakonito obdelani;
• (b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;
• (c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
• (d) točni in po potrebi ažurirani; uporabiti je treba vse primerne ukrepe za zagotovitev, da se podatki, ki so netočni ali nepopolni, zbrišejo ali popravijo, ob upoštevanju namenov, za katere so bili zbrani ali za katere se naprej obdelujejo;
• (e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.

2Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“

6Člen 7 Direktive 95/46, ki je v Oddelku II, naslovljenem „Merila za zakonitost obdelave podatkov“, Poglavja II te direktive določa:

„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:

• (a) je posameznik, na katerega se osebni podatki nanašajo, nedvoumno dal svojo privolitev; ali

[…]

• (c) je obdelava potrebna za skladnost z zakonsko obveznostjo, ki velja za upravljavca; ali

[…]

• (e) je obdelava potrebna za izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju javne oblasti, dodeljene upravljavcu ali tretji stranki, ki so ji posredovani podatki; ali
• (f) je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“

7Člen 12 te direktive, naslovljen „Pravica do dostopa“, določa:

„Države članice jamčijo vsakemu posamezniku, na katerega se osebni podatki nanašajo, pravico, da pridobi od upravljavca:

• (a) brez omejitev v razumnem času in brez večjih zamud ali stroškov:
• potrditev tega, ali se podatki v zvezi z njim obdelujejo ali ne, in informacije vsaj glede namenov obdelave, vrste zadevnih podatkov in prejemnikov ali vrste prejemnikov, ki so jim podatki posredovani,
• sporočilo v razumljivi obliki o osebnih podatkih, ki so v obdelavi, in vseh razpoložljivih informacijah glede njihovega vira,

[…]

• (b) po potrebi popravke, izbris ali blokiranje podatkov, katerih obdelava ni v skladu z določbami te direktive, predvsem zaradi nepopolnih ali netočnih podatkov;
• (c) uradno obvestilo tretjim strankam, ki so jim bili posredovani podatki, o vseh popravkih, izbrisu ali blokiranju, izvedenem v skladu z [s točko] (b), razen če se to izkaže za nemogoče ali če vključuje nesorazmeren napor.“

8Člen 13 navedene direktive, naslovljen „Izjeme in omejitve“, določa:

„1. Države članice lahko sprejmejo predpise za omejitev obsega obveznosti in pravic, opredeljenih v členih 6(1), 10, 11(1), 12 in 21, kadar taka omejitev predstavlja potrebni ukrep za zaščito:

[…]

• (g) posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih.

[…]“

9Člen 14 Direktive 95/46, naslovljen „Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora“, določa:

„Države članice priznavajo posamezniku, na katerega se osebni podatki nanašajo, pravico:

• (a) da vsaj v primerih iz člena 7(e) in (f) na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen kjer nacionalna zakonodaja določa drugače. Kadar obstaja utemeljen ugovor, obdelava, ki jo uvede upravljavec, ne sme več vključevati teh podatkov;

[…]“

10Člen 28 navedene direktive, naslovljen „Nadzorni organ“, določa:

„1. Vsaka država članica določi, da je eden ali več javnih organov na njenem ozemlju odgovornih za spremljanje uporabe predpisov, ki so jih sprejele države članice v skladu s to direktivo.

[…]

3Vsakemu organu se podeli predvsem:

• preiskovalna pooblastila, kakršna so pooblastila za dostop do podatkov, ki sestavljajo vsebino postopkov obdelave, in pooblastila za zbiranje vseh informacij, ki so potrebne za izvajanje njegovih nadzornih nalog,
• učinkovita pooblastila za posredovanje, kakšna so npr. […] odrejanje blokiranja, izbrisa ali uničenja podatkov, naložitev začasne ali dokončne prepovedi obdelave […]

[…]

Zoper odločitve nadzornega organa je zagotovljeno sodno pravno sredstvo.

4Vsak nadzorni organ obravnava zahtevke, ki jih je vložila katera koli oseba ali združenje, ki predstavlja to osebo, v zvezi z varstvom svojih pravic in svoboščin glede obdelave osebnih podatkov. Zadevna oseba se obvesti o odločitvah glede zahtevka.

[…]“

Uredba (EU) 2016/679

11Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) ( UL 2016, L 119, str. 1 ) se na podlagi njenega člena 99(2) uporablja od 25. maja 2018. Člen 94(1) te uredbe določa, da se Direktiva 95/46 razveljavi z učinkom od istega dne.

12Navedena uredba v členu 15, naslovljenem „Pravica dostopa posameznika, na katerega se nanašajo osebni podatki“, določa:

„1 Posameznik, na katerega se nanašajo osebni podatki, ima pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu [to] tako, dostop do osebnih podatkov […]

[…]

3Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. […]

4Pravica do pridobitve kopije iz odstavka 3 ne vpliva negativno na pravice in svoboščine drugih.“

13Člen 23 Uredbe 2016/679, naslovljen „Omejitve“, določa:

„1. Pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, lahko z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov [od] 12 do 22 […], če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

[…]

• (e) drugih pomembnih ciljev v splošnem javnem interesu Unije ali države članice, zlasti pomembnega gospodarskega ali finančnega interesa Unije ali države članice, vključno z denarnimi, proračunskimi in davčnimi zadevami, javnim zdravjem in socialno varnostjo;

[…]

• (i) varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih.

[…]“

Irsko pravo

14Namen Data Protection Act 1988 (zakon o varstvu podatkov iz leta 1988), kakor je bil spremenjen z Data Protection (Amendment) Act 2003 (zakon o spremembi zakona o varstvu podatkov iz leta 2003) (v nadaljevanju: zakon o varstvu podatkov), je prenos Direktive 95/46 v irski pravni red. Člen 1(1) tega zakona pojem „osebni podatki“ opredeljuje tako:

„podatki v zvezi z živim posameznikom, ki se ga ali se ga lahko določi na podlagi zadevnih podatkov ali na podlagi podatkov v povezavi z drugimi informacijami, ki jih ima ali bi jih lahko pridobil pooblaščenec.“

15Pravico do dostopa ureja člen 4 zakona o varstvu podatkov, pri čemer njegov odstavek 6, ki se nanaša posebej na prošnje za dostop do rezultatov izpita, določa:

„(a)

Za prošnjo posameznika v skladu z odstavkom 1 tega člena v zvezi z rezultati izpita, ki ga je opravljal, se v smislu tega člena šteje, da je bila vložena

• (i) na datum prve objave rezultatov izpita ali
• (ii) na datum prošnje,

kar koli je pozneje; […]

• (b) V skladu s tem odstavkom pomeni ‚izpit‘ kateri koli postopek za ugotavljanje znanja, inteligence, sposobnosti ali zmožnosti osebe glede na njeno uspešnost pri testu, delu ali drugi dejavnosti.“

16Člen 6 zakona o varstvu podatkov določa pravico do popravka in izbrisa osebnih podatkov, katerih obdelava ni v skladu s tem zakonom.

17Člen 10(1)(b)(i) zakona o varstvu podatkov zahteva, da pooblaščenec za varstvo podatkov obravnava pritožbo „razen če meni, da je neresna ali vložena iz nagajivosti.“

Spor o glavni stvari in vprašanji za predhodno odločanje

18P. Nowak je kot pripravnik za poklic računovodje opravil prvostopenjske računovodske izpite in tri drugostopenjske izpite pri Institute of Chartered Accountants of Ireland (irska zbornica računovodij, finančnikov in revizorjev, v nadaljevanju: zbornica računovodij, finančnikov in revizorjev). Neuspešen pa je bil pri izpitu „računovodstvo strateškega financiranja in upravljanja“, pri katerem je bilo kandidatom dovoljeno uporabljati dokumente (izpit z dostopnimi viri).

19P. Nowak je jeseni 2009 po neuspešnem četrtem poskusu na tem izpitu najprej vložil ugovor, s katerim je izpodbijal rezultat tega izpita. Potem ko je bil njegov ugovor marca 2010 zavrnjen, je maja 2010 na podlagi člena 4 zakona o varstvu podatkov vložil zahtevo za dostop do vseh osebnih podatkov, ki se nanj nanašajo in ki jih ima zbornica računovodij, finančnikov in revizorjev.

20Zbornica računovodij, finančnikov in revizorjev je P. Nowaku z dopisom z dne 1. junija 2010 posredovala 17 dokumentov, zavrnila pa je posredovanje njegovega izpitnega izdelka z obrazložitvijo, da ta ne vključuje osebnih podatkov v smislu zakona o varstvu podatkov.

21P. Nowak se je torej obrnil na pooblaščenca za varstvo podatkov in izpodbijal utemeljenost obrazložitve, s katero je bilo zavrnjeno posredovanje njegovega izpitnega izdelka. Ta pooblaščenec je junija 2010 v elektronskem sporočilu P. Nowaku med drugim odgovoril, da se „izpitni izdelki na splošno ne obravnavajo [za varstvo podatkov] […], ker ti dokumenti načeloma niso osebni podatki“.

22Po tem odgovoru pooblaščenca za varstvo podatkov je bilo med njim in P. Nowakom izmenjano nekaj dopisov, kar se je končalo s tem, da je P. Nowak 1. julija 2010 vložil uradno pritožbo.

23Pooblaščenec za varstvo podatkov je z elektronskim sporočilom z dne 21. julija 2010 P. Nowaka obvestil, da po preučitvi spisa ni ugotovil vsebinske kršitve zakona o varstvu podatkov in da se je v skladu s členom 10(1)(b)(i) tega zakona, ki se nanaša na neresne pritožbe ali pritožbe, vložene iz nagajivosti, odločil, da ne bo vsebinsko obravnaval njegove pritožbe. Poleg tega je bilo v tem elektronskem sporočilu navedeno, da dokumenti, glede katerih želi P. Nowak uveljaviti „pravico do popravka“, „niso osebni podatki, za katere se uporablja člen 6 zakona o varstvu podatkov.“

24P. Nowak je zoper to odločbo vložil tožbo na Circuit Court (okrožno sodišče, Irska). To je razsodilo, da tožba ni dopustna, ker ne obstaja odločba, zoper katero je mogoče vložiti tožbo, saj pooblaščenec za varstvo podatkov pritožbe ni vsebinsko obravnaval. Podredno je to sodišče razsodilo, da ta tožba ni utemeljena, ker izpitni izdelek ni osebni podatek.

25P. Nowak je zoper sodbo navedenega sodišča vložil pritožbo pri High Court (višje sodišče, Irska), ki pa je to sodbo potrdilo. Sodbo High Court (višje sodišče) je potrdilo tudi Court of Appeal (pritožbeno sodišče, Irska). Supreme Court (vrhovno sodišče, Irska), ki je dovolilo pravno sredstvo zoper sodbo Court of Appeal (pritožbeno sodišče), je odločilo, da je tožba, ki jo je P. Nowak vložil zoper odločbo pooblaščenca za varstvo podatkov, dopustna.

26Vendar je Supreme Court (vrhovno sodišče), ker je imelo dvome o tem, ali je izpitni izdelek lahko osebni podatek v smislu Direktive 95/46, prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:

„1.

Ali so informacije, vsebovane v odgovorih kandidata ali njegovi odgovori med poklicnim izpitom, lahko osebni podatki v smislu Direktive 95/46?

• 2. Če so v skladu z odgovorom na vprašanje 1 vse ali nekatere informacije lahko osebni podatki v smislu Direktive 95/46, kateri dejavniki so pomembni pri ugotavljanju, ali je v določenem primeru izpitni izdelek osebni podatek, in kakšno težo je treba pripisati takim dejavnikom?“

Vprašanji za predhodno odločanje

27Predložitveno sodišče z vprašanjema, ki ju je treba preučiti skupaj, želi v bistvu izvedeti, ali je treba člen 2(a) Direktive 95/46 razlagati tako, da so v okoliščinah, kakršne so obravnavane v postopku v glavni stvari, pisni odgovori, ki jih je na poklicnem izpitu dal kandidat, ter morebitni komentarji popravljavca, ki so s temi odgovori povezani, osebni podatki v smislu te določbe.

28V zvezi s tem je treba spomniti, da člen 2(a) Direktive 95/46 osebni podatek opredeljuje kot „katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo.“ V skladu z isto določbo je ,,določljiva oseba […] tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto“.

29Ni sporno, da je kandidat na poklicnem izpitu fizična oseba, ki se lahko identificira neposredno zaradi svojega imena ali posredno zaradi identifikacijske številke, ki je na izpitnem izdelku ali na naslovni strani tega izdelka.

30V nasprotju s tem, kar se zdi, da trdi pooblaščenec za varstvo podatkov, v teh okoliščinah nima vpliva vprašanje, ali popravljavec ob popravljanju in ocenjevanju izpitnega izdelka lahko identificira kandidata.

31Da bi bilo mogoče neki podatek šteti za „osebni podatek“ v smislu člena 2(a) Direktive 95/46, namreč ni nujno, da se vse informacije, ki omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki, znajdejo v rokah samo ene osebe (sodba z dne 19. oktobra 2016, Breyer, C‑582/14 , EU:C:2016:779 , točka 43 ). Poleg tega ni sporno, da subjekt, ki organizira izpit, v tem primeru zbornica računovodij, finančnikov in revizorjev, če popravljavec ob ocenjevanju odgovorov, ki jih je kandidat dal v okviru izpita, ne ve za njegovo identiteto, nasprotno, ima potrebne informacije, na podlagi katerih lahko brez težav in dvomov identificira tega kandidata zaradi njegove identifikacijske številke, ki je na izpitnem izdelku ali naslovni strani tega izdelka, in mu tako pripiše njegove odgovore.

32Vendar je treba preučiti, ali so pisni odgovori, ki jih je na poklicnem izpitu dal kandidat, ter morebitni komentarji popravljavca, ki so s temi odgovori povezani, informacije, ki se na tega kandidata nanašajo v smislu člena 2(a) Direktive 95/46.

33Področje uporabe Direktive 95/46 je, kot je Sodišče že ugotovilo, zelo široko, osebni podatki, na katere se nanaša ta direktiva, pa so različni (sodba z dne 7. maja 2009, Rijkeboer, C‑553/07 , EU:C:2009:293 , točka 59 in navedena sodna praksa).

34Uporaba izrazov „katera koli informacija“ v opredelitvi pojma „osebni podatek“ iz člena 2(a) Direktive 95/46 namreč odraža cilj zakonodajalca Unije, da temu pojmu da širok pomen, ki ni omejen na občutljive informacije ali informacije iz zasebne sfere, temveč morda vključuje raznovrstne informacije, tako objektivne kot subjektivne v obliki mnenj ali presoj, če se te „nanašajo“ na zadevno osebo.

35Zadnjenavedeni pogoj je izpolnjen, če je informacija zaradi svoje vsebine, namena ali učinka povezana z določeno osebo.

36Pisni odgovori, ki jih na poklicnem izpitu da kandidat, pa so, kot v bistvu trdijo P. Nowak, češka, grška, madžarska, avstrijska in portugalska vlada ter Evropska komisija, take informacije, ki so povezane z njim.

37Najprej, vsebina teh odgovorov namreč odraža stopnjo znanja in sposobnosti kandidata na danem področju ter, odvisno od primera, njegov proces razmišljanja, presojo in kritično razmišljanje. Če gre za pisne izpite, odgovori vključujejo tudi informacije o njegovi pisavi.

38Nato, namen zbiranja navedenih odgovorov je oceniti strokovne sposobnosti kandidata in njegovo zmožnost opravljanja zadevnega poklica.

39Nazadnje, uporaba teh informacij, s katero se zlasti ugotovi uspeh ali neuspeh kandidata na zadevnem izpitu, lahko vpliva na pravice in interese tega kandidata, saj je zaradi nje mogoče določiti ali vplivati na primer na možnosti dostopa do želenega poklica oziroma zaposlitve.

40Ugotovitev, da so pisni odgovori, ki jih je na poklicnem izpitu dal kandidat, informacije, ki se nanj nanašajo zaradi svoje vsebine, namena in posledic, velja tudi, kadar gre za izpit z dostopnimi viri, kot v tem primeru.

41Namen vsakega izpita je namreč, kot je v točki 24 sklepnih predlogov navedla generalna pravobranilka, da se ugotovi in dokumentira individualna uspešnost posamezne osebe, to je kandidata, ne pa – drugače kot pri reprezentativni anketi – da se pridobi informacije, ki niso odvisne od te osebe.

42V zvezi s komentarji popravljavca glede odgovorov kandidata je treba ugotoviti, da so ti tako kot odgovori, ki jih na izpitu da kandidat, informacije, ki se nanašajo na tega kandidata.

43Vsebina teh komentarjev tako odraža mnenje ali presojo popravljavca o individualni uspešnosti kandidata na izpitu, zlasti o njegovem znanju in sposobnostih na zadevnem področju. Namen teh komentarjev je poleg tega prav dokumentiranje ocene popravljavca glede uspešnosti kandidata in imajo lahko zanj posledice, kot je navedeno v točki 39 te sodbe.

44Ugotovitve, da so komentarji popravljavca glede odgovorov, ki jih je na izpitu dal kandidat, zaradi svoje vsebine, namena in posledic povezani s tem kandidatom, ne izpodbije dejstvo, da so ti komentarji tudi informacije, ki se nanašajo na popravljavca.

45Ista informacija se lahko namreč nanaša na več fizičnih oseb in je zato zanje, če so te osebe določene ali določljive, osebni podatek v smislu člena 2(a) Direktive 95/46.

46Poleg tega na to, da se pisne odgovore, ki jih na poklicnem izpitu da kandidat, in morebitne komentarje glede teh odgovorov šteje za osebne podatke, v nasprotju s trditvami pooblaščenca za varstvo podatkov in irske vlade ne more vplivati okoliščina, da ima na podlagi take opredelitve ta kandidat načeloma pravico do dostopa in popravka v skladu s členom 12(a) in (b) Direktive 95/46.

47V zvezi s tem je treba najprej spomniti, kot je na obravnavi navedla Komisija, da se številna načela in jamstva, določena v Direktivi 95/46, navezujejo na to opredelitev in so od nje odvisna.

48Iz uvodne izjave 25 Direktive 95/46 namreč izhaja, da se načela varstva, navedena v tej direktivi, po eni strani izražajo v obveznostih, ki so naložene tistim, ki so odgovorni za obdelavo, predvsem glede kakovosti podatkov, tehnične varnosti, uradnega obvestila nadzornemu organu in okoliščin, v katerih se lahko izvaja obdelava, ter po drugi strani v pravici, podeljeni posameznikom, katerih podatki so predmet obdelave, da so obveščeni o potekajoči obdelavi, da imajo vpogled v podatke, da zahtevajo popravke in da v nekaterih okoliščinah celo ugovarjajo obdelavi.

49Če informacije, ki se nanašajo na kandidata in ki so v njegovih odgovorih na poklicnem izpitu in v komentarjih popravljavca, ki so s temi odgovori povezani, ne bi bile opredeljene kot „osebni podatki“, se v zvezi s takimi informacijami nikakor ne bi spoštovalo načel in jamstev na področju varstva osebnih podatkov, zlasti načel, ki se nanašata na kakovost takih podatkov in na zakonitost njihove obdelave, določenih v členih 6 in 7 Direktive 95/46; pravice do dostopa, popravka in ugovora osebe, na katero se nanašajo osebni podatki, določene v členih 12 in 14 te direktive, ter nadzora, ki ga na podlagi člena 28 navedene direktive izvaja nadzorni organ.

50Ni pa sporno, kot je v točki 26 sklepnih predlogov navedla generalna pravobranilka, da ima izpitni kandidat med drugim zakoniti interes, ki temelji na varstvu njegovega zasebnega življenja, da lahko nasprotuje obdelavi odgovorov, ki jih je dal na tem izpitu, in komentarjev popravljavca glede teh odgovorov zunaj okvira izpitnega postopka, zlasti pa temu, da so ti brez njegovega dovoljenja posredovani tretjim osebam oziroma celo objavljeni. Subjekt, ki organizira izpit, je kot upravljavec teh podatkov zavezan zagotoviti, da so ti odgovori in komentarji shranjeni tako, da se izogne temu, da bi tretje osebe do njih nezakonito dostopile.

51Dalje, ugotoviti je treba, da sta lahko pravici do dostopa in popravka, določeni v členu 12(a) in (b) Direktive 95/46, utemeljeni tudi glede pisnih odgovorov, ki jih je na poklicnem izpitu dal kandidat, in morebitnih komentarjev popravljavca, ki so s temi odgovori povezani.

52Pravica do popravka, določena v členu 12(b) Direktive 95/46, očitno res ne more omogočiti kandidatu, da a posteriori „popravi“„napačne“ odgovore.

53Iz člena 6(1)(d) Direktive 95/46 je namreč razvidno, da je treba točnost in popolnost osebnih podatkov presojati ob upoštevanju namena, za katerega so bili zbrani. Ta namen, kar zadeva odgovore izpitnega kandidata, pomeni možnost oceniti stopnjo znanja in sposobnosti tega kandidata na dan izpita. Ta stopnja pa se odraža prav z morebitnimi napakami v teh odgovorih. Zato take napake nikakor ne pomenijo netočnosti v smislu Direktive 95/46, zaradi katere bi nastala pravica do popravka na podlagi člena 12(b) te direktive.

54Je pa mogoče, da obstajajo okoliščine, v katerih se odgovori izpitnega kandidata in komentarji popravljavca glede teh odgovorov izkažejo za netočne v smislu člena 6(1)(d) Direktive 95/46, na primer, ker so bili zaradi napake izpitni izdelki zamenjani, tako da so bili odgovori drugega kandidata pripisani zadevnemu kandidatu, ali ker so bile nekatere strani z odgovori tega kandidata izgubljene, tako da so navedeni odgovori nepopolni, ali ker z morebitnimi komentarji popravljavca ni pravilno dokumentirana ocena, ki jo je za odgovore zadevnega kandidata dal ta popravljavec.

55Poleg tega ni mogoče izključiti, kot je v točki 37 sklepnih predlogov navedla generalna pravobranilka, da ima kandidat na podlagi člena 12(b) Direktive 95/46 od upravljavca podatkov pravico zahtevati, da se njegovi izpitni odgovori in komentarji popravljavca, ki so s temi odgovori povezani, po nekem obdobju izbrišejo, da se torej uničijo. V skladu s členom 6(1)(e) te direktive so namreč lahko osebni podatki načeloma shranjeni v obliki, ki dopušča identifikacijo posameznika, na katerega se ti osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili ti podatki zbrani ali za katere se naprej obdelujejo. Ob upoštevanju namena odgovorov, ki jih je na izpitu dal kandidat, in komentarjev popravljavcev glede teh odgovorov pa se njihovo shranjevanje v obliki, ki dopušča identifikacijo kandidata, a priori ne zdi več nujno, ko je izpitni postopek končan in ga ni več mogoče izpodbijati, tako da ti odgovori in komentarji izgubijo vsakršno dokazno vrednost.

56Ker so lahko pisni odgovori, ki jih je na poklicnem izpitu dal kandidat, in morebitni komentarji popravljavca, ki so s temi odgovori povezani, predmet preverjanja, zlasti glede njihove točnosti in nujnosti njihovega shranjevanja v smislu člena 6(1)(d) in (e) Direktive 95/46, in so lahko predmet popravka ali izbrisa na podlagi člena 12(b) te direktive, je treba ugotoviti, da to, da kandidat na podlagi člena 12(a) te direktive uresniči pravico do dostopa do teh odgovorov in komentarjev, služi cilju te direktive, ki je zagotavljanje varstva pravice do zasebnega življenja tega kandidata pri obdelavi podatkov, ki se nanj nanašajo (glej a contrario sodbo z dne 17. julija 2014, YS in drugi, C‑141/12 in C‑372/12 , EU:C:2014:2081 , točki 45 in 46 ), in to ne glede na to, ali ima navedeni kandidat tako pravico do dostopa tudi na podlagi nacionalne ureditve, ki se uporablja za izpitni postopek.

57V teh okoliščinah je treba spomniti, da varstvo temeljne pravice do spoštovanja zasebnega življenja med drugim pomeni, da mora imeti vsaka fizična oseba možnost, da preveri točnost osebnih podatkov, ki se nanašajo nanjo, in zakonitost njihove obdelave. Kot izhaja iz uvodne izjave 41 Direktive 95/46, ima posameznik, na katerega se nanašajo osebni podatki, na podlagi člena 12(a) te direktive pravico do dostopa do obdelovanih podatkov, ki se nanašajo nanj, da bi lahko opravil potrebna preverjanja. Ta pravica do dostopa je med drugim potrebna, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči, da po potrebi doseže, da upravljavec te podatke popravi, izbriše ali blokira, in da tako uresničuje svojo pravico iz člena 12(b) te direktive (sodba z dne 17. julija 2014, YS in drugi, C‑141/12 in C‑372/12 , EU:C:2014:2081 , točka 44 in navedena sodna praksa).

58Nazadnje, ugotoviti je treba, da pravici do dostopa in popravka iz člena 12(a) in (b) Direktive 95/46 ne zajemata izpitnih vprašanj, ki kot taka niso osebni podatki kandidata.

59Direktiva 95/46 in Uredba 2016/679, ki je navedeno direktivo nadomestila, določata nekatere omejitve teh pravic.

60V skladu s členom 13(1)(g) Direktive 95/46 lahko tako države članice sprejmejo zakonodajne ukrepe za omejitev obsega obveznosti in pravic, med drugim določenih v členu 6(1) in členu 12 te direktive, če taka omejitev pomeni potrebni ukrep za zaščito pravic in svoboščin drugih.

61Člen 23(1)(e) Uredbe 2016/679 razširja seznam razlogov omejitev, trenutno določenih v členu 13(1) Direktive 95/46, na „druge pomembne cilje v splošnem javnem interesu Unije ali države članice“. Poleg tega člen 15 Uredbe 2016/679 o pravici dostopa posameznika, na katerega se nanašajo osebni podatki, v odstavku 4 določa, da pravica do pridobitve kopije osebnih podatkov ne sme negativno vplivati na pravice in svoboščine drugih.

62Ob upoštevanju vseh zgornjih preudarkov je treba na postavljeni vprašanji odgovoriti, da je treba člen 2(a) Direktive 95/46 razlagati tako, da so v okoliščinah, kakršne so obravnavane v postopku v glavni stvari, pisni odgovori, ki jih je na poklicnem izpitu dal kandidat, ter morebitni komentarji popravljavca glede teh odgovorov osebni podatki v smislu te določbe.

Stroški

63Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (drugi senat) razsodilo:

Člen 2(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov je treba razlagati tako, da so v okoliščinah, kakršne so obravnavane v postopku v glavni stvari, pisni odgovori, ki jih je na poklicnem izpitu dal kandidat, ter morebitni komentarji popravljavca glede teh odgovorov osebni podatki v smislu te določbe.

Podpisi

(*1) Jezik postopka: angleščina.