Sud EU-a i prvi zahtjev kao zloupotreba prava: predmet Brillen Rottler i posljedice za radne odnose

I. Uvodne napomene o pravu na pristup osobnim podacima

Pravo ispitanika na pristup osobnim podacima, uređeno člankom 15. Uredbe, predstavlja jedan od temeljnih instrumenata transparentnosti i nadzora ispitanika nad obradom vlastitih podataka. Ostvarivanje tog prava, u praksi, u pravilu ne podliježe nikakvom posebnom obrazloženju od strane ispitanika, a voditelj obrade dužan je bez odgode i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva, dostaviti presliku osobnih podataka koji se obrađuju.

Uredba, međutim, u članku 12. stavku 5. predviđa dvije situacije u kojima voditelj obrade nije obvezan djelovati na zahtjev ispitanika: kada su zahtjevi ispitanika očito neosnovani (manifestly unfounded) ili prekomjerni (excessive), pri čemu Uredba kao osobiti primjer prekomjernosti navodi njihovu ponavljajuću narav (repetitive character). Upravo na ovoj odredbi temeljila se obrana voditelja obrade u predmetu koji je razmatrao Sud Europske unije, a koji je po prvi put jasno razgraničio pojam prekomjernosti od pojma učestalosti zahtjeva.

II. Činjenično stanje predmeta C-526/24

Predmet se odnosio na fizičku osobu s prebivalištem u Austriji koja se prijavila na newsletter njemačkog optičarskog društva Brillen Rottler GmbH & Co. KG. Trinaest dana nakon prijave, ista osoba podnijela je zahtjev za pristup osobnim podacima temeljem članka 15. GDPR-a, tražeći presliku svih podataka koje društvo o njoj obrađuje. Voditelj obrade odbio je postupiti po zahtjevu, tvrdeći da je riječ o zloupotrebi prava, s obzirom na to da je podnositelj zahtjeva prethodno u više navrata prema drugim društvima postupao na sličan način, a nakon odbijanja zahtjeva sustavno je pokretao postupke za naknadu neimovinske štete temeljem članka 82. GDPR-a³.

Ispitanik je potom podnio tužbu njemačkom sudu, tražeći ispunjenje zahtjeva za pristup te naknadu štete zbog navodne povrede prava. Njemački sud uputio je Sudu Europske unije prethodno pitanje o tumačenju pojma prekomjernosti zahtjeva iz članka 12. stavka 5. GDPR-a, konkretno o tome može li se već prvi zahtjev, koji sam po sebi nije ponavljajući, smatrati prekomjernim.

III. Argumentacija Suda Europske unije

Sud je u svojoj presudi od 19. ožujka 2026. u predmetu C-526/24 potvrdio da tekst članka 12. stavka 5. Opće uredbe o zaštiti podataka navodi ponavljajuću narav zahtjeva samo kao primjer, a ne kao isključivi ili nužni uvjet za utvrđivanje prekomjernosti, pa kvalifikacija zahtjeva kao "prekomjernog" ne pretpostavlja da je isti ispitanik prethodno podnio veći broj zahtjeva (t. 26. presude). Sud je dodatno pojasnio da broj podnesenih zahtjeva sam po sebi ne određuje pravo voditelja obrade da odbije postupiti po zahtjevu, tako da se voditelj obrade na tu mogućnost može pozvati i u slučaju prvog zahtjeva za pristup, ako utvrdi, uzimajući u obzir sve relevantne okolnosti slučaja, postojanje zloupotrebne namjere ispitanika (t. 31. presude).

Sud je pri tome naglasio da se pojam "prekomjernih zahtjeva" mora tumačiti restriktivno, da se voditelj obrade na prekomjernu narav zahtjeva može pozvati samo iznimno te da moraju postojati strogi kriteriji za takvu kvalifikaciju, pri čemu teret dokazivanja u cijelosti leži na voditelju obrade, koji mora dokazati kumulativno postojanje objektivnog elementa, skupa okolnosti u kojima, unatoč formalnom poštivanju uvjeta propisanih pravom Unije, cilj tih pravila nije ostvaren, i subjektivnog elementa, koji se sastoji u namjeri ispitanika da stekne korist umjetnim stvaranjem uvjeta propisanih za njezino stjecanje (t. 35.-36. presude).

Konkretno, voditelj obrade mora nedvojbeno dokazati da ispitanik zahtjev nije podnio radi upoznavanja s obradom svojih podataka, već radi umjetnog stvaranja uvjeta za naknadu štete, pri čemu su relevantne sve okolnosti slučaja, svrha i način dostavljanja podataka, vremenski razmak između dostavljanja podataka i podnošenja zahtjeva, te ukupno ponašanje ispitanika, uključujući javno dostupne podatke o sličnom postupanju prema drugim voditeljima obrade (t. 41.-43. presude).

IV. Primjena načela u naknadnoj sudskoj praksi

Nakon presude Suda Europske unije, predmet se vratio pred Amtsgericht Arnsberg, koji je u srpnju 2026. godine primijenio postavljeni dvostupanjski test zloupotrebe i utvrdio da je zahtjev ispitanika predstavljao zloupotrebu prava, jer je bio usmjeren na stvaranje procesne osnove za naknadni zahtjev za naknadu štete, a ne na ostvarenje informacijske svrhe prava na pristup⁴. Sud je pri tome uzeo u obzir niz okolnosti, od nedostatka dokazivog interesa za newsletter do kratkog razmaka između prijave i podnošenja zahtjeva čime je ilustrirao kako izgleda dokumentirana, cjelovita ocjena okolnosti koju zahtijeva presuda Suda EU-a. Ostaje, međutim, otvoreno hoće li i drugi nacionalni sudovi u budućim predmetima usvojiti isti pristup⁵.

V. Kritički osvrt: tenzija između teksta odredbe i sudskog tumačenja

Iako je presuda dobrodošla iz perspektive voditelja obrade suočenih sa zahtjevima podnesenima u zloj namjeri, ona otvara ozbiljno pravno pitanje usklađenosti s doslovnim tekstom članka 12. stavka 5. GDPR-a, koji ponavljajuću narav zahtjeva navodi kao paradigmatski, ako ne i jedini, pokazatelj prekomjernosti. Sud je svojim tumačenjem taj kriterij sveo na jedan od mogućih, ali ne i nužnih pokazatelja, čime je otvorio prostor za širu diskrecijsku procjenu voditelja obrade, ali istovremeno stvorio pravnu nesigurnost, jer isti skup okolnosti različiti voditelji obrade mogu ocijeniti različito, bez jasnih kvantificiranih kriterija za primjenu testa⁶.

Dodatna poteškoća proizlazi iz raspodjele tereta dokazivanja: voditelj obrade mora dokazati subjektivnu namjeru ispitanika prije nego što je s njim imao bilo kakav prethodni kontakt, što je u praksi izuzetno teško izvedivo bez uvida u ponašanje ispitanika prema drugim subjektima, do kojeg podatka voditelj obrade u pravilu nema zakonit pristup. Kako upućuje analiza objavljena povodom presude, dokazni prag postavljen je tako visoko da će većina voditelja obrade u praksi ostati suzdržana u pozivanju na ovu iznimku, čime se test zloupotrebe prava svodi na iznimno usku kategoriju dokumentiranih slučajeva⁷.

VI. Praktične implikacije za voditelje obrade

Kada zaposlenik, koji je u kontekstu radnog odnosa uvijek istovremeno i ispitanik u smislu članka 4. točke 1. GDPR-a, podnese zahtjev za pristup uoči otkaza ili spora, prvi refleks voditelja obrade jest odbiti ga pozivom na članak 12. stavak 5. GDPR-a. Presuda Brillen Rottler upozorava da je upravo takvo prebrzo, neargumentirano odbijanje ono što voditelja obrade najviše izlaže riziku, Sud postavlja uzak, strogo dokazni put, a ne opće pravo na odbijanje neugodnih zahtjeva.

Tri pouke iz komparativne prakse posebno su korisne. Prvo, samo strateško postupanje ispitanika-zaposlenika nije zloupotreba, potrebno je dokazati da zahtjev nije usmjeren na upoznavanje s obradom, već na umjetno stjecanje koristi⁹. Drugo, odgovor ne mora biti binaran: pariški prizivni sud dopustio je djelomično udovoljavanje zahtjevu ispitanika, uz isključenje dokumenata koji ne potpadaju pod institut prava na pristup¹⁰. Treće, prestrogo, refleksno odbijanje zahtjeva nosi vlastiti rizik, koji često nadmašuje rizik od same predaje podataka. To potvrđuje i provedbena praksa britanskog nadzornog tijela (ICO), koje je 2020. izdalo provedbenu odluku protiv poslodavca koji je odbio postupiti po zahtjevu ispitanika podnesenom tijekom postupka pred radnim sudom, jasno stavivši do znanja da paralelni spor ne oslobađa obveze iz članka 15. GDPR-a¹¹. Takvo "taktičko" odbijanje može se lako pretvoriti u samostalnu povredu koja nosi novčanu kaznu do 17,5 milijuna GBP ili 4% godišnjeg prihoda.

Praktičan slijed postupanja svodi se na to da voditelj obrade najprije dokumentira vremenski slijed i pokazatelje namjere ispitanika, zatim razmotri djelomično udovoljavanje uz obrazložena isključenja, a odluku o odbijanju temelji isključivo na konkretnim okolnostima slučaja, svjestan da rizik od odbijanja može biti veći od rizika koji se njime želi izbjeći.

VII. Zaključak

Presuda Suda Europske unije u predmetu C-526/24 predstavlja značajan pomak u tumačenju prava na pristup osobnim podacima, potvrđujući da već i prvi zahtjev ispitanika može biti proglašen zloupotrebom prava ako voditelj obrade dokaže kumulativno postojanje objektivnog i subjektivnog elementa zloupotrebe. Sud je time otklonio dvojbu koja je proizlazila iz doslovnog teksta članka 12. stavka 5. GDPR-a, ali je istovremeno postavio strog dokazni standard čije će ispunjenje u praksi ostati ograničeno na uzak krug slučajeva s jasno dokumentiranom namjerom ispitanika.

Komparativna praksa pokazuje da prenagljeno odbijanje nosi vlastiti, često veći rizik od onoga koji se njime želi izbjeći, dok djelomično udovoljavanje zahtjevu, uz obrazloženo isključenje dijelova koji ne potpadaju pod institut prava na pristup, ostaje pravno sigurniji put. Za voditelje obrade, presuda stoga ne donosi opću zaštitu od instrumentalizacije prava na pristup, nego uzak instrument čija se vrijednost ostvaruje jedino uz temeljitu i dokumentiranu analizu svakog pojedinačnog slučaja.                                  

Tomislav Grgurina, mag. admin. publ.